• 活动合理性存疑 — 通过举办不必要的学术活动进行不当利益输送，例如对医生进行重复的学术培训，对已上市多年的产品进行培训，活动属于医院内部活动等；

• 日程合理性存疑 — 例如日程中包含娱乐休闲活动等；

• 活动地点不恰当 — 例如在风景度假区或奢侈酒店举办活动；

• 参会人员不恰当 — 例如邀请非相关领域的医生或医生的家人参加活动；

• 虚构会议和/或虚增参会人员 — 通过虚构会议和/或虚增参会人员的方式套取资金用于不正当利益输送，例如提供经过PS的支持性文件套取公司资金，或一套支持性文件用于多个会议；

• 差旅安排不恰当 — 通过承担不合理的差旅进行不正当利益输送，例如无合理理由的转机、商务舱等；

• 餐饮招待不恰当 — 例如提供过于奢华的宴请，昂贵酒类，招待不相关人员等；

• 礼品不恰当 — 向与会人员提供过于昂贵或不恰当的礼品，例如月饼、礼券等。

在实践中，部分经销商成为了“带金销售”的主体和桥梁，因此恰当管理经销商风险对于医药企业尤为重要。经销商管理中的常见风险点包括但不限于:

• 经销商关键人员为医生和/或医生的近亲属；

• 经销商的资金和人员规模与业务体量不匹配；

• 经销商不具备相关行业经验，或成立时间过短；

• 多家经销商的关键人员和/或一线人员高度重合；

• 经销商有违法和/或失信记录，或曾在企业内部调查中出现违规问题；

• 新的经销商和因合规问题被终止的经销商出现人员重合。

针对学术推广活动、专家讲课费及第三方学术活动资助，企业可以结合活动发生的周期进行风险管理。

• 事前分析与设计 — 企业可以结合自身的商业模式和业务实操，定期对企业风险进行评估。在评估的基础上，结合以往发现的合规风险设计审批流程和审核要点。例如针对讲者，可以根据讲者的学术水平、手术技能、从业经验等进行分级并设定合理的服务费上限；设计审批清单，使得审批人员基于统一的标准进行风险控制等；

• 事中监督 — 根据风险评估结果及以往发现的不合规事件，设计事中检查机制，例如针对学术活动的飞检，针对费用的支付前抽查等，以便及时发现和管理风险；

• 事后检查 — 例如活动真实性、费用真实性、支持文件完整性和一致性等。

• 分析与反馈 — 定期对检查结果进行分析，并按需更新相关的风险评估和合规管理机制，以避免类似风险再度发生。

进行适当的尽职调查和评估，包括但不限于:

• 通过公开数据对经销商及其关键人员进行背景调查，例如企业的规模、经营情况、经销商及其关键人员是否存在违法、失信情况等；

• 通过企业内部的数据对经销商及其关键人员进行风险评估，例如是否曾与企业（包括关联公司）有合作历史，经销商及其关键人员是否曾有违规记录；及

• 通过经销商提供的信息、行业了解等方式对经销商的商业能力进行评估。

这是企业合规体系能够有效运行的重要基石。常见的组织设置包括合规委员会、学术活动资助评审委员会、纪律处分委员会等。

企业也应当保证相关的风险管理部门配备合适的人员数量、人员经验、和职务级别。

企业所面对的风险不是一成不变的，内外部环境的变化（例如，商业模式、人员结构、法律法规、执法环境、行业环境等）都可能会对企业面临的风险种类和风险等级造成影响。因此建立有效的风险评估机制来识别风险是管理风险的前提。

有效的风险评估机制需要考量的因素包括但不限于评估的内容和频率、参与的部门和人员、风险评估的方式和方法等。

全面且有效的政策和流程是预防风险的重要措施。基于商业模式、风险评估和监督检查等合规模块所反馈的结果，企业应当制定相关的政策，并确保这些政策具有相关性和可执行性。政策制定时需要考量的要素包括但不限于：

• 企业总部的政策要求；

• 相关法律法规、行业规范的要求；

• 企业的商业模式和业务操作习惯；

• 企业面临的潜在风险；

• 政策和流程需清晰和可执行，且责任到人；

• 根据执行情况和风险的变化，定期对政策和流程进行更新；

• 政策和流程的可及性；

• 有效的培训。

再完善的政策和流程如果没有恰当的培训和沟通也无法起到风险预防和管理的作用。如何设计和运营一个有效的培训和沟通体系对于企业，尤其是大型企业来说并不是一件容易的事情。以下要点可作为参考：

• 管理层重视 — 管理层以身作则、宣扬合规能够对整个组织起到示范作用；

• 多场合的培训相结合 — 将合规培训嵌入不同层级的企业会议中，例如年中会、年终会等、区域会议等；

• 多层次的培训相结合 — 根据员工的职业阶段提供有针对性的培训，例如新员工培训、经理培训等；

• 培训内容的有效性 — 培训内容贴合实际业务场景，高风险领域着重培训，互动性培训、培训测试等；

• 培训记录 — 保持完整的书面培训记录。

监督和检查是检查政策和流程是否被正确执行的有效方式，也是为风险评估、政策制定/更新、培训/沟通提供洞见的重要渠道。

监督和检查的常见要点包括：

• 基于风险等级的资源分配 — 根据企业面临的风险等级设计监督和检查方案，以确保高风险领域获得更多的资源覆盖；

• 多种形式相结合 — 基于不同的风险，设计有针对性的监督和检查方式，例如审计、活动飞检、费用检查、第三方拜访、业务自查等；

• 基于风险的机制设计 — 根据不同风险的等级和特点设定有效的抽样机制，例如在预审批中出现预警的活动，临时取消的活动，支付金额最高的收款方，出现合规预警的第三方，曾出现违规行为的人员等；

• 监督和检查结果的分析 — 定期对监督检查结果进行梳理和汇总，为下一阶段的监督和检查、政策/流程更新、培训等合规领域提供洞见。

• 设立独立的举报和检查流程，鼓励并保护员工进行举报。

• 对相关举报采取适当的调查行动，并保留记录。

• 根据调查结果进行纪律处分，并采取适当的补救措施，以避免类似风险再次发生。

如果违规行为没有适当的惩戒，那么企业的合规管理就无从谈起。有效的纪律处分的考量要点包括但不限于：

• 制订纪律处分规则，明确不同的违规行为对应的处罚，确保违规的严重程度和处罚程度相适应；

• 设立独立的纪律处分委员会，保证纪律处分讨论和决策的独立性；

• 确保纪律处分的一致性，避免相同的违规行为受到不同的对待；

• 及时执行记录处分，避免处罚决定后不执行；

• 建立违规记录，以便在员工升迁和重新聘用过程中有记录可查。

第三方风险管理对于医药企业非常重要。疏于对第三方的管理可能导致法律法规下的风险（例如违反美国《反海外贿赂法》），也可能导致企业市场准入受限（例如构成医药价格和招采信用评价制度下的严重失信行为）。常见的第三方风险管理考量要点包括但不限于：

• 建立第三方使用的相关政策和流程；

• 对第三方进行恰当的尽职调查，并定期更新；

• 对第三方进行适当的合规培训；

• 对合作中的第三方根据风险评级采取适当的监督、检查机制；

• 对有违规行为的第三方及时采取措施，例如培训、终止合作等；

• 对因严重违法或违规导致终止的第三方及其人员建立“观察名单”，以控制再次聘用的风险。

企业是人的集合。一个良好的合规文化能够推动合规管理体系的有效运营。常见的合规文化建设包括：

• 定期的管理层合规沟通；

• 合规大使；

• 合规奖励机制等。

注：文中观点供交流讨论和参考，不代表律师和律师事务所出具的法律意见，具体还需等待权威部门进一步的解释。