新闻中心
News center
News center
摘要：
企业合规机制的建设作为企业刑事责任二元模式下，对企业“组织人格”进行认定和对企业责任与个人责任进行分割的重要依据，其有效性认定，已经成为司法实践中企业主体在制定合规计划和公安司法机关对企业责任进行认定过程中不得不面对的问题。目前，国际上已有通行并经过长期检验的实践理论和方法。这些方法在实践中发挥了较好的效果，但也呈现出一定问题。我国的企业合规有效性评价体系存在着评价标准模糊、缺乏贯彻落实长效机制、内部控制机制名存实亡等问题。借鉴域外经验，我国应从有效企业合规核心要素确定、有效性评估指导方针完善、企业合规文化培养等方面，对企业合规有效性评估体系进行优化。
关键词：
企业合规 有效性评估 企业计划 内控机制
一、引言
企业合规，是指由法人组织设计并实施的旨在发现和预防违规行为的内部控制机制。①在日益严峻的企业犯罪态势面前，企业刑事责任转型和企业刑罚力度的强化，已经成为国际范围内的普遍做法。企业合规机制的建设作为企业刑事责任二元模式下，对企业“组织人格”进行认定和对企业责任与个人责任进行分割的重要依据，其有效性认定，已经成为司法实践中企业主体在制定合规计划和公安司法机关对企业责任进行认定过程中不得不面对的问题。
2020年初，最高检部署开展企业合规试点工作。张家港市、深圳市、宁波市等多地积极响应，大力推动本地企业合规试点工作的进行。在我国逐步推进企业合规机制建设的大背景下，明确合规有效性的实质性标准，对推进企业合规的成败有直接影响。在这方面，域外已经有较为成熟的经验可供我们参考。我国可以参照域外合规有效性认定的标准体系，立足我国企业合规基础比较薄弱，尤其是民营企业主要负责人刑事风险防控意识缺乏、企业内部合规监管机制缺失、刑事风险遍及企业运营众多环节等突出问题，有针对性地设立我国的企业合规有效性审查标准。
二、建立有效合规机制的意义
(一)企业合规制度的必然要求
企业合规，在本质上属于企业治理问题，即通过管理机制建设保证企业经营合乎法律规定。在刑事司法场域内，企业合规制度主要指，为避免因企业或企业员工相关行为给企业带来的刑事责任，国家通过刑事政策上的正向激励和责任归咎，推动企业从刑法的视角衡量、辨别企业可能潜在的刑事风险，制定并实施遵守刑事法律的计划和措施。②企业合规制度的设立意味着企业犯罪的应对模式从传统的“惩戒-威慑”，向“合作-预防”转变。③其旨在企业刑事责任二元化的大背景下，强化企业在犯罪预防方面的法律义务，并有效实现企业责任和个人责任的精准切割。基于此，制定完善的合规计划，培养良好的企业合规文化，是企业合规制度的必然要求。企业是否具备有效实施的合规计划、是否存在完善的合规文化，也是否定企业的刑事责任、帮助企业获得宽缓量刑，或者成为对企业作出缓刑或缓起诉处理的重要参考情节。
(二)抑制企业犯罪的内在需要
在风险社会的大背景下，法人刑事责任二元化的趋势已经越来越明显。因此，建立有效的合规机制在抑制企业犯罪方面的重要作用日渐突出。
一方面，建立有效的合规计划是强化企业防控犯罪责任的必然要求。近年来，我国境内的企业法人单位数量快速增长，④一些企业利用其自身的优势，以非常隐蔽的形式实施犯罪行为。面对复杂多变的企业犯罪形势，我国司法机关面临着司法资源不足、调查取证困难等诸多问题。在这种情况下，仅仅依赖公安司法机关对企业犯罪进行事后管控显然难以满足犯罪防控的需求。强化企业防控犯罪责任，促进合规计划进入企业犯罪预防政策、刑事立法和司法实践，保证企业合规计划在实际运作中发挥实效，是企业犯罪防控的大势所趋。正是在这一层面上，一些学者认为“与单纯的刑法对策相比，合规计划可能更为有效”。⑤
另一方面，在企业刑事责任二元模式下，对企业合规的有效性进行审查，是公安司法机关认定企业刑事责任，打击企业犯罪的重要工作环节。对合规机制(包括其合规计划内容设计和实际执行)的评估，是公安司法机关评估企业是否存在违规行为，以及应对企业采取何种行动的重要组成部分。在适当的情况下，司法机关可能会基于企业的有效合规计划放弃对企业提起诉讼，或给予企业量刑上的激励，即使该计划没有实际阻止特定违规行为的发生。
(三)保证企业持续发展的必然要求
企业合规机制的构建，其意义不仅限于企业刑事责任的承担。企业搭建有效合规体系的主要目的在于提升其管理能力，其次是提高抵御风险的能力。美国的一项调查研究显示，当一家企业有了有效合规计划时，企业员工为完成工作而违反法律和企业政策的可能性会减少60%。违反法律规定行为出现的概率将下降66%，员工积极举报不当行为的意愿增加了84%。研究结果显示，有效的企业合规计划对公司治理的改善是显著的。在经济形势不乐观的情况下，企业会更为关注企业合规计划的制定和贯彻，以减少违规行为可能使企业遭受的损失。⑥合规计划是企业组织内部控制制度的一部分，更加高效地进行组织内部治理是其核心意义的真实来源，也是其作用发挥的真正场域。
三、域外企业合规制度的发展与反思——以美国司法实践为例
(一)美国企业合规制度的发展历程
在美国，惩治和预防企业犯罪的传统路径是以个人责任为前提的一元模式。在这种模式下，企业因犯罪行为而受到的处罚极为有限。刑法并没有对企业犯罪起到足够的抑制作用。为加强法律对企业犯罪的应对，国会开始强调企业对犯罪的防控责任，企业合规制度也在这一背景下逐渐发展起来。
企业合规的传统在美国早已有之。在相当长的一段时间里，美国的企业已经在反垄断、环境保护等领域采取措施以防止违法犯罪行为的发生。但在这一阶段，美国有关企业合规的规定还是较为零散的。相关企业只能依据《证券交易法规》(The Securities Exchange Act of 1934)、《内幕交易和证券欺诈强制法案》(The Insider Trading and Securities Fraud Enforcement Act of 1988)等个别的法条规定，以及有关的判例和法令来制定其合规计划。对于企业来说，这些规范性指导显然难以满足其实际需求。一份调研报告显示，截至1995年6月30日，在208个因犯罪行为而判处刑罚的企业中，只有1个企业制定了有效的合规计划。已有的合规计划或多或少地存在着计划涵盖风险不全面、计划规定不具体、风险报告机制不健全、审查监督机制缺乏实效等问题。⑦
根据1984年的《量刑改革法案》(The Sentencing Reform Act of 1984)，美国国会成立了量刑委员会，并授权其为联邦法官制定量刑指导方针，以确保量刑更加统一。1988年该委员会为公司和其他组织提出了进一步的指导方针。基于这一方针，法官可以基于犯罪行为所造成的损害，在适当的情况下，对企业判处罚金。⑧1989年，该委员会发布了一份草案，增加了对企业最高罚款的规定和公司缓刑的概念，以“强化对企业的处罚，并消除对企业被告人的量刑差异”。⑨然而，这一草案的出台受到了美国商界的强烈反对，许多企业认为该草案可能使其遭受不公平处遇。⑩1990年3月，委员会决定撤回草案并对草案内容作出调整。尽管修订后的草案仍然呼吁提高对企业的罚款，但与此同时，其强调通过合规计划的设置，为企业提供一个积极防范违法犯罪行为的激励机制。⑪
草案的最终版本——《联邦组织量刑指南》(以下简称《指南》)，于1991年11月生效。根据《指南》规定，被定罪的企业的罚款是通过用“基本罚款”(base fine)乘以由“罪责得分”(culpability score)决定的乘数来计算的。“基本罚款”是根据具体违法行为、违法者所获得的经济利益或违法行为造成的经济损害来确定的。在“罪责得分”方面，每个企业会有5分的基础分。法官可以基于一些从重处罚的因素增加“罪责得分”，如企业高级别人员“参与、放任或故意忽视”违法犯罪行为、累犯或违反缓刑规定、该企业在侦查、起诉或量刑期间存在妨碍司法的行为等。同样，法官也可以基于从轻处罚的情节，如企业是否有有效的合规计划、是否积极配合调查、是否主动报告违法犯罪行为等，对企业的“罪责得分”进行扣减。另外，如果拥有50名以上员工的企业没有制定有效的合规计划，《指南》要求在企业制定、实施有效的合规计划之前，对企业适用缓刑。
《联邦组织量刑指南》的生效，改变了美国原有的企业违规风险预防和企业责任承担模式。在这一模式下，企业有责任采取合理的措施(包括制定企业合规计划)，预防违法犯罪行为的发生。在发生犯罪行为时，企业也可以以建立了有效的企业合规计划为由，获得量刑上的宽缓处理。在《联邦组织量刑指南》的推动下，企业开始重视企业合规计划的设立，并对企业合规计划的有效性进行评估。进入21世纪，随着2002年《萨班斯-奥克利法案》的颁布与2010年《联邦组织量刑指南》的修订，企业是否具备完善的合规文化和犯罪预防程序进一步成为企业责任承担的重要考量因素。
(二)企业合规有效性评估的核心要素
明确有效的企业合规标准是保证制度落地的重要因素。根据明确的合规标准，企业可以积极创设符合要求的合规计划，并根据法律要求和企业目标对合规系统进行评估。依据《联邦组织量刑指南》的规定，衡量刑事合规有效性的标准主要包括以下几点：⑫
第一，企业必须为其员工和各部门设立明确的合规标准和程序，且该合规标准和程序能够降低发生犯罪行为的可能性。
第二，为监督这些合规标准和程序的具体落实，企业必须聘请专门的、高级别的合规人员。
第三，在人事任免方面，企业应当勤勉尽职，不将企业的实质性决定权交给企业知道或应该通过尽职调查知道的有从事非法活动倾向的个人。
第四，企业必须采取措施(如组织培训、制作宣传手册等)，向其所有员工及相关人员传达企业的合规标准和程序。
第五，企业必须采取合理的措施以保证其合规标准和程序在实践中能够得到履行。企业可以通过利用监控和审计系统对企业员工或其他相关人员可能存在的犯罪行为进行监测，并建立相应机制保证对犯罪行为进行举报的员工可以免受报复。
第六，合规标准和程序必须通过适当的机制在实践中得到贯彻，这些机制包括对未能尽职发现犯罪行为个人的惩处机制。实践中，对这些机制是否适当的评估应当视案件的具体情况而定。
第七，在发现犯罪后，企业必须采取一切合理的措施，对犯罪作出适当的反应，并防止进一步的类似犯罪，包括对其合规标准和程序进行任何必要的修改，以提前发现、预防违法犯罪行为。
任何不包含上述这七个要素的企业合规计划都可能因不符合《指南》要求而被认为是无效的。实践中，这些要素对于证明企业在预防和防止犯罪行为尽到最低程度的注意义务是至关重要的。
除上述一般形式上的有效性评估外，《指南》指出，任何合规计划的有效性在一定程度上取决于不同企业可能面临的不同的刑事风险。基于此，为保证合规计划满足《指南》要求的“有效性”标准，在制定和实施企业合规计划的过程中，企业应当遵循以下步骤：⑬
第一，确定企业经营可能涉及的实体法风险。任何有效的企业合规计划都应向管理层和员工明确说明企业经营可能涉及的各种实体法领域的基本要求。这些实体法领域具体包括：反垄断法(价格操纵、操纵投标、捆绑交易、不正当竞争等)、个人信息保护、知识产权保护、就业、环境、出口管制、财务、税收、反腐败、武器销售、移民、国际贸易、证券、产品安全与健康等。
第二，审查合规计划的具体细节，以保证计划可以涵盖可预测的全部企业风险。在美国，政府和法院在确定企业是否足以通过合规计划获得宽缓处理时，通常会对计划是否就细节性问题作出准确、充分的规定进行仔细考察。对风险领域进行规定的细致性要求可能因该领域问题的复杂性和对企业经营的重要性程度不同而有所区分。企业需要根据上述列举的各种实体法风险对合规计划进行审查，以保证计划涵盖了企业经营可能涉及的所有实体法风险。与此同时，企业需要对每一个风险领域制定相应的措施，以尽量减少法律或政策被违反的可能性。例如，在处理涉及污染环境犯罪的案件中，检察官会重点关注企业是否具有完善的机制和政策，以符合所有的环境保护的要求;是否存在满足或高于现有法律要求的保障措施;对环境污染进行评估、检测、预防和补救的程序机制是否完善;惩戒机制是否有效。
第三，制定职业道德标准或商业行为准则。除了有一套详细的合规计划，企业还需要根据行业特征制定更为一般的道德规范或商业行为准则。这些准则应包括企业的经营目标，以及与法律合规和一般组织要求相关的商业行为标准。这些准则的制定和落实应当关注：这些准则是否有效?企业员工是否持续性地关注这些准则?企业管理层是否对规则的落地进行监督和考察?这些准则在实践中是否是切实可行的?
第四，制定有效的合规计划沟通机制。任何有效的合规计划必须包括向需要了解计划的员工就计划的制定和实施进行有效沟通的机制。这些沟通机制应包括员工的基本职业操守;企业基本政策、准则的宣传和指导;相关合规材料的培训计划;在定期下发的企业材料中加强各种合规信息的宣传。对于存在潜在犯罪风险的每个领域，企业应确定哪些员工必须了解相关的法律或企业政策，然后制定一个培训计划，并将培训责任分配给企业总部或部门一级的个人。企业应为合规计划的宣传、培训制定相应的监控机制，以确保将任何书面材料传播给那些必须了解相关领域合规问题的企业员工。如果企业合规计划的有效性在法庭量刑阶段受到质疑，政府可能会仔细调查相关的企业合规材料是否被传递给那些进行违法犯罪行为的员工个人。通常来说，对是否制定了有效的沟通计划进行评估时应当特别注重以下问题：企业是否为每一类员工制定了最低的合规培训要求?企业对合规培训的内容是否作出了及时更新?企业的培训对违法犯罪风险的预防与应对是否足够?进行合规培训的人员是否足够专业，并达到了承担培训任务的基本要求?这些沟通是否有效，是否正确地传达了企业管理层的意思?
第五，对企业高层领导人的行为进行特别关注。《指南》对企业高级别人员或对企业管理享有实质性权力的人员参与、放任犯罪行为发生，或对犯罪行为的发生存在过失的行为作出了较为严厉的规定。⑭该《指南》规定，如果企业高级别人员参与、放任或有意忽视犯罪行为发生的，企业将无法以建立了有效的合规计划为由在刑事诉讼中获得宽缓处理。⑮因此，企业应明确哪些人员属于《指南》规定的“高级别人员”(high-level personnel)，并在合规培训和宣传中对其进行特别关注。
第六，制定审查监督系统。制定并落实有关企业合规的审查监督系统，是证明一个企业具有令人满意的合规计划的一个重要因素。企业应当对审查监督机制进行评估，以确保其具有正常运作所需要的足够多的资源，相关的审查报告在企业中具有足够高的地位。与此同时，企业应为相关的违法犯罪行为设置防控和预警机制。对审查监督系统有效性的评估应当包括：该企业是否确定了值得内部审查监督机制关注的风险领域?内部审查监督机制是否注意了这些风险领域?企业是否有办法定期判断其员工是否遵守法律规定?
第七，内部报告机制。根据《指南》规定，建立合规内部报告机制，是合规计划有效性的考评内容之一。这种内部报告机制必须确保举报人身份保密、对举报人提出的问题作出及时的解决和反馈，并确保举报人不会因为举报行为而受到任何报复。符合要求的内部报告机制应当涵盖企业经营可能涉及的所有法律风险问题。员工在依据内部报告机制对合规问题进行举报时，可以摆脱企业既有的正规举报渠道和层级的限制。企业应为内部报告机制的有效运行设立相应的评估机制，如定期进行员工调查，了解员工对内部报告机制的熟悉程度和使用意愿。对内部报告机制的评估，应当注意以下几点：企业是否就员工对内部报告机制的了解程度进行了考察了解?企业通过内部报告机制获得多少举报，这些举报体现了何种趋势?企业是否存在对举报问题作出合理解决的机制?企业是否能够及时对举报进行反馈?接收举报的人员是否足够专业和富有经验?员工是否因害怕报复而拒绝使用内部报告机制?
第八，设立员工惩戒机制。企业是否对实施违法犯罪行为的个人建立了完备的惩戒机制，是政府和法院依据《指南》要求对合规计划有效性进行考察时需要考虑的重要因素。企业应对惩戒机制的合理性和有效性进行定期评估。企业管理层需要就这一问题发布一套指导方针。当任何员工因违反法律或企业政策而受到处罚时，负责人员必须向企业管理层提交相关的信息报告。企业管理层也需要对严重犯罪的纪律处分进行批准。任何宽松的员工纪律管理模式都会让政府和法院对合规计划是否符合《指南》规定的“有效性”要求产生怀疑。同时，如果相关人员对严重违反企业政策的员工的惩戒问题享有实质性的自由裁量权，则政府和法院同样会对该合规计划的有效性产生怀疑。⑯
第九，权责的合理分配。《指南》强调，企业管理层权责的合理分配是合规考察的一个重点问题。任何不负责相关业务的人都不应该被赋予对该业务的实质性权力。企业应审查岗位工作内容、企业政策、工作流程和员工评估方法，以确保这些规章流程对合规监管责任作出了整体性的安排。企业应建立一个专门机构来监督其合规计划的实施，并定期向董事会提供相关的合规情况报告。
第十，定期审查和改进计划。《指南》对有效合规计划的最后一个要求是建立一个对计划进行定期审查并对相关问题进行及时调整的系统。企业应在管理层设置专门的人员对企业的整体合规工作负责。该专职人员的责任应包括在发现合规风险时，对合规计划进行及时调整，并推动修订后的合规计划的实施。在对企业的持续性改进机制进行评估时，企业应当重点关注，企业是否能够正确判断其合规计划在实践中是否行之有效。
(三)美国司法实践的反思
多年来，《联邦组织量刑指南》为企业发展合规企业文化提供了一种经济上的激励机制，使企业有理由恪尽职守地防止企业内部犯罪行为的发生，并培养一种鼓励道德行为和承诺遵守法律的组织文化。《指南》规定本身所具有的细致性和动态性也在一定程度上满足了不同类型企业制定有效合规计划的需求。可以说，《指南》的出台对美国企业合规机制的建设和完善提供了重要的法律基础。尽管如此，《指南》对企业合规的有效性要求，在实际的运行过程中仍出现了一些问题。
第一，《指南》提供的合规计划的有效性标准存在着一定的模糊性。为保证合规计划的有效性标准能够尽可能满足实践中各个领域、各种情况下企业合规的需要，《指南》对有效性标准的规定存在一定的灵活性。但许多学者经过实证研究指出，尽管该《指南》的灵活性允许企业定制他们的程序以满足特定的需求，但较为模糊的合规标准也使得企业很难知道如何构建真正有效的合规计划。⑰许多企业管理人员认为，企业在制定合规计划的过程中，既难以理解政府想要何种形式的企业合规计划，也难以对合规计划实施的成本效益进行精准管控。为解决这一问题，一些企业每半年召开一次行业合规实践论坛，交流有关其行业准则、培训视频和合规问题举报等信息。与会企业可以分享合规的最佳做法，相互提醒可能存在的合规风险，并通过交流合作确定其合规预算。⑱
第二，符合《指南》要求的有效的合规计划，在实际操作中往往需要耗费大量成本。有调研显示，对于检察官监督制定的合规计划来说，尽管其符合《指南》规定的有效性要求，但这种合规计划的实施费用往往非常昂贵。例如，根据与纽约州政府的和解协议，纽约州木材协会必须每月支付65,000美元用于合规计划的监督和审查。⑲
第三，《指南》规定的外在式的企业合规导向机制，使合规计划在实践中难以贯彻落实。从现有的量刑数据、调查结果以及重大企业犯罪现状来看，《联邦组织量刑指南》规定的外在的、激励为导向的企业合规方式在实践中可能导致合规计划流于表面。实践中，大多数企业都有非常完美的纸面上的合规计划，但是该合规计划的具体执行和实施却乏善可陈。例如，在波音和安然案件中，企业具有合规计划但仍然发生了内部犯罪。⑳尽管《联邦组织量刑指南》已经出现内在的、道德伦理导向的企业合规机制，但这种机制尚未被给予足够重视。实践中，许多企业的管理人员缺乏对企业合规文化的建设和培养。同时，内部监督机制的有效运行可能使企业面临刑事追诉的危险，这也使企业在违法犯罪行为的调查与应对上显得有些犹豫不决。㉑
第四，独立监管人在实践中运行困难重重。在美国，除司法部外，证券交易委员会、财政部、商务部、联邦贸易委员会等机构都可以指定监管人，以确保合规计划的设计和落实具有有效性。㉒但由于这些监管费用需要由企业自行承担，且独立监管人在实践中角色混乱，难以完全在检察官与企业之间保持适当的中立，独立监管人制度在美国的运行存在着成本高昂、监管公正性、有效性难以保障等问题。㉓
批注
①See Linda K. Trenvino, Managing Ethics and Legal Compliance: What Works and What Hurts, California Management Review, Vol.41:131, p.140 (1999).
② 参见戴柠卉：《刑事合规视野下单位犯罪认定独立性研究》，载《荆楚学刊》2021年第2期。
③ 参见赵赤、王力：《全球视野下我国企业合规的完善研究》，载《湖南广播电视大学学报》2020年第2期。
④ 2015年的《中国统计年鉴》表明，截至2014年，中国境内的企业法人单位已经达到1000余万。
⑤ 周振杰：《从具体案例看合规计划的有效性判断》，载《河南警察学院学报》2018年第4期。
⑥ See J. Paul McNulty, What an Effective Corporate Compliance Program Should Look Like, Journal of Law, Economics & Policy, Vol.9:375, pp.388-390 (2013).
⑦ See Growing the Carrot: Encouraging Effective Corporate Compliance. Harvard Law Review, Vol.109:1783, p.1786 (1996).
⑧ SeeUnited States Sentencing Commission, Supplementary Report on Sentencing Guidelines for Organizations, p.3 (1991).
⑨ See Growing the Carrot: Encouraging Effective Corporate Compliance. Harvard Law Review, Vol.109:1783, p.1785 (1996).
⑩ See Amitai Etzioni, Going Soft on Corporate Crime, Washington Post, 1990-4-1, p. C3.
⑪See Jonathan R. Macey, Agency Theory and the Criminal Liability of Corporations, Boston University Law Review, Vol.71:315, p.316 (1991).
⑫See 18 U.S.C. A. § 8B2.1 (b) (2010).
⑬See Jay G. Martin, Implementing Effective Corporate Legal Compliance Programs, Natural Resources & Environment, Vol.11:14, pp.14-19 (1997); See Growing the Carrot: Encouraging Effective Corporate Compliance. Harvard Law Review, Vol.109:1783, pp.1788-1791 (1996).
⑭ See 18 U.S.C. A. § 8C2.5 (b) (2010).
⑮ See 18 U.S.C. A. § 8C2.5 (f) (2010).
⑯ See Jay G. Martin, Implementing Effective Corporate Legal Compliance Programs, Natural Resources & Environment, Vol.11:14, p.19 (1997).
⑰ See J. Paul McNulty, What an Effective Corporate Compliance Program Should Look Like, Journal of Law, Economics & Policy, Vol.9:375, p.383 (2013).
⑱ See Growing the Carrot: Encouraging Effective Corporate Compliance. Harvard Law Review, Vol.109:1783, p.1793(1996).
⑲ See Growing the Carrot: Encouraging Effective Corporate Compliance. Harvard Law Review, Vol.109:1783, p.1791(1996).
⑳参见[美]菲利普·韦勒：《有效的合规计划与企业刑事诉讼》，万方译，载《财经法学》2018年第3期。
㉑See Michael Goldsmith, Policing Corporate Crime: The Dilemma of Internal Compliance Programs, Vanderbilt Law Review, Vol.50:1, pp.7-8 (1997).
㉒ 参见马明亮：《论企业合规监管制度——以独立监管人为视角》，载《中国刑事法杂志》2021年第1期。
㉓ 参见马明亮：《论企业合规监管制度——以独立监管人为视角》，载《中国刑事法杂志》2021年第1期。
律师简介
肖飒，北京大成律师事务所合伙人，大成刑事专业委员会理事，中国银行法学研究会理事、中国社会科学院产业金融研究基地特约研究员、中国政法大学法律硕士学院兼职导师、工信部信息中心《中国区块链产业白皮书》编写委员会委员。
