（作者 黄茜律师）
2021年4月8日，最高人民检察院下发工作方案，启动第二期企业合规改革试点工作，将试点范围扩大至北京、辽宁、上海、江苏、浙江、福建、山东、湖北、湖南、广东等十个省（直辖市）。这是继最高检2020年3月起在上海浦东、金山，江苏张家港，山东郯城，广东深圳南山、宝安等6家基层检察院开展企业合规改革第一期试点工作之后的又一重要举措。最高检启动企业合规不起诉制度的改革探索，在一定程度上将改变我国刑事公诉制度的格局，以“合规”刑法激励为核心的协商性司法程序，将为现代市场体制下企业推行合规机制提供政策动力和支持。
由此，继2018年“合规元年”国家陆续出台ISO19600《合规管理体系指南》、《中央企业合规管理指引（试行）》、《企业境外经营合规管理指引》等之后，2021年一度成为实“火”的“合规年”。但往往问及企业的法律部门，对企业合规的理解却莫衷一是，有认为企业合规就是依法依规经营，有认为企业合规就是法律风险防范，而对于企业刑事合规的理解就是反舞弊、反腐败等等。为此，笔者认为有必要厘清相关概念，从刑法视角对企业合规治理的必要性进行初步解读。
一、从澄清“企业合规”概念的三大误区来看企业合规体系建立的必要性。
【误区1】企业合规就是依法依规经营。
依法依规，作为企业经营的最基本准则，如同要求公民应遵纪守法一样，这仅是从字面理解的最为浅层次的含义。企业内部提倡营造“合规文化”，最初属于由企业和行业协会推行的一种内部治理方式，如何“依法依规”、具体又依哪些法律和规定？我国现行有效的法律就有200多部，再加上法规、规章、司法解释等等，连律师都做不到熟读所有法律法规，更不用说企业和员工了。这只是局限在思想领域、道德范畴、倡导式“合规文化”，如果仅止步于此，“合规”就无法上升至法律层面，无法上升至公司治理层面。
根据2006年《商业银行合规风险管理指引》第三条规定“本指引所称合规风险，是指商业银行因没有遵循法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。”《中央企业合规管理指引（试行）》第二条“本指引所称合规风险，是指中央企业及其员工因不合规行为，引发法律责任、受到相关处罚、造成经济或声誉损失以及其他负面影响的可能性。”可见，随着政府监管力度的加强，“企业合规”已经成为在行政监管激励和刑事激励政策下的企业治理方式。
【误区2】企业合规就是法律风险防范。
基于此观点，有些企业将合规业务归口在法律部门。企业合规防范法律风险毋庸质疑，但“企业合规”是否就是要防范所有的法律风险呢？我们知道，从企业设立到注销，几乎每时每刻、每一经营环节都可能面临难以计数的法律风险，如劳动用工中引发的劳动争议，履行合同中产生的民商事合同纠纷，经营中引发的不正当竞争、侵权纠纷等等，这些都称为法律风险，故有观点谓之“民商事合规”。在我们看来，所有的法律风险中，对于企业最致命的，是企业因为违反法律法规而受到监管处罚和刑事追究的风险。举例说明：
1.监管处罚风险。
《劳动合同法》第八十四条：“用人单位违反本法规定，扣押劳动者居民身份证等证件的，由劳动行政部门责令限期退还劳动者本人，并依照有关法律规定给予处罚。”
《安全生产法》第九十条：“生产经营单位的决策机构、主要负责人或者个人经营的投资人不依照本法规定保证安全生产所必需的资金投入，致使生产经营单位不具备安全生产条件的，责令限期改正，提供必需的资金；逾期未改正的，责令生产经营单位停产停业整顿。”
《反不正当竞争法》第十八条：“经营者违反本法第六条规定实施混淆行为的，由监督检查部门责令停止违法行为，没收违法商品。违法经营额五万元以上的，可以并处违法经营额五倍以下的罚款；没有违法经营额或者违法经营额不足五万元的，可以并处二十五万元以下的罚款。情节严重的，吊销营业执照。”
《广告法》第五十五条：“医疗机构有前款规定违法行为（发布虚假广告），情节严重的，除由市场监督管理部门依照本法处罚外，卫生行政部门可以吊销诊疗科目或者吊销医疗机构执业许可证。”
以上都是企业不合规经营而可能面临的停产停业整顿、吊销营业执照、吊销医疗机构执业许可证、没收、罚款等行政监管处罚风险。
另外，企业在声誉上的负面影响亦不可估量，如《广告法》第六十六条规定：“有本法规定的违法行为的，由市场监督管理部门记入信用档案，并依照有关法律、行政法规规定予以公示。”《反不正当竞争法》第二十六条规定：“经营者违反本法规定从事不正当竞争，受到行政处罚的，由监督检查部门记入信用记录，并依照有关法律、行政法规的规定予以公示。”
2.刑事处罚风险。
通常而言，一个企业做到了一定程度，积累了一定财富，拥有了一定地位，一般的民事诉讼乃至行政处罚都不至于使其伤筋动骨。但是，一场刑事诉讼，却可能使其事业归零、企业彻底消亡，乃至家庭悲剧的发生。刑事法律风险应该是企业内心最大的忧虑。
《刑法》第二百七十六条之一，以转移财产、逃匿等方法逃避支付劳动者的劳动报酬或者有能力支付而不支付劳动者的劳动报酬，数额较大，经政府有关部门责令支付仍不支付的企业，可构成“拒不支付劳动报酬罪”。
《刑法》第二百二十五条，未经国家有关主管部门批准非法经营证券、期货、保险业务的，或者非法从事资金支付结算业务的企业，情节严重的，可构成“非法经营罪”。
《刑法》第二百二十二条，广告主、广告经营者、广告发布者违反国家规定，利用广告对商品或者服务作虚假宣传，情节严重的，可构成“虚假广告罪”。
《刑法》规定400多个罪名，其中涉及有假冒专利罪、侵犯著作权罪、侵犯商业秘密罪、虚开发票罪等等近200个单位犯罪罪名，而双罚制将使犯罪单位面临罚金刑，直接负责的主管人员和其他直接责任人员被判处相应刑罚。
综上，我们所倡导的“企业合规”治理，要防范的不是一般的“经营风险”，也不是一般意义上的“法律风险”，而是因违法违规而受到行政监管处罚和刑事追究的风险。从这一意义上讲，企业合规应主要涉及行政法律领域和刑事法律领域。
【误区3】企业合规就是反舞弊、反腐败。
企业的法律部门认为企业合规尤其是刑事合规主要指防范企业员工的舞弊、腐败行为，实际上，这些行为在《刑法》中涉及的罪名不外乎是行贿罪、受贿罪、单位行贿罪、职务侵占罪、贪污罪、非国家工作人员受贿罪、对非国家工作人员行贿罪、为亲友非法牟利罪等等，这只是狭义的刑事合规，我们讨论的是广义刑事合规，我国《刑法》继1997年全面修订后又通过十一个修正案，共有480多个具体罪名，其中有三分之一的罪名涉及单位犯罪的设置，这160多个单位犯罪刑事风险点有些是鲜为人知的。这些在企业运营管理中方方面面都可能触及到的刑事风险都是需要防范的，属于大合规体系。
笔者结合近几年办理的单位犯罪实例来说明刑事法律调整社会关系的广泛性和惩治手段的严厉性：
1.企业劳动用工领域，公司被判犯侵犯商业秘密罪。
涉案公司在聘用一技术人员过程中，认为不违反《劳动法》关于竞业限制的规定即不存在法律风险。在用工过程中，该技术人员提供给涉案公司的技术系其窃取的归属于原公司的商业秘密。案发后，该技术人员被公安机关以侵犯商业秘密罪追诉并判处刑罚，而涉案公司也因触犯《刑法》“明知或应知前款（盗窃商业秘密）所列行为，获取、使用或披露他人的商业秘密的，以侵犯商业秘密论”，被判决构成侵犯商业秘密罪，公司被判处罚金、公司总经理亦被判处有期徒刑。
劳动用工领域，强迫劳动罪、雇佣童工从事危重劳动罪、拒不支付劳动报酬罪等也做了入罪规定。
2.股权收购中，公司被判犯非法倒卖土地使用权罪。
涉案公司在转让所持有全资子公司的100%股权过程中，目标公司的资产涉及一划拨地，转让中，涉案公司未先行补缴土地出让金，而是在合同中将该补缴义务约定由收购方履行。股权转让完成后，收购方并未补缴土地出让金，直接在该土地上进行了房地产开发。案发后，公安机关对涉案公司以非法倒卖土地使用权罪立案侦查，认为其系以股份转让形式掩盖非法倒卖土地使用权的行为。
3.财税管理中，公司被判犯虚开增值税专用发票罪。
依法纳税是企业的义务，在履行这种义务过程中，经常出现偷漏税现象，性质严重的，可能构成犯罪。涉案公司长期向个人购买设备，因该个人不能开具发票，涉案公司无法通过进、销项来抵扣税款，故由该个人联系第三方公司为涉案公司开具发票。涉案公司认为存在真实交易行为故并不认为该行为属于虚开发票。案发后，涉案公司因“让他人为自己虚开”行为而被判决构成虚开增值税专用发票罪，公司被判处罚金、高管等数人被判处有期徒刑。
其他领域如签订履行合同中合同诈骗罪、签订履行合同失职被骗罪；知识产权领域如假冒注册商标罪、假冒专利罪、侵犯著作权罪和侵犯商业秘密罪等；融资领域如欺诈发行股票、债券罪，违规披露、不披露重要信息罪，擅自发行股票、公司债券罪，非法吸收公众存款罪、集资诈骗罪等等。可以说，企业从诞生、发展，到注销，每一步都可能触犯一系列的罪名。而单位犯罪的特征“单位意志、单位决策”都体现在核心领导层，单位犯罪行为的实施者和责任的承担者均为企业高管。刑事风险一旦触发，暂且不论公众舆论和业界的负面评价，仅仅在法律层面，等待企业的将可能是漫长的刑事诉讼程序，涉及企业和相关人员财产和人身自由的强制措施，以及最终获得被剥夺财产、任职资格、自由甚至生命的刑事判罚，这带给企业和个人的都将是难以承受的重创。
因此，所有企业都需要合规，建立合规体系尤其是刑事合规制度已是大势所趋。
二、刑事领域“企业合规”的前世今生。
（一）刑事合规在域外的司法实践。
1991年美国颁布适用于公司犯罪的《联邦组织量刑指南》，首次在刑事规范中引入合规理念，要求企业建立具有预防违法犯罪功能的公司治理结构，《美国联邦检察院手册》中检察官在决定是否提起公诉及是否达成暂缓起诉协议或不起诉协议时，需要考虑的重要因素之一就有“公司是否建立了合规计划”，开刑事合规制度之先河。美国检察官对于那些已经建立合规计划，与调查机构展开充分合作，但合规计划有待完善的涉案企业，更愿意通过签署暂缓起诉协议来督促其完善合规计划，以实现刑罚的惩罚、威慑和矫正功能。
在英国，根据反严重欺诈办公室和皇家检察署公布的DPA守则，涉案企业是否建立合规计划，是检察官签署暂缓起诉协议的重要因素。
进入21世纪，不仅包括美国、英国、法国、意大利在内的众多发达国家纷纷确立了刑事合规制度，而且南非、巴西、印度等发展中国家也在特定领域建立了自身的刑事合规制度，再加上《联合国反腐败公约》《OECD关于腐败的刑法公约》以及《保护欧洲共同体金融利益公约的第二协议》等系列国际文件的助推，进一步加速了传统企业合规向刑事合规升级发展的全球化进程。
（二）刑事合规制度在国内的实践。
1.宏观层面，国家已建立制度保障推进企业刑事合规治理。
“最好的社会治理就是刑事治理”，企业经营亦然，防范风险须防范最大的法律风险即刑事风险。跨国企业在本国都有合规的文化、合规的惯例，但在中国或存在水土不服。目前，最高检开展试点企业合规不起诉制度，旨在通过监督、促进涉案企业践行刑事合规承诺，“合规不起诉”、“合规从宽“制度，对涉罪企业，符合合规整改条件的组织进行合规整改，根据整改情况作出不起诉或者从宽起诉的决定，减少和预防企业犯罪，同时给相关行业企业合规经营提供样板和借鉴。在这样的大环境下，将大大推动刑事合规体系引入企业整个大合规体系管理，刑事合规俨然成为企业合规管理中不可回避的重要课题，也是企业在合规体系建设中最为精心和严谨的重点。
2.企业刑事合规制度成功案例。
2017年，甘肃省兰州市中级人民法院对6雀巢（中国）有限公司员工通过给予医务人员利益以获取患者个人信息，作出维持原判的二审裁定，分别认定这6名员工及相关医务人员构成侵犯公民个人信息罪，庭审中，这6名员工的辩护律师均提出本案系单位犯罪，应追究雀巢（中国）有限公司的刑事责任，以减轻个人的刑事责任。从终审裁定中可以看到，法院充分认可雀巢公司所制定和实施的含有个人信息保护合规内容的《员工行为规范》等公司政策，认为其足以证明“雀巢公司禁止员工从事侵犯公民个人信息的违法犯罪行为”，并据此认定郑某等人的涉案行为属于个人行为。雀巢公司“幸免于难”正是源于其对于个人信息保护的重视和相关合规制度的完善。
因此，企业建立合规体系已经势在必行！
三、刑事合规体系构建的框架。
从实践来看，目前已经开展合规治理的企业多数都局限在民商事法律、行政法律合规范畴，而忽视了刑事合规制度体系的建立。为避免企业和员工受到刑事追究，通过刑事风险防范逆向思维角度规范经营活动，笔者认为，应将刑事合规制度贯穿企业“决策权－执行权－监督权”的整个事权运行体系，如企业的销售政策是否存在涉嫌商业贿赂犯罪风险；企业的广告政策是否涉及虚假宣传和诈骗风险；企业的财务管理是否涉及非法集资的犯罪风险；企业的商业模式是否涉嫌非法经营的犯罪风险；企业的原材料采购和生产配方是否涉及生产、销售伪劣商品犯罪风险等等。主要可以考虑从以下几方面入手：
（一）在没有遇到具体刑事法律风险的前提下，企业进行常态化、日常性刑事合规法律事务管理。
1.建立企业刑事法律风险识别与评估机制，对企业现有规章制度的刑事风险点进行“合规体检”，查找、梳理法律漏洞，评估企业的经营或交易行为中的法律风险，找出公司日常管理流程中的犯罪风险点和行为高压线；
2.在企业设立、投资、经营、交易等各个环节的重大决策行为中，除传统的民商法律风险审查外，有条件的应将刑事法律风险专业意见和建议纳入其中；
3.适时进行专业培训，提升企业高管及其员工的刑事法律风险意识。
（二）建立特定问题和刑事调查应对的合规管理制度，即有大量的迹象表明公司或者公司的高管即将面临刑事风险，如公司的高管被限制出境、公司内部中层或者一般员工被立案侦查、公司高级管理人员开始配合调查等等，或者已经面临刑事调查时，企业应有相关的应对机制和措施，以减轻事后刑事处罚。
（三）建立刑事合规外部风险预防管理。刑事合规制度除了防止内部相关从业人员行为可能导致的刑事犯罪，还要防止外部企业、个人对于本企业可能进行的刑事犯罪侵害，这样的刑事风险也可能会给企业造成巨大的损失。
【结语】《左传》有云：“居安思危，思则有备，有备无患，敢以此规。”企业合规治理，旨在建立监管处罚和刑事风险的防火墙，唯有提前布局、未雨绸缪，才能保障企业基业长青。
