企业涉罪时出罪的重要路径——有效企业合规整改怎样做（下）

作者：陈育炽 | 2022.09.29

在我国，企业刑事风险有其严厉性和广泛性。严厉性在于，我国对单位犯罪实行“单罚制”或“双罚制”，但无论是“单罚制”还是“双罚制”区别只在于是否对单位进行罚款，而对于单位负责人或者主管人员来说只要被定罪就要遭受刑事处罚。在我国的中小企业中，多数会出现“人企合一”的现象，法定代表人锒铛入狱，对于企业来说就是灭顶之灾。广泛性在于，我国单位犯罪的设立并不局限于企业发展的某一个阶段或者企业经营的某一个部分，而是覆盖企业从设立到破产清算，以及生产经营的每一个行为之中。严厉性决定着企业着力于避免自身被定罪具有必要性，而广泛性则决定着企业在日常经营中完全规避刑事风险并不是那么容易的事。这就使得企业在面对重大刑事风险即“涉案”时具有“出罪”事由变得非常重要。

笔者将结合以合规顾问、监督听证等角色办理、参与多宗企业合规整改不起诉案件，吸收目前优秀的合规整改方式，提出有效企业合规体系建设的思路与方法。

一、从ISO37301中看有效企业合规体系建设的思路与方法

（一）企业合规环境、企业犯罪原因调查与明晰

根据《标准》，企业合规环境调查指的是企业需要明晰与合规目标相关以及影响其自身建成有效合规体系能力的内部问题和外部问题。明确这些问题是开始企业合规工作的前提。就如同上文所述，每个企业都有其自身特点，企业合规环境调查就是让企业先明晰自身的特点，确定自己的合规义务，评估与自身相关的合规风险，在此基础之上再开始具体的工作才可以确保企业的合规工作走在正确的道路上。

诚如《标准》使用指南A.4.5.所言：企业应该将合规义务作为建立、开发、实施、评估、维护和改进合规管理体系的基础。合规义务是合规工作围绕的中心，一切合规工作都是为了使得企业能够完全履行合规义务。所以明确企业面临的合规义务是合规工作的重中之重，一旦有所错漏，合规体系就不可避免地具有先天性的缺陷。在涉案整改中，准确发现企业的涉罪原因尤其重要。

（2）合规义务的来源

企业的合规义务主要来源于以下几类主体：

第一是政府机构，其合规要求主要表现在法律法规，这也是企业合规义务最主要的来源。但在我国，法治建设还不够完善，监管机构还可能临时出台红头文件来传递一些命令、规则，这也是合规义务的来源。这些是企业强制必须遵守的合规义务。

第二是客户、承包商、供应商，即业务中进行交易的第三方，来源于他们的义务往往体现为合同中的义务，合同虽然是企业自愿选择签订的，但是合同一旦签订，其实这种义务就已经确定下来了。企业也必须有措施来确定义务得以实施。

第三是行业协会等社会团体，来源于其的合规义务主要表现为行业标准等团体性标准，这些标准虽然大多是推荐性标准，但是企业一旦加以承诺，也会成为企业的合规义务来源之一。

法律法规、与企业进行交易的第三方、行业协会提出的要求其实都较为容易地进行变动。

（3）确定合规义务的方法

明确合规义务的来源之后，如何确定合规义务的方法也就浮出水面了。

关于政府机构发布的法律法规以及临时的命令规则，实际上就是需要获取相关监管机构的公示清单，第一是跟踪监管机构的网站，第二是订阅相关的信息服务，第三是与监管机构会面。

关于与客户、承包商、供应商等交易第三方合同中所牵涉到的合规义务，可以通过公司常规法务工作的开展来确定。

关于来源于行业协会等社会团体的合规义务，可以通过加强与行业协会中的成员沟通或者参加行业论坛或者研讨会来确定这类合规义务。当然，多与同行交流，对于各类型合规义务的确定都有一定益处。

合规风险是指公司或员工的行为违反合规义务而使公司受到法律制裁、被采取监管措施、遭受财产损失或声誉损失的可能性。首先需要明确的是，合规风险不可能完全避免。合规风险评估就是让企业可以将主要精力和资源优先集中于发生可能性较大的、后果较为严重的重点风险。

所以合规风险评估包括合规风险识别和合规风险等级定义。企业根据部门职责、员工岗位职责和不同类型的业务活动确定其中的风险源。然后根据其发生概率以及发生后对企业的影响程度确定风险的等级。

企业应当通过将其合规义务与其活动、产品、服务和运行的相关方面相关联来识别合规风险，还应评估外包业务所牵扯的独立第三方所带来的合规风险。并在经营出现新业务或者公司内部架构出现重大变化时重新评估。

有一点需要着重点明的是做了合规风险评估并不意味着放弃较低的合规风险，放任不合规行为的发生，企业将有限的精力集中于更高的风险后，最终的目标是把监管扩展到全部的合规风险，所有确定下来的风险都应该得到处理。

（二）从上而下搭建合规工作管理架构

（三）合规管理计划

在明确各主体的职能之后，公司应该制定合规管理计划，在计划中同时设立合规管理目标。在确定长期合规计划的同时，应该在每年确定一次该年度的合规计划。

（四）合规体系持续运行应该得到的支持

合规体系应当得到的支持首先是物质上的，包括财政、人力、必要的设备和场所，这是毋庸置疑的，也是体系得以运行的基础。但还有一些制度是能够支撑合规体系长期稳定运行的，其就像合规体系这棵大树生长的土壤，它们可能不是这棵“大树”的一部分，即与履行具体合规义务没有直接的联系，但是有了它们，合规体系的运行将会更加稳定有效，运行成本也将有所减小。

（五）合规控制措施

所谓合规控制措施即指确保合规义务得到履行，并可防止、发现和纠正不合规行为的一系列制度设计，从防止不合规行为的角度来看，其实ISO所提到的一切制度从宏观上都有助于防止不合规行为，所以在合规控制措施这一部分中笔者专注于不合规行为的发现与纠正制度。

（六）合规绩效评价制度

合规绩效评价指的是合规管理体系的工作成效评估，实际上是通过评价制度来检测一段时间内合规工作的开展是否合格，一方面可以发现合规管理制度的缺陷，另一方面可以以此来决定合规管理体系员工的奖惩问题，激励其致力于合规工作的开展。

（七）合规体系持续改进制度

随着公司的发展壮大以及法律法规的修改完善，合规体系不可能是一成不变的，所以必须要有持续改进制度以保证其适当性、充分性、有效性。

二、结语

企业合规体系建设运行不是一个轻易、一时的行为，而是复杂、长期的行为。这与我国的严厉打击犯罪的刑事政策是相吻合的，企业要尽量减少刑事风险，在员工“涉刑”时出罪，就必须有着充分、有效的合规工作，不可能轻易地就能把自己置身事外。所以，企业家们在有合规意识的同时，也要有合规工作要想有效就需要较为大量的工作的心理准备。但是，从成本上来说，合规体系所做的工作中也可以看出合规体系建设和公司管理体系的完善是融为一体的。在建设合规体系的过程也是在改善公司的经营与管理。从成果上来说，有效合规体系带给企业的受益是巨大的，这无论是在行政还是刑事上都是如此。作为企业稳定长期运行的“护航者”企业合规必不可少。