张健 栾成辰｜论企业如何开展刑事合规

张健

上海市海华永泰律师事务所高级合伙人

栾成辰

上海市海华永泰律师事务所律师

要目

一、从律师视角看刑事合规概念二、刑事合规对企业的价值三、企业可能面临的刑事风险四、企业如何防范刑事风险五、企业刑事合规的专业支持

确立有效刑事合规基本标准需要考虑企业规模、企业领域、发展阶段等多种因素。有效刑事合规的基本标准应当包括预防机制、识别机制和应对机制等多方面的要素。刑事合规制度，将使企业合规多元化和比例性特征更加鲜明，为企业的长远发展保驾护航。

近年来，以企业为主体的刑事犯罪越来越多，并有逐年上升的趋势。企业犯罪所造成的社会影响是巨大的，这往往意味着一个企业的倒闭或遭受重创，这会影响到一个区域的经济发展，乃至影响到整个行业甚至国家的经济发展。特别是随着中国企业走向世界的步伐逐渐加快，已有多家涉华企业因违反反海外腐败法被处罚或遭到世界银行制裁。传统的事后惩治方法难以有效地防控企业犯罪，为预防企业犯罪，建立有效的刑事合规制度已经成为全球企业进行公司治理的重要方式。

一、从律师视角看刑事合规概念

根据2018年国务院国资委《中央企业合规管理指引（试行）》指出，合规是指企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求。

有观点认为，刑事合规是指为避免因企业或企业员工相关行为给企业带来的刑事责任，国家通过刑事政策上的正向激励和责任归咎，推动企业以刑事法律的标准来识别、评估和预防公司的刑事法律风险，制定并实施遵守刑事法律的计划和措施。也有观点认为，刑事合规是指国家与企业出于保护企业合法权益、预防企业及其人员犯罪之目的，采取的刑事实体性（如出罪制度）、程序性措施（如不起诉制度）以及企业内部风险控制手段的各项管理运行措施的总称。

从律师业务和企业角度来看，我们认为，刑事合规是以企业为主体，基于防范、减少企业及员工刑事犯罪以及避免、减轻刑事犯罪带来的法律责任及利益损害的目的，建立的一套符合监管要求的管理制度。与其他合规相比，刑事合规显然是特别的，不同语境下的刑事合规有不同的概念。但就律师业务而言，无论是以整改为核心的合规不起诉制度下的刑事合规，还是以预防为核心的预防性（事前）刑事合规，都是在帮助企业建立一套符合监管要求的刑事合规制度，两者总体上是一致的，只是在侧重点、监管标准等方面存在差异。

二、刑事合规对企业的价值

刑事合规对企业的价值，也要区分不同的情境，如事先合规和事后合规，也要区分不同的维度，如实体和程序等。从律师实务来看，促成企业开展刑事合规建设的，目前主要来自外力，如刑事激励政策，是由外向内传导的，而不是基于企业自我管理升级需要的内驱动力。但我们开展刑事合规业务，要思考的是，除了刑事激励，刑事合规建设还能给企业带来什么价值，这关系到企业的接纳度和自愿性，也关系到我们需要提供什么服务，建设怎么样的刑事合规制度来实现这些价值的问题。充分思考这个问题，是刑事合规建设的起点。

我们认为，可以从以下三个方面来考虑这个问题：

通过刑事合规建设，有效预防刑事法律风险

防范风险和符合监管要求，是任何一项合规的出发点。企业刑事合规虽然发端于合规不起诉制度，但如果只是将刑事合规建设作为获取涉刑犯罪宽缓处理的筹码，对企业而言“初心”不纯，对律师而言“使命”不正，最终可能会因为“刑事合规”变成“形式合规”，不得不付出更大的代价。从最内核的价值来看，企业构建刑事合规最重要的是有效预防刑事法律风险，防止企业和员工刑事犯罪，避免给企业的正常生产经营活动造成不利影响，从而最终促进企业稳定持续健康发展。刑事法律风险的来源是多方的，有企业外部原因也有内部原因，有故意犯罪也有无心之失，通过构建刑事合规制度，对存在的隐患进行有效整改，对企业风险点进行有效管控，实现防范刑事法律风险的目的。

通过刑事合规建设，有效减少刑事责任

构建有效刑事合规的企业，在面临刑事处罚时有一定的救济余地，可以阻却刑事责任或获得宽缓处理。

其一，以刑事合规建设阻却刑事责任。有些行为虽然对外表现为企业违法犯罪，但如果企业内有有效的合规计划，可以成为阻却企业犯罪成立的法定事由。

其二，以刑事合规建设有效切割刑事责任。随着刑事司法的宽泛化，对于企业犯罪，往往从涉案的普通员工到公司主要负责人全部被追究刑事责任，一家企业犯罪，可能连带着上下游一起犯罪，主要在于企业经营中权责不清，职责不明，通过刑事合规建设，有效切割责任，减少刑事追责牵连扩大，最终减轻刑事犯罪后果。

其三，以刑事合规建设获得涉刑后的宽缓处理。从目前各地的试行来看，主要分为两种，一种是企业开展预防性刑事合规制度建设，在通过验收并持续监管下，如企业涉嫌刑事犯罪的，可以获得宽缓处理；一种是涉罪企业事后合规建设，各地有不同的方式，涉罪企业通过合规建设并通过验收，获得相对不起诉、附条件不起诉等处理。

通过刑事合规建设，有效提升企业价值观

合规建设是系统工程，合规关系到价值取舍；企业刑事合规建设，本质上是对企业治理的全面调整。刑事合规要取得管理层的内心认同和员工的认可，必须在文化建设上下功夫，不能单纯依靠威慑力让企业和员工“不敢违规”，需通过营造良好的合规守规氛围，促进企业文化建设。在制度建设层面上，刑事合规建设的着力点是将可能引发刑事风险的行为按照要求长远持续地进行管理，实质是规则的落地，能有效建立企业的规则和程序意识，从而更深远的影响企业的行事准则。通过刑事合规建设，提升企业价值观，树立良好的企业形象，这直接关系到企业的长远发展，特别在当前较为复杂的国内国际环境下，显得尤为重要。

三、企业可能面临的刑事风险

企业在经营过程中会遇到的各类刑事风险可分为两个方面。一方面是所有企业都可能会遇到的共性化刑事风险，另一个方面是每一个企业所处的特定行业，因行业的特殊性质可能会遇到的个性化刑事风险。

共性化刑事风险

企业所面临的共性化刑事风险可以从业务板块、管理板块和防御板块三方面入手分析。

1.业务板块

从企业内部来看，杜绝企业层面上的犯罪，首先企业的经营业务应合法合规，不能触及监管部门的高压线。比如，随着互联网的发展，一些企业开发了线上棋牌室业务模式，研发了各式各样的网络棋牌游戏APP，但因为该类APP的业务性质存在着极大的涉赌风险，2018年至今不少企业因棋牌产品涉赌被卷入刑事诉讼中，国内头部互联网企业也下架了旗下最赚钱的几款游戏。但是，并不是开展此类业务就一定属于违法犯罪行为，制定刑事合规制度以及进行刑事风险分析可以使得该类业务在法律允许的范围内合法开展。

针对极易发生问题的业务领域，具体分析业务合法存在的空间和实务中处罚的违法业务的共性，结合刑事法律，分析合法与违法之间的界限。导致企业涉嫌违法甚至犯罪的因素有很多，比如棋牌游戏的玩法、APP的功能、员工个人因素或公司层面规章制度存在缺漏等。刑事合规服务可以帮助企业定期进行刑事风险审计，辨识并剔除可能导致违法犯罪的因素，帮助企业守住合规底线。

商业贿赂风险是所有企业在开展业务过程中都可能会遇到的刑事风险。不管公司内部高管和员工利用手中职务便利收受他人贿赂，还是企业或者员工为了一定目的向其他主体行贿，都会带来巨大的危害后果。根据受贿和行贿主体的不同，可能会触犯单位行贿、对单位行贿、单位受贿、非国家工作人员受贿、向非国家工作人员行贿以及受贿、行贿等各类罪名。这区分企业之间正常的礼尚往来和商业贿赂违法行为，以及防范商业贿赂风险则是企业当务之急。

2.管理板块

从员工侵犯企业内部利益角度来看，最容易发生的是侵犯财产和侵犯知识产权风险。侵犯财产风险，即是员工利用职务便利、工作便利条件，非法侵占企业的钱款。而企业商业秘密不仅包括技术信息、产品方案、操作技巧，也包括客户名单、管理诀窍、工作流程等。商业秘密一旦被泄露，将直接削弱企业的核心竞争力，从而给企业带来不可估量的损失。实务中，企业高管、核心人员另立门户或跳槽到竞品公司，用其所掌握的商业秘密从事同类业务，损害原任职企业的利益，是最常见的侵犯商业秘密情形。针对上述情况，企业可通过刑事合规管理，完善公司员工行为规范、设置任职敏感权限，以及与员工签署承诺书、保密协议、竞业禁止协议等，防范侵害商业秘密风险。

3.防御板块

企业除了自身和员工可能触犯刑事风险外，还可能作为被害方，遭受到其他主体违法行为的侵害。例如，与其他主体签订合同后受骗、受骗为其他主体贷款充当担保方等等。许多企业管理者因为对法律规定不熟悉，不仅不能明确区分民事合同欺诈行为与刑事合同诈骗行为，还往往会因为举报材料未达到刑法规定的立案标准或者选择举报的罪名不恰当，导致无法及时挽回损失。

根据事实情况，分析交易对方的行为是否属于犯罪行为，如果构成犯罪，目前证据是否达到了立案标准，还需要补充哪些证据以及报案材料的撰写准备，报案时如何与公安机关沟通等等，也都属于刑事合规专项服务范畴。

个性化刑事风险

根据不同行业的业务性质、工作流程，每个行业也会存在不同的个性化刑事风险。通过对已决案例进行检索可以发现，房地产行业最常涉及的刑事罪名有非法经营、串通投标和非法转让、倒卖土地使用权罪；矿产行业涉及最多的是非法采矿和非法占用耕地、林地等刑事风险；金融行业在非法吸收公众存款、集资诈骗、洗钱及贷款类犯罪等方面存在极大风险隐患；而互联网行业侵犯公民个人信息、侵犯知识产权等事件也屡屡见诸报端。及时了解各类刑事犯罪的立法和司法趋势，防范刑事风险，是所有企业的当务之急。

四、企业如何防范刑事风险

一直以来，企业都习惯花费大量的人力物力财力去应对事后的处罚，而没有重视事前预防和风险防控。企业在处理刑事风险上，不应该再保持事后救火的态度，而应主动出击防御。以下，将从企业已经发生的风险和未来可能面临的风险两方面入手，分析企业刑事合规工作的具体内容。

对于已经存在的风险，建立刑事风险应对机制

企业通过自查或者举报等途径会发现一些违规违法现象，对于这些已经发生的风险事件，企业需要建立应对机制。应对机制一般分内部调查、决策处理、完善内控、应对执法四个步骤。首先，内部调查的目的是识别违法责任人以及收集切割企业责任的相关证据，并根据调查结果出具调查报告。其次，依据企业内部管理规范规定的处理流程和汇报程序向决策机构提交调查报告，由决策机关根据企业处罚规范对责任人做出处理，若涉及刑事犯罪，则移送司法机关。再次，分析风险事件发生的原因，弥补企业管理体系和内控机制的漏洞，完善相应的工作流程和工作环节，防止类似的事件再次发生。最后，若行政司法机关介入调查，则企业应该积极配合，避免发生毁灭证据文件等错误应对方式。企业应按照执法机关的要求建立合规制度、开展合规工作，达到行政和解或刑事免责的目的。

对于未来可能存在的风险，建立刑事合规制度

对于未来可能发生的刑事风险，刑事合规工作可分为三个步骤。第一步预判风险，通过梳理企业现有的管理制度、工作规范，以及对企业的管理人员、核心骨干和重要的第三方合作伙伴进行访谈，详细了解企业业务管理模式、工作流程和对外合作情况。根据企业可能涉及的刑事罪名，在全面了解各类刑事犯罪的构成要件基础上，梳理每一个工作环节点可能会涉及的刑事罪名和刑事风险。第二步分析风险，根据刑事风险的严重程度进行风险评级，绘制风险地图，并在企业内部高危部门警示。然后依照风险等级的不同订立合规计划，循序渐进完成风险防控工作，而极易发生刑事风险的业务或者部门则属于重点合规领域。第三步防范风险，即针对每一个刑事风险点提出具体的改进举措和预防措施。

上述刑事合规工作的最终目的是要在企业内部建立有效的合规制度。一个有效的合规制度主要包括设置合规机构、制定合规规范、协作合规培训三个方面。

首先，企业需要设立专门的刑事合规部门，招募专业人员、聘请专业团队统筹企业的刑事合规制度建设，负责对公司每一项交易、每一次投资合作进行合规把关。如果没有独立的合规机构去执行合规规范，即使再完善的规范制度也只能停留在表面，不能起到实际作用。

其次，制定合规规范。制定合规指南、员工合规行为准则等合规规范，是刑事合规工作的核心内容之一。对于风险高发的重点业务或部门领域，还可以有针对性地制定具体的合规细则，从各个业务方面堵塞刑事风险发生的可能性。

此外，在设置合规机构和制定合规规范的基础上，如何让全部员工知晓这些规范并实际落地，则需要进行合规培训。合规培训的对象包括企业内部中高层管理人员、员工以及外部第三方合作伙伴等。通过合规培训，增强员工的风险防范意识和行为自觉性，为企业打造依法经营、合规发展的良好企业文化和氛围。

有效的合规制度必须是符合每个企业自身业务性质、管理情况的专项合规制度。有的企业制定的是大而全的综合规政策，可能包括了反舞弊、反商业贿赂、反洗钱等十几种合规领域。但因各个行业涉及的刑事风险都是不同的，所以这种大而空洞的一揽子合规制度，对于很多企业并不适用，也不能起到实际效果。成功有效的刑事合规制度必须是为企业量身打造，符合企业实际情况的专项合规制度。比如说西门子的反商业贿赂合规计划、中国农业银行的反洗钱合规计划，都是针对某一风险领域制定的专项合规计划。这种有针对性的合规制度在刑事风险防范上才能起到最大效果。

刑事合规工作还有一个关键点在于合规留痕，具体可以体现在合规会议纪要、合规事项沟通邮件等方面。合规留痕的目的在于，如果企业面临刑事调查，可以通过向执法机关出示合规留痕的客观证据，证明企业具有完备的合规制度及具体执行制度的动态过程，从而减轻或者免除处罚。同时，刑事合规也是一个长期推进的过程，需要根据公司内外部环境变化随时调整合规计划和风险防控计划，保证企业刑事合规制度随时更新。

五、企业刑事合规的专业支持

由于刑事合规整改具有极强的专业性，因此当前刑事实务都鼓励涉罪企业聘请律师、会计师、税务师等专业人员参与合规整改。在刑事实务中，第三方合规专业人员的介入，既可以保障合规整改的专业化落实，也可以保障整改行为的中立性，对刑事风险和整改情况进行更为充分、客观的提示。

根据经验，涉罪企业在选聘外部专业团队时，除了考察相关团队的刑事合规专业水平外，还应当注意把握以下两个标准：

专业人员具备刑事诉讼经验。

刑事合规的目标是防范刑事风险，而刑事风险的落脚点就是刑事诉讼。对此，专业人员必须具备刑事诉讼经验，对刑事实务中的侦控逻辑、追责方式以及类似案件处理中的司法惯例应当具有充分认知。更为重要的是，由于我国当前刑事法律规范的内容较为简洁和抽象，因此具体案件的追责路径和定性逻辑更为依赖实务过程中所形成的思维习惯。这就要求刑事合规专业人员不仅要熟知法律规定，其还需要对刑事实务特征进行准确把握，这样才能制定更具针对性的合规方案；否则，脱离刑事实务而制定的合规方案，只能是纸上谈兵，甚至可能出现适得其反的效果。

专业人员对企业治理和商业模式具有把握能力。

由于刑事法律具有较强的独立性，因此刑事实务对具体涉罪行为的考察，往往仅限于具体罪名的构成要件范围之内，其对于具体犯罪之外的企业治理活动和商业模式往往关注较少。但是，在刑事合规视角下，风险防范是一项系统性工程，需要专业人员结合企业治理和特定商业模式进行综合把握，其所设计的合规方案，既要实现对风险的全部阻隔，还要确保合规与企业治理特点与商业模式的全面融合，实现对企业合规利益和商业利益的双重维护。这也同时要求，外部支持团队不仅要具备刑事专业能力，还需要具备对企业治理及商业模式的把控能力。

往期精彩回顾

上海市法学会官网

http://www.sls.org.cn