2005 年,巴塞爾銀行監管委員會又通過發布旨在推進全球金融行業合規體系建設的權威性文件——《合規與銀行內部合規部門》(Compliance and the Compliance Function in Banks),來敦促和指導會員國的銀行機構普遍組建合規部門和構建有效的合規體系,以防范可能遭受的合規風險。在遵從前述文件所確立的基本原則與制度框架的基礎上,我國銀監會于2006年發布《商業銀行合規風險管理指引》,就董事會、監事會和高級管理層的合規管理職責,合規管理部門職責以及合規風險監管等內容作了細致規定。此后,保監會和證監會也隨即相繼發布了《保險公司合規管理指引》和《證券公司合規管理試行規定》,引導保險公司與證券公司實施合規管理。至此,以銀監會、保監會和證監會為代表的金融監管機構初步實現了通過發布規范性文件的方式促使金融企業進行合規建設的目的。
2002年,美國國會通過了《薩班斯—奧克斯利法案》(Sarbanes-Oxley Act of 2002),強制要求美國上市企業在編制年報時應包含內部控制報告,并且企業的管理層有責任確保所建立的內部控制體系充分有效,同時還要求會計師事務所對企業內控體系的有效性進行測評并出具報告。此外,該法案還通過設置嚴苛的刑事責任激勵企業實現合規監管,在很大程度上推動了美國企業合規的刑事化發展。受《薩班斯—奧克斯利法案》影響,西方各國均相繼頒布法案要求本國企業實現內控體系建設。
對監管者而言,更優的監管策略不是將重點放在探究所搭建合規體系的實質,而在于合規職能的透明度。因而,信息披露義務是企業合規性管理的一種方式,被視為企業合規的內涵和應有之義。甚至,合規性就被認為是一種披露。例如,《美國聯邦起訴商業組織原則》(Principles of Federal Prosecution of Business Organizations)就將企業的自愿披露與自愿合作作為了檢察官起訴企業時所權衡的因素。
在同一時期,歐洲議會通過了史上最為嚴苛的數據保護條例《通用數據保護條例》(General Data Protection Regulations),意圖以此改善個人數據保護狀況,作為歐盟數據治理的里程碑事件,該條例的通過與實施還對全球個人數據保護產生了深遠影響。根據條例規定,如企業違反該條例,監管機構根據其違規程度,最高可處以2000萬歐元或該企業上一年度全球營業額的4%作為罰款(二者取其高)。該條例實施一年后,谷歌就因違反該條例的規定,被法國處以了5000萬歐元的罰款。嚴苛的數據保護監管以強大的威懾力使相關企業倍感壓力,根據德勤的調查報告顯示,歐盟區域內七成左右被調查企業依照《通用數據保護條例》的規定增設了合規崗位,歐盟區域外的被調查企業也因忌憚該條例的長臂管轄,紛紛增設了合規崗位。《通用數據保護條例》的實施以及谷歌等企業因違反條例而被處以高額罰款,使中國企業清楚地意識到數據合規已迫在眉睫,紛紛著手構建數據合規制度。