從涉案企業(yè)合規(guī)不起訴的落地看企業(yè)合規(guī)制度的構(gòu)建
作者：曾崢 陳伊韜 2022-11-10合規(guī)“complince”已然是時下非常熱門的一個話題。合規(guī)作為舶來品早年常見于外資企業(yè)，后來陸續(xù)有了央企、國企及民企的跟進，如18年的《中央企業(yè)合規(guī)管理指引》中的正式規(guī)定，但由于缺少本國法律制度上的基礎(chǔ)，因此適用和討論的空間相對有限，但自2020年3月最高檢帶動的涉案企業(yè)合規(guī)監(jiān)管試點工作以來，合規(guī)尤其是刑事合規(guī)的制度性構(gòu)建正式提上議題，合規(guī)的概念外延得到擴張，這種自上而下、以檢察院為主導的企業(yè)合規(guī)整改迅速推進和倡導揭示合規(guī)的價值，因此受到廣泛關(guān)注。2021年6月以來關(guān)于涉案企業(yè)合規(guī)第三方監(jiān)督評估機制建立的指引、辦法陸續(xù)出臺，具有中國特色的本土合規(guī)不起訴制度基建初步落成，糅合了第三方監(jiān)督評估要求，以事前預(yù)防、事中補救、事后整改三階段為核心的大合規(guī)范式，既是檢方在進行合規(guī)考察時的評判要素，也是企業(yè)未雨綢繆查漏補缺時的參考依據(jù)。最高檢至今已陸續(xù)發(fā)布三批典型案例，結(jié)合案例來看一下企業(yè)怎樣構(gòu)建和完善合規(guī)制度非常有參考價值。總的來說，企業(yè)在構(gòu)建和落實合規(guī)制度時應(yīng)該妥善處理好以下幾個關(guān)系。
一、處理好專項合規(guī)和全面合規(guī)的關(guān)系
合規(guī)即成本。對于所有企業(yè)來說，保障企業(yè)發(fā)展盈利是第一要義，快速推進全面合規(guī)的成本無疑太高，在容易出現(xiàn)刑事風險或行政風險的特定領(lǐng)域進行專項合規(guī)可能是企業(yè)從成本角度考慮的覺悟。但是在2022年4月份發(fā)布的《涉案企業(yè)合規(guī)建設(shè)、評估和審查辦法（試行）》中第21條明確提到：“涉案企業(yè)應(yīng)當以全面合規(guī)為目標、專項合規(guī)為重點，并根據(jù)規(guī)模、業(yè)務(wù)范圍、行業(yè)特點等因素變化，逐步增設(shè)必要的專項合規(guī)計劃，推動實現(xiàn)全面合規(guī)。”從這里可以看出，如果企業(yè)涉案，在后續(xù)接受檢察院主導的合規(guī)整改時，很可能需要面對檢方或者第三方監(jiān)督委員會要求的以全面合規(guī)作為目標的徹底改造的。在最高檢第一批發(fā)布的合規(guī)典型案例三中：深圳市王某某、林某某、劉某乙對非國家工作人員行賄案[1]中，某音響設(shè)備供應(yīng)商Y公司業(yè)務(wù)員王某某為了在客戶B公司設(shè)備采購中獲得照顧，向B公司采購員劉某甲陸續(xù)支付了好處費25萬元，并在劉某甲暗示下向B公司技術(shù)總監(jiān)行賄24萬元，由Y公司經(jīng)審核批準，通過第三方賬戶轉(zhuǎn)出行賄款，深圳市南山區(qū)檢查機關(guān)了解到Y(jié)公司是擬上市的重點企業(yè)，且在音響設(shè)備領(lǐng)域處于國內(nèi)領(lǐng)先地位，因此不僅圍繞商業(yè)賄賂犯罪相關(guān)的企業(yè)內(nèi)部治理存在問題為其制定了合規(guī)計劃，而且在回訪時針對企業(yè)可能涉及的知識產(chǎn)權(quán)等合規(guī)問題進一步提出了指導意見，推動企業(yè)查漏補缺并重啟上市申報程序。 這里給我們的啟示是，對于企業(yè)來講，一方面如果沒有提前做好全面合規(guī)體系構(gòu)建的準備，那么即使得到機會接受合規(guī)整改的，后期需要付出的成本以及精力可能非常巨大的；另一方面，不能把檢察院主導的合規(guī)不起訴制度簡單理解成一對一的辯訴交易，其在合規(guī)考察期之外，還會有對企業(yè)一個長期的跟蹤和回訪，這種考察很可能是全面而不是僅局限于涉案的某一個領(lǐng)域。
二、構(gòu)建好事前、事中和事后合規(guī)的體系
分析最高檢頒布的幾個合規(guī)典型案例同樣可以發(fā)現(xiàn)，檢方要求涉案企業(yè)提交合規(guī)計劃或者整改方案中要求企業(yè)完善的很多舉措，從“事后諸葛亮”的角度來看，都可能可以通過事前合規(guī)預(yù)防體系或者事中危機處理機制中來應(yīng)對。以近期較熱的數(shù)據(jù)合規(guī)為例，在第三批公布的全國首例數(shù)據(jù)領(lǐng)域刑事合規(guī)不起訴案件[2]中，涉案企業(yè)Z公司通過數(shù)據(jù)爬蟲技術(shù)非法獲取某外賣平臺的信息數(shù)據(jù)，給該外賣平臺造成4萬元的損失，觸犯了非法獲取計算機信息系統(tǒng)數(shù)據(jù)罪，隨后向檢察院申請適用合規(guī)監(jiān)督考察程序。我們可以清晰地發(fā)現(xiàn)，檢方在引導Z公司進行合規(guī)整改時適用了循序漸進的三階段大合規(guī)體系： 第一步是事后合規(guī)整改，在于消除不法行為及不法行為所產(chǎn)生的后果，會考察企業(yè)是否全面停止涉案違法行為并積極進行賠償，或者退繳違法所得，在本案中，Z公司圍繞管理措施、技術(shù)措施、制度進行自查整改，Z公司與E公司達成合規(guī)數(shù)據(jù)交互約定，徹底銷毀相關(guān)爬蟲程序及源代碼，對非法獲取的涉案數(shù)據(jù)進行無害化處理，并與E平臺API數(shù)據(jù)接口直連，實現(xiàn)數(shù)據(jù)來源合法化； 第二步是建立事前、事中的合規(guī)預(yù)防、控制體系，主要包括以下幾個層次： 首先是管理層與相關(guān)從業(yè)人員的自查自糾。在本案中Z公司誤將爬蟲技術(shù)認為是業(yè)內(nèi)公開的技術(shù)代碼，并未想過這樣使用會構(gòu)成犯罪，因此合規(guī)整改中要求明確企業(yè)負責人、高管以及業(yè)務(wù)員對于涉數(shù)據(jù)安全保護違法違規(guī)行為是否有了深刻的認識，對造成企業(yè)發(fā)生涉數(shù)據(jù)違法違規(guī)行為的內(nèi)因和外因是否進行了全面分析——其實這里也涉及到一個事前合規(guī)的認識問題。爬蟲技術(shù)本身不違法，但未經(jīng)授權(quán)訪問或抓取數(shù)據(jù)，或是將通過爬蟲手段獲取的數(shù)據(jù)用以實施違法犯罪行為的則會涉及刑事風險。早年湖南九象[3]、杭州魔蝎[4]等案件均揭示了相關(guān)數(shù)據(jù)爬蟲行為的刑事違法性，一些貸超平臺和大數(shù)據(jù)服務(wù)商違規(guī)收集用戶隱私數(shù)據(jù)，售賣至套路貸平臺等，給消費者的財產(chǎn)安全帶來隱患，刑事司法學界包括律師也對相關(guān)行為的刑事合規(guī)風險有過廣泛而深入的探討，如果一些涉案企業(yè)能從這些案例中得到警醒，更早的重視和落實包括風險評估及控制在內(nèi)的事前合規(guī)，損失和成本自然遠遠低于案發(fā)后再整改。當下《網(wǎng)絡(luò)安全法》《數(shù)據(jù)安全法》和《個人信息保護法》等數(shù)據(jù)信息領(lǐng)域的上位法框架規(guī)則基本成型，強監(jiān)管已然來臨。 其次是建立合規(guī)制度。在明確為何會發(fā)生犯罪后，針對企業(yè)抗風險薄弱環(huán)節(jié)構(gòu)建事前的合規(guī)預(yù)防體系，通常是以完整可行的合規(guī)計劃體現(xiàn)，并建設(shè)內(nèi)部合規(guī)管理機構(gòu)，可以是部門的形式也可以是個人的形式，對企業(yè)收集、儲存、使用、加工信息數(shù)據(jù)的安全管理制定制度規(guī)范并對可能存在的風險評估監(jiān)測，建立內(nèi)部數(shù)據(jù)安全保護制度和操作規(guī)程，確定數(shù)據(jù)處理的操作權(quán)限，對數(shù)據(jù)實行分級分類管理，制定常態(tài)化合規(guī)管理制度，開展合規(guī)年度報告。在整改過程中，檢察院發(fā)出建議書要求“規(guī)范技術(shù)匯報審批流程，建立技術(shù)應(yīng)用合規(guī)評估制度，避免技術(shù)濫用”，重點就是對企業(yè)搜集的數(shù)據(jù)來源的合法性評估，消除內(nèi)部管理盲區(qū)。同時Z公司也與相關(guān)平臺簽訂數(shù)據(jù)處理協(xié)議，同多家大型互聯(lián)網(wǎng)企業(yè)達成數(shù)據(jù)合作以搭建合法第三方數(shù)據(jù)獲取的機制，助力后續(xù)數(shù)據(jù)業(yè)務(wù)的合規(guī)平穩(wěn)開展。 最后是出現(xiàn)合規(guī)問題時的處置應(yīng)對預(yù)案，建立健全數(shù)據(jù)違法違規(guī)行為問責制度和舉報調(diào)查制度，明確違反合規(guī)計劃的紀律處分和法律后果，并制定數(shù)據(jù)安全事件應(yīng)急預(yù)案，決定數(shù)據(jù)安全事件進入緊急處置狀態(tài)并指揮對數(shù)據(jù)安全事件的補救與通知上報。在本案中Z公司加入?yún)^(qū)級態(tài)勢感知平臺，提升安全威脅的識別、響應(yīng)處置能力及數(shù)據(jù)及時脫敏、加密，增強網(wǎng)絡(luò)攻擊防護能力。
三、衡平好企業(yè)和個人的關(guān)系
如果以合規(guī)視域下的單位獨立意志論來考量企業(yè)合規(guī)的出罪功能，我們會發(fā)現(xiàn)，作為法人人格具現(xiàn)化的各類制度、體系，需要達到預(yù)期的效果，最終還是要依仗個人的落實。企業(yè)和個人的微妙在于，企業(yè)的運轉(zhuǎn)離不開個人努力——不管是企業(yè)的運營，還是企業(yè)合規(guī)的落實；而所有的合規(guī)制度，不管是禮品還是捐贈制度，利益沖突制度，還是供應(yīng)商管理制度，都是希望通過對人的精細化管理，從而避免人“犯錯”，但人之所以為人，總是有欲望的，比如希望送更高價格的禮品以獲取更多利益，住更貴的酒店以更舒適，從這種角度上來講，所有的合規(guī)制度都是反人性的，這也正是合規(guī)重要的目的和功能之一—防患于未然，但另一方面，當出現(xiàn)合規(guī)問題時，企業(yè)或者企業(yè)的實控人又希望合規(guī)制度能夠起到一定的屏障作用來避免單位涉及刑事犯罪的風險。 目前公布的合規(guī)案例大部分是同時存在單位和個人刑事責任的雙罰制犯罪，而在合規(guī)不起訴案例中，常見的是企業(yè)通過合規(guī)整改或者事前合規(guī)以避免單位犯罪，從這個角度講，企業(yè)也就有了更傾向于推進合規(guī)的動力。但是，個人呢？怎樣使得個人在推動合規(guī)中有更多的動力？或者說緩和這種企業(yè)與個人的張力？監(jiān)管也作出了一些嘗試，比如在最近一些案例合規(guī)計劃的有效性評估要素中，對各領(lǐng)域的不同刑事風險，都提出企業(yè)需要設(shè)立專門的管理部門或是負責人對該領(lǐng)域負責合規(guī)體系構(gòu)建以及監(jiān)督考察。《關(guān)于建立涉案企業(yè)合規(guī)第三方監(jiān)督評估機制的指導意見》第三條明確指出，第三方機制適用范圍不僅包括單位犯罪案件，還包括公司、企業(yè)實際控制人、經(jīng)營管理人員、關(guān)鍵技術(shù)人員等實施的與生產(chǎn)經(jīng)營活動密切相關(guān)的犯罪案件。也就是說，企業(yè)員工實施了與企業(yè)生產(chǎn)經(jīng)營活動密切相關(guān)的犯罪，則企業(yè)可能存在重大的合規(guī)漏洞，因此有必要對企業(yè)進行刑事合規(guī)整改；但對企業(yè)進行刑事合規(guī)整改后能否將其效用惠及于企業(yè)員工，即將企業(yè)的刑事合規(guī)整改作為從寬處理企業(yè)員工個人犯罪的重要事由，仍然存在爭議。 在第三批發(fā)布的涉案企業(yè)合規(guī)典型案例二[5]中，K公司的總經(jīng)理王某某得知公司與某上市公司達成合作意向的信息后，兩次將內(nèi)幕信息泄露給其好友，涉嫌泄露內(nèi)幕信息罪。案發(fā)后，檢察機關(guān)結(jié)合實際情況監(jiān)督引導K公司及其必要的關(guān)聯(lián)公司、子公司進行刑事合規(guī)整改。起訴后，檢察機關(guān)結(jié)合相關(guān)企業(yè)的整改情況向法院提出了對企業(yè)員工寬緩處理的量刑建議，即將企業(yè)刑事合規(guī)整改作為從寬處理企業(yè)員工個人犯罪的事由之一。這實際上也為今后的涉案企業(yè)合規(guī)業(yè)務(wù)打開了一扇窗，我國大部分民營企業(yè)都是自然人控股，人合性大于制度性約束，實控人或高管是企業(yè)運轉(zhuǎn)的實質(zhì)核心，若企業(yè)合規(guī)能夠惠及涉案的個人，自然能夠調(diào)動企業(yè)和個人推進合規(guī)建設(shè)的積極性。
四、把握好形式合規(guī)與實質(zhì)合規(guī)的轉(zhuǎn)化
涉案企業(yè)合規(guī)第三方監(jiān)督評估機制的目的在于希望企業(yè)能夠建立原生性的自治生態(tài)系統(tǒng)，通過完善合規(guī)體系獲得避免再度涉及刑事風險的能力，既能夠緩解我國司法壓力，激發(fā)企業(yè)的自主能動性，也能夠提升我國企業(yè)的綜合素質(zhì)水平，不致于在越來越頻繁的跨國貿(mào)易中遭遇境外的調(diào)查和制裁。 因此，無論是從最高檢推進企業(yè)合規(guī)監(jiān)管工作的期望，還是從企業(yè)自身出發(fā)的長遠價值考量，實質(zhì)合規(guī)都應(yīng)當是最終且唯一的目標。企業(yè)自主合規(guī)建設(shè)工作以及檢察院所要求的合規(guī)計劃，都會提到對企業(yè)合規(guī)文化的培育，甚至是以此影響和改造商事交往過程中的合作伙伴，這是實質(zhì)合規(guī)的最終形態(tài)。而形式合規(guī)、紙面合規(guī)之所以無法消除的原因，是合規(guī)體系的構(gòu)建與維護本身是需要大量投入與長期堅持的前瞻性工作，是額外平添的“義務(wù)”和“負擔”。將合規(guī)落到實處，事實上是對企業(yè)自治提出更高的要求。制度構(gòu)建是第一步，但同時也需要因地制宜，有的放矢，根據(jù)企業(yè)自身實際情況調(diào)整細化實施方案。企業(yè)所在行業(yè)合規(guī)環(huán)境，企業(yè)整體人員合規(guī)意識，企業(yè)內(nèi)部合規(guī)人員話語權(quán)，方方面面均需要兼顧，又要選擇性的做出取舍和讓步，絕非成立一個部門/崗位，引入一套體系/模板就能夠達成的。對于有能力的頭部企業(yè)，自然是倡導其作為行業(yè)榜樣，全面落實推進合規(guī)制度，并能夠進行合規(guī)文化輸出，致力于改善行業(yè)風氣，但是對于大部分中小企業(yè)，不加思辨的照搬照抄可能效果適得其反，必須把握好形式與實質(zhì)合規(guī)的平衡。
注釋 [1] 中華人民共和國最高人民檢察院網(wǎng)：《最高檢發(fā)布企業(yè)合規(guī)改革試點典型案例》，訪問時間2022年11月9日， https://www.spp.gov.cn/spp/xwfbh/wsfbh/202106/t20210603_520232.shtml。 [2] 中華人民共和國最高人民檢察院網(wǎng)：《以合規(guī)不起訴規(guī)范數(shù)據(jù)企業(yè)發(fā)展》，訪問時間：2022年11月9日， https://www.spp.gov.cn/llyj/202206/t20220615_559908.shtml。 [3] （2018）蘇0803刑初643號。 [4] （2020）浙0106刑初437號。 [5] 中華人民共和國最高人民檢察院網(wǎng)：《涉案企業(yè)合規(guī)典型案例（第三批）》，訪問時間：2022年11月9日， https://www.spp.gov.cn/xwfbh/wsfbt/202208/t20220810_570413.shtml#2。
