其他
网络重磅首发|陈瑞华：企业有效合规整改的基本思路
为了切实落实中共中央宣传部等部门《关于推动学术期刊繁荣发展的意见》，创新期刊传播形式和方法手段，有效发挥期刊在学术质量等方面的引领作用，加快融合发展、提升国内国际传播能力，推动学术期刊在数字经济时代的转型升级，自2022年开始，《政法论坛》将秉持创新发展与严格把关并重的原则，探索实施网络首发制度，从2022年第1期始于中国知网陆续推出网络首发文章，并于政法论坛微信公众号同步推出，敬请关注！
企业有效合规整改的基本思路
陈瑞华 北京大学法学院教授
本文将发表于《政法论坛》2022年第1期
目录
引言一、合规整改的前置性条件：认罪、补救和处置责任人二、合规整改针对性的制度保障：犯罪原因诊断三、合规整改的针对性措施：制度纠错四、合规整改的归宿：专项合规体系的构建结论
引 言
随着企业合规监督考察制度改革的深入推进，有关企业合规整改和验收基本标准的讨论变得日益重要和紧迫。一方面，在合规整改方面，检察机关无论是采取相对不起诉模式，还是采取附条件不起诉模式都需要审查涉案企业的合规整改方案，企业惟有制定了切实有效的合规计划，检察机关才能对其作出相对不起诉的决定，或者将其纳入合规考察的对象。另一方面，在合规验收环节，检察机关要对被提出合规整改建议或者被纳入合规考察对象的企业，作出是否提起公诉的决定，也需要有一些可操作的客观标准，以避免自由裁量权的失控，确保合规不起诉决定的公信力。可以说，在整个合规监督考察过程中，如何设计出一套有效的合规整改方案，始终是困扰检察机关的瓶颈问题。
在合规整改方面，我国法学界和实务界目前存在着两种具有竞争性的观点：一是“体系化整改说”；二是“针对性整改说”。前者坚持一种建立合规管理体系的思路，将体系化的合规整改视为发现和预防犯罪再次发生的基本目标。一些实务界人士接受了欧美“有效合规计划”的理念，尤其是将美国司法部有效合规计划三要素，作为评估合规整改有效性的主要标准，也就是强调合规计划设计的有效性、执行的有效性和结果的有效性。其中，设计的有效性是指合规计划要有针对性，也就是基于企业的业务实际而设计，在预防和发现违规行为方面发挥作用；执行的有效性是指合规计划要有高层的支持和各类资源保障，鼓励合规，对违规零容忍；结果的有效性则是指合规计划应有效运作，随着内外部环境变化而加以改进，以应对现有和潜在的刑事风险。
有些实务界人士区分了“纠正性合规”和“预防性合规”的概念，认为合规改革初期，企业通常采取以“纠错”为目标的合规整改工作，通过纠正涉罪行为，修复、弥补涉罪行为所带来的经济损失或其他危害后果。但随着合规改革的不断深入，企业开始注重从源头上完善合规管理机制，最大限度地预防潜在的刑事风险。这种体系化的合规整改强调从整体治理的角度，解决企业管理体系中的深层次问题，预防那些更为潜在、更为系统的刑事法律风险，实现对刑事风险的深层挖掘和全面预防。
与“体系化整改说”不同，“针对性整改说”则坚持认为，企业合规整改并不是要引入一套完整的合规管理体系，而是要针对犯罪原因作出有针对性的制度纠错和补救。一些学者和实务专家认为，刑事合规计划的制定应具有针对性，那种“一揽子”“大而全”的综合合规计划是对合规泛化理解的结果，通常也是无效的，让企业刑事合规行之有效的前提条件是，针对特定合规风险进行量身打造，这种合规计划的针对性有两个要求：一是对犯罪主观和客观原因的分析，体现企业对自身犯罪行为的认识；二是针对犯罪原因采取补救措施，以预防企业再次实施犯罪行为。
有些论者特别强调“刑事合规”的特殊性，认为不能将刑事合规简单地理解为企业为避免刑事风险而制定和实施的企业内部的管理机制，刑事合规其实是一种最优的犯罪预防和社会治理方式，是国家与企业合作治理的表现，使得刑事追诉变得相对容易，体现了一种新型刑法观念和刑法文化。建立合规管理体系是企业基于增强商业竞争力而采取的治理方式，而检察机关没有必要做这方面的工作，只要督促企业采取必要的制度补救工作，有效地预防了犯罪行为的再次发生，就达到合规整改的目的了。2021年6月，最高人民检察院会同其他八个部门发布了《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》，规定第三方组织应当要求涉案企业提交专项或者多项合规计划，并对这种合规计划提出了以下具体要求：合规计划应“主要围绕与企业涉嫌犯罪有密切关系的企业内部治理结构、规章制度、人员管理等方面存在的问题，制定可行的合规管理规范，构建有效的合规组织体系，健全合规风险防范报告机制，弥补企业制度建设和监督管理漏洞，防止再次发生相同或者类似的违法犯罪”。
上述合规计划要求同时吸收和融合了“体系化整改说”和“针对性整改说”的观点。其中，整改应围绕与涉嫌犯罪有关的公司治理结构、规章制度、人员管理等方面存在的问题，弥补制度和管理漏洞，应被视为“针对性整改说”的观点；而制定可行的合规管理规范，构建有效的合规组织体系，健全合规风险防范报告机制，则属于“体系化整改说”的内容。这显然说明，企业合规监督考察制度改革的决策者，对于上述两种竞争性的整改观点，采取了兼容并蓄的态度，抛弃其中略显极端的观点，吸收了其中有益可行的思路。
尽管如此，有关企业合规整改和验收基本标准的讨论，还远远没有结束。从2020年3月最高人民检察院组织六家基层检察院开展制度探索以来，如何设计一套行之有效的合规考察和验收标准，就是一个困扰改革者的问题。自2021年3月最高人民检察院将这一改革试点推向全国十个省份的检察机关以来，一些大型企业的重大单位犯罪案件，逐渐被纳入合规考察的对象。对于这些与中小微企业迥然不同的国有企业、股份制企业甚至上市或拟上市企业，检察机关如何对其合规计划进行审查，如何对接受考察的涉案企业进行合规验收，就变成一个非常重要的问题了。
在实地调研过程中，笔者通过观察一些涉案企业提交的“合规计划”，发现相当一部分都存在着“体系化有余，针对性不足”的问题。无论是企业还是作为合规顾问的律师，都没有对企业出现特定犯罪的特定原因作出探究，没有全面识别导致企业犯罪的制度漏洞和治理缺陷，而是像套用数学公式一样，将那些欧美国家确立的所谓“有效合规计划”，生搬硬套地写入合规计划之中。很多合规计划充斥着诸如“发布合规政策和员工手册”“建立合规管理委员会”“设立首席合规官”“建立合规风险评估机制”“建立尽职调查制度”“建立合规举报制度”“推行合规性审查”等方面的内容，有些合规计划书甚至提出了“加强合规文化建设”的方案。由于过于空洞和理想，也没有针对企业犯罪的原因，在较为有限的合规考察期内，这些合规整改方案根本没有实现的可能性，最后大都流于形式。而检察机关出于多方面的考虑，也没有进行深究细查，就草草通过了企业合规考察的“整改验收”，对企业作出了不起诉的决定。这种在预防犯罪方面没有效力的合规整改，不仅埋下了企业再次发生相同或类似犯罪的隐患，而且也给办案检察官带来了程度不同的职业风险。
有鉴于此，本文拟对企业有效合规整改的基本思路作出初步的考察。笔者将根据各地检察机关开展合规监督考察改革的经验，遴选多个较为成熟的合规整改案例，从经验出发，总结出有效合规整改的基本要素。笔者认为，无论是“体系化整改说”还是“针对性整改说”，尽管都坚持了极端化的思路，但都有其独特的可取之处，改革决策者将两种观点加以吸收和融合的思路，无疑选择了一条正确的道路。但是，有效的合规整改在注重“针对性”的同时，也应重视引入体系化的合规管理；与日常性合规管理体系建设不同，合规整改应当坚持“先破后立”的思路，首先撤销和改造那些容易导致犯罪发生的经营方式和商业模式，消除企业的管理漏洞和治理缺陷，然后才能建立一些具有针对性、可行性的合规管理体系，发挥合规整改的整体和长远的犯罪预防效力。
笔者认为，从有效预防犯罪和督促涉案企业依法经营的角度来看，有效的合规整改包含着四个基本要素：一是涉案企业在认罪认罚的基础上，停止犯罪行为，积极配合刑事追诉行动，采取补救挽损措施，及时处置犯罪责任人，这是合规整改的前置性条件；二是涉案企业通过内部调查，查明犯罪事实，查找犯罪责任人，识别犯罪发生的原因，确定导致犯罪发生的制度漏洞、管理隐患和治理结构缺陷，这是确保合规整改具有针对性的制度保障；三是涉案企业进行有针对性的制度纠错和制度修复，对于存在缺陷的治理结构、业务管理、财务管理、人事管理、商业模式作出撤销和改造的措施，这是合规整改的针对性措施；四是在制度纠错的前提下，涉案企业建立有针对性的合规体系，为同一类型犯罪的预防确立整体的、全面的和长远的管理机制，这是合规整改的预防性措施。本文将结合相关的案例，对这四个方面的合规整改要素作出简要的分析和评论。
一、合规整改的前置性条件：认罪、补救和处置责任人
与日常性合规管理体系的建立不同，企业开展合规整改的直接动因在于寻求司法机关宽大的刑事处理。为达到这一效果，企业需要开展有效的合规整改工作，针对已经暴露的违法犯罪事件，通过采取必要的制度纠错和修复措施，建立或者完善合规管理机制。合规整改有效性的根本思路在于企业实施一套预防类似犯罪行为发生的管理机制，并建立一种依法依规经营的企业文化。
但是，无论是合规管理机制的建立还是合规文化的形成，都需要企业具备一系列必要的前置性保障措施。这些前置性保障措施的核心在于配合执法部门的调查处置，对所实施的犯罪采取补救措施，对犯罪所破坏的法益作出必要的修复。我们可以通过分析一个合规整改的案例，来对合规整改的配套措施和保障机制作出简要的分析。
【案例1】根据检察机关的指控，甲科技公司在未取得中国人民银行批准的从事资金支付结算业务资质的情况下，使用对公账户收取多家公司的资金转账，然后利用本公司对公账户以及法定代表人等人的个人账户进行层层转账，将收取的资金通过公司对公账户转至指定个人账户，为他人提供单位银行结算账户转个人账户的服务，并从中盈利，非法从事“过单”业务资金超过1700万元，构成非法经营罪。在审查起诉阶段，涉案企业认罪认罚，愿意停止违法业务，退缴违法所得，自愿接受检察机关的合规监督考察。检察机关委托律师团队作为独立监管人，督导企业开展合规整改工作。在独立监管人的督导下，涉案企业完成了《自查报告》，分析了企业非法从事此类过单业务的原因，分析了现有内控制度的漏洞和薄弱环节，并制定了全面停止非法资金结算业务、强化财务制度执行的合规整改计划，主要合规整改内容有四项：一是全面停止涉案违法行为，积极退缴非法获利；二是建立切实可行的监事制度，发挥监事对企业经营的监督作用；三是完善公司规章制度，重点包括修订公司章程，制定对外支付和对内报销的管理办法，制定员工手册；四是建立常态化、制度化、全覆盖且有重点的合规培训制度。
整改方案得到检察机关认可后，涉案企业在合规监管人的指导下，实施了较为具体的合规整改工作。具体整改流程包括：一是完成原有公司小股东的退出和新股东的引入，委任有意愿、有精力监督公司运作的新股东担任公司监事，并兼任合规管理人员；二是成立由会计、出纳、合规管理人员、法定代表人组成的合规整顿小组，使其接受有关账户收支管理的法律法规培训；三是聘请专业机构对公司财务管理建章立制，严格按照新的财务制度进行对外支付和对内报销；四是完成《员工手册》的制定，并按照独立监管人意见进一步完善手册中有关员工行为边界、禁止性要求和相应惩处规定。
在上述案例中，检察机关之所以启动合规考察程序，是因为涉案企业认罪认罚，停止违法业务，退缴违法所得，并在合规监管人的建议下，提交了《自查报告》，提出了有针对性的合规整改计划。在一定程度上，涉案企业通过内部调查，探究企业犯罪的主要制度成因，找到主要的制度漏洞、管理隐患和治理结构上的缺陷；企业提出合规整改计划，则是针对犯罪原因所提出的犯罪控制方案，目的在于对症下药，消除制度漏洞和隐患，改造企业经营方式、商业模式和治理结构，达到预防犯罪再次发生的目的。但是，假如不采取必要的前置性保障措施，企业单靠提交自查报告和合规整改计划，是难以完成有效合规整改的。
这些前置性保障措施的核心在于配合执法机关的调查，对犯罪行为采取补救措施，对犯罪所侵害的法益采取修复措施，具体包括以下几种措施：一是终止实施犯罪行为；二是认罪认罚；三是配合执法调查；四是采取补救措施；五是及时处置责任人。下面依次作出简要的分析和评价。
所谓“终止实施犯罪行为”，是指涉案企业不仅要承诺停止犯罪活动，而且还要采取积极措施终止原有的非法经营活动，使其不再发生危害社会的后果。企业所实施的犯罪，要么属于体现企业整体意志的系统性犯罪行为，要么是由于企业管理失控而导致的非系统性犯罪行为。但无论是哪一种犯罪行为，都是由企业存在犯罪故意或者失职行为所导致的危害社会行为。涉案企业一旦受到刑事追诉，并提出通过合规整改换取宽大刑事处理的意愿，就要在主观上作出终止犯罪行为的意思表示，并在客观上采取积极行动，停止或者制止那些发生在企业内部的犯罪行为。惟有如此，涉案企业才能证明自己具有与司法机关进行合作的愿望，并体现出采取合规整改、修复制度漏洞、预防再次犯罪的诚意。
所谓“认罪认罚”，通常是指涉案企业要承认被指控的犯罪事实，并作出愿意接受刑事处罚的承诺。在一定程度上，选择合规整改，意味着企业放弃了诉讼对抗，放弃了无罪辩护，采取与司法机关协商、合作和妥协的诉讼立场。只有承认被指控的犯罪事实，才能配合司法机关的执法调查和追诉行动，全面查找犯罪的制度成因，探求进行制度纠错和预防再次犯罪的可行路径。而认罪认罚，恰恰是涉案企业进行真诚合规整改的前提条件。当然，涉案企业认罪认罚，并不仅仅意味着承认犯罪事实，而且还要承诺放弃一些诉讼权利，如放弃无罪辩护的机会，放弃正式的法庭审理，放弃正当程序的保障，等等。可以说，惟有选择认罪认罚，涉案企业才能获得以合规整改换取宽大处理的机会，也就是获得刑事合规的激励效果。
所谓“配合执法调查”，是指涉案企业对司法机关的刑事追诉行动采取合作的态度，既要配合调查、提供证据和鼓励员工如实作证，也要积极披露犯罪事实，主动调查直接责任人。为配合执法调查，涉案企业通常会采取两种行动：一是责令员工和管理人员采取配合措施；二是进行全面的内部调查，提交《企业自查报告》。这种内部调查既要揭示全部的犯罪事实，也要查明主管人员和其他责任人员的法律责任。惟有采取上述配合执法调查的行动，涉案企业才能显示放弃诉讼对抗的诚意，获得司法机关的宽大处理，同时也有助于企业查找制度漏洞和管理隐患，为有效的制度纠错和预防犯罪奠定坚实的基础。
所谓“采取补救措施”，是指涉案企业要对犯罪所造成的后果采取适度的挽救措施，对犯罪所破坏的法益采取必要的修复行动，以达到减少犯罪社会危害性、降低犯罪严重程度、挽回犯罪损失的目的。具体说来，补救措施大体包括以下几种：一是赔偿被害人或被害单位；二是缴纳行政罚款；三是补交应纳税款或者海关关税；四是缴纳违法犯罪所得；五是恢复为犯罪所破坏的社会关系；六是修复为犯罪所破坏的环境资源，等等。上述补救措施之所以是合规整改的保障措施，是因为企业惟有采取这些补救挽损措施，才能明显减轻犯罪的社会危害程度，修复为犯罪所破坏的法益，这是司法机关对涉案企业放弃严刑峻罚、采取宽大刑事处理的主要依据。与此同时，无论是采取这些补救措施，还是进行刑事合规整改，都是涉案企业预防违法犯罪的必经路径，这对于国家利益和社会公共利益的维护，都是有利的。
最后，所谓“处置责任人”，是指涉案企业对那些导致犯罪发生的主管人员和直接责任人员，应采取必要的惩戒措施。刑事合规激励机制的实质在于，“放过涉案企业，但要严惩责任人”。这就意味着对作出合规整改的企业，要采取宽大处理；但对那些对企业犯罪负有直接责任的人员，则要采取必要的惩罚措施。这种对责任人的惩罚，既可以是调离工作岗位，或者免除职务，也可以是追究行政责任，或者追究刑事责任。惟有及时处置责任人，才能保证合规整改具备基本的人事基础，避免新的合规管理制度被掌握在那些违法犯罪的管理人员手中。经验表明，合规管理制度设计得再好，只要继续被掌握在不法人员手中，也难以在预防违法犯罪行为方面发挥有效的作用。
二、合规整改针对性的制度保障：犯罪原因诊断
【案例2】2010年2月5日，乙煤矿依法取得《河道采砂许可证》，有效期至2017年12月31日。2013年，该煤矿与李某签订了《固体废料采购合同》，通过购买李某采挖的泥砂用于生产充填井下采空区。2017年12月31日，原《采砂许可证》到期后，因无人负责许可证的续办事宜，许可证续办工作搁置一段时间，直到2018年9月26日，煤矿才向当地国土资源局报送《关于膏体充填项目取用河流泥砂情况报告》，并申请续办《采砂许可证》。但政府及相关部门因当地河道重新规划问题未予批准。但自2018年1月1日以来，李某一直没有中断采挖河流泥沙行为，煤矿也一直采购程某采挖的泥砂用于生产充填。2019年，李某因涉嫌非法采矿罪被公安机关立案侦查，后并被法院以非法采矿罪判处有期徒刑4年。2021年6月，时任该煤矿矿长的张某被公安机关以涉嫌非法采矿罪立案侦查，并于同年8月被移送检察院审查起诉。检察机关认为，该案属于单位犯罪，该煤矿涉嫌犯有非法采矿罪。
在律师的帮助下，乙煤矿对自身的公司治理结构、经营情况、犯罪事实进行了内部调查，向检察机关提交了自查报告，分析了企业走向犯罪道路的原因，发现了企业存在八个方面的制度漏洞。这主要包括：（1）煤矿合规组织结构存在漏洞，岗位职责不够清晰，对涉及环境资源保护的相关业务管理，权责分散、重叠、交叉、缺失、不清晰，在环境资源保护层面缺乏统一、有效的管理。（2）煤矿无第三方供应商准入、监管、退出机制，对第三方供应商存在的超采、非法采砂行为，未能及时识别，亦未予以制止，放任自流，未制定第三方供应商的退出、更换机制。（3）煤矿内部未建立资质、证照的统一管理、维护、监督及责任追究制度。（4）煤矿在合同签订、履约等环节存在管理失控。（5）煤矿缺乏风险预警、提示和应对机制，法务部门长期处于被动应诉状态，未能主动识别、预防、评估风险，对于数年来连续多次被行政处罚的情况置若罔闻，没有进行有针对性的制度整改。（6）煤矿的环境资源保护工作被分散在调度、企管、外联生产等多个部门，未在机构及管理机制上形成完整闭环、权责明晰的管理体系。（7）煤矿并未建立起违规事件的内部调查及惩戒制度，对续办《采砂许可证》负有职责的工作人员怠于履行工作职责，使续办《采砂许可证》的工作被搁置，导致违法犯罪行为的发生。（8）煤矿对经营过程中的法律风险不重视，长期以盈利、发展作为主要目标，对财务管理已建立相对完备的制度体系，但对经营过程中的法律风险则漠然置之，疏于管理。
在这一案例中，企业在律师帮助下展开了内部调查，发现了导致犯罪发生的若干制度原因。这种内部调查显示，该企业所发生的单位犯罪并不是偶然的，而是管理制度存在缺陷的必然结果，这些缺陷既包括公司治理结构上的不足，也涵盖了许可证管理、法务管理、合同管理、第三方供应商管理等方面的制度漏洞。假如对上述缺陷不做出有针对性的整改，那么，所谓的合规考察和整改将很难发挥实质性的作用，该企业发生再次犯罪的可能性仍然是存在的。
那么，如何对涉案企业的犯罪原因作出准确全面的揭示呢？通常而言，不同的企业存在着各不相同的犯罪原因，检察机关在合规整改过程中需要对涉案企业的犯罪原因给予差异化的分析。通过分析近年来我国检察机关合规整改的实践情况，我们大体可以将犯罪原因诊断区分为以下几个方面：一是公司治理结构出现重大缺陷；二是公司在经营管理机制上存在重大漏洞；三是公司在财务管理上发生了隐患；四是公司在法务管理上存在不足，没有建立针对有风险的业务的合规性审查机制；五是公司在经营方式和商业模式上存在违法犯罪的隐患；六是公司在对员工、子公司、客户、第三方商业伙伴、被并购企业管理上，存在重大疏漏。下面对这些犯罪原因依次作出简要分析。
（一）企业的治理结构缺陷
受多方面因素的制约，我国很多企业并没有建立基本的现代公司治理结构，公司人格与管理者人格混同的情况经常发生，股东大会（股东会）形同虚设，董事会开会也流于形式，公司的决策和运营被实际控制在董事长、总经理甚至某一“实际控制人”手中。这种强势人物不仅架空了董事会，而且使公司的所有管理制度虚置化。在近期的合规监督考察制度改革中，很多中小微企业甚至上市公司，在发生诸如非法经营、串通投标、虚开增值税发票、污染环境等刑事案件方面，都是由这种强势人物直接决策、授权或者允许的。例如，从事科技业务的A上市公司，董事长架空了由九名董事组成的董事会，极少召开董事会会议，自行决定引入职业经理人，将决策权、经营权和财务管理权进行全面放权，导致董事会对经营活动的失控，职业经理人及其聘用的团队全面接管企业，在不受制约的情况下实施了违规披露重要信息行为，导致该董事长和管理人员被立案侦查，该企业也涉嫌犯有违规披露重要信息罪。
（二）企业的经营管理漏洞
企业是以盈利为目的的商业组织。但在我国，很多行业都处于“行政机关监管不力”“企业野蛮生长”的状态，监管部门动辄采取选择性执法和运动式执法的做法，企业的商业竞争处于无序的状态。在此背景下，企业管理团队经常存在侥幸心理，铤而走险，采取各种“走捷径”“踩红线”的违法违规经营行为。尤其是众多企业制定了业务考核协议，将产品销售额、工程中标额、完成利润额等作为主要的绩效考核指标，将部门、员工完成工作业绩的结果与其工资奖金福利直接挂钩，形成了一种“人人追求经济利益”“事事关乎营业指标”的经营管理方式。结果，在管理层的授权或默许下，企业管理人员或员工实施了诸多方面的违法犯罪行为。例如，医药生产企业B公司为了某种新药尽快获得生产许可或者成为医院处方药，要么向药监部门行贿，要么向医院药品采购人员行贿，要么给予医务人员明码标价的“回扣”。在一种普遍实施商业贿赂的竞争环境中，该企业被认定构成单位行贿罪。又如，C交通工程公司追求经济利益至上的经营方式，为获得工程项目招投标的顺利过关，由总经济师一人拍板决定，负责参与招投标的部门与另外一家企业实施相互违法陪标的行为，结果构成串通投标罪。
（三）企业的财务管理漏洞
很多企业尽管建立了财务管理制度，但这种财务管理更多地侧重于预防财务部门和财务人员的徇私舞弊行为，而没有将合规风险的管控引入财务管理体系之中。在涉及财务管理领域的风险防控方面，过于注重商业利益，而忽视了合规地从事管理工作，更没有形成相互制约平衡的财务法律风险防控体系。结果，在诸如开具发票、设立账外资金、接受外单位资金、提供贷款担保等方面，经常出现违法违规行为，甚至构成某种特定的犯罪。例如，D公司董事长为帮助企业获得土地使用权，向当地主管官员进行行贿，行贿款使用的是公司的账外资金，事后在财务部门冲账报销。在该起行贿事件中，公司财务管理几乎形同虚设，董事长提取资金和报销冲账行为几乎畅通无阻。又如，本文案例1属于一起非法经营案件，企业财务部门为其他企业提供“过单业务”，通过公司对公账户帮助其他企业转移资金，转入个人账户，并按比例收取一定的报酬，构成非法经营罪。
（四）企业的合规性审查缺陷
很多企业都没有设立合规管理部门，即便设立了法务部门，也仅有为数甚少的法务人员。这些法务人员所从事的往往是对企业合同、知识产权、劳动人事等事务的处理，要么从事日常性的合法性审查，要么从事起诉或者应诉工作。但是，对于企业决策、经营、财务以及业务活动是否存在违反行政法规或刑事法律的问题，法务部门则很少进行专门的合规性审查。尤其是在企业数年内接连发生的行政违规事件，企业不做任何预警处理，既不进行内部调查，也不采取补救措施。可想而知，对于几乎所有投资、并购、业务、经营等敏感复杂的企业活动，在面临一系列行政监管风险，甚至面临各种刑事法律风险的情况下，企业竟然从不进行合规性审查，既不对其是否违反行政监管法律作出专门的审核，也不对其是否触犯刑事法律进行有针对性的检查，在此情况下，企业构成某一犯罪也就不足为奇了。例如，在案例2中，涉案的乙煤矿对于供应商的超范围开采和无证开采问题，并没有关注其中的刑事法律风险，也没有进行合规性审查，而是采取放任自流的态度。该企业甚至就连一名从事法务工作的员工都没有。而作为母公司的上级企业，尽管设立了法务部门，但区区几名法务人员，就连应付本企业的合同审核、出庭应诉等工作都勉为其难，就更不用说对下级分公司进行法律风险防控了。正是这种对刑事法律风险的普遍忽视，没有对公司经营重大敏感环节的合规性审查，才造成企业陷入非法采矿的指控之中。
（五）企业经营模式的“犯罪基因”
一些企业设计出一种新颖的商业模式，或者采用了一种十分复杂的经营方式，但对于这种商业模式或经营方式并没有进行合规性评估，没有消除其中的刑事法律风险。尤其是随着市场经济的发展，一些新兴产业相继出现，这些产业在给企业带来巨大商机的同时，也蕴含着多方面的法律风险。这种经营模式要么违反行政法规，带来行政法律风险；要么触犯刑事法律，带来刑事法律风险。例如，近年来存在很多争议的P2P、“套路贷”、互联网金融以及大数据征信等经营方式，都处于合法与违法的边缘地带，这种经营方式很可能符合特定犯罪的构成要件，存在着特定的“犯罪基因”。可以说，在企业的某一种商业经营模式本身就符合特定犯罪构成要件的情况下，企业竟然不对这种经营模式的合法性进行审核评估，更不按照刑法要求对经营模式进行“除罪化”处理，那么，企业构成犯罪就成为不可避免的结果。
（六）对员工、第三方、被并购企业管理的失控
企业在经营过程中经常遇到来自员工的法律风险。这里所说的员工，既包括普通单位职工、管理人员，也包括来自分公司、子公司的工作人员。根据我国刑法，只要单位员工以单位名义，为单位利益，实施了危害社会的行为，就可以成立单位犯罪。企业在对上述员工没有建立合规管理制度的情况下，后者的犯罪行为就很容易被推定为单位行为，单位因此要为员工的行为承担刑事责任。这里存在着一个基本的法律逻辑：员工实施了犯罪行为，单位因此行为而获得利益，而单位又没有建立一种管理制度，来对员工的行为加以禁止、防范和控制，那么，这种员工行为就应被视为体现了单位的意志，应被视为单位行为。
与此同时，企业在经营过程中经常会遇到一种来自第三方商业伙伴的法律风险。所谓第三方商业伙伴，通常是指那些与企业经营活动存在合作关系的其他企业或者个人，包括上游的供应商，中游的代理商以及下游的销售商。在那些系统性单位犯罪案件中，企业并没有授意或者指令某一第三方商业伙伴实施犯罪行为，而是在第三方实施某一犯罪行为时，作出了默许或者被动接受的意思表示，以至于构成特定犯罪的共犯。而在那些非系统性单位犯罪案件中，企业自身并没有实施犯罪的主观意志，而是因为上述第三方商业伙伴以企业名义，为企业的利益实施了犯罪行为，从而导致企业承担了一种“连带责任”，构成某一特定的犯罪。在司法实践中，对第三方商业伙伴管理的失控，通常是企业被追究刑事责任的重要原因。
三、合规整改的针对性措施：制度纠错
与日常性合规体系建设不同的是，合规整改是一种“有针对性”的合规制度重建活动。在检察机关启动合规考察程序的情况下，涉案企业所面对的不是潜在的合规风险，而是已经爆发的犯罪事件；涉案企业要针对自身发生犯罪的制度原因，提出堵塞制度漏洞的方案，以达到预防类似犯罪事件的再次发生。面对在治理结构和管理制度方面“千疮百孔”的局面，涉案企业要做到有效地合规整改，就不能动辄引入所谓的“有效合规计划”，建立一种大而全的“合规体系”，而应当首先进行制度纠错和管理修复，也就是展开通常所说的“犯罪控制”，避免原有的犯罪活动重新发生。所谓“制度纠错”和“管理修复”，其实包含着一种“破”和“立”的过程，前者是指涉案企业对存在漏洞和缺陷的治理结构和管理模式作出废除和撤销的活动，目的在于终止有缺陷的制度安排，阻断企业犯罪发生的因果链条；后者则是指涉案企业在消除制度隐患的前提下展开的制度重建活动，目的则在于引入新的制度元素，推动企业引入新的治理结构和管理模式，改造企业的经营理念，使其走上依法依规经营的轨道。
这里所说的制度纠错和管理修复，具有“针对漏洞打补丁”的性质，还不等于合规体系的建立。毕竟，我国绝大多数涉案企业在发生犯罪之前，还没有建立合规管理体系。而在犯罪发生后，涉案企业假如直接引入一种标准化的合规管理体系，就无法“对症下药”，根本无法消除犯罪发生的制度原因。企业要展开有效的合规整改，就应将制度纠错和管理修复作为制度重建的第一步。惟有如此，才能有效地消除犯罪发生的制度原因，为引入体系化的合规管理机制奠定制度基础。为对此作出充分说明，我们可以先分析一个案例。
【案例3】江苏省张家港市L化机有限公司（L公司）是一家从事不锈钢产品研发和生产的省级高科技民营企业，2018年下半年，该公司在未取得生态环境部门环境评价的情况下建设酸洗池，并于2019年2月私设暗管，将含有镍、铬等重金属的酸洗废水排放至生活污水管，造成严重环境污染。2020年8月，张家港市公安局以L公司和张某等人涉嫌污染环境罪向检察机关移送审查起诉，张家港市检察院进行办案影响评估并听取L公司合规意愿后，指导该公司开展合规建设，在听取行政机关意见并审查企业书面承诺的基础上，检察机关作出了合规考察决定。涉案企业在律师帮助下，经过内部调查，认为企业主要存在两个方面的问题和隐患：一是公司管理层合规意识不强，专注于生产、销售等环节的经营管理，忽视了废料环保处置等工作，缺乏刑事风险防控意识；二是公司在废水处置方面存在漏洞，对废水的处置未遵守相关法律法规。
针对公司在环保管理方面存在的制度漏洞，涉案企业采取了以下合规整改措施：（1）公司从“企业运营、生产安全、财税申报、环保处置、应急管理、纪检内核”六个方面，建立了合规管理制度，制定了《员工手册》《合规政策》和《合规执行手册》，发给公司管理层和重要岗位职工；（2）建立合规执行领导小组，以公司总经理为组长，行政主管和律师为副组长，各班组负责人为成员，建立合规执行领导小组，通过组织培训、巡查、签署承诺书、签署保密协议等方式落实各项合规制度；（3）在收到环保监管部门的处置决定后，公司立即对酸洗装置进行了封存，对原来酸洗处置的厂区进行了整改，对排污管道进行了环保清理，并将酸洗工作外包给有环保处理资质的公司；（4）针对公司可能在生产经营中产生的废物、废水、废料等物质进行梳理，根据查找到的风险防控点，制定了《污染防治工作责任制》《职业病防治手册》，界定了环保处置隐患、管理职责和防治措施；（5）公司制定了废料处置流程图、废料处置注意事项、废料处置责任榜等广告牌，放置在公司醒目位置，提醒管理层和员工注意环保处置，增强环保意识；（6）建立合规培训制度，在对公司高管进行合规培训的基础上，将定期或不定期地聘请专业人士进行全员合规培训，提高员工和管理人员的环保意识和依法依规经营意识。
这一案例曾被最高人民检察院列为企业监管考察第一成功案例。受多方面条件所限，检察机关所接受的整改方案也主要是一种制度纠错和管理修复措施。涉案企业所提出的一些改进措施，都是针对管理漏洞所作的制度纠错和修复。例如，针对过去刑事法律风险防控机制的缺失问题，企业提出了建立合规管理制度的方案；针对过去企业合规性审查欠缺的问题，企业建立了合规管理组织；针对原来企业没有专门污染处理能力的问题，企业建立了污染治理外包的措施；针对于员工和管理人员缺乏环保意识的问题，企业建立培训机制和环保宣传措施，等等。
那么，有针对性的制度纠错和管理修复究竟包含哪些要素呢？原则上，涉案企业在治理结构、经营管理、财务管理、法务管理、第三方管理等方面，只要存在缺陷和漏洞，都是需要作出纠正和修补的地方。迄今为止，对于这一问题还没有出现较为系统的研究成果。与对犯罪原因的诊断问题一样，我们对于制度纠错和管理修复也可以采取经验主义的态度，根据既往较为成熟的合规整改案例，提炼出若干项制度纠错和管理修复的要素。
（一）对公司治理结构的改造
很多企业出现犯罪问题，都是因为在治理结构上存在着诸多方面的缺陷和漏洞。要防止企业再次发生类似的犯罪问题，就需要对其治理结构作出相应的调整和改造。根据我国的司法实践，无论是中小微企业，还是上市或者拟上市企业，都存在着董事长、总经理或实际控制人在经营管理中权力过于集中的问题，也往往是企业构成犯罪的主要原因。为避免企业重蹈覆辙，检察机关应当监督企业对其治理结构作出实质性的改造。其要点有三：一是对于那些系统性单位犯罪案件，董事长、总经理或实际控制人是犯罪行为的决策者、授权者或默认者，也是本案的犯罪嫌疑人，该企业要作出有效的合规整改，就需要将这位董事长、总经理或实际控制人排除在决策者、经营者或控制者之外，更换董事会、监事会或管理团队，使那些与案件没有牵连的董事或职业经理人成为董事长或者总经理。这符合“严惩责任人，才能放过企业”的合规理念。二是对于那些因为员工、第三方、被并购企业犯罪而承担连带责任的非系统性单位犯罪案件，企业因为没有建立合规管理机制而承担连带责任，检察机关在合规整改中，应激活董事会的监督、决策职能，引入外部独立董事，将首席合规官任命为董事会秘书或董事，或者加强监事会的监督作用，使得管理团队的经营活动受到有效的制约。三是有条件的企业，可以设立合规监管委员会或者合规管理领导小组，由董事长、总经理担任成员，由一名非执行董事担任负责人，对企业合规管理负有最高责任。
（二）撤销或改造存在隐患的业务、产品、经营方式、商业模式
很多企业之所以走上犯罪的道路，是因为所从事的业务、生产的产品、采取的经营方式或商业模式，存在着违法犯罪的隐患。在合规整改过程中，涉案企业需要对这些存在隐患的业务、产品、经营方式或商业模式作出果断的取舍，对于短时间内无法改造的部分予以撤销，对于有希望加以改造的部分则做出实质性的改造，由此才能消除再次发生犯罪的隐患。例如，在案例3中，涉案企业放弃了自行处理污染物的尝试，而将治污业务外包给一家有资质的环保企业。还有，涉案企业原有经营方式或商业模式自身含有特定犯罪构成要件的内容，处于合法与违法的边缘地带，在合规整改过程中，涉案企业对此作出实质性的改造，去除了原有的“犯罪元素”，避免了对犯罪红线的触碰，实现了经营方式的“去犯罪化”。
（三）对企业经营管理模式的改造
很多企业之所以走上犯罪的道路，跟企业过于注重经营业绩、偏重管理人员和员工的经济贡献有着密切的关系。在这种“杀鸡取卵”“不计代价”的经营理念影响下，企业法务部门的审核把关作用显然就引不起高度重视，企业业务的合规性审查也就被置于可有可无的境地。涉案企业要进行实质性的合规整改，就应改变这种“为盈利而不择手段”的经营理念，确立“依法依规经营”的原则，强化企业的法务管理和合规管理，设立法律与合规部门，并将法务与合规的管理职能加以分离，使得法务部门负责处理企业的民商事法律问题，而合规部门则承担合规风险的防控问题。与此同时，在企业已经发生犯罪事件的情况下，对于企业所有与相关刑事法律风险有关的投资、经营、业务、交易、招投标等方面的活动，都应建立合规性审查机制，也就是上述存在风险的活动，都应由合规部门对其合法性、合规性进行事先审查，出具合规审查报告。对于任何未经合规审查通过的业务活动，按照“谁决策，谁负责”的原则，确定相应的责任切割机制，使相关决策者和执行者具备较强的风险意识和责任意识。
（四）对财务管理机制的改造
很多企业的财务管理较为注重“开源节流”的功能，而对其中所蕴含的刑事法律风险则视而不见。涉案企业在对财务管理进行重新塑造过程中，应当以刑事法律风险防控作为加强制约与平衡机制的目标。例如，可考虑激活企业董事会审计委员会的职能，使其对企业财务管理发挥最高的监督作用；可考虑加强对财务管理的多重审核负责机制，建立财务部、分管副总经理和合规部门三级合规性审核签字的机制；可考虑引入外部审计机制，由董事会授权、合规部门委托外部独立专业审计机构，对企业的财务管理进行独立的外部审计，该项外部审计报告应定期进行，并提交企业管理团队和董事会。
（五）改变对员工、第三方和被并购企业放任自流的管理模式
针对那些非系统性单位犯罪事件，涉案企业在合规整改过程中，应当建立针对员工、第三方和被并购企业的合规管理制度，确立企业与这些关联人员的责任切割和风险转移机制，建立企业的“隔离带”和“防火墙”。例如，对于因员工的违法犯罪行为而承担连带责任的企业，检察机关应督促其制定员工手册，将相关的法律法规所禁止的规定详尽地列入员工手册，同时建立合规培训和合规承诺制度，对员工开展定期的培训，使其了解员工手册所禁止的行为和相关法律规定，并作出书面承诺。又如，对于因为第三方商业伙伴违法犯罪行为而引发的单位犯罪事件，涉案企业应当建立供应商、代理商、销售商的资格审查制度，设立白名单，激活合规尽职调查制度，根据尽职调查结果确定对第三方的合规分级动态管理，并建立不合规第三方的退出机制。再如，对于因被并购企业违法犯罪行为而引发的单位犯罪事件，涉案企业应当建立并购前的尽职调查制度，对被并购企业的情况作出全面的背景调查，并对可能出现的合规风险作出评估，加强对被并购企业的合规管理，如此方能将被并购企业与并购企业的刑事责任加以切割。
（六）打破企业封闭和集权的管理模式，引入外部独立的专业机构
很多涉案企业内部管理存在封闭和集权的问题，造成内部制约机制形同虚设，企业负责人或高层管理人员权力不受制约，以至于在面临着严重的刑事法律风险时仍浑然不觉。在合规整改过程中，涉案企业要有效地调整原有的治理结构、经营管理、财务管理、法务管理机制，就应引入外部独立的专业机构或专业人员，使其发挥独立的合规管理作用。例如，需要引入外部律师团队，协助企业进行合规风险评估和制度纠错工作；需要引入外部独立的环保、税务、审计专家，对企业的合规整改作出评估，提出专业的建议；涉案企业有时还需要引入若干名独立董事，以改善董事会的结构，强化董事会的独立性，使其发挥监督和制约执行董事的作用；涉案企业有时也需要引入外部独立专家，担任企业合规管理委员会负责人，或者担任首席合规官，以强化这两种职务的权威性和独立性。
四、合规整改的归宿：专项合规体系的构建
迄今为止，我国检察机关经过改革探索，推出了两种合规整改模式：一是“简式合规模式”，二是“范式合规模式”，前者适用于那些由中小微企业涉嫌实施的轻微单位犯罪案件，后者则适用于那些由大型企业涉嫌实施的重大单位犯罪案件。对于适用简式合规模式的案件，检察机关通常先作出相对不起诉的决定，然后向企业提出检察建议，责令其在特定期限内开展合规整改工作。考虑到检察机关的不起诉决定一旦作出，涉案企业就失去了强有力的合规激励，因此，适用这一模式的涉案企业，最多做到有针对性的制度纠错和管理修复，就达到较为现实的整改目标了。检察机关再提出建立合规管理体系的要求，就很难达到预期的效果。相反，对于适用范式合规模式的涉案企业，检察机关对其合规整改报告经过审查，一旦启动合规考察程序，就可以安排六个月至一年的合规考察期，指派独立的第三方合规监管人，监督并指导企业开展合规建设，在合规考察期结束前还要进行专门的整改验收。因此，在这一模式下，合规整改不应仅仅止步于有针对性的制度纠错和管理修复，还应引入一种有针对性的合规管理体系。
为克服制度纠错和管理修复活动所具有的局限性，涉案企业需要建立一种完整的合规管理体系。这种管理体系可以从整体、全面和长远的角度发挥预防相关犯罪的效用。从最理想的角度来看，任何一个接受合规考察的涉案企业，都应当在制度纠错和管理修复的前提下，建立一种合规管理体系。但考虑到合规整改受到一系列现实条件的限制，尤其是合规整改期限较为短暂，企业要满足一系列繁杂的整改要求，第三方合规监管人的专业化水平有待提升，等等，因此，要指望涉案企业建立一种全面的合规计划，是极不现实的，也是没有必要的。那么，涉案企业究竟应建立什么样的合规体系呢？我们可以通过讨论一个案例，来对此作出提炼和总结。
【案例4】丙公司是一家基于云计算和大数据技术开展金融科技研发为主要业务的公司，主营业务是基于网络及其附属平台，为用户提供证券资讯、行情信息、数据统计、交易辅助等服务。从2015年开始，该公司未经证监部门的许可，利用公司开发的APP销售荐股软件，销售额为人民币571万余元，涉嫌非法经营罪。案发后，该公司及其法定代表人均认罪认罚，将相关违法的业务停顿，并向已经购买涉案软件的客户进行退款，自愿接受检察机关的刑事合规监督考察。检察机关指派了合规监管人，设定了6个月的刑事监督考察期限。该公司在独立监管人的督导下，通过积极自查，深入剖析了涉案违规行为发生的原因，特别是公司在产品（业务）立项、执行，以及产品营销、日常运营、售后咨询等方面存在的合规风险点以及管控薄弱环节。在合规风险排查的基础上，公司制定了以严控产品立项合规性审查为核心的《合规整改计划》。《合规整改计划》明确的整改措施包括：（1）全面停止涉案违法行为，并积极退缴非法收入；（2）针对违规事件开展面向公司全员的警示与惩戒活动；（3）任命专职合规管理人员，明确合规管理人员的职权、职责以及预算等资源支持，保障合规管理人员的独立性、权威性和专业性；（4）针对违规事件暴露出的高风险业务环节，在产品（业务）立项的事前、事中、事后环节嵌入合规审查、合规检查程序；（5）宣贯合规文化，建立常态化、制度化，全覆盖且有重点的合规培训制度。
在合规整改实施过程中，涉案公司在独立监管人的监督指导下，采取了以下合规整改措施：（1）全面采取了入口清理、付款屏蔽、使用界面下线、后台数据处理模块删除等措施，永久性关停所有涉嫌违规的业务，为相关用户办理退款；（2）公开发布了《致全体公司同事的一封信》，就违规事件进行反思、检讨，就开展合规风险排查、停止风险业务、坚持合规经营表态；（3）制订了《合规管理制度》，明确合规委员会、合规管理人员的职权、职责以及预算等资源支持；任命了不从事经营活动的人员担任合规管理人员；合规管理人员签署《任职承诺书》，承诺认真履职，对公司的合规经营负责；（4）制订了《产品（业务）立项审查管理制度》，明确了“未经合规审查，或者经合规审查发现存在重大合规风险且无法有效化解的产品/业务，公司不得立项及开展”“监管部门（包括但不仅限于企业股东会、合规委员会等）对企业的产品业务定期或不定期地进行抽查”“涉及公司重大、核心产品（业务）的立项，需聘任第三方机构展开专业评估审查并给出书面评估意见”，以及“形成的立项报告书、相关会议记录等执行性文件应当归档”等各项机制；（5）制订了《合规文化宣传培训制度》，公司高管已经签署《合规承诺书》，承诺合规经营，为合规管理提供充分的人力、物力、财力、技术支持，组织开展全员合规培训，形成了培训记录、签到表等培训档案。
在合规监管人的监督指导下，涉案企业所进行的合规整改措施，有些属于具有针对性的制度纠错和管理修复活动，有些则具有合规管理体系构建的性质。例如，建立《合规管理制度》，设立合规组织体系；制定产品立项合规审查制度，强调未经合规审查，企业不得从事产品或服务的立项或开展；制定合规培训制度，高管签署合规承诺书，企业组织全员合规培训，等等。当然，这些体系性整改措施，并不是对日常性合规管理体系的简单照搬，仍然具有一定的“针对性”，是从体系化的角度所建立的犯罪预防机制。
通过对数个较为成功的合规整改案例的剖析，我们发现合规整改中的体系化建设，属于一种“有针对性的合规体系建设”，这种体系具有以下几个方面的特征：一是与日常性合规管理体系不同，合规整改要引入的是“专项合规管理体系”，要注重合规体系建设的“有针对性”和“专门性”；二是在强调犯罪预防的前提下，进行必要的合规延伸，将企业相关的行政法律风险作为防控的对象；三是将“基础性合规要素”与“专门性合规要素”作出有机的整合；四是在合规考察期十分有限的情况下，为达到预防相关犯罪的目标，企业应满足若干项最低限度的合规管理要求。
（一）专项合规体系
在没有发生危机的情况下，企业所进行的日常性合规管理体系建设，通常可以基于合规风险评估情况，建立若干项专门性的合规管理体系。但合规整改发生在刑事司法程序之中，企业已经涉嫌某一特定犯罪，涉案企业不可能再进行全方位的合规风险评估，而只能针对所发生的犯罪行为，建立特定化的合规管理体系。
在合规考察制度改革的初期，一些检察机关对于涉嫌特定犯罪的企业，发现其存在多个领域的合规风险，就责令其建立若干个专项合规体系。这种合规体系建设显然是不成功的，属于无效的合规整改。例如，对一个涉嫌虚开增值税发票犯罪的企业，检察机关竟然责令其建立税收、环保、安全生产、知识产权保护、产品质量等多个合规体系。这与检察机关对合规整改的模糊认识具有密切的关系。但随着改革的深入推进，检察机关普遍认识到，合规整改只能采取特定的专项合规体系建设。在极为有限的合规考察期内，检察机关即便发现企业存在其他尚未暴露的违法行为，或者发现企业存在其他领域的合规风险，也不宜启动其他专项合规体系的建设。检察机关应当专注于企业所涉嫌的特定犯罪行为，责令企业查找导致犯罪发生的制度原因和管理隐患，进行有针对性的制度纠错和补救，引入某一专项合规管理体系。从现实可行性的角度来说，涉案企业在考察期内能够建立这种专项合规管理体系，就相当不容易了。至于其他存在重大风险的合规领域，则可以留待合规考察结束后，建议企业再进一步扩展其合规管理的领域，引入其他类型的合规体系。
但是，有针对性地建立合规体系，并不意味着仅仅针对特定的犯罪进行“就事论事”的改正，更不等于针对制度漏洞进行“打补丁”式的修复工作。因为这种整改具有先天的局限性，无法从整体上建立一套预防犯罪发生的管理体系。以违法发放贷款罪为例。涉案企业即便通过制度调整预防了违法发放贷款行为，但假如不建立整体性的合规体系，那么，涉案企业和管理人员照样可能构成骗取贷款或者贷款诈骗罪的共犯，或者构成其他企业人员失职类的犯罪。为克服这种“修修补补”的合规整改所带来的问题，从长远的和整体的角度构建预防相关犯罪的合规体系，我们需要引入一种“类型化合规体系”的思维，也就是针对企业所涉嫌实施的犯罪行为，将其归入某一犯罪类型，按照这一类型确立合规体系。例如，针对企业涉嫌虚开增值税发票的犯罪行为，检察机关要督促企业建立税收合规管理体系；那些涉嫌污染环境、非法采矿等犯罪的企业，需要建立环境资源保护合规管理体系；那些涉嫌实施生产销售假冒注册商标商品的企业，需要建立知识产权保护合规管理体系；那些涉嫌实施串通投标、非法经营等犯罪的企业，需要建立反不正当竞争合规体系；那些涉嫌实施单位行贿罪的企业，需要建立的是反商业贿赂合规体系；那些涉嫌实施侵犯公民个人信息、帮助信息网络犯罪活动等犯罪的企业，则需要建立数据保护合规管理体系。惟有建立这种从“一罪”到“一类罪”的犯罪预防体系，才能避免“打补丁”式的合规整改的局限性，对涉案企业再次发生特定领域的所有犯罪行为，产生阻断和防控的效果。
（二）刑事合规与行政合规的衔接
很多学者和实务界人士高度重视“刑事合规”的重要性，强调进行合规整改的目的在于实现国家与企业的协同性犯罪治理目标。这固然是不错的论断，但是，假如涉案企业的合规体系建设仅仅将预防的对象放在犯罪行为上面，那么，所谓的“犯罪预防”也是根本无法实现的。这是因为，我国的单位犯罪大多数都是“行政犯”，也就是从行政违法违规行为转化过来的犯罪行为。根据“法秩序统一性”的原理，企业构成这类“行政犯”的前提，是触犯了特定的行政法规，构成行政不法行为。而在构成行政违法的前提下，由于行为所造成的社会危害后果达到了特定数量、情节的程度，或者具备了特定的构成要件，因而转化为犯罪行为。这显然说明，所谓的“单位犯罪”，与“单位行政违法行为”，并不存在实质性的界限，只要达到刑法所规定的数量、情节要求，或者具备了特定构成要件，单位行政违法行为就可以随时转化为单位犯罪。正因为如此，假如涉案企业在合规整改过程中，动辄将该类“行政犯”的再次发生作为建立合规体系的目标，那么，这种合规整改充其量只能预防犯罪行为的再次发生，而不可能预防行政违法行为的再次发生。但在企业合规体系无力阻止其继续实施行政违法行为的情况下，该企业就可能继续“野蛮生长”，在行政违法方面突破界限，走向犯罪的道路。
基于上述考虑，一个有效的合规整改方案应当注重刑事合规与行政合规的有效衔接，将预防企业行政违法作为合规体系建设的基本目标，才能实现企业犯罪的“源头治理”，避免企业从行政违法走向犯罪道路。因此，有针对性的合规体系建设，应当将特定领域的行政违法预防作为基本目标，在专项合规政策和员工手册中，确立有可能导致企业出现行政违法的一系列行为准则，将行政法规所确立的禁止性规则，全都吸纳进合规政策和员工手册之中，并融入到企业的决策、业务、财务、人事管理的每一流程之中。惟有杜绝任何形式的行政违法，才能防微杜渐，避免企业在某一领域出现犯罪事件。
（三）“基础性合规”与“专门性合规”的结合
按照我国合规实务界人士的普遍看法，有效合规计划可以包括合规计划设计的有效性、合规计划执行的有效性以及合规计划结果的有效性。这对于评估日常性合规体系建设的有效性，或许是可以适用的。但对于检察机关主导的合规考察程序而言，在较为有限的合规考察期内，涉案企业要达到上述三个方面的有效合规标准，几乎是不可能完成的任务。考虑到我国涉案企业大都没有建立合规体系，因此，检察机关需要督促其建立一种“基础性合规体系”，也就是“从无到有”地引入合规管理的准则、组织和程序。与此同时，涉案企业在建立“基础性合规体系”的基础上，还应当引入“专门性合规体系”的要素，使其渗透到合规管理政策、标准、程序的某一环节，发挥有针对性地预防特定类型犯罪的作用。在一定程度上，有效的合规整改就等于“基础性合规要素”与“专门性合规要素”的有机结合。
所谓“基础性合规要素”，主要是指那些对于预防任何犯罪都具有积极效果的合规管理要素。这些要素通常表现为三个方面：一是合规章程和商业行为准则；二是合规组织体系；三是合规的程序，包括合规审查、预防、监控和应对在内的程序流程。其中，企业发布具有最高效力的合规章程或商业行为准则，是企业建立合规体系的标志，也是体现企业合规价值理念、管理架构的规范文件；合规组织是确保企业开展有效合规管理的人事基础，那些大型企业可以采用合规组织的最高标准—由董事会合规管理委员会、首席合规官、合规部和分支机构合规部组成的四级组织结构；在合规组织建立的前提下，涉案企业应确立合规审查机制，任何一项业务或产品的立项，都应经受合规部门的合规性审查，对于存在重大合规风险的业务或者产品，合规部门可以提出异议甚至否决的建议；在预防体系搭建方面，大型企业，尤其是上市或拟上市公司，应当建立包括定期合规风险评估、尽职调查、合规培训、合规宣传沟通在内的预防体系；在监控体系建设方面，完整的合规风险识别可以包括合规巡视、合规报告、内部举报、合规审计等机制。还有，在应对体系方面，涉案企业根据自身情况，可以确立包括合规内部调查、反舞弊调查、合规奖惩、持续不断的改进等机制，以确保企业对于违规事件作出恰当及时的处置和补救。
所谓“专门性合规要素”，则是指在搭建“基础性合规体系”的前提下，将那些与某一类型犯罪预防有关的制度元素，渗透到合规章程、政策、组织和程序流程之中，使得合规管理具有明确具体的指向目标，而不至于流于形式。在一定程度上，“基础性合规要素”主要体现为一些合规理念、组织体系和管理流程上，属于合规管理体系的架构和形式，而“专门性合规要素”则属于一系列带有实体性规范效力的标准和政策，形成了合规管理体系的基本“内核”。
例如，作为专门性合规要素的重要体现，在“合规章程”中，企业要表明特定领域合规的基本理念，如环境资源保护的理念、税收征管的原则、知识产权保护的准则、公平市场竞争的思想、反商业贿赂的观念，等等。又如，涉案企业需要针对特定领域的合规风险，发布专门化的“合规政策”和“员工手册”，设立相关的专门合规部门。如针对涉嫌虚开增值税发票的犯罪行为，涉案企业应发布“税收合规政策”“税收员工手册”，建立“税收合规部”，或者设立“税收合规专员”；针对涉嫌污染环境的犯罪行为，涉案企业应发布“环境资源保护合规政策”“环境资源保护员工手册”，建立环境资源保护合规部，或者设立“环境资源保护合规专员”，等等。其中，专项合规政策是涉案企业与外部企业或个人发生经济交往时，督促对方遵守的合规管理制度；专项员工手册是涉案企业要求内部员工、管理人员一体遵行的行为守则；专门合规部门或合规人员，则是企业负责某一特定领域合规管理的专职人员。再如，根据所要建立的专项合规体系，涉案企业要展开特定的合规风险评估，推行专门的合规尽职调查，对员工和其他关联人员进行专门性合规培训，鼓励各级合规部门和业务部门提交专门化的合规报告，开展有针对性的合规审计。不仅如此，在违法违规事件发生后，涉案企业还应进行专门性的独立内部调查，查找和披露专门性合规体系的漏洞和缺陷，并采取有针对性的完善和改进专项合规管理体系的措施。
（四）最低限度的合规体系
与日常性合规管理体系不同，危机发生后的合规整改要受到诸多现实条件的制约，不可能无限期和无休止地建设或者改进合规管理体系。受现行法律的限制，检察机关只能在6个月到1年的考察期内督促企业进行合规整改。即便将来通过一系列复杂的立法程序，立法机关修改刑事诉讼法，将企业合规考察期延长到2年甚至3年，涉案企业也无法做到建立一个“大而全”或者“毕其功于一役”的合规管理体系。在合规整改的具体背景下，涉案企业比较现实的做法，还是在兼顾“基础性合规要素”和“专门性合规要素”的前提下，建立一种最低限度的专项合规体系。之所以将其称为“最低限度的专项合规体系”，是因为这些合规要求都是来自实践的经验总结，按照“惟有如此才能避免无效合规”的思路，为避免出现无效合规，防止企业再次出现新的同类型的犯罪行为，督促企业依法依规经营，检察机关才将若干项合规要求作为考察、评估、验收企业合规计划的最低要求。
那么，这种“有效合规计划的最低要求”，究竟有哪些内容呢？笔者通过对多个成功案例和不合格整改案例的分析，拟提出有效合规的7个最低要求，包括合规章程与政策、合规组织、合规风险评估、培训与沟通、审计与监测、合规报告与补救措施。限于篇幅，本文只是给出带有假设性的初步论断。至于对这一问题的全面论证，可以在今后的研究中加以完成。
1.合规章程与政策。作为企业建立合规管理体系的标志，合规章程是企业确立合规价值理念、制度框架和基本政策的规范性文件，在合规管理方面具有最高的规范效力。企业在发布合规章程的同时，还应制定针对外部商业伙伴的合规政策以及针对内部员工和管理人员的合规员工手册。这些章程、政策和手册，既可以作为企业督促内部员工和外部商业伙伴依法依规经营的行为准则，也是在危机发生后切割企业与关联人员法律责任的依据。
2.合规组织。建立独立、权威和有资源保障的合规组织，是企业实施有效合规管理的基本保障。当然，对于不同性质和规模的企业，不可能提出整齐划一的合规组织要求。但作为一种最低限度的要求，企业至少应设立一个由董事长、总经理参与的合规管理委员会或合规领导小组，体现最高层承诺和重视的理念；企业应设立首席合规官或者类似的合规职位，设立合规部门，使其不承担经营和财务等方面的管理工作，保持合规管理的独立性；合规部门应配备必要的合规专职人员，并能够对企业业务或产品的立项和开展进行合规审查，对存有合规风险的业务可以提出否决性意见，并得到基本的尊重。
3.合规风险评估。作为企业启动合规管理的标志性程序，企业需要对其经营中的合规风险进行定期的评估，以便动态地监控企业是否存在合规风险。企业应根据这种风险评估报告来改进合规管理。与此同时，对于企业的客户、第三方和被并购方，企业应建立合规尽职调查制度，对其背景和合规风险展开常态化的调查，并根据调查结果确立资格审查、分级管理和退出机制。
4.培训和沟通。为有效预防企业内部再次发生相关犯罪事件，企业应当建立系统性的合规培训制度，包括常态化的全员培训和有针对性的重点岗位培训，将合规章程、政策和员工手册的内容作为常态化培训内容，将合规事件和最新法律发展作为培训的延伸内容。培训应当做出全面记录，并辅之以被培训者的合规承诺。与此同时，企业董事会、管理层和合规管理部门，应向全体员工、股东、第三方以及其他关联人员定期传达企业的合规理念和合规政策，形成一种“全员合规”的文化氛围。
5.审计和监测。为有效监控和识别可能出现的合规风险，企业应当建立动态化的“实时雷达预警系统”，以便对已出现的合规风险和违规事件作出及时处置。为此，企业需要引入外部专业机构，实施“合规审计”制度，对于企业的财务管理和审计机制进行合规性审计；企业需要引入外部独立法律专业机构，对企业的合规管理进行定期的合规体检，以便做出必要的改进。
6.合规报告。在一个具有复杂治理结构的大型企业中，违法违规事件防不胜防，合规风险无处不在。为有效地获取风险出现和违规事件发生的信息，建立一种自下而上的合规报告机制是有效合规的基本要求。为此，企业应建立系统性的合规报告制度，也就是由基层合规组织定期提交有关企业合规风险和违规事件的合规报告，报告应逐级保送公司合规部门和首席合规官，直至董事会下属的合规管理委员会。同时，为有效地获取内部违法违规的事实信息，企业需要建立最低限度的合规举报制度，也就是俗称的“吹哨人制度”，通过网站、信箱、电话等形式接受实名或匿名举报和投诉，并对相关违法违规事实做出调查，对举报人作出适当的保护和奖励。
7.补救。有效的合规体系并不意味着不发生任何违法违规事件，而是要求在违法违规事件发生后，企业应建立必要的补救机制。这种补救机制至少包含以下几个要素：一是独立的合规内部调查和反舞弊调查；二是对违规事件负有责任的人，应当采取调离岗位、免除职务、送交司法机关处理等处置措施；三是根据企业的合规漏洞和制度缺陷，采取必要的修复措施，以便改进和完善原有的合规体系。
结 论
有效合规整改的基本目标，是涉案企业通过制度纠错和建立合规体系，建立一套有效预防犯罪的管理机制，达到企业依法依规经营的效果。为实现这一目标，企业合规整改应与日常性合规体系搭建具有本质的区别，将合规整改的“针对性”和“体系化”进行有机的结合。对于任何一个涉嫌犯罪的企业而言，一旦被纳入合规监督考察的对象，无论是适用相对不起诉模式，还是适用附条件不起诉模式，就都应引入三项基本的合规整改要素：一是在认罪认罚的前提下停止犯罪行为，积极配合刑事追诉行动，采取补救挽损措施，处理责任人；二是查找犯罪原因，发现造成犯罪发生的制度漏洞、管理隐患和治理结构的缺陷；三是针对上述漏洞、隐患和缺陷，进行有针对性的制度纠错和管理修复，切断犯罪发生的因果链条，避免同一犯罪的再次发生。企业合规整改无论是适用“简式合规模式”，还是“范式合规模式”，都要采取上述三个方面的整改措施，由此才能实现合规整改的基本目标。
但是，对于适用范式合规模式的涉案企业而言，尤其是那些建立了现代公司治理结构的大型企业、上市或拟上市企业而言，仅仅做到上述三方面的整改要求，还是远远不够的。这些企业要建立一种整体的、全面的和长远的预防犯罪机制，就要引入合规管理体系。与日常性合规管理体系不同，合规整改所要建立的合规体系是一种具有针对性的专项合规管理体系，这种体系要将同一类型犯罪的再次发生作为预防的对象，将行政监管合规与刑事合规进行有机结合，实现企业犯罪的源头治理。不仅如此，在检察机关合规考察制度的限制下，这种合规整改所要建立的合规体系，其有效性主要体现在合规体系设计的有效性方面，至于执行的有效性和结果的有效性，则需要在合规考察结束之后，在未来的合规管理中逐渐加以实现。为实现这种合规计划设计的有效性，合规体系也需要具备一些最低限度的要素，建立足以预防犯罪发生的合规组织体系，激活企业有效防范、监控和识别合规风险的能力，同时确保全体员工、管理人员以及其他关联人员，遵守专门性的合规政策和员工手册，激活企业内部的“自我监管机制”。
推荐阅读