当我们聊起刑事合规时我们在聊什么？

2020年初，央行官宣，P2P网贷平台已全部“清零”，在人们惜叹一个时代终结的同时，一个新的机遇也随之悄悄萌发。2020年3月，最高人民检察院启动涉案违法犯罪依法不捕、不诉、不判处实刑的企业合规监管试点工作，在全国确定了6个基层检察院作为试点单位（上海浦东新区、金山区检察院、广东省深圳市南山区、宝安区检察院、江苏省张家港市检察院、山东省郯城县检察院），一时间，全国各地似乎都开始开展涉刑企业的相关探索工作，法律界尤其是刑事圈内戏称为“刑事合规元年”

但对于传统市场来说，这个舶来品概念似乎又讳莫如深，既不清楚定义，也不了解业务范围，甚至难以估计会带来何种风险，按照投资市场的“行话”来讲，刑事业务此时也处在了一个“风口”，笔者希望借此机会开设一个专栏，与社会各界探讨企业刑事合规的方方面面。

一、刑事合规到底是什么？

北京大学陈瑞华教授，曾经在一次企业合规专题讲座中讲了个案例，2009年初，创立于1934年的顺德糖厂，由于被卷入一起骗取贷款罪并同时提供了担保，数亿财产一度被查封冻结，至此便一蹶不振最终面临倒闭。时过境迁，如今当人们再度谈起这件事时，只留下一个模糊的概念，案件的真相与细节早已与顺糖一起被吹散在了历史里。而现在的法律工作者提出了一个疑问：

如果当年的顺糖有足够的精力和态度去完善企业内部的规章制度，有预兆性的识别刑事风险，有条理的与公检部门去交涉并顺利完成整改，就是否能够挽救一个百年企业？

于是，陈瑞华教授总结了刑事合规的定义，它是指的是刑事指控来临之前，律师帮助公司企业及高管进行相关调查、诊断法律风险，依法化解可能的刑事追诉，提出应对刑事调查的具体方案。

所以我们可以理解为，企业进行刑事合规的目的在于，促使其员工遵守刑法的规定，确保企业利益不受违规行为的损害或者使这种损害尽量降到最低。

二、解决什么问题？

理想的企业是不存在的，企业的目的就是逐利，而逐利和风控本身是相互矛盾的，在追求回报的同时就不可避免的会产生风险，而一般的违法成本（民事责任和行政责任）企业都是可以承担和接受的，但是唯独刑事责任是企业最后的一道红线，企业一旦面临被追究刑事责任，其积累的财富可能瞬间倾覆。所以刑事合规要解决的就是，通过建立适当的反舞弊制度，分析企业自身的业务所特有的刑事风险，预先提出防控建议和应对方案，避免可预见的刑事风险，最终获得长久的竞争优势。

三、适用什么行业？

虽然说企业为了保障其健康的生产经营都应该设立法务团队，但并不是所有的行业都需要（刑事）合规，这就产生了一个新的问题：刑事合规业务适用于哪些行业？我们一般来说，需要合规业务的行业具有以下特征：

强监管（明确的上级监管部门）、多政策（多项法规或行业自治条例）、高风险（一旦违规将带来严重的负面后果）

由此来看，适用的行业大致有（医药行业、建筑工程行业、金融行业（传统/互联网）、教育行业）等

四、和其他岗位职责有何区别？

许多企业高管，甚至包括律师在内，其实难以区分对于公司来讲，风控、法务、合规与外部律师之间，究竟有何区别。

我们从COSO（美国反虚假财务报告委员会）对企业的风险管理定义为：

在企业董事会、管理当局和员工影响下，开展内部控制及推进相关战略应用于整个公司，旨在实现经营的效率和效果、财务报告的可靠性。

“风控”偏向于减少企业战略制定与执行的风险、改善企业内部环境、防止利益损失。

而法务作为企业处理法律事务的统一泛称，更倾向于分析个体事件的法律关系，旨在为企业避免法律风险，而外部律师虽然在技能专业性和身份的独立性上高过于法务，但未必清楚企业具体面临的问题。

五、目前存在的难点？

一家企业或直接负责人最终是否会被追究刑事法律责任，是一个动态的、循环的过程，从事前的风险识别、到事中的危机应对，再到事后的计划整改，前后需要各个部门、不同身份的专业人士的协调配合，于是便产生了矛盾——内部法务合规，虽了解公司运营情况，但不清楚是否触犯刑事法律风险，外部刑事律师善于分析刑事法律关系，查找漏洞，但无法第一时间了解企业全貌，也缺乏相应的合规调查、排查的手段。这种天然的壁垒导致了不同身份之间，思维模式转换的滞后，而这种滞后恰恰直接导致了企业错过了最佳的刑事风格隔离的时机。所以，刑事合规业务若不想流于表面，就需要即懂法律，又了解行业规则，同时还要精于企业治理，同时还要具备人员协调的各种能力。

六、典型案例分享

【案例一】 重视刑事合规，积极准备

【雀巢员工侵犯公民个人信息案】

关键词：合规管理、单位犯罪、侵犯公民个人信息罪

案情回顾： 2016年10月31日，兰州市城关区人民法院对雀巢中国公司郑某等6名员工通过支付好处费方式获取孕产妇姓名、手机号等信息的行为，以侵犯公民个人信息罪定罪处罚。之后郑某等人上诉辩称其行为属于公司行为，非个人行为。2017年5月31日，兰州市中级人民法院作出二审终审维持原判。二审法院判决主文中以“雀巢公司政策、员工行为规范等证据证实，雀巢公司禁止员工从事侵犯公民个人信息的违法犯罪行为，各上诉人违反公司管理规定，为提升个人业绩而实施犯罪为个人行为。”认定郑某等人犯罪行为属于个人行为非单位行为，从而未认定雀巢公司为单位犯罪。

案例简评：从终审裁定中可以看到，法院充分认可雀巢公司所制定和实施的含有个人信息保护合规内容的《员工行为规范》等公司政策，案件审理中重点审查了雀巢公司的公司指示（复印于雀巢公司员工培训教材）、雀巢（中国）有限公司情况说明及雀巢公司DR的概念、目标任务、与DR相关的信息获取方式等情况，均证实雀巢公司从不允许员工以非法方式收集消费者个人信息，并且从不为此向员工、医务人员提供资金。雀巢公司在《雀巢指示》以及《关于与保健系统关系的图文指引》等文件中明确规定“对医务专业人员不得进行金钱、物质引诱”。对于这些规定和要求，雀巢公司要求所有营养专员接受培训并签署承诺函。因雀巢公司已建立了有效的合规制度，已尽到合规管理的义务，具有合规规避、防范合规风险的意识，并进行了合规培训，由此认定多被告人的行为违反了公司的合规管理规定，为其个人行为，而非单位行为。——《刑事合规业务前沿（第六期）》

法条链接：《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》（法释〔2017〕10号）

【案例二】忽视刑事合规，消极应对

【瑞幸咖啡财务造假案】

关键词：合规管理、财务舞弊、虚假宣传、不披露重要信息罪

案情回顾：2020年4月2日晚，瑞幸咖啡对外公布，经初步调查，公司2019年第二季度到第四季度的总销售额夸大了约22亿人民币。数据一出，瑞幸咖啡在纳斯达克上市的股票跳楼市下跌80%。在美国，投资者已经联合律师事务所发出公告准备对瑞幸提起集体诉讼，同月，市场监管总局对瑞幸咖啡（中国）有限公司、瑞幸（咖啡）北京有限公司（以下合称瑞幸公司）涉嫌虚假交易等不正当竞争行为开展调查。

最终于9.22日，市监总局以违反《反不正当竞争法》第八条第一款为由，连同其他45家同类涉案企业作出行政处罚，处罚金额共计6100万元。

案例简评：对于国内的证券类犯罪，虽未有相应明文规定进行指引操作，但司法机关采取启动刑事措施往往是以证监会已经出动对此事进行了调查为前提。证券犯罪在实务中首先需要证监会介入对于行政责任进行认定，如果不具有这个前提，司法机关本身是很难对证券行为的违法性进行界定的。

据查阅国内近年来的案例，欺诈发行股票罪、违规披露、不披露重要信息罪、出具证明文件重大不实罪等在瑞幸咖啡财务造假事件中可能涉嫌的罪名，加起来不足十起。可以看出，即便被认为构成行政违法，升格成刑事责任的可能性也并不大——《刑事合规业务前沿（第四期）》

法条链接：《反不正当竞争法》第八条第一款“经营者不得对其商品的性能、功能、质量、销售状况、用户评价、曾获荣誉等作虚假或者引人误解的商业宣传，欺骗、误导消费者。 经营者不得通过组织虚假交易等方式，帮助其他经营者进行虚假或者引人误解的商业宣传”

结语：通俗的讲，笔者认为刑事合规的最终目的应该是，穷尽所有手段和方法，使得企业最终免受刑事处罚，至于是否侵权、违约乃至违法，都由其他的法律服务予以解决。笔者零零总总写了这些，恐怕也难以概括何为刑事合规，此文仅作抛砖引玉，有待后续的实践过程中进一步探索。