美國企業合規計劃的要素與啟示

涂龍科　劉東

摘 要：企業合規是經濟全球化發展的必然要求，檢察機關應該順應歷史發展的趨勢，主導行政監管機關、行業組織、企業代表等，圍繞重點領域、重點環節與重點人員設計專項合規計劃，以檢察履職助力企業合規制度的構建，及時有效懲治預防企業犯罪，增強我國企業的管理水平與競爭力。各類企業應當在借鑒美國合規計劃構造的基礎上，吸收專項合規計劃的精髓，根據自身需求建立一套設計良好的、具有足夠資源和授權支撐的、在實踐中能夠有效發現和預防犯罪的合規計劃。

關鍵詞：企業合規 合規計劃 評價標準 有效合規 專項合規計劃

一、問題的提出

近年來，中興公司、華為公司陸續被美國制裁給我們敲響了警鐘，在“一帶一路”的倡導下，中國大量的國企、民企走出國門參與全球化競爭，面臨的刑事風險尤為顯著。不可否認的是，當前的國際秩序仍在美國主導之下，以“長臂管轄”動輒將中國企業列入實體制裁清單，其中固然有政治因素存在，企業合規意識薄弱也是授人以柄的重要原因。2017年3月，美國司法部、商務部和財政部海外資產管理辦公室以中興公司違反出口管制規定同伊朗、敘利亞、朝鮮等禁運國開展合作項目為由，對中興公司處以11.9億美元罰款，同時約定若7年內中興公司不再發生任何違約行為，將解除對其的“封殺令”。然而，2018年4月6日，美國商務部以“欺騙、虛假陳述、一再違反美國法律”為由重啟制裁禁令，最終中興公司付出巨額代價與美國商務部達成和解協議。[1]該起案件中，美國商務部認為中興公司缺乏基本的合規意識，多次違反美國出口管制法案，將美國科技產品出口到禁運國，并且在同美國達成臨時協議之后未按照協議內容履行承諾、整改措施不到位、調查期間仍然虛假陳述規避監管等，因此對中興公司實施了嚴厲的貿易制裁。多起制裁中企的案例使企業合規逐漸從外資企業和學術文獻中走入我國公司治理和司法實踐。此外，國內市場經濟的高度活躍也伴生了涉稅犯罪、涉知識產權犯罪和涉商業賄賂犯罪等其他犯罪。企業合規既是外在壓力和內生動力共同驅動的結果，也是“源于現代社會企業犯罪日益嚴重的刑事政策應對”[2]。

構建企業合規制度的關鍵環節在于設計、實施行之有效的合規計劃，若足以認定企業制定并實施了有效的合規計劃，在組織體責任模式下可以充當出罪機制，在代位責任模式下可以充當責任平衡機制。[3]司法實踐也作出了積極回應，2020年最高人民檢察院在上海、江蘇、山東、廣東的4個?。ㄖ陛犑校┕?家基層檢察院開展第1期刑事合規試點，2021年試點的范圍擴展到10個?。ㄖ陛犑校凳覚z察院。[4]這些試點檢察院普遍面臨評價標準的制定、合規計劃有效性的認定等問題。因此，根據合理的評價標準設計一套行之有效的合規計劃是目前企業合規研究的當務之急。

二、合規計劃的源流與公司治理

（一）合規計劃的內涵與功能

合規計劃的法律淵源是美國聯邦量刑委員會1991年頒布的《聯邦組織量刑指南》，該指南明確將合規計劃規定為企業量刑的重要參考因素。[5]與此規定相適應，《美國檢察官手冊》規定檢察官決定是否對一家企業提起訴訟或者協商認罪協議需要考慮的因素，包括考量有效的合規計劃和執法調查中企業的配合程度。這兩個法案是美國司法領域合規計劃的重要淵源，為美國開展企業犯罪預防和治理發揮了重要作用。嚴格來說，合規計劃的制定和實施并不直接表現為刑事問題，但是美國依據《反海外腐敗法》以行賄官員獲取訂單為由對德國西門子公司、法國阿爾斯通公司等進行刑事追訴，促使歐洲學者不得不將合規計劃納入刑法分析框架，著重研究公司制定并實施合規計劃對刑事責任可能產生的影響。[6]據此，合規計劃的內涵可以總結為企業為預防犯罪、發現犯罪而主動制定、實施的自我管理和約束機制，并且在員工或者企業涉罪時可以作為抗辯理由來減輕或者避免刑事責任。[7]其本質上是一種廣泛的預防措施，可以預測、檢查并遏制任何潛在的犯罪活動。[8]

準確把握“合規計劃”的功能是確定評價標準和設計合規計劃的前提。就美國司法實踐而言，“合規計劃”的功能體現在預防企業犯罪、免于或暫緩刑事追訴、減免罰金三個方面。[9]其中預防犯罪是最重要的功能，免于或暫緩起訴是檢察官對滿足有效合規要求之涉罪企業的普遍結案方式，減免罰金是法官依據《聯邦組織量刑指南》，根據企業罪責的增加或減少（合規有效性的高低）來計算罰金的數額。但是，如果企業沒有建立有效的合規計劃，就無法享受這些激勵。在巴德公司欺詐案中[10]，被告巴德公司承認了391項重罪，包括共謀、郵件欺詐、向食品藥物管理局提交虛假陳述、運送不合格醫療設備等罪行，由于不具備合規計劃，法庭認為其“企業文化使得員工害怕被報復，因而不敢向食品藥品監督管理局公然揭發”，最終判處巴德公司繳納6000萬美元的罰款。除了繳納罰款以外，辯訴協議還要求巴德公司創建新的合規計劃，并要求董事會成立合規計劃管理委員會。也有觀點認為合規計劃的功能可以分為基礎功能和擴展功能，前者是指通過強化公司治理、構建和完善現代企業管理制度從而降低企業犯罪風險，并指出雖然刑事風險與民商事風險相比極低，但是一旦發生就會導致企業走向失敗。后者是推動企業承擔社會責任的功能，既要從事生產經營創造社會財富，也要管理好企業自身和員工的行為，確保社會秩序的穩定。[11]由此可見，預防、減少企業犯罪和獲取刑事激勵應為合規計劃的核心功能，強化并完善公司治理、履行引領社會責任是擴展功能，在確定評價標準和設計合規計劃時均應作為考量因素。

（二）合規計劃與美國公司治理

19世紀后半期，以壟斷組織為代表的美國企業發展迅猛。這些大企業為避免經營風險，往往會形成一定的內部規范來約束企業和員工的行為，相關的行業組織也參與制定行業自律規則。與此同時，政府監管部門對銀行業等壟斷行業強化監管，出現了大量規制企業的法案和判例，這又進一步促使企業將自我規范措施、自律規則轉向為企業內部側重威懾、預防違法犯罪行為的內控機制。[12]“企業合規計劃在回應刑法監管的過程中，不斷以刑法為參照對象，借鑒、引入了諸多刑法理念與規則，逐漸呈現出‘刑事化的發展趨勢”。[13]

從政府監管和刑事規制角度看，1929年至1933年經濟大蕭條使美國政府對于資本市場的監管逐步加強，美國金融行業開始將合規（compliance）作為選擇性的監管措施應用于銀行業監管，實踐中一度成為政府監管的核心內容，強有力的監管措施使美國銀行業迎來了長期穩定發展。[14]1977年通過的《反海外腐敗法》也從最初規制本國企業針對國外企業、政府和政黨的行賄行為，逐步成為美國行使“長臂管轄”的利器，客觀上推動了企業合規在全球范圍的傳播和發展。上世紀50年代到90年代陸續發生的企業丑聞也推動了反腐敗合規與反壟斷合規的發展。在通用電氣、西屋電氣等六家電氣設備制造業公司壟斷案中，通用電氣公司早在1946年就采用了反壟斷合規政策，要求所有公司官員均需要簽署遵守反壟斷法的聲明，但是不能減輕處罰。該合規政策沒有發揮應有的作用，通用電氣公司在實際經營中仍與其他公司實施了固定價格、圍標和分割市場的壟斷行為，1961年美國政府除了要求繳納罰金外，還要求這些公司建立有效的反壟斷合規體系。這起案件使越來越多的企業意識到建立合規體系規避《反托拉斯法》執法風險的重要性。此外，2001年安然財務造假案則直接推動了《薩班斯法案》的出臺，在美國上市的公司不得不建立防范財務造假等各種風險的合規計劃?！捌髽I合規實現了從非正式、被動反應式向正式、積極踴躍式的進化?！盵15]

三、合規計劃的評價標準

合規計劃在美國刑事訴訟中占有重要位置。美國《司法手冊》中的“聯邦起訴商業組織的原則”描述了檢察官在進行公司調查、決定是否起訴、談判辯訴或其他協議時應考慮的具體因素。這些因素包括“公司在犯罪時和指控決定時的合規計劃的充分性和有效性”，以及公司為“實施充分有效的公司合規計劃或改進現有合規計劃”所做的補救努力。此外，美國量刑指南建議考慮公司在發生不當行為時是否有有效的合規程序，以計算適當的組織刑事罰款。那么，該如何評價合規計劃才能保證檢察官在刑事活動中準確適用相關的法律？美國司法部在2020年6月發布了最新的《企業合規計劃評價》（Evaluation of Corporate Compliance Programs ）（以下簡稱《評價》）?！对u價》認為，企業合規計劃必須在刑事調查的特定背景下進行評估，刑事部門不能使用任何嚴格的公式來評估企業合規計劃的有效性。每個公司的風險概況和降低風險的解決方案都需要進行具體的評估。因此，必須考慮公司的規模、行業、地理位置、監管環境以及其他內部和外部因素，對每一種情況做出合理的、個性化的決定。在做出個性化的決定的過程中，正如《司法手冊》所指出的，檢察官應詢問三個基本問題：企業合規計劃設計良好嗎？該計劃被認真而真誠地實施了嗎？換句話說，項目是否有足夠的資源和授權來有效地運作？企業合規計劃在實踐中有效嗎？

（一）企業合規計劃應達到設計良好的程度

《評價》認為，評估任何項目的關鍵因素是該項目是否設計得能夠防止和發現員工的不當行為，以及管理層是否實際執行該項目，是否默許或施壓員工參與不當行為。檢察官應該檢查合規計劃的全面性，包括不容忍不當行為，以及適當的責任分配、培訓計劃、激勵和紀律系統的政策和程序，以此確保合規計劃很好地融入企業運營和職工全體。有觀點認為，《評價》在2020年的更新強調了特定合規計劃的動態演變。[16]企業合規計劃不能是多年前制定的政策和程序的停滯集合，它們必須是一個不斷發展的、可訪問的計劃，經過修改并適應能夠處理更新的問題。具體而言，應該從風險評估、教訓總結、培訓和溝通、匿名報告結構和調查程序、運行資源和結果跟蹤、兼并收購六個方面來衡量合規計劃的設計情況。

（二）企業合規計劃應具有足夠的資源和授權來有效運作

《評價》要求檢察官從四個方面開展調查。其一，應具體調查合規項目是紙面項目還是以適當有效的方式來實施、審查和修訂;其二，應確定企業是否提供了足夠的員工來審計、記錄、分析和利用企業合規的結果;其三，應確定企業員工是否充分了解合規程序，并確信公司對合規程序的承諾;其四，應確定公司的合規文化是否包括員工對任何犯罪行為（包括調查所涉及的行為）不可容忍的意識。重點從調查高級和中級管理層的承諾、合規官及下屬的自主權及資源、外包的合規功能角度來檢驗合規計劃是否有效運作。《評價》承認，一些額外的因素可能會導致一個設計良好的項目不成功。此外，評價著眼于合規人員是否有足夠的途徑獲取相關數據，以便進行有效和及時的監測。如果合規人員無法獲得他們需要的數據，企業應該解決并糾正這些障礙，以便項目能夠成功運行。即使書面的政策和計劃是完美的標準，合規人員也需要能夠有效實施項目的資源。

（三）企業合規計劃在實踐中能夠有效運行

檢察官對企業合規計劃有效性的評估具有回顧的性質，在企業或者員工發生了犯罪行為的時候，如何回答合規計劃在違法時是否有效？評價認為不當行為的存在本身并不意味著合規方案在犯罪時沒有起作用或無效。事實上，司法部也認識到任何合規項目都無法阻止企業員工的所有犯罪活動。當然，如果合規項目確實有效地發現了不當行為，包括允許及時補救和自我報告，那么檢察官應將其視為合規項目有效運作的有力指標。至少應該從三個方面來審查，即合規計劃的持續改進、定期測試和審查;對不當行為的調查;對任何潛在不當行為的分析和補救。2020版《評價》補充了本問題的調查：公司是否根據其自身的不當行為和（或）其他面臨類似風險的公司的經驗教訓，審查和調整其合規計劃？這個附加的問題強調了企業不能有一個固定的或靜態的合規計劃。合規官員必須跟上政府的最新消息和各自行業部門的趨勢，以盡可能保持其項目適應最新情況并且有效，從而應對現有和不斷變化的合規風險。

四、有效合規計劃的設計考量

（一）有效合規計劃的最低要求

美國司法部《量刑指南手冊》第8章——有效的合規和道德計劃（Effective Compliance and Ethics Program）[17]指出，對于責任評價和適用緩刑條件而言，一個組織為了建立有效的合規和道德計劃：應當開展審慎調查防止和預防犯罪行為，并且以其他方式促進鼓勵道德行為和承諾遵守法律的企業文化。該合規和道德計劃應合理設計、實施和執行，使其在預防和發現犯罪行為方面普遍有效。未能預防或發現即時犯罪并不一定意味著該計劃在預防和發現犯罪行為方面無效。具體而言，要實現以上要求的最低限度是：（1）組織應建立預防和發現犯罪行為的標準和計劃。（2）（A）組織的主管當局應了解合規和道德規范項目的內容和運作，并應對合規和道德規范項目的實施和有效性進行合理的監督。（B）組織的高級人員應確保組織具有本指南所述的有效合規和道德計劃。高層人員中的特定個人應被分配對合規和道德規范項目的總體責任。（C）應授權組織內特定個人負責合規和道德規范項目的日常運作。負有業務責任的個人應定期向高層人員報告合規和道德規范計劃的有效性，并在適當情況下向主管當局或隸屬于主管當局的適當子小組報告。為履行這種業務責任，應給予這些個人足夠的資源、適當的權力，并直接接觸主管當局或主管當局的適當分組。（3）組織應盡合理努力，不將任何組織知道或應通過盡職調查而知道從事非法活動或其他不符合有效合規和道德計劃行為的個人包括在組織的實質權力人員之內。（4）（A）組織應采取合理步驟，以切實可行的方式定期溝通其標準和計劃，以及合規和道德計劃的其他方面。向（B）項所述的個人提供有效的培訓方案，并以其他方式傳播適合這些個人各自角色和責任的信息。（A）和（B）項所述的個人是主管當局的成員、高級人員、實質當局人員、組織的雇員，以及酌情為組織的代理人。（5）組織應采取合理措施（A）確保遵守組織的合規和道德計劃，包括監測和審計以發現犯罪行為。（B）定期評估組織合規和道德規范方案的有效性。（C）建立并公布一個系統，該系統可能包括允許匿名或保密的機制，組織的雇員和代理人可以就潛在或實際的犯罪行為報告或尋求指導，而不必擔心報復。（6）組織的合規和道德規范計劃應通過以下方式在整個組織內一致地推廣和執行：（A）適當的激勵措施，使其按照合規和道德規范計劃執行。以及（B）對從事犯罪行為和未能采取合理步驟防止或發現犯罪行為而采取的適當紀律措施。（7）在發現犯罪行為后，組織應采取合理的步驟對犯罪行為作出適當的反應，并防止進一步類似的犯罪行為，包括對組織的合規和道德計劃作出任何必要的修改。在實施以上最低要求時，組織應定期評估犯罪行為的風險，并應采取適當步驟設計、實施或修改以上規定的每項要求，以減少通過該計劃確定的犯罪行為的風險。

美國司法部《量刑指南手冊》從整體上對一個組織建立有效的合規和道德程序作出了最低限度的要求，建立預防和發現犯罪的標準和計劃，通過人員安排、培訓、溝通、反饋、舉報等程序保障合規計劃有效運行，在發現犯罪行為后能夠及時反應、適當修正。[18]這些要求具有一定合理性，我國企業在建立合規計劃時可以借鑒其中的人力、財務資源保障、反饋舉報和適應環境變化的修正機制等內容。

（二）有效合規計劃的模型與運用

結合美國司法部《量刑指南手冊》對有效合規計劃的最低要求，筆者認為一套有效的合規計劃應當以為董事會為核心，合規總監負責合規計劃的具體運行并向董事會承擔責任。從靜態的角度來看，為了保障合規計劃有效運行，董事會至少應在六個方面提供資源保障：授權合規總監及其下屬足夠的權力，確保他們不受阻礙地執行合規計劃;根據公司規模及業務復雜程度配備足夠的人力資源;為合規計劃的運行提供足夠的經費保障和職工工資福利;為合規人員、管理層、普通職工提供定期培訓，使其了解相關法律規范、企業合規計劃、各自的角色與責任等;制定適當的激勵措施使合規計劃得到一致遵守和執行;對從事犯罪行為和未能完全執行合規計劃的職工采取適當的紀律措施。從動態的角度看，應建立報告、發現和調整機制：報告機制是合規計劃的關鍵，人的行為在他人觀測之下傾向于符合規范的要求，應當允許員工實名、匿名舉報企業內部的違規、犯罪行為，采取一定的保護措施使其不用擔心打擊和報復，并制定實名、匿名舉報下的具體處理方式;發現機制是合規計劃最直接的功能，即通過日常監測和定期評估發現企業運行中存在的違規、犯罪行為及不符合合規要求的人員，并按照紀律規定處以內部處罰或者移送司法機關處理;調整機制是合規計劃的命脈，未來的不確定性導致企業面臨市場、產品、經營、政策、公關、自然災害、外交等風險，合規計劃必須根據內部環境和外部環境的變化不斷調整，以幫助企業應對各種風險的挑戰。

合規計劃應當因人而異，但實際上大多數公司都是類似的。[19]21世紀之前，美國各個行業、各個規模的公司基本上都從建立并教育培訓員工遵守行為準則、直接或間接督導政策目標的落實、獨立或配合司法部門追責三個角度建立合規體系。[20]導致合規成為可選擇程度較低、同質性較強的強制版本。實際上，不同類型企業違反的刑事規范差異較大，企業的性質、行業的類型、經營的范圍、經營的區域等因素均影響合規風險的類型。因此，各類企業可以在借鑒有效合規計劃模型的基礎上，吸收專項合規計劃的精髓，根據預防犯罪的需求設計一套適合自身的合規計劃。

（三）專項合規計劃應關注的重點

值得注意的是，合規計劃的制定及運行主體主要是企業自身，檢察機關或者其他主體不能越俎代庖，但可以制定參考性的專項合規計劃，供企業結合自身需求選擇和完善。[21]一份針對長三角重要省份企業管理人員犯罪的實證研究指出，企業管理人員犯罪風險集中在企業的財務、融資、人員治理和生產經營四大領域，其中涉稅犯罪、非法集資類犯罪、賄賂類犯罪、合同詐騙類犯罪以及拒不支付勞動報酬犯罪較為突出。[22]結合近幾年中央關于加強知識產權保護、個人信息保護和生態環境保護的政策，檢察機關可以主動作為積極探索，主導行業組織、行政監管部門、企業代表等建立專門性的稅收征管合規計劃、反腐敗合規計劃、知識產權保護合規計劃、個人信息保護合規計劃、生態環境保護合規計劃等，也可以根據企業性質如國有企業、民營企業、外資企業制定針對性的合規準則，為各類企業建立合規體系提供參考。

專項合規計劃應當圍繞重點領域、重點環節與重點人員來進行設計。[23]重點領域是指專項合規計劃著重發現、預防的犯罪風險領域。例如稅收征管合規計劃就應當會同稅務管理部門圍繞反避稅的目標來設計，將“合理商業目的”“權利濫用”“實質重于形式”[24]與避稅行為的界定進行合理表達，給企業劃定合法經營與行政違法、刑事違法的邊界。重點環節是指企業的決策環節和運營環節。中國企業在走向全球化的過程中遇到了重重阻力，其中很大一部分原因是中國企業被指控在投標環節（運營環節）存在虛假陳述、腐敗、串通、強迫、阻礙調查等違法違規行為，遭到世界銀行、亞洲發展銀行、非洲開發銀行、歐洲復興銀行等國際組織的制裁。[25]不論何種行業、何種規模、何種經營范圍的企業，在決策環節和運營環節必須符合管轄范圍的法律法規、國際條約等準則。重點人員更是合規計劃的關鍵要素，任何法律、規范、程序以及責任只有落實到具體個人才能發揮其應有的效力。例如國有企業犯罪主體以高、中層管理者為主，普通業務人員犯罪比例有限。[26]董事會（董事）及合規總監應當為企業合規計劃的制定、運行、調整負主要責任，合規人員應在承擔的合規管理職責范圍內負責，其他職工對自身工作范圍內發生的違規事件承擔責任，形成一種具有梯度變化的責任承擔機制，尤其是強化高、中管理層責任。