企业刑事合规业务实践要点解读

在国内经济逐步发展的背景下，随着社会治理的需要、国家层面的提倡、引导和企业违规风险的提升，企业合规越来越受到重视，成为当下企业和法律界共同关注的重要议题之一。企业对于刑事风险防控的认知相对较薄弱，但刑事合规是企业合规的重要组成部分。刑事风险对于企业而言意味着最高等级的风险、意味着“不可承受之重”，一旦未做好刑事风险防控，可能导致企业根本上的倾覆；反过来，企业通过刑事合规调查查处企业内部人员的违规、舞弊，挽回损失或避免进一步的损失，对公司而言同样具有重要价值。企业发展的高度，与其业务的健康程度成正比。故刑事合规在企业合规中占据着独特的位置，放眼于长远，它既是企业生存发展的前提，更是推动企业健康、有序发展的原动力。
律师在企业合规的实现过程中，发挥着不可替代的作用。检察机关从2019年起开始推行涉案企业合规不起诉改革工作，并经过两期试点后于2022年4月开始在全国检察机关全面推行，律师在涉案企业合规整改过程中，既可以作为企业合规服务提供者推动合规整改，也可以作为第三方监管人对整改效果进行查验、监督。由于这部分内容自成体系，故本文不做重点阐释。除了在这一特定场景下企业需要律师参与到刑事风险治理过程中以外，在企业的日常经营、治理中，同样需要律师的介入。
此外，当企业发现相关方存在刑事风险，或本身发生了刑事风险即将面对刑事调查时，如何隔离及应对，亦是刑事合规业务的组成部分。概括而言，律师的刑事合规业务主要包括：刑事风险的识别和处置；合规体系的建设；内部调查和反舞弊调查、控告；对侵害公司权益的违法行为的控告；刑事调查的应对；以及刑事风险的防控及隔离。
一、刑事风险的识别和处置
刑事风险的梳理和处置包括两个方面，一方面是根据刑事法律规定及相关政策对公司当前开展的业务做全面、系统梳理，辨别是否存在刑事法律或政策风险及判断风险等级，并根据风险等级进行相应调整安排。风险等级视业务是否主营业务、违法风险大小、被查处风险大小而决定。若公司主营业务模式存在较大刑事风险，则需要第一时间做出调整。比如，笔者曾经通过业务风险梳理，发现某公司帮助其他公司进行资金结算、支付，存在非法经营罪风险，以及某大数据公司在爬取他人数据过程中，存在非法获取计算机信息系统数据罪、侵犯公民个人信息罪风险，通过协助上述公司进行设计整改，公司对业务模式进行了调整从而降低了上述公司的刑事风险。另一方面是识别企业经营、对外交往过程中存在的被侵害的刑事法律风险，如企业被相对方合同诈骗的风险。
需要注意的是，第一，在梳理过程中，要全面把握企业正在开展的全部业务形态，避免信息缺失，且需要准确理解公司业务的实质；第二，进行处置时，应当根据风险的大小并结合企业的实际情况、外部环境的变化进行调整安排，脱离企业运营实际和外部环境变化的处置只能是无水之源、无根之木，无法产生实际作用。
二、合规体系的建设
刑事风险的识别和处置是针对性地解决现存合规问题的前提；合规体系的建设则是由点及面、由近及远的防患于未然的保障。合规体系的建设着力于两个目的：一是随着外部市场环境变化，企业尤其是互联网企业的业务模式随时可能发生变化，若合规体系缺位合规风险判断不及时，容易导致合规风险；二是若企业中的个人从事违法行为损害他人利益，企业的合规体系有助于厘清个人和企业责任。
合规体系的建设包括制度建设、组织建设、防范报告机制建设和文化建设。检察机关《第三方机制指导意见》第十一条可以提供借鉴，该条规定，“涉案企业提交的合规计划，主要围绕与企业涉嫌犯罪有密切联系的企业内部治理结构、规章制度、人员管理等方面存在的问题，制定可行的合规管理规范，构建有效的合规组织体系，健全合规风险防范报告机制，弥补企业制度建设和监督管理漏洞，防止再次发生相同或者类似的违法犯罪”。
第一，制度建设。完善的制度是合规体系的基础，制度建设既包括建立和完善基本制度，也包括建立和完善专项制度。其中，基本制度为纲，专项制度则需要从两个维度着手制订：即重点岗位需要关注的风险点，如财务、采购、人事等；以及对于该企业而言存在高发风险的重点领域，如反贿赂合规、反垄断合规、数据合规等。第二，组织建设。制度的执行、落实依靠有效的组织，即专门的执行和监督人员，同时赋予相应人员明确、必要的职责权限。第三，防范报告机制建设。合规体系需要嵌套到业务流程中，从而有效防范合规风险，并在出现风险时得以及时报告、警示。第四，文化建设。包括日常的合规培训机制、合规文化宣传等，使整个公司形成重视合规的氛围。
三、合规调查和反舞弊调查、控告
合规调查和反舞弊调查及控告，指的是根据企业的需要，对于企业内部人员的违法违规行为和舞弊行为进行调查并进行控告，追究相关人员的责任、为企业追回损失。通常而言，这些违规、舞弊行为，可能包括内部人员的贪污、职务侵占、受贿、非国家工作人员受贿与行贿、对非国家工作人员行贿、侵犯商业秘密、侵犯公民个人信息等。很多企业在高速发展的过程中，由于机制建设无法跟上发展速度，赋予了其内部的个人不受监督的权力，腐败行为也相应增多。对这类行为开展有效的调查及控告，对于企业而言既能够及时阻断企业的刑事责任，又能够为企业挽回损失或者避免企业日后发生进一步的损失。同时，违规行为的查处，有助于在企业内部形成警示作用，从而促进廉洁文化的建设。
调查结束后可根据具体情况，要求被调查人员采取补救措施、对被调查人员追究内部责任、辞退被调查人员或到公安机关或相关调查机关报案，追究被调查人员的刑事责任。其中，如何有效到公安机关报案、追究被调查人员的刑事责任，是一项复杂议题，需要注意的内容包括：收集关键的证据、选择合适的罪名、选择合适的管辖机关、选择合适的时机等。
比如，笔者曾帮助某互联网公司查处其内部员工的非国家工作人员受贿行为，该员工利用职务上的便利，按照一定比例收受公司合作方的提成高达上百万，后被匿名举报。虽然该员工在被调查过程中一直提出该钱款并非受贿款，而是他为相关企业进行业务辅导所获报酬的辩解，但由于前期证据收集比较充足且论证充分，仍成功使公安机关立案并最终获得法院的有罪判决。
四、对侵害公司权益的违法行为的控告
对侵害公司权益的违法行为进行刑事控告，指的是对公司的合作方实施的侵害公司权益的违法行为，或者其他人利用公司平台实施的侵害公司用户或其他第三方权益的违法行为进行刑事控告。比如，对公司的合作方实施的合同诈骗行为到公安机关进行报案，为公司追回损失；或者对利用公司平台实施诈骗的人员进行控告，为广大平台用户挽回损失，维护公司声誉，同时避免公司因平台漏洞被人利用实施违法行为而承担平台责任。
五、刑事调查的应对
刑事调查的应对，是指当企业或企业高管、员工因涉及刑事风险可能面临被调查风险时，由律师为企业、高管、员工关于如何配合调查提供有针对性的应对方案。当被司法机关或其他调查机关审查或调查时，由于没有相关经历且对刑事诉讼不了解，一般人很容易陷入慌乱、恐惧的状态中，导致做出了错误的判断提供了与事实不相符的言词证据；或者没有保存关键的有利证据并陷入被动。
故企业或高管、员工可通过提前寻求律师帮助避免此种情况发生。律师可做的具体工作包括：1、通过梳理证据材料等，为企业或高管、员工进行风险分析；2、帮助企业或高管、员工熟悉刑事诉讼程序的流程；3、帮助企业或高管、员工厘清责任；4、做好证据的保全工作，避免证据被损毁、遗失等。
六、刑事风险的防控及隔离
在刑事犯罪体系中部分犯罪既可以由个人构成亦可以由单位构成，即将企业内部人员的违法行为认定为企业的违法行为，从而认定为单位犯罪并采取双罚制，既处罚相应的个人也处罚企业。判断某种行为构成个人犯罪抑或单位犯罪，法律上的区分因素在于该行为是否代表单位意志、是否属于单位行为且是否出于为单位获利的目的等。而单位内部的领导要求、决策机制、制度规定、业绩计算方式、培训内容等，就是上述法律因素的表征。比如，销售人员为了销售业绩，私自与医生达成协议获取患者的个人信息，有侵犯公民个人信息和对非国家工作人员行贿的刑事风险，此时若不能做好责任切割，则企业亦有被认定为单位犯罪的风险。为了防止这类风险，企业既需要切实做好防控工作，又需要形成有效的隔离机制。
2016年的雀巢公司员工侵犯公民个人信息案就是例证。案件事实为雀巢（中国）有限公司西北区婴儿营养部市务经理、兰州分公司婴儿营养部甘肃区域经理郑某、杨某，为了抢占市场份额、推销雀巢奶粉，授意该公司兰州分公司婴儿营养部员工杨某某、李某某、杜某某、孙某通过支付好处费等手段，从多家医院医务人员手中获取公民个人信息3794条、支付好处费24855元。雀巢公司即以内部制度和员工培训教材进行抗辩，表明公司不允许员工未经正当程序或未经公司批准而主动收集公民个人信息。一审法院判决后，涉案员工以相关行为系单位犯罪为由提起上诉，但二审法院采纳了雀巢公司的意见，将各上诉人违反公司管理规定为提升个人业绩而实施的犯罪行为认定为个人行为。据此，雀巢公司成功地实现了个人责任和企业责任的切割。
此案被称为“合规抗辩第一案”，但此案也引起一系列争议。由于判决书不能展示案件证据的全貌，故关于本案未认定单位犯罪的原因我们无法得出确定性结论。仅以表面上存在相应制度要求为由进行非单位犯罪的抗辩，在司法实践中并非全部有效，根本上需要回到对单位犯罪构成要件的判断。而如何进行有效的防控和隔离，则需要根据具体情况进行具体分析。