尊敬的各位老师，各位来自司法实务的朋友们，今天报告的题目是企业合规与社会治理。这是一个热门话题，在最近的一两年中，已经成了整个社会治理所关注的一个焦点问题。2020年最高人民检察院的合规改革，距今已经三年多了，取得了非常好的成效，从社会各界的角度来说，可以说是争议最小、收益最大的一场改革。最高领导人对这个改革也给予高度肯定，是一个利国利民的重大活动。

（一）合规是一门综合性的学科

21世纪法治领域有三大问题，这三大问题不能归属于任何一个专门的法学门类。例如人工智能，涉及文化法理学、法律职业伦理、证据法、刑法、民法、侵权法以及现在热门的人工智能法学。一些人工智能领域的文章，如果不专门研究自然科学，很难全部读懂，原因就是其关联的知识面太博大精深了，涉及到多个交叉学科，甚至涉及到大量法学以外的交叉学科。

再比如最近兴起的数据法学，本身来源网络数据，其中个人信息保护应该算是民法的范畴，属于侵权法的内容，其中数据问题又涉及到个人的隐私问题，是人格权法的一部分。但是该领域的三大法律（网络安全法、数据安全法、个人信息保护法）又属于行政法，因为国家要监管网络企业、网络平台，涉及行政处罚，当然属于行政的范畴。它又属于经济法范畴，经济法发挥着国家掌管经济的职能，是对企业的经营活动的监管法律。此外，它还有7个罪名跟刑法密切相关，例如侵犯公民个人信息罪、非法侵入计算机系统、帮信罪等；其中帮信罪的数量已经成为中国犯罪的第三位，第一位是醉驾、第二位是盗窃、第三位就是帮信。它又涉及刑事诉讼法，因为涉及到区块链存证，涉及大量的电子数据在诉讼活动中的使用问题。所以，数据法学不好归类于某一项具体的部门法。

企业合规也是这样，上个月在北京跟几个搞经济学的朋友聊天，提到经济学也要研究合规。例如公司治理问题，它来源于风险防控，由风险防控的需求所产生，是经济学必然要研究的问题；它又归属于法学里边的商法，涵盖商法里边的公司法、证券法等很多内容，例如：股权结构、公司的架构、公司的管理模式，股东会、董事会、监事会之间的关系、法律顾问的地位、企业的经营活动、业务活动等；它还属于经济法的内容，可以说经济法的所有的分支都是合规。环境资源保护是一个经济法的分支，环保合规就是其中一项重要的内容；税收、财税法都是经济法的问题，税收合规也是合规的重要内容。还有企业反贪，在经济法上叫反不正当竞争，在刑法上叫反商业贿赂，在合规领域叫反商业贿赂合规，这是合规的发源地。欧美国家在上个世纪70年代产生了第一个合规，就来源于反贪贿，属于一个狭义的合规；后来扩展到其他领域，例如反垄断、反洗钱、反不正当竞争、出口管制、大数据等，称为大合规，即广义的合规。

最高人民检察院搞的合规改革，前5名的犯罪是5个经济发展领域的犯罪。第一位是税收犯罪，税收是中国企业触犯最多的罪名，例如虚开增税发票，本身属于税法问题，企业违反国家税法是行政违法，但如果到了一定的规模，达到情节严重，就会变成税收犯罪，这其中的违法和犯罪没有本质的界限。第二位是知识产权犯罪，例如商标类、商业秘密类的犯罪。第三位是环境资源犯罪，例如污染环境、非法采矿、非法占用农用地等，来源于环境资源的违法。第四位是安全生产犯罪，来源于企业对国家关于安全生产的监管法律的违反，高发的单位内部犯罪。第五位是串通投标犯罪，来源于企业市场经营活动违背了国家监管市场的一些行政法规，最终变成了犯罪。

所以说，企业合规是跨部门的。

（二）企业合规制度博大精深

去年，我参加了国家市场监管总局的几个会议。其中印象最深的是网络监管。

2019年，因为中国的网络平台企业违法违规的问题已经积重难返，公安部为了治理中国的网络平台，发动了公安部2019雷霆行动，10个月的时间内处理了3万家企业，有的直接给定罪了。后来经过统计发现中国的网络平台涉嫌的违法犯罪行为多达30多种。除了传统犯罪的网络化，例如传统的盗窃、诈骗、开设赌场、网络赌博等；还包括新型的网络犯罪，即只通过网络实施的特殊犯罪，例如侵犯公民个人信息犯罪、帮信罪等。有的网络平台几乎就是一个犯罪平台，上面可能有几千家上万家甚至几十万、上百万的商户在平台上经营，这些公司作为第三方公司，可能从事几十种犯罪活动。这种情况下，就涉及到网络平台的监管义务。如果网络平台放任不管，不好将其定性为上述犯罪的共犯，因为共犯必须是共同犯罪故意。更多时候，平台是间接故意、放任；有的时候可能就是一个过失，就是没有尽到管理责任、注意义务。

所以现在经过这么多年的研究，大家基本上达成了共识，即网络平台的治理没有别的办法，一定要建立强制合规义务。强制合规义务就是平台每发展一个商户、发展一个第三方商业活动，就一定要启动合规管理，比如我们经常说的合规尽职调查、合规风险等级管理、合规的日常培训、白名单、黑名单、退出机制等。在这其中，网络平台承担的是管理职能，不管理就构成违法，遭受行政处罚，甚至构成犯罪。这个犯罪就是风靡全世界的一种新型犯罪，叫网络平台的失职罪，即只要在网络平台上发生了犯罪，没有证据证明你是共谋的共同犯罪的，就是管理失职。

这最早出现于英国，现在英国有两三个罪名叫失职罪，例如商业组织预防贿赂失职罪，商业组织预防逃税偷税失职罪等。当企业本身没有逃税、没有失职贿赂，但企业的员工、商业伙伴、和企业有代理关系的第三方出现了逃税、商业贿赂行为，企业就构成预防某一种罪的失职罪，属于过失犯罪。但企业可以有一个无罪抗辩事由，即是拿证据来证明企业已尽到了管理责任，已搭建了合规管理体系，以达到免责的目的。

这是风靡全球的合规治理方式，是一种社会治理方式的一场革命。

我们国家在2017年反不正当竞争法的第七条也规定了类似内容，这是从国外借鉴过来的一种新型的立法，其中明文规定商业组织企业的员工，如果有商业贿赂行为，企业要承担商业贿赂的行政责任。这有点类似严格责任，当然这只是行政责任，不构成犯罪；我国刑法学界反对严格责任，强调主客观相统一，具有保守性。

上述条款有个例外，也是一个抗辩的机会。即企业如果有证据证明员工的行为不是为了增强商业组织的竞争优势，或者不是为了增加商业组织的利益的除外。这条如何理解？市场监管总局的一位局长把它解释为企业建立了反不正当竞争的合规体系就可以免责，又叫合规免责条件。所以合规免责已经在我国有了萌芽了，是一种企业治理方式。如果企业没有建立一套合规的管理体系，就要承担责任。如果该制度广泛施行，对广大的企业群体会有一种导向和激励的作用。

合规也是个行政法的内容。但2021年全国人大通过的修正后的行政处罚法明显落后，里面连合规两个字都没有，更让人难以忍受的是该法建立了首违免罚制。这个很可怕，就是自然人和法人只要第一次违法，就可以免除行政处罚。首违免罚在全世界也有，但是其他国家适用该制度会附加合规为条件，本质是首违合规免罚。即一个企业第一次行政违法可以不被处罚，但条件是要建合规管理体系。

我曾经在温州总商会讲课，商会的会长在致辞的时候说了一句话，说我们感谢温州市人民政府，早就实行了首违免罚工作，温州地面上所有的企业第一次违法，全都网开一面。后来休息的时候我就请教他，问首违免罚制以后有多少企业又第二次违法了，他说得超过一半。所以光免罚不行，要做合规，合规就是一种预防体系，预防再次违法和再次犯罪。

此外，例如风靡全世界的强制合规、合规指导、合规激励，都没有写进行政处罚法，只是零零星星的在反垄断和证券领域出现过。我们的合同法也是一出台就落后，因为合同部分连个合规的概念都没有，全世界的合同法律必须都要写入一个基本制度，叫合规条款。即企业和任何一个企业签合同，都必须把合规政策告诉对方，告知对方只有遵守合规政策，才可以签合同。如果违反合规政策、构成违约，守规企业就可以解除合同并不承担违约责任，由违规企业承担违约责任。

（三）法学界对于合规制度的观点

法国是第一个建立强制合规的国家，在法国的企业，如果员工人数超过500人，年营业额超过1亿欧元，就必须建合规，不建合规就处罚，并对连续三年不建合规的企业追究刑事责任。意大利和西班牙在全世界刑法典里边第一次规定有合规出罪条款，即只要事先建立合规管理体系，在构成犯罪后，能够提供证据证明合规管理是有效的，一律免除刑事责任，又称合规无罪。只有最保守的德国，连法人犯罪都不承认，所以没有合规。

我们中国的刑法学界一半人都学德国，学的是全世界最落后的国家。为什么这一次刑法学界反合规反的最厉害，就是因为德国这一套，学界不学西班牙、不学意大利、更不懂英美，只学德国。我们要警惕只读一本书的人，警惕只学一个法系的学科。

合规又是一个刑诉法的内容。在欧美国家，如果企业构成犯罪了，光打击是没有用的，把企业搞垮并不是好事。我们中央领导人也强调，不能办一个案件、搞垮一个企业。犯罪的是企业的少数人，实施犯罪的几个人组织、策划、指使、着手、实施了犯罪。相反，企业的员工是善意的、无辜的，企业的投资商、利益相关伙伴是善意的，单纯处罚单位，受害的是员工、投资人、股东，还有利益相关方，这样的处罚没有意义。

所以从二十一世纪初以来，欧美国家在刑事政策上发生了一个革命性的转变，即对单位犯罪而言，要严惩责任人、放过单位。当然，放过单位的前提是要做合规整改。

（四）欧美国家合规业务的发展

2006年，西门子公司在全世界大肆行贿，海外贿赂额共计15亿欧元，其中在中国行贿了1亿欧元。这样一个祸国殃民的跨国企业，却在本国不敢行贿。德国慕尼黑检察院治不了他，最后是美国司法部介入才得以解决。美国司法部一介入，西门子公司立即投降、立即自首，因为美国处罚太厉害了。

最后，给予西门子公司三年限期做合规，并建成了目前世界上号称最发达的合规管理体系。美国罚了西门子公司8亿美元，并让一个律师团队给西门子公司做了三年的合规服务，该律师团队收了西门子公司8亿5千万美元的律师代理费。在欧美，合规目前是律师的第一业务。美国律师的合规业务收益相当于诉讼业务的5倍，而我们国家才刚刚开始。慕尼黑检察院一看脸面下不来了，破天荒的也罚了8亿美元。西门子公司最终以8亿加8亿加8亿5千万，一共24亿5千万了结了这个案件，建了合规管理体系。

合规里面经常会用到了DPA、NPA，这都是刑诉的概念。NPA是不起诉和解协议，指检察机关跟企业签协议，只要企业做合规，检察机关就给企业三年考察期，做好了并验收合格就不起诉。DPA是延缓起诉协议，由法院批准暂时中止诉讼，给企业三年考察期做合规，做好了并验收合格就不起诉。如果被起诉了，并且到审判阶段还没做合规，还可以给企业最后一次机会，让企业做辩诉交易，如果做辩诉交易的时候认罪，还可以再给三年，三年之中不判刑罚，如果合规整改合格了，可以免除刑罚或宽大处理，这又叫企业缓刑制度。

我们国家的格力集团，两年前，它的一个电子产品在美国市场上发生了产品质量事故，被提起产品质量诉讼，最后赔了消费者很多钱。格力集团以为此事了结了，但没想到这个问题在美国是交叉的。由于格力集团没有向美国联邦消费者权益保护部门履行报备义务，违反了联邦消费者权益保护法，甚至违反了美国联邦刑法，进而构成犯罪。最后被罚了9600万美元，并被要求在三年内建成合规体系。

以上是本次报告的背景介绍，接下来，我想从这么几个角度来展开。

第一个问题，考虑到有一部分朋友可能对合规不是很熟悉，我用最简单的语言讲一讲什么是合规，包括合规的概念、社会功能和价值。合规不等于依法依规经营的简单概念，合规是一个风险防控体系，是一个非常复杂的公司治理结构。

第二个问题，想给大家讲一讲合规的三大领域。合规目前的三大领域是行政监管合规、刑事司法合规、国际金融合规。这其中没有民事合规的概念，因为违反民法只会导致侵权违约，诉讼就可以囊括。而一旦违反行政法，甚至构成犯罪，就不能被诉讼所解决，要罚款、吊销执照，取消上市资格等，进而带来灾难性的后果。此时不走合规就会危及生命，在此基础上，才有了上述三大领域。

第三个问题，想给大家讲一讲刑事合规。涉及和最近的刑事合规改革密切相关的几个问题，包括其中几个大的争议，例如重大单位犯罪案件怎么处理，有效合规的概念、行刑衔接等。

合规一词来自英文cooperate compliance，compliance来源于词根comply，往往后接介词，comply law或者是comply regulation，表示要遵守法律规则、惯例、伦理、规章制度等。

企业合规单指企业做合规，而不包括自然人。虽然自然人当然要遵守国家的法律法规，但合规这个概念一开始就是针对企业的。

（一）企业合规主要面向组织

企业是个组织，跟自然人不一样。自然人有自己的意志，有自己的行为，意志控制行为，只要意志认识到位了，行为就能守法，相对简单。改造一个罪犯、一个违法者，相对容易，通过改造他的灵魂、思想，就能控制他的行为，改变他的行为方式。但企业是个组织，没有自然人的意志，也不能做出类似自然人的行为。企业的违法犯罪行为是由它的成员实施的，因此企业只有通过建立管理体系、风险防控体系，才能控制他成员的行为，这是企业跟自然人最大的区别。

所以在经济学里边出现了一个分支学科，叫内部控制体系。缺乏内控体系，企业就是一个犯罪集团，非常可怕。例如恒大集团和北大方正事件，就是内控体系失败、缺乏合规机制所致。如果没有一个合规管理体系，企业和自然人一样会犯错误，会违规、违法甚至犯罪。

（二）企业大到不能倒

企业大到不能倒，英语叫too big to jail，字面翻译为“不能进监狱”，俗称大到不能倒。企业规模达到一定程度，就不能让它倒闭。例如，恒大集团就不能让它现在倒闭。恒大集团有30万员工，全中国人民买恒大楼盘的人超过了几百万，恒大要是倒闭了，不光会给广东省的经济带来金融海啸，还会影响公众的利益，影响社会稳定，是不可承受的代价。所以企业大到一定的规模，即使违法乃至犯罪，也不能让他达到破产的地步，只能是尽量让企业建合规管理体系，通过建合规管理体系，消除制度漏洞，堵塞它的管理上的一些隐患，让他有效的预防违法犯罪的再次发生，给企业以活力和生存下去的空间。

合规要考虑成本和收益的平衡。欧美国家合规改革适用的对象都是跨国企业运行，例如西门子、摩根斯坦利银行、空客波音、德意志银行、汇丰银行等，都是这种巨无霸企业做合规。因为合规要花费巨大的人力物力，所以仅当企业有挽救的价值时，才应该以合规制度进行保护，进而维护公共利益。

（三）起诉企业等于宣告企业死刑

起诉一个企业，相当于宣告该企业死刑。这是一种刑事视角，企业一旦在刑事案件里边被定了罪，这个企业就等于死了，相当于被宣告死刑了。只有做合规，才能给企业一个激励机制，让企业不面临灭顶之灾，给企业生存下来的机会。

例如安达信会计师事务所案件。安达信会计师事务所是一家总部设置在美国的超大型会计师事务所，上个世纪八九十年代的营业额相当于另外四大会计师事务所的总和，年营业额接近1,000亿美元，全世界员工超过5万。

结果在美国安然集团破产一案中，发现了安达信作为会计事务所给安然集团提供虚假账目报表，根据美国联邦刑法，构成妨碍司法公正。这个罪是小罪，有点像我们的伪证罪。检察机关随后起诉了安达信的高层和安达信事务所，也才罚了不到50万美元，高管被判了一两年有期徒刑，有的甚至适用了缓刑。然而，检察机关要求和安达信做NPA，安达信拒绝了，后来法院要求安达信做DPA，安达信又拒绝了。第二天，美国证交会向全世界发出一个公告，停止安达信给上市公司提供审计服务的资质，而给上市公司提供审计是安达信的主要服务。资质丧失之后，一个月内，安达信在全世界的几十万客户流失。一年后，安达信客户流失殆尽，5万员工只剩下不到2000人，安达信进入破产清算。

具有讽刺意味的是，10年后美国联邦最高法院经过再审，宣告安达信妨碍司法公正罪是冤假错案，但这时候安达信已经没了。所以当时的美国公众强烈质疑美国联邦司法部，认为它是破坏经济的凶手。当时的司法部长甚至辞职。在美国国会质询联邦司法部的时候，当时负责起诉安达信的检察官流着泪说了一段话，他说，我终于意识到我犯下了不可饶恕的罪行，起诉了安达信、宣告了企业死刑。安达信事件波及了上千万人，影响了上千万个人的生活、工作和命运，给美国经济带来了重创。从此以后，美国司法部开始大规模的使用合规手段，尽量不起诉企业，尽量与企业达成和解协议做合规。

我们国家的中央领导人也说不能办一个案件就搞垮一个企业，尤其在这三年疫情期间，那么多企业经营遇到困难，如果再雪上加霜、把企业都逼上绝路，对何方主体都没有好处。保企业，是为了保企业的员工、投资人、利益相关人。公司治理本身解决不了这个问题，因为公司治理秉持股东和利益相关者利益至上原则，归根结底是内部治理的问题。公法一旦介入，只靠传统的公司治理就已无法解决相关问题，必须有来自外部的激励机制，一定要引入外部的激励机制和力量。

（四）合规的概念

合规由三个要素构成。第一，合规是一种风险防控机制，防控的不是经营风险、财务风险、一般的决策风险等，而是合规风险；第二，合规是一套管理体系，不是简单的普法教育，要渗透到公司的三大流程当中，即决策流程，经营、业务流程和管理流程；第三，合规最初是企业自身自发的管理体系，但一定要有三大激励机制，若没有外部的三大激励机制，就没有任何企业能做成合规。

三大外部合规激励机制，又叫动力机制，分别指行政合规激励机制、刑法上的激励机制以及国际金融上的激励机制。

（五）合规风险

所谓风险就是给企业带来损失的一种可能性，造成损失的可能性多种多样，签合同有风险，和第三方商业伙伴打交道有风险，投资项目也有风险，企业的风险太多了。但什么是公司的战略风险？

战略风险是危及企业的生死存亡的重大风险，而不是作为一个大型企业损失二三十万、两三百万这样的风险。

一般来说，有四个战略风险。第一，决策风险，是指公司在做重大决策的时候，没有经过审慎的考虑，在投资方向、公司战略方向上出现了原则性的失误，给公司带来了重大损失。第二，业务风险，是指由于产品业务立项出现重大失误，导致投资得不到回报，带来的重大损失，也叫经营风险，由经营团队承担风险责任。第三，财务风险，是指公司的财务部门或分管财务的负责人管理混乱、内外勾结、徇私舞弊，严重损害公司利益，给公司造成重大损失。第四，合规风险，合规风险是独立于前三个风险的一种战略风险，是指企业在经营过程中出现了违法违规乃至犯罪行为，使企业遭受的资格剥夺或其他重大损失。

由此诞生的一个理论叫资格剥夺理论。经营风险、决策风险和财务风险不会带来资格剥夺最多就是投资得不到回报、负债累累、盈利减少，而合规风险带来的最大后果就是资格剥夺。资格剥夺指的是企业因为违法遭受行政处罚、刑事责任追究、国际组织制裁等处罚所带来的特定资格缺失，例如暂停营业资格、取消参加招投标的资格、贷款资格取消、取消营业资格、取消从事某种业务的经营资格、取消上市资格、吊销营业执照等，这些资格一旦被剥夺，企业经营会陷入灾难性的后果。

合规风险有两种特点。第一，它独立于另外三个风险，是公司内部独立的一种风险，决策风险、经营风险、财务风险均无法包容合规风险。前三种属于经营业务管理过程中的风险，合规风险是因为违法违规犯罪所带来的风险。第二，合规风险同样居于四大战略风险之一，因为这项风险如果得不到防控，企业会面临灾难性的后果，丧失经营或从事某种业务的资格。

（六）合规管理体系

从决策的角度来看，合规管理体系包括三个要素。

第一，合规章程。合规要写入公司的章程，作为公司内部具有最高法律效力的文件。

第二，要有合规的实体法。就像刑法民法一样，合规有两个重要的规范性文件，国际统一名称是合规政策和员工手册。合规政策是给外部商业伙伴看的，要求外部商业伙伴遵守本企业的合规政策，才能进行商业合作。员工手册是给内部全体员工和子公司分公司的人看的，起到内部责任切割的作用，即把所有相关的规范条款写入员工手册，作为合规培训和员工签订承诺书的内容。合规政策和员工手册内可以对具体的合规项目进行细化，作为公司培训、员工承诺的依据，从而起到责任划分的作用。

第三，领导组织架构，也被称之为高层承诺原则。指在董事会下设置合规管理委员会，其中由董事长、总经理担任成员，负责人可以由非执行董事担任。没有董事会的小企业可以设立合规工作领导小组，最高负责人必须担任小组成员，从而体现高层承诺原则。首席合规官一般是由总法律顾问兼任，作为公司合规管理的最高负责人向董事会负责，同时也是合规管理委员会的成员。首席合规官一定是公司的高管，标配是副总裁、副总监、董事会成员的职位，这样合规官才有话语权。

（一）防范体系

防范体系（P），Prevent，即预防违法违规犯罪爆发的管理体系，包括四方面内容：1.定期的合规风险评估，就像人定期做体检一样。2.合规尽职调查，也称为背景调查，一般针对三方进行，包含客户、第三方商业伙伴以及并购前的调查。因为企业并购会产生继承责任，继承了股权的同时也会继承相应的责任，所以需要通过背景调查查明被并购企业是否存在违法违规犯罪行为，防范可能爆发的合规风险。3.合规培训，合规培训的目的在于电子留痕和书面留痕，是为了防止出现风险，特别重要的是对员工、分公司子公司成员及第三方商业伙伴进行的培训。如果被培训对象不遵守培训的内容而出现违法情况，则责任自负，如果企业不做培训、不发合规政策和员工手册，出现违法情况责任由企业承担。4.文化建设，即合规文化的传达，例如中兴公司每月会向员工通过邮件传达合规的宣传，防范违法犯罪活动，让合规的理念传达到每个员工心中。

（二）监控体系

监控体系（D），Detect。即24小时雷达预警系统监控着整个的企业，发现违法违规立即处理，用英文表达就是self-policing，自我监管，可以一定程度上弥补了外部监管的不足。

对大型企业来说外部监管难度极大，这是个世界性的问题。外部监管在既不了解企业经营又无法进入企业的情况下，无法对大型企业进行监管。在此情况下，近半世纪以来，大型企业逐渐启动了内部自我监管体系，即监控体系。

监控体系包括以下几个要素：1.自下而上的合规报告组，一旦发现违规，由报告组从基层向上报告具体的违规事件的合规报告制度。2.自上而下的合规巡视组。3.吹哨人制度，又称为合规举报制度。任何人在发现违规的时候都要立即通过24小时电话和网站向企业进行举报，在举报完毕后，企业应当立即立案并进行相应的调查。2021年全年，中兴公司合规部门接到500件举报。经调查核实，200个违规事件确实发生，最后处理了30多个责任人，包含调离岗位、撤职以及送交司法机关处理。4.合规审计，即定期对企业的合规体系进行检测，一旦发现漏洞及时处理。

（三）应对体系

应对体系（R），Response。再好的合规都难以预防违法犯罪活动，所以合规不是杜绝一切违法违规，而是要有效的应对违法违规。在违法违规情形发生后，企业需要有一套有效的应对体系才能称为有效合规。

有效合规包含以下几个要素：1.内部调查体系，简称内调。企业发生了违法犯罪行为，要立即启动内部调查，调查犯罪违法的内生性结构原因。违法犯罪发生有两种原因，外部诱因和内生性结构原因，有的企业出现违法犯罪就把责任推给外部诱因，这显然是不正确的，所以要调查内生性结构原因，找到治理结构的漏洞、管理体系的缺陷以及整个的业务模式的隐患。治理结构的缺陷指的是股权结构、董事会监事会结构和管理团队结构有没有缺陷。管理体系的漏洞指的是财务管理、人事管理、发票管理、第三方管理有没有漏洞，从而导致违法犯罪活动的发生。除此之外还需要调查业务流程上的隐患，从而导致犯罪分子有机可乘。例如虚开增值税发票行为，最大的风险来自票货分离的商业模式。而针对网络平台中出现的侵犯公民个人信息罪，最大的问题是第三方监管失控以及获取信息的手段没有经过尽职调查，使得发展的代理商、供应商缺乏监管，以及收集的数据信息来源不明。所以，企业要做内部调查，进行快速反应。2.合规的有效配合、积极披露。即企业出现问题后，向司法机关积极提交内部调查报告、揭示犯罪违法的原因，有效配合司法机关的调查，从而争取获得宽大处理。3.必要时还应进行反舞弊调查，即调查在违法犯罪活动中发挥主要作用者。反舞弊调查有两个功能，一是收集处理责任人的依据，二是交给执法部门。有的企业专门委托律师事务所做反舞弊调查，这也是合规的一项具体业务，调查清楚之后，则尽快处理责任人，该调离调离，该撤职撤职，甚至直接送交司法机关。

（四）合规的改进作用与合规渗透

合规不是公司的内部治理，而是外部的强力监管。合规体系建设需要发现漏洞、不断改进，进而不断演化发展。建立合规体系要注重三个方面：第一，高层承诺原则是合规制度的基石，合规体系建设需要企业一把手支持；第二，合规优先于业务，当两者发生矛盾时，放弃业务，保证合规。例如西门子的口号是西门子只做合规业务，中兴公司的口号是合规创造价值。第三，合规需纳入绩效考核的一部分，从而将合规落到实处。

（一）企业不会自发建立合规机制

合规一定要建立激励机制。没有任何企业愿意自生自发建立合规机制，因为合规要投入大量的人力、物力、财力，合规会改变企业内部的治理结构，合规意味着让不创造利润的部门拥有对业务发展的否决权，这在没有外部的强烈压力和激励下是不可想象的。所以，只有建立以合规换取宽大处理的激励机制，才可以让涉案企业拥有合规的动力，才可以克服困难，才会想尽办法引入一个成本高昂，代价巨大的管理体系，才能让企业明白不建立合规就会死掉，才会建立合规，律师的合规业务才能得到增长。

到目前为止，合规实际上是一个中心，三个激励机制。一个中心是公司内部的以合规风险防控为目的的治理体系，三个激励机制指行政合规激励机制、刑法上的激励机制以及国际金融上的激励机制。

（二）行政合规激励机制

行政合规在我国刚刚兴起，指行政监管部门以三种方式推动企业建立合规体系的制度，即行政合规指导、行政合规强制、行政合规激励。

预防性监管在行政监管领域得以兴起，指以合规为手段，为有效预防违法行为再次发生而采取的监管方式。预防性监管的具体方式有三：其一是行政合规指导，指行政机关会同相关行业协会，发布相关合规的最低标准，进而指导企业建立了合规机制。例如商务部建立了进出口管制合规指引，中国银保监会制定了金融企业反洗钱合规指引，中国证监会制定证券期货企业合规指引，国家市场监管总局制定了反垄断合规指引，各省一级的市场监管部门也发布了反垄断合规指引。其二是行政合规强制，即相关监管部门强制企业建立合规，若不建立合规即构成行政违法。目前强制合规主要在两个领域出现，一是证券领域，二是网络大数据，特别是个人信息和数据安全方面。其三是行政合规激励，准予行政违法企业以合规建设换取宽大处理。例如行政执法承诺，针对对接受行政调查的企业适用，企业只要答应建立合规机制并缴纳承诺金，就给予一定的期限合规整改，如果期满验收合格，即终结相应案件。

但目前，行政合规激励主要由中央行政机关施行，地方行政机关尚未施行。

（三）刑法上的激励机制

刑事合规分为两种，即事先合规和事后合规。

事先合规指在企业涉嫌犯罪之前建立合规管理体系，发生犯罪后，以合规作为无罪或罪轻抗辩事由获取宽大处理的制度。事先合规制度主要存在于英国、西班牙、意大利这三个典型国家，美国也有实现合规制度但不出罪。我国目前持反对事先合规的态度，认为通过这种方式宽大处理没有任何的刑法责任意义。

事后合规指犯罪发生后，在刑事诉讼过程当中，企业做合规整改，引入专项合规体系，并设置一定期限的考察期，如果能达到再次预防犯罪的效果，就给予宽大处理的制度。

全世界范围内如DPA 、NPA、 PA以及我国的合规不起诉，都是事后合规激励机制。事后合规有两个独特的优势，第一，因为企业面临责任的追究，合规整改的意愿往往比较强烈，与日常性合规体系截然不同，有强烈的动力。第二，在司法机关的监督指导下做合规，由行政有相关部门的指导、监督，特别第三方监管人制度的引入，能够保障合规整改的针对性和有效性，这是企业自发的合规所不具备的。

（四）国际金融上的激励机制

这一领域涉及以世界银行为代表的国际金融合规，涉及到国际经济法里的国际金融法，还有国际金融机构，例如世界银行，亚洲发展银行、非洲发展银行、欧洲复兴银行、美洲发展银行等。中国企业出事最多的是世界银行和亚洲发展银行，非洲发展银行跟中国本没有关系，但因其总部设在巴黎，也制裁中国企业。全世界共有1000多个企业被制裁，中国企业占了80%，主要是因为贪污腐败和商业贿赂。

最高检向全国推动的刑事合规属于事后合规，即犯罪后做合规整改，以合规换取宽大处理。三年时间以来，已经有6000多个企业被纳入合规整改对象，其中2000个企业不起诉，3000个责任人不起诉。此外，中央正在推行全流程合规，将合规整改植入从立案侦查起诉到审判执行的全流程。

（一）重大单位犯罪案件能否启动合规整改

重大单位犯罪案件能否启动合规整改具有较大争议。所谓重大单位犯罪案件是指责任人可能判处三年有期徒刑以上刑罚的重大单位犯罪。对于轻微犯罪而言，如果企业启动了合规整改并验收合格，单位不起诉，责任人不起诉，这样的双重不起诉争议不大。因为原来没有合规也可以因为有认罪悔罪表现，积极退赃，赔偿被害人，采取补救措施而酌定不起诉。

但是重大责任案件如何处理饱受争议。单位犯罪原则上实行双罚，一个犯罪主体，两个刑罚对象，单位犯罪为前提，追究单位和责任人的进行刑事处罚，后果是单位和责任人均追究责任。因为追究自然人责任的前提是单位构成犯罪，如果单位无罪不起诉了，追究单位责任的前提就没了。刑法学界主要就这些问题提出了质疑，认为这种做法不符合单位犯罪的基本原理，有放纵犯罪之嫌，破坏了法律面前人人平等原则。

我们认为，重大单位犯罪案件可以纳入合规考察，并且可以只追究责任人，理由大致有三：

1.合规考察可以适用于非系统性单位犯罪。依靠单位集体意志决策的系统性单位犯罪要慎重处理，而非系统性单位犯罪单位没有犯罪的主观意志，它是由于管理漏洞制度隐患带来的管理失控，纵容了内部人员的犯罪，责任人是犯罪故意，单位是管理失控，这是主要原因。

2.合规整改本身就是惩罚。它建立了有效的合规管理体系，预防了犯罪，还可以防止出现社会的动荡。并对相关同行业的企业起到警示作用。

3.分案处理并无不当。有人认为一个案件不能拆分为两个案件，违反单位犯罪的基本原则。但我们认为分案处理也有刑法上的依据。第一，单位犯罪双罚制是原则，但不是必然。单罚制和双罚制只是追究刑事责任的两种方式。此外，例如单位犯罪在审判的时候，单位给撤销了，也是要照样审判责任人。所以这种以单罚制的方式来处理单位犯罪，有法律依据，符合区别对待的基本原理。从犯罪治理的角度来看，分案处理能有效的治理犯罪，对责任人提起公诉，可以发挥一般预防、特殊预防的作用，对责任人本人是一个威慑，对潜在的企业内部的人也是威慑。对单位做合规整改也可以发挥一般预防、特殊预防的作用，让这个企业消除再犯罪的能力，预防其再次犯罪，对同类的企业也可以产生警示作用。

（二）如何看待合规宽大处理责任人的问题

这是争议最大的问题，也是很多人反对企业合规改革的一个重要理由。有人认为，合规改革成功只能宽大处理企业，但不能宽大处理责任人。但实际上，把企业的责任人处理掉以后，企业可能就死掉了。很多企业的实际控制人往往是这个企业的灵魂人物，掌握着客户的资源，能拉来业务，把责任人处理了，企业也就支持不下去了。因此最高人民检察院就做了一个决策，合规企业宽大处理，也宽大处理责任人，三年以下的双重不起诉，三年以上的起诉到法院后宽大处理。

反对者的声音主要有两个，一个认为合规整改合格，只能宽大处理企业，不应该成为宽大处理责任人的依据。第二点，宽大处理责任人容易放纵犯罪，引发社会的争议，全世界的合规都是放过企业。保护企业有正当的理由，保护企业的目的是保护企业的员工，保护企业的股东利益相关方，保护国家利益，社会公共利益，但不应当然保护企业家。

我认为，宽大处理责任人有三个前提条件：第一，当一个企业生存经营完全取决于一个企业家的投资，对这个企业家追究刑事责任会导致企业灭顶之灾的，这可以考虑宽大处理；第二，要有从轻减轻处罚情节，除了合规以外还得有其他的减轻从轻减轻处罚情节，自首、立功、退赃等；第三，责任人一定要在企业合规整改方面作出重大的积极贡献。

（三）有效合规问题

有效合规的目标是能否有效预防相同犯罪的再次发生。衡量标准有三：其一，考察合规计划制定的有效性；其二，考察合规计划执行的有效性；其三，考察合规计划结果的有效性。

这三个有效性的概念存在很多争论，目前最大的难是点如何有效评估合规的有效性。目前有几个方法，例如随机访谈、随机审核交易记录、模拟投诉、飞行检查、穿透式检查法等。

以上是关于企业合规与社会治理话题的分享内容，仅是一家之言，谢谢各位。