检察机关涉案企业合规审查要点与思考*

● 陈超然/文

涉案企业合规融入刑事司法程序后，检察机关如何将对企业合规过程、结果的审查与审查起诉决定相结合，是涉案企业合规改革中的关注重点。前述案例系最高检指导上海检察机关培育的首例数据合规典型案例，充分体现了检察机关开展涉案企业合规审查的要点。

一、涉案企业合规全过程全链条审查

开展涉案企业合规有利于挽回企业受损形象，避免产生严重的法律后果，是对企业犯罪刑罚个别化的有益探索，同时也在传统上指控犯罪或不指控犯罪两种做法外，提供了更好解决企业犯罪问题的方案，使企业在避免定罪的同时进行个性化的合规整改。［1］参见李玉华：《我国企业合规的刑事诉讼激励》，《比较法研究》2020年第1期。当然，对于合规整改效果需要进行准确评估，特别是要加强对适用涉案企业合规程序的监督，避免“虚假合规”“合规腐败”。因此，在涉案企业合规审查中，除对案件事实进行审查之外，检察机关对涉案企业的合规过程、结果的审查也是重中之重。

（一）合规程序启动环节审查

本案中，检察机关受理案件后对Z公司进行实地走访，会同行政监管部门研商情况。检察机关调查后认为，Z公司系成长型科创企业，虽然由于管理层及员工重技术开发、轻合规经营导致犯罪，但是企业合规整改意愿强烈，对数据合规业务进行全方位自查，并且承诺建立企业合规制度，同时涉案人员均认罪认罚，检察机关据此决定对Z公司商请启动涉案企业合规第三方监督评估机制（以下简称“第三方机制”）。《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》（以下简称《指导意见》）第10条第1款规定：“人民检察院在办理涉企犯罪案件时，应当注意审查是否符合企业合规试点以及第三方机制的适用条件，并及时征询涉案企业、个人的意见。涉案企业、个人及其辩护人、诉讼代理人或者其他相关单位、人员提出适用企业合规试点以及第三方机制申请的，人民检察院应当依法受理并进行审查。”检察机关在办理涉企案件中，需要通过调查企业情况来认定案件是否符合第三方机制适用条件，无论是依职权还是依申请的启动方式中均存在合规程序启动审查的必要。作为全面了解涉案企业开展企业合规必要性与可行性的重要手段，社会调查能够增强办案人员的司法亲历性，提升合规程序适用准确性。实践中，检察机关可以根据案件具体情况，采用个别访谈、实地走访、调取材料、大数据研判等方式，对涉案企业的基本情况、实际经营状况、刑事处罚后可能造成的社会影响和企业后续发展潜力等开展社会调查，也可以委托有关组织、机构开展。

（二）合规考察过程审查

本案中，检察机关针对Z公司存在的合规风险，向Z公司制发《合规检察建议书》，从数据合规管理、数据风险识别、评估与处理、数据合规运行与保障等方面提出整改建议。同时，检察机关商请第三方机制管委会（以下简称“第三方管委会”）组建第三方组织，通过询问谈话、走访调查、审查资料等形式，全程监督Z公司数据合规整改工作。一般情况下，涉案企业合规评估的主体是由第三方管委会选任的第三方组织，涉案企业针对与涉嫌犯罪有密切联系的合规风险，制定专项合规整改计划，第三方组织审查合规计划可行性、有效性和全面性，并对涉案企业合规计划的履行和完成情况进行检查、评估和考核。而检察机关在企业合规计划实施中承担了监督者的角色。根据《涉案企业合规建设、评估和审查办法（试行）》（以下简称《评估办法》），检察机关主要是审查涉案企业的合规计划、定期书面报告和第三方组织书面报告等材料；经审查发现相关问题的，向第三方组织提出意见建议；受理涉案企业、个人及其辩护人、诉讼代理人等对第三方机制运行期间提出的申诉、控告等。这是检察机关对合规过程进行审查的基本内涵。本案中，检察机关一方面是加强对涉案企业合规考察的审查把关，适时掌握企业合规整改的进展情况，并将涉案企业纳入有关行政机关监测平台，确保企业合规整改措施全方位落实落细，这是检察机关在合规审查中切实履行监督者的角色。另一方面，检察机关还充分听取E公司意见，促成涉案企业与数据来源方达成合规数据交互协议，推动涉案企业实现数据来源的完全合法化。此时检察机关不仅是合规计划实施的监督者，而且是维护企业合规合法经营的帮助者。

（三）合规考察结果审查

本案中，合规考察期限届满后，第三方组织认为，涉案企业履行合规承诺，积极落实合规计划，规范公司数据安全管理以及数据规范处理，评定Z公司合规整改合格。因为正值新冠肺炎疫情防控期间，检察机关邀请全国人大代表、人民监督员、侦查机关、第三方组织、被害单位等线上参加或旁听听证会。经评议，参与听证各方一致同意对涉案人员作出不起诉决定。检察机关据此对涉案企业、个人作出不起诉决定。根据《指导意见》第14条、第15条，检察机关在办理涉案企业合规案件过程中，应当将涉案企业合规计划、第三方组织合规考察书面报告等合规材料，作为依法作出起诉或者不起诉决定、提出量刑建议的重要参考。同时，检察机关在作出不起诉决定前，可以根据《人民检察院审查案件听证工作规定》召开听证会。因此，在合规考察届满后，检察机关要对企业合规整改结果进行审查，必要时开展相应的调查核实、合规听证等工作；并根据对合规考察结果的审查情况，来决定是否作出相应宽缓处理。合规听证虽然不是必经环节，但考虑到其在提升专业性和公信力中的作用，对有条件的合规案件应当积极适用。听证环节可以特别关注涉案企业社会调查情况、合规计划制定及落实情况、第三方组织组建和履职过程以及监督评估结果等，体现对合规考察的监督作用。当然审查的结果并非只有正向激励，也有负向评价，《评估办法》第2条对此予以详细规定。如果是涉案企业应付合规、虚假合规，要依法起诉，提出从严处罚的量刑建议。

因此，在涉案企业合规程序中，检察机关在审查起诉阶段实际上具备多重角色：既是企业合规计划建立中的支持者、帮助者，企业合规计划实施中的监督者，又是给予涉案企业刑事优待时的裁量者，企业刑事责任减免时的协助者。［2］参见朱文瑞、陈姗姗：《检察机关在刑事合规中的功能与定位》，《湖北警官学院学报》2021年第5期。检察机关应充分发挥上述作用。

二、合规考察期限与审查起诉期限

（一）合规考察期限与审查起诉期限的关系

考察域外开展涉案企业合规的实践，检察机关通常需要设置长达数年的考验期，以便让企业落实合规计划，检察机关也可以委派合规监管人来监督和指导企业实施合规计划，在考验期结束之前，检察机关对企业开展合规建设情况进行全面审核，最终决定是否提起公诉。［3］参见陈瑞华：《企业合规视野下的暂缓起诉协议制度》，《比较法研究》2020年第1期。例如在西门子公司贿赂案中，合规协议要求公司聘请监管人4年，同时聘请1名独立美国律师协助监督美国《反海外腐败法》方面的合规。原德国财政部部长西奥·威格尔博士被选任为合规监管人，4年里合规监管人的工作占用其三分之二的工作时间，不仅需要审阅大量文件，还走访了20个国家，并与超过1500人谈话。［4］参见［美］ 布兰登·L·加勒特：《美国检察官办理涉企案件的启示》，刘俊杰、王亦泽等译，法律出版社2021年版，第222页。但是，目前我国的立法并没有授权试点类似国外暂缓起诉的合规附条件不起诉，因此在审查起诉阶段，合规考察期限还是需要依附于审查起诉期限。根据刑事诉讼法第172条和《人民检察院刑事诉讼规则》第345条、第346条，在涉案人员被羁押的情况下，审查起诉的办案期限可以达到6个半月，合规考察期限不能超过此期限。当然，也有检察机关通过对企业直接责任人员决定取保候审的方式来延长审查起诉期限以确保合规考察期限，这样可以设置6个月至12个月的合规考察期限。

（二）合规考察期限的合理把握

以最高检发布的其他涉案企业合规典型案例为参照，关于合规考察期限，由于受到审查起诉期限的限制，合规考察期限普遍不长。［5］最高检一共发布了三批涉案企业合规典型案例，第二批、第三批相关案例中对于合规考察期限都有提及。10个案件中，仅有1件合规考察期限为1年，1件合规考察期限为6个月，其余8件均在6个月以下，3个月的合规考察期限较为常见，2个月的合规考察期限也并非个例。本案于2021年5月移送审查起诉后，检察机关商请启动涉案企业合规第三方机制，合规考察期限确定为3个月。有的学者认为，企业合规体系贯穿企业运行的各个部门、环节，加上企业内部的复杂性，数个月的合规考察期限，可能无法保障企业建立较为成熟的合规计划并有效运转，也难以给第三方组织足够的观察和指导时间。［6］参见肖峰：《刑事合规不起诉的中国面向》，《南海法学》2022年第2期。因此，设立独立于审查起诉办案期限的合规考察期限，成为将来涉案企业合规制度的发展方向。［7］参见陈瑞华：《刑事诉讼的合规激励模式》，《中国法学》2020年第6期。在目前情况下，可以探索将涉案企业合规工作向前延伸，比如在侦查阶段，检察机关通过介入侦查、审查逮捕、羁押必要性审查，引导企业开展合规整改，为正式的合规监督考察奠定基础。本案也同样如此，检察机关积极推动侦查过程中合规准备工作。一方面，引导公安机关固定Z公司爬虫程序、云服务器电子数据，查明Z公司突破E公司防御措施后，再利用爬虫程序非法获取数据等事实。另一方面，引导公安机关在办案时关注犯罪嫌疑人作案动机，督促Z公司积极赔偿被害企业损失、消除影响，同时会同行政监管部门、公安机关、专家学者，围绕爬虫的技术原理、合法性边界、法律适用及数据合规重点、难点，深入开展研讨交流，明确数据合规方向。这在某种意义上也是为审查起诉阶段的合规程序运行和合规考察期限设定节约了时间。

三、准确区分单位及个人的责任

（一）合规审查对于单位和个人的不同含义

涉案企业合规效果及于企业，是否也及于企业家或企业高管等个人，如何认定其中的个人责任，究竟是“放过企业，不放过个人”还是“放过企业，也放过个人”，一直是亟待明确的问题。本案中，涉案企业通过合规整改后，检察机关既对涉案企业不起诉，又对涉案人员不起诉。但是在另一些案件中，检察机关则是对涉案民营企业和责任人区别对待、分案处理，对涉案企业不起诉，对责任人起诉。针对涉案企业和责任人，准确区分单位及责任人的责任，是合规审查中必须要把握的要求。

涉案企业合规改革的持续发展固然离不开必要的刑事激励手段，但是决不能滥用激励措施，对涉案企业、个人一概从宽。涉案企业合规的核心目的在于“保企业”而非“保个人”，这是在合规审查中必须牢牢把握的主线。一方面，涉案企业因为缺乏合规管理的组织架构和规章制度而导致违法犯罪，只要企业积极开展合规整改，建立合理的治理结构并运转良好，就可以认为企业消除了导致违法犯罪的制度缺陷或者降低了企业的社会危害，从而获得不起诉、量刑从宽的待遇。［8］参见刘艳红：《企业合规不起诉改革的刑法教义学根基》，《中国刑事法杂志》2022年第1期。而当涉案企业虚假合规或经合规整改但未能形成有效合规管理体系的情况下，则不能给涉案企业相应的刑事激励。另一方面，在涉案企业合规中，合规考察针对的是涉案企业，并非个人，不能直接将合规出罪、从宽直接等同于责任人也可以出罪、从宽。合规制度的初衷主要在于激励企业健康发展，而非对责任人从轻处罚。个人是因为其客观危害行为和主观罪过承担刑事责任，涉企犯罪的相关责任人是因为在犯罪中起到决定、批准、授意、纵容、指挥等作用，或者直接实施了具体犯罪行为，造成法益侵害结果而构成犯罪。同样，个人之所以能够出罪或者量刑从宽，是其通过事前或事后主动作为，采取了补救措施，降低了客观层面的社会危害和主观层面的犯罪恶性。个人在企业合规整改中的作用可以作为认定其认罪认罚的重要因素，同时综合其他法定、酌定从宽情节，来判断个人从宽情况。

（二）单位责任、个人责任的实际认定

本案中，犯罪金额为4万余元，依据《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第1条，虽已达到入罪标准，但未达到“情节特别严重”的，法定刑为3年以下有期徒刑或者拘役，并处或者单处罚金。案发后，Z公司向被害企业E公司积极退赔并已取得谅解。同时，“数据爬虫”是互联网发展中广泛使用的信息技术，犯罪嫌疑人对越界“数据爬虫”行为违法性认识不足，未充分认识到涉案行为已构成违法犯罪，此次涉案又系因公司拓展业务需要，爬取的数据未涉及身份认证信息，未有二次兜售牟利等行为，且Z公司已通过合规整改并评估合格，因此，可以认为犯罪情节较轻，主观恶性较小。加之Z公司以及相关犯罪嫌疑人具有坦白、认罪认罚的法定从宽处罚情节，系初犯，社会危害性不大。综合本案的犯罪事实、情节、犯罪嫌疑人的认罪悔罪态度，检察机关依法对Z公司、陈某某等人分别作出不起诉决定。当然，如果是对于个人可能判处3年以上有期徒刑且没有法定从轻、减轻情节的案件，经综合考虑企业在就业、税收、科技创新、社会贡献等方面的积极作用，认为企业经合规整改后有从宽处理需要的，可以对单位和个人在起诉时进行分案处理，对企业依法不起诉，对个人原则上不能作出不起诉决定。若在涉案企业合规导向上注重个人出罪，容易行错走偏，这需要在合规审查中审慎把握。