企业合规的基本问题
陈瑞华 北京大学法学院教授
目 录
一、企业合规的基本理论问题
（一）企业合规的基本概念
（二）合规风险的概念
（三）合规治理的概念
（四）有效合规计划的基本标准
二、跨学科视野下的企业合规机制
（一）作为公司治理方式的合规机制
（二）作为行政监管激励机制的合规
（三）作为刑法激励机制的合规
（四）刑事诉讼法与合规的关系
（五）作为律师业务的合规
（六）合规视野下企业的刑事责任问题
三、我国法律体系引入合规机制的基本设想
（一）我国行政监管制度的改革
（二）我国单位犯罪制度的变革
（三）我国刑事诉讼制度的深入改革
（四）颁布中国版的有效合规计划标准
一、企业合规的基本理论问题
（一）企业合规的基本概念
企业合规（compliance）,从字面上看就是合乎法律规定的意思。这里的法律规定大体上不外乎四大类：
第一，国家法律法规，包括法律、行政法规、行政规章、地方性法规、司法解释等，所有具有法律渊源资格的规范文件都是需要遵守的对象。第二，商业惯例，既包括成文规范，如各行业协会颁布的行为准则等，也包括不成文的商业习惯和伦理。第三，公司内部制定的规章制度，违反自定的规章制度同样会成为企业受到制裁的理由。第四，国际组织条约，如世界银行等国际组织，也设置了合规管理和制裁体系。世界银行可以通过附解除条件的制裁，为企业设置若干年考验期，要求其重建合规计划。
当然，这些只是基于“合规”字面意义的解读，企业合规是围绕着合规风险而展开的，因此一定要深入合规风险的层面加以理解。所谓企业合规，是企业为有效防范、识别、应对可能发生的合规风险所建立的一整套公司治理体系。
（二）合规风险的概念
企业合规，在本质上属于公司治理问题。研究合规风险，首先要厘清公司治理风险的概念。公司治理结构的基本目标是要解决两个关系：一是股东和经营者的关系，亦即所有权和经营权的关系；二是大股东和中小股东的关系，经济学中的“隧道效应理论”，探讨的就是控股股东侵害中小股东利益的现象，如何保护中小股东权益，成为公司治理的一大难题。
那么，在公司治理层面上，企业究竟要防范什么样的风险呢？在企业所面临的诸多风险之中，合规风险究竟处于什么样的地位呢？其实，很多企业负责人由于没有正确认识公司治理风险的概念和种类，因而也就难以意识到合规风险的重要性。例如，有人把公司治理风险分为投资风险、并购风险、融资风险、销售风险、市场风险、产品质量风险、技术风险、知识产权风险、用工风险等数十种，显得杂乱无章而抓不到重点。
根据公司治理风险的基本理论，企业面临的主要风险可以分为三大类：
第一，经营风险。经营风险也被称为业务风险，企业在开展投资并购、市场销售、质量保障等各种业务活动过程中，所面临的投资得不到回报、企业无法营利、面临生存困难的风险，统称为经营风险。经营风险需要依靠公司治理结构中的业务治理来进行有效的防控、识别和应对，公司首席执行官（CEO）是经营风险治理的第一责任人，由其所率领的执行团队是为企业创造业务收益的主干力量。经营风险属于经济学研究的范畴，通过研究投资经营全过程，按照市场和经济规律，寻找解决问题的对策。
第二，财务管理风险。其是指由于财务管理混乱、舞弊、贪腐等行为，导致企业遭受损失，无法实现盈利目的，甚至濒临破产的风险。一个良好的现代财务管理制度包含数十个复杂的环节，公司除了配置首席财务官、会计、出纳等财务人员以外，还要设立审计委员会和审计部门加以监督。如现在大型的国有企业和跨国企业采用在董事会下设审计委员会的方式，以保证审计部门相对于管理团队的独立地位。财务管理是公司治理的重要一环，但与企业的经营活动无关。
第三，合规风险。合规风险既不同于经营风险，也不同于财务风险，是指企业因为在经营中存在违法违规乃至犯罪行为，而遭受行政监管部门处罚和司法机关刑事追究的风险。合规风险可以分为两大类，第一类是企业因违法违规行为受到行政监管部门调查、处罚的监管合规风险，如美国财政部、商务部、证交会等行政监管部门作出的行政处罚、达成的行政和解，以及由此引发的合规风险，就是源于监管合规风险。
该风险对企业产生的最大影响不是罚款本身，而是随之而来的经营资格的剥夺，这会给企业带来经济损失、商业交易资格损失、声誉损失等三重损失，由此引发的雪崩效应最终使企业难以承受。合规风险的第二大类型是企业由于受到起诉而被定罪量刑的风险。
企业一旦受到刑事追究，损失同样是多重的：一方面，企业因为被定罪而丧失了声誉，无法获得贷款，也不再有客户愿意与其进行交易；另一方面，企业上市资格会被剥夺，难以再有发展机会。在美国和欧洲多国的司法实践中，行政处罚和刑罚连带进行，这意味着企业一旦被定罪，除了被判处罚金以外，行政处罚中连带的剥夺经营资格的处罚会随之而来，甚至达到附加刑的效果。
我国诸多合规指引中，给合规风险所下的定义都是因违反法律法规所可能遭受法律制裁、监管处罚、重大财务损失和声誉、商业机会的损失等方面的风险。所以合规风险不仅包括被行政处罚或被刑事追究的风险，还会带来声誉以及商业机会的损失。
可见，合规风险作为与经营风险、财务风险并列的三大公司治理风险之一，具有独立的概念内涵和结构体系。当然，还有人将合规风险与法律风险混同，认为合规风险就是所谓的法律风险，对此应予以澄清。其实，合规风险不同于法律风险，后者是一个广义的概念，企业的行为违反任何一部法律规定所可能遭受的后果都可以归入法律风险，所涉范围十分宽泛。
法律风险可分为三大类型：第一类是企业违法违规带来的风险。第二类是由于国家法律制度变化给企业带来的不可抗力的损失，这与企业本身无关，属于法律制度的修改变革给营商环境造成的后果。第三类是由于商业合作伙伴违规给公司造成的损失。如所谓“合同风险”“被害的风险”等都不是合规风险，但属于法律风险，而在公司治理中可以归入经营风险的范畴，公司中最初设立法务部的目的就是为了防控经营类的法律风险。
因此，合规风险和法律风险有所交叉，企业所面临的违反行政监管法规或违反刑法所遭遇的特定法律风险，才是合规风险；使公司免予承担行政责任和刑事责任的企业管理方式，才是合规治理。
（三）合规治理的概念
与三大公司治理风险相对应，现代企业形成了三大公司治理结构：一是为规避经营风险所建立的公司治理结构，就是“业务治理结构”；二是为规避财务风险建立的公司治理结构，称为“财务治理结构”；三是“合规治理结构”，就是企业为避免特定的合规风险，所建立的包括防范、识别、应对机制的管理体系或治理体系。
其中合规管理体系、合规治理结构、合规机制、合规体制、合规计划等几个概念，在英语中都表述为“Compliance Program”，相互之间可以通用。
当今世界，合规管理体系已经成为企业治理的必备要素。自20世纪80年代以来，现代公司治理领域发生革命性的观念变化，从合规委员会、首席合规官（Chief Compliance Officer, CCO）、合规部到遍及公司各部门的合规人员，合规治理成为公司治理的重要组成部分。传统以盈利为唯一目的的公司治理理念，逐步发生了实质性的变化。
通过建立或改进合规计划，企业要实现四个方面的价值：
第一，可持续发展的价值。由于不能鼓励企业竭泽而渔、只追求短期发展，所以必须建立有效的合规管理体系，让企业遵守法律规则和商业惯例。如果任由企业追求短期利益、恶性竞争，则无法可持续发展，甚至会出现全行业腐败的现象。
第二，企业应承担应有的道德责任。作为大型的商业组织，企业不能只追逐盈利，还必须承担一定的道德责任和社会责任。很多企业的合规部门与道德直接挂钩，如世界银行的合规部门就叫作“诚信与合规部”。企业的道德责任要求企业经营过程中要保障基本的社会伦理道德，包括保护公民隐私、劳工权益、知识产权、生态环境，等等。
第三，保护无辜第三人的价值。通过建立有效的合规计划使由于少部分人违法违规所带来的风险及时化解，保护股东、投资人、员工、养老金领取者、上游的供货商、下游的经销商、代销商、代理商乃至消费者和社会公众等大量第三人的利益，避免无辜第三人的利益受到不公平的损害，防止社会动荡。
第四，实现企业责任与员工、第三方、被并购方、客户等多方责任的有效切割。企业之所以要建立和改进合规计划，其直接动因就在于运用合规管理体系来切割企业责任与相关自然人、单位的责任，从而有效预防、监控和摆脱相关的法律风险。
例如，通过制定合规政策和员工手册，并有效地开展合规培训，企业可以将内部员工违法行为归于个人责任，避免因为员工或高管的违法行为而“引火烧身”。又如，通过进行合规风险评估，展开有效的合规尽职调查，企业可以为第三方合作伙伴、被并购企业或者客户的违法行为，建立“隔离带”或“防火墙”，实现有效的责任豁免。再如，通过建立有效的合规内部调查或反舞弊调查机制，企业可以及时有效地对内部员工或高管的违法行为加以调查和披露，展示自我治理、预防违法行为的决心，实现“交出责任人，放过企业”的效果。
（四）有效合规计划的基本标准
书面的合规计划并不重要，任何一个企业很容易就可以建立一套书面的合规体系。但合规的生命在于有效，一个有效的合规计划才能够带来收益，才能有效发挥预防违法违规行为的效果，并起到行政监管激励和刑法激励机制的作用。即便在我国，企业也可以用有效的合规计划来规避刑事责任。
以我国实际发生的案件为例，2016年兰州市城关区人民法院一审认定雀巢公司6名员工为抢占市场份额，推销雀巢奶粉，通过拉关系、支付好处费等手段多次从多家医院医务工作人员手中非法获取十余万条公民个人信息，构成侵犯公民个人信息罪。
一审判决后，各被告人均以其行为是公司行为、本案应属单位犯罪为由上诉至兰州市中级人民法院，以寻求更为轻缓的量刑。在本案一审过程中，雀巢公司就援引了合规作为抗辩事由。雀巢公司抗辩称，其从不允许员工以非法方式收集消费者个人信息，并且从不为此向员工、医务人员提供资金，其在《雀巢合规宪章》、《雀巢指示》（取自雀巢公司员工培训教材）、《关于与保健系统关系的图文指引》等文件中明确规定“对医务专业人员不得进行金钱、物质引诱”，对于这些规定要求，其还要求所有营养专员接受培训并签署承诺函，已建立了有效的合规计划，本案中员工行为应属个人行为。
法院经审理认为以上合规文件充分证明雀巢公司已尽到合规管理的义务，具有规避、防范合规风险的意识，并进行了合规培训，本案被告人违反雀巢公司的合规管理规定，应属个人行为。最终二审法院兰州市中级人民法院对此也予以认可，裁定驳回上诉，维持原判。本案中，合规成为切割单位责任和员工责任的根据，成为无罪抗辩的理由。
一个有效的合规计划一般包含合规宪章、合规的组织体系、合规政策、合规的程序四项基本要素。
第一，合规宪章。公司要在总章程或专门制定的公司合规章程中体现合规的基本理念和要求，将合规目标、合规结构、合规政策写入最高效力的宣言性文件中。雀巢公司通过单独制定的《雀巢合规宪章》成功实现了无罪抗辩。湖南建工集团也制定了《湖南建工合规宣言》，要求所有员工在入职培训时集体宣读，并签署保证书。合规宪章中应注意列举常见的合规风险，对商业贿赂、洗钱、舞弊等违法违规行为作出禁止性的宣誓。
第二，合规的组织体系。其主要包括适当设置的合规委员会、首席合规官、合规部门、合规人员，尤其是在每一个公司部门和分公司都要设立合规分支机构，由总公司合规部门垂直管理，即便在小型部门中也要配备合规专员。合规组织体系遵循四大原则：独立、权威、享有必要的资源、信息沟通顺畅。
首先，独立是指不能有利益冲突，业务管理部门、财务审计部门都不能介入合规。如巴塞尔银行监管委员会制定的《合规与银行内部合规部门》中就确立了合规部门应与审计部门分离的原则，以确保合规治理和财务治理相互独立。
其次，权威是指要使合规部门拥有足够的地位，比如在董事会下设合规委员会，由决策层和管理层高管担任合规委员会成员，董事长担任主席，赋予其高于CEO领导的执行团队的地位。同时也要保障首席合规官足够的地位，目前这一职务在我国公司中主要由总法律顾问兼任，也有公司直接将首席合规官设为副总裁，甚至还有公司由董事会秘书兼任首席合规官，但无论如何，首席合规官应当具有公司高级管理人员的地位。只有享有足够权威的地位，合规组织才有能力应对管理层的压力，而不至于沦为摆设。
再次，享有必要的资源主要是指充足的人力和物力投入。美国联邦司法部评价企业合规计划是否有效的一个重要依据就是合规团队的人员和经费规模，这意味着有效合规计划要求付出一定的物质代价。西门子公司每年的合规经费达到10亿美元，全球拥有过千名合规人员；湖南建工集团在遭受世界银行制裁后也大大扩充了合规部门的人员和经费配备，形成超百人的合规团队和每年达8亿元人民币的合规经费规模，最终得到世界银行的认可。
最后，合规组织体系中还高度强调信息上下沟通的畅通性。这就要求企业建立各合规部门和合规人员重大事项报告制度，而且报告内容可以直接通达合规委员会和董事会。西门子公司还创造性地建立了全球特派合规官巡视制度，由总部合规官率领包含合规、财务审计等人员的团队对全球各分支机构进行巡视，接待当地员工和“吹哨人”的投诉。
美国率先为举报企业违规的“吹哨人”设置了完善的保密制度和高额奖励措施，我国国务院于2019年9月发布的《关于加强和规范事中事后监管的指导意见》中也提出建立“吹哨人”、内部举报人等制度，对举报严重违法违规行为和重大风险隐患的有功人员予以重奖和严格保护。“吹哨人”制度本身也作为合规体系的一部分，在合规识别程序中发挥了重要的作用。
第三，合规政策。合规政策相当于合规体系中的“实体法”，主要以合规管理指引和员工手册的形式，针对不同的合规风险点和合规风险领域建立不同的行为准则。合规风险点是指依据特定行业中企业经常发生的违规行为而设立的高风险爆发点。
合规重点风险领域则需要根据企业的重点岗位、重点人员、重点业务加以确定，反商业贿赂合规、出口管制合规、反洗钱合规、反不正当竞争合规、个人信息数据保护合规是目前风靡全球的五大重点合规领域。每个风险领域和风险点都需要设置相应的管理规范和行为准则，为企业和员工划定行为的规范和边界，这对于违法违规行为发生后单位责任和员工责任的切割具有重要意义。
第四，合规的程序。合规的程序主要包括防范体系、识别体系、应对体系三大体系，被称为合规的三大支柱。
防范体系是为防范合规风险的发生而建立的一套程序体系，可由四大要素组成：
（1）合规风险评估。具体形式包括定期评估和不定期评估。合规风险评估要求与时俱进，随着公司业务的变化和发展而不断更新，每年度都要定期形成合规风险评估报告，作为建立良好防范体系的证据予以留存。所谓“越是全面越是无效”，风险评估同样要针对合规风险点和重点合规风险领域展开，尤其针对重点风险领域，要进行定期评估。
（2）合规尽职调查。合规尽职调查根据调查对象的不同可以分为三大板块，首先是客户尽职调查，例如商业银行要调查大额存款客户的背景和存款来源，防止违反银行业监管法规；其次是第三方尽职调查，由于大多数合规风险来自于商业合作伙伴，开展该项尽职调查的目的是为了防止第三方违规祸及母公司；最后是投资并购相对方尽职调查，这同样是为了避免投资或收购带病企业，防范合规风险。
（3）合规报告制度。尤其是针对合规风险点和风险领域，要保证上下沟通顺畅。一方面，要定期由公司内部的合规部门自下而上进行报告，另一方面，合规部门和最高层也要将合规的政策和程序传达至每一位员工。
（4）合规培训。可以分为常规培训和有针对性的培训两类。常规培训的对象是不特定人，如一年一度面对全体员工的培训；有针对性的培训是指针对高风险点和高风险领域的部门、员工和上下游第三方的专门培训。合规培训蕴含着责任分担，可以有效切割公司责任、员工责任和第三方责任，以保住母公司为最终目标，及时建立隔离带和防火墙，防止母公司受到牵连。因此，有效的合规培训要求书面记录，还要有所有参加培训人员的签字，必要时还可以录音录像予以存档，为日后应对行政监管调查和刑事调查留存证据。
识别体系要求公司的合规计划具有雷达预警的效果，24小时防止违规行为的发生，因而又被称为合规风险的预警系统。识别体系主要包括以下几个要素：
（1）定期合规报告制度。合规报告本身兼具预防和识别的双重功能，根据报告内容的不同，对合规进展、风险领域的报告具有预防作用，而针对违规行为的报告则体现识别的功能，这一过程同样要保证信息上下沟通的顺畅。
（2）匿名举报制度，即“吹哨人”制度。匿名举报制度有两种模式，一种模式是鼓励企业所有员工、第三方举报违规行为，任何人都可以成为“吹哨人”；另一种模式是建立专门的“吹哨人”制度，由合规部门向各部门、分支机构秘密派驻员工，这些员工只对合规部门负责，成为专门的“吹哨人”。对“吹哨人”要进行高额奖励，也要建立完善的保护体系，保证其人身安全。
（3）巡回合规检查制度。大型企业的分支机构数量庞大，而且可能遍及全球，因此需要总部指派合规官进行巡视和调研，发现新的风险点和违规行为，及时督促其加以整改。
应对体系是指违规和犯罪行为一旦发生，企业及时应对处理合规引起的危机。应对程序一般包括五个要素：
（1）及时进行合规内部调查。企业需要聘请外部律师介入，对违规行为发生的原因、规章制度的漏洞和责任人展开全面调查，向监管部门和调查部门呈交内部调查报告。
（2）有效的配合调查。企业尤其要注意避免实施销毁账目、硬盘等阻碍调查的行为，禁止和员工建立攻守同盟，有效的配合调查强调合作的理念，这同时也是合规的前提。
（3）及时报告合规体系的漏洞以及合规计划的缺陷和不足。
（4）及时奖励发现违规的自然人，并惩戒实施违规行为的自然人，必要时交由司法机关处理。合规的生命就在于交出自然人，放过企业，其所体现的正是市场经济的交换法则。中兴公司无效合规的原因就在于应对体系失效，只有及时惩罚责任人，才能显示企业治理公司的决心，才能消除再次实施违规违法行为的人的基础。
（5）建章立制，完善合规体系。只有建立了有效的应对机制，才能真正建立有效的合规程序。
综合来看，有效的合规计划构成了相对封闭的完整体系，也被视为公司自我治理的有效方式，大大节省了外部行政监管和行政调查资源。行政监管机关也因此给予企业轻缓处罚的奖励，以激励企业自我调查、主动进行合规体系的完善。一个公司只有意识到建立合规体系的重要性，并且主动进行自我革命，发现违规行为和违规原因、找到合规漏洞，才能有效完善合规体系，实现企业的自我治理，这也成为合规在全世界兴起的一个重要原因。
二、跨学科视野下的企业合规机制
（一）作为公司治理方式的合规机制
合规首先是一个公司治理问题。众所周知，公司治理是经济学的研究对象，进入法学领域后就成为广义的经济法的研究对象，尤其是企业法和公司法，此外还包括政府对企业监管领域的法律部门，如证券法、金融法、反不正当竞争法、知识产权法、环境法等，都要研究公司治理的结构。如今，合规已经成为公司治理的有机组成部分，在传统所有权和管理权双重组合的公司治理结构内部增加了一种新的治理方式一合规治理。
在我国，合规治理是在几大外在因素和内在因素的共同推进下得以兴起的。其中外在方面主要有三大影响因素：
第一，国际公司治理格局变化的结果。自20世纪80年代以来，合规管理机制的引入，尤其是合规激励机制的确立，极大推动了合规制度的发展。第二，“一带一路”背景下中国大量企业走出国门，到海外经营、投资、上市，一定要遵循所在国和有关国际组织的法律制度和商业惯例，建立合规计划成为必然要求。第三，我国发改委、国资委、证监会等行政监管部门考虑到对外开放和海外投资的战略需要，大力推广合规，形成独具特色的行政主导型合规推广模式。
除此以外，合规的兴起还有三大内在原因，即前述可持续发展理论、公司的社会责任理论、无辜第三人保护理论，作为合规治理的三大正当性价值理论被提出和广泛传播。
合规治理跟企业内部其他治理方式之间的关系是首先要研究的议题。以国有企业合规部门的设置为例，目前这一问题非常混乱：有的国有企业将合规部门置于纪律检查部门中，作为广义的监察机构，至今有人将合规部门称为公司内部的“经济纪委”；有的将其置于审计部门中，在一定程度上被视为财务监督部门；有的将其归于风险控制部门，认为合规是风险防控的一部分；有的将其归于法务部门，作为公司法律风险防控的组成部分。
我国国有企业的治理结构十分独特，在政府作为企业实际大股东的情况下，如何摆正企业合规部门的位置，将合规引入国有企业的公司治理中，就成为一大难题。
综合来看，如何在企业内部由股东大会、董事会、高级管理层、监事会等组成的公司治理结构中引入合规部门，实践中做法不一，逐渐出现了四大机构：
第一，合规管理委员会。一般要求其设立在董事会之下，由公司高管担任委员会成员，例如，中兴集团的合规委员会由副董事长担任主席，湖南建工集团的合规委员会主席则由企业纪委书记担任，只有最高层重视的合规才有真正的价值。
第二，首席合规官（CCO）。国际惯例要求CCO具有企业高级管理人员的地位，目前中国的CCO有副总裁兼任、公司法务总监兼任、董事会秘书兼任三种模式。
第三，合规部。如前所述，有的公司单独设立合规部，有的公司将合规部与法务部门合并成立法律与合规部，有的公司与审计部门合并设立审计与合规部，还有公司在企业内部的纪律检查委员会下设合规部。无论部门如何设置，合规人员必须独立，既不能从事经营活动，也不能从事财务管理活动，这是有效合规的前提。
第四，企业所有的部门，以及分公司、子公司等分支机构内都要设置合规部门与合规团队，即使是在最小的部门中也要设置合规专员。
在我国的国有企业中，就有经历过国际组织的制裁后，按照国际一流标准建立合规计划的例子。
湖南建工集团在参加由世界银行资助的一起道路翻修项目的竞标时，在向世界银行贷款过程中虚构了一份获奖材料，结果被发现。这构成世界银行严令禁止的腐败和欺诈两大违规之一，世界银行立即对其进行制裁，在六种制裁中选择了相对较轻的一种，即附解除条件的制裁（Debarment with Conditional Release），先取消其参与由世界银行资助项目的招投标资格，然后要求在三年之内重建合规计划。
该项制裁不仅给湖南建工集团带来经济上的损失，还造成企业的声誉受损，此后其在参加非洲国家的一项大型建筑工程招投标项目时，该国国会就以企业被世界银行列入黑名单、信誉不良为由提出反对。不仅如此，世界银行实行连带管辖制度，只要一家公司受罚，所有关联公司一概被处罚。
截至2019年，我国被世界银行处罚的母公司只有44家，但是所有关联公司加在一起达到700余家。世界银行还与欧洲复兴银行、非洲开发银行、亚洲开发银行和美洲开发银行签订协议，只要在其中任一银行被施加剥夺资格一年以上的处罚，就会带来五家银行集体制裁的后果。于是，湖南建工集团深刻认识到建设合规体系的重要性，并以此为契机，在世界银行首席合规官和世界银行指定的由上海一位合规律师担任的独立合规监督人的指导下，建立了得到世界银行认可的极为先进的合规体系。
其特点主要有：在董事会下设立诚信合规委员会，法务总监兼任首席合规官，公司组建了法律与合规部，每个分支机构以及下属单位都设有法律与合规部，都配备合规负责人和合规专员。湖南建工合规体系中还引入了在中国最难建立起来的合规举报制度，实行24小时电话举报，由企业内部员工和第三方举报违规行为。
（二）作为行政监管激励机制的合规
合规还是行政法学研究的范畴。“刑事合规”这个词经常为人们所津津乐道，有人甚至认为没有刑法的介入，合规将是毫无意义的。但是刑法只能作为国家治理社会所采用的最后手段，绝不能将合规等同于刑事合规。相较而言，行政监管合规才是合规最广阔的领域，美国处理企业涉嫌违法违规行为的案例大都来自于行政监管部门。
例如美国证券交易委员会（the U.S. Securities and Exchange Commission，SEC）对企业涉嫌违法违规的案件，95%都是以行政和解的方式处理的。行政和解除了要求缴纳高额的罚款（和解金）夕卜，还要附加合规计划的实施，也就是给企业设置一段时间的考验期，在此期间企业要重建合规计划，证交会还可以派驻合规监督员加以督促。经过验收符合要求之后，证交会就不再对该企业进行民事起诉或严厉的行政处罚，而以轻缓的处理方式避免企业受到经营资格的剥夺等更大的损失。
在中国中兴通讯公司案件中，美国商务部和财政部是对其发起制裁的第一批机构，所依据的是美国的行政监管法规。虽然美国很多案件是行政监管和刑事侦查部门同时介入，但首当其冲的是美国商务部工业与安全局和美国财政部海外资产管理办公室这两个部门。由于中兴公司违反美国关于出口管制的法规，同时也涉嫌犯罪，所以美国司法部作为检察机关也介入了调查，形成行政监管调查和刑事侦查双管齐下的局面。
最终，美国司法部与中兴公司达成暂缓起诉协议（Deferred Prosecution Agreement，DPA），美国商务部和财务部与中兴公司在2017年和2018年达成两次行政和解协议，罚款数额分别为8.92亿美元和10亿美元，包含给美国政府的损失补偿、对执法成本的补偿、对受害者的赔偿三个部分。
与此同时，根据达成的和解协议，中兴公司还要在未来的十年时间里完善合规计划，美方派驻有在联邦司法部任职多年检察官经历的律师霍华德担任合规监督员，由其直接领导中兴公司的合规部。作为配合开展合规调查的前提，中兴通讯公司要在30天内更换董事会和管理层的所有成员，而只能由美方所认可的人员担任，并被要求在董事会之下组建合规管理委员会，由副董事长担任主席。
对于合规当然可以从美国霸权的角度理解，法国阿尔斯通公司（现已被兼并）的前任总裁涉嫌在美国进行商业贿赂，但拒绝与美国达成暂缓起诉协议和不起诉协议（Non-prosecution agreement，NPA），结果最终被定罪判刑，出狱以后写了《美国陷阱》一书。
事实上，对于合规问题始终有两种声音，一种声音代表了国际政治的视角，认为合规是美帝国主义经济霸权和长臂管辖权的体现，最近有人把以合规为主导的一系列法律法规称为超越普通管辖权的“教会法”，批判美国利用法律作外衣行国际霸权之实。另一种声音代表了法律人的视角，将合规视作一种行政监管手段。从美国证交会，到美国商务部、财政部、美国联邦贸易委员会，都是所谓的行政监管机构，在这一方面，美国对本土企业同样毫不留情。美国联邦贸易委员会在2019年7月以侵犯上亿公民的个人隐私和数据信息为由，与Facebook公司达成50亿美元的和解协议，并要求其重建合规计划。
值得一提的是，个人信息数据保护合规是目前世界范围内极为热门的合规风险领域。欧盟2016年通过的《通用数据保护条例》（General Data Protection Regulation，GDPR），可以直接在各欧盟成员国施行，它将改变民商法和经济法的基本面貌，其中就涉及个人信息数据保护合规的概念。
美国环境保护部门对美国企业涉及环保违规的案件99%都是以行政和解的方式处理，直接处罚的案件越来越少。再如美国联邦贸易委员会、商务部、财政部、国土资源部等政府部门，也有这种权力。综合来看，美国几乎所有联邦行政部门都有行政监管处罚权，也同时拥有与涉案企业达成行政和解的权力，并可以在行政和解协议中加入建立或者改进合规计划的内容。
根据相关统计，美国行政案件达成的行政和解与跟美国联邦司法部达成DPA、NPA的比例大约是3：1，相当于每4个案件中有3个案件只停留在行政和解阶段，有1个案件引入“刑事和解”（DPA/NPA）。所以合规首先是行政监管的激励机制，只要承诺完善合规计划，并配合调查，考验期满后达到要求就可以获得较为宽大的处罚。
在世界合规浪潮的影响下，作为行政监管激励机制的合规已经引入中国，主要标志有三个。
第一，2017年修订的《反不正当竞争法》第7条，在公法领域第一次引入严格责任原则。企业的工作人员只要实施了商业贿赂行为，就应当认定为经营者的行为，推定企业承担行政责任，但是有证据证明工作人员的行为与为经营者谋取交易机会或者竞争优势无关的除外。原国家工商管理总局反垄断与反不正当竞争局局长在接受媒体采访时指出，这里的“有证据证明工作人员的行为与为经营者谋取交易机会或者竞争优势无关”，是指经营者已制定合法合规合理的措施，采取有效措施进行监管，不应放纵或者变相放纵工作人员实行贿赂行为。
换言之，即企业有证据证明建立了良好的合规体系，因此可以免除该企业的行政责任。严格责任引入后，合规不再只是一种公司治理方式，而开始进入行政监管领域，企业可以用合规作无责任抗辩，只要建立合规体系，就可以免除单位的责任，合规就成为切割员工责任和单位责任的事实依据，成为无责任抗辩事由。
第二，2015年中国证监会颁布了《行政和解试点实施办法》，被认为是我国第一次在行政监管和行政执法中引入行政和解。此前行政和解主要发生在行政复议和行政诉讼阶段，属于行政救济和争议解决过程中的和解。2015年最大的突破是在行政执法和行政监管调查阶段引入行政和解，证监会在调查期间发现企业违规的，只要符合法定条件，双方就可以达成和解协议，由企业方交纳行政和解金，证监会对其中止调查。与此同时，企业必须对涉嫌违法行为和不合理的规章制度进行全面整改和消除。行政和解的这种新模式其实包含了合规机制，企业只要改变过去的商业模式、管理方式、治理结构，就进入了合规的世界。
因此，《行政和解试点实施办法》在行政监管和行政执法领域中引入行政和解的同时也引入了合规机制，并将其作为行政和解协议的有机组成部分，从而彻底改变过去行政监管机关动辄严厉处罚的局面，通过督促企业建立合规机制进行整改、堵塞制度漏洞的方式来帮助其改善公司治理结构，防止再次出现违规行为。2019年4月，证监会出现第一起行政和解案例，高盛（亚洲）有限责任公司、北京高华证券有限责任公司及其7名相关工作人员由于涉嫌证券交易违规，与中国证监会达成行政和解，交纳行政和解金1.5亿元人民币，并进行合规整改。
第三，在行政监管领域还引入了行政主导下的强制合规制度，目前由国务院国资委和发改委这两个部门起主导作用。2018年可以被称为中国的合规元年，在这一年中，我国共有三个合规指引发布或实施。首先是中国国家标准化管理委员会制定的《合规管理体系指南》，该文件虽然不具有行政约束力，但成为合规的第一个国家标准。有行政强制力的文件是由国资委颁布的《中央企业合规管理指引》（试行）和由发改委会同七家部门联合发布的《企业境外经营合规管理指引》。以上三份文件标志着合规正式进入中国，成为中国企业建立合规管理体系的直接法律依据。
如今，国家监管部门一般通过三种手段来推进合规体系建设：
第一，合规考核。由国有企业“一把手”担任合规体系建设的第一责任人接受考核，规定的时间内考核不合格的立即予以免职，这是用行政考核手段推进合规。
第二，合规处罚。如果未按要求建立合规体系，直接对企业本身和企业高级管理人员施加行政处罚，对人员采取免职、降职等处罚手段，对企业则采取罚款、限期整改等处罚手段，将行政处罚手段作为推进强制合规的举措。
第三，全行业合规制度。作为推进合规最为严厉的手段，中国证监会自2017年起强制要求全行业建立合规制度，即所有证券公司和证券投资基金管理公司都必须建立合规制度，否则将强制取消其证券营业资格。取消一个企业的经营资格，是对企业最严厉的处罚方式，意味着企业存在的基础不复存在。行政主导下强制合规制度的建立，使合规成为一种行政监管的激励机制。
（三）作为刑法激励机制的合规
尽管合规并不等同于刑事合规，但合规显然与刑法具有极为密切的关系。合规纳入刑法的范畴肇始于《美国联邦量刑指南》，该指南是以自然人为基础的量刑规范。1991年，该指南中增加了独立的一章针对企业的量刑指南——《组织量刑指南》。
《组织量刑指南》第一次把合规体系的建设和有效的合规计划作为减轻刑罚的重要情节，可谓合规领域的一场革命。美国刑事司法近年来的案例显示，通过建立合规体系、配合调查、自我主动披露等方式，企业罚金最多可以减少90%以上。即使在一般情况下，企业通过建立合规计划也可以将罚金减少1/3，这意味着合规已经成为法定减轻处罚的量刑情节，并在实践中卓有成效。
目前在美国，有70%的公司犯罪案件通过DPA或NPA的方式处理，其余30%会被最终定罪，但其中大部分都是辩诉交易的结果，合规在这些案件中也可以成为辩诉交易后进行量刑宽大处理的法定情节。最终对企业直接定罪而没有任何从宽处罚优惠的案件微乎其微，除非如阿尔斯通公司那样既拒绝达成DPA或NPA，也拒绝辩诉交易，就只能面临刑事定罪和高额财产刑。
刑事司法领域的另一场革命发生在1999年。美国联邦司法部发布《联邦起诉商业组织的原则》，规定联邦检察官在决定对企业是否提起公诉时要考虑九个因素，比如犯罪的性质、公司类似违规行为的历史、是否及时配合调查、是否有整改方案、是否有合规计划等，其中有三个因素与合规有关。至此，美国司法部所主导的联邦检察机关开始把合规计划的建立作为是否提起公诉的依据。
换言之，如果有良好的合规计划，理论上可以不起诉，实践中则大量达成DPA或NPA。除此以外，检察机关还需要考虑起诉企业之后，是否会导致公司员工、股东、投资人、养老金领取者、上下游第三方乃至社会公众的利益受到严重损失。这涉及企业合规中的一个重要理论：公司犯罪刑罚中的“水波理论”，即惩罚企业以后，就像水波扩散一样，会导致很多无辜第三人受到波及。因而美国的起诉政策开始考量，尽量避免让无辜第三人受到损失，甚至可以因此而不起诉。
由此可见，一个有效的合规在刑事司法中所带来的最大影响就是DPA和NPA。暂缓起诉协议和不起诉协议没有本质区别，只是所处诉讼阶段不同。被指控构成犯罪的企业，只要被起诉到法院，在审判阶段经过法官批准所达成的和解协议叫暂缓起诉协议（DPA），还未起诉至法院时检察官与企业达成的协议称为不起诉协议（NPA）。
NPA和DPA成为合规计划的激励机制，只有具备合规计划的基础，且承诺完善合规计划、接受合规监管、配合调查等，才能够达成DPA或者NPA，协议约定的三年到五年的考验期结束后，只要经考核合格，就不再进行起诉。所以其本质是一种暂缓起诉，甚至相当于附条件不起诉，最后获得的是无罪的处理结果。
2002年以后，适用DPA和NPA的案件数量在美国大幅度上升。2002年“安达信案”是一起具有里程碑意义的案件，位居当时全球五大会计师事务所之首的安达信会计师事务所由于涉嫌给安然公司破产案提供虚假材料、销毁证据，美国联邦司法部以妨害司法公正罪向法院起诉。然而进入审判阶段后，安达信事务所拒绝达成辩诉交易和DPA，法院判定其构成妨害司法公正罪，虽然只被处以50万美元的罚款，但却产生了雪崩式的后果：在检察官起诉的第二天，美国证交会就取消了安达信事务所给上市公司提供审计服务的资格，使其丧失开展主营业务的能力，致使拥有85000名员工的安达信事务所在一年后只剩下不到2000人，大量员工失业。
当时一位检察官说道：我们起诉了一个企业，换来的只是区区50万美元的收益，却导致全球第一大会计师事务所分崩离析，美国经济遭受重创。于是美国司法部总结出两句著名格言：第一，起诉公司等于宣告它死亡。第二，对待企业犯罪，只能采取一种新的政策，即放过企业，严惩有责任的自然人。
当然，建立合规计划是最重要的前提和条件。所以安达信事件爆发后，美国司法部立即改变了公司起诉政策，大幅度使用DPA和NPA，如今美国联邦司法系统平均每年达成DPA或NPA百余件，美国的微软、苹果、波音、沃尔玛等大量著名企业都被以这种方式处罚过，可以说如果没有DPA和NPA，美国将生活在罪犯的世界中。美国对本土企业严刑峻罚是一个基本事实，在美国真正被处罚的主体80%是本土企业。此时，合规就成为一个刑法问题。
2010年英国的《反贿赂法》创造了一个世界领先的先例，通过设立“商业组织预防贿赂失职罪（failure of commercial organization to prevent bribery），改变了刑法的基本原理，将严格责任引入刑法。7当员工构成贿赂犯罪时，单位不一定构成贿赂犯罪，但推定单位在预防员工贿赂方面有失职行为，并可构成这一独立的罪名。设立该推定型犯罪的后果是，单位要做无罪抗辩就需要承担举证责任，证明已经建有良好的合规计划，因而不构成失职行为。
由此，合规在英国成为无罪抗辩事由，这是一种全新的模式，连美国1977年《反海外腐败法》（FCPA）都没有确立。最新的发展是2017年英国又增设“商业组织预防逃税失职罪”，其归责模式和“商业组织预防贿赂失职罪”如出一辙，分公司、子公司、第三方或者员工有逃税行为，只要没有建立合规计划，就推定构成本罪，合规计划同样成为无罪抗辩的法定事由，英国刑法的基本面目发生了改变。
于是，刑事合规的概念开始出现，合规成为刑法上的激励机制。顾名思义，一个企业涉嫌犯罪后，只要具有或者承诺建立有效的合规计划，就可以得到不起诉处理，或者定罪后被宽大量刑，或者以其作为无罪抗辩事由，或者与检察官达成DPA、NPA，最终也能获得不起诉的结果。如此宽大的刑事处理结果，必然对企业产生极大的激励效果，中国企业一到国外就愿意建立合规体系，根本原因就在于此。建立合规计划成为中国企业走出国门到海外进行经营、投资、并购、上市的必然要求，它源于这些国家成熟发达的合规制度对中国企业的外部压力机制。
纵观世界成功建立完善合规计划的企业，几乎都有被刑事追究和被行政监管处罚的经历，这种外部压力机制甚至成为德国、法国等诸多国家引入合规制度的原始动力。目前中国的国有企业建立合规的最大教训就是由于缺乏激励机制，大多都沦为应付行政监管的表面工程，当合规不带来任何价值的时候，注定流于形式，企业建立合规计划、改善公司治理就难有积极性。好在如今以行政机关主导推进为表征，促使企业建立合规计划成为中国的国家战略要求，我们有理由对下一步合规在我国刑法中被真正确立持乐观态度。
（四）刑事诉讼法与合规的关系
检察机关一旦将企业涉嫌犯罪的案件起诉到法院，双方可以达成暂缓起诉协议，也称延迟起诉协议。相较而言，不起诉协议制度是美国独有的。目前在美国达成协议的案件60%达成的是NPA，40%达成DPA。其他国家虽没有接受NPA，认为检察官自由裁量权太大，会引发严重的问题，但普遍接受了由法院进行司法审查达成暂缓起诉协议的DPA模式。
2014年英国引入DPA，法国则在2016年颁布《萨宾第二法案》即法国的反腐败法案，正式将合规引入法国刑法，并随即确立了法国式的DPA制度，即“基于公共利益的司法协议”（CJIP）制度。2018年澳大利亚、加拿大和新加坡确立DPA制度。目前即将引入DPA的国家和地区还有我国香港特别行政区、印度、新西兰、阿根廷等。可以说，DPA具有世界性的价值，而NPA只是美国的本土特色。
DPA所确立的司法审查模式是在法院主持的听证会上，检察官将达成的协议提交法院接受司法审查，由法院决定批准，考验期结束后法院还要举行听证会予以验证，最后作出是否批准不起诉的决定。从达成协议的审查程序、到考验期结束后是否作出不起诉决定，法院拥有权威、独立的司法审查权。美国对自然人采用的是辩诉交易制度，但是辩诉交易仍然具有定罪的效果，只是在量刑上宽大处理，而DPA—旦达成，考验期结束验收合格后将由检察官撤回起诉，不会留下犯罪记录，企业得到的是无罪处理结果，从而获得极大的利益。
因此，DPA得以风靡全球，一跃成为最重要的刑事诉讼制度之一。21世纪有两种协商性司法制度兴起，对自然人影响最大的是控辩协商制度，2018年中国刑事诉讼法修改后引入认罪认罚从宽制度，该法所确立的量刑协商制度就来源于此。而对于企业，本世纪最前沿的课题就是达成附条件的不起诉，也就是暂缓起诉协议，同时引入合规机制。
DPA制度改变了刑事诉讼程序的基本面貌，欧美许多刑事诉讼教科书都增加了专章介绍公司犯罪案件的特殊程序以及DPA制度的引入。它的本质就是在协商性司法框架下由检察机关和涉嫌犯罪的企业达成的一种和解协议，并将合规计划的建立作为其基本要求。
（五）作为律师业务的合规
辩护制度是刑事诉讼制度的重要组成部分，律师提供合规业务也是合规制度不可分割的一部分。
西门子公司的合规计划被美国司法部称为最优秀的合规计划，其经历可以说明律师团队所作出的贡献。2006年，德国慕尼黑检察院调查西门子公司向11个海外国家行贿事件，是否构成德国刑法海外贿赂犯罪。德国刑法至今没有规定法人犯罪，法人如果实施了严重危害社会的行为，只能对其进行行政制裁，处以行政罚款或准刑事罚金，并通过调查追究相关自然人的刑事责任。
由于媒体报道事件曝光，西门子公司直接向美国证交会和司法部投案自首。美国证交会和司法部遂责令其自查自纠，西门子公司经批准后聘请美国德普律师事务所律师团队介入。德普律师事务所还聘请了一个会计师团队，两个团队介入后对西门子进行了两年时间的“合规内部调查”，共调查了数以亿计的交易记录和相关文件，公司2/5的员工卷入调查。
两年后由德普律师事务所领衔起草的合规内部调查报告提交美国证交会和司法部，这份报告创造了奇迹，最终成功说服司法部和证交会同西门子公司达成和解协议，罚款8亿美元，并要求其重建合规计划。为了显示诚意，西门子公司接受了一位美国前任检察官担任合规监督员，并任命刚退休的国际知名经济学家、德国前财政部长威格尔博士担任合规监督员，并兼任合规部负责人，他们在三年工作时间里帮助西门子公司有效解除了后续的制裁。
通过建立合规体系，西门子公司在美国的上市资格得以保留，与作为主要客户之一的美国政府的交易资格也得以保留，成功避免了企业被定罪后随之而来的雪崩效应，至少挽回了千亿美元的损失，律师在合规体系中的作用可见一斑。
通常而言，律师的合规业务主要包括有效合规计划的打造、三项合规调查、行政监管和刑事调查的应对业务三大板块。
第一，有效合规计划的打造。相关业务形式可以包括两种：一是从无到有帮助制定合规计划，二是完善已有的无效或存在漏洞的合规计划。有效合规计划的几大要素其实就是合规计划打造的基本标准。与此同时，在打造合规计划时一定要考虑企业的性质、产品、运营范围、合规风险类型，例如对于商业银行，反洗钱业务和公民信息保护业务是首要的两个业务板块；而对于P2P行业，则要重点考虑规避触犯破坏社会主义市场经济秩序罪的风险。
相应地，要针对特定企业不同的风险点和风险领域建立不同的员工手册和行为准则，避免面面俱到，指令模糊。还要注意吸收已被处罚的同类企业的经验教训，作为风险防控的重中之重，写入合规计划。总之，打造合规计划的关键不在于形成合规规范文件，而在于使书面的合规文件被激活，成为有效的合规计划。
第二，三项合规调查。所谓三项合规调查，是指合规尽职调查、合规内部调查、反舞弊调查，所形成的合规尽职调查报告、合规内部调查报告、反舞弊调查报告就成为律师提供合规服务的产品终端。但报告本身只是合规业务的表现形式，合规业务的实质要件是帮助企业规避行政监管和刑事处罚的风险。
首先，合规尽职调查。企业外部律师进行合规尽职调查具有独特的优势，因为律师独立于公司，没有利益冲突，而且具备专业能力，也可以得到财务、审计等专业人士的协助展开调查。合规尽职调查是律师合规的黄金业务，其种类非常多，常见的有面向第三方的尽职调查，如上游的供货商，下游的经销商、代销商、代理商等，公司中大量违法违规行为，如内外勾结的舞弊行为等都与第三方有关。因此在与第三方建立合作关系前要对其进行尽职调查，以化解合规风险。
除此以外，在投资并购过程中，被投资、被收购的企业实施违法违规行为的后果要由母公司承担，因此也需要对关联企业进行合规尽职调查。合规尽职调查的目的只有一个，就是防控合规风险，将企业责任与员工责任、第三方责任、被并购方责任进行有效分割，以避免母公司受到牵连。合规尽职调查的主要内容包括对方企业的性质、背景、因违规违法被处罚的经历、面临的风险点和重点风险领域，以及该企业现有的合规框架结构是否能有效防范风险。
最终需要在合规调查报告中对被调查公司评定风险等级，有的律师事务所在开展该项业务时将合规风险划分为五级，第五等级为最高风险等级，代表建议公司立即取消与该企业的商业合作，其次两个等级为严重警告和一般警告，对相关企业随即开展限期整改、定期审查、整改不合格后更换风险等级三项工作，可见尽职调查报告具有管理合作伙伴的功能。合规尽职调查被写入美、英、法等国的刑法体系里，成为有效合规的组成部分，当然也成为一项重要的律师合规业务。
其次，合规内部调查。德国西门子公司聘请德普律师事务所进行的就是合规内部调查。合规内部调查是应对体系的一部分，是在违法违规行为发生后、监管部门和刑事侦查部门介入的前后，企业聘请律师事务所进行的独立的内部调查，有时为增强权威性，还会事先征得监管部门和司法机关的同意。合规内部调查目的在于最大限度获取行政监管部门的宽大处理，争取行政和解，同时避免案件恶化，尽最大努力防止被刑事侦查机关立案。
合规内部调查的功能包括：
第一，系统性查清违规行为、制度漏洞、违规原因，因此调查耗费时日，需要团队介入。
第二，发现违规责任人。对于监管部门发现的责任人，要全面调查其违规行为，只有查清自然人的违规行为并将其送交司法机关，才会被认为是配合调查，赢得监管部门的谅解；对于没有被发现的责任人，需要承担自我主动披露义务，这可以得到额外的奖励。在美国，主动披露未被监管机关掌握的违规事实和责任人甚至可以实现罚款的减半。
在中兴公司2017年与美国商务部达成的和解协议中，被要求开除负有责任的39名高管和员工。但在第一轮处罚结束后，中兴公司只辞退了其中4名高管，而对其余35名相关人员却发放了高额奖金，且未调离岗位。“吹哨人”举报后，美国随即对中兴公司发动了第二轮制裁，其又付出十亿美元的沉重代价。因此，合规内部调查具有找出自然人并对其严厉惩戒的功能，如此才能消除隐患，防止再犯罪的发生。
第三，制定整改方案，完善合规计划。由于具有以上三个功能，合规内部调查又被视为企业内部治理的一种手段。通过这种手段，国家在企业治理上节约了大量资源，还能改变企业的治理结构，消除企业再犯罪的基础和土壤，排除隐患。因而合规内部调查也被写在多国法律中，作为有效合规计划的一部分，成为律师合规业务的第二个黄金板块。
最后，反舞弊调查。这是由合规内部调查发展而来的合规调查。由于公司内部人员众多且关系复杂，对企业内部人员的调查就逐渐独立出来，形成合规反舞弊调查。所谓反舞弊调查，是指企业一旦因违规行为接受监管调查之后，在外部律师的帮助下对公司内部负有责任的自然人进行的有针对性的调查，目的包括查清自然人的违规行为和责任情况，并搜集证据，对责任人进行内部处理或者将其提交监管部门或司法机关。
相对于企业内部人员组织的调查，外部律师进行调查的巨大优势在于律师享有职业豁免权，对客户掌握的商业秘密有保密特权。如果由内部人员进行合规调查，则不享有职业豁免权，需要披露企业的全部违法违规事实，这将给企业带来无法预估的损失。所以企业只能选择聘请没有利益冲突的独立外部律师介入，律师的这一业务得以在欧美大规模兴起。于是，律师的合规业务，尤其是最重要的尽职调查业务、内部调查业务、反舞弊调查业务，就成为了有效合规计划的组成部分。
第三，行政监管和刑事调查的应对业务。该项业务集中于两个环节，一是公司正在接受行政监管部门调查之时，二是侦查机关的初查阶段。
首先，应对业务应高度重视行政监管阶段，由于大多数案件都消化在行政监管环节，最好的应对业务应是在这一环节经过律师的介入后，阻止案件进入刑事诉讼程序，得到宽大的行政处罚。
其次，应对业务的关键在于提交有效的合规计划以证明消除再犯同类违法违规行为的可能性，并愿意交纳高额罚款、积极配合调查，绝对不能实施销毁账目、证据、与员工建立攻守同盟等行为。不仅如此，还要慎用行政复议和行政诉讼手段，因为这些手段只会加速案件进入刑事诉讼程序。
再次，如果案件有较大可能被刑事侦查，就需要立即进行商业模式诊断，发现可能构成特定犯罪的，则通过改变商业模式以消灭相关犯罪构成要件，从而转化为行政违规行为，争取宽大的行政处罚，这背后蕴藏着行政不法事实与犯罪事实的层次性理论。
最后，要提供一些必要的服务，如提前帮助收集、固定证据，必要时对相关专业问题委托鉴定，避免将来接受调查时处于被动。
（六）合规视野下企业的刑事责任问题
在世界范围内，美国、英国、澳大利亚等国家，甚至德国、法国等传统的大陆法系国家，都不约而同地赋予合规出罪的功能。企业只要建立合规体系，就能被宣告无罪，或被不起诉。但这一机制在我国法律中存在一些理论上的障碍。我国刑法的罪刑法定原则、罪刑均衡原则、责任主义等基本理论要求不能放纵有罪的单位，而企业实施的洗钱、商业贿赂等犯罪往往数额庞大，绝非轻微犯罪，有的甚至构成严重的犯罪。用合规换取无罪处理是否具有正当性与合法性，是否会放纵犯罪，这是当前我国刑事理论界所面临的头号难题。
在英美两国，民法中的大量归责原则进入刑法体系。
首先，严格责任原则被英国刑法确立，严格责任来源于民事侵权法的无过错责任，英国《反贿赂法》设立的“公司企业预防商业贿赂失职罪”，以及新增的“公司企业预防逃税失职罪”，都为企业规定了严格责任，只要员工实施相关违法犯罪行为，就推定企业构成本罪。我国刑法遵循主客观相统一原则，只有客观行为、没有主观过错不构成犯罪，排斥了严格责任的存在余地。
其次，“继承责任”的概念被引入刑事归责原则之中。继承责任主要发生在投资并购行为中，是指被投资并购企业原来的违法犯罪行为被母公司继承，只要不建立合规体系，在“继承”公司产权或股权的同时也就继承了公司的刑事责任。2010年美国司法部和证交会通过了一份FCPA实施细则，明确规定只要在投资并购过程中被收购方存在违法犯罪行为，而收购方没有做好合规尽职调查的，一律追究收购方的刑事责任。
大量民法归责原则进入刑法是否存在法理上的障碍，也是一个亟待解决的理论问题。
第一，对于因为建立合规而宣告无罪的正当性问题，需要从单位刑事归责原则的角度切入。通说认为，建立在自然人犯罪基础上的企业归责理论认为单位犯罪以自然人犯罪为前提，只有自然人构成犯罪才会追究企业责任。如英美的“雇主责任原则”，强调只有内部员工、代理人等构成犯罪，才会追究企业责任，代理人的行为和思想代表了企业的行为和思想。随后又出现了“同一性理论”，即只有董事会成员、高级管理层等高级管理人员才能代表企业，这些人员的行为才能视为单位行为。英国后来又在此基础之上发展出“替代性责任原则”。
总之，整个20世纪单位刑事责任发展的历史就是以自然人归责为基础追究单位责任，这与刑法严格要求主客观相统一有关，不仅要求有犯罪的行为，还要求具有犯罪的意志。单位没有灵魂和思想，因而只能依托自然人的思想来替代。
但是人们逐渐发现这一理论存在若干问题。
其一，具体自然人的责任难以确定。例如一个犯罪行为是经过董事会集体表决而得以实施，表决遵循无记名投票、少数服从多数的规则，此时单位肯定构成犯罪，但没有一个自然人明显地构成犯罪，无法追究自然人的刑事责任。
其二，单位的意志难以证明。例如单位高管、员工实施重大犯罪，且没有以单位的名义，亦并非为单位的利益，此时单位的意志和主观罪过难以证明。有学者提出可以引入单位的过失责任，但无论如何，此处的焦点问题是谁能代表单位的意志和主观罪过，尤其是在单位高管和员工为个人利益实施犯罪行为的场合。
于是，从20世纪末到21世纪初，出现了法人犯罪的“组织责任理论”，又称为“组织体责任理论”。该理论认为单位是一个生命的有机体，单位责任不依赖于自然人的行为和主观过错而存在，单位有自己独立的意志，因而也有独立的犯罪故意和过失，即使没有自然人构成犯罪也照样可以追究单位的刑事责任。该理论在一段时间内风靡全球，成为21世纪企业刑事归责理论的发展方向。
在“组织责任理论”的框架下出现几个理论分支：其一为“企业文化归责理论”，指根据企业的文化追究企业责任，如果一个企业没有形成禁止犯罪、严惩违法人员的管理文化，反而鼓励犯罪、对犯罪者不予严格追究，就要因此承担刑事责任。其二为“企业预防失败理论”，指由于企业预防违法违规失败，因而需要承担刑事责任。其三为“人格理论”，指企业作为一个独立的人格，可以实施独立的行为、表达独立的意志，企业可以发号施令、独立发布规章制度，这本身既是企业的行为，也是企业的义务。
根据“组织责任理论”，由合规宪章、合规组织体系、禁止大量违规行为的员工手册，以及防范、识别、应对体系所组成的完整的有效合规计划，代表了企业的文化、行为、预防违法犯罪的态度和企业的集体意志，说明企业对违法犯罪行为持零容忍的态度，建立了很好的企业文化和管理体系，在预防违规和犯罪方面发挥了积极的作用。
最终，一个有效的合规计划证明了企业没有犯罪的过错，企业既没有犯罪故意也没有犯罪过失，因而不承担刑事责任，并成功地切割了企业责任和员工责任、企业责任和第三方责任、企业责任和投资并购相对方责任。一言以蔽之，合规计划能证明企业无罪的唯一原因，是由于企业作为一个生命有机体，具有独立的行为和意志，有效合规计划能够证明企业没有犯罪的主观意志，而是员工、第三方、投资并购相对方超越企业的授权、违背企业意志，为其个人利益从事违法行为，因此应追究其个人责任而不能连带追究单位责任。
第二，对于民法中的严格责任、继承责任等归责原则能否引入刑法的问题，一个基本立场是：对自然人而言，民法的责任原则进入刑法要慎重，因为这容易带来责任追究的扩大，导致入罪规模扩张。但是对法人单位来说，民法归责原则的引入是以出罪为导向的，合规计划与民法中的严格责任和继承责任就像一枚硬币的两面，形成互补关系。
严格责任表面看来让公司承担更为严格的无过错责任，但企业可以利用合规计划来实现无罪抗辩，而且这种无罪抗辩相较而言是较为容易的，体现了实体上从严、程序上从宽两相结合的治理智慧。同样地，在投资并购过程中只要被收购方曾经实施违法犯罪行为，母公司就要承担相应的刑事责任，表面看来也十分严格，但是企业只要具有合规计划就可以实现责任的分离和切割，起到无罪抗辩的效果。
民法上归责原则的引入不仅不会带来严刑峻法，反而给企业提供了无罪抗辩的机会，而且把合规作为无罪抗辩的重要事由，成为最有效的督促企业建立合规计划的激励机制，获得了双赢的效果。
通过上述分析可以得出结论，合规是一个跨学科的研究对象。合规发端于公司治理，是公司治理方式的有机组成部分。合规构成了行政监管和刑法上的激励机制，同时也构成了刑事诉讼法上协商性司法的两大模式之一，导致跟控辩协商相并列的暂缓起诉协议在全球范围内兴起。合规作为律师业务与有效的合规计划密切相关，企业要想打造有效的合规计划，必须聘请外部独立的律师介入，提供尽职调查和内部调查。随着民法责任原则的引入，合规还将改变法人刑事责任理论的基本面貌。
三、我国法律体系引入合规机制的基本设想
有效合规体系的建立需要一套涉及多个法律部门的制度保障，对我国立法提出了全新的要求。只有对我国法律制度进行全面修改，才能为合规机制的引入创造良好的制度环境。
（一）我国行政监管制度的改革
经济法主要是指国家监管经济活动的法律，又可以称为经济行政法，目前经济法学研究和行政法学研究的相对分离，不利于在经济法领域开展行政监管方式改革。未来，在以下几个领域需要进行行政监管法律的重大改革，包括反洗钱领域、反商业贿赂领域、反不正当竞争领域、出口管制领域，以及海关对走私的监管、税务部门对涉税案件的监管、国家市场监管总局对市场违规行为的监管等。这些监管方式的改革包括三个基本面向：
第一，改变原有的严刑峻罚治理方式，全面引入行政执法和解制度。经验表明，以严刑峻罚作为监管方式收效甚微，尤其对于通过违规行为可以获得高额违法利益的企业来说，罚款对其威慑力极低。要想从根源治理企业违法，就需要引入行政和解机制，2015年中国证监会初步建立行政和解办法，但是直到2019年的高盛集团案件中才出现第一个行政和解协议。
下一步，行政和解应扩展到所有监管领域，所有涉及企业行政违规的行为都可以纳入行政和解领域。这种行政和解建立的机制是监管部门和被处罚的企业经过妥协、协商和讨价还价达成协议，与行政救济和行政诉讼中作为矛盾化解机制的行政和解有本质区别。行政监管领域的行政和解是以和解换取宽大的行政处罚，在所有以企业为对象的行政执法中，只要有合规的空间，就可以与其签订和解协议。
第二，和解协议的主要内容应包括交纳和解金和重建合规计划。和解协议虽然以交纳和解金为前提，但一定要同时引入合规计划，没有合规计划的和解将是毫无意义的。交纳和解金和按照有效合规的标准重建合规计划，应成为和解得以达成的两个基本条件。
第三，和解协议中要设置考验期。行政和解只是承诺在一到三年的考验期内不处罚，如果不建立有效的合规计划，期满后照样要严厉处罚。因此行政机关督促企业打造合规计划的前提是要在相关法律中建立具有强制力的合规计划的国家标准，作为企业建立、完善合规计划的基本标准。
同时要有合规计划的监控机制，参照国际惯例，可以引入合规监督员制度，由行政监管机关聘请合规监督员来监督企业改造合规计划。合规监督员可以由具有合规官、合规律师从业经历，声誉良好且具备专业能力的人员担任，定期向监管部门报告合规进展情况，监管考验期结束后提交最终报告来帮助监管机关决定是否放弃处罚，以和解方式结案。
行政和解机制的确立可以改变以往单一低效的行政处罚方式，推动我国行政监管机制的完善，也能够最大限度激励企业建立有效的合规计划。同时，在中国经营的外国企业也要受到中国行政监管和解机制的约束，这样就可以在外国企业中引入中国的合规治理模式，使外国企业成为中国法律监管的对象。
（二）我国单位犯罪制度的变革
为了适应时代的发展，创造合规机制引入的制度基础，我国刑法需要改革几大制度。
第一，要改革单位犯罪的概念。我国《刑法》第31条规定，单位犯罪的，不仅要对单位判处罚金，还要对其直接负责的主管人员和其他直接责任人员判处刑罚。这反映了目前我国单位犯罪的概念体现的是西方以自然人为基础的单位犯罪归责理论。
要想把合规引入刑法，就需要改革单位犯罪的概念：单位犯罪是指以单位的名义，体现单位的意志，由单位实施的，危害社会的行为。单位犯罪与自然人犯罪具有本质区别，单位内部的任何人员犯罪都属于自然人犯罪，但单位之所以构成犯罪是因为单位具有独立的行为和意志、具有独立的主观罪过。
由此可以把单位犯罪分为四大类：
首先是传统的单位犯罪，即单位内部的自然人以单位的名义、体现单位的意志，所实施的犯罪行为。其次是单位负责人以单位名义，经过表决或者事后单位决策层确认所实施的犯罪行为。若单位负责人决定实施的行为是董事会反对，或者事后未予确认的，则属于其个人行为。再次是单位内没有自然人构成犯罪，但是单位以集体的方式实施刑法所禁止的危害社会行为，并且以单位名义出具了有关文件、规定、决定，体现了单位意志，应予追究刑事责任。最后是单位的内部员工或商业合作伙伴实施了犯罪行为，单位没有建立有效的合规计划，对预防犯罪发生承担过失责任而构成单位犯罪，具体可仿照英国设立企业预防犯罪失职罪。
第二，鉴于我国刑法普遍缺失出罪条款，单位犯罪应当引入无罪抗辩事由，规定企业即使构成犯罪依然可以作出无罪抗辩，如果企业具有有效合规计划，可以不追究刑事责任，建立两种刑法上的激励机制：一方面，企业具有有效合规计划，犯罪情节不严重的，可以作出不起诉的决定，但前提是责令其重建合规计划。另一方面，即便予以定罪，只要具备有效合规计划，也可以对其宽大量刑，将合规计划作为减轻处罚情节。
（三）我国刑事诉讼制度的深入改革
我国刑事诉讼法目前可以考虑在认罪认罚从宽和附条件不起诉两种制度中引入合规机制，这也成为合规引入刑事诉讼的两种途径。
第一，在认罪认罚从宽制度中引入合规机制。我国已经在认罪认罚从宽制度中引入了控辩协商，检察官通过与被告方及其辩护人进行量刑协商，在律师的见证下双方签署认罪认罚具结书，检察官根据具结书商定的量刑优惠方案向法院起诉，给予被告方宽大的量刑处理。
认罪认罚从宽制度取得了良好的实践效果，尤其在基层法院审理的案件中适用率达到70%左右，大大节省了司法资源的投入。有鉴于此，可以对企业犯罪的案件建立量刑协商机制，只要企业承诺整改，并按照国家标准建立有效合规计划，就可以对企业进行宽大的刑事处理，仍然可以对其进行罚金等财产刑的处罚，但不再吊销其营业执照、取消其特许经营资格。
第二，在附条件不起诉制度中引入合规机制。我国目前的附条件不起诉制度只适用于可能判处一年有期徒刑以下刑罚的未成年人，范围太过狭窄。不妨考虑将一些企业也纳入附条件不起诉的适用范围，例如在审查起诉阶段企业认罪，且已经建立合规计划的，就可以对其附条件不起诉。对已经建立合规计划但合规计划不完善的企业，要求交纳特定罚款，并在三年考验期内重建合规计划，期间检察机关派驻合规监督员督促建立合规计划，并定期报告进展。
考验期满后经过审查已经建立符合标准的有效合规计划的，随即作出不起诉决定。而企业认罪，但没有建立合规计划的，可以对其适用认罪认罚从宽制度，在定罪的基础上责令其重建合规计划。在这些强力激励机制的刺激和推动下，企业才会真正重视合规计划的建立。
（四）颁布中国版的有效合规计划标准
目前合规计划标准的颁布主体还存在一定的争议，但最终的合规标准应被纳入国家基本法律的体系之中，以便加强合规在行政监管和刑事诉讼中的法律地位。建议由全国人大及其常委会通过专门法律，按照有效合规计划的基本要求来制定具有强制力的企业合规的国家标准，并定期更新。该部法律的出台，意味着合规作为行政监管中的行政和解制度、刑法中的刑事宽大处理制度、刑事诉讼法中的附条件不起诉和认罪认罚从宽制度等法律制度中的激励机制，具有了强制性的国家标准。
而目前国有资产监督管理委员会、国家发展改革委员会、国家标准化管理委员会等部门出台的合规文件，都只具有规范性文件的性质，甚至连行政规章的效力都不具备。建立更高法律效力的国家合规标准是未来合规立法的一大重点工作。
综合来看，企业合规是一场公司治理方式的革命，涉及多个法律部门。它首先是一个公司治理问题，涉及企业法、公司法中的公司治理结构的重新整合问题。
其次，企业合规也是一种新的行政监管方式，涉及行政监管部门从原来的严刑峻罚转变为通过提供合规激励机制，来吸引企业建立自我监管、自我披露、自我报告的机制，从而加强对违法违规行为的预防、监控和应对，实现企业的长远发展。
再次，作为一种刑法上的激励机制，企业合规还涉及刑法和刑事诉讼法的革新问题，对那些建立合规计划或者承诺完善合规计划的企业，司法机关要么作出不起诉的决定，要么减轻刑事处罚，要么达成暂缓起诉的协议，从而督促企业在一定期限内重建合规计划。
最后，合规还是律师的一项业务，这就涉及律师法的修订，律师的职业伦理、律师的责任等问题都要进行大幅度的调整。
可以说，合规问题是多学科交叉的最前沿课题，要将企业合规体系引入中国，就需要在改变公司治理方式的前提下，对中国相关法律作出全面的修改。对此，我国立法机关应予以高度重视，加速立法进程，为合规全面进入中国创造良好的制度环境。
