识别合规风险：合规管理体系建立的前提
识别合规风险，必须先识别“合规义务”。合规义务就像一把“尺子”，一把衡量企业生产经营行为正确性的尺子。有了尺子，才能度量出企业行为过程中可能出现的合规风险。根据GB/T 35770-2017《合规管理体系指南》中给出的“合规义务”的定义，合规义务包括合规要求和合规承诺。
合规要求是企业有义务遵守的要求。例如，某短视频平台及其所属企业至少必须遵守以下规定：法律《网络安全法》，行政法规《电信条例》、《信息网络传播权保护条例》、《互联网信息服务管理办法》，部门规章《互联网视听节目服务管理规定》、《互联网新闻信息服务管理规定》、《互联网直播服务管理规定》、《电信和互联网用户个人信息保护规定》等。合规要求是企业必须遵守的义务，具有强制性。
合规承诺是企业选择遵守的要求。它是企业对相对方的一种承诺，是自愿性的，如与社区团体、非政府机构签订的协议、原则或行为守则等。例如，2016年4月，北京市网络文化协会携同百度、新浪、搜狐、爱奇艺、乐视、优酷、六间房、酷我、映客、花椒等20余家从事网络表演（直播）的主要企业共同发布《北京网络直播行业自律公约》。这便是一种合规承诺。在该自律公约中有一处规定，即“网络平台对新申请主播需要人工认证，且申请者需在与审核人员视频聊天过程中回答若干问题，认证过程不得少于1分钟。审核人员认定申请者满足认证要求的予以认证，否则不予认证。认证过程视频录像永久保存备查。”这种规定便不是所有的网络直播企业都须遵守，而仅限于北京地区的主要以上直播企业。广义上讲，企业与客户、商业伙伴等所签订的全部协议及合同，也是企业的合规承诺。一旦企业签署，即应遵照执行。企业应当本着经济适宜的原则来选择确定自己的合规承诺，如很多企业向客户承诺“存在质量瑕疵的产品将100%无偿召回”。这样的承诺，说到就要做到，做不到就不要向市场承诺。
合规义务的识别，包括合规要求的识别和合规承诺的识别，应当由企业法务部、合规部及业务部门共同对企业所受管辖的法律法规及企业签署的合同或做出的声明等，归纳出企业所可能面临的所有合规义务，并形成合规义务清单文件。
识别合规风险，还要注意合规义务的维护。因为现实中，合规要求和合规承诺不是一成不变的，需要时刻关注并将新的合规要求和承诺纳入合规义务清单文件中。GB/T 35770-2017《合规管理体系 指南》规定，企业宜制定适当的流程来识别新的和变更的法律、法规和规则以及其他的合规义务，以确保企业持续合规。为了获得合规义务来源变化信息，企业可采取如下措施：与监管部门会面；与法律顾问交流；跟踪监管部门的网站动态；参加行业论坛和研讨会；订阅相关信息服务；确保自己是专业组织的会员；确保自己在相关监管机构的收件人列表中。
市场总是在变、政策也在变，供求关系也在变，这些变化要求企业建立好合规义务信息沟通渠道，及时跟踪法律、法规、规范和其他合规义务的出台和变化。例如网约车市场，2016年7月《网络预约出租汽车经营服务管理暂行办法》出台后，对于已运行网约车系统的企业平台带来根本性影响，所有的网约车平台必须去改造系统、申请牌照，合规运营。如果不按新的规定执行，企业来说将寸步难行，严重者将被吊销营业执照，乃至触犯刑事法律。
至于合规风险的识别方法，可以是多样的。如基于过往案例、基于专家经验，基于归纳推理，基于头脑风暴等方式。例如，某集团法务与合规部通过对过去5年间发生的诉讼案例进行整理，归纳出集团所可能面临的所有法律诉讼的风险。这就是一种过往损失数据追踪法。如果对企业发生的诉讼案件产生的管理和经营原因如果不熟悉的话，则很可能会误判企业的法律诉讼风险点。这是基于过往案例，发现合规风险的常用方式。识别合规风险的效果取决于二方面。一是对合规义务的熟悉程度，也即对法律、法规及企业所签合同和所做承诺的熟悉。二是对企业经营管理行为的熟悉程度，也即对企业的各项流程、制度、岗位职责，乃至战略的熟悉。
