汇业评论

文 | 谭武英 汇业律师事务所 合伙人

2018年发生的“美国制裁中兴通讯”合规事件，促使我们反思如何构建刑事合规制度，推动企业合规。刑事合规的实质是通过刑事法手段推动企业内部治理。刑事合规理念在我国刑法中亦有体现，但只是个别立法现象（如拒不履行信息网络安全管理义务罪），适用范围有很大的局限性。由于中国法律缺乏“合规激励机制”，即有效的企业合规体系可以让企业在遇有合规事件时能减轻或免除责任，目前中国企业的合规建设缺乏足够的内驱力。

然而，笔者注意到我国司法实践中已经出现了因有效的刑事合规让企业免于刑事责任（2017年雀巢公司六名员工侵犯公民个人信息案），这意味着在某种程度上，刑事合规是企业免于刑事处罚的重要抗辩理由。

一、 雀巢公司员工侵犯公民个人信息罪简介

基本案情：2011年至2013年9月，被告人郑某、杨某分别担任雀巢（中国）有限公司西北区婴儿营养部市务经理、兰州分公司婴儿营养部甘肃区域经理期间，为了抢占市场份额，推销雀巢奶粉，授意该公司兰州分公司婴儿营养部员工被告人杨某某、李某某、杜某某、孙某通过拉关系、支付好处费等手段，多次从兰州大学第一附属医院、兰州军区总医院、兰州兰石医院等多家医院医务人员手中非法获取公民个人信息。

该案一审判决认定了自然人犯罪，而未判决雀巢（中国）有限公司构成单位犯罪，被告人郑某等人以自己行为是公司行为，本案为单位犯罪为由提出了上诉，最后甘肃省兰州市中级人民法院经过审理维持了原判。

二审判决书对维持原判不构成单位犯罪的解释如下：单位犯罪是为本单位谋取非法利益之目的，在客观上实施了由本单位集体决定或者由负责人决定的行为。雀巢公司政策、员工行为规范等证据证实，雀巢公司禁止员工从事侵犯公民个人信息的违法犯罪行为，各上诉人违反公司管理规定，为提升个人业绩而实施犯罪为个人行为。

二、司法实践中对单位犯罪的认定

（一） 单位犯罪的主体资格

单位只有具备单位犯罪主体人格，才是法律意义上的“拟制人”。即只有具备单位犯罪主体人格的才是单位犯罪中的“单位”。

根据《刑法》第三十条的规定，公司、企业、事业单位、机关、团体实施的危害社会的行为，法律规定为单位犯罪的，应当负刑事责任。《关于审理单位犯罪案件具体应用法律有关问题的解释》（以下简称单位犯罪解释）第一条对公司、企业、事业单位作了进一步的规定，即《刑法》第三十条规定的“公司、企业、事业单位”，既包括国有、集体所有的公司、企业、事业单位，也包括依法设立的合资经营、合作经营企业和具有法人资格的独资、私营等公司、企业、事业单位。可见，刑法上判断公司、企业、事业单位是否具有单位犯罪的主体资格，主要依据在于是否具有法人资格。办理了《企业法人营业执照》，取得了法人资格的私营公司、企业，应当属于单位的范畴。对于不具有法人资格的私营独资企业和私营合伙企业实施的犯罪行为，应当依照刑法有关自然人犯罪的规定定罪处罚。①对于个人进行违法犯罪活动而设立的公司、企业事业单位实施犯罪的，或者公司、企业、事业单位设立后，以实施犯罪为主要活动的，不以单位犯罪论处。

（二）违法所得的归属

单位犯罪的主体人格解决了单位作为行为主体能够在法律意义上从事犯罪活动的资格，具体哪些行为可归入单位犯罪，需要考察“单位行为”是否符合单位犯罪的成立要件，这也是区分单位犯罪与单位内部成员犯罪一个重要指标。

《全国法院审理金融犯罪案件工作座谈会纪要》指出：“以单位名义实施犯罪，违法所得归单位所有的，是单位犯罪。”《单位犯罪解释》第三条进一步规定：“盗用单位名义实施犯罪，违法所得由实施犯罪的个人私分的，不以单位犯罪论处。”可见，区分单位犯罪与单位成员犯罪的关键，在于是否以单位名义从事该违法犯罪活动，违法所得是否归单位所有。

（三）是否体现单位意志

认定单位犯罪时，需要考虑单位意志的整体性。单位意志的整体性反映了单位整体的罪过，如某一犯罪行为没有反映单位整体的意志却以单位犯罪处理，就违反了罪责自负的原则。犯罪行为由单位决策机构决定，或由单位的负责人或被授权的其他人员决定，足以反映单位整体意志;单位整休意志也只有通过其决策机构或负责人或其授权的人的决定才能得以体现。因此，犯罪行为由单位决策机构决定，或由单位负责人或被授权的其他人员决定，是单位犯罪的构成要件之一。

实践中，判断构成单位犯罪中的主体资格及违法所得的归属相对容易，而单位意志的认定最容易引发争议。因为很多单位的员工是在履行工作职责中伴随了犯罪行为，此时辨别个人是履行单位意志抑或是基于自己的意志触犯刑法则难以厘清界定，如果单位已经充分进行了刑事合规并能够举证，则存在区分单位行为与个人行为的可能，单位将避免因员工个人行为而卷入刑事案件。因此，从这个角度来看，刑事合规对单位的意义非常重大。

三、域外鼓励企业合规的立法及执法要求

（一）英国《反贿赂法案》(UK Bribery Act)：建立有效的合规制度是企业免责或量刑的重要抗辩理由

根据英国《反贿赂法案》第七条“商业组织未能防止贿赂罪”的规定，相关商业组织的关联方（包括员工、代理人、子公司等）为了使该商业组织保留或获得业务或在经营中谋取竞争优势而进行贿赂的，该商业组织将因未能阻止其关联方贿赂而违反《反贿赂法案》。如企业能证明其制定了充分的程序来防止关联方行贿，则可以构成抗辩。这是一项绝对抗辩，如企业能证明其具备充分的程序来阻止关联方的贿赂行为，即使发生关联方行贿的个案，企业仍可据此免责。

另根据英国量刑委员会制定的Fraud, Bribery and Money Laundering Offences Definitive Guideline，法院在计算对违反《反贿赂法案》第七条的商业组织所处罚金的数额时，会考虑违法行为的“可责性”及“危害性”，对于“危害性”进行量化时通常会考虑因贿赂取得的合同所获得或维持的毛利；当毛利无法证明时，对“危害性”进行量化的替代标准为：“因未采取恰当措施预防贿赂行为而可能少支出的成本”。这一点体现了出英国司法机关非常重视企业建立合规制度预防贿赂行为。

（二）美国《海外反腐败法》（Foreign Corrupt Practices Act, “FCPA”）执法机关鼓励企业建立完善的合规制度

FCPA虽无明确规定企业拥有有效的合规制度可构成企业免责的抗辩，但美国司法部（DOJ）和证券交易委员会（SEC）在决定是否对违法企业提起诉讼、如何量刑、是否与违法企业达成和解及达成何种和解条件时均会考虑企业是否有充分、有效的合规机制。

美国司法部FCPA公司执法政策（FCPA Corporate Enforcement Policy）特别规定了被调查企业自愿披露违法行为、全面配合及及时对违法行为进行救济的评判标准。特定情形下，即使企业合规制度未能阻止违反FCPA行为的发生，企业如在海外腐败案件发生后争取调查执法机关将员工行为与企业行为进行区分，将有可能获得对公司处罚的减免、甚至获得不予追诉的处理决定。

四、我国检察官办理涉及企业员工犯罪的案件中如何考虑企业的单位责任

司法实践中，检察官在办理涉及公司员工犯罪的案件中，一般会考量企业的规章制度，企业文化、经营决策的模式等来判断该公司职工的涉罪行为是其个人意志的体现还是执行单位意志。鉴于前文所述，构成单位犯罪必须同时符合三个要件，如果企业针对特定违法行为有明确、成文的禁止性规定、以及在业务开展过程中对相关违法行为有有效的预防和监管措施，那么特定行为有可能被认定为企业个人行为而非“单位意志”，继而不被认定为单位犯罪，从而免于刑事责任。

实践中有些员工的行为来自其直属领导授意，并不必然导致被认定为单位犯罪，是否构成单位犯罪仍要考量该员工所在单位对员工违法行为的禁止性规定以及相应的监管措施。如企业制定了相关合规制度，但实践中并未落实，此时检察官将在办案过程中对相关合规制度是否真正实施进行考察，以帮助判断该犯罪行为应定性为企业个人行为亦或是单位行为。

回到文首案例，雀巢公司之所以被认定为单位犯罪，其判决书列出了以下证据：

1. 雀巢公司参与的中国儿科临床营养管理项目，要求加入该项目的医师签署相应的《医师倡议书》，并征得愿意加入该项目的家长同意，不允许私自收集公民个人信息；

2. 雀巢公司不允许员工因推销0-12月龄健康婴儿使用的婴儿配方奶粉为目的，直接或间接地与孕妇、哺乳妈妈或公众接触。不允许员工未经正当程序并经公司批准而主动收集公民个人信息；

3. DR任务目标不是为了收集消费者个人信息，DR工作完成的实际效果由中国健康促进与教育协会承办的营养咨询中心（NCC）通过电访来了解和评估。为完成电访调研，需要用到消费者自愿提供的部分个人信息（例如姓名和电话），雀巢公司不允许为此向医务人员支付任何资金或者其他利益。雀巢公司从不允许员工以非法方式收集消费者个人信息，并且从不为此向员工、医务人员提供资金。雀巢公司在《雀巢指示》以及《关于与保健系统关系的图文指引》等文件中明确规定，“对医务专业人员不得进行金钱、物质引诱”。对于这些规定要求，雀巢公司要求所有营养专员接受培训并签署承诺函；

4. 被告人郑某、杨某、李某某、杜某某、杨某某、孙某均参加雀巢公司不允许营养专员向医务人员支付费用获取公民信息的培训、测试；

5. 雀巢公司的政策与指示、雀巢宪章、关于与卫生保健系统关系的图文指引，禁止员工向母亲发放婴儿配方奶粉免费样品、禁止向医务专业人员提供金钱或物质的奖励，以引诱其推销婴儿配方奶粉等。

从判决书列举的上述证据我们可以看出，雀巢公司不仅在内部制定了相关合规制度，让员工参与合规培训并签字承诺，同时在与第三方交往的行为规范中，亦要求医师签署承诺书，不得私自收集公民个人信息，架构了一个较全面、多层次的禁止公司员工从事违法行为的政策指引及行为规范，从而获得免于“单位犯罪”的抗辩，最终法院认定犯罪行为属于员工个人行为，雀巢公司无须承担责任。