引言：近几年，美国针对中兴、华为等国内企业采取的一系列制裁措施，引发了全社会对中国企业海外经营所面临的合规风险的担忧，同时也使国内企业开始意识到合规的重要性，“合规”一词瞬间成为了企业经营的热点话题。

2016 年以来，国家陆续出台了《关于在部分中央企业开展合规管理体系建设试点工作的通知》《关于规范企业海外经营行为的若干意见》、GB/T 35770《合规管理体系指南》《中央企业合规管理指引（试行）》等纲领性文件，以推动企业合规体系建设。与此同时，无论是保守的国有企业还是灵活的民营企业，无论是已经做大做强的规模型企业还是正在谋求进一步发展的成长型企业，都在企业合规问题上给予了越来越多的关注和投入。

但长期以来，我国企业对自身法律风险的关注点主要集中在民商事领域和行政领域，很少思考企业经营行为背后的刑事法律风险。在企业内部法务与外部法律顾问的双重保障机制下，小到合同的审查、履行，大到民商事纠纷的处理，乃至IPO、募资等非诉事务的落实，企业均有丰富的经验予以应对。但企业由于未能及时识别刑事风险，或虽认识到刑事风险的严重性时，但已犹如亡羊补牢，为时晚矣，进而致使企业走向覆灭的例子却屡见不鲜。

实际上，同民事法律风险和行政法律风险相比，刑事风险的管控是更能决定企业“生死存亡”的要素。[1]  基于此，笔者拟对企业刑事合规与体系建设进行探究，以期为实践中企业刑事合规建设提供可供参考的建议，推动企业刑事合规的不断完善。


一 刑事合规的发展与内涵

（一）美国合规理念的发展

合规一词最早源于美国，是“合规计划”的简称。1887年美国的《州际商业法》首次以成文法的形式对企业行业自律和内部监管等内容进行了规定，但此时尚未出现“合规”一词。20世纪30年代经济大萧条之际，美国金融系统陷入混乱，金融领域以及垄断领域成为美国政府早期重点监管的领域。为维护银行业乃至整个金融业的稳定发展，美国政府制定了大批法律法规以及规章制度，开启了对银行业严格监管的道路。金融企业为了避免因为违反法律法规而遭受处罚，便不断加强企业内部的法律风险管理，“合规”这一概念，也最早出现在了金融领域。实践中，合规在贯彻风险监管理念、执行外部监管法规以及加强银行内部约束的过程中不断修正完善，逐渐形成了较为全面和系统的，侧重于风险监管的合规制度与体系。[2]

1977年，美国制定《海外反腐败法》（FCPA），以禁止特定个人或实体向外国政府官员进行非法支付以换取商业好处的行为，并通过“长臂管辖”这一规定，将对企业的监管从国内扩展到全世界。这部针对企业刑事犯罪风险提出的专门法律，体现了刑事合规也是合规概念的应有之义。1991年，美国制定《联邦组织体量刑指南》，首次明确了合规的概念，规定企业合规是企业进行预防、发现和制止企业违法犯罪行为的内部管理机制。[3] 不难看出，合规概念在最早提出之时，便是针对企业的刑事法律风险，而且此处将合规定义为一种企业内部管理机制，而非一种不违法的状态。

在美国强大的长臂管辖制度下，只要是同其国内企业有商业合作的他国企业，均要接受美国国内法的监管，迫于美国全球经济中心的地位，世界各国企业不得不重视企业合规的重要性。2014年，国际标准化组织（IOS）发布了《合规管理体系指南》，进一步为各国企业规范化管理制定了可供借鉴的标准。

（二）国内合规理念的发展

无独有偶，中国国内的合规概念最先也是在金融业兴起，早在2006年以及2007年，中国银监会以及中国保监会便分别颁布了《商业银行合规风险管理指引》《保险公司合规管理指引》。但在其后，国内企业的合规管理研究便再次陷入了断层。相较于国际范围企业合规的早日兴起，国内对企业合规的关注明显起步较晚。不同于美国的主动规范与监管，由于过多追求经济发展而忽视企业行为的合法性，我国对企业合规这一概念更多的是被动接受与重视。根据中国产业海外发展协会2019年1月15日发布的《中资企业海外安全风险评估报告（2018）》，仅在2018年，中资企业在海外共遭遇各类重大安全风险事件共413例，其中合规风险事件总数达到67例。而“合规”一词在国内被推向高潮，还要有赖于中兴、华为事件。为了尽快同国际社会的企业合规管理标准接轨，我国掀起了一股企业合规立法的热潮。

2016年4月，国资委发布《关于在部分中央企业开展合规管理体系建设试点工作的通知》，确定中国石油、中国移动、中国中铁、招商局集团和东方电气为试点企业，开启了我国企业探索开展合规管理体系建设之路。2017年5月，中央全面深化改革领导小组第三十五次会议，审议并通过《关于规范企业海外经营行为的若干意见》，指出中国过去对外投资缺乏规范，投资风险过高，导致了一些严重问题，应当规范企业海外经营行为。2017年12月，中国标准化研究院牵头制定的GB/T 35770《合规管理体系指南》发布，其中中对合规的定义是履行组织的全部合规义务，不合规即不履行某项合规义务。2018年11月，国资委发布《中央企业合规管理指引（试行）》，要求合规管理覆盖企业各业务领域、各部门、各级子企业和全体员工，贯穿决策、执行、监督等各个环节。2018年12月，《企业境外经营合规管理指引》发布，提出“合规”中资企业走出去行稳致远的前提，合规管理能力是企业国际竞争力的重要方面。上述一系列法规的出台，标志着我国的企业合规有了一系列纲领性的制度设计，企业合规在我国开始正式从理论走向法律实践。

需要注意的是，虽然国内也陆续出台了一些有关“合规”的规范性文件，但什么是“合规”，其实从理论层面还是法律层面都尚未形成统一的概念。从我国的规范性文件层面来看，《商业银行合规风险管理指引》规定合规是指使商业银行的经营活动与法律、规则和准则相一致；《保险公司合规管理指引》将合规定义为保险公司及其保险从业人员的保险经营管理行为应当符合法律法规、监管规定、行业自律准则、公司内部管理制度以及诚实守信的道德准则；《企业海外经营合规管理指引》指出合规是指企业及其员工的经营管理行为符合有关法律法规、国际条约、监管规定、行业准则、商业惯例、道德规范和企业依法制定的章程及规章制度等要求；而《中央企业合规管理指引（试行）》中将合规定义为“中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求。根据上述文件对合规概念的界定可知，合规实质上可以理解为企业的一种状态、目标，是企业为追求合法结果而按照既定行为范式经营的过程。张远煌教授认为，“合规”即通过法规之遵守，主动预防违规风险（即遭受民事制裁、行政处罚及信誉受损的风险）。[4] 而无论何种合规概念界定，实际上都存在一种共性，企业合规实际上是企业内部经营管理行为同外部规范之间的一种“映射”，使企业经营管理不违背外部规范。[5] 简而言之，合规即企业的经营活动不违反各种可能导致企业遭受处罚、产生损失的外部规范。这些规范可以是有国家强制力的法律、法规、条约、准则等，也可以不具有国家强制力的道德规范等。

（三）刑事合规的概念

从合规的概念可以看出，企业应当遵守的外部规范当然包括刑事法律，刑事合规应当属于合规的下位概念。但关于刑事合规的概念，一如“合规”概念，尚无统一定义。美国《联邦组织体量刑指南》规定企业合规是企业进行预防、发现和制止企业违法犯罪行为的内部管理机制，将刑事合规视为一种管理机制，可以看做是关于刑事合规的最早定义。而我国《中央企业合规管理指引（试行）》将合规与合规管理进行了区分，规定合规是指中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求；合规管理是指以有效防控合规风险为目的，以企业和员工经营管理行为为对象，开展包括制度制定、风险识别、合规审查、风险应对、责任追究、考核评价、合规培训等有组织、有计划的管理活动。德国学者托马斯·罗什关于刑事合规的定义比较全面：刑事合规包含所有客观上事前必要的或者事后被刑法认可的规范性、制度性以及技术性的属于某一组织的措施，这些措施的相对人既可以是组织的成员、商业合作者，也可以是国家或者社会大众。这些措施的目的是a）降低组织或者组织成员实施的与组织有关且违反国内或国外法的经济犯罪行为的风险或者是相应的犯罪嫌疑的风险；或者是b）与刑事执法机构达成一致而对刑事处罚产生积极影响，并最终借此以提高企业的价值。[6] 该定义将刑事合规定义为一种措施，同美国《联邦组织体量刑指南》的机制定义相呼应，同时将企业不违反外部规范作为刑事合规的目的，兼顾企业的内部管理体系与外部行为规范，笔者认为这一定义很好地诠释了刑事合规的内涵与外延，也给企业发展刑事合规提供了原则性的指引，即重在搭建内部管理体系。可以说，企业刑事合规的价值追求同企业刑事法律风险防范一致，但其外延又广于企业刑事法律风险防范。


二 企业刑事合规的必要性

说到底，企业刑事合规的根本目的在于挖掘出企业藏在各个经营环节的刑事法律风险，使企业不至于因为刑事责任而受到重创甚至走向覆灭，以保障企业的良性经营和健康发展。企业的刑事合规至少能够实现三方共赢：企业承担更小的责任和损失并能以更健康合法的肌体继续生存和为社会创造效益，政府获得更大的罚金收益、节约司法资源，律师的企业刑事合规业务成为成熟高端的业务（收入）来源。[7]

而企业刑事合规之所以在这两年被频繁提及，是因为企业管理者们总是惯常地将企业合规局限于民商事法律和行政法律规范相关的领域，无论是企业内部设立的法务部或者风控部、合规部还是外部法律顾问，往往都自然忽略对企业刑事合规的审查，进而忽视刑事合规对企业生存的重要性。但是，如果说对于自然人是通过死刑剥夺其生命，那么对于企业而言，一场刑事诉讼就足以判处其死刑。[8] 由此可见，企业刑事合规的重要性不言而喻。无论是对于企业本身来说还是社会来说，企业刑事合规都有其必不可少的一面。

（一）企业刑事犯罪案件数量居高不下

根据《企业家刑事风险分析报告（2014-2018）》统计，2013年12月1日至2018年11月30日，中国裁判文书网上公布的企业家犯罪案例有6988件，企业家犯罪8965次。其中，2014年至2018年，企业家犯罪案件数量分别为：902件、793件、1458件、2319件、2222件，整体呈现出上升态势，且数量居高不下。仅2018年度，企业家犯罪案例便有2222件，企业家犯罪2889次，其中国有企业家犯罪数为330次，约占企业家犯罪总数的11.42，民营企业家犯罪数为2559次，约占企业家犯罪总数的88.58%。而据《中国上市公司刑事犯罪报告（2019年度）》统计，仅在2019年，就有93家上市公司卷入刑事案件，其中，41家上市公司关联主体涉嫌构成刑事犯罪，20位上市公司实际控制人或董事长陷入刑事追责程序。[9] 高居不下的企业刑事案件数量，频发的企业高管犯罪，严重影响了企业的正常经营活动。

（二）单位犯罪适用的罪名数量不断扩大

企业刑事犯罪风险的来源有两个层面，一是企业本身经营活动中可能触犯刑事法律，二是企业的管理人员以及员工本身触犯刑事法律导致刑罚处罚，进而影响到企业的正常经营管理活动。对于后者，《刑法》中的绝大多数罪名几乎都可以适用在公民个人身上；但对于前者，《刑法》中适用单位犯罪的罪名数量也在呈不断扩大的趋势。1997年《刑法》颁布时，仅有146个罪名涉及单位犯罪，历经刑法修正案（一）至（九）的修订，共增加了41个单位犯罪的罪名，至此，我国《刑法》中共有187个罪名涉及单位犯罪，占我国刑法罪名总数的41.37%。不断扩大的单位犯罪罪名，进一步增加了企业触犯刑事犯罪的可能性。

（三）刑事法律风险对企业的破坏力更强

相较于民商事法律风险以及行政法律风险，刑事法律风险对于企业的破坏力更强，对企业更具有灾难性。刑事法律风险使企业面临的刑罚是以限制或剥夺犯罪人权益为内容的最严厉的法律制裁方法，包括财产刑、资格刑、自由刑以及生命刑。在激烈的市场竞争环境下，企业高管短短几日的缺位，企业资金链的短暂断裂，都有可能瞬间使企业走向覆灭，上述任一刑罚用在企业或其高管身上，所带来的后果都是民商事法律风险以及行政法律风险所不可比拟的。此外，刑事诉讼期复杂漫长，一旦企业或其高管人员因为涉嫌刑事犯罪而被公安、检察院启动刑事调查，即便最终查明无罪，企业也有可能在这个过程中因为疲于应付调查、舆论影响、信誉度下降等问题而被拖垮。这意味着企业即便没有违法犯罪，也有可能承担刑事法律风险的后果。


三 我国企业刑事合规建设存在的问题

（一）企业刑事合规意识薄弱

企业刑事合规意识薄弱体现在两方面：一是企业本身不重视刑事法律风险，刑事合规更是无从谈起。诚然社会整体的法治意识在不断进步，社会中的大多数企业也都有了自己的法务团队或者法律顾问，但企业对法律问题的关注点多集中于民商事法律以及行政法律等领域，刑事法律方面几乎是空白。而即便是民商事领域的事务，除了合同拟定、修改这一流程属于风险的事前审查，其他事务多为事后被动应诉，企业基本上没有法律风险防范的意识。而在企业经营管理的各个环节中，忽视刑事法律风险早已司空见惯，有时并非不能，而是企业本身在刑事合规方面的意识几乎为零，只能在刑事法律风险转化为事实后，被动辩护。二是企业高管及员工对法律、企业规章无敬畏之心，习惯了“人治”、“一言堂”，认为企业就是自己的，导致企业管理混乱，危机四伏，常见于家族企业。

（二）企业缺乏健全的刑事合规制度

根据《企业家刑事风险分析报告（2014-2018）》统计，2014-2018年，民营企业家以及国有企业家犯罪罪名分布如下：

企业应以重大刑事风险、重大事件和重大决策、重要管理及业务流程为重点，建立贯穿于整个刑事合规管理基本流程，连接各上下级、各部门和业务单位的风险管理信息沟通渠道，对刑事法律风险评估、策略、关键控制活动以及刑事风险解决方案的实施情况进行监督。具体包括：

（1）定期对刑事合规工作进行自查和检验，及时发现缺陷并改进；

（2）定期对各部门和业务单位的刑事合规工作实施情况和有效性进行检查和检验，对各部门的刑事风险解决方案进行评价，提出调整或改进建议；

（3）由监督机构进行考评，负责与刑事合规有关的奖惩事宜，严格贯彻执行刑事合规标准。

（三）坚定执行企业刑事合规机制

企业文化、组织结构都已经搭建好的情况下，接下来便是具体刑事合规计划的执行。具体来说，企业刑事合规部门的领导和专员在执行刑事合规计划时，应当全面把握合规策略，严格执行合规流程。一方面，刑事合规的策略应当既着眼于事先的刑事法律风险防范，也要考虑到事中的刑事法律风险处理，同时不能忽略事后的反思与总结。另一方面，刑事合规基本流程应当包括以下主要工作：1.收集刑事风险初始信息；2.进行刑事风险评估；3.制定刑事风险管理策略；4.提出和实施刑事风险管理解决方案；5.对刑事合规的监督与改进。

总而言之，企业在关注传统的民商事法律、行政法律风险管理的同时，不应当忽视刑事法律风险，应当关注企业刑事合规的重要性，充分发挥合规创造价值的理念。


参考文献 ：

[1]、李本灿：《刑事合规理念的国内法表达——以中兴通讯事件为切入点》，载《法律科学》2018年第6期
[2]、万方：合规计划的渊源、定位及功能—兼与陈瑞华教授商榷
[3]、U. S. SENTENCE GUIDELINES MANUAL §8B2.1(a).
[4]、张远煌：刑事合规国际趋势与中国实践
[5]、韩轶：企业刑事合规的风险防控与建构路径
[6]、【德】托马斯·罗什：合规与刑法：问题、内涵与展望—对所谓的“刑事合规”理论的介绍，李本灿译，载《整体刑法学杂志》2013年第3期
[7]、张成，《中国企业刑事合规的困境与出路》

[8]、陈瑞华：企业法律风险与刑事合规业务
[9]  https://www.ilawpress.com/material/detail/447361220865950208
[10]、该蓝皮书所统计的288家参加调研的企业中，外商独资企业约占34%，内资民营企业约占35%，国企约占22%，另外约6%为中外合资企业。参与调研的企业大多数都具有完善的经营管理体制，这些企业的刑事合规意识尚且薄弱如此，更何况习惯于刀尖上行走的民营企业。
[11]、菲利普·韦勒著、万方译：有效的合规计划与企业刑事诉讼，载于《财经法学》2018年第3期，第141-160页
[12]、万方：《企业合规刑事化的发展与启示》，载《中国刑事法杂志》2019年第2期

————————————  文章作者简介  ————————————