透视九部门《涉案企业合规建设、评估和审查办法》八问八答
2022-05-23
引言：
4月19日，最高人民检察院、司法部、财政部、生态环境部、国务院国资委、税务总局、市场监管总局、全国工商联、中国贸促会九部门联合印发了《涉案企业合规建设、评估和审查办法(试行)》（以下简称《办法》），在此之前，上述部门已经印发了《关于建立涉案企业合规第三方监督评估机制的指导意见(试行)》(以下简称《指导意见》)及其实施细则。《办法》的印发有助于将《指导意见》及其实施细则落到实处。
《办法》条款较少，共五章二十三条，着眼于企业合规有效性评价的具体标准，与《指导意见》及其实施细则共同组成了更为完整的涉案企业合规工作机制规则体系。《办法》以制度运行的不同主体和阶段为切入点，分别对涉案企业“合规建设”、第三方组织“合规评估”、第三方机制管委会和人民检察院“合规审查”作了具体规定。笔者将对其中几个重要问题作出解读。
一、与《指导意见》及其实施细则相比，《办法》有哪些变化？——措辞更为精确
《办法》除了作出更为细致的规定外（下文详述），在措辞上与之前的《指导意见》及实施细则相比发生了细微变化。《办法》规定第三方组织对涉案企业实施“监督评估”，工作结束后出具的文书称为“合规考察报告”。而《指导意见》与实施细则均将第三方组织的工作称为“审查”，例如《指导意见》第十二条第一款（同 实施细则第二十九条第一款）“第三方组织应当对涉案企业合规计划的可行性、有效性与全面性进行审查”。《办法》仅在程序第三阶段，即第三方机制管委会和检察院进行合规“审查”时，使用“审查”一词。此处措辞的改变有助于更加明确地区分不同程序阶段和主体的职责。
二、涉案企业合规是全面合规，还是专项合规？——专项合规
《办法》第一条表明涉案企业合规是“针对与涉嫌犯罪有密切联系的合规风险，制定专项合规整改计划”，也就是实施细则第二十八条第二款“以全面合规为目标、专项合规为重点”中的“专项合规”，更确切地说，是涉案企业专项合规整改，并非事前出于防范合规风险的目的建设全面合规体系。
《办法》第十五条要求评估指标体系“以涉案合规风险整改防控为重点，结合特定行业合规评估指标，符合涉案企业实际”，即应具有“针对性”。而《指导意见》以及实施细则均要求第三方组织审查涉案企业合规计划的“全面性”。如何理解此间张力？
笔者认为《指导意见》以及实施细则中提及的“全面性”并非指“全面合规”，而是涉案企业的合规计划是否满足专项合规的全面要求。
实施细则第二十九条 第三方组织应当对涉案企业合规计划的可行性、有效性与全面性进行审查，重点审查以下内容:
(一)涉案企业完成合规计划的可能性以及合规计划本身的可操作性；
(二)合规计划对涉案企业预防治理涉嫌的犯罪行为或者类似违法犯罪行为的实效性；
(三)合规计划是否覆盖涉案企业在合规领域的薄弱环节和明显漏洞；
(四) 其他根据涉案企业实际情况需要重点审查的内容。
第三方组织应当就合规计划向负责办理案件的人民检察院征求意见，综合审查情况一并向涉案企业提出修改完善的意见。
从实施细则第二十九条看，该条要求重点审查的前两项内容为合规计划的可行性、对涉案违法行为整改与预防的有效性，第三项同样是针对性地审查“薄弱环节和明显漏洞”，第四项为兜底条款。实施细则第三十五条进一步规定“本实施细则……规定的监督、评估方法应当紧密联系企业涉嫌犯罪有关情况”。
因此实施细则虽提及“全面合规”，但仅仅是一种倡导，在涉案企业合规整改过程中，仍是以专项合规为基本工作内容。《办法》第二十一条虽然规定“涉案企业应当以全面合规为目标、专项合规为重点，并根据规模、业务范围、行业特点等因素变化，逐步增设必要的专项合规计划，推动实现全面合规”，但本条规定于附则中，不属于涉案企业合规整改程序的工作内容，这也进一步说明“全面合规”在目前的规范中仅仅是一种倡导性规定。
三、不同企业如何进行适用企业合规制度？——三种情形下不同适用方式
通常情况下，涉案企业合规应适用第三方机制。但小微企业限于企业规模、成本收益等多方面考虑，通常难以启动完整的企业合规第三方机制。《办法》第一条指出对于未启动第三方机制的小微企业合规，可由检察院直接进行审查，这是首次明确规定如何对小微企业适用企业合规制度。
检察机关对小微企业合规审查的重点包括合规承诺的履行、合规计划的执行、合规整改的实效等方面，与适用第三方机制的情形相比，对小微企业的审查显然有所简化，但仍显笼统。
《指导意见》并未提及小微企业，实施细则第二十八条规定，“第三方组织根据涉案企业情况和工作需要， 应当要求涉案企业提交单项或者多项合规计划，对于小微企业可以视情简化”，但也未规定具体如何简化。而本次直接规定对于小微企业可以不适用第三方机制。这意味着我国的企业合规制度，依涉案企业规模不同，适用的程序分为第三方机制和检察院直接审查两种。
《办法》的附则部分进一步规定检察机关对于部分非涉案企业，即“与涉案企业存在关联合规风险或者由类案暴露出合规风险的企业”，可以提出合规整改的检察建议。这是充分发挥检察机关社会治理积极作用的有效手段，也是检察机关作为公共利益守护者的应有之义。
四、涉案企业如何进行合规建设？——以ISO 37301为参照，建立附合“PDCA”理念的合规管理体系
《办法》第二章规定了涉案企业应如何进行合规建设，从内容来看，明显借鉴了《ISO 37301:2021合规管理体系 要求及使用指南》，笔者在此结合ISO 37031相关内容，对《办法》作进一步解读。
第三条 涉案企业应当全面停止涉罪违规违法行为，退缴违规违法所得，补缴税款和滞纳金并缴纳相关罚款，全力配合有关主管机关、公安机关、检察机关及第三方组织的相关工作。
第四条 涉案企业一般应当成立合规建设领导小组，由其实际控制人、主要负责人和直接负责的主管人员等组成，必要时可以聘请外部专业机构或者专业人员参与或者协助。合规建设领导小组应当在全面分析研判企业合规风险的基础上，结合本行业合规建设指引，研究制定专项合规计划和内部规章制度。
第五条 涉案企业制定的专项合规计划，应当能够有效防止再次发生相同或者类似的违法犯罪行为。
第六条 涉案企业实际控制人、主要负责人应当在专项合规计划中作出合规承诺并明确宣示，合规是企业的优先价值，对违规违法行为采取零容忍的态度，确保合规融入企业的发展目标、发展战略和管理体系。
第七条 涉案企业应当设置与企业类型、规模、业务范围、行业特点等相适应的合规管理机构或者管理人员。
合规管理机构或者管理人员可以专设或者兼理，合规管理的职责必须明确、具体、可考核。
第八条 涉案企业应当针对合规风险防控和合规管理机构履职的需要，通过制定合规管理规范、弥补监督管理漏洞等方式，建立健全合规管理的制度机制。
涉案企业的合规管理机构和各层级管理经营组织均应当根据其职能特点设立合规目标，细化合规措施。
合规管理制度机制应当确保合规管理机构或者管理人员独立履行职责，对于涉及重大合规风险的决策具有充分发表意见并参与决策的权利。
第九条 涉案企业应当为合规管理制度机制的有效运行提供必要的人员、培训、宣传、场所、设备和经费等人力物力保障。
第十条 涉案企业应当建立监测、举报、调查、处理机制，保证及时发现和监控合规风险，纠正和处理违规行为。
第十一条 涉案企业应当建立合规绩效评价机制，引入合规指标对企业主要负责人、经营管理人员、关键技术人员等进行考核。
第十二条 涉案企业应当建立持续整改、定期报告等机制，保证合规管理制度机制根据企业经营发展实际不断调整和完善。
涉案企业首先应停止违法犯罪行为，积极缴纳罚金，配合相关部门工作，这是启动企业合规第三方机制的前提条件。但笔者认为，积极向被害方赔偿也应是前提之一，具体理由参见笔者发表于《民主与法制》周刊的《企业合规中被害单位权益保护》一文，此处不再赘述。
企业的合规建设须由最高管理者领导，其他相关中高级管理者也应参与其中，同时也可聘请外部专业人员协助。这符合ISO 37301关于“领导作用”的要求，最高管理者须能够直接接触合规职能，以此保证合规职能部门能够获取足够的资源，且不受其他部门的不当压力。第六条要求企业最高管理者作出合规承诺，自上而下地落实合规制度。
第四条第二句、第五条以及第七条第一款指引企业应关注、分析自身所处的组织环境，进而有针对性地识别、预防合规风险，尤其应关注导致涉案犯罪行为发生的合规风险，避免再犯。
第七、八条是关于企业合规组织机构和制度机制建设的要求。第七条第二款规定合规管理机构或人员可专设或兼理，同时第八条第三款又要求合规管理者应具有独立性和权威性。这符合ISO 37301附录A.5.3.2相关指引。独立性意味着合规部门尽可能地不亲自参与可能暴露在合规风险之下的活动。权威意味着合规职能部门被治理机构和最高管理层授予足够的权力。其他人员有可能倾听和尊重其意见。
合规管理的职责“可考核”就意味着应当为合规管理者设立绩效体系，也就是第十一条的要求。合规管理者应向最高管理者（其他业务部门向合规管理部门）定期与不定期汇报合规管理情况，并应留存合规活动的准确证据，以便事后评估并证明合规体系的有效性。
值得注意的是第八条第二款和第十一条点明合规管理义务并非只是合规管理部门的职责，所有管理人员（包括其他业务部门的管理者）均需在合规管理体系中发挥作用，企业必须明确各自的责任，并列入合规计划中。
第九条要求企业为合规管理机制的运行提供足够的资源支持，这很好理解，重点在于如何实现这一点。ISO 37301指出为了保障合规体系的资源支持，最高领导者的重视非常重要，确保配置合规管理体系所需的资源是其领导职责之一。
综合本章所有条款，《办法》对企业合规建设的指引同样遵循Plan（计划）—Do（实施）—Check（检查）—Act（改进）（“PDCA”）理念，确保合规管理体系动态运行，完整覆盖了合规管理体系建立、运行、保持和改进的全流程并有助于循环改进整个合规管理体系。
五、第三方组织如何进行涉案企业合规评估？——评估标准“一案一设”，最终落实到合规文化
《办法》第三章包括第十三至十五条，规定了第三方组织如何进行涉案企业合规评估。
第十三条 第三方组织可以根据涉案企业情况和工作需要，制定具体细化、可操作的合规评估工作方案。
第十四条 第三方组织对涉案企业专项合规整改计划和相关合规管理体系有效性的评估，重点包括以下内容:
(一)对涉案合规风险的有效识别、控制；
(二)对违规违法行为的及时处置；
(三)合规管理机构或者管理人员的合理配置；
(四)合规管理制度机制建立以及人力物力的充分保障；
(五)监测、举报、调查、处理机制及合规绩效评价机制的正常运行；
(六)持续整改机制和合规文化已经基本形成。
第十五条 第三方组织应当以涉案合规风险整改防控为重点，结合特定行业合规评估指标，制定符合涉案企业实际的评估指标体系。
评估指标的权重可以根据涉案企业类型、规模、业务范围、行业特点以及涉罪行为等因素设置，并适当提高合规管理的重点领域、薄弱环节和重要岗位等方面指标的权重。
从本章条款来看，合规评估的具体方案和指标仍需第三方组织“一案一设”，根据每个案件具体情况制订不同的评估方案和指标。《办法》为第三方组织实施评估提供了框架性指引，同时这些指引也是第三方机制管委会和检察院对第三方组织的监督评估工作实施审查的重要参考。
第三方组织实施合规评估时重点关注的内容，与第二章企业合规建设的内容基本一致，但有一点超出第二章指引的范围，即企业合规文化。企业合规建设最终体现为合规文化的成功培养。
所谓合规文化，是指“贯穿整个组织的价值观、道德准则、信仰和行为，并与组织结构和控制系统相互作用，产生有利于合规的行为规范”。
ISO 37031附录A.5.1.2详细列举了支持合规文化发展的因素以及体现合规文化水平的主要方式，例如管理层明确、公开地支持合规机制，以身作则；对员工和其他相关方进行合规培训；建立合规绩效评估和奖惩体系；就合规问题在各级别各部门以及企业内外进行持续沟通等。
但概括地讲，合规文化最终体现为企业各方人员积极主动拥抱合规建设的主观态度。
六、第三方机制管委会和检察院如何进行涉案企业合规审查？——《办法》第四章对此作出全面规定
第十六条 第三方机制管委会和人民检察院收到第三方组织报送的合规考察书面报告后，应当及时进行审查，重点审查以下内容：
(一)第三方组织制定和执行的评估方案是否适当；
(二)评估材料是否全面、客观、专业，足以支持考察报告的结论；
(三)第三方组织或其组成人员是否存在可能影响公正履职的不当行为或者涉嫌违法犯罪行为。
经第三方机制管委会和人民检察院审查，认为第三方组织已经完成监督评估工作的，由第三方机制管委会宣告第三方组织解散。对于审查中发现的疑点和重点问题，人民检察院可以要求第三方组织或其组成人员说明情况，也可以直接进行调查核实。
第十七条 人民检察院对小微企业提交合规计划和整改报告的审查，重点包括合规承诺的履行、合规计划的执行、合规整改的实效等内容。
第十八条 第三方机制管委会收到关于第三方组织或其组成人员存在行为不当或者涉嫌违法犯罪的反映、异议,或者人民检察院收到上述内容的申诉、控告的，双方应当及时互相通报情况并会商提出处理建议。
第十九条 第三方机制管委会或者人民检察院经审查合规考察书面报告等材料发现，或者经对收到的反映、异议或者申诉、控告调查核实确认，第三方组织或其组成人员存在违反《指导意见》及其实施细则规定的禁止性行为，足以影响评估结论真实性、有效性的，第三方机制管委会应当重新组建第三方组织进行评估。
对于适用第三方机制的案件，审查主体为第三方机制管委会和人民检察院，审查对象为第三方组织报送的合规考察书面报告。报告的具体内容规定于实施细则第三十三条第二款。
实施细则第三十三条 第三方组织在合规考察期届满后，应当对涉案企业的合规计划完成情况进行全面了解、监督、评估和考核，并制作合规考察书面报告。
合规考察书面报告一般应当包括以下内容：
(一)涉案企业履行合规承诺、落实合规计划情况；(二)第三方组织开展了解、监督、评估和考核情况；(三)第三方组织监督评估的程序、方法和依据；
(四)监督评估结论及意见建议；
(五)其他需要说明的问题。
第三十七条 负责选任第三方组织的第三方机制管委会和负责办理案件的人民检察院收到第三方组织报送的合规考察书面报告后，应当及时进行审查，双方认为第三方组织已经完成监督评估工作的，由第三方机制管委会宣告第三方组织解散。
根据实施细则第三十七条，第三方机制管委会和检察院同时审查通过的，才可以认定第三方组织已经完成监督评估工作。
《办法》第十六条具体规定了对第三方组织进行合规审查的内容，检察机关并不直接对企业的合规建设情况进行审查，而是审查第三方组织的监督评估工作是否科学、充分、合法地完成。但经审查发现问题时，检察机关可以直接进行调查核实。
七、发现第三方组织在监督评估工作中存在行为不当或违法犯罪时，评估结论作何处理？——重新评估
《指导意见》和实施细则规定了此种情形下对第三方组织及其成员相应的惩罚措施，但没有规定已完成的评估的效力。
实施细则第三十九条 第三方机制管委会或者负责办理案件的人民检察院发现第三方组织或其组成人员故意提供虚假报告或者提供的报告严重失实的，应当依照《指导意见》的规定及时向有关主管机关、协会等提出惩戒建议，涉嫌违法犯罪的，及时向有关机关报案或者举报，并将其列入第三方机制专业人员名录库禁入名单。
《办法》第十九条补全了相关规则，若第三方组织确实存在上述情形，足以影响评估结论真实性、有效性的，已完成的评估无效，第三方机制管委会应当重新组建第三方组织进行评估。
八、审查结束后，检察院将作出怎样的处理决定？——根据评估结论从宽或从严处理
《办法》第二条 对于涉案企业合规建设经评估符合有效性标准的，人民检察院可以参考评估结论依法作出不批准逮捕、变更强制措施、不起诉的决定，提出从宽处罚的量刑建议，或者向有关主管机关提出从宽处罚、处分的检察意见。
对于涉案企业合规建设经评估未达到有效性标准或者采用弄虚作假手段骗取评估结论的，人民检察院可以依法作出批准逮捕、起诉的决定，提出从严处罚的量刑建议，或者向有关主管机关提出从严处罚、处分的检察意见。
《办法》第二条规定了涉案企业合规是否达到有效性标准的不同情形。对于达标的，检察院可以在程序和实体等方面作出宽缓处理，对于不达标或弄虚作假骗取评估结论的，检察院可以依法从严处理。这一条明确了《指导意见》第十四条规定的“人民检察院在办理涉企犯罪案件过程中，应当将第三方组织合规考察书面报告、涉案企业合规计划、定期书面报告等合规材料，作为依法作出批准或者不批准逮捕、起诉或者不起诉以及是否变更强制措施等决定，提出量刑建议或者检察建议、检察意见的重要参考”的内涵。
本文作者：
声明：
本文由k8凯发天生赢家·一触即发律师事务所律师原创，仅代表作者本人观点，不得视为k8凯发天生赢家·一触即发律师事务所或其律师出具的正式法律意见或建议。如需转载或引用本文的任何内容，请注明出处。
