建议收藏：FCPA下的第三方合规管控实务指南！（附手册）

前言
过去一年，美国白宫表示国际性腐败已成为危及美国国家安全的重要因素之一，并拟进一步加大对《反海外腐败法》(以下简称FCPA)的执法力度。而FCPA历史执法表明，约90%的执法案件涉及企业被认定通过第三方实施行贿或缺乏对第三方管控。由此可见，企业的合规意识以及对第三方的合规管控显得尤为重要。持续有效的开展第三方合规管控，已成为倍受监管机构和企业共同关注的热点议题。笔者将基于相关实务经验，对FCPA下的第三方合规风险及管控进行探讨，以期为相关企业提供一些实务参考。
✨温馨提示：
文末附某头部企业《商业反贿赂合规手册》pdf版全文，如有需要，文末自行获取！
01 为何要关注FCPA下的第三方合规风险
01 实践中的一些误区
当前，社会各界对于FCPA下第三方合规风险的理解存在误区，主要表现为：认为使用第三方可以隔离公司风险，公司无需承担代表公司行事的第三方的行贿行为所带来的后果；认为第三方是独立的商事主体，第三方的销售行为与公司无关，第三方无义务遵守公司合规政策，公司亦无权干涉第三方的销售行为；公司向第三方支付款项后，无须关注或无权干涉第三方如何使用该款项。
产生此类误解的原因之一在于，在中国法和FCPA下，针对这一问题的执法实践存在较大差异。
具体而言，FCPA项下的执法较为激进，据统计，约90%的FCPA执法案件涉及通过第三方行贿或对第三方缺乏有效合规管控。而在中国法下,由于实践中取证难度较高，当公司通过第三方行贿时，第三方被执法的风险较高，鲜有“始作俑者”的公司被判刑。但这并不意味着公司可以忽视这一问题在中国法下的风险。实践中，亦存在公司通过第三方行贿而被调查甚至行政、刑事处罚的案例。除此之外，公司通过第三方从事不当行为，还可能承担其他后果，例如IPO受阻、丧失重要商业伙伴、声誉损失等。因此，在中国法下，企业也须重视对第三方的合规管控，以降低自身风险。
02 美国监管机构眼中的腐败高风险国别
FCPA执法历史表明，中国是涉及FCPA贿赂案件最多的国别。历史上存在诸多跨国公司涉及在华行贿以获得业务或其他利益。此外，还存在部分在美上市的中国公司因涉嫌在中国行贿而被美国证监会发起问询甚至调查的先例。在美国监管机构眼中，中国是典型的腐败高风险国别，且美国监管机构熟知经销商、代理商、居间商等第三方的使用在中国很普遍。近年来，随着不少FCPA大案要案的完结，被执法企业的合规水平不断提高，美国监管机构对于第三方合规管控的要求和期待也越来越高。因此，受FCPA管辖的主体不得不关注对第三方的合规管控。
03 FCA下的第三方包括哪些主体
从执法实践以及美国监管机构颁发的一些指引来看， FCPA下的第三方的范围非常宽泛，可以大致分为三大类：
1)上游：供应商
2)下游：经销商、代理商
3)其他服务提供商，例如顾问、咨询公司、居间商等
实践中，任何与公司有业务往来、可能被员工用来从事不当行为的第三方（包括合作方等），都值得公司关注，并实施有效的合规管控。
02 FCPA对第三方合规管控有何要求
FCPA两大条款，即反贿赂条款与会计条款，对于第三方合规管控都有相应要求。
首先，反贿赂条款明确禁止直接或间接（通过任何第三方）行贿外国政府官员。鉴于该规定，企业通过第三方行贿不仅不能消除FCPA下潜在法律责任，还可能给自身带来合规风险。在主观认知方面，若企业大概率或有很大可能性知道其向第三方所支付款项的部分或全部会被第三方用来付给政府官员，但其故意忽视或采取鸵鸟政策视而不见，则企业依然会遭受FCPA的处罚。这一主观认定标准，使得受FCPA管辖的企业不得不对第三方采取充分的合规管控。
其次，会计条款要求发行人设立并保持能够准确并适当地反映发行人交易和资产处置的内容合理详尽的帐簿、记录和账户（账簿与记录条款），并要求发行人设计和维持合理的内部会计控制系统（内控条款）。企业与第三方的业务往来，需要同时满足前述会计条款的要求。例如，与第三方的款项往来应当反映业务实质。如果以咨询费、服务费名义向第三方支付款项，但并无证据表明第三方有能力或实际提供相关服务，或无法证明聘用第三方的商业合理性，那么企业与第三方的交易可能因未能反映业务实质、财务账簿记录不准确而被认定违反会计条款。此外，如果公司缺乏第三方合规管控机制（例如从第三方的选择、监督到惩处），则同样可能会被认定为违反会计条款下的内控系统。在前述两种情形下，监管机构无须证明第三方是否代表公司实际从事了行贿行为，只要第三方有代表公司行贿的可能性，监管机构即可认定该公司违反FCPA会计条款。
FCPA历史执法表明，美国监管机构对第三方合规管控的要求并非停留在纸面上。大量的执法案件涉及公司通过第三方实施贿赂，或缺乏对第三方的有效合规管控，从而被美国监管机构认定违反FCPA会计条款和/或反贿赂条款。
03 实务中有哪些常见的涉第三方高风险行为
01 给第三方报销虚假费用或新增费用
在全球某知名高端烈酒公司违反FCPA案中，为了在印度当地获得许可和订单，该公司印度子公司向第三方虚报、虚增费用，第三方在收到款项之后，用于向当地政府官员行贿，以帮助公司在当地获取许可、订单和一些公开查询不到的数据。本案中，虚假/虚增费用被记在印度子公司账簿中，子公司账簿与母公司合并报表。美国SEC认为，母公司并未设计和维持充分的内控以防止前述不当行为的发生。SEC以会计条款处罚该公司。该公司支付超800万美金与SEC达成和解。
实践中，常见的可能被员工用来从公司套取现金的第三方虚假费用包括咨询费、顾问费、服务费、宣传费、会议费、员工奖金等，套取的现金可能被用来行贿，也可能被员工侵占。
02 给经销商虚增/虚高的折扣
在全球某音视频产品公司违反FCPA暗中，该公司在中国的子公司为了获得政府、国有企业等客户的订单，通过给经销商虚增折扣、增加利润，从而让经销商有足够的资源去搞定终端客户（包括政府机构、国有企事业单位），进而获得相关订单。该公司在发现中国子公司的不当行为后，主动开展全面的内部调查，并根据调查结果惩处有问题的员工，终止与部分涉案第三方的商业关系，并主动将内部调查结果报告给SEC和DOJ。SEC决定只没收该公司违法所得，SEC和DOJ最终对该公司做出不起诉的决定。
03 与第三方合谋进行虚假交易
在美国某医疗企业公司违反FCPA案中，该公司丹麦子公司与当地经销商合谋进行虚假交易，子公司向经销商提供虚假账单，经销商向子公司付款，子公司进而将收到的款项支付给俄罗斯个人和海外壳公司，但子公司并不了解这些款项的实际用途。SEC认为，该公司纵容其丹麦子公司被经销商用来走账，当地子公司在不了解付款目的和收款方信息的情况下，向海外输送数百万美金款项。该公司（含子公司）支付1500万美金与SEC和解对其提起的FCPA民事和刑事指控。
本案中，SEC特别强调：即使是单纯“帮助”业务伙伴付款，发行人及其子公司也不能对可疑付款视而不见。该公司前CFO也被SEC提起FCPA指控。
04 缺乏对第三方的有效管控
在全球某知名医疗科技公司违反FCPA案中，该公司涉及在全球多国存在行贿等不当行为。其中涉及在中国的违法事实非常典型的突出了企业对第三方合规管控的重要性。在很长一段时间内，该公司在中国的子公司通过总经销商+分销商模式开展业务，并且，分销商中又分为一级经销商、二级经销商……甚至五级经销商。而该公司中国子公司只针对总经销商的授权和许可进行管控，并未对各级分销商进行管控。本案中，SEC认为，该公司的中国子公司存在21家分销商未经公司政策批准授权而销售该公司产品，中国子公司未实施有效政策去识别和阻止这些未经授权的分销商，使得销售中支付不当利益的风险提高。SEC认定该公司违反会计条款。该公司最终支付780万美金和解SEC对其FCPA指控。
05 员工收受第三方回扣
员工收受第三方回扣，为第三方谋取便利（例如不合格的第三方被选为公司的供应商）或给第三方谋取业务机会，也是很常见的不合规行为。公司员工受贿行为本身不属于FCPA反贿赂条款规制的问题（FCPA只禁止贿赂外国政府官员，不规制员工受贿的问题）。但是，如果母公司在美上市，中国员工为第三方谋取便利或业务机会的行为可能会使得母公司因缺乏有效的内控、账簿与记录不准确从而被认定违反会计条款。
04 如何有效管控第三方合规风险？
01 美国监管机构的期待
在了解如何有效管控第三方合规风险之前，了解美国监管机关的执法逻辑和监管机关对企业合规管控的期待至关重要。
进入二十一世纪，美国监管机构逐渐摸索出一套行之有效的执法机制：胡萝卜与大棒政策。具体而言，美国监管机构鼓励企业发现员工存在潜在违法行为时率先积极开展内部调查，根据调查结果及时采取补救措施，包括惩戒涉事员工、终结与有问题的第三方主体的合作，并进一步完善企业合规机制。同时，监管机关鼓励企业主动向其报告不合规情形以及其已经采取的内部调查与补救措施等。如果企业开展前述合规行动，美国监管机构会对其从轻、减轻、甚至免除处罚。历史上，SEC和DOJ对不少积极采取合规行动的企业放弃指控。但是，如果企业不重视合规、发现问题后不采取内部调查、不采取补救措施、不主动向监管机构报告、甚至试图隐瞒其不当行为，则企业可能面临更严重的处罚（参考U.S. v.s. Alstom）。实践中，美国监管机构有多重途径（例如举报、媒体报道、外国执法、与他国执法机构合作、做空机构调查等）来发现受FCPA管辖企业的违法行为。当今时代，企业想要向美国监管机构隐瞒其行贿行为是一件风险极高的事情。
伴随着过去几十年的执法，被执法企业的合规水平越来越高，监管机构对企业合规管控的期待也越来越高，而在一套有效的合规管控机制里，对第三方的合规管控机制是不可或缺的一部分。根据美国司法部发布的合规指引，企业对第三方的合规管控应当在企业合规机制的设计、运行以及是否有效实施三大方面都有所体现，确保企业将第三方合规管控机制纳入到企业合规机制之中。
02 与风险相匹配的第三方合规管控机制
合规建设需要成本，开展第三方合规管控亦如此。一套行之有效的第三方合规机制应当与企业面临风险相适应。具体而言，企业面临的FCPA风险较高，则应当采用较为严格和高标准的合规管控机制；该情形下，如果企业采取较为宽松的第三方管控机制，则其面临违反FCPA并被执法的风险较高。相反，如果企业面临的FCPA风险较低，则可以采用相对较为宽松的合规管控标准；该情形下，如果企业采用较为严格的第三方合规管控机制，不仅会增加合规成本，而且会阻碍企业的发展，使得企业落后于竞争对手。
就企业面临的FCPA风险而言，企业可通过开展自我评估或聘用外部专业律师开展专项合规体检来判断自身面临的FCPA风险。实践中，企业可从业务性质、业务所涉国别、业务模式、所处行业等因素综合判断其面临的FCPA风险。例如：
1)其自身所处行业是否属于政府高度监管行业？企业自身及第三方是否需要取得相应的政府许可、审批、资质方可开展业务？
政府高度监管行业，如医疗、金融、教育等行业，政府关联性非常高，是腐败高发领域，其所对应的FCPA风险等级较高。
2)企业的直接客户和终端客户是否包含国有性质的客户（例如政府机构、国有企业、公共事业单位等）？该等性质的客户占比多少？
国有性质客户比例越大，企业面临的FCPA风险越高。企业无论是直接拓展该等客户，还是间接通过第三方拓展该等客户，都需要重点关注FCPA风险的管控。
3)企业开拓业务的方式是否大量依赖第三方？ 依赖何等性质/类型的第三方？
不同类型的第三方，对应的风险不同，管控重点有所不同。实践中，咨询、顾问、居间人等第三方伴随的FCPA风险很高，他们可能被视为是政府官员的“白手套”，这类第三方往往被用来向政府官员输送利益。企业在雇佣该类第三方之前，需要谨慎对待，其雇佣该类第三方有无合理的商业理由，有无合规措施确保该等第三方提供了真实且与支付对价匹配的服务。此外，经销商和代理商也经常被企业用来拓展业务，对该类第三方的合规管控也至关重要。例如该等经销商是否适格、是否有资质或能力销售公司产品或拓展业务？是否是客户指定的经销商、代理商？如果有证据证明企业为该类第三方给与过高的折扣、预留过高的利润，或缺乏对该类第三方合规管控，则其同样可能违反FCPA。
03 最佳实践，全流程第三方合规管控
最佳第三方合规管控实践是一套覆盖事前、事中、事后的全流程合规管控机制。
1. 第三方选择阶段（事前管控）
在聘用第三方之前，企业应当对第三方开展合规尽调，确保第三方有资质、有能力与公司开展合作。尽调方式可以包括内部与外部核查。
实践中，尽职调查的步骤包括对第三方候选人开展公开检索，向第三方发放定制化的合规尽调问卷，视情况对第三方的关键人物开展合规访谈等。并非每个第三方都应当采取同等合规尽调步骤，具体合规尽调步骤应当与第三方对应的风险相适应。
1)如果是高风险第三方（例如在尽调开始前已经发现高风险警示信号），则应当采取尽可能完备的尽调措施（例如比较全面的公开检索、合规尽调问卷、管理层访谈、甚至背景调查等），并保留每一个尽调步骤的相关成果的记录。
2)如果是低风险第三方，则可以采取轻度合规尽职调查步骤，例如仅要求第三方填写合规尽调问卷，对第三方开展公开检索，以查看是否有其他风险警示信号等。
合规尽调结束之后，对于适格的第三方，在与其签订合同时，应当在合同中嵌入合规条款，要求第三方定期（例如按年度）签署合规声明。对于一些高风险行业，很多企业还会对新聘用的第三方开展专项合规培训，确保第三方充分理解并遵守公司的合规政策。
2. 与第三方合作中的监督（事中管控）
在与第三方的合作过程中，应当定期对第三方开展评估，例如年度评估。根据第三方的合规表现，实施相应奖惩政策，例如针对有问题的经销商取消对其的价格优惠或特定补贴，甚至终止经销商关系等。
在日常业务运营中，对第三方付款之前，应当进行相应财务与合规审查，针对有风险警示信号的付款请求，应当及时停止付款流程并开展相应合规审查/调查。在付款结束后，如果发现高风险警示信号，也应当开展相应合规调查。
合作过程中，还应当要求第三方定期参加公司组织的合规培训，并签署合规声明。针对公司收到的关于第三方的举报或审计发现的问题，应当及时开展内部调查，并视情况对第三方开展审计，查处员工和第三方涉及的不当行为。
3. 第三方的反馈与矫正（事后管控）
公司应当建立一套对员工和第三方的合规奖惩机制。针对前期内部调查或审计结果，公司应当对涉事的员工进行相应惩处，并终止与有问题的第三方的商业合作并将其（以及该第三方实控人、管理人员等）列入黑名单，或将不合规行为比较轻微的第三方列入观察名单。针对无不合规行为、表现良好的员工和经销商给与相应的奖励。奖惩并用，促进公司合规政策和管控机制的有效落实。
04 如何发挥好合规第一道防线的作用
我们经常说合规有三道防线。其中，业务人员就是合规的第一道防线。实践中，业务人员作为第三方的直接接触者，其合规意识直接影响第三方合规管控工作的最终效果。因此，企业应当通过制定合规政策，开展定制化合规培训等手段，向员工（尤其一线业务人员）传达以下合规要求：
1) 员工在第三方合规管控中负有责任与义务，包括：
-不得与第三方合谋从事违反公司合规政策和法律法规的行为
-监督第三方的不合规行为，及时向公司（法律/合规部门）报告有关第三方的警示信号或不当行为
-要求第三方定期向公司提交合规声明、参加合规培训
-在完成针对该第三方的相关尽调、合规调查并获得法务/合规部门的批准之前，不得向该第三方进行任何付款
2) 员工与第三方合谋违反公司政策、违反相关法律法规可能面临的法律后果，包括解除劳动合同，并可能承担民事、刑事责任等后果
3) 公司保留通过法律手段向员工追偿的权利
实践中，很多企业会聘请外部律师制定《员工与第三方商业沟通指引》，来进一步进行合规宣贯，为业务人员的日常工作提供指导。在类似指引或公司合规政策中，公司应当明确哪些情形属于风险警示信号，需要员工提起注意并及时向公司法务/合规部门报告。常见的第三方高风险警示信号示例如下：
-第三方在相应行业/领域几乎没有经验、缺乏相应资质或缺乏相关业务的人员
-第三方存在不正常或过高的折扣要求
-第三方要求支付成功费、非正常的佣金、咨询费或顾问费
-第三方提供的商业价值与其获得的款项/利润明显不匹配
-第三方要求公司付款至匿名帐户，或要求以不同种类的货币、现金以及其他无法追踪的资金方式支付
-第三方拒绝或不及时披露其股东、实控人、主要合作伙伴/客户或主要人员
-第三方拒绝或不及时承诺遵守公司合规政策及相关法律，拒绝或不及时记录相关工作和费用
-第三方被指控或怀疑存在违反中国或外国法律行为（例如贿赂、违规招投标、欺诈等）
-第三方是被特定官员或其关系密切的人所指定
-第三方依靠政府关系而非依靠有经验的员工以及时间投入推广公司的业务
-第三方宣传自身具有非常良好的政府关系，包括与特定级别的政府官员或其亲属的关系
05 第三方合规管控难点及应对
实践中，第三方合规管控往往会面临诸多阻碍或难点。例如，管理层合规意识淡薄、对合规不重视，未给公司定下强有力的合规基调，即便公司有相关第三方合规管控政策，法务/合规在推行该等政策的时候也会遇到很大阻力。具体可能表现为，第三方不配合合规尽职调查，业务人员为了提升业绩与第三方“站队”，不督促第三方配合合规尽职调查，反而对法务/合规做出的决定进行挑战，拖延或不执行法务合规的决策（例要求第三方签署合规声明、在合同中加入合规条款）。
针对前述困难和挑战，很多法务/合规人员无从下手。这时候，及时寻求“外援”尤为重要，很多“不好听”的话、艰难的决策可以借助外部律师力量向业务人员和管理层传达，这会让这些决策更容易被接受和落地。
在接到类似客户请求时，外部律师应当首先对客户的合规管控现状进行评估，并据此协助法务/合规人员进一步推进相关政策的制定、修改和完善，以确保相关合规政策能够充分应对中美法下的合规风险。具体来说，外部律师可以帮助法务/合规人员分析第三方合规管控的难点在哪里？需要哪些资源和支持？从哪里突破？有哪些政策和流程还需要制定和完善，例如反腐败专项合规政策、员工行为守则等政策修订，合规尽调问卷模板的制定、推行与更新，第三方合同中的合规条款与合规声明模板的制定和更新，员工与第三方商业沟通合规指引，重要风险警示/提示函的制定等。
其次，外部律师还可以为客户提供定制化的合规培训，提升业务人员及管理人员的合规意识，扭转其错误的意识和思想，改变其思维定式，让他们理解法务/合规工作，从而帮助法务/合规减少合规推行的阻力。具体而言，在合规培训中，外部律师可以通过同行业内已经发生的案例警示，来帮助业务人员和管理人员了解粗放式经营可能给其个人和公司带来的民事甚至刑事责任，且其个人可能面临的被解雇的风险。
外部律师还可以协助客户定期对第三方开展合规培训，帮助第三方充分理解公司相关合规政策和相关法律要求，以及违反前述合规要求的法律后果和其他后果（例如被公司终止业务合作、放入黑名单等），了解第三方不遵守公司合规政策的根本原因，并对症下药，为客户提供相应的解决方案。
05 要点回顾
1. 知风险
企业应当通过合规体检与风险识别了解自身所面临的FCPA实际风险情况，以便开展与企业风险相匹配的第三方合规管控，避免有限的企业资源被浪费。
2. 定基调
企业管理人员应当带头重视合规，为企业的合规文化奠定基调，以便自上而下推动公司内部全员合规。
3. 建体系
企业应当投入相应的合规资源，搭建与企业风险相适应的第三方合规管控政策与流程体系。
4. 勤矫正
企业应当对员工和第三方的不合规行为进行内部调查，并根据调查结果持续完善第三方合规管控政策与流程。