涉案企业合规改革视域下的企业合规风险

赵 恒

（山东大学，山东 济南 250100）

一、问题的引出

在我国，近年来随着企业合规理念备受关注，以合规计划为代表的企业违法犯罪行为治理举措逐渐被认可。一方面，国务院国资委、国务院发改委等单位持续推进国有企业合规管理改革，发布《关于在部分中央企业开展合规管理体系建设试点工作的通知》《中央企业合规管理指引（试行）》《企业境外经营合规管理指引》《中央企业合规管理办法》等文件，推动国企尤其是央企建立健全合规管理体系，提升依法合规经营管理水平。另一方面，最高人民检察院于2020年3月启动涉案企业合规改革工作，该项改革工作历经第一期和第二期试点，目前已进入全面推开阶段。涉案企业合规改革允许企业通过合规整改方式获得从宽处罚，既能够有效惩治企业违法犯罪行为，又可以为企业提供“二次机会”，实现企业犯罪治理模式趋向于惩罚与预防并重样态。［1］在试点期间，最高检等单位先后制定《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》（以下简称为《合规第三方机制意见》）、《〈关于建立涉案企业合规第三方监督评估机制的指导意见（试行）〉实施细则》（以下简称为《〈合规第三方机制意见〉细则》）、《涉案企业合规第三方监督评估机制专业人员选任管理办法（试行）》（以下简称为《合规第三方专业人员选任办法》）、《涉案企业合规建设、评估和审查办法（试行）》等改革文件，引导涉案企业合规改革试点探索方向并规范相关改革方案，特别是形成了由专业人员组成第三方组织进行客观、公正、有效的监督评估的思路，提高涉案企业合规整改有效性评价的科学性、专门性。

目前，关于涉案企业合规改革的研究成果通常侧重检察职能配置、企业合规考察、合规有效性评价标准等方面，但在一定程度上忽视了对一个关键性问题的回应，即何谓合规风险？之所以对此予以专门讨论，是因为企业合规建设本就是企业针对合规风险而开展的特定活动。例如，最高人民检察院发布的四批涉案企业合规典型案例均表明，准确发现和精准辨明合规风险点，是涉案企业开展相关整改工作的前提。正是如此，既有改革方案无不强调引导企业建立健全合规风险防范与应对机制，降低乃至消除企业实施违规违法犯罪行为的可能性。①参见《涉案企业合规建设、评估和审查办法（试行）》第一条第1款规定：“涉案企业合规建设，是指涉案企业针对与涉嫌犯罪有密切联系的合规风险，制定专项合规整改计划，完善企业治理结构，健全内部规章制度，形成有效合规管理体系的活动。”可见，是否针对合规风险设置合规计划，而合规计划落实又能否真正避免合规风险再次出现，是关于涉案企业合规整改有效性的核心命题。从这一角度看，科学认识和判断合规风险的主要内涵及其外在表现，是检察机关、合规第三方组织对涉案企业合规计划进行审查、评估和考察的前提性工作。

然而，就目前的学说观点和改革文件来看，法学界对合规风险的认识尚存在一些明显的分歧，例如，合规风险与法律风险是否等同，有关学说可分为肯定说和否定说，如若不能将二者准确区分开，则直接影响企业合规计划制定、实施与评估的成效。从这一角度看，既然企业合规计划行之有效的前提条件为合规计划是企业针对特定合规风险进行量身打造的，那么，准确识别和认定合规风险，自然属于科学设计企业合规计划有效性评价体系的基础性工作。［2］

鉴于此，笔者以“合规风险”为题展开探讨，既对法律规范和改革文件进行分析，又联系实证调研反馈，尤其是结合笔者入选“涉案企业合规第三方监督评估机制专业人员名录库”之后作为合规第三方组织成员参与相关工作的经验，探讨何为合规，梳理有关法律和文件中的“合规风险”条款，将合规风险与企业面临的其他风险进行比较和区分，并进一步界定合规风险之“规”的类型。由此，既可以为法学界准确且科学地认识企业合规计划提供新的视角，又可以为我国涉案企业合规改革深化适用提供智力支持，进而为修订《刑事诉讼法》并增设与合规风险应对和合规整改相关的法律条文，积累学理基础和实务支持。

二、合规以及合规风险的内涵解读

准确认识合规风险，是科学理解企业合规计划的前提。而在分析合规风险之前，首先需要判断何为合规。

（一）合规、合规计划的概念厘清

合规有广义和狭义之分。广义的合规，是指企业不仅要使其行为符合法律的规定，还要遵守企业内部规章、行业准则、道德伦理等。例如，德国学者托马斯·罗什教授认为合规中的“规”的特性是多样的，“它既可以是正式的法律，也可以是具体的行业标准或者仅仅是道德上鼓励的观点。”［3］德国学者齐白教授也持有类似的观点，他主张合规首先是法定的合规，有时又是伦理或其他方面的合规。［4］此外，巴塞尔银行监管委员会发布的《合规与银行内部合规部门》指出，“合规法律、规则和准则有多种渊源，不仅包括那些有法律拘束力的文件，还包括更广义的诚实守信和道德行为的渊源。”不过，与上述合规含义不同的是，狭义的合规又称为强硬的合规，指的是企业仅遵守或符合法律规定即可，而道德的、伦理的以及经济的视角不应被包含在其中。［5］

结合我国近些年来的改革探索和实务反馈，我国倾向于采纳广义的合规之立场。①参见陈瑞华：《企业合规的基本问题》，载《中国法律评论》2020年第1期，第178页；孙国祥：《刑事合规的理念、机能和中国的构建》，载《中国刑事法杂志》2019年第2期，第4页；李本灿：《刑事合规制度的法理根基》，载《东方法学》2020年第5期，第33页；李晓明：《合规概念的泛化及新范畴的确立：组织合规》，载《法治研究》2022年第2期，第146页。概言之，企业不仅要遵守属于法律渊源的规范性文件，而且要遵守成文或者不成文的行业准则、商业习惯和伦理、国际组织条约，以及公司自行制定的规章制度等。同时，有关改革文件也遵循这一思路，强调企业遵守各类规范的义务。例如，2022年国务院国资委公布的《中央企业合规管理办法》第3条第1款规定，“本办法所称合规，是指企业经营管理行为和员工履职行为符合国家法律法规、监管规定、行业准则和国际条约、规则，以及公司章程、相关规章制度等要求。”之所以广义的合规概念更受认可，是因为社会公众愈加普遍地意识到，企业仅仅守法是不够的，“企业伦理”“企业社会责任”以及诚信和道德行为操守等在企业经营管理中亦具有重要地位。［6］在这一背景下，合规之“规”，不仅包括国家相关法律规范，还包括商业道德伦理规范以及企业自愿设立的风险防范规范。［7］

由合规的概念可以发现，企业合规计划通常是由国家与企业共同规范的方式形成的［8］，进而企业合规计划可以被理解为是企业根据自身经营状况以及组织架构而设置的一套科学且有效的旨在防范、识别和处置违纪违规、违法犯罪风险的特定机制体系，并且，企业可在面临国家有关机关追责的情况下，将其作为主张减轻乃至免除其违纪违规、违法犯罪责任的重要依据。［9］

应当注意的是，无论是域外还是我国，企业合规计划愈加具备刑事化内涵。这是因为，作为预防、发现和制止企业内部违法犯罪行为的内控机制，企业合规计划在回应刑法监管的过程中，不断以刑法为参照对象，借鉴、引入了诸多刑法理念与规则，逐渐呈现出刑事化发展趋势，由此，实践中，企业合规刑事化的立法与执法实践活动在全球范围内逐渐确立并开展起来，即对构建实施企业合规计划的企业予以刑罚激励，或者对未构建实施企业合规计划或企业合规计划不完善的企业加重刑罚处罚。［10］而且，较共识的看法是，只有在行政法乃至刑事法领域确立相应的专门激励举措，才能真正推动企业合规计划广泛适用并引导企业合规计划发挥防范和处置合规风险的预期作用，而有效的合规计划则是刑事诉讼激励发挥作用的前提。［11］受此影响，最高人民检察院于2020年3月启动涉案企业合规改革试点工作，并于2022年4月在全国范围内推行开来，这是在刑事司法领域探索引入企业合规计划的可行路径。根据最高人民检察院发布的数据显示，2022年全国检察机关累计办理涉案企业合规案件5 150件，其中适用第三方监督评估机制案件3 577件，对整改合格的1 498家企业、3 051人依法作出不起诉决定。［12］而且，据了解，随着涉案企业合规改革深入推进，需要辩证吸取试点工作中合规从宽的实践经验，及时修改《刑法》《刑事诉讼法》，已成为法学界愈加认可的观点。［13］可见，如若企业合规计划未来被正式写入《刑事诉讼法》，可初步认为，企业合规计划刑事化改造在我国将会取得阶段性进步。

（二）企业合规风险的含义界定

关于何谓企业合规风险，首先应当指出的是，就现有学说探讨和实务探索而言，人们在讨论企业合规计划时较少专门谈及合规风险，似乎表明企业合规风险这一概念已成共识而无分歧。这实则是一种错觉。从部分地方发布的涉案企业合规案例来看，企业合规风险的认定标准反而出现了泛化的趋向。

1.就改革文件而言。例如，2022年国务院国资委公布的《中央企业合规管理办法》第3条第2款规定：“本办法所称合规风险，是指企业及其员工在经营管理过程中因违规行为引发法律责任、造成经济或者声誉损失以及其他负面影响的可能性。”不难看出，这一文件将合规风险归入“可能性”范畴，而这些可能性是负面影响的泛称，包括法律责任、有关处罚、特定损失和其他负面影响等等。又如，2006年我国银监会（已撤销）曾发布的《商业银行合规风险管理指引》（现行有效）第3条指出：“本指引所称合规风险，是指商业银行因没有遵循法律、规则和准则可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。”比较可见，在界定合规风险方面，上述指引将“重大财务损失”涵盖在内，而前文所提办法则侧重各类经济损失。综合可见，一些改革文件通常将企业违规行为可能带来的法律责任方面的风险、财务方面的风险、企业声誉方面的风险都纳入合规风险的范畴。但是，部分学说观点与相关文件的思路明显不同。在此方面，较具代表性的观点指出：企业治理面临的风险分为经营风险、财务风险和合规风险等三个方面，其中，财务风险是指企业由于在财务管理上存在混乱、舞弊、贪腐等行为而遭受经济损失或者无法实现营利目的，甚至濒临破产的风险，与之比较，合规风险既不同于经营风险，也不同于财务风险，是指企业因为存在违法、违规乃至犯罪行为，而可能遭受行政监管部门处罚和司法机关刑事追究的风险。［14］

2.法学理论界和实务界对企业合规风险的讨论通常表现为，如何认识合规风险与法律风险之间的关系。基于此，理解企业合规风险的合理内涵，将法律风险作为认识企业合规风险的“参照物”，可以将既有观点分为四种学说：“合规风险等同于法律风险说”“合规风险从属于法律风险说”“合规风险大于法律风险说”和“合规风险与法律风险交叉说”。在正式比较法律风险和合规风险之间的关系之前，还需界定法律风险的基本概念。法律风险不应被过度解读为涉法律风险，例如，企业依法经营且严格保证产品质量，但因合作方违约而无法按时收回到期货款，选择以起诉的方式要求合作方支付货款。这种情况不应被理解为该企业经历了法律风险。换言之，不是只要存在法律纠纷之可能性的都是法律风险。只有企业存在违反法律规定的特定义务而面临追责或者承受其他不利后果的负担之时，才可能出现法律风险。从这一角度看，无论是合规风险还是法律风险，通常要求企业自身存在违反特定规范之义务的情形。如若企业自身依规依法从事生产经营活动，但由于其他因素影响而面临不利后果之风险，此类风险可能被归入政策风险或者经营风险等范畴。

（1）“合规风险等同于法律风险说”是指，合规风险与法律风险的涵射范围是等同的。典型观点如，“合规风险，是企业本身全部法律风险，包含轻微法律风险和严重法律风险，而其中最高形态就是刑事合规风险。”［15］实务中，一些涉案企业提交的合规计划书中罗列数十个甚至十几个合规风险，而这些风险基本上都是企业违反某条法律或者某几条法律的可能性。还有的涉案企业直接将其在生产经营过程中遇到的各种法律纠纷都归入合规风险之中。例如，笔者受某地合规第三方机制管委会的委托对某涉案企业合规整改情况进行监督考察，发现该涉案企业委托某律师团队制作的合规计划书所列合规风险均是正在或者可能提起诉讼的事项。这显然是一种将合规风险进行宽泛理解的思路。对此，笔者认为，应当慎重对待这种思路，因为合规风险产生的前提是企业应当遵守特定的合规义务，而这种义务是具有强制性的行为拘束要求，且违反此类拘束要求之后会承担特定的负担。否则，合规义务的泛化导致企业承担过多的合规负担，只能带来不当增重企业生产经营负担甚至生存压力的消极影响。

（2）“合规风险从属于法律风险说”是指，合规风险的涵射范围要小于法律风险的涵射范围。典型观点如，相较于合规风险，法律风险是一个更广泛的概念，不仅包括企业自身违法违规带来的风险，还包括国家法律制度变化给企业带来的损失以及商业合作伙伴违规给企业带来的损失，其中，前者属于法律风险，同时也属于合规风险，后者（被害的风险、合同的风险等）属于防控经营类的法律风险，在公司治理中属于经营风险的范畴。［16］并且，考虑到合规风险带来的严重后果，合规风险应从一般法律风险中独立出来，被视为最重大的法律风险，也是企业所需要防范的特定的法律风险。［17］由此，企业合规并不是一般意义上的“法律风险防范”，而是针对前述三种风险所建立的自我监管、自我报告、自我预防和自我整改的公司治理体系。［18］另外，还有典型观点指出，以商业银行的合规风险管理为例，法律风险大于合规风险的原因包括以下三个方面：一是从渊源上看，“法律”是上位概念，而“规”是下位概念；二是法律风险的诱因广于合规风险的诱因；三是法律风险涉及的领域大于合规风险。［19］实践中，一些涉案企业将合规整改工作的重心置于围绕各项业务开展法律宣传和培训方面。这种企业合规计划设计思路反映的是，企业将其面临的企业合规风险一律视作法律风险，因此围绕学习各项法律规定设计具体的整改规则。

（3）“合规风险大于法律风险说”是指，合规风险是企业生产经营过程中面临的各种风险的统称。而法律风险是企业合规风险中的重要组成部分，这表明合规风险属于上位概念，而法律风险则属于下位概念。典型观点如，企业合规实际上就是企业风险管理，考虑到企业面临多种多样的风险，法律风险只是企业合规体系所需应对的风险类型之一。

（4）“合规风险与法律风险交叉说”是指，合规风险的涵射范围与法律风险的涵射范围之间存在部分重叠。换言之，两种风险之间的关系不是完全重叠的等同关系，也不是从属关系，而是交叉关系。典型观点如，合规风险与法律风险既有联系又有区别，两者有重合的一面，例如，金融企业因为某项业务而遭受处罚时，它所面临的合规风险同时也是一种法律风险，但是，合规风险并不完全等同于法律风险，它们各有其独立性，彼此不能涵盖。总体上，二者的不同体现在内涵差异、定位差异、管理所需技术差异等方面。［20］

综合比较上述四种学说可知，界定企业合规风险的内涵，关键在于厘清企业合规风险与企业法律风险的关系。对此，结合前文提及2022年国务院国资委发布的《中央企业合规管理办法》等改革文件对合规、合规风险、合规管理等概念的定义，笔者认为，就实现建立健全企业内部合规风险防范与处置机制并营造合规文化的目标而言，既然法律仅是企业合规计划之合规渊源的类型之一，企业违反党内法规、行业自治规则、行业惯例亦或是商业道德的行为，都有可能产生合规风险，那么，企业合规风险自然不能等同于法律风险。而且，企业自身面临的部分法律风险也不宜被归入合规风险范畴。从这一角度看，合规风险的涵射范围不同于法律风险的范围，且考虑到合规渊源类型的多元化，相较于法律风险的类型，合规风险的类型同样更具多样性，是故，笔者提倡，应当充分探讨和界定合规渊源，并在此基础上系统阐释“合规风险与法律风险交叉说”。这意味着，企业制定的预防和处置合规风险的合规计划方案需要从相对专业的层面规束企业及其人员的生产经营行为。由此延伸出来的结论是，企业合规业务的范围有别于且通常大于传统的企业法律业务范围。

结合上文所述，笔者认为，所谓企业合规风险是指企业及其员工因违反合规渊源所确立的合规义务而引发特定的违纪责任、法律责任、承受处罚或者承担其他消极影响的可能性。此处所指合规渊源包括以下几种类型：党内法规；法律法规；行政规章与监管规定；行业准则、行业自治规范、行业惯例；职业伦理；商业道德或者社会公德；国际条约、规则、标准等。其中，企业面临的最严重的合规风险即因违反合规义务而承担刑事责任。正是如此，当前由检察机关主导推进的涉案企业合规改革正在通过给予刑罚从宽激励的方式，调动企业重视并开展合规体系建设的主动性和积极性。当然，从一般角度来认识企业合规风险的形态，可以结合以下案例加以分析，也便于理解合规风险与法律风险、经营风险等其他风险类型之间的异同关系。2022年9月，某服装品牌A公司举行了一场以“逐梦行”为主题的服装秀，展示A公司发布了多款新品体育服装，其中几款新品一经发布便引起巨大的争议。原因在于，公众明显不认可该体育服装的设计造型。随后A公司的高管面对公众质疑所作的回应又进一步激化了舆论反应。这一事件直接导致A公司股价下跌。尽管A公司已经发布道歉声明，但此次事件的舆论热度仍居高不下，严重影响了A公司在中国体育服装品牌市场的形象。对于A公司面临的这一公关危机，笔者认为，其属于一种合规风险，因而不宜照搬传统的法律纠纷解决思维或者舆情应对思维来解决。体育服装新品的设计造型引起的争议属于合规风险的实害化结果的原因在于，A公司在设计、推广相关运动服装新品时，没有充分考虑和评判这一市场经营行为是否与国内的社会公德、民众情感相一致，忽视了建立健全与该市场经营行为对应的合规风险防范、识别方案，最终产生了企业形象受损的后果。此外，这一事件暴露出的合规风险还体现在A公司欠缺公司高级管理人员应对公关危机的方案。这集中体现为，在舆论不断发酵之时，A公司的高级管理人员作出颇有傲慢之姿态的回应，使得舆论愈演愈烈。概言之，A公司因服装新品设计造型而面对的舆论状况，就是合规风险实害化后的具体体现，而相关事件反映了A公司存在多个合规管理体系不足的情况，有必要在准确识别各个合规风险的具体类型的前提下，采取有效的预防、识别、应对和处置方案，即建立并完善专项合规管理体系。

考虑到当前涉案企业合规改革已进入全面推开阶段，当务之急是辨明涉案企业合规领域的合规风险的特定内涵。通常情况下，刑事司法领域的合规风险主要是指企业及其相关人员自身因违反法定义务而承担刑事责任的不确定性。为此，无论是由检察机关提出合规整改方面的检察建议还是由合规第三方组织对涉案企业合规整改情况进行监督考察，都应当围绕某一企业面临的刑事合规风险而展开，而不应将刑事司法领域的合规风险进行泛化理解，否则很可能扰乱涉案企业合规整改思路以及涉案企业合规整改活动的有效性。从笔者参与的部分案件监督考察情况来看，有的企业涉嫌串通投标罪，但提交了以“用工合规”为整改思路并旨在防止出现建筑施工事故的合规计划书，还有的企业涉嫌污染环境类犯罪，却提交了涵盖环境保护、知识产权保护、数据等多个方面的合规计划书。结合各级检察机关发布的多批典型案例可知，有关案例介绍大都未能精准解释某涉案企业的合规风险，而笼统地表述为找准合规风险点或者涉案企业建立合规风险发现机制等等。之所以出现上述情况，是因为涉案企业未能精准判断自身因有关犯罪行为而面对的实际的合规风险是什么。在此方面，根据《〈合规第三方机制意见〉细则》中提出“涉案企业提交的合规计划，应当以全面合规为目标、专项合规为重点”的要求，检察机关应当督促涉案企业聚焦合规风险中可能引发刑事责任的特定风险类型，建立健全专门的合规风险识别、筛选和处置机制，特别是，要将此类合规风险与通常提及的法律风险意识不高、规章制度不完善等问题区分开。

三、企业合规风险之合规渊源的类型辨析

如前所述，企业因违规而面临合规风险，此处所指的“规”即合规渊源。需要注意的是，立足我国社会经济国情，还需要专门讨论的一类“规”是党内法规。这是我国推进企业合规管理体系工作的特色。因此，除了对合规风险之“规”的常识性理解以外，还有必要专门辨析以下三类合规渊源，即党内法规、具有公德性质的伦理规范和企业制定的章程、规章制度。特别是，从防范企业合规计划泛化角度考虑，需要严格梳理企业合规风险之“规”的类型。

（一）党内法规

将党内法规纳入合规风险之“规”的类型，具有鲜明的中国特色，也是企业合规计划中国化的显著特色之一。党的十八大以来，党中央作出一系列关于加强党内法规制度建设的决策部署，统筹推进各领域党内法规制定工作，着力形成以党章为根本、以准则条例为主干，覆盖党的领导和党的建设各方面，内容科学、程序严密、配套完备、运行有效的党内法规制度体系。［21］“党内法规体系，是以党章为根本，以民主集中制为核心，以准则、条例等中央党内法规为主干，以部委党内法规、地方党内法规为重要组成部分，由各领域各层级党内法规组成的有机统一整体。”［22］根据2019年修订后的《中国共产党党内法规制定条例》的规定，党内法规的名称为：党章、准则、条例、规定、办法、规则、细则。在企业合规领域，将党内法规作为合规渊源的企业类型主要是国有企业，换言之，国有企业的不合规行为应当包括违反党内法规的行为。在我国，“国有企业”有广义和狭义之分。根据2003年国家统计局发布的《国家统计局关于对国有公司企业认定意见的函》，一方面，广义的国有企业是指具有国家资本的企业，包括纯国有企业、国有控股企业和国有参股企业；另一方面，狭义的国有企业仅指纯国有企业。为了规范企业生产经营行为并提高企业合规管理水平，加强对企业国有资产的监督与管理力度，笔者认为，纯国有企业、国有控股企业当然应将党内法规纳入合规渊源范畴，不过，国有参股企业也需要遵守和执行党内法规，即只要某一企业具有国家各种形式的投资和投资所形成的权益以及依法认定为国家所有的其他权益，该企业便应当将执行党内法规作为合规行为的评价标准。当然，具体来说，在国有企业中，承担遵守党内法规义务的人员类型是多样的。总体而言，将党内法规作为我国国有企业防范合规风险之合规渊源，可以进一步规范国有企业承受的合规负担，有利于加强对国有企业经营行为的监管力度，提升国有企业依法合规经营管理水平和应对经营风险的管理能力。

不过，从实务反馈特别是一些国企合规产品的实际状况来看，如何将党内法规融入企业合规管理建设的合规渊源体系，尚需进一步的讨论和探索。在此方面，笔者建议，国务院国资委应当及时修订其于2022年发布的《中央企业合规管理办法》，特别是在该办法的第三条中专门明确以下两个要点：一是，关于合规概念界定，将“企业经营管理行为和员工履职行为符合党内法规”的要求作为基本条件；二是，关于合规风险概念界定，需要专门强调合规风险，包括企业及其员工在经营管理过程中因违规行为引发纪律处分责任、政务处分责任的可能性，并将此类可能性置于识别合规风险的优先位阶。以此为指引，地方政府国资委制定有关国企的合规管理规范文件，应当进一步凸显党内法规作为合规渊源的重要性。

（二）具有公德性质的伦理规范

之所以允许涉嫌违法犯罪的企业通过建立健全并运行合规计划的方式获得从宽处罚乃至出罪的结果，是因为对这些企业给予从宽处罚具有公共利益需要。从域外实践来看，美国、英国、加拿大等国家均在暂缓起诉协议程序适用规则中提出了公共利益考量的审查条件，即只有某一案件适用暂缓起诉协议满足公共利益标准，检察机关才可以适用该程序并作出暂缓起诉决定。［23］在我国，检察机关主导推进的涉案企业合规改革同样体现了公共利益因素，即考虑仅惩罚犯罪对企业及其员工以及给经济发展、社会稳定带来的消极影响，如若对某一涉嫌犯罪的企业适用合规从宽处罚程序，既可以惩罚犯罪之主体，又可以避免刑罚对企业发展的过度危害，还可以保证经济发展、维护社会和谐稳定，那么，这一办案机制便具有了现实的维持公共利益之特征。从这一角度看，既然涉案企业合规改革强调刑事诉讼办案行为的公益性，意味着以合规从宽为由对该企业进行从宽处罚的行为不能仅是私利行为，换言之，企业推行合规计划以降低再次发生相同或者类似的违法犯罪风险的方案，能够产生超出企业自身经营发展之私利结果的公益效应。这实际上反映了企业合规计划的一个显著特征，即合规计划的道德性，换言之，企业合规计划的合规渊源之一是具有社会公共利益导向的道德。在我国，可以从社会主义价值观层面认识和理解此类道德。正是如此，有观点明确指出，企业合规的基本理念和宗旨是“企业不仅要赚钱，而且要干净地赚钱”，即要求企业的经营行为不仅要合乎本国的法律法规，还要遵守公司总部所在地、经营所在地的法律法规，遵守企业的内部规章和商业行为准则，以及职业操守和道德规范。［24］可见，涉案企业合规改革同样可以贯彻2013年12月中共中央办公厅印发的《关于培育和践行社会主义核心价值观的意见》以及2016年12月中共中央办公厅、国务院办公厅又印发《关于进一步把社会主义核心价值观融入法治建设的指导意见》的精神，将社会主义核心价值观融入企业犯罪治理领域，成为推动企业犯罪治理模式现代化转型的新助力。

企业合规计划在合规渊源方面的道德性产生多维影响。一方面，关于企业承担的社会责任。企业在社会中开展生产经营和管理活动，意味着企业不仅要通过经济上盈利的方式对股东负责，而且要更多体现对消费者、商业合作者、供应链伙伴、同业竞争者、周边社区等利益相关方承担责任，而“利益相关方”实际上呈现公共利益色彩，易言之，企业要承担具有公益性的社会责任，而非仅关注自身盈利，由此产生了企业“责任性合规关注”——强制性和指导性，而非纯粹道德性的企业社会责任范畴逐步走向合规化，已越来越多地成为世界共识。［25］以此为基础，企业将会形成更高标准的合规文化乃至企业文化。在此举一事例作说明：B公司生产的某一四维彩色超声诊断仪在检查胎儿发育情况和筛查先天疾病方面有较强的竞争优势，B公司在确定合作方时会重点审查潜在合作伙伴是否存在利用此类设备进行胎儿性别鉴定方面的违规行为，如若发现合作伙伴实施相关行为，B公司通常会选择拒绝向其售卖，该公司所持主要理由是将诊断仪用于胎儿性别鉴定的行为是不道德的，是明显有违自身公司文化的，这也是其自身承担社会责任的重要方式。另一方面，关乎企业合规管理体系的主要方案以及对合规计划有效性进行评价的标准规则的设置。有观点指出，消除导致身处企业之中的企业员工即自然人实施违法犯罪行为的诱惑等外在因素，使企业的经营管理、企业工作人员的执业行为符合行业公认并普遍遵守的职业道德和行为准则，属于消除导致企业成员违法犯罪外在环境因素的做法，即企业合规制度。［26］例如，以合规计划的合规部门与合规人员配置为例，将特定的人员合理地安排到合规岗位，并进行定期的合规培训，可以在一定程度上保证高层合规人员的道德性以及法规遵从意识，从而为合规计划自上而下地有效推行奠定了基础。［27］

综上可知，在涉案企业合规改革领域，企业合规计划的合规渊源应当包括道德，但并非包括所有的道德。换言之，此处具有合规渊源资格的道德需要突出企业应当承担的社会责任。为此，通常情况下，这些道德首先是指与公共利益紧密相关的社会公德和相关行业伦理规范，以保证企业合规计划营造的合规文化可以符合社会公众的期待并得到社会公众的认可。鉴于此，域外一些国家的实践立场表明，有必要参照行业道德守则标准审查合规方案。［28］例如，在美国，公司高级管理层是否清楚地表达了公司的道德标准，属于检察官评估合规计划实施情况的一个影响因素。［29］在我国，检察机关推进涉案企业合规改革，实际上也关注到了企业合规考察的公益条件的重要性——作为公众利益守护者的检察机关在决定对涉案企业适用合规考察制度时，将社会公共利益作为新砝码，可以确保涉企刑事案件的处理符合社会公共利益。［30］这实际上就要求检察机关应当对涉案企业合规计划中合规渊源的道德要素进行专门考量，督促企业重视道德塑造合规文化方面的重要性。

（三）企业制定的章程、规章制度

目前来看，将企业内部制定的章程和相关规章制度及其文件纳入合规风险之“规”的范畴，是当前较受肯定的观点，也是国务院国资委制定相关规范文件所采取的思路。初做分析可知，企业内部章程、规章制度被纳入企业合规渊源，体现了企业合规管理体系建设的“大合规”思路。然而，笔者认为，此类合规渊源的制定主体是企业自身，将企业内部章程、规章制度与国家法律、行业规范、国际条约等合规渊源等同对待，这显然并不妥当。特别是，如若不加区分而直接将企业自身制定的章程、规章制度用于评价该企业是否存在需要承担刑事责任的违规行为，很可能出现企业以符合内部章程和相关制度为由主张自身行为不构成犯罪。这显然并不严谨和妥当。正是如此，笔者主张，可以适当借助“内规与外规相区分”的思路，规范企业合规计划之合规渊源的效力位阶，进一步明确企业推行合规计划并防范合规风险之有效性的评价要素。

所谓内规与外规相区分的思路，是指将企业合规计划之合规渊源分为内规、外规两种类型：前者是指由企业自身制定的各种规范材料，包括但不限于企业章程、合规手册、各种具体规章制度和相关文件；后者是指由国家、社会、行业或者非特定主体制定或者推动形成的具有广泛适用性的各种合规渊源，包括但不限于国家法律、行业规范、行业惯例、公共道德与职业伦理、国际条约与规则等等。由此比较可知，外规在制定和实施方面更具权威性、严格性、公开性与公益性，而内规则由企业自主制定和实施。倘若不加区分地将内规一概纳入合规渊源范畴，不仅会不当拓宽企业合规计划的适用范围，过度丰富企业合规风险的类型，而且会过度增大企业合规计划有效性评价标准的个别化差异，即每个企业通常都会制定各自的内规，而一旦认为企业遵守各自内规便符合合规计划即存在合规行为的话，那么，这种合规行为的认定与评价门槛显得过低了，进而使得合规计划有效性评价标准恐难具有统一性、规范性和共识性，减损企业合规计划预防和处置合规风险的专门价值。

有鉴于此，在内规与外规相区分思路的指引下，一方面，肯定企业自身制定的章程、规章制度的正当性和必要性，但这些规定能否上升为合规渊源并成为判断合规风险的依据，进而成为企业以建立健全合规管理体系为由申请从宽处罚的条件，还需要进一步评判。概言之，应当将企业制定或者推行的章程、规章制度等规范与法律法规的一般要求进行比较分析，如若企业的章程、规章制度等规范所提出的履职行为标准高于甚至远高于法律法规设置的要求，可以考虑将其作为补充性质的合规渊源。由此可以促使企业在制定并推行合规计划过程中，既能够紧密契合自身生产经营与发展需要，设计具有独特性的合规方案，又可以全面且充分关照国家法律、行业规范、职业伦理与国际条约等外规的各项要求，将其融入内规之中并增强内规与外规的融合度，进而提升企业合规计划的可行性与有效性。另一方面，确定企业合规计划有效性评价标准的位阶方案，即优先评价企业遵守和执行外规的情况，然后才会适当评价企业自身制定内规的质量，不应简单地将企业遵守内规作为从宽处罚特别是刑事责任减免的依据，而应当确定内规不仅符合外规而且比外规更严格，否则便可能产生以下情形——已出现合规风险甚至是被追责的企业以其符合自身制定的章程和规章制度为由，主张其建立了合规计划且达到有效性标准。这显然有违国家推行企业合规管理体系的预期目标。

科学辨析企业合规风险的内涵，是推行涉案企业合规改革的前提；准确界定企业合规风险的类型，是引导涉案企业建立健全合规计划的基础；规范阐释企业合规风险的特点，是设计涉案企业合规整改有效性评价标准的关键。正是如此，在概括梳理法学界针对涉案企业合规改革、企业合规计划及其刑事化等主题的研究成果之后，本文选择以“企业合规风险”为题展开研习，为法学界更加全面地认识企业合规计划中国化的刑事法路径提供新的视角。法学界可以在认识企业合规风险之后进一步拓宽针对企业合规计划及其刑事化发展的研究范围。另外，还需关注的是，随着涉案企业合规改革深化适用，据了解，最高司法机关已启动修法建议工作，旨在将该项改革的有益经验写入《刑事诉讼法》。［31］在此背景下，探讨企业合规计划进入刑事诉讼法律体系的立法方案，有必要首先明确何谓旨在预防、识别和处置合规风险的企业合规计划，而认识合规计划的核心要素应当是认识合规风险。是故，研究企业合规风险的学理价值与实践价值，不仅局限于推动企业犯罪治理模式转型领域，而且体现在提升刑事诉讼立法科学化水平方面。