汇业评论

文 | 周万里 汇业律师事务所 高级顾问

近日，中华全国工商业联合会（以下简称“全国工商联”）等九部门联合发布让人期待已久的《涉案企业合规建设、评估和审查办法（试行）》（以下简称“《办法》”），明确了第三方监督评估机制中合规计划的“建设”“评估”和“审查”的细节内容，进一步推动了具有中国特色的第三方监督评估机制。

在全球范围内，企业犯罪、经济犯罪治理，呈现出从惩罚型监管转向合规型监管的发展趋势，合规型监管呈现标准化（包括强制标准和指引标准）、数字化和一体化（整合）的鲜明特征。例如，美国司法部在暂缓起诉协议（NPA）、不起诉协议（DPA）或者认罪协议（plea agreement）司法程序中，针对涉嫌犯罪的企业制定和实施的合规计划，在2017年2月发布首版《企业合规计划评估》（最新版是2020年6月第三版），为涉案企业和合规监管人（compliance monitor）提供合规计划有效性评估的指引。英国、西班牙、意大利、瑞士等国家，也有类似的机制或制度。最高检等九部门发布的《办法》也是在朝这个方向努力，无疑是体现了涉案企业合规标准化的发展路径。

一、《办法》的特点

《办法》共分为五章，总共23条。总体呈现出目的明确、结构明了、思路清晰、职责明确、侧重原则性规定、事实约束力的特点。

（一）目的

《办法》目的分为高阶目的和具体目的。《办法》的高阶目的是为“深入学习贯彻习近平新时代中国特色社会主义思想，全面贯彻习近平法治思想，完整、准确、全面贯彻新发展理念。”这体现了《办法》定位高，具有全局视野和长远战略规划。

《办法》的具体目的是落实最高检等九部门在2020年6月发布的《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》及其实施细则，依法推进企业合规改革试点工作，规范第三方监督评估机制相关工作有序开展。如下图所示，这体现了最高检在推进涉案企业合规试点的连贯性。

（二）结构明了

正如《办法》的标题揭示的，主体部分涉及涉案企业应当进行的“合规建设”，第三方组织针对涉案企业的合规建设，开展“合规评估”，第三方机制管委会和人民检察院则是针对第三方组织的“合规评估”开展“合规审查”。

（三）思路清晰

《办法》的规定，既涉及实体性的内容，又涉及程序性的内容。在程序性方面，《办法》呈现出过程思维的特点。这尤其反映在第二章、第三章和第四章的内容和顺序安排上，也就是第三方监督评估机制的“后端”部分。

但是，应当注意的是，上述的三个步骤，也仅是三个“环节”，没有反映出第三方监督评估机制的全过程，也没有全面呈现“后端”部分的全部工作内容。

例如，在步骤1合规建设阶段中，《办法》并没有涉及人民检察院《检察院建议书》对合规计划的要求。在实践中，这两方面的内容，却是合规计划的来源和依据，非常重要。步骤2合规评估阶段，《办法》虽然在第一条中对涉案企业合规评估做了定义，其中包括了解、评价、监督和考察的活动，但是在第三章中并没有提到第三方组织应进行的其他工作内容，如对涉案企业建设进行调查、监督和考察的职责。在步骤3合规审查阶段中，《办法》并未提及人民检察院在拟做出不起诉等决定前，应当依据《人民检察院审查案件听证工作规定》的规定，组织召开合规听证会等工作。

（四）职责明确

《办法》明确，在围绕涉案企业的合规整改过程中，涉案企业、第三方组织以及负责办案的人民检察院三方主体之间的关系以及具体职责分工，形成了由“涉案企业进行合规建设——第三方组织评估——人民检察院审查”的机制。

（五）侧重原则性规定

总体而言，《办法》的规定，侧重原则性，是为涉案企业合规计划建设、评估和审查提供方向性的（有约束力的）指引。

例如，《办法》首次提到小微企业的合规整改问题。这恰巧与上海市金山区检察院首创的“简式合规”程序要解决的问题，不谋而合。不过，《办法》仅规定人民检察院审查小微企业的合规计划和整改报告，而简式合规程序，目前还没有。对于合规管理体系的核心问题，即有效性问题，《办法》第14条以穷尽列举的方式，原则性地列举专项合规计划有效性评估的六大一级指标。

办法采用原则性规定的方式，一是可能考虑到涉案企业合规还处在试点阶段，宜采用原则性、一般性规定，使试点的推进具有灵活性。二是合规管理的标准，包括涉案企业合规计划的标准，总体结构是总分式的。即“总”是普遍适用的合规计划管理体系，“分”是指对合规计划的要素，诸如合规文化、合规组织、举报管理等，单独做详细规定。

（六）事实约束力

虽然《办法》的规定是原则性的，但是《办法》的实际效果却是具有事实的约束力。首先，这体现在《办法》大量采用“应当”的表述，尤其是针对涉案企业的合规计划建设环节。例如，《办法》第三条规定，“涉案企业应当全面停止涉罪违规违法行为，……”；第七条规定，“涉案企业应当设置与企业类型、规模、业务范围、行业特点等相适应的合规管理机构或者管理人员。……”；第九条规定，“涉案企业应当为合规管理制度机制的有效运行提供必要的人员、培训、宣传、场所、设备和经费等人力物力保障。”对于第三方组织的合规计划评估，《办法》多采用“可以”。这反映了《办法》对于第三方组织的评估工作，提供了很大的灵活性，也反映了评估工作的主观性成分。对于合规计划审查环节，《办法》多采用“应当”。

其次，《办法》由全国工商联、最高检等国家机关发布，具有较强的事实上的约束力。与社会组织发布的合规标准相比，《办法》在发布机关的法定性、权威性和强制约束力等方面有着本质的区别。

最后，从《办法》本身的一般定位上看，其效力应当高于“指引”或“指导意见”等规范性文件。因此，从形式上来看，其应当比《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》及其实施细则的定位高。不过，从《办法》的制定目的来看，是“为贯彻落实《指导意见》及其实施细则”而制定，《办法》属于《指导意见》的具体执行性文件，处于下位法或同位阶法的位置。国有企业合规有类似的发展规律。例如，国务院国资委在2018年11月发布《中央企业合规管理指引（试行）》，将由其2.0版《中央企业合规管理办法》（征求意见稿阶段已经结束）取代，从指引升级到办法。

二、《办法》重点内容解读

（一）涉案企业的定义

与《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》第三条一致，《办法》第二十条对涉案企业提出了定义。涉案企业不仅包括涉嫌单位犯罪的企业，还包括了由实际控制人、经营管理人员、关键技术人员等自然人涉嫌实施与生产经营活动密切相关犯罪的企业。

（二）涉案企业的全力配合义务

《办法》规定了，涉案企业除了承担全面停止涉罪违规违法行为义务以及补救义务，还应当承担全力配合义务，即全力配合主管机关、公安机关、检察机关以及第三方组织的相关工作。在以往的涉案企业合规试点中，涉案企业合规的全力配合或在司法程序中的合作，引起足够的重视，也及对全力合作的内容，没有清楚的认识。自愿原则是适用第三方监督评估机制的基本原则。而涉案企业的合作程度，反映了其自愿的程度。缺乏合作意愿或合作意愿不足的涉案企业，人民检察院不应当依职权或依申请启动第三方机制。

（三）合规计划的建设方法

《办法》在第四条至第十二条中，明确规定了涉案企业所制定合规计划应当包含的内容。涉案企业应当成立合规建设领导小组，专门负责涉案企业合规计划的制定和实施，进行内部和外部的沟通。该小组的成员由实际控制人、主要负责人和直接负责的主管人员组成，必要时可以聘请外部专业机构或者专业人员参与或者协助。实践中，合规建设领导小组应当确定一名成员担任联络人，负责与第三方组织、第三方管委会以及人民检察院联系。

对于合规计划的制定和实施，下图列出合规计划应当包含的要素。这些要素同样反映在国际标准化组织2021年4月发布的《合规管理体系 要求及使用指南》（ISO 37301:2021）（以下称“《指南》”）中。其中PDCA分别表示合规管理体系建立和运行的四个阶段。

通过上图的比较可以得出，《办法》与《指南》在基本思路、诸多要素等方面具有相通之处。不过，《办法》中缺乏很多在后者中明确规定的原则和要素。例如，《指南》中明确的组织环境、利益相关者分析、合规文化（规定在合规计划评估环节，即《办法》第十四条第六项）、合规职责、合规与人事、业务过程的融合、合规沟通的要求，并没有（明确）体现在《办法》中。此外，《办法》的个别规定，甚至与《指南》发生冲突。例如，《办法》第七条规定，涉案企业的合规管理机构或者管理人员可以专设或者兼理。《指南》规定了中应保证合规管理工作人员的独立性，避免利益冲突的情况发生，而《办法》似乎并没有关注合规工作人员的独立性和汇报机制等问题。

（四）涉案企业合规评估

《办法》首次明确合规计划有效性评估的方法。第三方组织针对涉案企业合规计划的评估工作，主要由三部分组成，即合规评估工作方案、重点评估内容以及评估指标体系。第三方组织可以根据涉案企业情况和工作需要，制定具体细化、可操作性的合规评估工作方案。同时，《办法》列举了第三方组织对于涉案企业合规建设情况应当进行评估的重点内容。其中，判断“是否有效”的合规评估指标体系由第三方组织自行制定。《办法》要求，第三方组织应结合涉案企业的特定行业合规指标，制定符合涉案企业实际的评估指标体系。评估指标的权重可以根据涉案企业类型、规模、业务范围、行业特点以及涉罪行为等因素设置，并适当提高合规管理的重点领域、薄弱环节和重要岗位等方面指标的权重。

合规评估工作属于第三方组织开展合规考察的组成部分。《办法》中的是明确第三方组织可以制定合规评估工作方案。不过，依据《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》第十二条，合规计划评估，包括可行性、有效性和全面性的审查。《办法》仅涉及有效性评估。就有效性评估而言，与美国司法部在2020年6月发布的《企业合规计划评估》比较，《办法》以穷尽的方式列举的六要素还不够全面。例如，关于培训和沟通、第三方管理、激励和纪律措施等要素的评估，《办法》并没有提及。在涉案企业合规建设合规计划，这些要素的缺乏，可能无法实现对涉案企业合规计划全面评估的目的，因此在实践中应当予以注意。

如下图所示，如果将《办法》中的合规计划有效性评估标准，与美国联邦量刑委员会《量刑指引》（§8B2.1）比较，可以看出，两者具有高度的重合性。另外，《办法》中缺少的合规培训与沟通，在《量刑指引》中，是合规计划有效性的最低要求（要素）4。另外，一般认为《量刑指引》中，构成有效合规的是七要素，实质上是八要素。第八个要素是风险评估和风险降低，紧随七要素，被很多人忽略了。

（五）涉案企业合规审查

《办法》规定，第三方组织的合规考察书面报告应提交第三方机制管委会和人民检察院审查。人民检察院如疑点或重点问题的，可要求第三方组织或其组成人员说明情况，也可以直接进行调查核实。如经审查后，认为第三方组织已完成监督评估工作的，由第三方管委会宣布第三方组织解散。

小微企业的合规计划和整改报告由人民检察院直接审查，重点内容包括合规承诺的履行、合规计划的执行、合规整改的实效等内容。

《办法》重点强调了对于第三方组织人员不当行为的处理问题。如审查发现第三方组织或组成人员存在违反《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》及其实施细则规定的禁止性行为，足以影响评估结论真实性、有效性的，第三方机制管委会应当重新组建第三方组织进行评估。

（六）明确专项合规与全面合规的关系

在第三方监督评估机制的实践中，如果处理好专项合规和全面合规的关系，有不同的声音。一部分人认为缺少全面合规或一般性的合规管理体系作为支撑，专项合规成为“空中楼阁”，治标不治本或不具有可持续性。另一部分认为，涉案企业合规只能针对涉罪的情况，针对性地制定专项合规计划；大而全的合规体系，不仅加重了涉案企业的负担，也会受制于合规整改期限角度的客观情况，从而不具有现实性。

《办法》采用的折中的观点，且偏向于支持第一种观点。笔者认为，涉案企业合规应当具有针对性、必要性，以涉案合规风险评估为导向，建立以专项合规计划为基础合规管理体系。原因是涉案企业合规针对的是具体的企业犯罪及其暴露出的严重公司治理问题。另外，本质上，建立和运行专项合规计划的同时，全面合规管理的基本结构、基本流程已经形成。涉案企业因此已经具备全面合规的基础条件。第三方组织如果提出大而全的合规计划，没有必要性，也缺乏正当性。

三、结语

《办法》的发布，意味着我国的涉案企业合规试点前进了一大步，将会对涉案企业建设合规计划，第三方组织评估、考察合规计划以及检察机关审查合规计划，产生总要的影响。同样重要的是，《办法》对于非涉案企业、健康的企业建设本企业的合规管理体系，甚至要求商业伙伴建设合规管理体系，均具有重要的参考价值，对整个社会的营商环境、诚信文化以及合规文化的构建产生积极的影响。

当然，《办法》还有很大的提升空间。其一，《办法》是原则性和概括式的规定，与“办法”的功能定位，可能不匹配。尤其是关于合规计划有效性、可行性、全面性的认定要素方面，仍需进一步具有可操作性的规定，因为是第三方监督评估机制的重中之重工作。

其二，与国际化标准、合规制度较为完善国家的涉案企业合规标准比较，在要素、体系等建设方面，《办法》仍留有一定的提升空间。建议在对合规计划有效性评估方面，必要时可进一步参考国际化或更为完善的标准。

其三，《办法》与国务院国资委的《中央企业合规管理指引（试行）》及其2.0版本《中央企业合规管理办法》，以及国际标准化组织的《合规管理体系 要求及其使用指南》及其同等转换的我国合规管理体系标准等的衔接、协调问题，也需要得到重视并进一步明确。

最后，在第三方监督评机制实践中中，诸如反商业贿赂合规、财税合规、知识产权合规、数据合规等专项合规计划的评估标准，涉案企业、第三方组织以及人民检察院对此的需求更为迫切。