证监会还指出，为了建立合规政策和程序，证券机构“首先应结合自身业务特点识别可能给自身和客户带来风险的利益冲突以及其他合规风险点，然后制定有针对性的政策和程序。”[58]在上述监管规章公布后的几个月里，证券机构对于上述要求的反应较为一致，即通过实施“风险评估”（risk assessment），识别出了“一系列风险”（inventories of risks）。[59] 其次，在上述监管规章中，证监会还列举了一些要求投资顾问和基金在制定合规政策和程序时应予考虑的问题，这些问题与投资顾问的关系尤为密切。最后，证监会指出在实施合规政策和程序的过程中，投资顾问应当适当运用合规测试（compliance test）等方法经常分析有关信息，以发现异常情况。简言之，“基金管理公司和投资顾问的业务性质差别较大，上述规章无法为其设定统一的监管标准”。相反，通过实施风险评估，设计有针对性的合规政策和程序，随后开展合规测试，监管对象应当能够预防、识别、纠正违规行为，而预防是重中之重。[60]
监管协会关于证券商合规政策和程序的指引也有许多类似的要求。2005年4月，原证券商协会公布了一项指引，从六个方面要求证券商“建立监管控制政策和程序体系，使之能够测试和证明监管程序的设计是否合理，以确保遵守”有关法律、法规和自律组织制定的规章。[61] 上述指引的精神与证监会关于投资顾问合规指引的精神如出一辙。
在上述指引中，监管协会对证券商提出了以下几个方面的要求：首先，应对各类业务活动以及有关法律、法规和自律组织制定的规章进行归纳。其次，应当思考“监管规范提出了哪些必须予以解决的问题”，来分析监管规范的具体要求。换言之，应当了解哪些行为是被禁止的，哪些行为是必须实施的，哪些行为是受限制的或者有条件的；怎样做到符合监管规范的要求；谁负责对违规行为进行监控；采用了哪些“方式、方法”来实施监控。第三，应当对自主制定的补充性规章制度进行分析，考虑是否有必要在监管规范的具体要求之上，进一步约束自身的经营行为。第四，“应将上述分析结果与现行监管程序进行比较，并根据比较结果判断现行监管程序是否存在明显的缺陷或者不足。”监管对象应当明确，监管规范与内部的补充性规章制度及其实施政策和程序之间存在哪些“差距”。指引的这一要求受到了极大的关注。最后，作为第五个和第六个环节，应当“分析如何解决已经发现的问题”，并制定新的合规程序或者修正原有的合规程序，以“消除上述缺陷或者不足。”[62]
上述合规政策和程序制度旨在使每个监管对象的合规政策和程序能够切合其业务实际并得到有效实施。证监会和监管协会均强调，这些政策和程序应当融入每个监管对象的业务流程之中，以识别风险敞口或者制度性缺陷，并采取合理且有针对性的改进措施。证监会委员保罗·阿特金斯（Paul Atkins）将上述监管制度的宗旨和作用概括为，合规工作“不是一项机械性的组织安排”，而是体现了“一种职业道德和思维方式。”合规政策和程序往往被监管对象用来满足监管要求，但却“与现实脱节或者没有反映自身业务活动的实际。”[63]
（三）年度自查制度
按照规定，基金、投资顾问和证券商等三类证券机构均应当进行年度合规自查。基金和投资顾问应当“至少每年一次”对合规政策和程序的“充分性”及其“有效实施的情况”进行自查。基金还应当对每个投资顾问、主承销商、管理人和过户代理机构合规政策和程序的充分性和有效性进行评估。证券商应当至少每年一次提交关于本机构监管控制体系的报告，其内容包括控制程序测试结果概要、对重大异常情况的说明以及根据测试结果制定的附加程序或者对原有程序的修正。此外，证券商的首席执行官必须确认，本机构已经建立了“制定、维持、评估、测试、修正合规和监管政策、程序的工作机制”。并且，上述报告还应说明，首席执行官做出上述确认所遵循的程序。[64]
从上述规定来看，基金和投资顾问的年度合规自查包括两个方面的内容，既要评估合规政策和程序的充分性，也要评估合规政策和程序实施的有效性。[65] 上述两个方面存在一定联系，但侧重点有所不同。“充分性”是指合规政策和程序的设计符合其宗旨，而“有效性”是指已经达到预期目标或者有能力达到预期目标。[66] 由此，可以认为，合规自查的内容既涉及合规政策、程序的完备程度，也包括其实施效果。
除了上述规定外，证监会在发布有关规章的公告中还强调，合规自查工作应当具有“系统性”（systematic），或者至少要比某些投资顾问此前已经开展的定期自查工作要更为系统。[67] 年度自查还应考虑“前一年度发生的合规事项、本机构及下属机构业务活动的变化以及可能需要据此修正合规政策和程序的法规的变化。”对此，证监会举例作了说明：如果某证券商（或者其母公司）收购了一家投资顾问，那么在前者执行客户的交易指令或者后者将客户的资金或者资产投资于前者分销或者承销的证券时，就会产生新的利益冲突。因此，后者应当考虑其现行合规政策和程序是否足以识别这些利益冲突。此外，基金还应当关注本机构及所属行业近期发生的违规行为。在证监会制定有关规章的这段时间，各种形式的“违法违规行为包括选时交易（market timing）、逾时交易（late trading）以及不当披露非公开资产组合信息等。”[68] 以后，还会出现其他形式的违法行为，值得重视。
按照规定，证券机构还应当在自查文件中说明自查的范围。虽然关于自查文件必备内容的规定并未指示监管对象应如何开展自查工作，但却要求其应当形成一定的工作底稿作为自查结论的依据。
首先，基金的合规总监应当至少每年一次向董事会提交关于合规政策和程序实施情况的报告，并对投资顾问、主承销商、管理人、过户代理机构合规政策和程序的实施情况等诸多具体事项作出说明。[69]
其次，投资顾问无须提交年度合规自查报告，但必须留存年度自查文件。[70] 之所以做出与基金不同的要求，原因在于大多数投资顾问规模较小：90%以上的投资顾问雇员人数在50或者50人以下，68%以上的投资顾问雇员人数在10人或者10人以下。[71] 对于这种规模较小的证券机构而言，要求其提交正式书面报告的必要性不大。
监管协会也制定了关于证券商年度自查工作的指引。按照规定，上述关于监管控制体系及其相关测试和程序的报告[72]以及关于首席执行官确认合规政策和程序的报告[73]可以合并报出。[74] 与证监会的做法相同，监管协会并未对合并报告涉及的评估工作如何开展做出具体要求，但提出了若干指导性的意见。
在有关监管规章公布后不久举行的一次电话会议上，原证券商协会自律规章检查工作组监管分析师艾里·莫里斯（Eileen Morris）对与监管控制报告有关的工作作了说明。他没有针对监管对象开展自查工作的具体方式提出要求。这是因为，用来对监管程序进行测试和验证的方式应符合监管对象业务活动、组织结构和现有监管程序的特点，因而应当由合规总监来确定充分的测试方式。但是，他建议，合规总监在决定采用内部审计或者稽核程序，或者采用其他现有的自查程序等自查方式之前，“应当首先对该自查方式所运用的自查方法和结论的充分性作出判断。”[75]
针对首席执行官确认合规政策和程序的报告，监管协会制定了一份首席执行官用来开展确认工作的表格。该表格对评估工作底稿作了大量指导性的规定。该表格要求首席执行官确认所属机构建立了以下机制：“制定、维持和评估那些旨在确保合规的政策和程序”；“针对业务活动、监管要求、法律规定的变化以及有关情况，修正上述政策和程序”；“定期测试上述政策和程序的有效性”，以确保持续合规。监管协会还要求，首席执行官确认合规政策和程序的报告必须对上述机制作出说明，并且应包括“上述机制的运行方式、频率以及有关主管人员的基本情况”。该报告应在首席执行官作出确认决定前完成。该报告随后将被提交给董事会及其审计委员会。[76] 监管协会的解释性文件虽然对评估工作最终工作底稿作了大量指导性的规定，但对如何实施评估程序并未规定，这一点与证监会的做法极其相似。原证券商协会前副首席监管政策和检查顾问菲利普·赛昆（Philip Shaikun）认为，这种“开放式”的监管方法目的明确，监管规范并不预先作出具体的要求，而是给监管对象预留了“较大的自由裁量空间”。[77]
年度合规自查制度的初衷可以从以下两个方面来理解：一方面，自查有助于确保合规体系的适应性。对此，证监会指出，监管协会关于首席执行官作出年度确认的规定有助于使监管对象的合规体系及时反映业务活动和监管工作的需求。[78] 证监会关于基金和投资顾问应考虑业务活动、监管环境的变化并关注近期新型违规行为的意见，也体现了上述精神。另一方面，自查还有助于促进合规工作与业务活动的相互协调。证监会委员保罗·阿特金斯指出，合规政策和程序如果不被其他部门认可，就形同虚设，不会被遵守或者毫无用处。[79] 自查能够使高级管理层更加重视合规工作的有效性，[80] 并通过“业务人员与合规人员在各个层面开展深入的、有针对性的沟通”，使各方面更加关注合规工作，从而有助于实现上述目标。[81] 关于首席执行官确认合规政策和程序的监管规章被批准后，原证券商协会主席兼首席执行官罗伯特·格劳勃（Robert R. Glauber）指出，合规工作的“前提是首席执行官……承担明确的责任，并要求所有业务人员与合规人员开展有针对性的沟通。”[82] 保罗·阿特金斯也强调，基金和投资顾问在开展年度自查工作时，不应仅仅机械地回答监管表格上的问题，而是应当使年度自查成为其经营活动不可分割的组成部分。[83]
（四）合规总监有权向高级管理层报告制度
按照规定，基金、投资顾问和证券商等三类证券机构中，有两类应当采取措施确保其合规总监有权向高级管理层报告工作。基金的合规总监应当与独立董事每年至少会见一次；证券商的合规总监应当每年至少参加一次由首席执行官召集的会议，讨论首席执行官认可合规政策和程序所应遵循的工作流程。监管机构未对投资顾问的合规总监向高级管理层报告工作作出强制性的规定，因为如前所述，大多数投资顾问规模较小，并无必要作出类似的要求。证监会还禁止“基金的任何管理人员、董事或者员工以及投资顾问、主承销商，或者服从上述人员指示的任何其他人员”通过“任何直接或者间接的行为，强迫、操纵、误导或者采取欺诈手段影响”合规总监履行职责。[84]
