◆梁雅丽

在我国，全面推进企业合规改革是由企业涉案为起点的，因此这项改革由检察机关率先部署，从2020年3月的6个检察院试点，到2021年3月扩大到27个市级检察院165个基层检察院，再到2022年春，涉案企业合规改革已经在全国检察机关铺开。

涉案企业合规改革存在协同推进力度不足问题

在此过程中，围绕有关试点工作方案、建立涉案企业合规第三方监督评估机制及人员选任管理等，最高检等多个部门持续出台实施规则；同时，最高检先后发布两批企业刑事合规典型案例，涉及环境污染犯罪、重大责任事故等罪名，从而不断为涉案企业合规改革提供规范补给和经验支持。

但是，从最高司法机关的自我经验总结来看，涉案企业合规改革也存在各主体协同推进力度不足的问题，其中一项重要原因就在于法律依据明显不足。

当前刑法、刑诉法等法律中尚未纳入企业刑事合规的概念，实施程序及法律效果均未成文化，这也使得企业合规的价值理念尚未深入人心，甚至一些企业、律师及各机关部门对企业合规的理解也存在误区。

或者对合规整改的从宽效果有过高期待，或者不接受、不认可企业合规作为争取从宽处理的情节，对涉案企业合规的两极化误解都阻碍着改革进行。

除了法律和观念的滞后外，其他机关受理案件分身乏术，也是涉案企业合规推进力度不足的重要原因。刑事合规一定程度上延伸了司法服务范围，而当前司法机关案多人少的问题突出，执行动力和空间都受到限制。

而在刑事法律及配套规范体系难以立即出台完备的情况下，行业自律成为推进合规改革的有效助力。

企业合规管理体系建设的国际标准借鉴

目前主流观点认为，企业刑事合规是指企业通过建立有效的防范刑事犯罪的规章制度，预防企业及其员工实施犯罪，或者犯罪后通过建立有效的刑事合规制度，从而减轻犯罪危害后果，挽救经济损失，从而获得相对不起诉附加条件不起诉或者减轻刑罚处罚的制度。

而合规本身尽管与风控、风险防范相近，但相比被动应对风险，合规更强调一个组织主动进行自我规范，形成遵守法律、规章、规则和道德的管理体系，实则对企业提出了更高层次的要求。

不论是国际视野还是国内语境，合规体系都成为企业乃至任何一个组织不可缺少的生存保障。

2021年4月，国际标准化组织（ISO）出台了ISO37301合规管理体系要求及使用指南，代替2014年的合规管理体系指南，为各类组织提高自身合规管理能力提供系统化方法，也为监管机构和司法机构采信、评估组织的合规整改计划、合规管理体系提供了参考依据。

同时，ISO37301也为便利全球范围内相关方之间的贸易、交流提供了通用规则，降低交易成本。

根据ISO37301，将合规管理体系的通用要素归纳为组织环境、领导作用、策划、支持、运行、绩效评价以及改进等七点。首先，组织环境是整个合规管理体系建立的背景，不论是企业经营还是合规都离不开法律、制度、规则的约束。

然后是企业领导层的指引、治理和文化培育，这是启动并运作管理体系的前提。接下来，通过企业合规的策划，预测潜在的情形和后果，设立目标并采取措施实现目标；通过支持，使得合规管理体系能够得到企业各层级的认可和维护，保障有效执行；在策划和支持的基础上，实现企业合规管理体系的自动化运行并形成反馈。最后通过监测以及改进，形成一个不断自我学习、自我更新的管理体系。

ISO37301规定了组织建立、运行、维护和改进合规管理体系的要求，并提供了使用指南，适用于全球任何类型、规模、性质和行业的组织。目前ISO37301已经被转化为我国中小企业的本土化标准，更贴合我国重点面向中小企业推行合规的司法环境。

企业合规管理体系的有效性评价与标准本土化

就涉案企业合规改革而言，程序规范考虑的重点并不在于企业合规管理体系如何建成，而在于合规管理体系是否具备有效性。因此，不论是对理论、立法还是实践，合规管理体系的有效性评价都是一个重要议题。

根据域外经验，合规管理体系有效性的审查在于设计、执行、效果三个环节。设计环节，主要考察合规管理体系文件和制度的可行性、适当性以及落实情况；执行环节，审查实施合规管理体系的条件、保障、能力是否充分；效果环节，则主要审查是否形成合规文化，获得持续发展的能力。

在ISO37301及域外经验的借鉴基础上，2022年5月，《中国中小企业协会团体标准：中小企业合规管理体系有效性评价》（以下简称《标准》）正式发布，成为我国首部关于中小企业合规管理体系有效性评价的团体标准，对中小企业合规管理体系的评价方法、评价流程、评价指标等提供了全面、细致的规范标准，是中小企业合规建设领域的一项创新性举措。

《标准》显示出有效性评价关注的是企业合规管理体系的四个方面内容，包括机构设置和职责配置，合规风险识别，合规风险应对和持续改进，以及合规文化建设。相比ISO37301的要求更加简明，更加适合中小微企业的应用。

第一，机构设置和职责配置方面，要求企业设置合规管理机构，包括合规领导机构（董事会或专设合规领导小组）合规管理第一责任人（法定代表人或实控人）以及合规管理机构（合规管理部门或合规专员）。

对此，有效性的基本标准是合规管理机构具备适当性、独立性和权威性。也就是说企业的合规管理机构在履职中能及时并适当地运行，同时合规部门能够独立履行合规管理职责，并且合规部门在企业内部具有实权和权威，能够发挥实际作用，影响相关决策和执行。

第二，合规风险识别是合规实操的首要步骤，厘清企业及员工能做什么、不能做什么，以及所有业务活动的风险。合规风险识别又包含合规义务识别机制、合规风险评估和分级机制两部分。二者都要求与企业的业务活动、产品和服务紧密关联。因此，合规并不是单独的管理活动，而是要渗透并影响企业业务经营。

第三，合规风险应对和持续改进，这是合规活动最主要的方面，《标准》将其分为五个部分。

一是合规风险应对机制，也就是根据合规评估和分级的结果，设置合规风险应对责任人、应对措施、应对流程，同步还要设置记录与沟通、监督与检查机制，以及针对突发合规事件的应对预案。

二是合规风险日常监测机制，包括日常监测合规风险的机构、方法、措施、频率、信息来源、操作流程等，并且要明确监控重点人员、重点岗位和重点环节。

三是违规行为举报机制，包括受理举报的机构、举报渠道、信息保密制度、举报人保护制度、举报处置流程等。

四是合规报告机制，包括合规报告的对象、内容、形式、周期、流程等，并且要求合规报告具有真实性、客观性和全面性。

五是持续改进机制，包括制定合规整改措施和违规问责制度，持续调整或更新管控措施，确保合规管理与企业实际情况相适应。

第四，企业合规文化建设，可以说是企业合规最终要实现的形态，也就是企业及员工具备合规知识、合规意识、合规信念及合规行为，真正做到从领导到员工、从上到下的自主合规。

值得注意的是，《标准》的重要意义在于其不仅适用与中小微企业自身开展合规管理体系建设的有效性评估，还适用于国家机关、行业协会、认证机构等相关方面对中小微企业合规管理体系有效性的评价。也就是说，在未来推进中小微企业刑事合规的司法实践中，这一《标准》是第三方及司法机关评价企业合规是否有效的规范依据，这一《标准》的内容可以作为指导中小微企业开展合规管理体系建设的直接规范来源。

作者系北京市京都律师事务所高级合伙人、西北政法大学刑事辩护研究院副院长、中国刑法学研究会第三届理事会常务理事