韩轶：企业刑事合规的风险防控与建构路径
内容提要：企业刑事合规以刑事法律风险防控为基本内涵，以降低刑事犯罪风险为基础功能，同时还兼具推动企业合理承担社会责任的扩张功能。而企业刑事合规所关注的刑事犯罪风险，整体上可以分为企业内部人员和机构的刑事合规风险、企业整体的单位犯罪刑事合规风险、企业被害主体的刑事合规风险三类，在新的经济、社会、政治背景下，通过明确企业刑事合规的基本内容和一般方案，建构系统化的企业刑事合规制度，将成为企业生存和发展的关键性环节。
关键词：企业刑事合规；刑事合规风险；刑事合规制度
企业是当今社会的重要主体，广泛地参与到各种经济活动、文化活动甚至政治活动之中，而企业主体在参与各类复杂社会活动的同时，面临着多样化的法律风险。长期以来，我国对企业法律风险的关注集中在民事领域和行政领域而非刑事领域，很少思考企业经营行为背后的刑事犯罪风险。实际上，同民事法律风险和行政法律风险相比，刑事风险的管控是更能决定企业“生死存亡”的要素。[1]因此，无论大型国际化集团，还是初创的小微企业，首先要审视的就应当是自身的刑事法律风险，而这种刑事法律风险的防控不能仅依赖刑法的外部制约，还应当通过企业自身的内部法律风险管理，而这正是企业合规制度的核心内容，却长期被我国理论界和实务界所忽视，有必要对其理论基础、现实运行和未来发展进行深入细致的研究，以期推动企业刑事合规的不断完善。
一、企业刑事合规的基本内涵和功能
企业合规是法治社会背景下企业可持续发展的基础，而刑事领域的合规则是整个企业合规的基石。企业刑事合规一方面关注企业自身的犯罪内部控制和治理流程；另一方面关注如何保障企业的内部运行同法律、法规、政策、最佳范例或协定等外部刑事法律规范保持一致，从而在减少企业刑事犯罪风险的同时推动整个社会的法治水平，获得企业利益保护和社会利益保障的“双赢”。
（一）企业刑事合规的内涵
企业合规本质上是一种企业的内部管理，从一定意义上来看，企业合规从企业诞生之初就已然存在，但企业合规真正作为一种同外部法律规范结合起来的固定化制度，源于19世纪末期的美国。1887年美国的《州际商业法》是最早同企业合规相关联的成文法，其首次以法律文本的形式规定了行业自律和企业内部监管内容。[2]尽管此时“合规”一词尚未被提出，但是却是后续一系列的企业监管法律的先驱。[3]自1887年《州际商业法》之后，美国又陆续颁布了一系列的企业监管法律，其中金融领域和垄断领域是早期企业监管的重点领域，为了回应外部的法律要求，美国金融企业最早提出了“合规”这一概念，通过加强金融企业内部的法律风险管理，避免金融企业由于违背监管法律而受到处罚，确保金融企业稳定运行的预期。[4]
对企业合规发展带来变革性影响的法律是美国1977年的《反腐败法》和1991年的《联邦组织体量刑指南》，前者明确了企业在预防犯罪中的内部管理法律义务，并通过法律自身的“长臂管辖”将这一义务从美国国内企业扩张到同美国开展业务的所有企业；后者则明确了企业合规的概念、基本内容和法律激励机制。[5]因此，在美国企业自身示范效应和美国法律长臂管辖的影响下，源起于美国的企业合规，逐步成为世界范围内的企业法律风险防控机制。2014年国际标准化组织（IOS）发布了《合规管理体系指南》，从而使企业合规成为国际通行的企业规范化管理的重要内容。2018年，我国国家发展和改革委员会等六部委联合出台了《企业海外经营合规管理指引》，国务院国有资产监督管理委员会也颁布了《中央企业合规管理指引（试行）》，企业合规在我国开始正式从理论走向法律实践。
关于企业合规的界定，无论是从理论层面还是法律层面都尚未形成统一的概念。早期理论界对企业合规概念的界定多围绕着美国《联邦组织体量刑指南》进行，根据美国《联邦组织体量刑指南》的规定，“企业合规是企业进行预防、发现和制止企业违法犯罪行为的内部管理机制。”[6]此类概念实际上是从企业合规的实质目的来界定的。而我国《企业海外经营合规管理指引》中规定，合规是指“企业及其员工的经营管理行为符合有关法律法规、国际条约、监管规定、行业准则、商业惯例、道德规范和企业依法制定的章程及规章制度等要求。”与此同时，《中央企业合规管理指引（试行）》中将合规界定为“中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求”。上述两种概念实际上是从企业合规的外部形式来界定的。
尽管具体阐述各有不同，但企业合规概念界定实际上都存在一种共性，企业合规实际上是企业内部经营管理行为同外部规范之间的一种“映射”，使企业经营管理不违背外部规范。当然，这种外部规范的范围不仅限定为刑事法律规范领域，但刑事规范无疑是企业合规的首要关注领域，而这种使企业经营管理符合刑事法律规范要求，防控刑事法律风险的企业内部机制，正是本文所探讨的核心——企业刑事合规。企业刑事合规尽管是企业合规的下位概念，但却是企业合规的核心内容，从企业合规的发展历程来看，企业刑事合规是推动整个企业合规发展的重要外部力量。企业刑事合规通过将刑事法律规范中预防犯罪的注意义务内化为企业合规的组成部分，增强了企业对犯罪风险的整体防控能力。
因此，企业刑事合规的基本内涵实际上是一种刑事犯罪风险企业内部防控机制：一方面，其以外部刑事法律为基础，以满足刑事法律义务、避免刑事法律责任为建构的核心目标；另一方面，其又是外部刑事法律的一种功能促进，企业通过刑事合规，增强刑事犯罪风险防控能力，有利于刑事法律预防犯罪功能的实现。因此，企业刑事合规与刑事法律风险防控的价值追求是一致的。企业刑事合规制度是预防企业刑事法律风险相对最有效的措施，其能够最大限度地防控来源于企业内部或外部的刑事法律风险。因此，健全企业刑事合规制度，可以最大程度上防范企业刑事法律风险，从而促进企业经营目标的实现，实现企业利益的最大化。
（二）企业刑事合规的功能
明确企业刑事合规的功能是建构具体企业刑事合规制度的前提和指引，虽然企业刑事合规尚未形成通行的国际法规则，世界各国、各地区的刑事合规制度也各有差异，但整体上可以归结为基础功能和扩展功能两类。
1.刑事合规的基础功能：降低企业刑事犯罪风险。推广实施企业的刑事合规制度，能起到预防公司犯罪、强化公司治理、构建和完善现代企业制度的重要作用。由于刑事合规的实施使企业内部管理更为细化、合理、严密，有助于堵塞各类犯罪可能利用的漏洞。目前，企业的法律风险防控的重点偏向于企业民商法律风险和经济风险的审查和管理，对于刑事法律风险的关注度不够。即便是企业合规部门识别并注意刑事法律风险的存在，由于缺乏有效的刑事风险审查、管理措施，往往放任了刑事法律风险的发生。然而一旦确实发生了刑事法律风险，企业会承担相比遭受其他法律风险更大的损失。刑事领域疏忽的是1%的错误，但是会导致100%的企业失败。
2.刑事合规的扩展功能：推动企业合理承担社会责任。从社会责任的角度考量，企业作为社会活动的参与主体主要承担两方面责任：一方面是从事生产服务经营职责，创造社会财富和经济效益；另一方面是进行企业人员和经营范围内的社会管理职责，确保社会整体秩序稳定。刑事合规对企业合理承担上述两类社会责任都有明显的推动作用：其一，刑事合规旨在防止刑事犯罪造成的损害。良好的刑事合规制度建构有利于保持企业的长期稳定以及体现企业自身的价值。“生产经营”与“风险防范”两条腿走路，实现利益最大化与风险最小化。企业建立健全刑事合规制度，就是针对不同企业订制个性化的“体检套餐”。通过审查，能够提早发现潜在的刑事法律风险，提前进行预防和控制，进而保障企业的生产经营，实现企业利益最大化与风险最小化的良性互动。其二，企业建立合规制度，能够强化企业预防犯罪的责任感，增强对自身人员和业务中可能出现的犯罪的预防，从而积极分担社会责任，弥补国家预防犯罪力量的不足。实际上我国《公司法》第5条对公司的义务中已有类似规定“公司从事经营活动，必须遵守法律、行政法规，遵守社会公德、商业道德，诚实守信，接受政府和社会公众的监督，承担社会责任”。企业刑事合规正是企业承担社会责任的重要举措。
二、企业刑事合规风险的基本类型
刑事犯罪风险防控是企业刑事合规的基本内涵，然而，刑事犯罪风险的领域极为广泛，有必要进一步细化刑事合规所关注的刑事法律风险——刑事合规风险。《中央企业合规管理指引（试行）》中提出了“合规风险”一词，“指中央企业及其员工因不合规行为，引发法律责任、受到相关处罚、造成经济或声誉损失以及其他负面影响的可能性。”上述概念是从整体企业合规风险的视角来界定的，具体到企业刑事合规风险，从正向来看，是指企业刑事合规所防控的特定刑事犯罪风险，从反向来看，则是企业缺乏有效刑事合规所引发的刑事犯罪风险。
（一）企业内部人员和机构的刑事合规风险
企业刑事合规风险首先表现为企业内部人员或机构实施的同企业经营相关的犯罪风险，此类犯罪并未体现出企业的整体意志，而是企业内部个别个体所实施犯罪的风险，也是企业刑事合规风险最为常见的领域。此类企业刑事合规风险存在于从企业设立、发展直至破产清算的全流程，分布于企业经营管理的各个环节，并伴随着企业的终身。突出表现为商业贿赂犯罪风险，常见的罪名有贪污罪、职务侵占罪、受贿罪、非国家工作人员受贿罪、行贿罪等。企业内部人员和机构的犯罪一旦产生，一方面犯罪行为必然给企业带来严重危害，另一方面，企业人员特别是企业高管或企业机构被追究刑事责任本身也将严重影响企业后续的发展和布局，实践中不乏企业高管一旦被追究刑事责任，整个企业最终也走向破产的现实案例。[7]
（二）企业整体的单位犯罪刑事合规风险
企业刑事合规风险还进一步表现为企业整体性的单位犯罪风险，即企业作为单位犯罪主体可能实施犯罪的风险。集中体现在不正当竞争、垄断、违法招投标、生产安全风险和生产污染、生产销售伪劣产品、逃税、虚开发票、购买发票、出售发票等犯罪领域。同企业内部人员和机构实施的犯罪不同，企业整体实施的犯罪体现了企业的整体意志。此时，作为企业内控机制的刑事合规能否依然起到犯罪防控的功能？笔者认为，这正是企业刑事合规独立性的重要体现。企业在创设之初，必然是一种以合法经营为目标的市场主体，如果企业创设之初就是为了实施犯罪，则其本身也不具有单位犯罪的主体资格，因此，企业在创设之初就应当建立确保企业未来经营过程中一直坚持合法经营的企业合规机制，而这种企业合规必然要具有一定的独立性，特别是在刑事合规领域，不应当随着企业高级管理层意志的变动而随意调整。[8]值得指出的是，传统上我国《刑法》对单位犯罪持一种相对保守的态度，刑法中大量的罪名都未规定单位犯罪主体。然而，在当前刑法干预早期化、扩大化、能动化的整体趋势下，[9]《刑法修正案（八）》，特别是《刑法修正案（九）》，针对公司企业创设了许多新的罪名，或者是在原有罪名的基础上增加了单位犯罪主体。实际上都意味着我国《刑法》越来越重视公司企业等单位的刑事责任，在这种经济社会和法律背景下，通过刑事合规加强企业整体单位犯罪刑事风险的防控应当成为企业刑事合规的重点关注领域之一。
（三）企业被害主体的刑事合规风险
尽管企业刑事合规是一种企业内部机制，但是企业刑事合规风险并不限定在企业内部，企业外部主体所实施的针对企业利益的犯罪，即企业作为刑事犯罪被害人主体的风险，同样是企业刑事合规风险的重要组成部分。企业家是一个典型的泊来词，源于法语的“ entrepreneur”一词，其原意是指“冒险事业的经营者或组织者”。从企业家的词源来审视，不难发现企业在经营同时，也将承担着各类风险。由于企业经营过程具有多样性与复杂性的特征，在企业经营的各个阶段、各个方面都可能存在现实的或者潜在的作为被害主体的风险。具体来看，企业被害主体的刑事合规风险表现在两个领域：其一，业务接触中的刑事犯罪被害主体风险，是指企业在经营中同外部主体进行业务接触时，成为外部主体所实施的犯罪行为的犯罪对象，此类犯罪风险主要集中在经济领域，常见的罪名如诈骗罪、侵犯商业秘密罪等。其二，从外部主体犯罪向内部主体犯罪的转化风险，是指由于外部主体实施的犯罪行为，诱导企业内部主体实施犯罪的风险，一方面表现在商业贿赂犯罪中利用职务便利为外部主体谋取利益，典型的如外部主体行贿犯罪和内部主体受贿犯罪所形成的对向关系；另一方面体现在未对商业伙伴进行充分调查，未能采取签订合规协议、要求作出合规承诺等方式促进商业伙伴行为合规，问题突出表现为合同诈骗、签订、履行合同失职被骗等犯罪风险。
三、企业刑事合规的基本内容和一般方案
企业刑事合规不能仅停留在理念层面，进行制度性建构才能真正实现企业刑事合规的犯罪防控功能，美国《联邦组织体量刑指南》提出了“有效企业合规”的七个具体标准：“A.企业应建立合规政策和标准；B.企业应指定高层人员监督企业的合规政策与标准；C.企业不得聘用在尽职调查期间了解到具有犯罪前科记录的高管；D.向所有员工有效普及企业的合规政策和标准，如进行培训；E.采取合理措施，以实现企业标准下的合规，例如利用监测、审计系统来监测员工的犯罪行为，建立违规举报制度，让员工举报可能的违规行为；F.通过适当的惩戒机制，严格贯彻执行合规标准；G.发现犯罪后，采取必要的合理措施来应对犯罪行为，并预防类似行为发生，如修改完善合规计划。”[10]具体到企业刑事合规领域，则要明确其基本内容和一般方案，实现企业刑事合规制度的任务，帮助企业建立起发现、审查、控制企业刑事风险点，完善预防犯罪的内控机制。
（一）企业刑事合规的基本内容
1.建立企业刑事法律风险的全面调查机制。企业刑事合规需要对企业的全部经营管理和业务开展定期进行全面刑事法律风险调查，使企业内部充分认识到法律事务的重要性、法律风险防控的必要性，才能使企业内部对企业的法律风险有全面的认知，并且清楚基于企业自身的业务所具有的特殊法律风险点，从而“有的放矢”，才能进一步建立完善的预防机制，避免企业陷入刑事合规风险。
2.建立企业法律事务的刑事合规融合机制。企业的法律事务的关注具有整体性，然而，刑事合规应当成为企业法律事务中的关键环节和重要内容。因此，不能将刑事合规同企业的整体法律事务割裂开来，而是应当将刑事合规理念全面融合到企业法律事务的资源配备、工作流程之中，使企业的法律事务成为一种突出刑事合规重点亦兼顾全面的系统化、规模化机制。
3.建立企业刑事犯罪风险事先预防机制。建立事先防范机制是法律风险防控最有效、最低成本的防控方式。在企业经营和管理中，对于某项业务或企业内容关联行为是否具有刑事法律风险的考察，应当作为企业行为的必备前置程序，通过事先预防机制的建立，可以有效避免企业陷入到刑事犯罪的风险之中，也有助于整个企业树立较强的危机意识，防患于未然。
4.建立企业刑事合规风险的固定培训机制。企业刑事合规的重要内容是实现企业内部规范化、制度化、动态化的刑事犯罪防控机制，而这一目标的最终实现高度依赖企业内部成员主观上的认可和客观上的行为遵循，因此对企业人员的刑事合规风险培训应当具有全面覆盖性，而不是仅停留在企业高管层面，同时，考虑到企业内部的人员自然流动和外部的法律更新，这种培训应当长期和固定。
5.建立企业重大决策的刑事合规参与机制。企业家基于自身的创业和管理经验，对于企业市场机会的把握、企业的重大机构调整有着敏锐的洞察力，但是囿于专业的限制，企业家往往无法对重大法律事务的法律风险进行准确评估。通过刑事法律合规业务，可以充分运用专业优势，在企业家处理重大法律事务时提出法律工作者有建设性的意见，使企业在重大法律事件中保持“安全的航向”。
6.建立特定企业刑事风险应对机制。企业刑事合规并不仅停留在刑事犯罪风险的事先预防层面，对已形成的特定企业刑事犯罪具体风险，不能被动地等待其从风险转化为现实损害，而是应当积极进行应对和化解。例如，特定情形下，特定问题或企业人员、特定事件被调查，特定高管被限制出境、企业账户被冻结等，都是刑事风险来临的标志，预示着特定案件、特定罪名的刑事风险即将爆发。此时，企业刑事合规应当及时介入，对刑事风险进行诊断和预测，提供风险防控方案，并提出进一步完善方案，避免风险进一步扩大。
7.建立企业刑事犯罪回应机制。当企业或企业高管已经涉嫌犯罪，进入刑事诉讼程序后，刑事合规服务将充分发挥自身优势，结合企业自身处境，做到具体问题具体分析，拿出优质可行的解决方案，帮助企业了解涉嫌的罪名及可能引起的刑事处罚，为面对违法调查提供法律指引，积极收集无罪、罪轻的证据，为企业争取最优的刑事处遇，将刑事犯罪对企业的损害降至最低。
（二）企业刑事合规构建的一般方案
有效企业刑事合规制度的建立是一种精细化操作的模板化、流程化、专业化的过程，对不同的企业领域甚至同一领域的不同企业，具体的刑事合规制度的建构也都会体现出同企业自身特点契合的特殊性。但与此同时，基于企业经营管理的共通性，我们也可从差异化的企业刑事合规中提取出一般性步骤，作为建构具体方案的指引。
1.前提性步骤：刑事风险点的定位。刑事风险点的定位是企业刑事合规制度建构的前提，企业面临的刑事犯罪风险可以分为一般风险和特殊风险两类：前者是企业作为市场经营主体必然会存在的刑事犯罪风险，例如，商业贿赂犯罪风险，这是所有企业都必须关注的领域；而后者则是企业基于自身业务特殊性而产生的刑事犯罪风险，例如，企业是否有海外业务直接影响其是否要关注海外刑事犯罪风险。换言之，刑事犯罪风险点的定位是一个共性和特性兼顾的刑事合规前提，而刑事法律规定则是风险定位的“尺子”，在特定情况下，可能还不仅是一把“尺子”，还要考虑企业的经营范围，将域外的法律规范也作为风险定位工具。
2.起始性步骤：刑事法律风险评估。在完成企业刑事风险定位后，开始进入刑事合规的正式阶段，需要将零散的刑事风险进行系统化整理，对识别出的刑事法律风险进行定性、定量分析，评估导致刑事法律风险发生的原因、刑事法律风险发生的可能性及其后果、影响可能性及后果的因素等。风险评估的结果将成为制定有效刑事合规计划的路线引导图。
3.指导性步骤：制定刑事合规计划。现实社会中的企业不可能完美无缺，企业的内部管理受到多方面挑战，特别由于当前社会处于经济转型期，企业经营管理日趋复杂，近年来，同企业相关的刑事犯罪数量激增，这也无疑增加了企业和企业内部人员的刑事法律风险。[11]具体来看，刑事合规计划应当兼顾以下三个层次目标：第一层次是宏观目标。主要包括：（1）如何预防企业内部和外部的刑事犯罪风险。（2）如何在企业刑事犯罪风险产生后，及时发现并将其化解，当刑事犯罪风险由风险转化为现实犯罪时，减少犯罪对企业利益的损害。第二层次是价值目标。主要包括：（1）如何提供一个正式的规范化文件，建立企业内部制度机制，确保刑事合规被广泛地理解和执行；（2）如何使刑事合规成为企业经营管理的关键性环节，提升企业高管、企业法务人员和企业一般人员的刑事合规意识；（3）如何遵循外部刑事法律规范的发展趋势，使刑事合规体现最新的刑事立法更新，履行企业刑事法律义务，在拓展新的企业经营范围时，首先明确新领域的相关法律义务。第三层次是功能目标。主要包括：（1）如何为企业提供一个独立的、方便的途径，随时对企业经营管理行为的刑事犯罪风险进行确定和反馈，寻求法律专业性的帮助和建议；（2）如何顺应企业发展，利用多样化的评估主体和外部服务主体，为企业提供实时更新的刑事犯罪风险预警，将刑事合规同企业业务扩展和外部法律更新联系起来；（3）如何收集企业内部和外部的对刑事合规工作的意见和期望等信息，修正错误、改进不足、提升企业刑事合规的刑事犯罪风险防控效果；（4）如何评估企业刑事合规的现实效果，对企业刑事合规效果工作有清晰的认识，并使这种评估具有真实性、长期性和稳定性；（5）如何建立重大事件、紧急事件、突发性事件发生时，刑事合规的介入程序和介入方式。
4.跟踪性步骤：刑事合规计划的执行。刑事合规的关键在于执行，可以说大部分企业在设立之初都具有一定的风险防控机制，但是随着企业的运行，很多被忽视、甚至是故意弃用，因此，刑事合规的执行是整个刑事合规的核心。刑事合规行为的执行不力会直接引发刑事合规风险，这种风险的存在本身就会对企业造成巨大的损害，而如果风险爆发导致企业破产、股权强迫转让等严重后果，企业的损失无疑更为巨大，会对企业内部人员、企业整体乃至相关的行业造成严重影响。为了加强企业对刑事合规执行的重视，有必要进一步加强企业刑事合规的审查和问责机制。同时，应当对企业刑事合规领域加强资源投入，使其作为企业经营成本的基本内容之一。同时，有必要适当引入外部监督机制，我国目前正在建立企业监管的相关法律体系，对特定企业刑事合规执行的监督已然成为部分政府机关的重要工作内容，后期有必要进一步扩张法律体系，加强外部监管。同时可合理地引入域外的行业协会自治和监管的做法，从而形成企业自身、行业监督、政府监管的三层合规执行监管体系，确保刑事合规计划从纸面走向实践。
5.后续性步骤：监测与评估。刑事合规制度是一个动态的制度，不能停滞不前。连续的、主动的监测和审查是刑事合规的标志性组成部分，从而使公司企业能够适应不断变化的风险。因此，刑事合规的监测和评估应当成为企业自身管理工作的一部分。为了使刑事合规取得最大的效果，可以考虑引入外部专业评估。具体来看，对于刑事合规效果的评价应当从以下几个方面开展：其一，企业中刑事合规工作开展的数量和规模，刑事合规工作同企业自身经营管理的契合性；其二，企业刑事合规在企业经营管理中的地位和功能，企业经营管理行为是否经过刑事合规环节；其三，基于刑事合规所预防、发现、化解的刑事犯罪风险的数量和类型；其四，企业高管参与企业刑事合规工作的交流情况，包括主动的和被动的；其五，企业根据刑事合规建议的反馈所做的实际行动的情况。
四、余论：企业海外刑事犯罪风险的防控和刑事合规开展
值得注意的是，近年来全球化的发展进入了瓶颈期，同早期普遍鼓励和欢迎资金、技术、人员的全球化流动不同，欧美国家的保守主义势力抬头，开始利用自身在全球化中先期所占据的技术优势和法律优势，强化自己的规则输出。其中，很重要的领域就是通过国内法对跨国企业进行责任规定，这显然也加剧了企业在经营海外业务时所面临的刑事风险。从本土企业成长为跨国企业再到全球化企业，这是我国企业界发展的必然趋势。然而，这种发展趋势在使企业业务扩展的同时，也将使企业面临更为复杂的公司治理、知识产权保护、税务申报、劳动聘用、合约管理的差异化法律规定，同时还必须考量到上述法律规定背后差异化的域外风俗习惯、民族文化、政策导向、技术行业标准等等，使企业面临着全新的刑事合规风险。[12]
无论是2018年中兴受美国制裁事件，还是华为高管孟晚舟被逮捕事件，尽管背后有着复杂的经济、政治背景，但是普遍都是以法律外衣的形式出现，而其中也都暴露出了明显的海外经营业务合规意识淡薄的问题，给了美国司法机关“借题发挥”的空间。因此，对企业而言，加强内部企业合规，使企业的经营管理符合国内规则的同时，还应当进一步扩展刑事合规的法律依据，使自身海外经营业务符合域外国家或国际规则的刑事法律规定。这对开始逐渐走出国门的中国企业提出了更为专业化、复杂化、多样化的刑事合规要求。
具体来看，我国企业在开展海外经营业务时必须以下列几方面法律规范为“标尺”，建构全面的刑事合规制度：其一，我国的法律规范。我国企业在海外经营时，毫无疑问依然会受到我国国内法的约束，与此同时，我国颁布的一系列关于国内企业海外经营业务的法规也必须予以遵循。例如，国有资产监督管理委员会颁布的《中央企业境外国有资产监督管理暂行办法》《中央企业境外国有产权管理暂行办法》，国家发展和改革委员会公布的《企业境外投资管理办法》，商务部颁布的《民营企业的境外投资经营行为规范》，银监会颁布的《关于规范银行业服务企业走出去加强风险防控的指导意见》，国家外汇管理局颁布的《关于进一步推进外汇管理改革完善真实合规性审核的通知》等专门性法律规范。其二，海外业务经营国的法律规范。企业在域外开展业务时，必须熟悉和了解所在国的业务法律法规，明确自身的法律义务，特别是当前我国企业在开展“走出去”战略时，开拓了许多新兴国家市场，对此类国家的法律体系国内人员普遍缺乏足够的熟悉，借助外部专业帮助，尽快建构以刑事合规为基础的全部企业合规制度，应当成为我国企业开拓海外市场的前提。其三，业务关联国的法律规范。此处的业务关联国，是指并非企业具体业务的所在国，但同企业开展经营业务时所需的金融结算、原件供应、技术支持等领域有关联性的国家。此类关联国，主要是在国际贸易领域具有早期优势的西方发达国家，此类国家通过长臂管辖，使其国内法在国际贸易领域具有广泛的适用性，例如我国企业大部分的国际贸易离不开美元金融体系的支持，因此也就会受到《海外反腐败法》《出口管理法案》《国际紧急经济权利法》《境外账户纳税合规法案》《武器出口管理法案》《对敌交易法令》《伊朗交易监管法》《伊朗制裁法案》等一系列美国国内法的约束。
[1] 参见李本灿：《刑事合规理念的国内法表达——以中兴通讯事件为切入点》，载《法律科学》2018年第6期。
[2]Geoffrey Parsons Miller, The Law of Governance, Risk Management, and Compliance, Wolters Kluwer.2015, p.139.
[3]本文中的合规专指企业内部法律风险管理领域，而非一般语义上的合规，从词源来看“合规”(compliance)最早实际上是用于医疗领域，特指服从于医生的指示的行为模式。
[4]参见万方：《企业合规刑事化的发展与启示》，载《中国刑事法杂志》2019年第2期。
[5]Charles J. Walsh, Corporate Compliance Programs as a Defense to Criminal Liability: Can a Corporate Save Its Soul?, Rutgers Law Review, vol.47，1995，pp.650～651.
[6]U. S. SENTENCE GUIDELINES MANUAL §8B2.1(a).
[7]参见张纵华：《民营企业高管行贿犯罪风险防范对策研究》，载《人民法治》2018年第19期。
[8]参见周振杰：《企业适法计划与企业犯罪预防》，载《法治研究》2012年第4期。
[9]参见何荣功：《预防刑法的扩张及其限度》，载《法学研究》2017年第4期。
[10]万方：《企业合规刑事化的发展与启示》，载《中国刑事法杂志》2019年第2期。
[11]Kai Li, Judicial Committee and Director of the Research Section at Wuhan Appeal ’ s Court in Hubei Province, China Legal Science, vol.03，2016，p.31.
[12]Vgl. Lothar Kuhlen,Grundfragen von Compliance und Strafrecht,in:Kuhlen/Kudilich/Ordiz de Urbina(Hrsg.), Compliance und Strafrecht, C. F. Muller，2013，S.14.
作者：韩轶（中央民族大学法学院院长、教授、博士生导师）
来源：《法学杂志》2019年第9期“企业刑事合规专题”
推荐阅读