刑事合规2.0：设计思路与落地方案 ——以《...

自2021年6月最高检等九部门印发《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》以来，“刑事合规”日益成为企业关注的焦点问题。

根据笔者此前办理的刑事合规项目经验，诸多企业对“刑事合规”的理解和执行，是将其作为企业的管理方法之一，它更为强调管理层对基层执行者的监督，且更倾向于通过设置专门的合规岗位或部门，来执行企业的全部合规事务。在这个过程中，企业的顶层管理者较少参与具体合规事务，且“合规管理”独立于企业治理，在治理架构和治理流程中较少配置刑事合规元素。这样的刑事合规管理方案，我们且称之为“刑事合规1.0”。

值得反思的是，尽管诸多企业——尤其是大型企业，早已开始推行合规管理，但是相关企业及高管涉刑案件仍时有出现，这其中，既有明知故犯而涉刑，也有因不知法律而涉刑，还有因他人入罪而被牵连涉刑——在现实的刑事风险实例中，“刑事合规1.0”并没有发挥出应有的“合规”与“保护”功能。

明明有“合规”，但是却无法发挥功能实效，这是诸多企业，尤其是涉刑企业的困惑所在。到底应该如何设计刑事合规方案，才能切实抵御刑事风险，这是当前企业刑事合规实践中应当关注的重点问题。

根据笔者的刑事合规经验，“刑事合规1.0”之所以难有实效，主要原因有以下两个方面。

在企业犯罪的刑事法律归责中，无论是刑事立法，还是刑事实务，其都是以单位犯罪原理和共同犯罪原理作为法律适用的基础方法，并以具体涉罪的经营环节作为基点，将企业的决策、授权、审批、监督等治理活动作为责任判断主线，穿透式地认定刑事责任的延伸范围。

例如，业务人员为完成销售业绩而向第三方行贿时，相关商业贿赂行为可能触发行贿类犯罪中的单位刑事责任，并可能使企业高管面临刑事风险；又如，在招投标活动中，业务人员擅自参与串通投标的，也会触发针对本单位及企业高管的串通投标罪的刑事风险；再如，业务人员擅自使用本单位的车辆、生产设备或原辅材料而实施污染环境的行为，同样可能对本单位及相关高管人员带来污染环境类犯罪的刑事风险；甚至，在发生相关涉刑事件时，相关法律风险还会在母子公司、集团公司内部发生牵连和蔓延。

而“刑事合规1.0”却恰恰忽视了刑事合规和企业治理之间的互动和融合，企业治理架构中并没有具体的刑事合规方案，甚至治理层级越往上，反而越为缺乏刑事合规配置；这就导致，刑事合规方案根本经不住刑事实践的检验，无法发挥应有的合规与保护功能。

在企业治理中，企业人员对本企业经营政策的执行力是企业良好发展的决定性因素之一。从企业组织管理的角度看，在“刑事合规1.0”中，企业治理架构层级越往下，承担的合规义务越多，而决策层或者最高管理层较少参与到具体合规事务中，这就导致，刑事合规制度在执行上出现偏差。这主要体现在两个方面：

首先，对顶层管理者而言，由于在治理架构中欠缺与其相关的刑事合规配置，因此其往往并不知道该通过什么样的程序和规则来履行刑事合规职责权限，因此顶层管理者往往较少参与刑事合规事务。而一旦发生涉刑事件，顶层管理者又极易因为其决策职能或管理职能，而被认定为刑事责任人员。

其次，对于执行层人员而言，由于刑事合规缺乏顶层管理者的参与，因此难以形成对执行层人员的合规激励，在实践中相关刑事合规方案往往缺乏执行力，甚至流于形式。在这种情况下，刑事合规方案原本应具有的功能就难以发挥实效。

根据笔者的刑事合规经验，对“刑事合规1.0”的改进方向，就是破除刑事合规的独立化倾向，而以企业治理为路径，将刑事合规元素融合到企业治理架构和企业治理流程的每一个环节，最终实现企业治理的全面合规化。

事实上，在刑事合规实践层面，国家也已经关注到了刑事合规与企业治理的关系。

例如，根据国家标准化委员会近期发布的《合规管理体系 要求及使用指南（征求意见稿）》（GB/T 35770-XXXX）（下称：《征求意见稿》）就突出强化了企业合规治理的内容。

具体而言，本次征求意见稿，是在2017年《合规管理体系 指南》（GB/T 35770-2017）“领导作用”一章中，大幅增设了企业合规治理和最高管理者的合规方案。

本次《征求意见稿》以企业治理为核心，对于治理中的合规职能、合规义务、合规流程和管理者参与进行了设计，更为侧重合规与企业治理的全面融合。

除了本次《征求意见稿》之外，在其他的官方规范性文件中，也开始逐步探索合规与企业治理的匹配方案。

例如，在2018年11月国资委印发的《中央企业合规管理指引（试行）》中，就首先按照董事会、监事会和经理层的治理架构特点而配置合规元素。

又如，在2021年6月最高检等九部门印发的《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》中，就明确规定：“涉案企业提交的合规计划，主要围绕与企业涉嫌犯罪有密切联系的企业内部治理结构、规章制度、人员管理等方面存在的问题，制定可行的合规管理规范，构建有效的合规组织体系，健全合规风险防范报告机制，弥补企业制度建设和监督管理漏洞，防止再次发声相同或者类似的违法犯罪。”

换句话说，在这些规范性文件中，已经开始对合规与企业治理之间的融合进行了初步探索，虽然相关规定还属于原则性规定，尚无具体的实操指引，但这对改进“刑事合规1.0”，提升刑事合规方案的功能效果，具有重要意义。

在对“刑事合规1.0”进行改进和升级中，企业应当关注纵向合规和横向合规两个实操维度。具体而言：

企业治理本身体现的是“决策层”、“管理层”和“执行层”三个层面的行为交互，这里既包含决策、授权、指令、审批、监督、执行等“自上而下”的治理流程，也包含汇报、反馈、请示、报批等“自下而上”的治理流程。

在纵向配置中，有以下两个要点值得特别关注：

（1）企业顶层管理者在合规治理中的参与。在合规的纵向配置中，企业应特别注意为董事会、监事会、总经理、部门负责人联席会议等常规治理机构设置刑事合规元素，包括各治理机构内部的合规内容，及不同治理机构交互性合规内容，以充分规范履职行为的正当性和履职程序的合规性，从而防范刑事风险。

（2）遵循“实体”和“程序”的均衡之道。在为纵向治理架构融入刑事合规元素时，需要兼顾职权内容的实体正当和履职过程的程序正当。企业应当通过差别分析的合规技术，对涉及决策、授权、审批、监管等治理权力行使的具体模块和刑事诉讼路径进行标准化校准，确保在实体和程序两个层面都能有效防范刑事风险。

合规治理的纵向配置所关注的是治理权力的实体和程序问题；而合规治理的横向配置，则关注的是不同合规模块的设置和运行机制。例如，横向合规治理模块通常包括风险识别、合规控制和危机处理等几大版块，而这些版块又可以细分为合规风险审查机制，廉洁监督机制、培训警示机制等具体内容，而每一项合规机制本身，又可以细分出多个合规分项。

需要特别注意的是，在执行不同模块的合规机制时，企业需要将合规机制与司法实践进行校准，将刑事立法和刑事实务中涉及到的合规元素融入合规模块中，从而确保刑事合规机制的实质作用。