论刑事合规计划的实质有效性

王志刚，覃 已

重庆邮电大学网络空间安全与信息法学院，重庆 南岸 400031

引言

2016 年，美国富国银行的虚假账户丑闻受到了社会广泛关注，也引发理论界和实务界对企业刑事合规计划有效性的讨论。历史上，富国银行曾一直被认为是美国最受尊敬的银行之一。2016 年，富国银行同消费者金融保护局达成一项协议：因涉嫌在其客户不知情的情况下代表客户欺诈性地创建了恐超350 多万个虚假账户的不当行为，缴纳1.85 亿美元的和解罚款[1]。2020 年2 月21 日，美国司法部宣布同富国银行达成和解，富国银行同意支付30 亿美元罚款，并承认错误地收取了数百万美元的费用和利息，损害了一些客户的信用评级，非法地使用了客户的私人信息；同时富国银行及其子公司北美富国银行需要继续与司法机关保持合作，接受后续调查并遵守特定条件[1]。美国国会议员在听取了富国银行当时的首席执行官约翰·斯坦普夫的证词后宣布，导致这一丑闻发生的原因是银行“破碎的组织文化”（broken culture）[2]。虽然斯坦普夫最初否认了这一评估，但富国银行后来的做法似乎承认了这一点。富国银行发布了一份报告，宣称其正在建立一些旨在改善其文化的变革，包括取消零售企业家的销售目标、要求员工接受道德培训、建立一个新的直接向董事会报告的道德办公室（Office of Ethics）、聘请外部文化专家（culture experts）来识别问题等[2]。

虽然这一系列的极具合规目的性的手段将进一步完善富国银行的合规计划并符合监管机构对于有效合规的期待，但是仍不太可能防止富国银行在未来出现重大合规失误。因为在丑闻发生前，富国银行便基于《组织量刑指南》制定并运行着一套公认有效的合规计划，然而却并未阻止假账丑闻的发生。因此，沿着同一路径改善的合规计划，恐怕也并不能找到问题的根源。近年来，国内外各执法司法机关、学者及企业都在致力于制定一个有效的合规计划，但企业却始终无法防止所有不法行为，这不得不引起各界对于合规计划有效性的质疑。

1 刑事合规计划实质有效性的质疑

1.1 有效性与基础功能存在冲突

刑事合规计划是一种预防性思维，其首要功能便在于预防企业犯罪，同时预防犯罪功能又可反向证明合规计划的有效性。但基于许多类似于富国银行符合标准的、强大的合规计划并未阻止丑闻发生的事实，有质疑者提出，合规计划的有效性与其预防功能存在内部冲突：合规计划并不能阻止企业的违法犯罪行为，违法犯罪行为本身便可表明并不存在任何有效的合规计划。他们认为，客观犯罪事实的发生就说明刑事合规计划没有实现其预防功能，同时，在员工个人犯罪场景下，合规计划的存在并不一定可以排除企业过失的成立，利用刑事合规计划来评估企业过失的侧重点应当在于结果回避义务而非注意义务[3]。据此，企业也不能以具备有效的刑事合规计划为由请求从宽处罚，合规计划的另一出罪功能便也不能实现。由此，有质疑者便作出“评估合规计划的有效性本就是一个尴尬的悖论”的结论[4]。

1.2 沦为“花钱免刑”腐败机制

在美国司法中，一个有效的刑事合规所带来的最大影响就是暂缓起诉协议（DPA）和不起诉协议（NPA）[5]。暂缓起诉协议和不起诉协议本质相似，都是在协商治理框架下检察机关基于涉罪企业建立有效合规计划以及缴纳罚金的条件同涉罪企业达成的和解协议。据此，一些学者认为，企业通过缴纳巨额罚款以换取刑罚减免的行为实质就是花钱免刑[4]。如何保证以暂缓起诉协议或不起诉协议为载体的合规计划不沦为花钱免刑的腐败机制，的确是构建合规计划中应当注意的问题。

1.3 助推企业犯罪灰色化

有研究证明，合规制度与蓄意反复的职业安全及卫生条例违规行为间呈现正相关[6]116。研究人员进一步推测，企业有可能借助刑事合规计划的合法性外表来掩盖违法犯罪行为并减轻企业责任[6]116。据此，质疑者主张，有效刑事合规计划的表面特征很容易被模仿，从事违法犯罪行为的企业可以借此实现在没有纠正其违法犯罪行为的情况下便减轻甚至免除刑事责任的目的，这无疑将助推企业犯罪。

1.4 加重中小企业负担

构建一个有效的刑事合规计划需要高昂的成本，从硬件的购置、合规人员的配备到外部审查机制的建立（如审计及法务人员的聘用），再到对员工定期的合规培训，甚至是企业从事的公益事业等，都需要资本支持。这对于规模较小的企业是一个巨大负担[7]。然而，花费高成本的刑事合规计划所带来的经济利益，仅为避免可能因潜在的、不确定的不法行为而被判处罚金所遭受的损失。资本的本质是追求利润最大化，只有当效益大于成本时，企业才会基于经济利益的考量而主动做出行为。然而，企业是否会遭受罚金损失以及企业是否能够凭借刑事合规计划避免损失皆是未知数，由此，刑事合规计划存在代价高昂而成效甚微的问题。如果国家强制要求企业构建刑事合规计划，这对于本就生存困难的中小企业而言，无疑雪上加霜。

1.5 缺乏实证检验依据

缺乏实证检验依据证明刑事合规计划对企业犯罪存在威慑效应。大多数对于内部合规的研究，仅集中于分析合规计划的实质性内容以及调查员工对企业合规计划的看法和违反合规计划后的自我报告[6]116。虽然有部分实证研究希望通过合规计划和道德守则对员工行为的影响以证实合规计划的有效性，并作出了具备影响力的研究结果，但其研究方法却饱受诟病。例如，无法识别合规计划导致的行为改善，或依赖于实验设置中的道德困境，或依赖于员工单一的自我报告[6]115。此外，还有大量相关实证研究表明，合规计划仅为表面工程，缺乏有效性。

2 刑事合规计划具有实质有效性

质疑者们的主张或多或少都存在相应问题：或是将“效力小”偷换成了“无效力”，或是以“负效应”的发生去否定“正效应”的存在，或是混淆了“形式有效”和“实质有效”的内涵。笔者将对上述质疑进行一一回应，以佐证刑事合规计划有效性的成立。

2.1 有效性与预防、出罪功能并不冲突

犯罪行为的发生与合规计划的有效性并不矛盾。“采用循规蹈矩的几何规则限定人的躁动行为是不可能的，就像恒定的、极为简单的自然规律阻止不了行星在运动中相互干扰一样，人类的法律是不可能阻止出现纠葛和越轨行为的”[8]。任何刑事合规计划都不可能完全避免犯罪行为的发生。在对待犯罪结果发生这一事实时，应当认识到结果避免义务不等同结果预见义务。即便企业预先设定了对可能的法益侵害结果的保护路径，但若缺乏结果避免可能性，企业也不具备刑事可责性。因此，以客观犯罪结果来证伪刑事合规计划的有效性是不成立的。刑事合规的核心应当在于显著加重实施犯罪行为的困难，高度盖然性地避免犯罪行为的发生。此即为“风险升高理论”的内核：规范的目的不在于结果的避免，而在于降低结果发生的风险。根据该理论，有效的刑事合规计划所应实现的效果为足以减弱实际中实行不法行为的便利性，直至消除不利后果的危险，即实质性地减少犯罪可能性。当然，虽然犯罪事实不能从质的层面否定刑事合规计划的有效性，但也不能在量的层级上认为刑事合规计划的完全有效，应当根据不法事实对刑事合规计划的效用程度在一定区间内予以具体的衡量评价。

同时，对于员工个人犯罪场景中刑事合规计划的存在并不可以排除企业过失这一问题，如果将该质疑理解为对刑事合规计划形式化的忧虑，自然应当予以肯定。评价企业是否尽到注意义务不仅要具有形式要件，还要兼备实质有效要件，这也是本研究的主题所在。若上述质疑意指即便有效地实施了刑事合规计划仍可能将员工犯罪结果归责于企业，那么可以思考是否存在此种情况的案件。企业在员工个人犯罪场景中的刑事可罚性基础在于具有过失，包括管理过失和监督过失：前者是指企业管理人因物质配备、人事制度的不完备且与危害结果的发生存在直接联系的过失；后者是指企业在监督员工不实施不当行为方面的过失。监督管理过失的认定基础，主要是企业的人事选任、内部管理与预防机制，而这都是刑事合规计划所关注的核心[9]。上述批判认为，有效的刑事合规计划并不足以证明企业无过错（这里的“不足以”并非由刑事合规计划本身的不完全有效导致，而是指刑事合规计划已完美地构建并实施后仍未达到无过失的证明标准），需要其他证据加以辅证。然而，一方面，恐怕并不存在能够补充有效刑事合规计划证明力的不充分性的其他客观证据；另一方面，有效刑事合规计划与诉讼证明标准之间是否还存在缝隙？笔者认为，充分有效的刑事合规计划可以达到证明企业无过错的诉讼证明标准。无论是排除合理怀疑还是高度盖然性的诉讼证明标准，追求的都仅仅是待证事实合理的接受性而非绝对确定或客观真实。当有效实施刑事合规计划证明了企业在员工选任、内部管理及犯罪预防方面尽到了注意义务时，就不应当再人为地去提升证明标准，否则可能会导致司法错误的升高及制度效率性的降低。因此，刑事合规计划可以在员工个人犯罪场景下成为判断企业过失的客观评价要素，实现企业责任与员工责任的分割。

2.2 刑事合规计划换取刑罚减免具备正当性

应当肯定的是，以有效的刑事合规计划换取刑罚减免具备法理上的正当性。当代学者虽对于刑罚的目的存在多种观点，但提取最大公约数可以得出，刑罚目的在于预防、报应及惩罚（因本研究无意探讨刑罚目的，故不对报应和惩罚做细致区分，下文将之合并为报应惩罚目的）。那么，以合规计划换取刑罚减免应当保证企业构建合规计划能实现原本的刑罚目的。基于刑罚的报应惩罚目的，犯罪主体应当对自身实施的犯罪行为承担惩罚性后果。这要求企业必须承认其所犯下的罪行，并且法院需得首要衡量该犯罪行为的严重程度及危害。基于刑罚的预防目的中的特殊预防目的，对犯罪主体施予刑罚是为了防止其再次犯罪，换而言之，刑罚的根据是犯罪主体的危险性，“危险的大小便是刑罚大小的根据”[10]。这表明若是企业具备有效的合规计划足以消弭其危险性，对应刑罚则可以甚至应当予以减免。我国的认罪认罚从宽制度与之有异曲同工之处，二者都是在利益共赢基础上构建的一种体现了宽严相济刑事理念的量刑协商机制，为此，我国不少学者主张从认罪认罚从宽制度中引入合规机制。值得进一步思考的是，有效刑事合规计划可以作为量刑从宽事由，但缺乏刑事合规计划或不够有效可否成为量刑从严事由。在该问题上，学界已基本赞成不能将不合规作为加重处罚的依据，分歧主要在于是否可以将不合规作为从重处罚事由。一些学者认为不能排除企业不合规可以从重处罚[11]，又一些学者认为刑事合规只能作为从宽事由而不能作为从严事由。笔者支持后一观点。根据量刑基本规则，量刑的首要基准为依据罪行轻重确定责任刑，次要基准为依据犯罪主体人身危险性或预防必要性确定预防刑。作为确定预防刑所需考量的因素，有效刑事合规计划足以阻碍企业再犯罪，其预防必要性降低，自然可以从轻处罚。但是，不建立并实施有效刑事合规计划并不代表企业犯罪可能性升高，只是并未降低而已。赞成可以从重处罚的学者主张，“企业对合规的敌视，例如不实施合规制度，多次发生违法行为，当然可以从重处罚。这种情况下，公司不合规承担了品格证据的作用”[12]。笔者认为，这种情况的确可以从重处罚，但其事实根据并非“不实施合规”，而是“多次发生违法行为”，即便实施了合规计划，但仍多次发生违法行为，依旧可以从重处罚。基于禁止重复评价原则，在定罪层面已根据刑事合规计划的缺失或不完全有效而判定企业具有过错，那么在量刑层面就不得将其再作为从重处罚情节。

此外，在如何避免花钱免刑这一问题上，应当明确的是刑事合规计划的引入就必然导致检察职能的扩张，包括“决定是否接受企业的合作申请，对企业前期合规实践进行评价、确定企业认罪认罚的具体条件（尤其是罚款金额）、考察期限与考察方式，等等”[13]。这种扩张是合作协商司法发展的必然趋势，对风险社会中以风险防控为导向的积极一般预防及公私合作治理都具有重大意义。对于因检察职能扩张可能引起的权力寻租风险，可以通过建立健全权力制约与监督机制予以防控，例如加大具结书的司法审查力度、完善司法责任制、涉罪企业救济权利等。立法应当充分认识到，检察机关现在不应当只是司法监督人和诉讼权利保障人的角色，应考虑适当扩张检察机关的职能。

2.3 负效应的发生不能否定正效应的存在

刑事合规计划容易被模仿进而助推企业犯罪也并不是否定其有效性的合理理由。这里的表象化特征实则就是合规计划的形式要件，符合形式要件是实现刑事合规计划有效的第一个层面。但若仅停留在形式层面，则会产生形式化问题。进而言之，即便企业利用这一合法外观来逃避法律追责，那么也仅是合规制度附随产生的负效应，负效应的发生并不能否定正效应的存在。对于任何一种制度而言，对现实产生积极作用力的正效应和对现实产生消极作用力的负效应都是并存的，关键在于哪种有效性占据主导地位。如果制度的正效应远大于负效应，那么便可以称之为有效制度。因此，当前真正需要关注的，是如何通过构建实质有效的刑事合规计划降低这种负效应。

2.4 风险社会中企业合规成本是其必要的经营成本

刑事合规计划之于企业的经济利益可以消极地表述为：避免因对不当举止的处理和施加的外部惩罚而遭受损失[6]63。也就是说，实施了有效的刑事合规计划即可降低因不当行为的发生而带来的经济损失，其中包括因缺乏合规而施与的惩罚。但正如质疑者认为的，企业是否会遭受损失以及企业是否能够凭借合规计划规避损失皆是未知数。那么，如何去认定花费高昂成本只为规避这种不可计算的不确定的损失之于企业具有经济利益？要回答这一问题，就要涉及风险社会中风险分配的概念。风险社会理念由德国社会学家贝克首次提出。他认为，伴随着现代工业化的高速发展，人类已经迈入风险社会。在风险社会中，存在财富分配和风险分配两种分配逻辑，前者是对发展成果的分配，后者是对发展成本的分配。不同于传统社会因为“我饿”而使物质成为社会的主导需要，风险社会的驱动力——“我害怕”促使社会发展的主导逻辑由财富分配转向了风险分配[14]。风险社会中的风险因“飞去来器效应”而以一种整体性平等的形式出现在所有人面前，人类应当联合起来共同面对。易言之，在风险社会中每个人都具备承担风险的义务。风险分配的正义性应遵循按生产分配的原则，就是说，谁生产的风险越多，谁要承担的责任和为此付出的代价就要越多[14]。企业在推动社会经济发展的同时，又给社会带来了一系列严重问题，这些问题的存在或发酵蔓延足以影响人类的生活乃至生存。此外，企业相较于个人而言，资源持有更多且抵抗和承受风险的能力更强。因此，在国家资源稀缺的情况下，将企业可能给社会带来的潜在风险的抵御责任分配给企业，具备社会发展逻辑上的必要性和合理性。因此，在“焦虑的共同性代替了需求的共同性”[14]的风险社会中，不能因为风险（损失）的未发生而抱有侥幸心理对之置若罔闻，积极主动预防风险才是应有姿态。构建并实施刑事合规计划是企业在风险社会中应当承担的责任，为此付出的经济代价是其必要的经营成本。同时，这也为未来将刑事合规义务部分强制化提供了该视角下的正当化事由。

需要注意的是，企业以营利为目的必然要求节约成本，合规的经济负担就为合规划定了界限，构建并实施刑事合规计划的成本不能高于所带来的收益。企业的合规义务并非倾尽企业之力以完全消除内部犯罪可能性，而是采取适格的合规措施将潜在犯罪风险降低到法律可容忍的范围内。

2.5 实证研究存在先天不足

对刑事合规计划有效性的研究大体可以从实证科学和逻辑思辨两个维度进行。然而，“有关于合规计划效度的实证研究，试图让数据说话，非但没有解决问题还令问题更扑朔迷离”[15]。究其原因，主要有二。其一，实证研究方法的不可适用。就横向研究方法而言，存在取样困难的问题。要横向考察刑事合规计划是否对一个企业犯罪行为具备阻碍作用，需要选择两个及以上的可供比较的企业，其他状况如公司人员规模和资本规模、内部结构、经营范围、中高层的领导能力、所有员工的内心“良善”等也必须十分相似。不论客观因素，即使要选择出中高层领导能力和所有员工的内心良善等主观性因素都相近的企业，在事实上几乎不可能。就纵向研究而言，也存在方式缺陷的问题。纵向研究就是就同一企业构建刑事合规计划之前和之后的变化进行比较。纵向研究虽然规避了取证困境，但即便是同一企业，在不同时间也必然会发生诸多变化，由此也就难以分辨企业犯罪行为的发生或未发生是刑事合规计划所影响还是其他因素所影响。其二，研究对象具备隐蔽性和可转换性。这里的研究对象是指具备犯罪倾向却因刑事合规计划的有效构建或实施而未实行现实犯罪行为的企业。然而，具备犯罪倾向的企业（即潜在犯罪企业），具有隐蔽性的特点，不仅该群体数量无法查明，而且刑事合规计划阻碍了多少犯罪更是无法计算。与此同时，具备犯罪倾向的企业还具备可转换性的特点。在一定的时机和诱因下，潜在犯罪企业可能向守法企业转化，守法企业也可能向潜在犯罪企业转化。对此，更是难以测量其范围和数量。因此，在难以用实证科学就刑事合规计划是否对企业犯罪行为产生阻碍效用进行量化研究的情况下，回归逻辑思辨研究可能突破这一困境。

3 刑事合规计划实质有效性的影响因素

3.1 实质有效是刑事合规计划有效性问题的核心

有效性是一个多学科都会涉及的概念，包括政治学、法学、经济学、管理学、教育学、生物学等。目前，学界对于“有效性”的概念解释主要有以下几种。其一，与目标的相符性。在管理学中，有学者提出，企业内部控制的有效性是指内部控制对目标实现所提供的保证程度和水平[16]。这里的有效性，首先以目标为参照，目标是否达成、目标实现的程度与水平决定着有效性的有无及水平的高低[17]。其二，逻辑上的正确性。“有效性指谓命题之间的一种关联——作为演绎论证前提的命题集和作为该论证的结论的一个命题之间的关联。如果后者是逻辑必然地从前者推出的，我们就说该论证是有效的”[18]。其三，效力的达成性。在该界定下，有效性的含义基本等同于“效用”“效果”“效率”，这是一种从外部视角对主体作用于客体的结果、后果的考量。

那么，刑事合规计划的“有效性”又当作何界定呢？在界定前，有必要对“刑事合规计划”这一使用语境进行明确限定。刑事合规是合规在刑事法领域中的具体表现，是企业为了确保遵守刑事法律、避免刑事责任而进行的一切必要且可期待的努力。而刑事合规计划则是刑事合规机制得以落地的具体工具，同时也是企业行为基准。作为一个合规工具，刑事合规计划应当具有明显的效用功能，在这一层面“有效性”可理解为达成预设目的的可能性和程度水平；而作为行为基准，则需要将过程与标准进行对比，这里的标准往往由监管机构所制定的准则进行牵引，此时可以将刑事合规计划的“有效性”理解成一种价值正当性，包含了逻辑正确性和可接受性。简而言之，刑事合规计划的“有效性”包括两层含义：一是内部视角下的逻辑正确性和可接受性；二是外部视角下的效力达成的可能性和程度。

基于上述有效性的两层含义，刑事合规计划应该具有形式有效及实质有效的区分。确保形式有效是构建有效的刑事合规计划的基本前提，保障实质有效则是企业构建有效的刑事合规计划的核心问题。形式有效是指刑事合规计划形式层面的有效，即形式规范上的逻辑正确性。刑事合规计划的形式有效关注的是该计划的结构、组成要素。形式有效刑事合规计划应当包括防范、风险管理、监督、违法应对四大体系，具体包括合规制度、合规组织机构、组织合规文化、合规培训、风险识别、风险评估、风险处置、合规监测、内部举报、内部调查、惩戒处分、持续改进12 个基本要素。不同于形式有效追求制度规范性，实质有效关心的是如何通过刑事合规计划的有机运转，实质性地减少企业犯罪行为。理论界对于合规计划有效性的质疑基本上是缘于刑事合规计划并未实现其预期目的，即实质层面失效而提出的。实践中的“合规故障”也往往是基于实质有效的缺失所致。

3.2 外部监管具有局限性

从监管视角来看，实践中判定是否实质有效多以是否以及在何种程度上实现了防范犯罪行为预期目的为基准。各国监管机构为促进企业构建有效的刑事合规计划，首要措施是在量刑、起诉、排除责任方面规定了激励机制。这种激励机制是从监管机构自身出发的，是外部的。然而，仅仅依靠这种外在的激励措施是无法实现真正有效的合规的，还会产生形式有效但缺乏实质有效的诸多副作用。究其根本，是因为外在激励机制无法促使企业积极主动地、自发地进行合规。一方面，有效的刑事合规计划是动态的，是基于不同企业的规模、行业、组织结构等情况实现的。也就是说，对一家企业有效的刑事合规计划不一定适用于另一家企业。因此，监管机构无法对企业实现实质有效的合规指导，企业也无法参照其他任何一家企业的合规，要实现真正有效的合规只能依靠自身力量。然而在这种情况下，当企业在没有能力判断必须做什么才能获得激励时，即无法衡量执行刑事合规计划的成本与收益时，便很有可能不愿意在合规方面做出投资。另一方面，在外在激励机制暗中鼓励企业进行成本与收益分析的方式下，企业必定会将有限的合规资源投资到大额项目、高风险领域中，此举无可厚非，但忽略小额项目、低风险领域也可能会使企业的合规努力毁于蚁穴。一个看似微不足道的不当行为很可能会使周围人的道德约束降低，随着他们对不当行为感到自在，他们的道德约束会进一步降低，最终引发危险行为。所以，在面对很小的不当行为时也要提高警惕，但现实情况是外在激励机制并不会使企业考虑微小的不道德情境。

各国监管机构已经意识到了单一外部激励机制的局限性，开始强调“组织文化”在防止合规计划形式化上的重要作用，规定企业需要塑造一种使员工遵守法律并合乎道德的组织文化。这是监管机构针对如何实现合规计划实质有效而从企业视角出发采取的一项开创性措施。从企业视角来看，实现实质有效即是将实践与纸面计划达成统一，做到言行一致。要使刑事合规计划最理想化地运作于整个企业，根本在于说服员工想要遵守，即激发合规的内生动力，而激发合规内生动力的关键在于在企业中塑造合乎道德的组织文化。当员工的价值观与组织保持一致时，员工会将企业中的不当行为视作对自己的冒犯。在这种情况下，员工不再通过外部控制或激励来监视和检测不当行为，而是进行自我审视。当这种组织文化灌输至企业的每个员工时，不仅能够防止坏人做坏事，更能保证每个人都做正确的事情。当前，虽然各国监管机构明确了组织文化的意义，但它们并未给企业提供企业应在组织文化方面做出哪些努力的具体指导，导致实践中大多企业除了在形式层面进行合规的承诺外，而对于如何将合乎法律且道德的组织合规文化灌输至全体员工并对员工行为产生积极影响方面毫无头绪。

3.3 非正式规范更具作用力

Tenbrunsel 曾就影响员工行为的组织因素提出了一个组织道德基础模型（organization’s ethical infrastructure）的概念[19]285。该模型由三个子系统组成：正式系统（formal system）、非正式系统（informal system）和组织氛围（organizational climate）。正式系统和非正式系统都包括通信、监视和制裁机制，区别在于正式系统基于官方政策和程序，非正式系统基于官方政策和程序之外的东西；组织氛围基于员工对企业各种行为和事件的共同看法，决定员工普遍的行为偏好。三者之间是逐层嵌入的关系，正式系统嵌入在非正式系统中，非正式系统又嵌入在组织氛围中，嵌入越深的系统对员工行为道德选择越具影响力。正式系统的影响力弱于非正式系统，非正式系统的影响力又弱于组织氛围[19]299。笔者将借鉴这个组织道德基础模型，厘清共同价值观在企业内部的作用方式，从而理解企业组织文化如何实际影响员工行为。

书面刑事合规计划中的合规文化声明为组织文化的正式规范，它明确员工应以合乎法律和道德的原则和方式开展工作。组织文化的非正式规范即在组织结构中看不见但对组织文化的塑造会产生深刻影响的非制度性因素。塑造组织文化需要依靠管理层与员工之间、员工和员工之间的互动，而最能影响互动行为的因素便是群体中的“组织网络”。组织网络直观地反映了组织内部构成和沟通流。基于企业信息的沟通互动，组织文化的非正式规范应包括高层基调（上级向下垂直影响）、关键力量的作用（核心人物向周围辐射影响）、组织氛围（所有员工直接或间接交互影响）等。鉴于非正式系统和组织氛围的相嵌关系以及两者间共同的非制度性，笔者将两者合称为非正式规范。书面的共同价值观可以通过合规培训向员工传达，但其影响力微弱，当其与员工所面临的现实环境产生矛盾时很容易被压制，正式规范与员工距离远、作用力小；而通过非正式系统传达的组织文化信息则根植于员工自身的组织经验，对组织绩效、执行政策的能力、员工处理问题的态度和方式等都具有动态影响，与员工距离近，作用力大。实践中，企业仅围绕距离更远的正式规范做文章，对更具影响力的非正式规范置若罔闻，自然无法使组织文化有效发挥防止合规计划形式化的作用。

3.3.1 高层基调

在形成书面的共同价值观后，员工会评估是否存在可以实现企业在合规方面的承诺的组织基调，相较于言语上的承诺，员工更看重管理层的行为是否真正致力于合规。当组织基调适配于所声明的共同价值观时，便有助于推动这些价值观在组织中的接受程度和嵌入程度。高层是最具影响力的组织合规基调制定者，语气不能含糊不清。当高层奖励不当行为实施者或自身实施犯罪时，员工很容易识别出高层对组织文化的虚假承诺。当高层发出混淆信号时，员工便很难评估高层态度。换言之，高层一方面告诫员工要遵守法律合乎道德，另一方面却设定过度的绩效目标，要实现这些目标只能通过不法行为。当高层态度存在类似此种含糊之处时，员工可能会觉得为了达成绩效值得冒这个险，甚至基于企业认同感，可能会认为不法行为虽然可能是违法犯罪行为，但不是不道德的。

3.3.2 关键力量

如果高层为企业组织网络的出发点，那么关键力量则是网络中的交叉点。关键力量可以是中层或低层管理者，也可以是因个人特定因素而具有足够影响力的人，他们对员工行为道德的选择可以产生极大影响力。这种作用力可以通过互联网的结构及行为理论进行理解。互联网中存在超10 亿个网站，但仅有极少数的网站被注意到，这是因为这些少数网站能通过集线器和节点将超过80%的网站链接起来，从而成为大型的枢纽中心。在社会组织网络中，当个体之间相互接触时，他们会优先与“受欢迎的人”结合在一起，而这些成为影响力中心的人则会更快地获取更多的人脉。另外，行为理论研究发现，群体行为“不仅仅是由所有个体的平均值组成，更是由它每个个体的各种阈值如何联系在一起的精确细节所决定的”[2]。每个人的不道德行为都有一个阈值，即是否会参与违法犯罪行为，阈值愈高愈不易实施违法犯罪行为。当群体中阈值为“0”的人进行犯罪，阈值为“1”的人将会看到并加入，由此逐级递增，最终甚至会吸纳阈值很高的人。如果该行为者是一个“中心枢纽”，那么他可以同时降低许多人的阈值，这将极大影响整个组织的道德伦理。

3.3.3 组织氛围

组织氛围是员工对组织的共同看法，包括对组织政策和行为、员工被期望行为等的总体看法。组织文化是企业支持和鼓励何种行为的意思表达，而将企业对员工的预期行为转化为员工的实际行为少不了组织氛围这一媒介。组织氛围作为一种群体中的共同信息，由所有员工在彼此互动间形成，强调员工如何共同接收和看待企业对员工的期望行为。它对刑事合规计划的实际运转具有强大影响力，因为在合规关键时刻组织氛围会“告诉”员工“应该做什么”，而这里的“应该做什么”很有可能不同于从正式规范中所接收的信息。有学者提出，组织氛围有五种模式：一为工具性模式，即员工只会考虑自己的利益或组织的利益；二为关怀氛围，即员工会考虑他人的需要；三为独立氛围，即员工以自我的价值观为行为指导；四为规则氛围，组织的规则决定了如何处理员工面临的任何困境；五为法律准则氛围，社会标准规定了员工的适当行为[20]。其中，前两种模式可以看作以员工是否考虑他人为标准进行划分，后三种模式则是以员工行为选择的准则依据为标准予以划分。独立氛围易使员工自私，增加犯罪行为发生的可能性，而关怀、规则和法律准则氛围则会降低犯罪行为发生的可能性。由此可知，传递出能降低犯罪可能性的道德文化的组织氛围，应当是员工会考虑体贴他人，并且使个人价值观同遵循法律的组织道德价值观保持一致的氛围，即尊重他人、遵循法律、自我控制的氛围。尊重他人要求员工不能仅考虑自身利益，还应当对他人表现出体贴和尊重，顾及他人福利。遵循法律是指企业的组织文化不仅不能违背实体法律，也不能挑战程序正义。自我控制要求员工进行自主调节，使个人价值和企业期望相匹配。简而言之，利于刑事合规计划实质运转的组织氛围至少应当包括尊重、程序正义及自我控制三个方面的内容。

4 刑事合规计划实质有效化的进路

4.1 明确高层态度

一方面，高层应当表现出积极的参与和可见性。高层应积极寻找行业趋势和企业内部问题，并确定负责评估和报告行业热点及内部状态的合规负责人，保证合规的监测、评估、应对和补救机制顺利进行。具体而言，高层至少需要开展两方面的行动。一是投入足够资金和资源来支持合规职能。“支持合规职能”主要体现在确定合规负责人、设立合规职能部门并给予充分的合规资源；“足够”本意为能达到应有的或能满足需要的程度，这里则指能保证合规职能部门独立地、权威地充分实施刑事合规计划，同时不会造成合规资源浪费的程度。二是定期听取合规报告并进行审批。通过定期听取和审批合规报告，高层能快速掌握企业合规进展。若出现了意外的突发报告，高层需要对新问题进行及时的讨论和纠正。

另一方面，高层应当与企业各级组织就合规信息保持持续沟通，保证各级员工都能获得对合规重要性的认识和认同。合规信息的内容应当包括企业当前的合规状态、正在进行的举措、未决或现有的问题以及持续改进的需求。相较于沟通内容，高层更应当保障沟通质量。高层在每次重大沟通中都应当强调遵守法律、合乎道德的价值观和共同责任感，告诉员工其工作任务将有助于企业实现目标，并通过强调企业目标与道德伦理的相关性以加强员工行为的合法性和道德性。

4.2 重视关键力量

首先，尽可能排除可能不道德的员工的加入。在员工与企业首次互动时（即招聘阶段），就应利用相关测试方案或诊断程序测量员工对规则的感觉及合理化打破规则的倾向性，进而评估其不道德阈值为何等水平，并将可能的不道德者排除在外。其次，确定关键力量者。合规人员需要确定组织中谁是关键力量者，进而评估这些个人的风险水平，并给予更高的合规关注。再次，对关键力量进行合规及道德灌输。无论他们的道德水平如何，企业都应当抓住任何机会来影响他们的道德决策。一方面，通过正式系统中的合规培训进行。这种合规培训应当更具针对性，即围绕特定任务、针对特定行为进行正确反应，如此才能在员工面对具体风险行为时起到提示警醒的作用。另一方面，通过非正式系统进行道德内在激发，从培育合规道德的组织文化环境着手。最后，将关键力量培养为合规大使。企业应当将那些有道德且有影响力的关键力量培养为企业的合规大使，以增强组织内的道德行为。具体地讲，可以让合规大使组织与合规及道德相关的主题的非正式讨论，提高员工对不法行为的警惕性及道德决策的阈值。

4.3 营造尊重、程序正义、自我控制的组织氛围

首先，尊重的组织氛围是一种员工互敬互助的环境，它能帮助员工顺利完成任务。尤其是在一些问题棘手、合规复杂的工作中，员工之间的互相理解和尊重能够帮助他们共同渡过难关。营造尊重氛围，员工需要对其他员工的自主权及正当权益表现出尊重，即不干涉其他员工执行经考虑过的决定，肯定他人价值、保障他人利益不受侵犯。其次，营造程序正义的组织氛围涉及两个方面。一是决策过程的公平。例如，决策透明化、员工拥有一定的发言权，这有点类似于内部调查中的程序正义问题。二是合规程序运作的公平。当合规程序公平运作时，员工会相信管理层权威的合法性，并相信他们实际的价值观与合规制度表达的价值观相匹配，这反过来又将促进员工对组织规则的自愿遵守。同时，如果员工普遍认为企业公平对待员工，则更有可能报告他们观察到的违规行为。最后，自我控制的组织氛围是指当员工的个人价值观与企业共同价值观发生冲突时，员工克制自己的欲望和习惯而进行合乎企业价值的行为选择。在自我控制氛围下，员工注重自身行为的进步，即努力使自己做得更好，有效避免员工间相互比较从而引发逐底竞争。同时，专注自身进步的良好组织氛围又会反过来促进员工产生积极情绪，从而恢复因自我控制损失的自身资源。

4.4 明确刑事合规计划的效用边界及程度划分标准

明确刑事合规计划效用边界及程度划分标准是企业从检察机关等外部视角出发，提高判断刑事合规计划有效性能力和把控投入“足够”合规资源的前提和基础，是在我国“企业不起诉”刑事合规制度背景下加强外部抵御能力和最大限度获取外部激励的必要条件。

从检察机关视角出发考量刑事合规计划效用边界和程度，与企业主要通过合乎道德组织文化刺激合规内生动力从而实现实质有效并不冲突。首先，检察机关所采取的外部激励措施和内部积极主动合规并不是非此即彼的关系，抛弃外部激励对发展企业刑事合规绝不是明智之举，二者应当是以内部积极主动合规为主、外部激励助力内生合规的关系。其次，企业通过提高对刑事合规计划有效程度的判断能力，不仅可以基于经济成本的考量对投入“足够的”合规资源实现更好的把控，而且可以掌握获得外部激励的更有效途径以助力刑事合规计划的实质有效。当前。虽然该效用边界和程度标准在刑事合规还处于不断发展变革的境况中十分模糊且不稳定，缺乏一般化标准，即效用边界和程度标准的界定依赖于实践个案，但是，企业仍可以在具体个案的处理中摸索前进。

4.4.1 三个范围

刑事合规计划的直接目的在于预防和识别犯罪行为，首要考量可能会将刑事合规计划的作用对象（即潜在犯罪行为）作为有效半径。但这可能会产生过度规制的问题，导致合规耗费与收益之间不平衡，若要求企业的合规人员多于销售人员，更不具有事实上的可期待性。为此，有必要回到法律义务的设立原则上去思考义务主体履行义务的范围。

首先，具备可能性。刑事合规计划的实施与执行于企业而言必须是具备可能性的。这种可能性分为两种：一是事实上的可能性，往往表现为企业具备实行刑事合规计划的经济实力；二是法律上的可能性，例如，如果企业提出了破产申请，就不能要求企业采取法定行为履行合规义务。其次，具备必要性。必要性强调适格性和最小损害。适格性指的是刑事合规计划的实施足以防止犯罪行为发生。“足以”并非百分之百而是一种高度盖然性。人的行为的高度变化性使得难以侦测犯罪风险降低的程度及范围，不能实现对避免犯罪的“高度盖然性”的量化处理，而只能在每个合规监督情况中结合其独特性和主观性予以经验化判定。最小损害则是针对企业而言，即在诸多能够预防犯罪的同等适格手段中，企业可以选择对其损害最小（最少成本）的手段。最后，具备期待可能性。期待可能性的基本定义要考虑到企业自己认可的利益在显著的范围内应与其所遭受的危害后果处于一个恰当的关系中[6]287，也就是说，企业基于法益取舍和经济耗费的考量，使得其实施刑事合规计划所产生的不利后果和其所产生的利益处于相对平衡的关系。刑法只能为企业的组织义务提供一定的基本标准，而不能提供广泛的法益保护。这一点是必须要接受的[6]320，因此，不能要求刑事合规计划作用于任何风险行为。这便衍生出了（刑）法秩序所允许的风险和不被允许的风险两个概念。从这一角度来说，刑事合规计划的实质有效不在于防止任何风险的发生，而在于将可能的预期风险降低到法律允许的标准。虽然法律规定的不可穷尽性也必然要求从具体个案中确定不被允许的风险的内容，但仍可从三方面将法所允许风险的标准最大限度具体化：“ ①根据特定领域进行区分和考虑刑法外的法律规范作为先于刑法的价值规范；②结合谨慎义务规则中的责任分配；③考虑义务委托的合法性”[6]355。

据此，针对刑事合规计划效度边界，首先可以确定三个范围（图1）。根据可能性原则圈定第一层，即刑事合规计划预防犯罪效用的理想最优化，同时这也是刑事合规计划效度研究的意义范围，在该范围外无探讨其是否有效的意义。根据可期待性原则确定第二层，即刑事合规计划实质有效的最大半径，意味着履行合规所产生的利益等于不合规带来的利益。在第一层范围内（图中最外环形区域），企业由于不承担对其合规的合理期待则不具可责性。根据必要性原则限定第三层，即刑事合规计划实质有效的最小半径（最低标准），即足以预防犯罪风险发生的最轻微手段。在第二层范围内，刑事合规计划的作用效果虽然存在更优较劣的差异，但这种差异无法律评价意义，皆达到预防了犯罪行为、避免了刑事责任的实质有效。但若企业产生了认识错误未采取相当手段，便落入了最低有效标准之下（图中最内圆形区域），从而具有未遂和过失犯罪的可责性，具体如何认定其错误大小便涉及刑事合规计划效用程度的衡量问题。

图1 刑事合规计划的效度层级

4.4.2 四个权衡点

这里的程度标准并不是适用于不同企业或不同监督情形的横向考评，而是针对某一企业的某一特定情形的纵向考评，用以评价该具体情形下企业预防犯罪的努力程度是否达到了法律期望。虽然这种程度衡量无法实现精确量化，但仍可以从以下四个方面对刑事合规计划的效用程度予以最大可能的规范评价。

（1）犯罪行为发生的盖然性。估量犯罪行为发生盖然性是确定企业的合理预见范围和刑事合规计划的作用范围的基本要求。犯罪行为发生盖然性取决于可能被侵害的法益范围及单个犯罪行为发生的盖然性。首先，对于可能被侵害的法益，可以根据“企业的业务领域或经营活动类型、危险性、引发特大损害的危险和既有的违规情况、损害情况”来划定范围[6]322。其次，单个犯罪行为发生的盖然性可以从行为复杂性及员工质量予以界定。根据员工职务行为的不同，他们的犯罪倾向会相应地有所差别。例如，销售部门的员工较人事部门的员工而言，其出现腐败犯罪行为的可能性会更高。员工质量可以从员工本身能力和相关的先行负累予以把握。一个具备职业能力和经验的员工往往比没有经过培训的不具备经验的新员工更可信，相应的监控就可以适当减弱。而相关的现行负累是预判是否再犯的另一重要指标。如果一个员工过去发生过错误行为，那么他再次发生错误的盖然性就会增加，监督手段就应当相应加强。作为参考的可以包含刑事追诉、行政措施、企业考评及顾客投诉等。此外，还需考虑犯罪行为发生盖然性会提高的特殊情况。例如，当企业发生财政危机时，企业资金被截留和挪用的可能性会远大于企业财务状况正常的时候。

（2）潜在犯罪行为的损害预期值。这是企业权衡损害大小及消除损害成本之间的比例关系的现实根据。那么，企业当如何计算潜在犯罪行为的损害预期值呢？对此，可以参考下列计算公式：潜在犯罪行为的损害预期值=每个潜在犯罪行为所预计的损害值×具有刑法风险的行为数量（由员工总数量与犯罪行为发生盖然性相乘得出）×持续时间×(1－可复原度）。在该式中，有两个模糊的概念需要进一步明确，即：每个潜在犯罪行为所预计的损害值和可复原度。前者取决于损害利益的种类和个体损害的严重性。对公共安全利益的损害，或涉及生命权、健康权的个体性利益的损害大于对财产权的损害。而对可复原度的考量蕴含着恢复性司法的理念，强调恢复损害及对被害人的补偿，具体可以从受损程度、复原所需的人力物力及复原时间等予以衡量。根据经济比例性原则，损害预期值应当与合规手段的强度成正比关系，即合规手段的强度应当随着损害预期值的增加而增加。

（3）刑事合规手段避免犯罪的盖然性。该点探求的是合规手段减少风险的能力，即最终能取得何种效果。这是企业决定采取何等程度的合规手段的落脚点。由于无法从量化视角去确定可能的程度，现实中只能结合具体情景进行个别化处理。在具体个案操作中，管理层和合规官从可能被侵害的法益入手，根据经验法则采取足以切断可预见的犯罪因果关系链的措施。而保证手段措施的适格程度则依赖于企业管理层和首席合规官的能力水平，要求他们不仅要具有专业能力，更要具备敏锐的逻辑推理能力和丰富的经验认识。只有这样，才能在对事物发展达不到逻辑必然性的认识的情况下进行高概率的预判，而不至于承担因错误偏差引发的刑事责任。

（4）刑事合规手段带来的不利后果。考量执行刑事合规措施的不利后果是确定收益成本平衡的另一面。这种不利后果可能会涉及三方主体：首先，采取合规不仅会给义务主体（即企业）带来经济上的耗费，还可能对组织自由等法益造成损害；其次，合规监督会对被监督者（即企业员工）产生负累，包括对员工的劳动保障及其人身权利等形成威胁；最后，还可能对第三人法益带来间接性的不利后果，往往表现为“缩减企业自主性去降低风险使获得社会有益性的机会变得困难”[6]295。

5 结语

在刑事合规全球化的背景下，绝不能因为实践中企业刑事合规的失败而否定刑事合规计划的有效性。相反，大量合规失败案例反映出了刑事合规计划实质失效的问题。对此，在外部监管具有局限性的情况下，需要从企业更具影响力的非正式规范入手，明确高层合规态度，重视关键力量，营造尊重、程序正义、自我控制的组织氛围；同时，需要从检察机关等外部视角着眼，明确刑事合规计划效用边界及程度的划分标准，以此提高企业对刑事合规计划有效程度的判断能力，从而加强外部防御能力并最大程度地获取外部激励。