梁雅丽

在我国谈论企业合规时，往往会提及中兴通讯公司被美国罚款20多亿美元的事件。中兴通讯公司因未及时合规整改，被直接罚款数亿美元，同时要求撤销4个高级管理人员职务，处罚35个直接责任人员；又因处罚措施没有落实，最终进入司法程序，被处以罚款10亿美元并缴纳托管费4亿美元用于组织合规官、律师、检察官等进驻企业进行治理，上层高级管理人员全部离岗。这种处罚强度在我国是几乎没有的，这也成为我国相关法律政策制定主体关注到企业合规的重要起因。

一、我国涉案企业合规改革动态与困境

近年来，国家保护民营经济的法律政策频出，尤其最高司法机关出台多份文件，明确提出发挥检察职能和审判职能，为企业家营造良好法治环境、营商环境，但仍无法避免大量民营企业及企业家涉刑导致企业难以存续的局面。随着部分互联网企业做大，企业变动引发的连锁反应或将对庞大的用户群体、社会生活乃至国家经济、国家安全产生极大影响。国家为“防止企业‘大’到不能倒的地步”，开始从司法、执法层面对企业合规施加压力。

涉案企业合规改革，或者说企业刑事合规是目前国内外的大势所趋。开展企业合规可以防范一些国家以合规为名，或者以合规手段对我国企业欺凌打压，以维护国家经济安全、金融安全和科技安全。就国内企业经营来看，民营企业“原罪”的时代已经终结，“不打擦边球发不了财”的观念成为过去时，合规成为企业发展的自发需求和重要动力。

在我国，全面推进企业合规改革是由企业涉案为起点的。因此，这项改革由检察机关率先部署，从2020年3月的6个检察院试点，到2021年3月扩大到27个市级检察院165个基层检察院，再到2022年春，涉案企业合规改革已经在全国检察机关铺开。在此过程中，有关试点工作方案、建立涉案企业合规第三方监督评估机制及人员选任管理等，最高检等多个部门持续出台实施规则。同时，最高检先后发布两批企业刑事合规典型案例，涉及污染环境犯罪、发票犯罪、行贿、串通投标、假冒商标、重大责任事故等罪名，从而不断为涉案企业合规改革提供规范补给和经验支持。

但是，从最高人民检察院的自我经验总结来看，涉案企业合规改革也存在各主体协同推进力度不足的问题，其中一项重要原因就在于法律依据明显不足。当前刑法、刑事诉讼法等法律中尚未纳入企业刑事合规的概念，实施程序及法律效果均未成文化，这也使得企业合规的价值理念不够深入人心，甚至企业、律师及各机关部门对企业合规的理解存在误区，或者对合规整改的从宽效果有过高期待，或者不接受、不认可企业合规作为争取从宽处理的情节，对涉案企业合规的两极化误解都阻碍着改革进行。除了法律和观念的滞后外，其他机关受理案件分身乏术，也是涉案企业合规推进力度不足的重要原因。刑事合规一定程度上延伸了司法服务范围，而当前司法机关案多人少的问题突出，执行动力和空间都受到限制。

而在刑事法律及配套规范体系难以立即出台完备的情况下，行业自律成为推进合规改革的有效助力。

二、企业合规管理体系建设的国际标准借鉴

目前主流观点认为，企业刑事合规指企业通过建立有效的防范刑事犯罪的规章制度，预防企业及其员工实施犯罪，或者犯罪后通过建立有效的刑事合规制度，减少犯罪危害后果，挽救经济损失，从而获得相对不起诉、附加条件不起诉或者减轻刑罚处罚的制度。而合规本身尽管与风控、风险防范相近，但相比被动应对风险，合规更强调一个组织主动进行自我规范，形成遵守法律、规章、规则和道德的管理体系，实则对企业提出了更高层次的要求。

不论是国际视野还是国内语境，合规体系都成为企业乃至任何一个组织不可缺少的生存保障。在国家层面，各国都在建立严格的合规监管制度，引导督促企业主动进行合规经营。而在国际层面，各大国际性组织也相继制定全球性契约、指南和指引等，以形成国际共识，促进国际贸易、交流与合作。

2021年4月，国际标准化组织（ISO）出台了ISO37301：2021《合规管理体系要求及使用指南》（以下简称ISO37301），代替2014年的合规管理体系指南，为各类组织提高自身合规管理能力提供系统化方法，也为监管机构和司法机构采信、评估组织的合规整改计划、合规管理体系提供参考依据。同时，ISO37301也为便利全球范围内相关方之间的贸易、交流提供了通用规则，降低交易成本。

根据ISO37301，将合规管理体系的通用要素归纳为七点：组织环境、领导作用、策划、支持、运行、绩效评价以及改进。首先，组织环境是整个合规管理体系建立的背景，不论是企业经营还是合规都离不开法律、制度、规则的约束。然后是企业领导层的指引、治理和文化培育，这是启动并运作管理体系的前提。接下来，通过企业合规的策划，预测潜在的情形和后果，设立目标并采取措施实现目标；通过支持，使得合规管理体系能够得到企业各层级的认可和维护，保障有效执行；在策划和支持的基础上，实现企业合规管理体系的自动化运行并形成反馈。最后通过监测以及改进，形成一个不断自我学习、自我更新的管理体系。

ISO37301规定了组织建立、运行、维护和改进合规管理体系的要求，并提供了使用指南，适用于全球任何类型、规模、性质和行业的组织。目前，ISO37301已经被转化为我国中小企业的本土化标准，更贴合我国重点面向中小企业推行合规的司法环境。

三、企业合规管理体系的有效性评价与标准本土化

就涉案企业合规改革而言，程序规范考虑的重点并不在于企业合规管理体系如何建成，而在于合规管理体系是否具备有效性。因此，不论是对理论、立法还是实践，合规管理体系的有效性评价都是一个重要议题。

根据域外经验，合规管理体系有效性的审查在于设计、执行、效果三个环节。设计环节，主要考察合规管理体系文件和制度的可行性、适当性以及落实情况；执行环节，审查实施合规管理体系的条件、保障、能力是否充分；效果环节，则主要审查是否形成合规文化，获得持续发展的能力。

在ISO37301及域外经验的借鉴基础上，2022年5月23日，由中国中小企业协会企业合规专业委员会牵头起草的《中国中小企业协会团体标准：中小企业合规管理体系有效性评价》（以下简称《标准》）正式发布，成为我国首部关于中小企业合规管理体系有效性评价的团体标准，对中小企业合规管理体系的评价方法、评价流程、评价指标等提供了全面、细致的规范标准，是中小企业合规建设领域的一项创新性举措。

《标准》显示出有效性评价关注的是企业合规管理体系的四个方面内容，包括机构设置和职责配置、合规风险识别、合规风险应对和持续改进、合规文化建设，相比ISO37301的要求更加简明，更加适合中小微企业的应用。

第一，机构设置和职责配置方面，要求企业设置合规管理机构，包括合规领导机构（董事会或专设合规领导小组）、合规管理第一责任人（法定代表人或实控人）以及合规管理机构（合规管理部门或合规专员）。对此，有效性的基本标准是合规管理机构具备适当性、独立性和权威性。也就是说企业的合规管理机构在履职中能及时并适当地运行，同时合规部门能够独立履行合规管理职责，并且合规部门在企业内部具有实权和权威，能够发挥实际作用，影响相关决策和执行。

第二，合规风险识别是合规实操的首要步骤，厘清企业及员工能做什么、不能做什么，以及所有业务活动的风险。合规风险识别又包含两个部分：一是合规义务识别机制，二是合规风险评估和分级机制，二者都要求与企业的业务活动、产品和服务紧密关联。因此，合规并不是单独的管理活动，而是要渗透并影响到企业业务经营之中。

第三，合规风险应对和持续改进，这是合规活动最主要的方面。《标准》将其分为五个部分：一是合规风险应对机制，也就是根据合规评估和分级的结果，设置合规风险应对责任人、应对措施、应对流程，同步还要设置记录与沟通、监督与检查机制，以及针对突发合规事件的应对预案。二是合规风险日常监测机制，包括日常监测合规风险的机构、方法、措施、频率、信息来源、操作流程等，并且要明确监控重点人员、重点岗位和重点环节。三是违规行为举报机制，包括受理举报的机构、举报渠道、信息保密制度、举报人保护制度、举报处置流程等。四是合规报告机制，包括合规报告的对象、内容、形式、周期、流程等，并且要求合规报告真实、客观和全面。五是持续改进机制，包括制定合规整改措施和违规问责制度，持续调整或更新管控措施，确保合规管理与企业实际情况相适应。

第四，企业合规文化建设，可以说是企业合规最终要实现的形态，也就是企业及员工具备合规知识、合规意识、合规信念及合规行为，真正做到从领导到员工、从上到下的自主合规。

值得注意的是，《标准》的重要意义在于其不仅适用于中小微企业自身开展合规管理体系的有效性评估，还适用于国家机关、行业协会、认证机构等相关方面对中小微企业合规管理体系有效性的评价。也就是说，在未来推进中小微企业刑事合规的司法实践中，该《标准》是第三方及司法机关评价企业合规是否有效的规范依据，该《标准》的内容可以作为指导中小微企业开展合规管理体系建设的直接规范来源。

近年来，国家层面的立法活动极为频繁，且大多与企业经营息息相关，与之相伴的大型企业违法违规受到惩戒的案件也引发持续关注，如滴滴、阿里、腾讯等行业龙头企业都受到了前所未有的严厉监管甚至处罚。在立法与司法持续输出的当下，龙头企业乃至整个行业都可能因为法律或政策的朝夕变动而顷刻受创。对企业而言，建立合规管理体系、强化企业合规管理，实则不仅是为企业维持经营保驾护航，更是为企业续航提供能量动力。各企业主体应当顺应合规趋势，及时转变观念，通过专业人员协助其掌握规范动向，加强预防监管风险管控。

（作者系北京市京都律师事务所高级合伙人、京都刑事辩护研究中心主任，西北政法大学刑事辩护研究院副院长，中国刑法学研究会第三届理事会常务理事，本文发表于《法治时代》2022年第3期）