刑事合规的实践难题、成因与立法思路*——以企业合规改革试点典型案例为视点

周振杰

(北京师范大学刑事法律科学研究院，北京 100875)

刑事合规，指通过给予有效实施合规计划的企业刑法激励，推动其与司法机关合作，共同预防、制裁违法行为。自20世纪90年代以来，刑事合规逐渐在全球范围内形成了一股潮流。[1]这一概念虽进入我国较晚，但自2018年中兴事件到现在的短短数年间，已然成为了法学界的一门显学。不仅如此，随着最高人民检察院(最高检)于2021年4月将试点工作由最初的6家基层检察院扩展至全国，刑事合规先在司法实践中扎根，待条件成熟后进入立法似乎已经不可避免。因此，当前的研究至少应在两个层面展开：理论层面。继续研究刑事合规的合理性、正当性、可行性以及与中国刑事立法、法学理论的契合性等问题；实践层面。关注试点实践中的问题，从刑事合规的要义出发探讨如何将合规制度纳入到我国立法、在实践中具体展开，以充分发挥其功能。本文的研究属于第二个层面，意在从最高检2021年6月3日发布的四个企业合规典型案例出发，[2]分析当前试点实践中的难题，并从刑事合规的要义出发进行对策思考。

一、刑事合规实践的突出难题

最高检发布的典型案例在总结刑事合规试点工作中的经验、为检察机关开展具体工作提供指导的同时，也为理论界提供了解实践现状、进行问题分析的素材，解决典型案例中的问题进而又能够推动企业合规试点工作，并为未来立法修改提供理论参考。从已公布的典型案例来看，在当前的合规试点工作中，存在如下四个亟待解决的突出问题：合规计划实效难以保证、监管适用前提尚不明确、监管对象选择存在缺陷以及犯罪预防责任未能分散。

(一)合规计划实效难以保证

如上所述，刑事合规的要义是对有效实施合规计划的企业予以刑法激励。国外的合规实践表明，制定实施合规计划者众，但有效者较少。例如，美国在2016年根据联量刑委员会发布的《组织量刑指南》处罚了132个组织，其中只有少数企业(2.1%)的合规计划被评估为有效。[1]而且，有效性评估是非常复杂的问题，甚至被美国学者认为是监管机构不可能完成的任务。[3]因此，采纳刑事合规制度的各国都将如何保证实效作为核心问题。从典型案例来看，我们面临的这方面问题可能更为明显。例如，在“张家港市L公司、张某甲等人污染环境案”中，鉴于涉案企业社会危害性较小等情况，检察机关决定对之进行合规考察，这是符合政策精神与法律规定的。但是，从2020年10月L公司接到检察机关的《企业刑事合规告知书》开始合规建设，到同年12月检察机关组织进行专业评估并得出L公司合规建设合格的结论不过短短2个月，在这么短的时间内，能够真正形成有效的合规管理吗？至少是存疑的。同样，在“上海市A公司、B公司、关某某虚开增值税专用发票案”中，检察机关在2020年6月受理案件后即督促企业开展合规建设，并在同年11月提起公诉之际适用认罪认罚从宽制度。但检察机关在判决后联合税务机关上门回访之际发现，该企业的合规建设仍需进一步完善。这在一定程度上说明A公司合规管理的实效并未达到预期。

此外，就刑事合规的有效性评估，虽然最高检等8家单位于2021年6月3日联合印发了《关于建立涉案刑事合规第三方监督评估机制的指导意见(试行)》(以下简称《意见》)，建立起了第三方评估机制，但该《意见》并未规定合规管理的有效性评估标准，因此，如何评价具体合规计划是否有效，仍然是当前最紧迫的问题。[4]需要指出的是，尽管国际标准化组织2021年4月13日发布的《合规管理体系要求及使用指南》(ISO 37301: 2021)就建立、运行、维护和改进合规管理体系进行了相应的规定，但是否以及在多大程度上根据评估结论减免企业责任由司法机关最终决定，就如意大利最高刑事法院在2013年12月18日判决中所言：行业工会的行为准则即使经过司法部批准，也不能成为逃避合规计划责任的理由。[5]因此，行业标准原则上应该是一种参考，司法机关应该有自己的判断标准。

(二)监管适用前提尚不明确

从国外的合规实践来看，可以将企业实施合规计划的情况分为如下三种：(1)违法行为未被发现之前。从法治的原则出发，此时司法机关不应介入，由企业自行进行决定是否制定与实施合规计划；(2)违法行为被发现，企业成为追诉对象之后。此时，执法或者司法机关可以实施合规计划为条件，与企业达成不起诉、缓起诉等刑事和解协议，就如在2018年的中兴事件中，中兴公司与美国商务部于2018年达成协议，后者派驻特别合规协调官对中兴及其全球子公司的合规情况进行为期10年的监督；[6](3)违法行为被处理之后，例如法院判决已经确定。此时，除非法院将实施合规计划明确列为宣告缓刑的条件，司法机关也不宜介入。简而言之，要求企业实施合规计划以涉案企业实施了违法行为为前提。

当前我国的企业合规试点工作的模式类似于上述第(2)种情况，即检察机关接到调查机关移送的案件之后，根据案件情况确定是否对涉案企业进行合规监管。这也意味着，涉案企业构成追诉对象，才能要求其接受合规监管。但在典型案例中，存在要求未被列为追诉对象的企业接受合规监督的情况。例如，在“王某某、林某某、刘某乙对非国家工作人员行贿案”中，从行贿的整个流程来看，Y公司的财务与监管制度中存在明显漏洞，应要求其接受合规监管。但问题是：第一，本案中的被告人是王某某、林某某与刘某乙，并不包括Y公司，因此检察机关要求Y公司接受合规监管合法性存疑。第二，从案件处理的整个过程来看，检察机关是将Y公司接受合规监督作为对负责人王某某不起诉的条件之一，有混同企业责任与个人责任之嫌。第三，从2019年10月H公司报案到2020年6月法院判决，约有近9个月的时间，但检察机关直到2020年7月才与Y公司签署合规监管协议。如此，一方面，检察机关显然不能以企业进行了合规建设为由对王某某予以刑法激励；另一方面，这种情况属于上述的第(3)种情况，检察机关介入是否适当也是存疑的。此外，本案还涉及一个深层次问题，即：如果可以要求未被列为追诉对象的企业接受合规监管，那么在适用单罚制罪名的案件中，检察机关是否也可以要求未被《刑法》规定为犯罪主体的企业接受合规监管？从刑事合规的制度初衷与政策精神出发，答案无疑应该是肯定的。但从罪刑法定原则出发，要求非刑事责任主体承担责任与根据企业责任处理个人责任都值得商榷。

(三)监管对象选择存在缺陷

要求企业接受合规监管的主要目的是消除企业内部的违法根源，实现企业的健康发展。从犯罪学的角度而言，预防犯罪也应针对犯罪原因采取对策。因此，要求涉案企业进行合规建设，应以违法行为与内部管理的缺陷之间存在因果关系为必要条件，否则就会导致无效的制裁，徒然增加企业的负担。也即是说，如果涉案企业实施违法行为并非因为其内部管理存在缺陷而是外部的原因，那么要求其进行合规建设就是存疑的，在“新泰市J公司等建筑企业串通投标系列案件”中就是如此。在该案中，山东省新泰市J工程有限公司等6家建筑企业参与串通投标，是因为受到黑社会性质组织的强迫，而非是内部管理存在缺陷。根据《刑法》第28条“对于被胁迫参加犯罪的，应当按照他的犯罪情节减轻处罚或者免除处罚”之规定，兼顾稳定就业等方面的政策要求，对相关企业负责人不予起诉，符合罪刑法定与政策精神，对当地建筑行业招投标情况进行排查、净化招投标环境也是适当的。但问题是，要求涉案企业进行合规建设的基础何在？又如何要求涉案企业有针对性地进行合规建设？一方面，即使涉案企业内部存在完善的管理制度，但在被胁迫的情况下也是难以发挥作用的；另一方面，案中的犯罪行为并没有暴漏出涉案企业内部管理的缺陷，如果不对其内部管理制度进行深入梳理，检察机关也难以有的放矢地提出合规建议。

(四)犯罪预防责任未能分散

刑事合规的核心理念是共治，即通过施加外部压力、给予刑罚激励等措施推动企业参与犯罪治理，承担相应的犯罪预防责任，这既有风险社会的宏观背景，也有证明困难的具体原因。因此，在整个合规监管与评估过程中，司法机关需要发挥主导作用，但也应采取适当措施将相应责任分散至企业。例如司法机关可以要求企业接受合规监管、针对企业内部管理中的缺陷提出合规建议以及指派合规监督员。但对于如何推进合规建设、评价合规计划是否有效等，应通过适当路径交由企业或者第三方组织负责。在上述典型案例中，检察机关几乎都是承担了绝大部分甚至所有责任，这与刑事合规的共治理念存在偏差。①需要指出的是，根据《意见》建立的第三方机制，对涉案企业的合规承诺进行调查、评估、监督和考察工作将由第三方监督评估组织承担。这一思路是值得肯定的，但问题是，根据该意见的规定，第三方组织成员的遴选完全由第三方机制管委会负责，而且后者还负责“第三方组织及其人员的工作保障和激励制度”。如此，在整个合规建设过程中，发挥主导作用甚至承担合规成本的还是权力机关，涉案企业几乎完全处于被动地位，预防责任同样没有得到有效转移。

二、刑事合规实践难题的形成原因

导致上述实践问题的原因当然有很多。比如，刑事合规进入司法实践的时间较短，尚未结合中国特点形成成熟做法；国外的合规实践形形色色，有的国家，例如西班牙、智利等国也是处于探索过程中，有的国家，例如美国虽然实施合规制度的时间较长，但司法体制的差异决定了难以将其规则照搬至国内。而且，我国企业对于合规的重要性与必要性尚未形成深刻的认识，在理论界也存在争议，等等。但从罪刑法定的角度而言，造成上述难题的主要原因还是立法限制，②因为我国现行《刑法》与《刑事诉讼法》都是以自然人为假想对象，而刑事合规是作为单位(企业)犯罪的预防对策而被大力倡导的。虽然在20世纪80年代末期，为了打击单位走私行为，我国刑法承认了单位犯罪的概念，并在1997年修订《刑法》之际在总则第30条与第31条规定了单位刑事责任与处罚原则，但是，《刑法》迄今并未具体规定如何认定单位责任，《刑事诉讼法》也未规定相对独立的单位诉讼程序。因此，在当前的立法框架下，企业合规试点工作出现上述问题也就不足为奇。

例如，企业合规试点的直接法律依据主要是《刑事诉讼法》第177条第2款规定的相对不起诉与以及第15条规定的认罪认罚制度。《刑事诉讼法》虽然没有明确将相对不起诉的适用对象限制于自然人，但是因为确定合规考察期限必须有法律依据，所以在司法实践中，检察机关通常以涉案自然人可能判处3年以下有期徒刑为前提条件，③并以对自然人审查起诉的期限为标准，确定合规监管的期限。根据《刑事诉讼法》第172条与第175条的规定，对自然人审查起诉的期限最长为12个月，虽然对于制定与有效实施合规计划而言显然太短，但在法律没有其他明文规定的情况也只能如此。有的地方规范性文件为了稳妥起见，规定的考察期间甚至更短，只有3-5个月，④期待企业在如此短暂的时间内有的放矢地制定并有效实施合规计划，显然是不可能的。再如，就单位犯罪，《刑法》第31条规定了“双罚制”与“单罚制”两个原则。刑法分则中的单位犯罪大多数采纳了“双罚制”原则，但是重大劳动安全事故罪、工程重大安全事故罪、教育设施重大安全事故罪等事故型过失犯罪都例外地采纳了“单罚制”原则，仅处罚“直接负责的主管人员和其他直接责任人员”或者“直接责任人员”。显然，在符合合规试点条件的“双罚制”案件中，要求涉案企业进行合规整改、对之进行监督考察自无障碍，而在适用“单罚制”的案件中，因为企业本身并非《刑法》规定的刑事责任主体，因此在刑事诉讼程序中不会被列为被告人，对之进行合规监管有违反罪刑法定原则之虞。但恰恰就是在企业过失犯罪案件中，合规监管能够发挥较高的效用，因为企业本身本无造成重大伤亡或者财产损失的故意，进行合规治理的意愿更高，因此合规治理的效果也会更明显。这也是合规试点工作在明确监管适用前提与选择监管对象面临困境的原因之一。

此外，在司法实践中，个人经单位决策或者在职权范围内、以单位名义、为单位利益实施犯罪是追究单位刑事责任的要件，⑤因此，“无论是双罚制还是单罚制，都要处罚单位犯罪直接负责的主管人员或者其他直接责任人员”。[7]P136可见，当前司法实践采纳的是转嫁罚原则，即将涉案自然人的罪责转嫁给企业，然后在客观方面加以限制。如此，个人责任与企业责任纠结在一起，对于确定监管适用前提与选择监管对象也造成了一定困难。

最后，我国采纳的是职权主义的刑事诉讼构造。根据《刑事诉讼法》第52条、第175条以及第176条等的规定，除非在诸如《刑法》第395条规定的巨额财产来源不明罪等特殊场合，司法人员必须收集能够证实被告人有罪或者无罪、犯罪情节轻重的各种证据，检察机关在决定是否起诉之际也必须达到“事实已经查清，证据确实、充分”的程度，在认罪认罚的场合，检察机关也应就主刑、附加刑、是否适用缓刑等提出量刑建议，承担了几乎所有责任。这也是检察机关在企业合规试点工作中，承担了提出合规建议、进行合规监管等几乎所有责任的原因之一。

简而言之，在现行立法框架内，我们难以充分发挥合规制度的功能、实现政策初衷，而且“刑法是刑事政策不可逾越的屏障”，[8]P244当前试点工作有违反罪刑法定之虞。既然“一切法律都是为了人的缘故而制定的。制定法律的宗旨就是为了保护人们的生存利益。保护人们的利益是法的本质特征，这一主导思想是制定法律的动力所在”，[9]P3所以，适应刑事合规之需要，对《刑法》与《刑事诉讼法》进行相应修改是自然而然的选择。

三、刑事合规的核心理念与企业责任

在探讨修法问题之前，首先需要回答如下理论问题：刑事合规的核心理念是什么，其如何形成的？这一理念对企业刑事责任又产生了怎样的影响？立法是理论的规范体现，只有在理论上理清上述问题，才能抓住重点，有针对性地提出立法建议。

(一)共治理念及其形成背景

从刑事合规的概念可以清楚地看出，其基本的模式是司法机关通过外部措施，激励企业主动承担责任、采取措施，与司法机关进行合作，共同预防、制裁犯罪。由此可以将其核心理念概括为“共治”。这一“共治”核心理念的形成，概括说来主要受到了风险社会与企业自身两方面的影响。

1.风险社会的影响。风险社会是德国学者贝克用以描述20世纪80年代之后的社会阶段的概念。在这一社会阶段，人人都随时可能创造或者面临风险。与此前的社会发展阶段相比，风险社会的风险具有如下三个特征：第一，不可知。即在造成实质侵害之前，很难认识到风险的存在，甚至只能认为其不存在，因为“只要危险没有获得科学的认识，它们就不存在，至少在法律上、医学上、技术上或科学上不存在。”[10]P86第二，制度化。即风险“是由整个专家组织、经济集团或政治派别权衡利弊得失后所做出的，”[11]而且“在风险的生产过程中，每个环节都是正当而合法的，这种正当性与合法性是由科学、政治和法律共同赋予的。”[12]第三，全球性。即风险“既是本土的又是全球的，或者说是‘全球本土’的。这种本土和全球风险选择上的‘时空压缩’进一步证实了世界风险社会的诊断。”[13]P48对于预防与制裁企业犯罪而言，上述特征提出了严峻挑战：第一，因为风险是不可知而且并非刑法意义上的危险，所以权力机关只能在发生实质危害结果之后介入。如何才能充分发挥刑罚的预防功能呢？第二，因为风险的产生过程是合法的，所以在风险化为现实的重大危害结果之际，企业总是会“竭尽全力通过在工业中逐渐制度化的‘反科学’的帮助来反驳对他们的指控，”[10]P33让我们只能接受“听任风险继续发展而无法防范”的有组织的不负责任现象。[14]如何才能有效治理这一现象？ 第三，风险的制度化与全球化，意味着危害活动的复杂化与全球化，进而意味着证明的专业化与调查的全球化，这使得司法机关在资源、跨国取证等方面不得不面临更多的法律与资源障碍。如何尽可能地消除这些障碍？第四，因为造成重大社会危害的企业经常只需承担民事责任就可以全身而退，所以许多企业将违法视为可负担的机会成本，进而造成恶性循环，既损害了公众的合法权益，也削弱了法治的正当基础。如何才能破解这一难题？

2.企业自身的影响。传统刑法以自然人为假想对象，因此“刑罚以罪责为前提。罪责是非难可能性。……责任非难的内在理由是，人类天生能够自由和有责任地作出符合道德的自主决定，就有能力选择法，反对不法”，[15]P204因此否认企业(法人)具有犯罪能力，就如李斯特所言：“法人，如公司、大学或者学院等绝不可能成为犯罪的主体。只有不同种类的公司里的具体个人才可能是犯罪人，甚至，当公司里的所有人都想犯罪并且实施了犯罪行为时，仍然是个人犯罪。”[9]P37直至19世纪后半叶，随着工业革命的展开与企业活动导致的危害后果引起社会尤其是政治关注，企业刑事责任才作为公共政策选择的结果进入刑法的视野，就如英国法官在1838年的Regina v. Tyler案中所言：采纳刑事责任是规制企业行为的最有效途径。[16]美国法官在1909年的New York Central & Hudson River Railroad Co. v. United States中也认为：如果因为法人不能犯罪这一腐朽而又陈旧的原则而赋予它们刑事豁免，实质上就是剥夺了唯一能够控制它们、纠正违法的有效工具。[17]

在20世纪90年代之前，各国企业刑事责任原则采取的都是一元模式，即以传统刑法理论下的个人刑事责任为基础，以个人与企业之间的联系为媒介认定法人刑事责任，普遍体现出传统刑法与政策需求相妥协的特点。但随着交通技术与信息技术的发展，企业的组织结构日趋复杂，企业内部与企业之间生产经营活动协作化日渐增强，一元模式的企业刑事责任面临越来越大的挑战。尤其是，随着企业的决策过程越来越复杂、业务程序越来越分散，责任分担者也越来越多，根据行为与责任同在的原则确定应负刑事责任的个人越来越难。[16]P330例如在21世纪初期，英国发生了多起重大伤亡事故以及劳动灾害，公众强烈要求以“过失致人死亡罪”严罚涉事企业。[18]P353根据英国的同一视原则，追究企业过失责任要有引起过失致人死亡且能够代表法人意志的行为人，还须证明行为人对现场危险存在认识。但在规模相对较大的企业中，高层管理人员通常不在具体业务活动现场，因此，存在这种认识的可能性几乎不存在。再如，现代企业活动中蕴含的危险，也具有与上述风险相似的特征，也给刑事司法带来了相似的难题。此外，因为一元模式是传统刑法立场与政策需求妥协的结果，在实践中存在处罚范围过于宽泛的缺陷，尤其是在代理责任之中，因为其近似于严格责任，可以根据任何员工的行为追究法人的刑事责任，[19]这又不可避免地带来企业掩盖罪责、阻碍调查的负面效应，从而削弱刑罚的预防效果。正是为了应对风险社会与现代企业提出的上述挑战，英美国家率先提出了以“共治”为核心理念的刑事合规制度，将预防与制裁违法行为的责任分散至企业本身。一方面，要求企业制定内部预防与制裁措施，自行治理其内部可能造成风险的经营管理行为，以降低行为中的风险，分散预防责任，提高预防效果；另一方面，要求企业在发生犯罪行为之后通过提供证据、认罪认罚、补偿社会等方式与之合作，降低调查、取证、起诉以及定罪等方面的难度，提高对危害企业进行刑事处罚的可能性。也正是因为分散责任与合作共治能够应对上述挑战，刑事合规获得了越来越多国家以及国际组织的认同。

(二)共治理念与企业责任

从刑法的角度而言，刑事合规的规范立足点是企业责任。与传统责任原则要求责任必须建立在故意与过失的主观要素基础之上不同，在刑事合规的视野中，企业责任应根据企业制定与实施合规计划的情况确定。如此，在刑事合规“共治”理念的影响下，企业责任的认定模式逐渐从之前的一元模式向二元模式转变。也即，在企业犯罪的案件中，根据不同的原则与基础，对个人责任与企业责任分别进行独立认定。如果说在一元模式下，企业责任的判断逻辑是“出现危害结果或者危害行为、认定个人责任、确认个人-企业关系、认定企业责任”的线性结构，在二元模式下，企业责任的判断逻辑则呈现出个人-企业的平行结构。具体而言，就个人责任，仍然根据传统的刑法原则进行认定；二是根据法人文化、经营管理以及营业活动中的缺陷来认定法人刑事责任的过程。如此，在企业犯罪的场合，司法机关判断企业责任的主要根据在于，被告企业是否充分履行了法定义务或者是否有效实施了预防犯罪的适当措施或者程序。因为作为责任前提的危害结果与危害行为，与被告法人组织管理与经营活动是否存在缺陷以及是否存在滋生犯罪的整体环境的判断标准都是客观的，所以，二元模式的企业责任整体上呈现出客观化特征。

与客观化特征相适应，在企业犯罪的场合，证明责任发生了倒置，也即，如果控诉方可以证明危害行为或者危险结果与被告企业的组织管理、经营活动中的缺陷或者内部负面文化之间存在因果关系，就可以推定被告企业有罪。如果企业提出无罪或者罪轻的主张，应该承担证明责任。需要指出的是，此处的推定属于“主观罪责型”推定，改变的只是构成要件中主观罪责的证明方式，即根据违法事实的存在与合规治理情况推定企业刑事责任的存在，因为似乎对基础事实内容进行了严格限制，并不违反无罪推定这一刑事诉讼基本原则。[20]同时，随着企业责任与个人责任的认定原则与基础发生在实体法上相对分离，二者的诉讼程序也趋于相对独立，尤其是在根据传统刑法原则无法追究任何自然人的刑事责任，只能是企业的场合。在有的国外立法中，个人责任与企业责任的认定可以在同一程序中，也可以在不同程序中进行。例如，根据英国《企业过失致人死亡罪法》第18条及其立法解释，任何人不构成该法规定罪名的共犯，如果个人行为构成普通法上的过失致人死亡罪或者卫生安全法规规定的犯罪，可另案处理。

四、共治理念的国外立法体现

刑事合规是刑事法治的一部分，其理念必须融入立法才能进一步在司法中实现。那么共治理念在国外立法中是如何体现出来的？这也是我们在修法之前必须回答的问题。唯有如此，才能为修改我国立法提供正确的方向性参考。从英国、美国、法国、德国、意大利、巴西、日本、阿根廷、智利、西班牙以及墨西哥等国的规范性文件来看，刑事合规的共治理念在实体法上主要体现在企业责任的认定原则、处罚方式、企业缓刑等方面，在程序法上则主要体现在对符合条件的企业不起诉与暂缓起诉上。[21]

(一)实体法体现

就实体法而言，英美法系国家的代表性立法，当属加拿大2004年3月31日生效的《C-45号法》(C-45 Bill, or Westray bill)与英国2011年7月1日开始实施的《2010年贿赂罪法》(Bribery Act 2010)。大陆法系国家的代表性立法，则是意大利的《第231/2001号法》与2015年修订后的《西班牙刑法典》。

加拿大的《C-45号法》(C-45 Bill, 或者 Westray bill)对加拿大刑法典中的企业刑事责任原则进行了实质性修改，是加拿大企业刑事责任立法发展中的分水岭。在《C-45号法》生效之前，加拿大仅仅是根据同一视原则追究企业刑事责任；之后，在过失犯罪的场合，同时采纳了代理责任与同一视原则，以过失之外的其他主观心态为构成要素的犯罪适用等同原则，即在至少以部分为企业谋利之目的实施犯罪，而且企业的高级官员(1)在其授权范围之内行为，成为特定犯罪的共犯，(2)具有成为共犯所必需的主观心态，或者(3)明知法人的代表人将要或者可能成为特定犯罪的共犯，而不采取所有合理措施阻止其(雇员、代表人等)成为特定犯罪的共犯之际，可追究其责任。在第(3)中情形，企业可提出“尽职调查”的辩护理由，也即，如果能够证明在犯罪行为发生之际，存在适当的预防措施，可以免除其刑事责任。这里的“预防措施”其实就是合规计划。英国的《2010年贿赂罪法》在废除了英格兰、威尔士与北爱尔兰普通法上的行贿罪与笼络罪、苏格兰普通法上贿赂与收受贿罪、《1906年预防腐败行为法》、《1889年公共团体腐败行为法》等相关成文法罪名的同时，在第1条、第2条、第6条与第7条，分别规定了行贿罪、受贿罪、向外国公职人员行贿罪与商业组织不履行预防贿赂义务罪四项新的贿赂犯罪。[22]根据该法第7条的规定，如果商业组织不制定、实施的符合《2010年贿赂罪法》第7条(2)规定的适当程序，而致使与商业组织相关的个人，出于特定目的实施了符合上述行贿罪与贿赂外国公职人员罪，该组织应承担责任。从反面而言，适当程序构成了该罪的辩护理由。

作为大陆法系的代表性国家之一，意大利传统上坚持个人主义与道义责任，强调社团不能犯罪。但鉴于本国企业犯罪的严峻形势与来自欧盟等组织的外部压力，意大利2001年通过了《第231/2001号法》，首次规定了企业刑事责任。该法规定了两种企业归责形式。第一种在实质上是英国的等同原则，即在企业“首脑”，包括董事、经理或者受到董事、经理指派或者监督的人，实施了法定的犯罪行为之际，如果能够认定该行为是为了公司利益的，则可以追究企业的责任。第二种则是组织责任，例如在企业没有针对已然发生的犯罪实施有效措施进行预防的场合，也可以追究企业的责任。同时，上述这两种责任形式都允许提出“已尽到合理审慎”的辩护理由。[21]P13-14与意大利相似，西班牙传统上也是对企业刑事责任持否定态度的。直至2010年，西班牙才通过修订《司法组织法》，首次规定了企业刑事责任，之后在2015年，又对企业刑事责任的追责原则进行了重大修改，将为预防违法行为而进行的“适当控制”规定为企业刑事责任的基础。与《司法组织法》的修改相适应，2015年修订的《西班牙刑法典》第31条之四“合规计划”明确规定，如果满足如下条件，可以免除企业的刑事责任：(1)在犯罪行为发生之前，董事会已经采纳并实施了针对特定犯罪行为的管理和控制制度；(2)有具有主动权和控制权的独立监督机构负责相关制度；(3)犯罪人在行为之际以欺骗的方式故意规避了相关制度；(4)监督机构在监督和控制方面并无失职，同条之五进而规定了构成合规计划应满足的识别风险活动等六项原则。[21]]P17-18

在修改企业责任认定原则的同时，许多国家的企业处罚还体现出了多样化的特征。例如英国的《2010年贿赂罪法》规定，在商业组织被认定有罪之际，可处以无限额罚金，剥夺其在欧盟范围内参与公共采购等方面的资格，[23]《第231/2001号法》在规定罚金的同时，还规定了公开法院判决，暂停或者撤回授权、许可或者用于实施犯罪的减让文据，禁止与公共行政部门订立除履行公共服务外的协议，禁止发布广告等处罚。此外，鉴于刑事合规的目的是通过处罚促进企业实现可持续发展，许多国家的立法都规定了企业缓刑制度，为企业制定、完善与实施合规计划提供空间，体现出了弹性化的处罚特征。例如，加拿大的《C-45号法》明确规定法院可以对被定罪的企业颁布缓刑令，要求其接受法院监督。[24]P441-445早在1972年United States v Atlantic Richfield Company案中，美国联邦法院早就以治理被污染的土壤与河流为条件，对犯罪企业宣告缓期。[25]

(二)程序法体现

刑事合规在国外程序法上主要体现，是允许对实施合规计划的企业宣告不起诉或者缓起诉，这似乎已经成为各国合规立法的普遍性规则之一。[1]例如，直至2010年才通过《公司刑事责任法》(Ley 20392)规定企业刑事责任的智利，很快就适应制裁需要，允许检察官与企业被告代达成类似不起诉或者缓起诉协议。2013年4月，调查机关与涉嫌通过贿赂公共官员获得建筑许可的赛力特工业就达成了第一份不起诉协议。[1]在2016年通过《萨宾第二法案》(《关于提高透明度、反腐败以及促进经济生活现代化的2016-1691号法》)之前，法国不允许检察官与企业签订缓起诉协议。但该法允许司法机关与被告企业达成“基于公共利益的司法协议”，[1]其类似于英美法系所谓的缓起诉协议。当然，在这一方面，最具代表性的还是美国，尤其是在《反海外腐败法》领域。根据《美国律师手册》 第九章的规定，在决定是否起诉之际，司法部应考虑的因素包括：犯罪的性质与严重性、企业违法行为的危害后果、企业实施类似行为的前科、企业与调查机关的合作、及时披露违法行为的意愿、是否存在合规计划及其有效性，包括实施与完善现有计划的努力等。如果检察官决定起诉企业，可以接受企业的申请，与之签署不起诉和缓起诉协议。从企业的角度而言，因为一旦被起诉会面临严重后果，甚至可能烟消云散，所以，企业有选择暂缓起诉协议或者不起诉协议的强烈意愿。从司法机关的角度而言，协议中包括企业与政府合作、实施合规计划的条款，这其实也实现了刑罚威慑犯罪的目的。据统计，自2000年以来，美国司法机关与企业达成的缓起诉与不起诉协议逐年攀升，2015年多达102份。[1]

五、刑事合规的国内立法思路

刑事合规的核心理念及其在国外立法中的体现表明，企业犯罪与作为其对策而出现的刑事合规在本质上都是公共政策选择的结果。如果强行将之纳入强调道义责任与个人主义的传统刑法理论与立法之中，以个人责任为媒介来认定企业责任，必然会产生当前合规工作试点中的种种难题。因此，在参考国外立法进行修法之际，必须明确的理论前提是：企业责任与个人责任具有本质的不同，认定二者的基础与原则应当二元化。⑥

(一)实体法思路

从上述前提出发，确立企业刑事合规制度，在实体法方面，首先，需要改变当前企业责任的认定基础逻辑，将合规计划的制定与实施情况作为认定企业责任的基础。同时，虽然试点工作是在审查起诉阶段，但是从刑事合规制度的初衷而言，应该向前扩展到调查活动启动之前，就如美国学者所言，企业严肃对待合规计划的最佳时机不是在联邦调查开始之后，而是未雨绸缪，避免此类调查发生；[26]向后延申至审判与刑罚执行阶段，以保证企业能够可持续地发展。从国外刑事合规的实践来看，可以区分出四种情况：(1)在危险或者违法行为发生之前，企业不但不制定和实施合规计划进行预防，甚至还鼓励或者变相鼓励违法行为；(2)企业明知存在发生违法行为的危险，不进行任何合规治理；(3)企业虽然制定并实施了合规计划，但在明确可能或者已经发生违法行为的情况下不采取任何治理措施；(4)企业不采取措施充分履行法律义务，例如网络运营者不履行《网络安全法》第42条规定保护个人信息安全的义务，⑦导致发生危害后果的。前三种情况是鼓励、纵容以及默许违法行为，属于故意犯，第(4)种情况显然属于过失犯。从这四种情况出发，可考虑对《刑法》第14条与第15条进行修改，分别增设一款作为第二款，规定“单位未进行有效合规治理的，推定单位存在故意”，与“因单位未适当履行预防义务而导致危害结果发生的，推定单位存在过失”。具体而言，如果存在上述第(1)～(3)种情形推定单位存在故意，存在第(4)种情形推定单位存在过失，以突出单位刑事责任的客观性，确立推定原则。如此，区分出个人责任与企业责任的认定基础与认定原则。

其次，既然单位犯罪是政策的产物，那么在逻辑上说来单位可以实施任何犯罪。即使在诸如强奸罪等要求特殊构成要件要素的罪名的场合，单位虽然不能成为正犯，但存在成为从犯的可能性。事实上，《刑法》虽然仍坚持“法律有规定的”才作为单位犯罪处罚，但是，一方面，全国人大常委会2014年4月24日通过的《关于<中华人民共和国刑法>第三十条的解释》，允许在企业实施刑法规定的危害社会的行为的场合，即使刑法并未将相应行为规定为犯罪，也可以追究负责组织、策划、实施该行为者的刑事责任，这其实已经间接通过单罚制将单位刑事责任扩展至所有罪名；另一方面，单位刑事责任已经进入了传统的自然犯的范围，《刑法》第244条、第260条之一已经将单位规定为强迫劳动罪与虐待被监护、看护人罪的犯罪主体。尤其是在后者的场合，从“同时构成其他犯罪的，依照处罚较重的规定定罪处罚”的规定出发，在被害人死亡的案件之中，也可以追究单位故意致死的刑事责任。既然单位都可以实施故意杀人罪这一最核心的自然犯，还有什么样的犯罪不能实施呢？置而言之，无论是在实践中还是在逻辑层面上，都已经可以将单位犯罪扩展至刑法分则规定的所有罪名。因此，继续保留《刑法》第30条第一款中“法律规定为单位犯罪的”限制性要件已经没有必要了，如果将之删除反而可以避免上述实践中的适用前提与监管对象方面的难题。

第三，如上所述，合规监管未来可能延伸至刑罚执行阶段。鉴于《刑法》第72条规定的缓刑制度仅能适用于自然人，因此有必要增设第二款，规定独立的单位缓刑制度，以为在刑罚执行阶段实施合规监管奠定合法性基础。例如，可以规定，对于被判处具体数额以下罚金的单位，如果满足获得被害人谅解、采取措施减少其犯罪行为造成的损害并进行补救等条件的，可以宣告缓刑，在缓刑期间进行合规治理，期满后如果被评估为有效的，原判刑罚就不再执行。

最后，为了给司法机关更大的裁量空间与监管选择，在《刑法》有关量刑制度以及非刑罚处罚措施的相应条款中增设提示性规定或者作相应修改，将之应用于单位是比较务实的选择。例如，将《刑法》第37条之一规定的职业禁止延展适用至单位。在实践中，许多单位犯罪，尤其是证券、税务等经济犯罪，都是利用职业便利实施。同时，《刑法修正案(九)》已经将拒不执行判决、裁定罪规定为单位犯罪。如此，将职业禁止适用于单位既有必要性也有可行性。

(二)程序法思路

如上所述，当前企业合规试点的合法性基础主要是《刑事诉讼法》第177条第2款规定的相对不起诉。因为这一制度最初也是以自然人为假想对象，所以导致了合规监管期限方面的难题。如果在刑事实体法上将个人责任与企业责任相对分离，对于刑事程序法也应该进行相应的改革，则可以为全面确立刑事合规制度及其实施机制奠定合法性基础。

从企业合规试点实践中的难题出发，在177条增设第3款规定附条件不起诉制度似乎是比较适宜的选择。一方面，附条件不起诉是国外刑事合规实践中较为通行的做法；另一方面，我国的实践已经证明，以相对不起诉作为刑事合规的制度基础存在不足。随着个人责任与企业责任的二元化，针对单位规定独立的附条件不起诉制度，将接受合规监管规定为适用条件之一是必要而且可行的。为保证合规治理的实效，合规监管期间应由检察机关在咨询第三方机构之后，根据犯罪行为的性质、企业内部合规治理的情况等因素确定，不受自然人办案期限的限制，以便为企业制定与有效实施合规计划提供充足时间。

同时，从提供程序保障、保护企业合法权益的角度出发，可考虑在《刑事诉讼法》第五编“特别程序”中增设第六章，规定“刑事合规监管程序”。如果说20世纪80年代末承认单位犯罪的最大目的是通过刑罚处罚、预防单位犯罪，那么将合规写入刑事立法则更进一步，因为合规建设可以通过刑罚威胁与激励，推动企业积极进行自我预防、实现可持续发展，为之规定特别程序的重大意义不亚于未成年人犯罪、缺席审判等特别程序。在“刑事合规监管程序”中，应对监管主体、监管对象、有效性评估的主体以及监管期过后如何处理等基本问题进行规定。例如在被告企业因自愿接受合规监管而被宣告缓刑的场合，如何进行合规监管等，对于这些问题都应该未雨绸缪。

最后，根据上述最高检等8家单位联合印发《意见》第13条与第14条的规定，第三方组织在合规考察期满后对涉案企业的合规计划完成情况进行评估，并制作合规考察书面报告，检察机关应将之决定作为“批准或者不批准逮捕、起诉或者不起诉以及是否变更强制措施，提出量刑建议或者检察建议、检察意见的重要参考”。置而言之，第三方组织的评估报告是影响检察机关决定是否采取强制措施、是否起诉以及是否提出从宽量刑建议的重要证据。如果未来全面建立起刑事合规，第三方组织的评估报告还可能成为是否认定被告企业有罪、是否宣告缓刑、是否以及在多大程度上减免处罚的重要证据。因此，建议通过司法解释或者指导性案例，将将评估报告确定为鉴定意见，第三方组织及其给出结论性意见的成员对评估报告的客观性、真实性与公正性负责。

结语

刑事合规是一个复杂的问题，尤其是合规计划的有效性评估问题。因此，针对试点工作中的问题进行立法应对，只是走出了第一步，后续还有大量的问题和工作有待于去研究和完成。例如，从企业的角度而言，合规就是企业承诺并主动采取有效措施做正确的事情。[27]但是，如果企业主动将其违规行为向执法或者司法机关披露，这些信息可能被泄露给民事诉讼中的原告，给企业造成损失。如何解决这一问题呢？是否可以像美国学者所建议的，给予有效实施合规计划的企业豁免权？[28]再如，在将犯罪预防的部分责任向企业分散之际，如何处理好集中与分散的关系，保证合规能够按沿着预定的方向发展？毕竟企业是以营利为目的的经济组织，刑事合规要求企业承担风险后果，与其营利性质存在直接矛盾。如果将合规计划的制定原则、有效性的判断标准等事项的决策权交给企业或者企业主导的组织，很可能发生“合规的违法现象”。此外，虽然如上所述，《意见》建立了第三方监督评估机制，授权第三方组织对企业的合规计划有效性进行监管、评估，但就第三方组织及其人员的性质、定位等问题仍然存在很大的探讨空间，尤其是在将其评估意见作为定罪量刑的证据之际，如果因为虚假的评估结论造成重大损失，应如何追究责任？简而言之，在将企业合规进入刑事立法之后，需要进一步深入研究的问题，就是如何起建立起司法机关主导、专业机构协助与社会组织参与的合规实施机制，将立法追求贯彻到实处。

注释：

① 这一点在最高检2021年4月8日下发的《关于开展刑事合规改革试点工作方案》中也有所体现，因为根据该《方案》，检察机关要督促企业建立合规制度，履行合规承诺，提出刑事合规建设意见和建议，包括整改方向和意见，承担了绝大部分责任。

② 有的观点甚至认刑事合规违背了罪刑法定原则。参见刘子良：《刑事合规不足以解决企业犯罪问题》，载《广西政法管理干部学院学报》2020年底4期。

③ 例如辽宁省《关于建立涉罪刑事合规考察制度的意见》(2020年12月16日辽检会字〔2020〕15号)第6条规定，对涉罪企业适用合规考察制度的案件应符合“直接负责的主管人员和其他直接责任人员依法可能被判处3年以下有期徒刑、拘役、管制或单处罚金”的条件。福建省泉州市洛江区人民检察院2021年2月发布的《涉企案件合规不起诉工作规程》(试行)将适用范围限定为民营企业家、民企高管实施的与企业经营活动有关的刑事案件，且依法应当判处3年有期徒刑以下刑罚并自愿认罪认罚的案件。

④ 例如辽宁省《关于建立涉罪刑事合规考察制度的意见》(2020年12月16日辽检会字〔2020〕15号)第10条规定，对涉罪企业的合规考察期为三个月以上五个月以下，自检察机关作出合规考察决定之日起计算。

⑤ 例如，最高人民法院2001年发布的《全国法院审理金融犯罪案件工作座谈会纪要》(法[2001]8号)规定的：以单位的分支机构或者内设机构、部门的名义实施犯罪，违法所得亦归分支机构或者内设机构、部门所有的，应认定为单位犯罪。

⑥ 当然，二元化并不意味着制定两部《刑法》或者《刑事诉讼法》，而是在其内部进行相应改革，例如相对分离企业责任的认定基础与原则、单独规定刑事合规考察程序等。

⑦ 该条规定：网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人且不能复原的除外。网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。