律师服务企业刑事合规体系建设的策略探讨

一、企业刑事合规体系的构建原理与价值

（一）企业刑事合规体系的构建原理

1、企业刑事合规体系的内涵剖析

       企业运营过程中必然需要处理民事、商事、行政领域的经营管理事项，也必然面临各领域的风险，所以在企业内部设立合规计划来预防和控制企业在运营过程可能出现的讼累与纠纷显得尤为必要。民商事领域例如违约等风险事项可能影响企业的经济效益；行政领域例如行政处罚事件会影响企业的运营顺畅度，但不论是民商风险或行政风险都不会对企业的生存发展产生致命冲击。只有在刑事领域，企业所面临的例如管理层人身自由被限制、企业经营受阻、商誉受损、财产权被剥夺等风险事项才会对一个企业能否存续发展产生根本性影响。所以为防控企业刑事风险所建立的刑事合规体系在企业合规体系中是限度最低的部分，也是合规计划最核心的内容。

        刑事合规体系的内容囊括两方面：一方面其需要明晰企业积极的作为义务，通过相应的留痕化行为阻却犯罪构成要件的成就，创设免责抗辩事由；另一方面通过设立风险事件处置机制，来最大程度防止刑事风险事件对于企业发展的不利影响。基于上述论述，所谓企业刑事合规体系应当是指“企业在法定框架内，结合组织体自身的组织文化、组织特性以及组织规模等特殊因素，设立一套违法及犯罪行为的预防、发现及报告机制，从而达到减轻、免除刑事责任，甚至将涉刑风险行为正当化的机制，这一机制应是立足于组织体的守法文化并能够被切实地贯彻和执行。”

2、企业刑事合规体系的理论溯源

       传统刑法的“一般预防”理论强调通过事后追惩已然犯罪来实现预防犯罪的目的，但即便各国部署了日趋严密的经济犯罪法网，企业犯罪丑闻依旧层出不穷。以“消极一般预防”理论为主导的刑法规制手段并没有在遏制企业刑事犯罪方面取得良好的效果。乌尔里希·贝克（UlrichBeck）的风险社会理论衍生出风险刑法概念，即“刑法在犯罪发生之前、在针对某个行为人特定犯罪的嫌疑具体化之前就已经开始介入”，这种预设特定行为模式的干预形成了刑法本身的风险，即人的行为动辄被纳入到犯罪圈。在此背景下，追求事先预防的“积极一般预防”理论愈发被重视，构筑于此理念之上的企业刑事合规体系意义得以凸显。

       但是，不容否认筹划、设立、运行刑事合规体系带给企业高额的成本负担与企业的逐利最大化本质相悖，所以推动体系建设的动力除了企业内因离不开刑事政策环境的支持。针对企业犯罪治理，监管层转向由消极预防与积极预防有效整合的监管思维转变催生出美国“暂缓起诉制度”和量刑激励制度。这两项制度均强调是否实施有效合规将是作为企业被诉诸法庭的概率以及刑罚减轻幅度的衡量标准，因此也极大推动了美国大型企业内部合规计划的落实与推行。

       对于我国而言，虽然在立法层面上并不存在明确的量刑激励制度，但我国的刑事司法政策也在逐步地从惩罚犯罪向犯罪预防进行转变。因此，对于企业刑事合规体系的建立，也是企业应对刑罚理论演变的必然选择。

3、企业刑事合规体系的运作机制

       刑事合规体系旨在通过企业内设合规计划来规避由于商业创新而引发的企业运营模式游走在合法与犯罪边缘的情形，或规避因自身审慎监管不到位所导致的主动或被动陷入刑事风险可能。所以多维度的刑事合规体系运作机制的设计显得尤为重要。企业刑事合规体系应当涵括阻却维度、免责维度、救济维度三个核心层次。

       所谓阻却维度的核心是刑法定原则，依据罪刑法定原则，犯罪成就的必要条件是满足全部的犯罪构成要件。而企业合规体系中应当设置相应的策略，阻却企业的经营行为满足相关犯罪要件的构成。

       而免责维度则是，通过针对企业在运营管理过程中可能存在的刑事风险进行预判，并采取相应的手段防止相关刑事风险发生，并将这些防范手段形成相应的免责证据予以存证，即便将来相应的刑事风险爆发，企业也可以进行免责抗辩。同时，也通过相应的免责证据存在，在企业经营管理过程中建立起被犯罪或被成为共犯的防火墙。正如美国量刑激励规则所要求，企业履行合规或内控制度是司法机关必须考虑对其定罪处罚的充分条件，而这种考虑在我国刑法语境下也可以转化为对于企业涉嫌犯罪行为的社会危害性较轻与主观恶性较小的客观评价。

       当然，值得注意的是企业在设立运营之中纵使实施刑事合规计划，也难以避免人为因素所产生的刑事风险。因此需要设立企业刑事风险识别、消解和危机应对机制，作为企业刑事合规体系的救济维度。当三个维度相辅相成，三项机制同时运作时，以此为架构的企业刑事合规体系才能有效防止企业深陷刑事风险泥潭，为企业设置全面的刑事风险防护网络。

（二）企业刑事合规体系的核心价值

       有效的企业刑事合规体系在阻却维度、免责维度、救济维度的共同作用下，能够为企业划定明确的刑事风险红线，并形成相应的犯罪阻却事由或者从轻、减轻、免除刑事责任的情形，进而使企业规避遭受刑事指控可能引发的对于企业经营体系的冲击。

       这样的刑事合规体系，核心价值就在于能够辅助企业安心参与经济活动，确保企业经营与发展的稳定性。同时，也可以缓解滞后立法体系与企业商业模式创新之间的冲突，为商业创新保驾护航。企业刑事合规体系将会成为立法滞后性与商业创新的缓冲剂，在刑事立法带有时代烙印的情况下刑事合规体系为经济新兴增长模式设立保护屏障，让企业得以在不碰触刑法红线的基础上得以利用商业创新取得更持久的存续与发展。

二、企业刑事合规体系的架构设计与运作流程

       如前所述，企业刑事合规体系的构架应当符合阻却、免责、救济三大实践维度要求，因此在企业刑事合规体系的架构设计时，必须要对于以上三大维度的诉求予以充分的回应。而这种回应，在企业刑事合规体系中核心体现为对于企业商业模式刑事合规评估体系、企业运营过程刑事合规管理体系、企业刑事合规风险事件处置体系这三大分支的合理设计与运用。

（一）企业商业模式刑事合规评估体系

1、刑事合规评估体系基础构架

       监管层面的缺失与缺位促使企业必须对其商业模式进行拆解、评估和整改，从而保全其创新模式得以在现行刑事法律规制框架中合规运营。立足于上述出发点，刑事合规评估体系主要着眼于三个层面：第一层面，研判企业商业模式及其背后的商业利益诉求，分析并阐释其商业行为的法律本质；第二层面，将创新商业行为中可能存在的风险行为与现行刑事法规的禁止性行为进行匹配性比照，明确刑事风险高发的创新行为，确定刑事合规风险点；第三层面，针对风险高发点，在维护企业核心利益的基础上，针对创新商业模式中的企业行为进行合规化整改，阻却相应高危行为成为触发犯罪构成要件成就的诱因，以确保企业商业模式在刑事立法的规制框架之中运行。

2、合规评估工作步骤

       依据上述基础架构，律师参与商业模式合规评估首先必须认清商业模式的法律评价及其背后的商业利益。律师在判定企业运营模式的法律属性的基础上区分合规业务和问题业务，明晰企业经由商业模式获取的商业利益与核心诉求，罗列在不合规的业务与商业利益产生冲突时可牺牲的可调节利益点。其次，在第一步骤基础上，针对问题业务剖析刑事风险点，对于可能涉及的罪名及其核心要件的刑事风险点设置商业模式的构成犯罪的阻却事由，在保留企业合法盈利的核心利益基础之上，针对风险行为设计合规整改方案。最后，结合上述两个层次制定商业模式合规整改方案，舍弃部分商业利益进而优化制度设计，在关键节点处设置违规禁令使整改后的商业模式符合合规运营的基础，为企业的商业创新保驾护航。

（二）企业运营过程刑事合规管理体系

1、企业运营管理体系框架构造

       以审慎监管为核心的刑事合规管理体系旨在控制企业运营过程中因内控机制乏力和外部因素干扰而易发的刑事风险，主要包括企业内控监管体系和企业制度管理体系。企业内控监管体系的运作分为三个步骤：第一，明确企业合规监管义务，以企业内控监管行为的操作指引契合企业法定前置性监管义务。第二，设置企业合规监管流程，全面回应相关法规对于企业自我监管的要求。第三，建立合规监管绩效评估体系。对企业监管流程进行常态化评估，并根据经营背景的变化及时修补其中疏漏之处。

       企业制度管理体系着眼于治理并防范传统的企业内部犯罪行为。律师需要协助企业设置财务、税务、发票等类规范化的制度，通过制度化运营消解刑事风险，通过制度框架限制人为因素诱发的刑事风险点，进而避免企业因内控不严而衍生的刑事犯罪风险。

2、合规运营管理工作步骤

       依据上述基础架构，律师参与企业运营过程刑事合规管理体系建设以梳理刑事立法的前置性监管义务为前提。当前刑事立法已经针对不同类型企业设置积极监管义务，例如对配备校车的学校和校车服务提供者设定了应当建立校车安全管理制度，配备安全管理人员等安全防范、应急处置义务。在此基础上，企业再设立满足监管诉求的监管流程。例如，针对交通安全肇事罪中的校车安全事故，实施校车驾驶员定期技能和安全教育培训制度，校车急救设备配置与更换制度，在人员管理、应急设备储存等方面履行企业安全监管义务进而实现其合规经营。最后建立企业内部管理流程的定期考核评估制度从而保持制度的时效性和有效性。例如定期查验校车驾驶员的驾驶证级别和驾驶年限，及时反馈和履行变更义务，进而促进企业审慎监管内控得以有效实施。

       另外，针对传统类企业内部刑事犯罪，企业反腐败制度、财务合规管理制度的建设亦不可或缺。这样的制度建设包含以下几个层面：第一，将企业反腐败制度作为常设制度，纳入企业动态预防体系之中，明确企业管理人员权限。第二，将企业财产的管理与控制分路径管控，实现管理人员与企业资产的隔离，降低企业财产被侵占的可能。第三，通过设立权利授予、报告呈送、限时审批、责任审计、业务考评等几个程序，建立权限严格的企业财务层报制度，防控刑事风险的出现。通过以上企业规范化决策制度、财务制度的实施，将会切实发挥企业刑事合规管理体系的作用。

（三）企业刑事合规风险事件处置体系

1、企业刑事风险事件处置体系脉络层次

      事前风险防御机制并不能彻底消除企业刑事风险，所以设立应对风险事件爆发的应急处置体系也是企业刑事合规体系中不可或缺的一环。企业刑事风险处置体系主要有三个模块，即风险发现模块、风险消解模块和风险应对模块，三个部分相辅相成作为刑事风险事件发生后的企业的救济机制。

       风险发现体系需要三管齐下，其一，通过检视企业岗位职责权限寻找脱管风险，预判人员履职的犯罪风险性；其二，梳理包括人事、财物、经营在内的企业管理制度，寻找脱离监督制约的风险环节；其三，收集整理企业历史纠纷事件排查企业纠纷高发风险节点。

       刑事风险消解体系以针对性修补治理问题，降低企业被刑事追诉的可能性为核心，主要从三个角度入手：首先，针对企业历史性风险事件采取修补措施，通过事后修补企业早期发展时的违规行为为企业创设新的免责事由。其次，严格治理企业纠纷多发业务，杜绝高频风险事件再发。再者，推行企业合规文化的培养，促使企业及其成员主动遵纪守法，预防人为制造的潜在刑事风险发生。

       当风险事件越过企业风险排查体系和消解体系直接爆发时，企业将直接应用刑事风险危机应对体系。该体系主要包含三个层面：第一，实施危机和解公关。该步骤以第一时间采取策略与相关潜在的刑事控告方促成和解，缓和对立情绪为中心。第二，主动进行风险报备。企业主动向政府主管部门说明情况推动其提前介入和沟通风险事件，避免因企业人员被采取刑事强制措施而使企业生产经营和纠纷解决陷入停滞不前的状态之中。第三，针对危机发生进行业务专项整改。企业及时梳理危机引发的原因与内控机制存在的漏洞，调整业务结构或者优化业务模式，杜绝同样的风险事件再发生的可能性。

2、企业刑事合规风险事件处置工作步骤

（1）企业刑事合规风险的发现。根据刑事合规风险发现设立框架，企业通过历史刑事风险事件梳理、经营性刑事风险点筛查、创设合规风险评级制度三个角度综合排查刑事风险高发点。第一，对企业历久以来的经营模式、管理范围、运营制度进行全面梳理，寻找企业刑事风险高发领域，进而针对该风险高发领域进行规律总结，为风险消解体系做好信息铺垫。第二，检视企业岗位职责权限，排查脱离监督制约的风险环节，预判职务犯罪风险性，为企业完善风险监察体系提供信息基础。第三，基于历史风险和经营性风险的筛查总结设立风险评级制度。针对不同制度给企业带去的成本和代价划分风险层级，以所涉罪名对应的自由刑期限与罚金刑上限作为层级划分依据，再针对风险层级确认投入资源，进而有效提高企业合规体系的运作效率。

（2）企业刑事合规风险的消解。企业刑事合规风险消解体系通过高危漏洞的弥补、高危领域的监察、合规风险的教育三个步骤落实。首先，通过历史性刑事风险筛查，及时补纳税款或完善企业高管权责监管体系，扼制风险隐患持续发酵。其次，总结企业经营性高危刑事风险点，例如针对发票类犯罪设立层层核查校对开具的发票管理制度，为企业创设新的减刑免责抗辩事由进而预防可能发生的刑事追诉风险。再者，针对企业商业模式对员工开展定期法律知识普及讲座，增强其对高危刑事罪名的认识，由内而外加强企业的刑事风险防范能力。

（3）企业刑事合规危机的应对。风险事件一旦爆发，按照和解公关、风险报备、专项整改三步走模式，更容易缓和刑事危机事件对企业带来的冲击。企业风险事件的发生通常会引发企业经营合作方或者投资方的不安，进而出现挤兑风潮或者群体性事件。因此在刑事风险事件发生节点及时通知业务合作方并尽快达成和解和补偿协议，稳定相对方情绪，避免形成维稳事件，进而防止因为司法机关对企业或其负责人采取刑事强制措施，使企业彻底陷入业务瘫痪的境地。同时，风险报备应当与和解公关同步推进，企业负责人应当主动向企业主管部门及当地司法机关报备企业风险事件发生状况，影响范围以及应对方案，积极寻求政府主管部门与司法机关的帮助，并征询官方意见，为企业后期的业务整改争取官方的支持，防止企业被动陷入刑事程序的泥沼之中。在综合合作方、官方对于企业业务整改方案的意见后，企业应当出台令企业方、投资方、监管方三方均能够接受的专项整改与补偿方案，以换取公安的暂不立案或暂不采取强制措施的处理，为企业自救以及主动消除涉刑风险行为的社会危害性换取充足的时间和空间。

三、评估与设计

       企业商业模式合规评估的操作实例——以互联网非公开股权融资为例

（一）互联网非公开股权融资的商业逻辑

       互联网非公开股权融资（也称“互联网股权众筹”）是指筹资者通过互联网平台以股权作为对标进行融资的商业模式，其商业逻辑为，融资方在股权众筹平台上发布项目众筹信息，由平台进行推广宣传，为其寻找共建人，并在此基础上收取相应的平台服务费用。同时，平台将对于发起众筹的项目的经营情况、财务情况、分红情况向共建人进行公示。在项目众筹成功后，众筹平台多采用关联的资产管理公司对众筹项目进行管理或通过“领投人+跟投人”模式，通过设立有限合伙企业推进并监督项目的后续运营。

（二）互联网非公开股权融资的刑事风险剖析

       互联网非公开股权众筹平台并不受证监会直接监管的其仅需要在证券业协会备案登记便能开展相关业务。实际业务运营中，相关平台的涉刑风险主要体现在一下几个方面：在投前阶段，互联网非公开股权众筹平台极易突破非公开募资的尺度，进而涉嫌非法吸收公众存款罪，违法发行股票、公司、企业债券罪；在投后管理过程中，由于平台放多采用关联的资产管理公司对众筹项目进行管理或通过“领投人+跟投人”模式，通过设立有限合伙企业推进项目的后续运营。按照有限合伙的模式，作为GP的资产管理公司或领投人掌握着整个众筹资金的管理与流向，当领投人其在履行职责过程中利用职务便利将项目资金挪作他用或者非法占为己有，对项目运营造成损失的，将会涉嫌挪用资金罪或职务侵占罪，而作为领投人关联方的平台方，也可能会涉嫌相应的刑事责任。

（三）互联网非公开股权融资的合规整改方案

        结合上述平台可能涉嫌的核心刑事风险点，平台方需要根据投前、投后阶段的商业需求，整改商业运营模式使其不触及刑事红线。首先，互联网非公开股权众筹平台需要重构投前流程，预控可能出现的法律风险。在投前阶段，除去规范平台对于项目宣传的方式，避免公开宣传手段的公开性外，平台还需要通过设置固定的投资指标，来进行适格投资人的固化，避免资金募集过程突破公开性尺度。其次，实施标准化信息披露制度向投资者充分披露项目信息及投资风险，从而避免涉嫌非法吸收公众存款罪的利诱性要素。在投后管理阶段，平台应设置规范有效的项目运营模式或项目审查机制，通过资金管存隔离与投资者冷静期制度、规范化的领头-跟投机制和投资者监管制度等设计，确保平台不被牵扯投后发起人可能实施的对于项目资金挪用、侵占等涉刑风险行为之中，并且最大程度保护投资人的投后利益。

四、流程与控制

       企业审慎监管内控体系设置的操作实例——以信息网络服务商为例

（一）信息网络服务商的监管义务

       鉴于信息网络服务商在网络犯罪控制上具有技术能力和优势，其网络安全的合规管理义务在诸多前置性法规中已经得到确立。根据《刑法修正案（九）》第28条规定，信息网络服务商以承担安全保障义务作为自己的免责抗辩事由。根据诸多行政立法规定，信息网络服务商需要采取必要技术措施对自己提供技术支撑服务过程中的公民个人电子信息承担安全保障义务，如即时通信工具服务提供者应当承担用户信息及公民个人隐私的保护义务；互联单位、介入单位和适用计算机信息信息网络国际联网的企业应负责网络的安全管理工作等。

（二）信息网络服务商的内控监管

      基于行政立法设立了严密的义务承担体系，根据以上罗列的义务范畴，信息网络服务商必须针对本单位控制的本网络中的公民个人电子信息的安全承担保障义务。通过必要的技术措施设立公民个人信息接受、储存、消灭的管控程序，通过关键字信息划分公民信息的安全层级，从而配套不同级别的安全防火墙保护。同时，信息网络服务商还需制定内部安全管理操作规程，确定网络安全负责人来保障网络安全保护义务的落实。

（三）审慎监管内控体系的留痕化设计

      信息网络服务商在实施安全管理制度的同时应当将证据意识带入实践操作，将义务的履行落实于具体记录与规范文件之中，为企业的预期刑事风险储备无罪抗辩依据。例如信息网络服务商在业务洽谈中应当对合作方进行必要的问询和访谈，确认他方的技术诉求并进行技术研判。

       同时，服务商还应当预留书面谈话记录作为备案资料，就信息服务过程中可能发生的技术风险进行披露，并要求项目方出具合规经营承诺函并要求其就避免技术风险爆发设置相应的应对预案。服务商对于软件或平台进行后期运营维护时应当预设相应的监管系统，对于监管后台数据应当做完善备份。当后台数据运行发生异常时，服务商应当及时向项目方进行书面征询并将项目方的答复进行合规评估后备案。在发现客户存在违法违规行为时，信息网络服务商须及时发出整改通知，必要时甚至应当暂停对客户提供服务直至风险事件得以解决。

       通过上述的留痕化监管体系，可以将信息网络服务商对于其应有的审慎监管义务的履行情况进行固化，进而在相关服务项目涉险时，为服务商留足免责抗辩的空间。

五、发现与处置

       企业刑事合规危机处置操作实例——以P2P平台良性清盘为例

       由于2018年以来的P2P暴雷风波蔓延，多数P2P平台都面临着爆雷的风险，而其中有多数平台由于挤兑进而导致群体性风险事件爆发，进而被司法机关以非法吸收公众存款罪或集资诈骗罪追究刑事责任；而部分P2P平台，却成功地实现了良性清盘，规避了P2P平台潜在的刑事风险，这都是得益于企业刑事合规危机处置体系的作用。

（一）暴雷前的信息整合与官方报备

       当P2P平台出现爆雷风险时，平台方应当首先争取自行清退机会。这需要平台方首先全面得对资金的运营数据和资产情况进行整合，明确自由的可处置资产以及外部的可追偿债权，同时梳理平台的历史出入金数据，明确平台的未兑付金额。在此基础上，平台应当梳理出历史的资金流向，以及平台关联项目的持续盈利能力，并将上述情况向平台所在地区的金融办、互联网资产处置办等政府主管机关进行事先报备，并提供明确的整改方案，以初步避免平台被刑事立案侦查。

（二）群体性危机应对与资产处置方案执行

       多数被司法机关立案侦查并采取强制措施的P2P平台都发生过不同规模的群体性危机，而在这种群体性危机逐渐演变为不可控的维稳事件的情况下，才被司法机关进行立案侦查，并对相关责任人采取刑事强制措施，进而安抚投资人，化解群体性危机。因此，在P2P平台爆雷后，如何进行良好的群体性危机处置，就变得尤为重要。在面对投资人的挤兑及非理性诉求时，平台应当积极与投资人进行谈判，说明公司的资产与运营情况，并充分分析爆雷与非爆雷状态下对于投资人投资损失挽回的利弊得失。并且尽可能地提供可靠的项目担保，出具相应的资产处置计划、债权追偿计划以及公司未来的运营收益计划，尝试取得投资人的理解与信任，以此换取投资人给予平台兑付的宽限时间。同时，平台方应当根据自身的资金与资产处置情况，结合关联项目的未来营收与债权追索情况，与投资人商讨确定相应的兑付方案与清偿计划，并尝试债权股、实物抵偿等多种方式，增加资产的清偿价值与债权覆盖率。在整个清偿过程中，以充分的信息披露制度与投资人日常会商机制，使得投资人得以对平台的清盘过程进行全面的了解与监督，进一步增强投资人对于平台清偿方案的认可度，避免群体性危机的爆发。

（三）平台及其相关责任人的刑事风险防范

       除了确保签署清盘兑付方案的顺利执行，维持投资人的情绪稳定外，平台方还应当采取更加完善的刑事风险防范方案防止将来可能引发的针对平台及其相关责任人的刑事风险。首先，平台应当在全面梳理资金流向的基础上，对于运营成本及资金损耗的情况进行全面分析，并提供合理的解释，针对问题资金及资金去向不明的情况要进行整改，避免未来因为资金去向问题而被定性为集资诈骗罪。其次，平台应尽可能缩小涉案人员，例如保护平台实控人的配偶或亲属和下属，通过判断其参与程度，是否挂名，其账户是否走账、是否仅用于设立资金池，从而最大程度隔离这些人员的涉案程度。再次，针对未来公安机关可能的询问与讯问，对相关平台工作人员进行全面的法律辅导与法律分析，并时刻对于平台暴雷风险的衍变进行监控，确保留有足够的自首空间，并确定合适的自首时间节点，为相关责任人争取自首这一量刑情节。

六、结语

       当前我国刑事立法已然认可了刑事合规理念在中国运行的实践基础与现实需要，刑事合规体系建设也是未来针对企业犯罪立法的必然趋势。随着我国法治进程的深化，刑事合规体系也将不断扩大其效用。刑事合规体系的建设是一个复杂而全面的防范性工程，企业不仅可以通过刑事合规体系建设来保障自身的权益，甚至还可以通过刑事合规体系建设降低企业的合规运营成本及风险事件损失，实现企业更大的经营效益。因此完善的刑事合规体系是企业能够安心参与市场经济活动的基础，律师在参与刑事合规体系建设过程之中应当充分考虑市场因素和法制环境因素，进而才能为企业刑事合规体系建设提供更加专业与精准的法律服务。