刑事合規(guī)計(jì)劃基本問題探討
——以防控?cái)?shù)據(jù)安全風(fēng)險(xiǎn)為視角

文/李若玄

（西北政法大學(xué)）

隨著“一帶一路”和經(jīng)濟(jì)全球化不斷推進(jìn)，共商、共建、共享合作局面初步形成，我國(guó)越來(lái)越多的企業(yè)邁出國(guó)門，走向世界。企業(yè)合規(guī)管理涉及多領(lǐng)域多學(xué)科，尤其是企業(yè)刑事合規(guī)關(guān)乎企業(yè)的生存問題，一方面企業(yè)要關(guān)注自身內(nèi)部控制和治理，另一方面要關(guān)注治理與刑事法律、法規(guī)、政策的一致性。刑事合規(guī)計(jì)劃是連接企業(yè)內(nèi)部控制與外部刑事治理的橋梁，諸多學(xué)者已圍繞刑事責(zé)任論、刑罰論、不起訴制度、合規(guī)制度史、監(jiān)督管理義務(wù)等角度深入探討了刑事合規(guī)的相關(guān)問題，但企業(yè)合規(guī)管理最終要靠具體合規(guī)計(jì)劃來(lái)落地實(shí)施。檢察機(jī)關(guān)在探索社會(huì)治理新職能過程中也要靠有針對(duì)性的合規(guī)標(biāo)準(zhǔn)來(lái)進(jìn)行監(jiān)管。刑事合規(guī)在我國(guó)社會(huì)治理所處的地位和階段與其他國(guó)家不同，大型跨國(guó)企業(yè)與民營(yíng)企業(yè)合規(guī)管理的現(xiàn)實(shí)條件不同，本文在借鑒域外經(jīng)驗(yàn)的基礎(chǔ)上，立足于我國(guó)實(shí)踐探討企業(yè)刑事合規(guī)計(jì)劃的基本方略，針對(duì)數(shù)據(jù)安全領(lǐng)域的現(xiàn)實(shí)需要探索合規(guī)標(biāo)準(zhǔn)的具體內(nèi)容和合規(guī)計(jì)劃不同實(shí)施階段的制度措施，對(duì)企業(yè)制定具有可操作性的刑事合規(guī)計(jì)劃有一定的幫助。

一、刑事合規(guī)計(jì)劃的功能定位

（一）刑事合規(guī)計(jì)劃與企業(yè)刑事合規(guī)的關(guān)系

美國(guó)《聯(lián)邦組織量刑指南》規(guī)定，企業(yè)合規(guī)是企業(yè)進(jìn)行預(yù)防、發(fā)現(xiàn)和制止企業(yè)違法犯罪行為的內(nèi)部管理機(jī)制”。[1]但企業(yè)合規(guī)還與一般意義上的“法律風(fēng)險(xiǎn)防控”不同，合規(guī)風(fēng)險(xiǎn)是與經(jīng)營(yíng)風(fēng)險(xiǎn)、財(cái)務(wù)風(fēng)險(xiǎn)并列的三大公司治理風(fēng)險(xiǎn)之一，具有獨(dú)立的概念內(nèi)涵和構(gòu)造，企業(yè)合規(guī)是專門針對(duì)行政監(jiān)管處罰風(fēng)險(xiǎn)、刑事法律風(fēng)險(xiǎn)以及國(guó)際組織制裁風(fēng)險(xiǎn)，所建立的自我監(jiān)管、自我報(bào)告、自我預(yù)防和自我整改的公司治理體系[2]。企業(yè)刑事合規(guī)是企業(yè)合規(guī)的下位概念，也是企業(yè)合規(guī)的核心內(nèi)容[1]。有學(xué)者指出，所謂刑事合規(guī)，是指為避免因企業(yè)或企業(yè)員工相關(guān)行為給企業(yè)帶來(lái)的刑事責(zé)任，國(guó)家通過刑事政策上的正向激勵(lì)和責(zé)任歸咎，推動(dòng)企業(yè)以刑事法律的標(biāo)準(zhǔn)來(lái)識(shí)別、評(píng)估和預(yù)防公司的刑事風(fēng)險(xiǎn)，制定并實(shí)施遵守刑事法律的計(jì)劃和措施[3]。刑事合規(guī)以風(fēng)險(xiǎn)防控為價(jià)值目標(biāo)，是現(xiàn)代公司治理的一個(gè)重要企業(yè)內(nèi)部犯罪風(fēng)險(xiǎn)防控機(jī)制，通過建立機(jī)制能夠預(yù)防犯罪的合規(guī)活動(dòng)，采取各種有效合規(guī)措施，一方面使企業(yè)經(jīng)營(yíng)符合外部刑事法律規(guī)范，減少犯罪與刑罰風(fēng)險(xiǎn)，另一方面能夠有利于刑事法律預(yù)防犯罪功能的實(shí)現(xiàn)。

一個(gè)有效的刑事合規(guī)計(jì)劃可以挽救陷入犯罪風(fēng)險(xiǎn)的企業(yè)。根據(jù)《組織量刑指南》，有效合規(guī)計(jì)劃既是檢察官?zèng)Q定是否對(duì)涉案企業(yè)起訴的重要依據(jù)，也是法官對(duì)犯罪企業(yè)進(jìn)行量刑的參考因素[4]。同樣，《歐盟一般數(shù)據(jù)保護(hù)條例》（簡(jiǎn)稱GDPR）立法規(guī)定了企業(yè)的合規(guī)責(zé)任①，也承認(rèn)有效的合規(guī)計(jì)劃和道德守則可以作為減輕處罰的因素，可以在違法成立的情況下減少企業(yè)所受的懲罰?？梢姡淌潞弦?guī)是從兩方面路徑推進(jìn)構(gòu)建實(shí)施的：一是內(nèi)部控制機(jī)制，二是外部刑事法手段，內(nèi)部控制機(jī)制的核心是企業(yè)刑事合規(guī)計(jì)劃，用以預(yù)防、發(fā)現(xiàn)和制止企業(yè)違法犯罪，刑事化手段主要是將對(duì)不合規(guī)的企業(yè)予以制裁，同時(shí)對(duì)企業(yè)合規(guī)的有效性作為追訴、定罪和量刑的情節(jié)來(lái)鼓勵(lì)企業(yè)構(gòu)建合規(guī)。

（二）刑事合規(guī)計(jì)劃的功能

刑事合規(guī)計(jì)劃能夠推動(dòng)建設(shè)國(guó)家與企業(yè)犯罪共治模式，有利于國(guó)家治理體系現(xiàn)代化。合規(guī)計(jì)劃本質(zhì)上是國(guó)家規(guī)制難以起到很好的犯罪預(yù)防效果的情況下的替代措施或者補(bǔ)充舉措，即通過自我管理實(shí)現(xiàn)企業(yè)犯罪的盡早發(fā)現(xiàn)和懲治。由企業(yè)承擔(dān)部分犯罪預(yù)防的職能，系公共職能的私人化[5]。企業(yè)進(jìn)行內(nèi)部控制的同時(shí)分擔(dān)了一定的國(guó)家公共職能。一方面刑法規(guī)則的落實(shí)需要刑事合規(guī)計(jì)劃來(lái)加以具體化，另一方面企業(yè)自律的實(shí)現(xiàn)也需要合規(guī)計(jì)劃向刑事規(guī)范汲取強(qiáng)制性，合規(guī)計(jì)劃很好地連接企業(yè)自律和外部刑事規(guī)范，這樣企業(yè)能動(dòng)性與國(guó)家強(qiáng)制力之間的內(nèi)外互動(dòng)實(shí)現(xiàn)了“國(guó)家——企業(yè)”共治犯罪的效果。刑事合規(guī)計(jì)劃有利于降低企業(yè)犯罪風(fēng)險(xiǎn)，推動(dòng)建設(shè)犯罪預(yù)防的新模式。在風(fēng)險(xiǎn)社會(huì)的背景下，應(yīng)對(duì)企業(yè)面臨著的各種安全風(fēng)險(xiǎn)，僅僅依靠刑事立法和司法強(qiáng)制力的力量是不夠的。企業(yè)不能只處于被動(dòng)接受國(guó)家強(qiáng)制力的地位，而是要主動(dòng)自律，制定合規(guī)計(jì)劃、實(shí)施合規(guī)活動(dòng)，將犯罪預(yù)防的意識(shí)融入內(nèi)部的經(jīng)營(yíng)管理當(dāng)中，在內(nèi)外互動(dòng)的過程中為刑事規(guī)則提供了新的操作模式，如此合規(guī)計(jì)劃與刑法的犯罪預(yù)防機(jī)能相呼應(yīng)，大大降低了企業(yè)犯罪的風(fēng)險(xiǎn)。

二、刑事合規(guī)計(jì)劃的域外探索及我國(guó)的現(xiàn)狀分析

（一）美國(guó)的刑事合規(guī)計(jì)劃制度

早在20世紀(jì)50年代，通用電氣公司受到嚴(yán)厲的罰金刑處罰后試圖通過合規(guī)政策進(jìn)行抗辯，但最終法官不認(rèn)為其已經(jīng)采取有效的合規(guī)計(jì)劃。雖未能說(shuō)服法官，但電氣公司的一系列判決刺激了企業(yè)界實(shí)施有效的合規(guī)計(jì)劃。80年代中期，美國(guó)國(guó)防部及其簽約的供貨商深陷“虛抬采購(gòu)價(jià)格”的丑聞當(dāng)中，后來(lái)國(guó)防部鼓勵(lì)供應(yīng)商進(jìn)行合規(guī)并將自我揭弊作為企業(yè)合規(guī)計(jì)劃的核心，對(duì)于達(dá)到要求的企業(yè)，國(guó)防部承諾向司法部做出有利于企業(yè)的建議，司法部也對(duì)此回應(yīng)，在《聯(lián)邦檢察官手冊(cè)》中標(biāo)識(shí)通過起訴裁量鼓勵(lì)供應(yīng)商實(shí)施合規(guī)計(jì)劃[6]。可以說(shuō)國(guó)防工業(yè)丑聞案很大程度上推動(dòng)了企業(yè)合規(guī)計(jì)劃立法化的實(shí)現(xiàn)，也強(qiáng)調(diào)了合規(guī)計(jì)劃在刑事訴訟程序中的重要性。

1991年，美國(guó)聯(lián)邦委員會(huì)發(fā)布的《聯(lián)邦量刑指南》第八章“組織量刑指南”序言②，通過立法的形式正式賦予了合規(guī)計(jì)劃刑事法意義，開啟了企業(yè)合規(guī)刑事化的新篇章，規(guī)定了模范合規(guī)計(jì)劃應(yīng)包括以下七點(diǎn)[7]：（1）設(shè)立預(yù)防和發(fā)現(xiàn)違規(guī)行為的規(guī)則和程序；（2）高管人員、管理機(jī)構(gòu)應(yīng)熟知并監(jiān)督合規(guī)計(jì)劃的運(yùn)行，合規(guī)人員應(yīng)向監(jiān)管人員定期匯報(bào)；（3）合規(guī)部門應(yīng)當(dāng)排除有違規(guī)歷史的員工；（4）對(duì)企業(yè)所有人員進(jìn)行合規(guī)培訓(xùn)；（5）設(shè)立合規(guī)計(jì)劃評(píng)估機(jī)制和匿名舉報(bào)機(jī)制；（6）針對(duì)合規(guī)和不合規(guī)行為設(shè)立適當(dāng)?shù)莫?jiǎng)懲機(jī)制；（7）設(shè)立犯罪發(fā)生后的緊急應(yīng)對(duì)措施和預(yù)防發(fā)生類似行為的預(yù)防機(jī)制。與此相對(duì)應(yīng)的刑事法手段體現(xiàn)在：一是罰金刑方面，法院可以根據(jù)合規(guī)計(jì)劃這一指標(biāo)加減罰金數(shù)額；二是緩刑制度方面，法院應(yīng)當(dāng)對(duì)被要求建立且還沒有建立有效合規(guī)計(jì)劃的組織判處緩刑并設(shè)置5年考驗(yàn)期。在考驗(yàn)期內(nèi)，組織須向法院提交合規(guī)計(jì)劃及實(shí)施規(guī)劃，定期向法院匯報(bào)合規(guī)計(jì)劃的進(jìn)展，若違背考驗(yàn)條件法院可以延長(zhǎng)期限、加重條件或者撤銷緩刑重新量刑。

（二）其他國(guó)家的企業(yè)刑事合規(guī)計(jì)劃制度

在美國(guó)合規(guī)制度的影響下，其他西方國(guó)家先后接受并采納了合規(guī)治理機(jī)制，英國(guó)在2011年通過了《反賄賂法》，法國(guó)在2016年通過了《薩賓第二法案》，這兩個(gè)國(guó)家都在反腐敗領(lǐng)域?qū)⑵髽I(yè)合規(guī)確立為重要的刑事激勵(lì)機(jī)制，并確立了有效合規(guī)計(jì)劃的最低標(biāo)準(zhǔn)。[2]2018年意大利競(jìng)爭(zhēng)管理局發(fā)布了《反壟斷合規(guī)計(jì)劃指南》，對(duì)合規(guī)計(jì)劃的內(nèi)容做了詳細(xì)規(guī)定。

法國(guó)《薩賓第二法案》正式引入了刑事合規(guī)制度[6]，規(guī)定企業(yè)的反腐敗合規(guī)計(jì)劃應(yīng)包括：（1）明確規(guī)定禁止性行為；（2）設(shè)置員工內(nèi)部舉報(bào)系統(tǒng)；（3）設(shè)置針對(duì)業(yè)務(wù)及業(yè)務(wù)所在地的風(fēng)險(xiǎn)識(shí)別系統(tǒng)；（4）設(shè)置評(píng)估客戶和中間供應(yīng)商的程序；（5）通過內(nèi)部和外部方式進(jìn)行財(cái)務(wù)控制，防范賄賂行為；（6）對(duì)可能存在賄賂風(fēng)險(xiǎn)之下的管理人員和職工進(jìn)行培訓(xùn)；（7）設(shè)定明確的違規(guī)員工懲戒措施；（8）對(duì)已設(shè)置的合規(guī)措施進(jìn)行評(píng)估和內(nèi)部控制。與此呼應(yīng)的刑事法手段體現(xiàn)在，一是涉案企業(yè)需要在法國(guó)反腐局的監(jiān)督下5年內(nèi)完成強(qiáng)制性合規(guī)計(jì)劃構(gòu)建義務(wù)，不履行或阻礙履行的將構(gòu)成刑事犯罪，企業(yè)的高管人員可能會(huì)被判處自由刑和罰金刑。二是檢察官可以與企業(yè)簽訂緩起訴協(xié)議，建立或完善合規(guī)計(jì)劃，預(yù)防再次發(fā)生類似行為。

意大利競(jìng)爭(zhēng)管理局發(fā)布的《反壟斷合規(guī)計(jì)劃指南》規(guī)定了合規(guī)計(jì)劃的構(gòu)建[6]，規(guī)定反壟斷合規(guī)計(jì)劃應(yīng)包括：（1）合規(guī)應(yīng)當(dāng)作為企業(yè)文化和政策的一部分；（2）設(shè)立反壟斷風(fēng)險(xiǎn)確定和評(píng)估機(jī)制；（3）對(duì)企業(yè)員工進(jìn)行反壟斷知識(shí)培訓(xùn)；（4）設(shè)立應(yīng)對(duì)風(fēng)險(xiǎn)的程序管理體系；（5）設(shè)立激勵(lì)合規(guī)的機(jī)制；（6）對(duì)合規(guī)體系持續(xù)檢查和完善。與此相呼應(yīng)的刑事法手段體現(xiàn)在根據(jù)合規(guī)計(jì)劃的有效性予以不同程度的減少罰款。

（三）刑事合規(guī)計(jì)劃在我國(guó)的現(xiàn)狀分析

實(shí)際上，我國(guó)刑法和行政法規(guī)在很多條文中都有關(guān)于企業(yè)安保義務(wù)的規(guī)定，比如在網(wǎng)絡(luò)安全領(lǐng)域，依據(jù)《網(wǎng)絡(luò)安全法》，網(wǎng)絡(luò)運(yùn)營(yíng)者在網(wǎng)絡(luò)運(yùn)行安全和網(wǎng)絡(luò)信息安全方面有一系列法律義務(wù)?！缎谭ā芳八痉ń忉寣?duì)拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)、非法利用信息網(wǎng)絡(luò)、幫助信息網(wǎng)絡(luò)犯罪活動(dòng)進(jìn)行了規(guī)定，從另一個(gè)側(cè)面體現(xiàn)了網(wǎng)絡(luò)服務(wù)商的數(shù)據(jù)安全責(zé)任，這些規(guī)定也是有關(guān)企業(yè)合規(guī)計(jì)劃制定、實(shí)施和監(jiān)督的重要參考。再如在生產(chǎn)安全領(lǐng)域，刑法修正案（十一）第4條，在刑法第134條后增加在生產(chǎn)、作業(yè)中違反有關(guān)安全管理規(guī)定的情形，提示相關(guān)企業(yè)在安全設(shè)備、安全信息、排除危險(xiǎn)的措施和規(guī)范行政審批等方面進(jìn)行合規(guī)管理。

在我國(guó)企業(yè)經(jīng)營(yíng)管理的發(fā)展過程中，具有當(dāng)代合規(guī)涵義的實(shí)踐可以追溯到2002年中國(guó)銀行總行“法律事務(wù)部”更名為“法律與合規(guī)部”，設(shè)首席合規(guī)官[7]。此后，我國(guó)大型商業(yè)銀行陸續(xù)開展合規(guī)風(fēng)險(xiǎn)管理事務(wù)，隨后2005年上海銀監(jiān)局制定了《上海銀行行業(yè)金融機(jī)構(gòu)合規(guī)風(fēng)險(xiǎn)管理機(jī)制建設(shè)的指導(dǎo)意見》，2006年中國(guó)銀監(jiān)會(huì)出臺(tái)了《商業(yè)銀行合規(guī)風(fēng)險(xiǎn)管理指引》，在國(guó)內(nèi)銀行業(yè)開始了合規(guī)管理。合規(guī)實(shí)踐逐漸在上市公司面臨較大風(fēng)險(xiǎn)的金融業(yè)和保險(xiǎn)業(yè)開展，但隨著企業(yè)業(yè)務(wù)的全球化擴(kuò)展，我國(guó)跨國(guó)企業(yè)頻頻因不夠規(guī)范被制裁（如2018年中興受美國(guó)制裁事件、湖南建工集團(tuán)受世界銀行制裁等），可見我國(guó)企業(yè)的合規(guī)程度還未得到國(guó)際社會(huì)的普遍認(rèn)可，建立和推動(dòng)合規(guī)計(jì)劃仍是多數(shù)企業(yè)未來(lái)發(fā)展的重要方向。

2016年國(guó)務(wù)院國(guó)資委把中國(guó)石油、中國(guó)移動(dòng)、東方電氣集團(tuán)、招商局集團(tuán)、中國(guó)中鐵物價(jià)企業(yè)列為合規(guī)試點(diǎn)單位，這些中央企業(yè)的合規(guī)管理應(yīng)依照2018年11月2日國(guó)資委印發(fā)的《中央企業(yè)合規(guī)管理指引（試行）》規(guī)定的最高標(biāo)準(zhǔn)，包括制度規(guī)定、風(fēng)險(xiǎn)識(shí)別、合規(guī)審查、風(fēng)險(xiǎn)應(yīng)對(duì)、責(zé)任追究、考核評(píng)價(jià)、合規(guī)培訓(xùn)等有組織、有計(jì)劃的管理活動(dòng)。在后疫情時(shí)代，民營(yíng)企業(yè)面臨著疫情帶來(lái)的困難，隨之而來(lái)的是一些不規(guī)范的應(yīng)急措施，比如虛開增值稅專用發(fā)票等，檢察機(jī)關(guān)通過合規(guī)不起訴引導(dǎo)企業(yè)制定合規(guī)計(jì)劃，[8]但民營(yíng)企業(yè)有限的規(guī)模和經(jīng)營(yíng)范圍意味著民營(yíng)企業(yè)的合規(guī)達(dá)不到中央企業(yè)合規(guī)的高標(biāo)準(zhǔn)，因此在員工培訓(xùn)、舉報(bào)機(jī)制、合規(guī)體系建設(shè)等方面需要降低一定標(biāo)準(zhǔn)，具體標(biāo)準(zhǔn)還需根據(jù)企業(yè)自身運(yùn)營(yíng)情況予以總結(jié)。我國(guó)目前尚未建立專門的企業(yè)合規(guī)程序分流激勵(lì)機(jī)制，但在個(gè)別試點(diǎn)地區(qū)開展了企業(yè)合規(guī)與刑事訴訟法不起訴制度相關(guān)聯(lián)的探索，有效的合規(guī)計(jì)劃是采取不起訴或暫緩起訴等程序分流的重要參考因素。例如2020年3月，江蘇省張家港市檢察院被確定為試點(diǎn)單位后，高標(biāo)準(zhǔn)建設(shè)了企業(yè)合規(guī)法治護(hù)航中心，積極探索開展企業(yè)合規(guī)檢察監(jiān)督，將涉案企業(yè)之前的合規(guī)體系建設(shè)情況、企業(yè)責(zé)任人合規(guī)表現(xiàn)等納入是否起訴和量刑建議考量情節(jié)，探索將合規(guī)建設(shè)從企業(yè)涉嫌犯罪“事后合規(guī)”向“事前合規(guī)”推進(jìn)。[9]

三、企業(yè)刑事合規(guī)計(jì)劃的制定與實(shí)施

（一）刑事合規(guī)計(jì)劃的要素

以湖南J集團(tuán)為例，由于該集團(tuán)在參加由世界銀行資助的一起道路返修項(xiàng)目的競(jìng)標(biāo)時(shí)虛構(gòu)獲獎(jiǎng)材料，后被世界銀行予以附加解除條件的制裁，這里的條件就是在三年內(nèi)重建合規(guī)計(jì)劃。J集團(tuán)以此為契機(jī)建立了受到世界銀行認(rèn)可的合規(guī)計(jì)劃，該計(jì)劃就包含有以下具體內(nèi)容：設(shè)立獨(dú)立的誠(chéng)信合規(guī)委員會(huì)（直接向董事會(huì)負(fù)責(zé)）、設(shè)立首席合規(guī)官（CCO）由法務(wù)總監(jiān)擔(dān)任、設(shè)立單獨(dú)的法律與合規(guī)部門、引入內(nèi)部員工和第三方的合規(guī)舉報(bào)制度等。

陳瑞華教授在《企業(yè)合規(guī)的基本問題》一文中提出，一個(gè)有效的合規(guī)計(jì)劃一般包含合規(guī)憲章、合規(guī)的組織體系、合規(guī)政策、合規(guī)的程序四項(xiàng)基本要素。[10]具體來(lái)說(shuō)，合規(guī)憲章是具有最高效力的宣言性文件，即本企業(yè)禁止一切違法違規(guī)行為的宣誓；合規(guī)的組織體系是指應(yīng)在企業(yè)內(nèi)部設(shè)立獨(dú)立、權(quán)威、享有必要資源和信息暢通的合規(guī)機(jī)構(gòu)；合規(guī)政策是指對(duì)風(fēng)險(xiǎn)點(diǎn)和特殊風(fēng)險(xiǎn)領(lǐng)域準(zhǔn)確識(shí)別后的應(yīng)對(duì)方案，包括合規(guī)管理指引和員工手冊(cè)；合規(guī)的程序是包括防范體系、識(shí)別體系、應(yīng)對(duì)體系在內(nèi)的具體程序體系，其中防范體系包括合規(guī)風(fēng)險(xiǎn)評(píng)估、合規(guī)盡職調(diào)查、合規(guī)報(bào)告制度和合規(guī)培訓(xùn)；識(shí)別體系則要求合規(guī)計(jì)劃有風(fēng)險(xiǎn)預(yù)警功能：包括定期合規(guī)報(bào)告制度、匿名舉報(bào)制度、巡回合規(guī)檢查制度；應(yīng)對(duì)體系要求及時(shí)進(jìn)行合規(guī)內(nèi)部調(diào)查、有效配合調(diào)查、及時(shí)報(bào)告合規(guī)體系的漏洞以及合規(guī)計(jì)劃的缺陷和不足、及時(shí)進(jìn)行獎(jiǎng)懲措施等。

（二）刑事合規(guī)計(jì)劃的標(biāo)準(zhǔn)

有效合規(guī)計(jì)劃的標(biāo)準(zhǔn)為檢察機(jī)關(guān)在確定企業(yè)是否具有“合規(guī)意思”并提交合格有效的合規(guī)計(jì)劃時(shí)提供了重要參考。提供企業(yè)合規(guī)設(shè)置與實(shí)施狀況的最低標(biāo)準(zhǔn)，為法官在量刑裁量過程中評(píng)估企業(yè)合規(guī)的真實(shí)性與有效性提供了法律依據(jù)和客觀標(biāo)準(zhǔn)。[11]數(shù)據(jù)公司涉嫌實(shí)施違法犯罪行為，主要會(huì)涉及危害網(wǎng)絡(luò)安全和侵犯?jìng)€(gè)人信息，針對(duì)該犯罪類型，檢察機(jī)關(guān)必須要制定專門性的企業(yè)合規(guī)管理指引（如數(shù)據(jù)保護(hù)合規(guī)指引）來(lái)適用不起訴制度，特定行業(yè)的合規(guī)計(jì)劃標(biāo)準(zhǔn)也是檢察機(jī)關(guān)對(duì)企業(yè)進(jìn)行合規(guī)監(jiān)管的參考。

不同規(guī)模、不同發(fā)展階段、不同領(lǐng)域的企業(yè)有效合規(guī)計(jì)劃的標(biāo)準(zhǔn)是不同的，除了要防范一般風(fēng)險(xiǎn)，還要針對(duì)企業(yè)所在行業(yè)作出專門性計(jì)劃。本文以數(shù)據(jù)安全領(lǐng)域的企業(yè)合規(guī)計(jì)劃為例，有效標(biāo)準(zhǔn)包括十一個(gè)具體項(xiàng)目，具體如下：

（1）企業(yè)應(yīng)建立合規(guī)政策和員工行為準(zhǔn)則。企業(yè)要根據(jù)刑法和網(wǎng)絡(luò)安全相關(guān)行政法規(guī)的規(guī)定，確立書面的個(gè)人信息保護(hù)、數(shù)據(jù)保護(hù)和網(wǎng)絡(luò)信息安全管理的合規(guī)政策，根據(jù)政策和道德準(zhǔn)則制定不同崗位員工的行為守則，明確表達(dá)企業(yè)對(duì)違規(guī)行為的禁止態(tài)度，清晰界定企業(yè)經(jīng)營(yíng)的范圍。

（2）企業(yè)應(yīng)設(shè)立獨(dú)立的合規(guī)機(jī)構(gòu)和首席合規(guī)官。合規(guī)官應(yīng)當(dāng)有一定的權(quán)威性，暢通直接與董事會(huì)溝通的信息渠道，須負(fù)責(zé)對(duì)高管人員行為守則遵守情況的監(jiān)督。

（3）企業(yè)應(yīng)明確高管人員企業(yè)的監(jiān)管職責(zé)與標(biāo)準(zhǔn)。針對(duì)高管人員的培訓(xùn)，重點(diǎn)是合規(guī)制度建設(shè)和相關(guān)法律法規(guī)，明確主管業(yè)務(wù)的監(jiān)督管理義務(wù)。企業(yè)還應(yīng)禁止向個(gè)人授予重大自主決定權(quán)。

（4）企業(yè)應(yīng)向所有員工有效普及企業(yè)的合規(guī)政策和標(biāo)準(zhǔn)。確保所有員工有效了解合規(guī)政策，發(fā)放員工手冊(cè)，簽署合規(guī)承諾，定期接受合規(guī)培訓(xùn)并直接與績(jī)效掛鉤。

（5）企業(yè)應(yīng)在數(shù)據(jù)采集和數(shù)據(jù)保存環(huán)節(jié)采取相應(yīng)保護(hù)措施。企業(yè)獲取公民個(gè)人信息應(yīng)取得被收集者的同意或授權(quán)，應(yīng)嚴(yán)格遵循信息收集必要性原則，信息收集范圍應(yīng)與產(chǎn)品或服務(wù)有直接關(guān)聯(lián)性。企業(yè)在保存和傳輸數(shù)據(jù)時(shí)應(yīng)采取嚴(yán)格加密措施。

（6）企業(yè)應(yīng)對(duì)高管人員和業(yè)務(wù)合作伙伴進(jìn)行充分的盡職調(diào)查。防范有前科的高管人員，防范上游數(shù)據(jù)提供方和下游數(shù)據(jù)使用方違法違規(guī)使用數(shù)據(jù)帶來(lái)刑事法律風(fēng)險(xiǎn)。

（7）企業(yè)應(yīng)建立合理措施以實(shí)現(xiàn)企業(yè)標(biāo)準(zhǔn)下的合規(guī)。設(shè)立有效的違規(guī)舉報(bào)制度，包括暢通的舉報(bào)渠道、舉報(bào)獎(jiǎng)勵(lì)制度和舉報(bào)保密制度。

（8）企業(yè)應(yīng)設(shè)立調(diào)查機(jī)制。企業(yè)可以利用內(nèi)部審計(jì)系統(tǒng)來(lái)檢測(cè)員工，預(yù)防違法違規(guī)行為發(fā)生，也可以通過雇傭外部調(diào)查者進(jìn)行調(diào)查，發(fā)現(xiàn)公司潛在問題，生成調(diào)查報(bào)告。

（9）企業(yè)應(yīng)設(shè)立適當(dāng)?shù)膬?nèi)部制裁機(jī)制，對(duì)違法企業(yè)合規(guī)計(jì)劃的所有人（包括高管人員和普通員工）應(yīng)有程度相當(dāng)?shù)募o(jì)律處分措施，嚴(yán)格貫徹執(zhí)行合規(guī)標(biāo)準(zhǔn)，情節(jié)嚴(yán)重的應(yīng)向執(zhí)法部門報(bào)告違法情況，進(jìn)行違規(guī)披露。

（10）企業(yè)應(yīng)設(shè)立合規(guī)體系，包括風(fēng)險(xiǎn)識(shí)別、評(píng)估、應(yīng)對(duì)體系。合規(guī)體系下各部門應(yīng)當(dāng)相互配合，當(dāng)合規(guī)監(jiān)管部門發(fā)現(xiàn)制度漏洞提出整改要求后，各部門應(yīng)做出相應(yīng)調(diào)整方案，配合調(diào)查和整改。

（11）企業(yè)應(yīng)設(shè)立預(yù)防犯罪的措施和發(fā)現(xiàn)犯罪后的應(yīng)急程序。在犯罪發(fā)生之前，對(duì)于內(nèi)部人員資產(chǎn)被凍結(jié)等事件要啟動(dòng)預(yù)警程序，及時(shí)排查是否與企業(yè)相關(guān)聯(lián)。在犯罪行為發(fā)生后要主動(dòng)報(bào)告犯罪行為，固定相關(guān)證據(jù)，配合司法機(jī)關(guān)調(diào)查。

（三）刑事合規(guī)計(jì)劃的實(shí)施

1.風(fēng)險(xiǎn)識(shí)別與風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)識(shí)別要求準(zhǔn)確定位企業(yè)可能面臨的一般刑事風(fēng)險(xiǎn)和特殊刑事風(fēng)險(xiǎn)，前者是企業(yè)在經(jīng)營(yíng)過程中都會(huì)遇到的風(fēng)險(xiǎn)，如商業(yè)賄賂。后者是針對(duì)企業(yè)業(yè)務(wù)的特殊性所產(chǎn)生的風(fēng)險(xiǎn)，比如在數(shù)據(jù)安全領(lǐng)域。我國(guó)刑法設(shè)立數(shù)據(jù)安全相關(guān)的罪名有：一是危害計(jì)算機(jī)信息系統(tǒng)安全犯罪，包括非法侵入計(jì)算機(jī)信息系統(tǒng)罪和破壞計(jì)算機(jī)信息系統(tǒng)罪；二是侵犯公民信息安全類犯罪，包括侵犯公民個(gè)人信息罪、拒不履行信息網(wǎng)絡(luò)安全管理義務(wù)罪、非法利用信息網(wǎng)絡(luò)罪以及幫助信息網(wǎng)絡(luò)犯罪活動(dòng)罪。有些企業(yè)就有數(shù)據(jù)泄露、侵犯公民個(gè)人信息的風(fēng)險(xiǎn)。企業(yè)需要在各業(yè)務(wù)單元、業(yè)務(wù)流程和各經(jīng)營(yíng)活動(dòng)中識(shí)別有哪些風(fēng)險(xiǎn)，并提交風(fēng)險(xiǎn)識(shí)別報(bào)告，研究制定和實(shí)施降低風(fēng)險(xiǎn)的措施，進(jìn)而進(jìn)行風(fēng)險(xiǎn)評(píng)估。需要強(qiáng)調(diào)的是，數(shù)據(jù)安全犯罪還伴隨著其他下游犯罪，比如電信詐騙、敲詐勒索等。企業(yè)在運(yùn)營(yíng)過程中需要定期和不定期地對(duì)存在的合規(guī)風(fēng)險(xiǎn)進(jìn)行識(shí)別和評(píng)估。風(fēng)險(xiǎn)評(píng)估應(yīng)當(dāng)堅(jiān)持全面、客觀、準(zhǔn)確的原則，將可能造成的損失作為評(píng)估重點(diǎn)。評(píng)估過程要區(qū)別不同主體，一是主管人員與普通員工的風(fēng)險(xiǎn)不同，根據(jù)我國(guó)刑法對(duì)單位犯罪的規(guī)定，將單位與自然人犯罪列為并列的主體，但實(shí)踐中多為單位主管人員或直接負(fù)責(zé)人員承擔(dān)刑事責(zé)任。這就意味著主管人員是推動(dòng)建設(shè)企業(yè)合規(guī)的關(guān)鍵力量，必須積極地履行監(jiān)督管理義務(wù)。二是根據(jù)不同分工，數(shù)據(jù)的獲取者、儲(chǔ)存者、傳輸者、使用者承擔(dān)的風(fēng)險(xiǎn)不同，比如在傳輸過程中最迫切的是數(shù)據(jù)泄露，在收集信息時(shí)需要關(guān)注的是非法獲取問題。風(fēng)險(xiǎn)評(píng)估作為風(fēng)險(xiǎn)定位后的整理環(huán)節(jié)要對(duì)所識(shí)別的風(fēng)險(xiǎn)進(jìn)行描述、分類，分析其原因、影響和潛在后果并整理生成評(píng)估結(jié)果，該結(jié)果就是制定合規(guī)計(jì)劃的指引。

2.合規(guī)計(jì)劃執(zhí)行與保障措施

合規(guī)計(jì)劃所包含的具體內(nèi)容如前文所述，制定并公示合規(guī)政策、行為準(zhǔn)則和其他要求就成為了合規(guī)計(jì)劃執(zhí)行的前提?！笆胤ǖ那疤崾侵ā保髽I(yè)需要通過培訓(xùn)和交流等方式“解釋”刑事合規(guī)準(zhǔn)則，確保員工充分理解并遵守規(guī)定。具體來(lái)說(shuō)，企業(yè)可以針對(duì)不同崗位的員工進(jìn)行有針對(duì)性的合規(guī)培訓(xùn)，針對(duì)全體員工則進(jìn)行普遍性的合規(guī)培訓(xùn)，針對(duì)主管人員進(jìn)行監(jiān)督管理培訓(xùn)，以幫助所有員工了解法律法規(guī)和內(nèi)部規(guī)章制度。合規(guī)培訓(xùn)的根本目的是提高企業(yè)內(nèi)人員的合規(guī)意識(shí),樹立最高誠(chéng)信道德標(biāo)準(zhǔn),進(jìn)而引導(dǎo)個(gè)體行為,使其主動(dòng)遵守合規(guī)的要求,從而避免各個(gè)刑事法律風(fēng)險(xiǎn)點(diǎn)。最為重要的是,要對(duì)員工進(jìn)行持續(xù)的溝通和指導(dǎo),解答在實(shí)踐中有關(guān)合規(guī)管理的疑問和難題,將誠(chéng)信和合規(guī)理念融于員工的思維之中，從而形成一種企業(yè)合規(guī)文化。

合規(guī)管理機(jī)構(gòu)是執(zhí)行合規(guī)計(jì)劃的主體，負(fù)責(zé)合規(guī)計(jì)劃的執(zhí)行與合規(guī)政策的貫徹，這就需要公司有一套上下一體的合規(guī)組織結(jié)構(gòu)。企業(yè)應(yīng)根據(jù)自身的業(yè)務(wù)性質(zhì)、范圍、監(jiān)管要求等設(shè)置相應(yīng)的合規(guī)管理機(jī)構(gòu)和首席合規(guī)官，同時(shí)要保證合規(guī)官在企業(yè)內(nèi)部的地位和權(quán)威，明確角色與職責(zé)以及與其他部門的關(guān)系等。首席合規(guī)官應(yīng)保持最大限度的獨(dú)立性，由專職人員擔(dān)任，并及時(shí)向董事會(huì)報(bào)告，公司在所有分支機(jī)構(gòu)和職能部門都應(yīng)設(shè)立合規(guī)部門，合規(guī)部門應(yīng)接受公司合規(guī)委員會(huì)和首席合規(guī)官的直接領(lǐng)導(dǎo)。這樣既可以防止不必要的利益沖突，也能夠確保合規(guī)部門獨(dú)立地識(shí)別合規(guī)風(fēng)險(xiǎn)。

設(shè)置合理的考核、舉報(bào)機(jī)制是合規(guī)計(jì)劃執(zhí)行的有力保障。要保障企業(yè)合規(guī)計(jì)劃的有效執(zhí)行就需要考評(píng)員工的合規(guī)表現(xiàn)，將接受合規(guī)培訓(xùn)納入員工績(jī)效，從業(yè)績(jī)與合規(guī)性兩個(gè)方面對(duì)管理者和員工進(jìn)行全面的考核，以此提升合規(guī)執(zhí)行力。企業(yè)應(yīng)當(dāng)建立有效的違規(guī)舉報(bào)制度，任何員工都應(yīng)有機(jī)會(huì)并能便利地向合規(guī)部門進(jìn)行舉報(bào)（比如通過匿名電子郵件、匿名舉報(bào)熱線等），以便反映公司運(yùn)營(yíng)中存在的違規(guī)行為，這種舉報(bào)應(yīng)得到及時(shí)高效的處理和獎(jiǎng)勵(lì)并確保其保密性。當(dāng)員工意圖違規(guī)時(shí)知道自己的行為處于眾多員工的監(jiān)督之下，而且可能隨時(shí)被舉報(bào)時(shí)，他們的違規(guī)行動(dòng)會(huì)受到約束。

3.風(fēng)險(xiǎn)應(yīng)對(duì)與合規(guī)計(jì)劃的監(jiān)測(cè)和再評(píng)估

風(fēng)險(xiǎn)應(yīng)對(duì)體系，包括犯罪行為發(fā)生前、犯罪行為發(fā)生后、司法機(jī)關(guān)調(diào)查三個(gè)階段。犯罪行為發(fā)生前，通過財(cái)務(wù)、審計(jì)等內(nèi)部系統(tǒng)對(duì)員工進(jìn)行監(jiān)測(cè)，重點(diǎn)監(jiān)測(cè)有違規(guī)前科的員工，對(duì)存在違規(guī)行為的員工進(jìn)行相應(yīng)的紀(jì)律處分，對(duì)于出現(xiàn)特定情形（員工賬戶凍結(jié)、高管被限制出境）需要對(duì)此及時(shí)診斷，防止風(fēng)險(xiǎn)進(jìn)一步擴(kuò)大。犯罪行為發(fā)生后，應(yīng)主動(dòng)向司法機(jī)關(guān)披露犯罪行為，積極收集無(wú)罪、罪輕的證據(jù)。在司法機(jī)關(guān)調(diào)查階段，積極配合調(diào)查，分析違規(guī)行為的原因，了解涉嫌罪名和可能受到的刑事處罰，爭(zhēng)取將刑事?lián)p害降至最低。合規(guī)計(jì)劃是動(dòng)態(tài)的，實(shí)時(shí)監(jiān)測(cè)機(jī)制是企業(yè)刑事合規(guī)的重要組成部分。合規(guī)計(jì)劃監(jiān)測(cè)機(jī)制首先是對(duì)人的監(jiān)測(cè)，對(duì)主管人員和合作方進(jìn)行充分盡職調(diào)查，警惕外來(lái)刑事風(fēng)險(xiǎn)；對(duì)其他業(yè)務(wù)主管人員進(jìn)行財(cái)務(wù)、審計(jì)監(jiān)測(cè)，警惕內(nèi)部人員犯罪。其次還需對(duì)企業(yè)合規(guī)體系的運(yùn)轉(zhuǎn)情況進(jìn)行全面有效的實(shí)時(shí)監(jiān)測(cè)，對(duì)于合規(guī)管理部門發(fā)現(xiàn)的制度漏洞和結(jié)構(gòu)性缺陷，各部門應(yīng)予以配合，快速及時(shí)地加以整改和完善。因此實(shí)施監(jiān)測(cè)應(yīng)貫穿于企業(yè)的各個(gè)環(huán)節(jié)和各項(xiàng)活動(dòng)。既要對(duì)主管人員和普通員工在其職責(zé)范圍內(nèi)的每項(xiàng)業(yè)務(wù)活動(dòng)是否存在違規(guī)行為進(jìn)行可持續(xù)控制管理,也要對(duì)公司運(yùn)營(yíng)過程是否存在違規(guī)行為進(jìn)行雙重審查。

合規(guī)計(jì)劃的再評(píng)估對(duì)合規(guī)效果進(jìn)行整體性評(píng)價(jià)，也是一個(gè)企業(yè)自我審視的過程，可以是自我評(píng)估，也可以是引入第三方專業(yè)評(píng)估。評(píng)估內(nèi)容包括：一是合規(guī)計(jì)劃與企業(yè)業(yè)務(wù)經(jīng)營(yíng)的融合度；二是合規(guī)計(jì)劃的有效性；三是防控刑事犯罪風(fēng)險(xiǎn)事件的情況；四是合規(guī)工作在企業(yè)經(jīng)營(yíng)管理中的地位和功能；五是監(jiān)督管理人員履行監(jiān)管義務(wù)的情況；六是根據(jù)行政機(jī)關(guān)或司法機(jī)關(guān)的建議整改情況等。

四、結(jié)語(yǔ)

經(jīng)濟(jì)社會(huì)的高質(zhì)量發(fā)展離不開企業(yè)的合規(guī)管理，隨著我國(guó)對(duì)外開放水平不斷提升，合規(guī)管理也成為了企業(yè)走出去的通行證。推進(jìn)企業(yè)合規(guī)工作，是落實(shí)習(xí)近平新時(shí)代中國(guó)特色社會(huì)主義思想和習(xí)近平法治思想的重要舉措，是政治性極強(qiáng)的業(yè)務(wù)工作，需要有關(guān)各方全力以赴共同抓落實(shí)。在落實(shí)合規(guī)管理的過程中要準(zhǔn)確把握矛盾的普遍性與特殊性關(guān)系原理，既要有一個(gè)適用于所有企業(yè)的模式，也要根據(jù)不同領(lǐng)域的特點(diǎn)確定合規(guī)標(biāo)準(zhǔn)，同時(shí)符合各行業(yè)的監(jiān)管要求，進(jìn)一步完善企業(yè)合規(guī)制度建設(shè)。

注釋

①對(duì)全球范圍內(nèi)的企業(yè)而言,企業(yè)用戶的數(shù)據(jù)安全、隱私保護(hù),企業(yè)的業(yè)務(wù)流程、運(yùn)營(yíng)機(jī)制、信息技術(shù)系統(tǒng)、戰(zhàn)略布局,均需要在數(shù)據(jù)保護(hù)合規(guī)的框架下重現(xiàn)規(guī)劃.

②本章旨在維持預(yù)防、發(fā)現(xiàn)和舉報(bào)犯罪的內(nèi)在機(jī)制,使對(duì)組織及其代理人的制裁總體上能夠提供公正的懲罰、足夠的威懾和對(duì)組織的激勵(lì).”此處的激勵(lì)措施主要包括罰金刑的減輕以及企業(yè)緩刑.