涉案企业开展合规整改，怎样形成可以核验的整改材料？

涉案企业提交一套新制度、几张培训照片和一份承诺书，难以完整证明整改有效。可以核验的整改材料，应当回答五个问题：案件暴露了什么漏洞，谁负责修复，控制措施怎样嵌入业务，运行中留下了哪些原始记录，抽查和复测发现了什么结果。材料之间还要能够对应时间、人员、项目和系统数据。

合规整改的价值在于降低同类风险再次发生的可能。文件数量、装订厚度或制度名称本身，无法替代真实运行证据。

一先建立整改前的问题基线

整改材料应从涉案业务的事实开始。企业需要梳理行为发生的部门、岗位、交易、审批、账户、客户、供应商和管理层信息，找出控制失效的位置。

例如，虚开发票风险可能源于无真实验收、票货分离和财务只审票面；商业贿赂风险可能与渠道费用、个人收款和报销附件缺失有关；环境风险可能出在承包方资质核验、转移联单和现场称重。

问题基线可以形成风险清单。每个问题注明发现依据、发生时间、影响范围、责任岗位和现有控制。缺少基线，后续制度无法说明究竟修复了哪一个漏洞。

二整改计划要与涉案风险逐项对应

全国涉案企业合规第三方机制指导意见要求，合规计划围绕与涉嫌犯罪密切相关的内部治理、规章制度和人员管理问题，弥补制度及监督漏洞，防止同类违法犯罪再次发生。

计划可使用“问题—措施—责任人—完成期限—验证方法”结构。发现供应商资质未经核验，就明确核验字段、责任部门、复核层级、系统拦截和抽查比例，而非只写“加强供应商管理”。

措施还要适合企业规模。几十人的制造企业没有必要复制大型集团的多层委员会，却需要明确谁审核、谁复核、谁有权叫停异常交易。

三制度文件要保留形成过程和版本

新制度应标注起草、征求意见、审议、发布和生效时间，保留各版本、修改说明、审批记录和送达范围。这样才能核对制度何时形成、为何修改以及由谁批准。

只提供最终打印文本，无法判断文件是在整改期内真实运行，还是临近评估时集中制作。电子文档的创建记录、OA审批、邮件意见和发布通知可以相互印证。

旧制度也有价值。把新旧条款对照，能够显示企业修复了哪些具体缺口。若原制度已经完善，问题可能出在执行、监督或利益冲突，单纯再写一份制度并未触及原因。

四职责调整需要落实到权限

组织架构图和任命书只能证明名义分工。可核验整改还应体现印章、网银、采购、客户建档、开票、合同和系统账号权限怎样变化。

企业可以保留权限变更申请、系统后台日志、U盾交接、印章使用台账、岗位不相容检查和离职账号停用记录。权限截图应带有系统名称、账号、日期和导出来源。

若一个人仍能创建供应商、录入合同、验收并付款，制度写着“岗位分离”也没有完成控制。评估应进入实际操作界面抽查，确认关键权限已经分开。

五培训材料应证明员工理解并能够执行

签到表和现场照片可以证明人员到场，却不能说明培训内容与岗位风险相关，也不能反映员工是否掌握操作要求。

较完整的材料包括课程、讲义、案例题、岗位名单、测试结果、错题整改和补训记录。采购人员学习供应商审查，财务人员学习异常付款，销售人员学习渠道费用边界，内容应有岗位差异。

培训后可设计业务测试。让员工完成一次供应商准入、异常订单上报或利益冲突申报，留存表单和审核意见，能够验证规则是否被转化为工作动作。

六业务运行样本是整改证据的中心

制度生效后，企业应选取真实业务样本，展示控制措施如何运行。样本可以是新供应商、新客户、渠道费用、合同审批、发票、付款、危险废物转移或数据导出。

每个样本尽量保留申请、初审、复核、异常退回、补充材料、批准和执行全过程。全部样本都一次通过，反而无法说明拦截机制是否有效。

样本选择需要说明范围和方法。只挑选最规范的一笔交易，代表性有限。可按风险等级、金额、业务类型和发生期间抽样，并记录总体数量与抽取比例。

七整改要留下“拦截成功”的记录

有效控制应当能够发现并阻止问题。企业可以保留拒绝无资质供应商、退回异常报销、冻结高风险客户、暂停个人账户收款和启动内部调查的记录。

记录应写明触发规则、异常事实、处理人、复核结论和后续动作。只有一张“已整改”表格，缺少原始附件，难以回溯判断过程。

若整改期内仍发生违规，也不宜隐瞒。发现、报告、调查、纠正和问责的完整记录，能够检验合规体系是否具备自我发现和修复能力。

八系统控制要提供后台证据

企业声称设置系统强制校验，可提交需求单、开发测试、上线审批、字段规则、权限配置、操作日志和拦截记录。演示环境截图不能替代生产系统运行数据。

系统规则需要与风险匹配。例如，付款账户与合同主体不一致时弹出预警；供应商资质到期后停止下单；高风险费用需要法务或合规复核。

还要检查人工绕过路径。管理员能否随意关闭规则，紧急付款是否长期绕过审批，线下单据能否跳过系统，都需要权限和日志证明。

九财务和业务数据要能够交叉验证

整改报告中的数字应与账册、银行流水、发票、合同、仓储和系统导出一致。企业称个人收款已经清零，可按整改前后期间统计个人账户、收款主体和异常笔数。

商业贿赂专项整改可统计渠道费用、无票报销、现金支付和高风险代理商；税务整改可统计票货匹配、红冲、异常供应商和进项认证；数据合规可统计导出权限、批量下载和离职账号。

统计口径要写清数据来源、期间、筛选条件和复核人。只给出比例下降，没有底层明细，第三方难以复算。

十内部调查应保留独立、完整的底稿

合规部门发现线索后，可以形成调查方案、访谈提纲、证据清单、访谈记录、数据分析和处理决定。每一步标注人员和日期。

调查人员与涉事部门存在利益冲突时，应安排回避或引入独立人员。访谈记录区分亲历事实、转述内容和评价意见，接受访谈人员核对后签字。

企业不得为形成“漂亮材料”删除不利记录、倒签日期或要求员工作统一陈述。材料真实性一旦受损，其他整改证据也会受到质疑。

十一第三方评估报告要有事实支撑

第三方组织可以检查合规计划和定期书面报告，并开展评估、监督和考察。企业应按要求提供原始资料，配合现场访谈、系统查看和业务抽样。

评估意见应说明范围、方法、样本、发现问题、企业反馈和复测结果。只写“制度完善、培训到位、整改有效”，却没有检查过程，结论难以被复核。

企业也可建立材料索引，把每项整改措施对应到文件编号、电子路径、责任人和样本。评估人员能够沿索引回到原始证据，材料可信度会更高。

十二整改完成后还要跟踪运行

一次验收通过不代表风险永久消失。企业可设定月度或季度复核，对高风险交易、举报、系统预警和整改遗留问题持续跟踪。

问题台账应记录发现、责任人、期限、复核和关闭依据。逾期事项注明原因和临时控制，避免以“正在整改”长期挂账。

管理层可定期审阅合规数据和重大异常，形成会议记录与决策。该记录用于证明合规信息能够到达有权处置的人，而非停留在基层表格中。

十三一个采购整改场景

某制造企业因采购环节暴露风险，整改报告称已经建立供应商审查制度。核验时发现，新制度已发布，员工也参加培训，但采购员仍可独自创建供应商、登记验收并发起付款。

企业随后调整系统权限，引入采购、仓储和财务分岗复核，并对整改期内六十家供应商按风险抽取十五家检查。两家因资质过期被系统拦截，一家因收款账户不一致被退回，相关日志、复核意见和补正材料均被保留。

后一组材料能够展示控制怎样运行、发现了什么问题、谁作出处理，比制度文本和签到照片更便于核验。

佛山孟翔律师实务提醒

佛山制造业和商贸企业开展涉案合规整改时，可围绕合同、订单、交付、发票、付款和售后六个业务节点选取真实样本。环保、知识产权、商业贿赂或数据风险，还应增加对应的专项控制。

企业可以建立一份整改证据目录，逐项列出风险、措施、制度版本、权限变化、培训测试、运行样本和复测结果。所有材料保留原始载体与形成时间，不要临近评估再集中补签。

常见问题

1 制度已经重新制定，是否足以证明整改完成？

制度只是整改材料的一部分。还需通过权限、审批、业务样本、拦截记录和复测数据证明制度已经运行。

2 小微企业也要设置复杂的合规部门吗？

整改安排应与规模和风险相适应。小微企业可简化组织层级，但责任人、复核机制、异常上报和证据留存需要明确。

3 培训签到表为什么证明力有限？

签到只能反映到场。课程内容、岗位覆盖、测试结果、补训和实际操作样本，才能说明员工理解并执行规则。

4 整改期间又发现违规，会影响评估吗？

应如实报告并保留发现、调查、纠正和问责记录。评估会关注体系能否识别和处理问题，隐瞒或删除材料会带来更大风险。

5 整改材料怎样方便第三方核验？

可使用统一编号和索引，把每项措施关联到原始文件、电子路径、责任人、运行样本和验证结果，并保留数据提取口径。

参考依据

1. 《中华人民共和国刑法》《中华人民共和国刑事诉讼法》相关规定；

2. 《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》；

3. 涉案企业合规第三方监督评估机制相关实施细则和专业人员选任管理规范；

4. 企业合规管理体系有效性评价、专项风险管理和第三方评估的相关规范性文件。

孟翔律师，广东佛山执业律师，广东尚尧律师事务所执行主任，兰州大学法律硕士，长期关注刑事辩护、涉企刑事风险和企业合规整改。