华商合规院长三角分院院长高瞻受邀参加苏州大学王健法学院第五期东吴律师论坛并作主题分享

先来看一组让人警醒的数据。

根据ACFE（国际注册舞弊审查师协会）《2026年度全球舞弊报告》（Occupational Fraud 2026: A Report to the Nations），该报告分析了来自143个国家和地区的2,402起经调查确认的职业舞弊案件，涉及已核实损失总额超过34亿美元。ACFE的注册舞弊审查师（CFE）估算，全球各类型组织每年因舞弊造成的损失约占总收入的5%，据此推算，全球每年舞弊损失超过5.5万亿美元。在单个案件中，舞弊行为的中位损失为10.4万美元，平均损失高达145.7万美元。值得注意的是，约20%的案件损失超过100万美元。从舞弊发生到被揭露的平均时间长达12个月——这意味着，当你发现一起舞弊时，损失往往已经持续累积了近一年。

国内的数据同样不容乐观。北京师范大学中国企业家犯罪预防研究中心《中国企业犯罪研究报告（2025年度）》显示，企业犯罪案件同比增幅高达28.63%，其中民营企业涉案占比达到94.52%。值得注意的是，该报告揭示了一个结构性变化：以利企为目的的犯罪（如单位行贿、虚开增值税专用发票等）占比首次超过内部人员侵害企业利益的犯罪（56.45%），这意味着反舞弊的治理对象正在发生根本性转变。从罪名分布来看，超过七成的案件集中在三大罪名：职务侵占、非国家工作人员受贿、挪用资金。而从岗位分布来看，财务、采购/销售、仓管/IT构成了舞弊高危岗位的“铁三角”。这些岗位的共同特征是：直接接触资金或资源、具有较大的操作自主权、监督制衡机制相对薄弱。

关键洞察： 舞弊损失的5.5万亿美元不是一个抽象数字，它背后是企业利润的侵蚀、市场信任的瓦解和合规成本的攀升。企业必须将反舞弊从“成本项”重新定位为“投资项”——每一元前置于预防和检测的投入，都可能避免数十元的事后损失。

企业合规体系建设，需要从三个维度协同推进。

维度一：制度层面——“不能腐”的硬控制

高瞻院长提出，通过硬控制实施可以做到“不能腐”。他以 “1+N+SOP”制度体系搭建合规治理架构：

· “1” ——一部企业合规基本法，明确合规方针、组织架构、职责分工和违规处置原则；

· “N” ——覆盖各业务领域的专项合规制度，如采购合规、销售合规、财务合规、数据合规等；

· “SOP” ——嵌入业务流程的操作规程，将合规要求转化为具体岗位的操作步骤。

特别需要关注的是五大高风险岗位的专项管控：财务（资金审批、账务处理）、采购（供应商选择、合同签订）、销售（客户信用、折扣审批）、仓储（库存管理、出入库控制）、IT（系统权限、数据访问）。每个岗位都应建立“四眼原则”（关键操作需两人复核）、定期轮岗、异常交易自动预警等控制机制。

维度二：技术层面——基于ISO 37301的五阶段路线图

参照GB/T 35770-2022/ISO 37301合规管理体系标准，建议企业分五个阶段推进：

1. 差距评估——对照标准要求，评估现有合规体系的存在状态和缺失环节；

2. 体系设计——基于风险评估结果，设计覆盖全业务、全流程的合规制度框架；

3. 落地实施——将制度嵌入业务流程，配置合规管理工具，开展人员培训；

4. 运行监控——建立合规指标监测体系，定期评估合规体系的有效性和适用性；

5. 持续改进——根据内外部环境变化和监测结果，持续优化合规体系。

ACFE报告的数据为这一体系建设提供了量化支撑。报告显示，拥有有效反舞弊控制的组织，其中位损失比缺乏控制的组织平均降低37%。管理复核、主动数据监控和突击审计被证明是与降低损失和加速检测关联最强的控制措施。然而，真正有效的控制手段落地不足：突击审计实施率仅44%，主动数据监控仅49%——超过半数的企业尚未部署这些高回报的控制措施。

维度三：文化层面——“不敢腐、不想腐”的内生动力

这是最难但也最根本的维度。高瞻院长在论坛现场抛出一个问题：

“你问员工平时最怕谁？怕老板，还是怕合规官？”

多数企业的答案是老板。这意味着“不敢腐”靠的是老板脾气，“不能腐”靠的制度还没真正长牙，而“不想腐”——文化那一层，基本是空的。真正的实质合规，是让员工怕合规官多过怕老板的那一天。

“怕老板”意味着合规驱动力来自个人权威，是不可持续的；“怕合规官”则意味着合规已经成为组织内部的硬约束和潜规则，是制度成熟的标志。从“舞弊三角”（压力、机会、合理化借口）理论可以明确企业能快速消除的是“机会”之角，也就是制度建设的强化去封堵舞弊机会，再到“三不腐”（不敢腐、不能腐、不想腐），核心就是从依赖个人威慑转向依靠体系治理。不敢腐，主要来自于企业审计监察部门敢不敢和能不能快速地建立冷威慑，且有最高管理层的大力支持——这是一把手工程，特别是民企老板的决心胜过一百份平庸的制度和不痛不痒的公告。这个“决心”并不是狭义的口头表态，真正的挑战在于“决心如何穿越周期”——当老板休假、业务承压或核心高管违规时，威慑是否依然有效？实操中，我们建议将“决心”转化为“授权清单”和“容忍度红线”。例如：审计监察部门拥有某些特定关键事项的“一票否决权”和“无需前置审批的独立调查权”。当这些权力被写入公司审计章程并公示，合规官的权威便不再依附于老板的个人情绪，而是组织架构赋予的“制度性权力”，这才是“不敢腐”从短期震慑转向长期信任的关键。

ACFE报告的数据为文化建设提供了行为科学依据：84%的舞弊者在案发前至少表现出一个可识别的行为红旗信号，其中“生活方式明显超出收入水平”最为常见（39%），其次为财务困难（29%）。表现出至少一个红旗信号的舞弊案件，中位损失（12.5万美元）比无红旗信号的案件（9.4万美元）高出33%。这意味着，大多数舞弊在实施前就已通过行为信号向组织发出了预警——关键在于组织是否有能力识别并响应这些信号。

文化建设的具体抓手包括：高管层的合规承诺与以身作则、合规培训的场景化和案例化、举报渠道的畅通与举报人保护、合规事迹的正向激励，以及——最重要的是——对违规行为的 “零容忍”执行。说一千道一万，如果员工看到违规者没有被严肃处理，再完善的制度也会沦为纸面文章。报告数据印证了这一判断：68%的舞弊者被终止雇佣，但高管层的终止率仅52%，远低于普通员工的75%——这一“身份折扣”现象若得不到纠正，将严重侵蚀制度的威慑力。

关键洞察：从内部审计的四代演进（财务审计→运营审计→风险导向审计→战略审计），到企业风险管理的“三道防线”（业务自控→风控合规→内部审计），本质上都是组织治理能力的升级。合规体系建设的终极目标，是让合规从“成本中心”转变为“价值中心”——降低舞弊损失、提升运营效率、增强利益相关方信任，为企业创造实实在在的经济价值。

多重视角，从数据到法律，从调查到应对，从制度到文化，构成了一套舞弊方法论。但方法论再完善，最终还是要回到一个根本问题：企业愿不愿意花资源去做？

高瞻院长的观察是，许多企业的合规建设停留在“有制度、没执行”的层面——制度手册厚厚一本，但业务该怎么跑还怎么跑；合规部门形同虚设，发现问题的能力和处置问题的权力都有限；高管层口头重视，但一到业绩压力和合规要求冲突时，往往选择妥协。

这种状态，称之为 “纸面合规” 。

实质合规的标志是什么？是每一个业务决策都经过合规性考量，是每一位员工都知道合规是“高压线”不可触碰，是每一次违规都被严肃追责，是合规部门拥有独立性和权威性，是高管层将合规视为企业核心竞争力的组成部分。

ACFE报告给出了最终的警示：56%的舞弊案件无法追回任何损失，仅15%能全额挽损；案件移送司法的比例从十年前的69%降至54%，创历史新低。当舞弊的代价被不断稀释，合规的紧迫性就从未如此真切。

纸面合规的时代结束了，实质合规才是唯一出路。