关键词： 合规计划 刑事合规 企业犯罪 积极预防
在现代社会，作为经济组织的企业为社会提供各种商品与服务，其在社会生活中的作用与影响自不待言。然而，现代社会经济管理的复杂性以及针对经济活动刑事法网的严密性导致企业的犯罪风险陡增。立足于事后追惩的传统刑法，不但无法弥补已然犯罪对企业和社会形成的巨大危害和损失，也难以抵消犯罪所带来的利益诱惑，无法实现刑罚的一般预防目标。晚近以来，刑事政策寻求将传统刑罚的消极预防与积极性预防措施有效整合。其中，为确保企业的规范运行，避免企业运行中的法律风险形成的合规计划（Compliance Programs），正成为完善公司治理、防范企业刑事风险的重要举措和实践。尽管刑事合规只是合规计划的一个子项，但却是整个合规体系中最低限度也是最重要的部分，是合规计划的核心内容。在我国，刑事合规尚处在观念倡导期，刑事合规建立在什么样的理念基础之上，通过何种途径发挥预防犯罪的作用，对我国公司治理和企业刑事风险的防范有何借鉴意义，正是本文阐释和研究的内容。
一、概念的源流——企业的合规计划与刑事合规
顾名思义，合规就是符合规范要求。在法律语境中，“规”就是指“成例、标准、法则”，即规范之意。德国著名刑法学者齐白（Sieber）教授认为，“合规计划规定的是一种对——首先是法定的，有时又是伦理的或其他的——预订目标的遵守程序。”我国2018年7月1日生效的《合规管理体系指南》国家标准也指出，“合规意味着组织遵守了适用的法律法规及监管规定，也遵守了相关标准、合同、有效治理原则或道德准则。”这就是说，合规之规，包括国家相关法律规范，但不限于此，也包括基于行业特点，从本系统、本行业的特点出发，形成的相关管理制度（行业规范），还包括诚信守则的商业道德伦理规范（ethics）以及企业自愿设立的风险防范规范。合规，不仅是指企业活动应该符合上述标准，而且上述标准应该互相配合，协调一致，形成企业活动有规遵循的规则体系。可见，这种广义上的合规计划之“规”，是通过国家与企业（私人）共同规范的方式形成的。然而，尽管广义的合规计划初衷涵括了企业伦理的弘扬，但实践证明，“对于以追求营利为目的的企业而言，宣扬未必与利益挂钩的至善行动是不现实的，最终不过是‘徒有虚名’”。因此，合规计划的核心是刑事合规。
何谓刑事合规，学界对其定义不一。有学者将其定义为，“刑事合规包含所有客观上事前必要的或者事后被刑法认可的规范性、制度性以及技术性的属于某一组织的措施，这些措施的相对人既可以是组织的成员、商业合作者，也可以是国家或者社会大众。这些措施的目的是a）降低组织或者组织成员实施的与组织有关且违反国内或国外法的经济犯罪行为的风险或者是相应的犯罪嫌疑的风险；或者b）与刑事执法机构达成一致而对刑事处罚产生积极影响，并最终借此以提高企业的价值。”也有学者将其简单归纳为，“为了避免公司员工因其相关业务举止而进行刑事答责的一切必要且容许的措施。”我国学者认为，刑事合规实际上是借助刑事法手段，构罪或者量刑，以推动组织体自我管理的相关立法和实践。
虽然定义不一，但上述概念大致勾勒了刑事合规的内涵。笔者认为，刑事合规有以下主要特征：
首先，刑事合规的目的，要求企业的运行应该受到刑事规范的约束。从守法的层面来讲，刑事合规就是以刑事法律的标准来识别、评估、预防和控制公司的法律风险，其“核心内容应首先是不作构成犯罪的行为。”进言之，“‘刑事合规性’便意味着对刑法规范尤其是一国现行法中所包含的命令规范和禁止规范的遵守。”相对于刑法的事后惩治而言，刑事合规是刑法实体法的前置，促使企业对刑事实体法的规定加以具体落实。需要指出的是，合规不但要符合本国的刑事法律，而且在全球化的背景下，尤其是日益密切的国际经济交往中，合规也需要考虑企业运营所涉及到的相关国家法律的遵守问题。因为一个国家的合规法律，在国际交往中实际上也是有域外效力的。当然，各国的文化传统并不相同，在本国不成立犯罪的行为，在他国未必不是犯罪。如在美国的《反海外贿赂法》中，为了加速或者确保外国官员、政党或者政党官员的某一日常政府行为的履行而支付给该外国官员、政党或者政党官员的推动或加速费用（facilitating or expediting payment）不属于该法规定的贿赂。但另一些国家基于反腐败“零容忍”的刑事政策，并没有规定“通融费”可以作为免责事由。换句话说，即使是为了“打通关节”，原则上也应成立贿赂犯罪。
其次，刑事合规的内容，赋予企业及其经营者一定的刑事风险管理的积极义务。即企业需要建立实现这种义务的组织，为预防、发现和制裁违法犯罪行为建立完善的内部机制（措施），“面对大量的担责危险以及洪流似的规范，遵守法律并非是自然而然的事。如缺乏组织上的措施，它几乎是不能实现的。”合规的核心是组织性的应对方法，其特质在于，“它作为一层新的额外规则，位于法定刑事可罚性风险的前置领域，旨在避免刑事责任”。刑事合规作为现代公司治理机制（corporate governance）的一个重要组成部分，通过建立能够预防犯罪的各种合规组织，采取各种有效的合规性措施，旨在促进企业以最有效的方式预防经济犯罪活动，以消除或者减轻刑罚风险。从这一意义上，刑事合规计划是指“企业为预防、发现违法行为而主动实施的内部机制。基本的构成要素包括正式的行为规则、负责官员以及检举制度。”或者说，合规计划本质上是一种广泛的预防措施，可以预测、检查并遏制任何潜在的犯罪活动。同时，作为合规要求，“在发现违法行为的情形中，在法律执行机关知晓该事实之前，不允许在企业内部进行处理。必须向法律执行机关进行报告。当然，法律执行机关开始侦查、调查后，也不允许实施妨碍侦查、调查的行为或者隐匿违法行为相关证据的行为。一旦实施了这些行为，则被理解为这意味着合规计划没有发挥作用”。
再次，刑事合规是国家刑法制度，同时包括了合规与不合规的刑事政策回应。刑事合规是一个充满张力的概念，不仅仅是公司内部控制制度，也凝结了国家刑事政策对合规和不合规回应的含义。“不合规的意思是指企业的成员基于（臆想的）企业的利益而实施的与企业相关的犯罪行为（所谓的‘减轻公司负担的犯罪’），规范违反的不利后果会导致每个制裁性规范从根本上都是企业内实际要求合规措施的法律基础。”刑事合规与合规管理的重要区别之一就是是否蕴含刑事政策的意义。正是在这个意义上，刑事合规规则为刑事责任创设了新的连接点。作为刑事合规的重要一环，“有无竭尽余力施行构建合规文化则成为评价犯罪和刑罚之际的重要依据。”也就是说，为强化企业的合规责任，许多国家立法规定了法人（公司）或者责任人员的刑事责任，不合规成为相关主体责任归咎的依据，并将不合规的情况作为刑罚处罚的情节。在美国，“合规已成为联邦检察机关起诉、判处经济犯罪的企业时主要的考虑因素。”这一意义上，刑事合规也是国家刑法制度的组成部分。
基于上述基本特征，所谓刑事合规，是指为避免因企业或企业员工相关行为给企业带来的刑事责任，国家通过刑事政策上的正向激励和责任归咎，推动企业以刑事法律的标准来识别、评估和预防公司的刑事风险，制定并实施遵守刑事法律的计划和措施。
二、刑事合规的理念基础
德国刑法学者指出，“‘刑事合规性’不仅是一个‘噱头’，而且具有理性的内核……‘刑事合规性’并不是刑法的替代物，而是跨学科认知和系统化推动的预防工作的一种新形式”。笔者以为，学者所强调的刑事合规具有的“理性内核”，实际上就是指刑事合规的理念基础，正是新的理念证成了刑事合规这一新命题，也成为刑事合规得以滥觞的原因。
（一）风险刑法催生的刑罚积极一般预防理论
早期的刑法规范，强调刑罚威慑对犯罪的预防效果，即通过对已经犯罪的人施加刑罚，以预防其再犯（特殊预防），并借助刑罚威慑对潜在的犯罪人起到阻遏犯罪的效果（消极的一般预防）。所以，“传统刑法理论都是针对过去的，是针对已经犯罪的行为人这种过去的维度而言的。从这个意义上说，刑法并不直接和未来相关”。这种事后追惩为基础的消极预防理念下，刑法不应该成为社会管制、社会工程的手段。然而，通过侧重于事后的已然之罪追惩实现消极一般预防，防患于未然的效果不彰，企业一犯再犯，常处于防不胜防、力不从心的尴尬境地。而且，“从社会治理的角度看，无论对于国家、社会还是对于被害人以及犯罪人来说，犯罪的发生、刑法和刑罚的适用，都会造成国家、社会、社会成员的损失和伤害。”
晚近以来刑事政策转向而形成的积极一般预防强调，刑罚的目的是面向未来的，科以刑罚本身并非是刑罚目的，而是教导人们遵守规则，“以刑罚来确认与强化公民对规范忠诚的价值信念”。“如果抑制制裁的发动能够更加有效地引导人们遵守法律，就没有必要科处制裁；如果科处较轻的制裁就能够达至效果，就不必硬要施加重的制裁。因为发动制裁会花费各种各样的成本，而尽量引导经营者等自主守法才是最有效率的”。换言之，刑罚预防犯罪的目标不再是针对潜在的犯罪者，而是致力于提升社会普遍的辨别是非的规范信念。“国家藉助带有负面非难意义的制裁手段促使社会成员积极实现国家所期待的作为或不作为（行为规范），并且以此成就理性目的下的社会控制结果与实现正义。”
积极一般预防理念形成的背景是现代风险社会的形成与发展。基于风险社会形成的风险刑法，立法“明显地转向预防与安全，国家在犯罪发生之前、在针对某个行为人特定犯罪的嫌疑具体化之前就已经开始介入”。但风险刑法的这种前置性和早期化的干预形成了刑法本身的风险，人们的行为有可能动辄被纳入到犯罪圈，这就使降低刑法风险的事先防范愈加重要。上世纪末本世纪初的经济犯罪所反映的巨大危害，使得基于积极一般预防理念的合规计划的意义凸显。在欧洲，“经过1990年代的一系列大案（巴林银行的倒闭、Drexel事件等等）之后，各国开始日益关注企业的内控机制、欺诈现象泛滥等问题，并且思考公司高管人员乃至公司自身的刑事责任问题。”与此相应，“企业越来越致力于自行对其职员的犯罪行为加以对抗与揭发。为避免犯罪，企业越来越依赖于法令遵循计划（Compliance Programs）。”正如德国学者所指出的，对于特定损害法益的犯罪打击越早，越严厉，对于这些潜在对象来说也就更加需要尽早采取预防性的自我保护措施。或者，按照刑法的理论可以表示为：因为风险的提高而使得相应的受制裁可能性也会增加，这样降低风险的迫切性也会随之而提髙。刑事合规是降低刑法风险的一种选择，所以是现代风险刑法的一个结果。由此可以说，“‘合规’这一命题根本的创新性与决定性之处部分在于视角的转变：早期刑法的研究主要是针对过去的案例，即依据法律艺术的规则对这些已发生的案件进行刑法上的‘加工’，而对合规措施的拓展研究则是朝着未来的：它是为避免刑事违法和刑事责任的措施”。
（二）预防和惩治犯罪的合作模式
国家的职能决定了其对犯罪的预防和惩处负有不可推卸的责任。传统上，企业犯罪的侦查、惩处与预防主要由国家的外部监督主导，依赖国家法律的制裁实现。但国家拥有的资源终究也是有限的，企业运行的复杂性，决定了企业犯罪的惩处与预防需要通过国家企业合作模式实现。
首先，企业犯罪的惩处需要企业的合作。由于企业经济犯罪的复杂性，案件需要长时间的调查，其所需要的时间以及人力上的成本使国家不堪重负，并且企业内部管理机制的复杂性，国家缺乏进行企业内部调查的必要技能。因此，一方面，现代经济刑法扩张了自己的干预范围，增加了企业犯罪的种类和数量，另一方面，由于人力和物力的缺乏，无法保证刑法能够在必要的范围内得到贯彻实施。“为了提高扩张后的刑法在这些成为问题的领域中贯彻的可能性，国家越来越多地将宝押在了法定的或附随的自治化这一手段上”，作为刑事合规的内容之一，当违法行为发生后，要求企业具有应对违法犯罪行为的方法和报告程序。企业发现犯罪行为后，应当及时报告司法部门，并积极协助司法部门的侦查。而企业的合规积极性来自于利益平衡，通过合规管理，“以逃避扩张的刑法中难以估量的刑罚危险与部分大额的经济惩罚所带来的威胁。”
其次，有效的企业犯罪预防需要“私有化”。对预防犯罪而言，国家当然可以制定指导性的预防犯罪措施，但各种不同类型企业运作的程序上差异，决定了国家难以制定和实施适合不同企业特点的犯罪预防措施，靠外部一般性监督不但难得要领，而且常常滞后，效果难彰。“国家制定的规范有时并不符合公司的具体情况，而与这些国家规范相比，公司的自制可以是一个有效得多的方法”。一方面，“合规计划减刑机制旨在促进企业的自我监管，从而缓解国家对犯罪行为的监管负担”。也就是说，“在面临着来自政府的处罚威胁的时候，老板的自利本能会促使他更认真地监督员工，从而在实际上将他的处罚预期传递给员工。这样，使老板面临较低的承受严厉处罚的可能性的执法策略，可以调动公司的内部治理资源，来限制员工对公司犯罪活动的参与。”这样，事后追惩某种意义上就成为了事前监督。另一方面，“国家规定为自治创设了较为详细的预定目标或者激励机制，并/或为自治措施赋予了约束力”。易言之，刑事合规特别的魅力在于原本属于国家主权的管理责任转移给了私人，而这一点在刑法上早已被人所熟知。它反映了在刑法领域中由一种外部规制向内部自我管理转移的普遍趋势，所以也有刑法学家将合规计划称为“犯罪预防私有化”。对此，我国学者也指出，企业刑事合规规则的实际运用，就使犯罪治理在某种程度上和某个领域中变成了国家和企业合作的模式，犯罪预防在这种合作治理的模式中，由国家责任变成了国家和企业的共同责任。
（三）法人（企业）刑事责任范围的调整
传统上，法人刑事责任的基础是替代责任，企业依法为其员工及其代理人的行为负责。在英美法系，法人犯罪的基础是“身份认同原则”，认为法人虽然没有大脑和双手，法人中正在实施犯罪的人并不是在为个人讲话或活动，而是作为法人在活动。指挥其行动的大脑是法人的大脑，即那人的行为和思想是法人的行为和思想。这种“替代性企业责任成立的前提是，企业是法律拟制的产物，法律应当允许企业具有违法的能力，对其犯罪行为承担法律责任”。法人成员在满足了“为了单位利益”“在其履行职责的范围内”的情况下实施的犯罪行为，应作为法人行为认定，并由法人（企业）承担相应的责任。
作为企业犯罪刑事责任的理论基础，替代责任在实践中存在着明显的不足：一是任何企业成员只要为企业利益实施了犯罪行为，即使企业为避免犯罪已经采取了相关的预防措施，企业都要因此承担刑事责任，在起诉时，检察官也无需证明企业本身存在过错，这在某种意义上具有严格责任的意蕴，颠覆了传统的过错责任原则，扩大了刑事责任的范围。二是涉罪企业获刑后，其刑罚的附随后果足以摧垮整个企业。研究表明，企业一旦涉罪判刑，不但承担巨额的财产损失，还可能因为犯罪带来相关的附随后果而导致企业一蹶不振，等于企业被判处了“死刑”。例如，在欧洲，任何因涉嫌腐败而被定罪的公司，根据欧洲法律将自动失去在欧洲境内进行活动的权利。此外，起诉和惩罚企业会严重损害公司的投资者、雇员、养老金领取者、客户等无辜的第三人的利益，形成所谓水波效应。所以，对于企业犯罪行为的追诉，有时是一种“双输”甚至“多输”的结果。而刑事合规可以成为企业的无形资产，良好的合规计划，提升了企业的“软实力”。至于合规是否一定给企业带来增益，研究结论不完全相同，但总体上，“通过研究需要做出较多改变以适应萨班斯法案合规要求的公司，发现这些公司在法案出台的关键时间前后相比于其他公司获得了正的超额收益”。所以，“对于国家和企业而言，主动预防违法行为无疑是双赢的选择”。
为了纾解对法人犯罪严格规制可能带来的困局，一些国家调整了对法人的刑事政策，司法的目标不再是追求对涉罪法人的有罪判决和惩罚，而是期待企业改革其内部的规章制度，预防再次犯罪，刚性的法人刑事责任归责原则逐渐轻缓或者变通。首先，法人刑事责任根据，不再是简单的替代责任标准，而是法人的风险管理失误，回归到过错责任原则。德国经济刑法之父缇德曼教授认为，公司（团体）受指控并承担责任的真正的实质原因不在于职员的犯罪行为，而在于自身义务的违反（即“前过错”），即公司没有采取必要的措施以确保职员实施符合规范的行为。日本学者也认为，“既然在企业活动中不能避免自然人的参与，那么就应该把责任原则、责任原理置于其根底而考虑”。一方面，“公司内的个人行为受公司内部制度驱动时，可认为不是出于个人的选择与决定，而是被组织的目标、规则、政策与程序所刺激与形塑”。即公司内个人基于公司利益而实施犯罪，公司原则上仍需要对此承担刑事责任；另一方面，如果公司已经采取了必要的措施抑制公司成员的不当行为，则可以免责。合规计划的落实一定会影响到法人刑事责任，尤其是在过失犯罪的注意义务标准及两罚规定中的选任、监督义务。相应地，控方需要证明法人的犯罪意图或者法人存在着“过错”，对危害行为或者危害结果与涉罪法人的企业组织、企业文化、管理制度的缺陷存在因果关系进行举证，而法人可以通过主张“已合理履行犯罪预防义务”进行无罪辩护。或者说，“只有鼓励非法行为，或未积极阻止犯罪行为的企业，才应承担刑事责任”。其次，刑事责任的轻缓。从刑事立法的趋势看，法人犯罪的刑事责任是趋重化，不断加大对法人犯罪的惩处。刑事合规计划是这种趋重的调和，成为实现法人刑事责任轻缓化的重要途径。企业实施了严格的刑事合规的管理，即使员工实施的犯罪可归责于企业，企业的刑事责任仍可根据刑事合规的情况得以减轻甚至免除。
三、刑事合规与企业犯罪的刑事责任
对国家而言，刑事合规就是通过刑事手段促进企业的合规选择。美国学者认为，“有效的合规计划及其实施的程度被认为是衡量一个企业是否应受惩罚的合理标准”。德国学者的表述更直接，“实施适当的合规计划将会成为一个核心的法律标准，而这种标准决定了公司犯罪行为的归责”。公司犯罪的刑事责任建立在公司错误的风险管理基础上，即公司自身的制度缺陷或恶劣的公司文化氛围，成为公司承担刑事责任的基础。易言之，从刑事政策的角度，将有无合规计划，或者合规计划实施的力度，作为一定行为是否入罪或者入罪以后确定刑罚的一个连接点，一方面，遵守刑事合规规则可以作为责任的积极抗辩事由，取得排除刑事可罚性或者责任减轻之效果；另一方面，刑法又创设了新的肯定犯罪构成的连接点，将违反刑事合规规则的行为加以犯罪化，或者作为加重责任的事由。显然，这是“胡萝卜加大棒”的刑事政策，将刑事合规规则与刑事不法与刑事制裁勾连，促使合规计划对经济犯罪的积极预防功能得以发挥。
（一）将刑事合规设定为企业刑事责任的积极抗辩事由
合规计划可以成为企业刑事责任的积极抗辩事由。这是因为，即使存在着法益侵害的结果，“人们不是期待着每个人都避免各种利益侵害，而仅仅是期待这些负责的人和仅仅在其所负责并充分关心的范围之内”。“如果经营者合理地制定和实施了合规计划因而尽到了监督义务的场合，承认对其免责的可能性，即便经营者因存在过错而不能免责，也应当考虑其实施了合规计划的事实，减少制裁额度，从而对其给予激励”作为积极抗辩事由的刑事合规，可以在定罪和量刑两个环节发挥作用。
1.刑事合规与出罪。为激励企业刑事合规的积极性，晚近以来，一些国家立法将刑事合规作为法律明文规定的出罪事由。例如，根据意大利2001年6月8日颁布第231号法令第6条的规定，如果公司能够证明在犯罪行为发生之前业已确立旨在防止该类犯罪行为的管理体制并且该体制得以有效运行，公司可以免于承担责任。但公司管理体制足以免除其责任的证明责任由公司来承担。英国2010年《反贿赂罪法》第7条（2）的规定，如果商业组织能够证明本身存在防止与之相关的个人实施贿赂行为的适当程序，则构成辩护理由，免于承担刑事责任。在美国，根据司法部的起诉指南，有效的合规计划是检察官是否考虑对企业起诉的主要因素之一，检察官可以根据企业实施合规计划的情况，运用起诉便宜主义，放弃对企业的起诉。在日本，学者主张合规计划具有正当化的功能。例如，“根据将过失犯罪的本质掌握在违法性层面的学说，守法计划可能被掌握为客观注意义务之标准，而发生伴随着企业活动的人身事故时，有跟正当化功能联结的余地。”换句话说，将合规计划的制定与实施作为考察是否对涉罪法人起诉的依据，以帮助涉罪企业建立和完善公司职业规范、守法计划和内控机制，从而取得与刑罚相同的效果。需要指出的是，作为出罪事由的刑事合规，其举证责任由企业承担。企业想避免刑事责任，必须提供相应的证据证明企业已经实施了完备适格的刑事合规计划。
2.刑事合规与刑罚减免。尽管刑事合规是为了避免实施犯罪，具有预防犯罪的功能，但“即使最好的预防体系也不能完全杜绝犯罪的发生”。在履行了合规义务仍然未能避免犯罪行为发生的场合，刑事政策也不能完全否定企业的刑事合规努力，通过刑罚的减免予以肯定性的激励。
早在20世纪80年代，美国联邦量刑委员会就规定，企业应制定有效的合规计划，以注意预防和发现犯罪行为。如果在犯罪行为发生之时，企业拥有有效的合规计划，可以减轻处罚。在德国，学者也指出，“从有利于负有监督义务的公司职员出发，为了取得减轻罪责的效果，这里要取决于一种有效的合规计划的实施，这是因为，对违反监督义务的谴责要么能够追溯到计划设立的不足，要么能够追溯到计划实施不力。”“相对于针对个人的刑罚制度而言，一种针对公司的制裁制度在进行制裁裁量时，不仅能够考虑个别的——使员工成为可能的——监督措施，还能够对公司的合规措施进行整体考量。进行个别考量时，使用的是严格的理由标准；而在进行整体考量时，依据的是对于组织过错的评价。”澳大利亚的判例表明，是否存在有效的合规计划，原则应该纳入量刑的考虑范围。如果存在有效的合规计划而发生了犯罪，则减轻处罚可能是适当的，相反，未能实施合规计划则应该成为加重处罚的裁量因素。根据奥地利《组织责任法》第５条第３款第1项，如果一个组织在事前试图阻止相应的违法犯罪行为或者促进员工对法的忠诚，那么在量定罚金时这些都要考虑。企业内部内容管理系统的建立就属于要考虑的内容之一。
在一些国家，这种量刑上的激励不仅针对事前实施合规计划的当事人，还惠及事后实施合规计划者。易言之，即使事前缺乏严格的合规计划，事后能够“亡羊补牢”，积极实施合规计划，也能够得到相应的奖励。例如，“在奥地利，即使是在犯罪行为发生后才被确立的合规系统也会被认为是一种具有积极意义的事后行为而产生减轻处罚的作用。”在美国，根据《联邦组织量刑指南》，企业实施犯罪后，可以适用缓刑（保护观察）。保护观察通常体现为以下三种形式：具体要求或限制法人变更其活动内容，以预防其将来犯罪；为强化对法人活动的外部监督，命令法人分析其过去犯罪的原因并将结果公之于众；促进其他量刑目的的保护观察。涉罪法人可以与办案检察官达成暂缓起诉协议或不起诉协议，进而争取法人自我改进的机会，避免法人遭受更大的损失。换句话说，“国家本来要起诉实施了刑事违法行为的公司，但依照‘延迟起诉协议’，又以公司改革作为交换条件而延迟起诉。如果公司改革在既定期限内完成，那么潜在的起诉就可能取消。”
（二）疏于刑事合规的责任归咎
刑事合规的实施和运行，不但限制了企业的活动范围，而且合规措施的运行也意味着企业人力、物力的付出，必然增加企业的运行成本。企业具有逐利的本性，“对于企业来说，只有在合规的经济成本小于没有合规的成本时，企业才会考虑使用合规。”实践表明，对企业及其相关责任人员“网开一面”的相对宽松的“法网”不足以遏制企业利益追求的动因。本世纪初，美国连续出现诸如安然公司等大公司申请破产而引发公众对公司财务造假和经济犯罪的愤慨，美国国会在2002年通过了《萨班斯—奥克斯利法》（SarbanesOxley Act），该法案旨在强调公司的社会责任，加强了企业运行的管控，增加对公司犯罪惩治和预防的各种措施，加重公司及其高管人员经济犯罪的刑罚。新法律的实施，使得企业及其企业高管人员面临经济犯罪刑事责任的风险遽然加大，为了避免由此产生的法律风险，迎合法律严格企业内部监控的要求，刑事合规计划在一些大的公司尤其是上市公司得以推广，并逐渐发展成为现代公司治理机制（corporate governance）的一个重要组成部分。可见，相辅相成的是，刑事合规除了发挥刑事责任积极抗辩事由和刑罚减免功能外，还将疏于刑事合规作为经济犯罪归责或者加重的依据，以加大疏于合规的消极后果，通过可能的刑事风险以实现企业合规成本支出与收益的平衡。这同样能够在定罪和量刑两个方面得到体现：
1.疏于刑事合规的犯罪化机能。传统的责任理论认为，“刑法通常并不允许一个人为另一个人的行为承担刑事责任，除非能够证明他帮助了行为的实施或者至少轻率地容忍了他可以控制的人的犯罪行为。”但如前所述，现代立法扩大了法人犯罪中相关领导者的责任，“规定组织者首脑责任的规则在某种意义上是从以雇佣关系为基础的代理责任中独立出来的。该规则可以对客观和主观两方面的因素进行归咎。基于被告和实施者之间的上下级关系和被告具有可责的过失监督，这些规则可以超越共犯规则而对犯罪的主客观因素进行归咎。”根据这一原则，“法院认为因店员在雇主不在时非法销售人造黄油要求店主承担替代责任是正当的。法院不接受被告提出的未对该行为进行授权的抗辩。法院认为要求控方去证明店主知道、授权或者同意销售将让店主‘易于规避’。”企业成员之所以犯罪，往往与企业内部管理混乱、规范意识淡薄有直接的关系，即源于企业对其成员行为的监督不力，有时甚至是企业指使纵容所致。“在关于公司犯罪及其控制的理论文献中，一个核心的问题是，执法机关的最优战略，究竟是惩罚公司本身（因此也就是其股东），还是只将全部惩罚科于参与违法的经理和雇员。有证据表明，股东损失的威胁将构成对高层经理人的一种激励，促使其采取措施去预防犯罪。”由此，企业刑事责任原则关注的核心不再是个人，而是企业本身的组织状况和管理方式。易言之，通过扩大企业发现和防止企业成员犯罪的保证义务，扩大企业的刑事责任范围。监督企业成员实施犯罪的义务成为公司企业犯罪的可罚性基础。“从建设性的角度来看，与个人责任制度相比，公司刑事责任制度具有促进合规计划的更好渠道，因为被施加制裁的对象是能够合法地制定全面合规计划并为其负责的（法）人。”相关的义务经法律确定后，企业有无采取必要的合规计划予以落实，反映了企业对履行该义务的态度，故是否实施适当的合规措施，直接反映了企业有无履行必要的监督义务，有无实施了错误的风险管理，如果没有实施合规计划，就可以成为监督义务的懈怠依据，进而可能成为企业对其成员经济犯罪的归责依据。在欧洲，经过上世纪90年代以来的一系列大案（如巴林银行的倒闭等等）之后，各国开始日益关注企业的内控机制，并且思考公司高管人员乃至公司自身的刑事责任问题。《欧洲反腐败刑事公约》第18条就要求，成员国应当采取必要措施，确保因对自然人（即第一段所指对象）缺乏监督或控制而导致其为了法人利益在职权范围内违反第一段所提及的罪名时，法人能够承担责任。这一原则性要求在后来各国的立法中得到了体现。如在意大利，2001年6月8日颁布第231号法令中，不仅开创性地规定法人刑事责任的一般模式，还在刑法中增设“结构性疏忽”的责任形式。即法律要求公司都应当确立关系到犯罪行为实施风险的指导方针和管理体制。如果尚未确立，那么就会被认定为结构性的疏忽。据此，就可以追究企业因其下属成员为本企业利益实施行贿犯罪管理失当行为的刑事责任。在英国，2010年《反贿赂罪法》（The Bribery Act 2010）增设了“商业组织预防贿赂失职罪”（Failure of Commercial organizations to Prevent Bribery），规定商业组织不制定和实施预防与之相关的个人实施贿赂行为的适当程序，致使与商业组织有关的个人实施了行贿罪或者贿赂外国公职人员罪的，可以被处以无限额罚金，并可能被剥夺在欧盟范围内参与公共采购等方面的资格。除非该组织能够证明其已制定了“充分程序”以预防“关联人员”从事行贿行为。在此意义上，这防止了企业以个人犯罪为由而逃避公司本身应当承担的责任。在日本，随着法人规模的不断扩大，出现了法人机关事实上无法监督第一线工作人员现象，按照责任主义的原则，就无法确定法人的刑事责任，提出了“将业主的监督过失的内容从防止从业人员具体违反行为的义务扩大到为防止这些违反行为而完善管理、管理体制的义务”，当法人的工作人员实施的犯罪，与法人管理措施、管理体制上的缺陷有关，就可以追究法人的刑事责任。
此外，合规计划的重要内容，就是确定了现代公司中的领导人（股东或者高级经理）的责任。企业犯罪，形式上是企业雇员实施的，背后往往有企业负责人的影子。尽管处罚直接实施犯罪行为的企业雇员的责任少有障碍，但追究对雇员具有选任、监督责任者，此责任是否违背了传统刑法中的责任主义原则，实属不无疑问。因为传统的归责原则是直接责任主义，只有行为人参与了犯罪行为的实施或者决策的情况下，才能追究其刑事责任。扩大企业犯罪中责任人员的范围之所以逐渐得到认同，无非是经济犯罪行为日趋严重，因为“经济活动一般是通过复杂的组织结构进行的，通过这些结构追究个人行为事实并因此追溯个人责任。所有明显的事实通常是由这些组织中一些职位相对较低的人们所为。案情本身可能会有力地暗示出负责人是了解这些行为的，但很难证明这一明知。”而如果赋予企业领导人阻止犯罪的责任，“在面临着来自政府的处罚威胁的时候，老板的自利本能就会促使他更认真地监督员工，从而在实际上将他的处罚预期传递给员工。这样，使老板面临较低的承受严厉处罚的可能性的执法策略，可以调动公司的内部治理资源，来限制员工对公司犯罪活动的参与。”需要指出的是，与传统的不作为犯存在具体的作为义务不同，疏于合规导致的刑事责任的作为义务是抽象的、概括性的，即预防企业中违法犯罪行为发生的义务。
企业和个人经济犯罪责任范围的扩大，意味着刑事风险的加大，增强了企业通过合规计划而避免刑事风险的动力。
2.增强刑罚处罚力度，大幅度提高企业和高管人员违法犯罪成本。对企业实施的犯罪行为进行刑事制裁的力度如何把握？经济学家的成本与收益分析理论认为，人类行为蕴含着效益最大化的经济性动机，即尽量以最小的成本换取最大的收益；当预期收益大于预期成本时，人们的动机就会转化为现实行为。企业之所以对刑事合规持消极甚至规避的态度，原因就是违规的成本不高，特别是对有着巨大资本的大企业而言，以往刑事处罚的力度无法激发遏制犯罪的动力。而将企业合规计划与刑事责任的有无和轻重挂钩，对于经济犯罪而言，能起到威慑作用。因为一般情况下，“刑法上的风险对于经常受到理性驱使的经济罪犯的威慑力能够大于其他罪犯。”即“通过刑罚手段将通过违法行为获得的不法收益切实加以剥夺，对削弱企业‘违法上算’的动机是非常重要的。”尤其是在经济犯罪场合，“通过刑事制裁，我们的目的是使那些可能抵不住诱惑想用非法手段来实现自己经济优势的人们能够依法行事。一般来说，这些制裁是说给守法者听的。”甚至有学者提出，“如果一个公司采取了合格的预防措施，那么侵害人就应被科以更重的刑罚；如果公司的预防措施低于标准，那么侵害人所受处罚也降低。这样，侵害人在知悉各公司的安全措施情况后，他就会寻找那些预防不力的公司下手。”
在立法上，美国2002年通过的《萨班斯—奥克斯利法》（Sarbanes Oxley Act），就大幅度增加了企业经济犯罪的刑罚，将邮件欺诈和电信欺诈的刑罚由最高刑5年提高到20年，加重达4倍之多。依照该法案906款，如果CEO/CFO明知报表中有违法的虚假陈述，仍然认证（certifies），将被处以不超过100万美元的罚金或不超过10年的监禁，或令其承担二者兼而有之的刑事责任；如果CEO/CFO明知报表中有违法的虚假陈述，仍故意出具认证（willfully certifies），则将被处以不超过500万美元的罚金或不超过20年的监禁，或承担二者兼而有之的刑事责任。由此，倘若公司高管人员不能保证公司定期财务报告真实性，最高可以处以20年有期徒刑的规定，和美国持枪抢劫的最高刑罚相同。这一规定无异于宣布，财务造假等同于持枪抢劫。其立法主旨无非是发挥刑罚的威慑效应以阻吓犯罪，即“保证已有刑罚足以预防、阻止和惩罚犯罪，增加的刑罚量足以阻吓和惩罚法案中涉及的犯罪。”在英国，根据2010年的《反贿赂法》，公司实施腐败行为被判有罪，判处无限额的罚金，而公司责任人员“视而不见”的，则可判处10年以下徒刑和无限额罚金。特别是对公司和高管层的犯罪行为给予严厉的处罚，可以有效预防犯罪行为，毕竟，当一个人守法的预期所得超过违法的预期所得时，理性人通常所选择的应该是守法而不是违法。除传统刑罚外，辅助性的处罚也呈严厉化的趋势。例如，欧盟2004年颁布的《公共工程合同、供应合同及公共服务合同指令》（2004/18/EC）第45条规定为了保护欧盟财政利益，参与投标的候选人或是投标参加人（包括公司经理和其他能够代表公司、能实施监督或其他授权的人员），因具有欺骗性行为、腐败或洗钱而被判有罪，则禁止其参与欧盟内的公共合同。
此外，强制性的合规义务也成为企业刑事责任的附随义务。虽然是否实施合规计划通常是企业自行决定，但基于某种特定的情况，将合规作为强制性的义务。例如，在美国，经历了刑事判决的企业则必须执行合规计划，以确保通过企业的内部机制而阻止今后再实施违法行为。在此意义上，合规成为特殊预防（预防企业重新犯罪）一种措施。
四、刑事合规的中国构建
在我国，合规从内容到制度还处于一种起步的阶段，尽管人们开始重视合规，但内容主要停留在企业内部的规范性要求。近年来我国也有一些学者撰文提倡借鉴刑事合规理念，重构企业犯罪治理的刑事政策。但刑事合规理念主要在刑法学界探讨，企业对其知之甚少，相关呼吁也未得到普遍的响应。虽然市场经济是法治经济的口号耳熟能详，但长期以来企业打“擦边球”“绕红灯”的侥幸、原罪心理导致企业的守法意识淡薄，越轨文化盛行。近年来我国一些企业经历了因为经营不合规而导致严重刑事后果甚至濒临倒闭的风险，这些情况凸显了我国企业刑事合规管理的重要性。笔者认为，我国刑事合规的构建，应在以下几个方面着手：
（一）扩大单位犯罪的范围
合规导向下的刑法，应适当扩大单位犯罪的范围。
1.赋予企业合规管理的刑法积极义务。如前所述，国外通过增设企业管理过失的犯罪以促使和强化企业刑事合规的实施。“从刑事法的角度讲，因为合规管理与责任、注意义务违反等问题的内在关联，以刑罚激励推动企业自我规制是一个合理的选择。一个可行的方向是：通过管理过失以及刑罚激励，赋予特定人员保证人义务等方式，对合规管理进行‘多面夹击’”。在我国，是否可以采取同样的立法措施，赋予企业合规管理的刑事义务？《刑法修正案（九）》新增的“拒不履行信息网络安全义务罪”，被学者认为“通过刑法手段推动企业内控的实践已经在我国相关立法中得到体现”。当然这仅是针对特定领域的犯罪化设定。事实上，刑事合规的核心问题之一，是当单位成员为了单位利益而实施犯罪的情况下，多大程度上能够归责于单位以及单位的主管人员，对于单位成员为了单位利益而实施的犯罪，是否归责于单位？传统的观点认为，虽然单位成员为单位利益实施犯罪行为，但由于犯罪行为对单位而言是无知的，没有反映单位的犯罪意图，所以仍不能以单位犯罪论处，而只能对个人追究刑事责任。否则，单位随时可能因为有关人员的个人意志支配行为而陷于犯罪之中。这一传统的观念并不符合现代刑事合规导向的单位刑事责任发展趋势。所以，有学者提出，创新完善我国企业刑事合规法律，需要及早实现我国刑法中单位犯罪刑事责任的预防转型。单位刑事责任的内涵不仅包括公司主要管理者为了实现法人之利益而实施的犯罪行为，而且还包括由于公司主要领导在监管控制方面的缺失致使处于其监管之下的公司成员为了实现法人之利益而实施的犯罪行为。也就是说，只要证明单位对单位成员监督不力，缺乏有效的合规计划，在实施了单位犯罪的情况下，就不应该影响单位及其高管人员对该行为的刑事责任。据此，宜将刑事合规作为所有企业管理的刑事义务设定，增设企业管理过失的犯罪，在企业懈怠企业刑事风险防范而导致企业刑事案件发生的场合，对企业及其主管人员追究刑事责任，以强化企业刑事合规管理的动力。
2.单位与自然人个人宜采取同一定罪标准。形式上，我国刑法中的单位犯罪罪名并不少，但长期以来，我国立法或者司法对单位犯罪与自然人犯罪采取不同的定罪标准。如单位犯罪的构罪和各种量刑情节的数额标准均高于自然人。有学者指出，“根据现行立法和司法实践经验，因同种单位与个人犯罪大多发生在经济犯罪的领域，其追诉处罚标准一般以拉开3至5倍的距离为适宜。”这种个人与单位二元定罪标准，意味着大致相同的客观危害行为在刑法上有着截然不同的评价，从而大大限缩了单位犯罪的成罪范围，不利于单位守法意识的养成。犯罪的本质是法益侵害，既然单位与个人犯罪侵害的法益性质和程度相同，二者所受到的刑事追诉与处罚也应当协调一致，这既是罪刑相当原则的基本要求，也是法律面前人人平等的原则的具体体现。近年来“两高”的司法解释已经开始统一个人与单位的定罪标准。例如，“两高”2007年印发的《关于办理侵犯知识产权刑事案件具体应用法律若干问题的解释（二）》规定，单位实施侵犯知识产权的犯罪，依照相应个人犯罪的定罪量刑标准定罪处罚。最高人民检察院和公安部2010年印发的《关于公安机关管辖的刑事案件立案追诉标准的规定（二）》在62种可以由个人和单位两种犯罪主体构成的经济犯罪中，规定合同诈骗罪等56种犯罪原则上不再区分个人和单位犯罪的立案追诉标准，仅对剩余的集资诈骗、票据诈骗等6种犯罪作出单位与个人犯罪数额有区别的规定。其主要理由是：大多数经济犯罪的个人犯罪和单位犯罪的刑罚没有差别；从罪刑相适应原则来看单位犯罪多为有组织、有预谋的共同犯罪，其主观恶性大于个人犯罪，对经济秩序的破坏也大于个人犯罪，单位犯罪的立案追诉标准不应高于个人犯罪的立案追诉标准。因此，从趋势而言，应摒弃单位与自然人二元制定罪标准，实行统一的定罪标准，以扩大单位犯罪的入罪范围。
（二）调整单位犯罪的惩治力度
关于单位犯罪的刑罚力度，理论界有不同的导向。一种观点主张加大处罚力度，提高违法成本，单位犯罪与自然人犯罪配置同等的法定刑，同罪同罚。如有学者曾指出，“从我国刑法典的规定来看，根据1997年刑法典确认的单位犯罪双罚制，公司构成犯罪的，应当在对公司处以罚金的同时对责任人员处以自由刑。罚金额度与自由刑幅度的偏低常常消解刑罚的威慑效果，司法实践中往往因刑罚的轻缓致使量刑结果对责任人员以缓刑告终，对公司的罚金仅具有象征意义，不能收到刑罚对公司犯罪的特别预防效果，更谈不上对公司犯罪的一般预防。因此，加重我国刑法对公司犯罪的刑罚是预防公司犯罪、强化公司治理、建构和完善现代企业制度的必要措施。刑事立法中加重对公司犯罪责任人员的刑罚尤其是监禁刑，刑事司法中更多地对责任人员处以自由刑实刑而不是缓刑，将成为我国今后公司犯罪治理与预防的关键。”另一种观点是轻缓主义。在扩大犯罪圈的同时降低对单位犯罪的处罚力度。
笔者认为，刑事合规的目标是培养人们对刑法的忠诚，但人们之所以忠诚法律，原因之一在于刑法是有效的，值得信赖的。刑法的有效性主要不是源于刑罚的严厉性而是通过确定性得到验证的，刑罚的确定性是强化人们对刑法的信赖和忠诚的重要途径。首先，对单位犯罪及其主管人员其他直接责任人员应单独设置法定刑。现行刑法对单位犯罪主管人员和直接责任人员刑罚设置比较乱。有单独设置的，例如，自然人个人行贿罪（《刑法》第390条），最高刑是无期徒刑。单位行贿罪（《刑法》第393条），其主管人员和其他直接责任人员最高刑是5年有期徒刑。也有依据自然人犯罪的法定刑设置的，例如，对非国家工作人员行贿罪（《刑法》第164条），自然人犯本罪的最高刑是10年有期徒刑，单位犯本罪的，主管人员和直接责任人员依照自然人犯本罪的法定刑适用。单就客观危害而言，单位犯罪与自然人犯罪同罪同罚固然有一定的合理性，但就刑事责任而言，我国刑法一贯坚持主客观相统一的归责原则。同样的犯罪，不同性质的主体实施，其责任轻重存在着差异。单位犯罪与自然人犯罪的主观罪责并不相同，尤其是企业还承担有社会责任，处罚过重，未必取得好的社会效果。因此，对单位犯罪的惩治宜采取轻缓化的刑事政策。由此，对单位犯罪的主管人员和其他直接责任人员也应单独设置不同于自然人犯罪的法定刑，而且这一法定刑幅度应低于自然人犯罪。其次，有必要在单位犯罪的刑罚适用中设置对单位的缓刑制度。因为单位一旦涉罪被定罪量刑，其带来的附随效果不可低估。在激烈的市场竞争中，相关企业可能因此一蹶不振，甚至倒闭，对整个社会而言，代价太高。因此，给企业一个缓刑考验期，通过合规计划的有效实施，能够使企业走上良性发展轨道的，则原刑罚（包括罚金）就不再执行。
（三）司法定罪量刑应考虑企业的刑事合规运行情况
1.刑事合规的出罪机能。刑事合规扩大了单位刑事责任范围，这就需要出罪机制的平衡。一是企业如果已经履行了合规义务，可以借鉴国外立法的经验，将企业良好的合规计划作为阻却犯罪的正当化事由。即企业在自身活动中对相关刑事风险的防范已经有了“相当的注意”，尽到了刑法设定的积极义务，满足了刑事合规要求，可以作为企业犯罪的责任抗辩理由，阻却单位和相关负责人的刑事责任。二是不可避免的违法性认识错误应当出罪。即企业“自己以为是严格依照了守法计划来作业的，可因为不了解最先进的信息而给公司造成损害结果时，有‘相当的理由’误以为其行为没有违法性，可以不追究其刑事责任。”
2.刑事合规运行情况作为单位犯罪的量刑情节。刑事合规作为刑罚的减免事由不难证立。正如我国学者指出的，“建立并有效实施了‘合规计划’的企业，其预防的必要性降低，从而影响预防刑，进而减轻甚至免除刑罚处罚，通过刑事责任的加重或者减轻、免除，给予企业合规以压力和动力，从制度合规逐步形成合规文化，进一步实现一般预防。”由于缺乏明确的法律规定，现阶段可以将企业合规管理的情况纳入认罪认罚从宽处罚的机制中，对建立有一定合规管理的犯罪企业，予以从宽处罚。有学者提出，应结合企业合规管理的情况，对一些犯罪较轻的涉案企业，实行缓起诉制度。这不失为一种可以实践思路。
刑事合规实施情况能否作为从重量刑情节，理论上有观点认为，“基于自由保障的考虑，合规只能成为刑罚的减轻事由，内控机制缺失不能成为刑罚加重根据”。笔者认为，既然是否实施刑事合规能够成为入罪的依据，就没有理由否定刑事合规与刑事制裁轻重的勾连，不能排除企业对刑事合规的敌视成为从重情节。典型的如在企业过失犯罪中，存在故意对抗合规要求的情况，反映了企业对刑法本身的敌对态度。在相关的司法解释中也有规定。例如，根据“两高”2015年印发的《关于办理危害生产安全刑事案件适用法律若干问题的解释》，行为人实施《刑法》第132条（铁路安全运营事故罪）第134条（重大责任事故罪）第134条（强令违章冒险作业罪）第135条（重大劳动安全事故罪）第135条之一（大型群众性活动重大安全事故罪）第136条（危险物品肇事罪）第137条（工程重大安全事故罪）第138条（教育设施重大安全事故罪）第139条（消防责任事故罪）第139条之一（不报、谎报安全事故罪）规定的犯罪行为，具有多次实施违法行为、事后妨碍、对抗调查等情况，可以作为从重情节。不过，在疏于刑事合规作为入罪条件的情况下，为避免入罪情节与量刑情节的混淆与重复评价，就不宜将疏于合规作为量刑情节评价。例如，《刑法》第286条之一规定的“拒不履行信息网络安全管理义务罪”，是指网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使违法信息大量传播、或用户信息泄露并造成严重后果、或刑事案件证据灭失情节严重、或有其他严重情节的行为。刑法将拒不履行合规义务作为入罪条件，就不能再将此作为量刑情节适用。
五、余 论
刑事合规作为一种综合提高企业犯罪遏制效果的措施，需建立在良好的整体法治环境基础上。而当下中国，法治进程刚刚起步，整体的法治环境仍不尽如人意，在没有实现不遵守公正的市场规则就无法生存的情况下，再好的制度在实践中也可能走样。同时，合规本来是企业内部管理的一部分，将其上升为刑事义务，刑法是否过度介入到了企业的内部管理活动？这些问题需要进行体系性的思考。刑事合规侧重于企业犯罪的预防，我国刑法中单位犯罪的立法有自己的特点，如何在我国刑法单位犯罪规定的基础上建立具有中国特色的刑事合规制度，也需要进一步的论证。但无论如何，刑事合规仍不失为现阶段企业犯罪惩治与预防的一个有效且具有可操作性的方案。
来源：《中国刑事法杂志》2019年第2期。
作者： 孙国祥，南京大学法学院教授、博士生导师。
手机版
客服
