对“有效合规计划”的反思

陈瑞华

在刑事法律中确立“有效合规计划”的基本标准，始于美国联邦量刑指南，后来为英国、法国、意大利等国的法律所接受，目前已经成为欧美国家在确立刑事合规制度时所形成的一种传统。“有效合规计划”的法律标准之所以要确立，主要是考虑到企业仅仅有一项书面的合规文件还是远远不够的，企业建立合规管理体系的根本目的在于预防和发现企业内部的违法犯罪行为，并形成一种遵守道德规范和遵从法律的文化。要衡量企业的合规计划是否得到成功建立，其基本标准就是该项合规计划在达到上述目标方面是不是行之有效，而不是形同虚设或者毫无价值的。从刑事法律的角度来看，那些在犯罪时已经建立了有效合规计划的企业，既可以以此作为提出无罪抗辩的根据，也可以将此作为减轻处罚的量刑情节。检察机关对于涉案企业实施了有效合规计划的事实，可以作为决定是否提起公诉的重要考虑因素。而在那些确立了暂缓起诉协议制度或者不起诉协议制度的国家，涉案企业一旦作出建立或者完善合规计划的承诺，也需要提出一种有效的合规计划，才有可能与检察机关达成暂缓起诉协议或者不起诉协议。而在上述协议所确立的考察期结束之前，检察机关还会将涉案企业是否有效实施了上述合规计划，作为是否对其作出不起诉决定的重要依据。

欧美国家刑事合规的发展历程

美国是第一个在法律中确立刑事合规制度的国家。根据1991年颁布的《组织量刑指南》，一个有效的合规计划，既是检察官决定是否对涉案企业起诉的重要依据，也是法官对犯罪企业进行量刑时的参考因素。什么是有效的合规计划呢？简言之，这是指一个合理设计、实施和执行的合规机制，旨在有效预防和发现犯罪行为，促使企业建立一种依法依规经营的文化。该项指南列出了有效合规的“一般标准”：一是建立合规标准和程序，合理预防犯罪行为的发生；二是企业领导人和治理部门（董事会）监控和管理合规计划；三是将那些有过违法或者不遵守有效合规程序的人，排除于企业合规管理职能之外；四是通过培训等方式，向员工传达企业合规的政策和标准；五是建立有效合规的合理措施，如利用监测、审计和报告系统发现犯罪行为；六是建立惩戒机制，严格执行合规标准；七是持续不断地改进和更新合规计划。

2019年4月，美国司法部刑事部门发布了《公司合规计划评价》，并于2020年6月1日作出了修订。根据该文件，有效合规计划可分为三个方面：一是公司是否有一个设计良好的书面合规计划，这被视为合规计划有效性的前提条件；二是合规计划在组织上是否得到了严格执行和有效落实；三是是否存在着违规行为的有效识别、纠正和报告机制。我国一些法律实务界人士一般将其分别概括为“合规计划设计的有效性”“合规计划执行的有效性”以及“合规计划结果的有效性”。

>>2021年5月13日，最高人民检察院调研组一行来到江苏省张家港市检察院，调研企业合规改革试点工作并召开专题座谈会。资料图

2010年，英国通过了《反贿赂法》，在反商业贿赂领域确立了一种新型的罪名——“商业组织预防贿赂失职罪”。2017年，英国在反金融犯罪领域又确立了两种新罪名：一是“商业组织预防逃避英国税收失职罪”；二是“商业组织预防逃避外国税收失职罪”。这些新型罪名具有一种“预防特定犯罪存在失职行为”的入罪模式，在企业员工、第三方等实施相关犯罪行为时，企业本身要承担严格责任，构成一种失职类犯罪。与此相对应，英国法律对于上述三种失职类犯罪，都确立了合规无罪抗辩的机制。涉案企业只要提出证据，证明已经制定了“充分程序”来预防贿赂或者逃税行为的，就可以不承担刑事责任。

简要说来，所谓“充分程序”，包括六项合规计划有效性的原则。其中，“相称程序原则”是指公司要确立与其所面临的贿赂风险相称的反贿赂程序；“高层承诺原则”是指公司董事会、股东以及其他具有同等地位的组织或者个人，要作出反贿赂的承诺；“风险评估原则”是指公司要定期评估它所面临的外部和内部贿赂性质和程度；“尽职调查原则”是指公司为减少发生贿赂的风险，应对相关人员的尽职情况进行专门调查，以减少发生贿赂的风险；“有效沟通原则”是指公司要确保通过内部和外部的沟通，使其预防贿赂的政策和程序根植于公司内部，确保员工知晓并理解；“监控和评估原则”则是指公司要定期监控和评估其反贿赂的政策和程序，并采取必要的改进措施。

法国刑法并没有确立合规出罪和合规减轻处罚制度。但作为一部专门的反腐败法律，法国2016年通过的《萨宾第二法案》确立了强制合规制度。那些依法承担强制合规义务的企业，假如建立并实施了有效合规计划的，就可以免受刑事处罚或者行政处罚。这种有效合规计划可以包含以下几个要素：

一是制定行为准则，以便定义可能构成贿赂以及其他构成非法交易的行为；二是建立内部预警系统，以便收集员工提供的有关违法行为线索或者信息；三是进行风险评估，根据企业所属的行业和运营地区，来对企业的贿赂风险加以识别、分析和分级，并定期更新风险评估；四是制定内部和外部会计控制程序，以确保会计账簿、会计记录和会计账目不被用来掩盖贿赂行为；五是建立培训体系，以帮助那些最接近贿赂风险的高管和员工预防并发现腐败行为；六是建立惩处机制，以惩戒那些违反行为准则的员工；七是建立内部控制和评价制度，以审查合规制度的有效性。

2001年，意大利立法机关通过了著名的“第231 号法律”，对刑法典作出了重大修订，引入了刑事合规制度。根据这一法律，如果涉嫌犯罪的企业，有证据证明在犯罪之前实施了有效的合规计划，那么，司法机关就可以免除其刑事责任。那么，究竟什么是“有效合规计划”呢？对于这一问题，“第231号法律”只是笼统地规定，涉案企业需要根据其治理结构、业务和特征来量身定制一套合规计划，但并没有确立这类计划的结构和内容。

>>资料图

经过近十年的司法实践，意大利法院在相关判决中，逐步确立了有效合规计划的基本内容，这主要包括：（1）建立风险评估机制，确定管理人员或员工最有可能实施犯罪的领域；（2）建立企业在从事有风险的活动时所要遵循的适当程序（例如，企业从事业务、合资、代理或顾问、收购和处置、赞助、礼物、慈善和政治捐款等领域）；（3）建立一个内部控制和监督系统，监督机构必须保持完全的独立性；（4）建立一个持续更新合规计划的机制；（5）建立一种能够预防犯罪发生的最安全的长期财务管理方式；（6）对于所有管理人员和员工强制执行合规计划，并为那些在风险领域工作的人员提供合规培训；（7）采取纪律措施来制裁违规行为。

我国检察机关刑事合规的改革探索

从上述欧美国家刑事合规的发展历程来看，合规计划的推进几乎都是从反腐败的角度开始的。这些国家大体确立了合规出罪或者合规宽大处理的刑法激励机制。应当说，对于一个声称已经建立合规计划的企业而言，司法机关要对其合规计划的有效性作出恰当的评估，就需要掌握一些可操作的判断标准。但是，考虑到每个企业的性质、业务、治理结构以及涉嫌犯罪的情况都存在着较大的差异，法律要为所有涉案企业设置一种具体可行的合规评估标准，也是一种不可能完成的工作。在此情况下，立法机关或者司法部门从兼顾现实必要性和可行性的角度出发，为企业合规计划的有效性评估设定若干明确的指标或要素，或者设立几项最低限度的原则，就成为一种势在必行的出路。

可以说，从上述美、英、法、意等四国建立刑事合规制度的经验来看，所谓的“有效合规计划”，也就是司法机关对涉案企业的合规计划有效性作出评估的基本依据。经过多年的相互借鉴和制度移植，这些合规计划有效性的要素，已经变得大同小异了。

自2020年3月以来，我国最高检察机关开始了企业合规监督考察制度的改革探索。

在这场改革中，一些涉嫌犯罪的企业在认罪认罚的前提下，向检察机关提交了合规整改方案或者刑事合规计划，作出了建立或者改进合规管理体系的承诺。对于符合条件的涉案企业，检察机关批准了这种合规整改方案或刑事合规计划，并设置合规考察期，指派第三方合规监管人对企业实施合规整改方案的情况进行监督、指导、报告和验收，在合规考察期结束前，检察机关还会组织合规验收听证会，对企业建立和改进合规管理的效果作出权威的审查和评估，并将此作为对企业放弃起诉的主要依据。但是，无论是在启动合规考察程序方面，还是在开展合规评估验收方面，检察机关都没有现成的可操作标准，这在很大程度上制约了这场合规监督考察制度的深入探索。

为解决这一难题，一些检察机关将目光投向那些已经确立成熟合规制度的欧美国家，采取“拿来主义”的策略，直接将这些国家所确立的“有效合规计划”加以吸收和借鉴，将其作为我国检察机关开展合规考察和合规验收评估的标准。有些实务界人士甚至较为自信地断言，美国有效合规计划的三要素，也就是合规计划设计的有效性、合规计划执行的有效性和合规计划实施结果的有效性，可以成为我们对涉案企业合规整改作出验收的基本标准。

“有效合规计划”恐将沦为“纸面上的合规计划”

那么，上述无论是内容还是表述都十分相似的“有效合规计划”，究竟能否成为我国企业开展刑事合规整改的有效性标准呢？答案是否定的。主要原因有以下几个方面：

首先，所谓的“有效合规计划”，几乎都属于企业日常性的合规管理体系，而无法成为涉嫌犯罪的企业进行刑事合规整改的标准。在合规管理建设方面，存在着两种差异较大的合规有效性评价体系：一是日常性合规管理体系，也就是企业在没有发生违法犯罪事件的情况下，基于常态化的合规风险防控而建立的公司治理体系；二是合规整改体系，也就是企业在发生违法犯罪事件之后，为应对刑事执法调查、获取合规激励而建立的应急性合规纠错和修复措施。前述欧美国家所确立的“有效合规计划”，显然属于基于合规风险评估所建立的常态化合规管理体系，并没有专门的针对性，也没有制度纠错和修复的内容。上述有效性标准可以适用于几乎所有企业为防控任何一种合规风险所建立的合规管理体系。而对于一个涉嫌犯罪的企业，究竟如何发现合规管理漏洞、如何作出有针对性的制度改进、如何防止企业再次发生类似犯罪行为，这些“有效合规计划”则并没有给予专门性的关注。

其次，这些“有效合规计划”，几乎都是对企业犯罪前已经实施的合规管理体系的评价根据，而难以成为对企业犯罪后合规整改有效性的评价标准。对于那些建立并实施过合规计划的企业而言，前述“有效合规计划”大体涵盖了合规管理体系的基本构成要素，可以成为对这类管理体系作出有效性评估的主要依据。但是，对于一个在刑事司法程序中作出合规整改承诺的企业而言，司法机关所要做的是一种类似犯罪学家所要做的工作，包括研究犯罪现象、查找犯罪原因、探求犯罪控制方案的工作，终极目标是在迫使企业终止犯罪行为的前提下，作出有针对性的制度改进和漏洞堵塞，预防再次发生新的类似犯罪行为。要评估企业是否提供合规整改达到这种预防犯罪的目标，检察机关就需要掌握一些有针对性的评估标准，而不只是一系列原则性较强的合规制度要素。可想而知，即便涉案企业在形式上建立了上述合规制度要素，如风险评估、高层关注和承诺、合规内部调查、培训和沟通、对违法人员的惩戒、合规制度的不断改进等，但假如不针对企业发生犯罪的原因进行制度纠错的话，那么，这些形式化的合规管理制度，也注定会流于形式，无法发挥预防犯罪、督促企业依法依规经营的效力。

第三，在检察机关只能设置较短合规考察期的情况下，要求企业按照这些“有效合规计划”的标准来建立合规管理体系，通常不具有现实可行性。与日常性合规体系建设不同的是，涉案企业的合规整改，通常要受到一系列因素的制约，例如检察机关的强力监管、第三方合规监管人的监督指导、合规考察期的有限设置、社会各界对合规整改效果的强烈期待和监督，等等。在此背景下，合规整改要在短时间内发挥实质性效果，企业就必须确立一些现实可行的制度纠错和修复方案，而不能好高骛远，追求建立不切实际的“大而全”的合规管理体系。在一定程度上，合规整改就是企业在发现犯罪直接原因的前提下，对其治理结构、管理方式、商业模式、财物监控、第三方商业伙伴管理等作出结构性的制度调整，消除导致犯罪发生的制度因素。而欧美国家的一些“有效合规计划”，动辄要求涉案企业建立全面的监测、审计和报告制度，建立内部举报制度，持续不断地改进合规计划，等等，这至少对于部分涉案企业而言，既没有针对性，也不具有可行性。

最后，这些“有效合规计划”过分追求合规计划的体系化，无法指导涉案企业进行有针对性的合规整改，无法实现“去犯罪化”的合规整改目标。在合规管理体系建设方面，“体系化”与“有针对性”是一对经常发生冲突的目标。通常而言，日常性合规管理机制的建立，侧重追求合规的体系化，以便于发挥防控潜在合规风险的作用。但对于危机发生后的合规整改活动而言，要有效地实现预防犯罪、督促企业依法依规经营的目标，最现实可行的目标还是注重合规整改的“有针对性”，也就是针对企业犯罪发生的制度原因，结合企业的性质、业务、规模和业已暴露的合规风险，作出与其相对应的制度纠错和修复努力。当然，这种有针对性的合规整改，可能会存在“注重短期效应”的问题，而体系化的合规体系建设则有助于发挥“长远和长久预防犯罪”的功能。不过，在没有消除业已暴露的制度缺陷和管理隐患的情况下，动辄奢谈什么“合规体系化建设”，这恐怕也会走向无效合规的陷阱。

企业合规计划是一套以防范合规风险为目的而建立的公司管理体系，这套体系在欧美各国几乎越来越具有相同或相似的标准。但这套体系要被引入我国的企业管理体系之中，就需要保证其与我国企业治理结构具有兼容性。当前，我国企业治理结构存在着根本性缺陷，例如很多企业都存在着“内部人控制失控”“所有权虚置”“产权虚置”等问题，股东大会对董事缺乏有效的制约，董事会也经常被高级管理团队所架空，职业经理人队伍并不发达，企业内部普遍存在着以经营业绩和盈利状况进行层层考核的管理方式。在此公司治理结构不发生根本改变的情况下，企业以欧美“有效合规计划”为蓝本，引入合规管理体系，可能就会存在不兼容和操作失灵的问题。无论是企业搭建日常性合规管理体系，还是检察机关督促企业进行合规整改，在不解决治理结构缺陷的情况下，引入合规管理体系，就犹如在荒漠上搭建一座大厦，或者在沼泽地建立一座大桥一样，注定将实施一种“纸面上的合规计划”，根本无法针对企业管理模式和商业方式的缺陷和漏洞，建立起一套有效防控违法犯罪行为的管理体系。