比较规范的商业机构内部，一般存在几个称谓近似的“守门员”职能部门：合规、内控及法务部门。不过，即使在“百年老店”的跨国公司，它们之间的功能描述和边界划分，实际上也有着较大差别，加之学术界对此的认知存在的不少误区，很有必要在讨论前予以界定和澄清。

2014年，国际标准化组织（ISO）推出《合规管理体系指南》（ISO19600），这是世界上第一个合规管理的国际标准，其对“合规”的界定，覆盖了内控、法务、社会责任（侧重于强制性和引导性社会责任，排除了纯粹道道性的社会责任）三个方面。^[7]因其作为国际共识的权威性，本研究拟采用这一界定。

一般而言，法务主要是根据外部立法机关、监管机构制定的“强制性”法律法规、部门规章和其他规范性文件，推动公司法律事务的处理。典型的包括：法律跟踪及咨询、合同管理、知识产权、纠纷处理、外部律师管理，以及投融资、招投标、对外担保、劳动人事等公司治理中的法律事务性审查。

社会责任，根据国际标准组织出台ISO26000所达成的全世界范围内共识，清晰被定义为是面对投资者、员工、顾客、供应商、竞争者、政府、社区等利益相关方，公司所承担的效力层级不同的部分法定或道德义务。^[8]包括：①强制性社会责任。比如，刑事商业反腐、中小股东知情权、产品质量、信息安全、反垄断、环境保护、职业健康与安全等；②引导性的社会责任。比如，产品售后服务细节保障、消除员工歧视、不过度依赖政府专项补贴或政策扶持、利益相关方提出异议后的听证权等；③纯粹道德性的社会责任。比如，员工法定以外的期权奖励、供应商产品信息反馈、向政府提供资金赞助、慈善团体捐款等。

相对于法务的界定，除了纯粹道德性维度，“强制性”“引导性”社会责任的性质与之有所类似，都是公司所承担的基础性、义务性、具备转化为法定负担条件的责任担当。(www.daowen.com)

内控，根据所有行业中最权威的银行业内控《巴塞尔协议（修订版）》《有效银行监管原则》，强调的是“全员参与”，是通过制定和实施系统化的制度、流程和方法，实现控制目标的动态过程。^[9]从本质上讲，它是包括又不限于法务、社会责任等实现的“承载形式”，侧重于借助财务状况透明度、重大决策机制、股权架构、董监高和关键岗位权力配置、完整和有效的业绩报告、流动性风险和关联交易信息披露、定期内部审计和反舞弊稽查等内部多元方式，重点是在程序和机制上，告诉公司“怎么做”“如何前瞻”“建立公司的中长期目标”以及“避免法律责任包括刑事法律责任”。^[10]

事实上，内控是从“健全市场”角度实现商业合规的另一条路径，它是借用市场约束机制来监督公司内控的改善，与那种简单的外部“强化监管”有极大不同。长期以来，国际上对银行、公司等商业机构中的重大乃至灾难性风险，到底是“强化监管”抑或“健全市场”的直觉性判断，更多是倾向于前者，不过往往陷入“萨班斯法案式”的困境，让这样的逻辑未免失之简单与失灵。毕竟赋予行政机构更多监管权限的期待，其实“预设了三个前提：存在市场失灵；监管的官僚有能力直接监督、规制和约束，缓解市场失灵；官僚有内在的激励，修正市场失灵。”^[11]但是，这是假设在现实中难以成立，至少是不完全成立。因为较之内部管理人、股东和其他利益相关者，外部监管所掌握的信息不全面，且其行为的内在激励也肯定不会超过股东和债权人等。所以，只是“一条腿走路”，片面强调“加强监管”，内控乃至商业合规目标的实现就会事倍功半。目前，政府监管者逐步淡化“管理者”的身份，而强化“监督者”的角色，已成为推动商业合规的新共识。

当然，内控仍有这样或那样的问题。^[12]但它是修正外部制度失灵，实现商业合规目标的低社会成本方式。内控不再是纸面上的法律文本，而是公司治理机制的健全，监管者所强调的“管内控”，不应当只被狭义理解为“加强监管”，同时也应当增加“健全市场”。这就是以更多的市场约束机制，激励公司主动改进内控，更多披露内控信息。如果更多公司不再是“遮羞”，而是“好人举手”主动迎合投资者和债权人之需的更细致披露，那么内控的良性循环模式可望实现。