涉罪企业合规有效性标准研究——以A公司串通投标案为例

一、问题的提出

合规（又称合规计划、合规、刑事合规）正在推动公司治理经历一场悄无声息的革命。时至今日，对于大型企业特别是跨国企业来说，已进入“合规时代”。2020年3月，最高人民检察院开展第一轮企业合规改革试点；2021年3月又启动更大规模的第二轮改革试点，范围涵盖北京等十个省、直辖市，共计30多个市级检察院和200多个基层检察院正如火如荼地推进改革试点工作，相关合规不起诉的案例也不断涌现。

涉罪企业建立和实施有效合规计划将获得从宽甚至免除处罚，通过这种激励措施将预防犯罪的职责由国家转给私人，是一种合作型犯罪治理模式，表明“刑法的演进受到了民法协商一致原则以及在公法领域已被讨论已久的由国家化到私人化一般发展的影响”。这也是刑法物性特征受到民法人性属性的影响向柔性化方向发展中的一环。只有被证明是有效的合规计划，才能作为对涉罪企业从宽甚至免除处罚的事由，但合规有效性标准从合规诞生之日起就是个难解之题。如何防止合规计划只是企业为了逃避处罚和制裁而制作的“装饰门面的合规”（Cosmetic Compliance）或“纸面合规”（Paper Program）？这是改革试点能否成功的根本性问题。在我国改革试点初期，就应当密切关注企业合规的有效性问题。国内目前的理论研究主要偏重于宏观构建，对合规计划有效性标准的研究成果匮乏，这与实践界试点热火朝天的场面是极不相称的。不得不担忧，实践中，涉罪企业为了获得从宽处罚、不起诉而急就章地搭建起用来“装点门面”的“纸面合规计划”，而检察机关也为了“装点门面”争抢改革试点成绩而将原本无效的合规计划评估为有效的合规计划。这种用一个“装点门面”去评估另个一“装点门面”的“双重纸面”现象是值得警惕的。2021年6月3日，最高人民检察院联合司法部、财政部等八个单位印发《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》，要求检察机关对企业的合规计划委托第三方进行监督和评估，但囿于没有成熟的理论成果和经验积累，没有对合规计划的有效性及其审查标准进行具体规定。可以说，企业合规审查和评估的有效性标准是当前企业合规试点改革重中之重的迫切问题。

以一起串通投标案为例（以下简称A公司串通投标案）。案情如下：从2015年至2017年间，犯罪嫌疑单位江苏省某建设集团有限公司（以下简称A公司）主管公司招投标工作的总经济师孙某（另案处理，已判刑），在多个建设工程项目的投标过程中，与其它投标单位串通报价，累计中标金额共计人民币34.1亿余元。A公司注册资本6.5亿元人民币，拥有特级资质，年施工产值超百亿，年纳税总额超2亿元，在册员工6000余人，带动农民工就业约3万人。犯罪嫌疑单位A公司涉嫌串通投标罪一案进入审查起诉阶段后，A公司承诺合规，并建立和实施合规计划。3个月之后，检察机关组织进行第一次合规专业评估，认为尽管企业建立了形式符合ISO37301《合规管理体系指南》标准的合规管理体系，但缺乏有效性。后该企业根据评估意见对合规计划进行修订、完善，确立重塑合规文化的目标，并写入公司章程，实施“2021-2023三年合规行动计划”，持续推进合规文化，为此：（1）建立“合规一票否决”制，即首席合规官、合规部门对公司中高层的业务决策进行合规审查并拥有一票否决权；（2）建立合规月度培训制度，将合规计划编入员工手册，并附负面清单和典型案例；选塑了一名员工为“合规标杆员工”，并当选该公司所在市的党代表；（3）全面修订经营开发流程，修改绩效考核细则，将合规与晋升、奖金挂钩，每季度考核一次。6个月之后经过第二次评估，被认为具备有效性，2021年10月15日检察机关对该企业作出相对不起诉。第一次评估为什么认为缺乏有效性？第二次评估为什么认为具备有效性？其标准何在？值得探究。

二、合规有效性标准的历史变迁

到底什么样的合规计划才是有效的？合规有效性有无标准？从合规制度正式诞生发展到今天，该问题远未达成共识。企业合规计划的有效性标准与合规计划一样，有一个发展的历程。

（一）“七要素”标准及其困境

合规计划的有效性问题在其发源地美国，从诞生之日起就如影随形，原因在于合规计划的体系很容易被模仿，通过模仿而搭建合规计划体系，并没有真正降低不当行为的发生率，司法机关和监管机构也很难确定其有效性。合规有效性的标准如何确立？曾被誉为“黄金标准”的就是1991年《组织量刑指南》中的“七要素”标准。

1991年美国联邦量刑委员会发布的《组织量刑指南》列出了合规计划的有效性审查评估的七个要素：（1）基于可能存在的风险，为不同业务部门制定明确的合规标准和程序，以防止和检测违法犯罪行为。（2）高级管理人员对合规的承诺、监督和支持。例如，如果管理层对合规性的承诺有任何含糊之处，无论是上层、中层还是下层，员工都可能会觉得违反竞争法“值得冒这个风险”，以实现额外的销售额来满足内部目标。（3）在招聘员工和员工晋升过程中筛选不道德的人员。（4）持续地开展培训和教育。（5）监督、审计和报告要求以及定期对项目有效性进行自我评估。（6）纪律执行、激励与合规情况一致。（7）发现违法犯罪行为后采取纠正措施。这个七个要素成为企业、律师、企业合规师设计合规计划的重要参考，也是检察官评估审查企业合规有效性的重要标准。《组织量刑指南》只是简要列举了上述七个要素，但是将细节留给了实践。总体上来看，这些所谓的有效性标准与合规计划的通用要素雷同，因此，对于企业来说，很容易在形式上满足这样的要求；同时，这些标准的总体基调是强调控制和监督，对于监管机关来说，似乎又很难评定某项合规计划实现了这样的目标，“七要素”很难真正作为检测有效性的工具。A公司串通投标案中，在第一次评估前，A公司对照ISO37301《合规管理体系指南》建立了合规计划，上述七个要素都有所体现，但并未将这些要素真正融入企业经营各环节中。

（二）“组织文化”要素的引入

由于“七要素”难以奏效，美国业界对其质疑声不断。安然、世通、泰科等公司丑闻强烈地表明合规计划似乎失灵了，其在预防企业违法犯罪方面的有效性受到质疑，这就迎来了《组织量刑指南》2004年的修改。量刑委员会对“七要素”进行了重大修改，主要体现为：一是组织领导的角色。管理机构（对一个公司来说，就是董事会）必须了解合规计划，并且应该对合规计划的实施和有效性进行合理的监督；高级人员中的一个（或多个）具体个人（如行政人员或主要业务部门的负责人）应被指定为该计划的总负责人；应该指定一个特定的人负责合规程序的日常操作，对于大型组织来说，这将是首席道德与合规官（CECO）。组织应该授予此人足够的资源、适当的权限并能够直接向管理层报告。二是组织促进和执行其计划的责任。与1991年《组织量刑指南》一样，组织应该通过“适当的纪律措施”来执行该计划。然而，在2004年《组织量刑指南》框架下，组织不应该只关注于惩罚那些从事不当行为的人，还应该为员工提供激励，让他们遵守该计划。三是要求组织定期评估风险，并根据需要修改合规计划。根据1991年的《组织量刑指南》，该组织只被要求在出现故障时修改其合规计划。这次修改旨在避免“纸面计划”的问题，不能让合规计划“在抽屉里积满灰尘”。量刑委员会认为，这些变化将“引领企业合规的新时代”。四是引入组织文化，特别提到了“合规和道德计划”，以其他方式促进组织文化，鼓励道德行为和遵守法律的承诺，强调组织文化而不仅仅是法规遵循计划的技术实现。这是采纳了一位合规和道德咨询公司（Legal Research Network）的首席执行官Dov Seidman的建议，他认为企业文化不仅要促进“守法”，还要促进“道德行为”。

2004年《组织量刑指南》最微妙的变化，就是一方面引入了组织文化，另一方面又没有对什么是组织文化进行描述。但是，咨询小组的报告提供了关于量刑委员会当时对组织文化的思考过程。报告指出，一般来说，公司致力于合规计划，不仅限于简单的守法，而且要根据“亚里士多德式的习惯养成”和可持续的企业形象来做正确的事。董事会和高级管理人员必须成为美德的传道者，并坚持模范和传达这一承诺的重要性，以应对相反的内部和外部压力。美国联邦量刑委员会于2010年再次修订了《组织量刑指南》，提高了设立首席道德与合规官（CECO或类似角色）的重要性。2004年和2010年修订《组织量刑指南》的基本初衷是试图阻止“纸面合规”，将组织文化作为合规和道德计划的一部分，鼓励制定真正有效的合规计划以及整合合规与企业文化。

此外，美国司法部发布过多个版本的企业诉讼备忘录，1999年的《霍尔德备忘录》鼓励检察官调查该组织不当行为的普遍性及其过去的不当行为历史，以证明管理层创造了一种鼓励或至少纵容此类行为的企业文化。2003年的《汤普森备忘录》明确指出，未被公司人员有效内化并成为公司文化一部分的合规计划将被视为无效。备忘录经过了多次迭代，直到写入美国检察官手册中。然而，关于合规计划中企业文化的讨论一直在持续，美国司法部每年定期发布有效合规计划评估指南。2015年，美国司法部欺诈科主任安德鲁•魏斯曼（Andrew Weissmann）试图解决合规有效性标准问题，聘请曾担任渣打银行全球反贿赂/腐败事务负责人的陈慧（Hui Chen）担任司法部首位“企业合规专家”，研究合规有效性标准，这一人事安排曾引起业界广泛关注。2019年美国司法部发布的《企业合规计划评估指南》避开了“公式化”评估合规计划的有效性，而是要求检察官使用“一种常识性和务实的方法”来评估合规计划，就三个基本问题进行调查：一是公司的合规程序设计是否合理？二是该程序是否得到诚实和充分的应用？换句话说，该项目是否得到有效实施？三是公司的合规程序是否在实践中发挥作用？可以分别概括为设计合理性、执行有效性、结果有用性“三要素”。

随着企业合规在全球范围内的普及，国际标准化组织于2014年制定了ISO19600《合规管理体系指南》，后于2018年11月启动修订，形成了2021年ISO37301《合规管理体系指南》。ISO37301《合规管理体系指南》最大的特点是融入企业文化，以长期成功为目标的组织需要保持合规的文化，合规嵌入到组织的文化和员工的行为态度中，应当成为企业核心价值和公司治理一部分，倡导将合规管理与财务风险、质量、安全等其他管理过程和运营需求、流程结合起来。

从上述发展历程来看，企业合规有效性的标准经历了从技术性指标转向文化指标的过程。从某种意义上来说，企业合规的历史，就是从管控到企业文化的历史。时至今日，越来越多的美国公司负责合规领导岗位的是CECO（首席道德与合规官）而不是CCO（首席合规官）。在美国，立法者越来越多地将文化视为良好合规的关键，“合规文化”一词已进入普通法律话语，既描述了目标又描述了标志。从终极意义上来说，合规计划是否有效，关键在于合规有无成为一种企业文化。

三、以企业文化为核心的合规有效性标准之重构

企业文化是一种价值观念，如果说社会文化系统是由社会成员共有的价值和规范组成，那么企业（组织）文化就是由员工共有的价值和规范组成，因此，企业文化指的是一种共同拥有的观念——“意义构建”——在任何给定的组织内部关于遵守法律的重要性或正当性的观念。笔者认为，企业文化才是合规有效性的核心标准，应当以企业文化为核心重构合规有效性的标准。

（一）企业文化作为合规有效性核心标准的证成

企业文化被定义为指导个人和组织行为的一套共同的规范和信念。这些规范和信念由企业的领导塑造，通常表达为共同的价值观或指导原则，并通过组织中的各种系统和程序加以强化。这种共同的价值观和指导原则会影响员工的行为选择，这是法人（单位）犯罪责任承担的基础；反之，有效的合规计划作为法人（单位）不承担或减少承担责任的依据，二者是一体两面的关系。因此，合规有效性标准问题与法人（单位）犯罪责任归责理论密切相关。笔者认为，企业文化作为合规有效性核心标准的依据在于以下方面：

首先，从法人（单位）犯罪归责理论基础看。企业合规是国家给予建立了有效的预防违法犯罪行为规制体系的企业予以减免罪责的制度设计。合规计划有效与否直接与罪责归属基础相关，可以分解为两个问题：一是当企业涉罪时，什么情况下可以追究一个没有“灵魂”和“肉体”组织的责任？二是当企业建立了合规计划时，什么情况下可以减免一个没有“灵魂”和“肉体”组织的责任？前者是组织承担责任的正当性基础，后者是减免责任的正当性基础，这两个问题是一体两面的关系，因此，作为减免组织责任依据的合规计划有效性的核心标准，还是要回到组织责任正当性理论基础上来。

关于法人（单位）犯罪的归责理论基础历来是刑法学争议的焦点问题，由社会学家卢曼的社会系统论发展而来的系统责任论成为有力的学说。卢曼认为，社会与生物一样，是一种自我指涉的系统，其不仅具有自我组织、自我适应，也具有自我指涉（Self-referen-tiality）与自我再生（Autopoiesis）等特性。系统的维系及存续，完全倚靠系统内部不断运作的自我再生。卢曼认为，整个世界，包括物质世界及人类社会，其性质和构造都是充满着各种不可预测的因素，在本质上是处于一种浑沌不明的状态，身在其中的事物或事件之间也都是相互影响、因果交错的，没有固定的界限和规则，存在偶变性。没有一种必然性不遭遇偶变性的干扰或影响。偶变性优越之处在于它能更具体的呈现事物实际存在的现象，并构造出比必然性更加复杂的结构，使得世界的实际结构更为具相。同时，虽然此种现象造成因果系列的相互交叉及渗透，不免使混乱加剧，却也为这种混乱无序提供一个有序的机会。人类社会系统中的心理因素及行为的期待，就为这种混乱带来希望及机会。亦即透过社会系统中人类的反思性沟通及共同的价值需求，转化偶变性为可控制、可预测的，建立行为的期待及规范的期待，架构出社会的规则，以沟通化解分歧、解决失望的问题。卢曼区分了三个社会系统类型，分别为互动、组织和全社会，互动和组织是全社会的组成要素，其中组织作为社会系统是通过成员条件以及作出决定的技术来进行自我再生。企业同样属于自我再生的系统，不同系统之间的区别仅在于它们实现自我再生的方式不同。企业通过企业决策进行自我再生，人类通过思维过程进行自我再生，法律系统通过法律沟通进行自我再生。通过企业内部的结构变化和演进，来抵御市场复杂性与偶变性，对员工行为过程进行固化，形成一种企业文化，这种企业文化影响员工做出不偏离常规的妥当选择。就此而言，企业文化是一个更适合理解公司主体性的概念，它也很好地吻合法律与社会运动的最新发展。因此，企业员工实施的不法行为选择，其实是企业系统的行为选择，企业为此“买单”就具有了正当性。同样，当涉罪企业重建合规计划，如果能够重塑企业文化，通过企业内部治理结构的变化，来抵御复杂性与偶变性，形成一种正能量的企业文化，对员工行为方式进行固化和纠偏，影响员工做出不偏离常规的妥当选择，那么这种合规计划就是有效的；反之，如果仅有形式意义或技术意义上的合规计划、员工手册，没有引起企业内部治理结构的变化，没有形成一种抵御复杂性和偶变性的企业文化，对员工妥当的行为选择没有产生实际影响，这样的合规计划就是徒有虚名的“纸面合规”。因此，只有企业文化才是合规有效性的核心标准。

其次，从合规实践的角度看。其一，技术指标很容易被模仿，也很容易流于形式、落于纸面。与本文开头案例中A公司一样的任何一家公司，都可以在短时间内套用ISO37001《合规管理体系指南》建立一套看起来“高大上”的合规计划体系，但是企业文化则是融入企业血脉之中的，惟有长期坚持才能塑造形成，而难以一夜之间进行“纸面架构”。其二，合规计划的本质特点是“最佳实践”。合规具有动态化、多样性的特质，官方制定一个“公式化”合规计划的“万能模板”是困难的，况且刑法中有近500个罪名，成千上万个规模不同、行业各异的公司，制定出一个“万能模板”几乎是不可能完成的任务。正因为如此，美国学者才发出“标准化：神话还是现实”的诘问。其三，官方模板化地发布技术指标清单，企业更容易模仿，制定一份写满技术指标的合规计划有效性清单可能会适得其反。在清单上“打勾”更容易让公司做到，也更容易让司法机关进行审查，但这种做法可能“阻碍了对如何提高有效性的批判性判断”。

总之，与其问公司是否“完成”了合规计划的实施，不如问企业的文化走向何方？类似于“七要素”的东西，仅能作为有效性的技术指标，只是形式要件，这些形式要件有无转化为企业文化才是有效性的实质标准。例如，一个企业建立了反商业贿赂合规计划，也成立了专门的合规部门，但是业务人员开展业务时主要通过给回扣的方式进行，其他员工在开展业务时会遵循“大家都是这么干的”的做事原则，新进的员工在“师傅带徒弟”的引导下也会这么干，而管理层追求的是销售业绩，至于如何完成业绩并不关心，对于“大家都是这么干的”的潜规则睁一只眼闭一只眼，甚至还拨付专门的“公关费”用于实施商业贿赂。这种商业贿赂的企业文化很容易在企业中形成。反过来，既然商业贿赂的企业文化能够形成，理论上拒绝商业贿赂的清廉企业文化就是完全可以实现的，如果在企业内部形成一种“行贿是可耻的”的道德氛围和习惯，那么清廉的企业文化就实现了。本文开头的案例，A公司负责招投标的总经济师带头进行串通投标，上行下效，久而久之形成具有普遍性的潜规则，属于系统性犯罪，这种不规范的投标行为一定程度上已经成为企业文化的一部分，涉案后重建合规计划就是要扭转这种企业文化。

（二）以企业文化为核心的合规有效性标准重构

如前所述，企业承担责任的正当性基础以及合规计划有效性的核心标准在于企业文化，其理论根基均在于社会系统论。卢曼的社会系统论是受到两位生物学家马图拉纳（Maturana）和瓦列拉（Varela）对神经生物学研究的启发，将生物学上的自我再生（Autopoiesis）概念引进到社会体系论与法律观之中，产生了法律自生体系说。合规计划是企业预防违法犯罪的系统，合规计划就是要为企业构建一套以企业文化为核心的免疫系统，这与生物免疫系统高度相似。涉案企业，要获得从宽处罚就必须重建“免疫系统”。无独有偶，“合规”概念原本就起源于医学领域，表达的是遵循医嘱之意。回归本源，找到来时路，或许更容易知道走向何方。一个有效的合规计划就是为企业重构一套阻止和预防违法犯罪行为的免疫系统。

生物免疫（Immunity）是机体识别和排除抗原性异物，维持机体正常生理平衡和稳定的功能。免疫系统有三大基本功能：（1）免疫防御。清除病原微生物及其他抗原性异物；（2）免疫监视。清除突变或畸变细胞；（3）免疫自身稳定。免疫效果的产生体现在免疫应答上，免疫应答是指抗原进入机体后，免疫活性细胞对抗原分子的识别、活化、增生、分化以及最终发生免疫效应的一系列复杂的生物学反应过程。免疫应答的最终效果是产生抗体或致敏细胞及其产物。与生物免疫系统类似，公司采用了一系列内控机制来抵御违法犯罪风险的合规计划，其实就是重建公司的免疫系统，所要预防的违法犯罪行为就是“抗原”。这个“抗原”就是合规风险，即由于系统性的、不可预见的或者孤立的违反法律法规、内部标准和政策以及关键利益相关者的期望而产生的不利后果，包括可能会导致的财务损失、声誉受损、监管制裁，并且在严重情况下会导致特许经营权的丧失或并购失败等。有效的合规计划是能够真正起到免疫效果的免疫系统，而真正有效的免疫系统必须以企业文化为核心，技术性指标只是实现文化指标的条件。技术（形式）指标和文化指标的具体内容及其相互关系如下：

1.技术（形式）指标。企业合规有效性的技术指标只是有效性的形式要件，而有无形成合规的企业文化才是实质要件。当然，合规的企业文化不可能凭空产生，需要建立在一定的技术指标基础之上。就像生物机体的免疫效果不是凭空产生的一样，而是需要免疫器官组织、免疫细胞和免疫分子，从而实现免疫的防御、监视等功能。换言之，合规的技术指标未必能产生合规的企业文化，但是合规企业文化的产生确实离不开合规的技术指标。例如，属于合规有效性技术指标的“领导层对合规的绝对承诺和率先垂范”，这种以上率下的模范效应当然是形成合规企业文化的必要条件。合规有效性的技术指标包括以下方面：

（1）合规免疫防御体系。与生物免疫防御体系类似，合规免疫防御体系就是建立起防御违法犯罪风险的体系，具体包括以下内容：一是政策和程序。在精准识别风险的基础之上，制定公司的政策和程序，要符合“四性”即适应性、针对性、具体性和可操作性，并写入公司章程。合规政策和程序应是动态的，根据法规或业务环境的变化定期审查和更新，确保合规管理制度与具体风险始终相适应。例如，前述案例A公司的合规计划，第一次评估时，合规的政策和程序停留在“严禁......严禁......”等口号上，没有嵌入到投标业务具体流程中，不符合适应性和针对性的要求。二是组织保障。领导层、高级管理层对合规计划的支持和绝对承诺是合规计划有效性普遍共识的技术指标，在中国，被形象地称为“一把手”工程。如果员工看到“一把手”对合规采取消极应对的态度，那么他们就会知道这个合规计划其实就是用来“应付检查”的，这个合规计划就不可能真正发挥效用。三是资源配置。有效的合规计划的创建和执行需要一个精干团队的持续努力，需要付出一定的资源和成本。在公司内部应该有一个独立的机构负责合规计划的执行和实施，其负责人通常被称为首席合规官（CCO）以及其他合规官员（中小型企业可以是合规专员）。这些合规官应当有一定的地位并保持独立性，首席合规官能够直达公司管理层，可以直接向公司最高管理者汇报。A公司串通投标案中，在检察机关的建议下，A公司的首席合规官由纪委书记兼任，并且对招投标决策具有一票否决权。中国的国有企业、大型企业中纪委书记是特殊岗位，专门从事监督执纪，兼具独立性和权威性，由纪委书记兼任首席合规官是最佳选择。四是培训与沟通。认知是预防的前提，通过培训、沟通将合规制度和理念传达到每一位公司成员，让每一个公司成员都了解、认同和接受公司的合规政策。A公司串通投标案第二次合规整改过程中，建立了合规月度培训制度，实现合规培训常态化，并且全程留痕，实现“文件化信息”。

（2）合规免疫监视体系。生物体的免疫监视就是要识别、杀伤并及时清除体内突变细胞，将入侵生物体的病原微生物或变异细胞等“识别”和“区分”出来以保护肌体的健康。对于企业来说，就是“识别”并“区分”违法犯罪风险。免疫监视体系的功能就在于随时监测和发现潜在、隐藏的“病毒”。具体包括以下要素：一是定期风险评估。合规风险是动态，会随着环境、业务等因素动态变化，因此，风险点从来都不是固定的，也没有一劳永逸的风险评估报告，企业需要定期进行风险评估，并应采取适当措施修改合规计划的各项要求。二是“吹哨人”制度（举报制度）。要有相应的保密措施可以让员工毫无负担地举报不当行为。三是合规巡视制度。对合规计划执行情况要有自上而下的定期或不定期的巡视。四是审计制度。合规审计是监视风险最重要的手段，如反垄断审计、反腐败审计等。五是风险分级制度。对监视到的风险进行等级划分，为相应的应答措施提供依据，针对不同等级风险制定不同应对措施。合规是有限度和不完美的，虽然通过强有力的执法和明确的授权可以遏制恶劣行为，但是错误、事故和误解依然不可避免，实践中总有瑕疵。因此，进行分级分类管理是理性选择，把“闯红灯”与“谋杀”同等对待是糟糕的。A公司串通投标案，A公司在第二阶段合规整改中建立了SOD风险系数评估法，进行风险分级。

（3）合规免疫应答体系。生物体的免疫应答是指机体受抗原刺激后，免疫细胞对抗原分子识别、活化、增殖和分化，产生免疫物质发生特异性免疫效应的过程，通过有效的免疫应答，机体得以维护内环境的稳定。对于企业来说，就是对监测到的风险以及已经实现的风险作出反应，具体包括以下方面：一是启动内部调查。一旦发生不当行为，合规体系应当能够快速响应，启动调查，并持续追踪和回复调查结果。二是合规问责与奖惩。合规要求只有与企业及其人员的利益结合起来，才能触动企业人员将合规作为行为习惯。尤其是要将合规与人员的录用、晋升、薪酬结合起来，不合规的行为应当被问责、受到惩戒。三是应急处置。发生重大合规事件，能够果断作出适当的应急处置，例如补救挽损、缴纳罚款、赔偿被害人、调查处理责任人，移送司法机关并配合司法机关调查。四是持续改进。合规是一个不断变化、演变的动态系统，合规或不合规的状态会随着时间的推移而演变，监管的要求也会不断变化，合规也需要不断改进。

综上，合规免疫系统的技术指标，可以概括如下表：

表1  合规有效性的技术指标

2.文化（实质）标准。合规免疫系统要实质地发挥效果就需要形成“免疫记忆”，将技术指标转化为企业文化。企业文化具有抽象性、模糊性，但并非不可把握。文化的不可见性是一个挑战，但是，研究文化的社会学家和人类学家长期以来一直指出文化的可见标志—神话、图腾、仪式—可以让我们一睹信仰的实质和力量。企业文化并非不可具象。如何判断上述技术指标有无内化为实质的企业文化，合规的技术指标有无融入到企业的“血脉”之中？笔者认为，可以从以下三个维度进行考察：

（1）态度。态度是个体对特定对象（人、观念、情感或者事件等）所持有的稳定的心理倾向。心理学研究表明，态度是可以随着环境、经验和事实改变的。关于态度与行为的关系在社会心理学领域有大量研究成果，其中最为著名的理论是Fishbein和Ajzen于1975年提出的理性行为理论（theory of reasoned action），该理论认为态度（attitudes）与主观规范（subjective norms）共同决定了行为意向。当一个企业的员工，对某种事物的态度达成一种共识，这种共识就会影响行为意向，进而逐渐形成一种文化。如果一个企业的员工对合规经营持一种积极的态度，那么这种态度具有相互感染性，将逐步形成一种合规的文化。反之，如果管理人员对合规持愤世嫉俗的态度，就会形成一种不尊重合规的文化。这种态度反过来又会煽动不道德行为，通过破坏经济稳定的不道德商业行为对整个社会造成破坏。合规计划的目标就是要促使员工树立一种“做正确的事”的态度。这种态度是可测量的，实践表明，在A公司案例中，我们采取匿名问卷调查、员工随机访谈、特殊合作伙伴访谈等方式能够衡量员工的合规态度。

（2）习惯。从心理学的角度来说，习惯是学习到的“目标—导向（Goal-directed）”行为，它并不是随机养成的，而是指向特定目标的或者说是由目标引导的，习惯是一系列的行为变成了对某特定线索的自动化的反应，它具有获得稳定的目标或者到达某种终极状态的功能。心理学研究表明，习惯是可以通过环境、态度、目标促进而形成的，也是可测量的。合规的企业文化实现的路径需要从每个人的行为习惯开始。企业合规如果能实现亚里士多德式的“美德是一种习惯”，那无疑是有效的。合规的行为实际上是由惯性驱动的习惯性文化实践。文化人类学家长期以来一直报告说，社会群体倾向于发展整体伦理或道德取向。随着时间的推移，这些取向会组合成一个模式，用于这种整体模式的术语是“精神”。合规文化很大程度上取决于守法是一种美德的信念在公司中的传播和流行。通过合规的技术指标设定“做正确的事”的目标，积极引导，并通过一系列合规技术措施，将合规转化为公司人员的行为习惯。

（3）氛围。一个企业的氛围是员工对组织的共同看法，因为它涉及组织的各个方面。氛围是基于员工如何看待所有这些不同的行动和事件的总和。合规计划如果能创造一种鼓励模范行为的氛围，便可能是阻止不当、违法犯罪行为的最佳方式。如果一个企业充满“慵懒散”的氛围，这种氛围会传染，即使原本一个充满创业激情的新进员工，他的这种激情很快就会被这种氛围消磨掉。同样，一个“做正确的事”的合规氛围，会感染每一个员工谨慎做事。有效的合规计划与其说是具体的行为蓝图，不如说是一个过程和承诺。组织有责任营造一种组织氛围以减少不当行为。合规文化很大程度上取决于守法是一种美德的信念在公司中的传播和流行，从而形成一种氛围。文化作为一种氛围，具有从众性和“传染性”。A公司案例中，孙某作为工程投标负责人，带头实施串通投标行为，形成一种不正当氛围，下级员工会受到传染而“同流合污”。孙某安排经营开发部的部长助理郑某邀约其他投标单位“商量”投标价格，侦查人员问郑某为何不反对这种行为，郑某回答称“这是公司甚至行业的惯例和潜规则”。这说明串通投标已成该公司的一种不良氛围，重建合规计划的目标就是要扭转乃至清除这种不正当的氛围，重塑一种排斥、鄙视串标、围标的氛围，让企业的全体员工都坚守这样的观念——通过串通的方式中标工程项目是可耻的，让拒绝串通投标成为该企业文化的重要内容。“态度—习惯—氛围”也是层层递进的关系，从公司领导层到一线员工，每一个企业成员先有对合规拥护和信仰的态度，才能培育每个人的合规行为习惯，最后形成人人合规的文化氛围。

3.技术（形式）指标与文化（实质）指标的关系。技术指标要求建立起合规管理制度，相当于先要建立起免疫体系的物质基础，如免疫器官、免疫细胞。有无形成“免疫记忆”，合规有无成为一种企业文化，则是实质指标。技术指标与文化指标的关系可以概括为以下方面：

（1）条件与目标的关系。技术指标是显性指标，是基础条件。合规计划一方面是“最佳实践”，另一方面也具有共同的特点和规律，具有可模仿性，容易被“勾选”，也容易流于形式，容易形成“纸面合规”。但是文化指标是隐性指标，是目标和结果，具有不可复制性，不可模仿性，审查评估的重点是技术指标有无内化为态度、习惯和氛围。技术指标是实现文化指标的必要条件，但不是充分条件；有技术指标这个条件未必能实现文化指标的目标，这取决于技术指标在企业管理中有无真正地实施并发挥效力。

（2）阶层递进的关系。先有技术指标，后有文化指标，二者是阶层递进关系。企业合规有效性的判断标准，先看有无建立起基本的合规管理制度，是否具备技术指标的基本要求。技术指标是形式判断，如果符合技术指标，再进入第二步的实质判断，看是否符合文化指标。如果第一步技术指标不满足，也就是企业根本没有建立合规管理制度，例如，既没有专门的合规人员（首席合规官或合规专员），也没有举报热线，也不存在奖惩机制，那么就无需进行第二步的判断。如果第一步符合技术指标的要求，但是还不能得出合规计划有效性的结论，还必须进行第二步的文化指标判断，看相关的合规要求有无实质性发挥作用，成为一种态度、习惯、氛围。环顾四周，所见之处，员工都在“做正确的事”，这样的态度、习惯和氛围，才是合规有效性的真实写照。

笔者所构建的合规有效性标准，与传统的“七要素”和“三要素”（设计合理性、执行有效性、结果有用性）相比，具有以下特点：一是将合规文化指标独立出来，赋予其核心地位，并进一步具象为层层递进的“态度—习惯—氛围”；二是技术指标借鉴免疫学建立“防御—监视—应答”的严密体系，整合了“七要素”和“三要素”的合理成分，使其更具逻辑性、更具可操作性；三是厘定了技术指标和文化指标的关系，形成可检测、更具操作性（检测方法见图1）的从形式到实质的位阶判断关系，解决了传统“七要素”和“三要素”中技术指标与组织文化之间暧昧、杂糅的关系。

图1  合规有效性有效性要素结构图

四、合规有效性标准之运用

难以评估合规计划的有效性不仅仅是由于缺乏共识的标准，更是由于缺乏运用标准进行评估、审查的手段和方法。如前所述，合规计划的有效性标准可以采取“技术指标”到“文化指标”的二阶层标准，前者是形式标准，即在技术指标上涉案企业的合规免疫体系是否完备；后者是实质标准，即有无建立起以企业文化为核心的免疫屏障，形成“免疫记忆”。有效性标准只是提供了一种衡量标准，采用何种方法来评估和审查一个涉案公司的合规计划有无达到这样的标准，这就是运用标准的方法问题。从实践运作来看，评估、审查的方法大多依赖于“桌面”上的台账资料和纸质报告。如果企业的合规计划是“纸面”的，而评估、审查的方法也是“纸面”的，这种双重“纸面”是企业合规制度之大忌，要像防止“纸面合规”一样防止“纸面评估”。

（一）合规有效性标准的运用主体

1.检察机关主导。企业合规与认罪认罚从宽制度一样，本质上属于诉前程序，涉案企业与检察机关合作，属于控辩合作型司法。无论是合规（附条件不起诉）还是提出从宽的量刑建议，都是在诉前进行的。因此，检察机关成为理所当然的主导者。检察机关必须履行起企业合规有效性审查、评估的主导责任。这种主导责任体现在以下方面：

首先，对合规计划运行过程及结果有效性的评估、审查责任。涉案企业从合规计划启动到最终合规计划有效性的监管评估，检察机关始终对整个过程起主导作用，并最终对有效性与否作出终局性决定，以此作为案件处理决定依据。尽管美国的暂缓起诉协议需要法官批准，但是这种批准完全流于形式。原因一方面在于作为一种诉前程序，法官自始就未参与，最终也就无法对合规有效性作出判断；另一方面在于企业合规作为“最佳实践”，法官的消极居中裁判角色决定了其无法深入实地进行跟踪监管、评估。

其次，委托第三方监管中的主导责任。企业合规不仅仅是法律问题，更是一个企业管理问题，极具专业性。在美国，合规已经成为一些大学的独立专业和课程。2000年的一项调查发现，美国只有29%的合规官拥有法律学位，这反映了这一角色的演变，它似乎不再仅仅被视为“法律技术人员”的领域。因此，检察官难以独立完成合规有效性的监管、评估、审查，委托第三方成为国际上较为通行的做法。但是需要特别注意的是，第三方监管本质上是检察机关委托第三方机构或人员进行监管。检察机关是委托方，第三方机构或人员是受托方，检察机关必须履行委托方的主导责任。检察机关是有效性标准运用的主体，第三方机构或人员本质上是协助检察机关、受检察机关委托履行监管责任。对第三方监督评估组织的组成人员名单、涉案企业合规计划、评估考察报告等负有审查责任，必要时应当开展实地调查核实工作。检察机关应当与第三方机构或人员、涉案企业签订三方委托协议。对于监管人员的选任，检察机关必须发挥主导作用，确保符合“三性”要求——独立性、专业性和公开性。第三方监管员应当保持独立性，遵循业务回避原则，制定合规计划的人员及其所在单位，与评估监管合规有效性的人员及其所在单位必须是分离的，也不能是该公司企业的股东或有其他任职。为了保持独立性，监管人员的报酬不应当是企业直接支付给第三方机构或人员，而应当由涉案企业先行支付到检察机关或第三方监管委员会的专用账户，组成合规基金，在检察机关的监督下实现专款专用。涉案企业费用缴纳的标准，按照涉案的罪名、违法犯罪的严重程度、缴纳能力等综合考量。专业性要求监管人员必须具备合规的专业知识和实践能力，可以实行企业合规师从业资格制度。公开性要求监管人员名单库应当向社会公开，接受公众监督。

2.协同监管。对涉案企业合规计划的监管，可以分为直接监管、协同监管和市场应变监管（Market Contingent Regulation）。直接监管属于传统的命令和控制型监管，官方通过调查、起诉为后盾使用强制力强制被监管企业遵守法定的监管目标。市场应变监管通过市场的税收、许可、强制披露等方式，向受监管公司提供激励或信号来影响公司行为，监管机构目标的实现取决于公司对这些激励或信号的反应。协同监管包括各种混合形式的治理，其中监管机构利用其与私人治理制度和基于公司或行业的自我监管的关系，具有去中心化、公私合作的特点。

由于企业合规本质上是一种合作型司法，对于企业犯罪治理来说，属于协商治理模式，因此，协同监管是企业合规计划有效性监管的最佳方式。协同监管是基于监管机构和被监管企业之间不断进行的商议和沟通，在协同监管框架下，政府监管机构与企业和社会共同承担实现政策目标的责任。在许多情况下，管理权力从国家政府机构移交给附属机构和民间社会行动者。

需要指出的是，这种协同监管与检察机关主导作用是不矛盾的，检察机关不过多干预具体的监管过程，但是对监管员的选任、监管员提供的报告、有效性审查都必须起主导作用。最高人民检察院联合八个单位发布的《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》确定的原则是“检察主导、各方参与，客观中立、强化监督”。可以说这是一种协同监管模式。协同监管模式被认为是一种合规监管的成功模式，原因在于它通过资源共享、合作和建立信任措施创造了共赢局面。这种共赢效应可能使企业达到合规均衡，在这种均衡中，公司在其合规实践中在技术和配置上都具有效率。换句话说，公司以尽可能低的成本实现了最大的风险降低效益。监管机构通过与涉案公司建立合作伙伴关系以及分享专业知识来进一步做出回应。在这一点上，公司不仅更好地了解监管机构的目标和态度，而且还从负责执行合规的机关学习如何最好地有效合规。这反过来又可以促进对监管合规的进一步投资，从而进一步加深信任关系，扩大信息交流，并降低双方的监控成本，创造了一种通常被称为“元监管”的状态。在“元监管”伙伴关系中，政府仅在远处观察公司行为，关注的不是监控而是评估公司的合规职能和控制，并确保它们正常运作。监管不再是硬生生的命令，而是成为监管者鼓励公司实施和维持其内部合规控制最佳实践的一种手段。这恰恰是企业文化核心标准所追求的“润物细无声”的效果。这与契约行政的多元、协商理念一脉相承。A公司串通投标案中，检察机关主导多个行政机关成立第三方监管委员会，并经推荐、公示等程序组建了合规监管评估专家库，随机抽取三人组成监管评估小组，开展合规有效性监管评估。

（二）合规有效性标准运用之方法

评估、审查涉案企业的合规计划有效性，基本方法就是按照从形式到实质，从技术指标到文化指标。先从技术指标角度评估、审查涉案企业有无建立起三大免疫体系（免疫防御、免疫监视、免疫应答），再从实质角度评估、审查合规有无成为企业的文化（态度、习惯和氛围）。具体审查方法：

1.常规审查。常规审查方法侧重于合规有效性的技术指标，主要是通过调阅企业的档案、文件、财务资料等。比如，调阅企业的章程、规章制度、举报热线记录、培训档案、尽职调查报告、绩效奖惩记录、人员晋升资料等，以审查该企业的合规计划有无满足技术指标的要求，以及这些技术指标的实际运行情况。A公司案例中，第三方监管小组对A公司近三个月的55个投标项目的全部文件、档案资料、会计账目等进行审查，未发现问题。这些常规审查方法容易流于“书面”，其意义主要在于审查合规计划有无满足技术指标这一必要的前提条件。实质的企业文化指标，这种常规方法难以发挥作用。有实证研究表明，大多数的监管报告是纯粹描述性的或平淡的正面叙述，或者是选择一种“魔法”公式，评估意见只是叙述的摘要，提供了公司负面和正面的总结以及监管员对改进建议的概述，监管员并未提供合规计划实现任何特定结果或绩效水平的证明。监管员所做的充其量只是提供一套关于有哪些证据表明合规管理体系的各个要素已经到位以及如何改进的意见。在最坏的情况下，合规监管意见只是对公司已采用的政策的描述，很少考虑该政策是否实际上符合一个有效的合规体系，该政策是否已在整个组织中实施。A公司的案例中，第一次评估听证主要通过查阅书面文件、台账的方式，在技术指标上基本符合要求，但是对于这些写在纸面上的技术指标，有无内化为企业人员的行为习惯、态度乃至形成一种氛围，无法通过书面文件和台账来检测。

2.飞行检查。飞行检查（Unannounced Inspection）是跟踪检查的一种形式，指事先不通知被检查部门实施的现场检查。飞行检查是国际上产品认证机构对获证后的工厂最常用的一种跟踪检查方法。飞行检查可以避免某些形式主义的东西，发现被检查对象的实际情况。鉴于企业合规计划及其有效性监管容易流于“双重纸面”，飞行检查是十分必要和有效的。这里的飞行检查包括三个方面，一是检察机关作为主导责任的履行方，可以对涉案企业进行飞行检查；二是检察机关作为第三方监管的委托方，对被委托方的监管履职情况进行飞行检查；三是受委托的第三方监管组织或人员对被监管企业进行飞行检查。飞行检查作为一种突击性检查，具有秘密性、突击性、迅速性和检查项目内容的不确定性等特点，有利于强化企业的自律意识和守法自觉性，是检测企业合规计划是否有效实施、是否融入企业员工的内心，是否潜入经营的各个方面和环节，是否成为一种企业文化的重要手段。飞行检查与下述问卷、访谈、免疫测试相结合，能够兼顾合规有效性的技术指标和文化指标。

3.问卷、访谈。问卷、访谈是了解企业管理人员及员工对合规的态度、习惯以及有无形成一种文化氛围的有效手段。该方法的关键在于设计合理且有针对性的“调查问卷”和“访谈提纲”。实证研究表明，大多数的监管报告都没有检查实际客户交易或决策的样本，以确定合规流程是否实际产生了合规结果。以匿名问卷或随机访谈的形式，就合规流程与员工讨论每个阶段实际发生的情况，确定员工和客户如何看待公司的合规要求（态度）以及行为习惯。例如，审查合规培训沟通实施情况，仅查培训记录甚至是“逢训必考”的试卷，也未必能真正审查出其有效性，因为这些技术性指标容易“作假”。如果对参加过培训的员工进行匿名访谈，通过几个提问，就能确切地知道有无培训及培训的效果如何，并进一步确定员工有无从内心接受培训内容，并内化为工作中坚守的态度和习惯。前述A公司案例，第二阶段监管评估过程中，笔者组织团队研究“问卷调查表”和“访谈提纲”，问题设计遵循从技术指标到文化指标逐步递进的原则。在飞行检查中，随机在公司花名册中抽取经营开发部的中层及一线员工进行访谈，并临时召集100名员工进行匿名问卷调查。例如针对文化指标中的“态度”，我们设计了这样的问题：投标项目通过资格预审后，其他公司找到你称：“为了节约成本，大家商量一个报价浮动区间，然后公平竞争，这样对大家都好”，你会怎么做？选项设计：A.向领导汇报；B.直接拒绝；C.不知道怎么办；D.写下你自己的办法。在访谈中，类似问题我们会进一步追问：如果你的上级要求你去联系其他投标单位，你会怎么做？是先执行再汇报，还是向合规部举报，或者你有其他办法。又比如，针对文化指标中的“习惯”，我们设计这样的问题：资格预审通过后，接下来你会做哪些工作？根据他的回答，检测其开展业务流程是按照以往的惯例执行，还是按照新的合规流程执行，以此检测合规制度有无转化为行为习惯。再比如，针对文化指标中的“氛围”，我们设计这样的问题：庞某被选为“合规标杆员工”并当选党代表，你觉得她当选的原因是什么？对她身边的其他员工有什么影响？这是从正面角度检测合规氛围的形成。另外从负面角度设计了这样的问题：如果你和你身边的同事知道某经理通过串通报价而中标，超额完成当季度业绩，他及其所带领的团队获得丰厚奖金，你会怎么做？选项设计：A.羡慕；B.祝贺；C.让他们请客；D.鄙视；E.举报。再通过对回收的样本进行统计分值，按照不达标、达标、良好、优秀进行分级评估，以确定有无形成“环顾四周，所见之处，员工都在做正确的事”的态度、习惯和氛围。

4.免疫测试。企业合规作为企业预防违法犯罪的免疫系统，是否起到免疫屏障的作用，最有效的检测路径就是免疫应答测试，这也是避免“案头书面”审查弊端的有效方法。生物免疫系统有无产生免疫应答，可以通过接触到病毒后进行抗体检测。企业合规的免疫测试有点类似于“钓鱼执法”。例如，一个涉案企业的合规计划中禁止员工收受旨在对其工作施加不当影响的宴请或礼品，那么为了检测这一合规条款有无实际产生效果，就可以实际测试业务员是否会拒绝礼品或宴请邀约。例如，在前述A公司串通投标案中，可以抽查投标项目，监管人员假装是另一家投标公司的人员，在投标报价前的“敏感期”，打电话邀约A公司负责该项目的人员出来吃饭，测试其态度。

我们将这种检察机关主导下企业合规有效性审查、评估方法概况为“1+1+2”检测模型（见图2），其中第一个“1”是常规审查法，侧重合规有效性的技术指标；第二个“1”是飞行检查法，兼顾合规有效性的技术指标和文化指标；“2”是指问卷访谈法和免疫测试法，侧重于合规有效性的文化指标。文化指标相对抽象，但并非不可衡量，当我们把文化指标具象为态度、习惯和氛围的时候，就可以通过问卷、访谈和免疫测试的方法进行检测。这种依赖于随机抽样的盲测实验可以非常便宜地衡量员工在现实工作环境中是否遵从合规。尽管被问卷、被访谈的人员中可能存在少数人刻意迎合公司希望得到的答案而故意说谎，尽管被免疫测试的人员的表现可能具有偶然性，但是只要样本足够多，这些少数性、偶然性的问题不会影响基本结论的真实性。A集团公司的第二阶段评估过程中，我们采取了这种测试模式，对测试结果进行分析，达到合格的标准，基本符合合规文化指标的要求，也说明第一次评估后采取的致力于合规文化的完善举措取得一定效果。

图2　“1+1+2”合规有效性检测模型

余 论

经过评估审查，被判断为有效的合规计划，从刑事法的角度来说，作为量刑从宽甚至出罪事由。鉴于刑法和刑事诉讼法立法上的缺位，目前主要是作为量刑从宽或不起诉的依据。笔者认为，未来应当通过修改刑法和刑事诉讼法，将有效合规计划作为实质的出罪因素。“形式入罪、实质出罪”是贯彻实质法治国罪刑法定原则的核心要义。在积极刑法观的主导下，立法活性化时代到来，行政犯及“公司刑法”的罪名体系越来越庞大，企业犯罪风险增大，在司法上坚守消极主义立场，拓宽单位犯罪的出罪事由势在必行，而合规计划无疑是最佳路径。从刑法学的角度来说，企业犯罪的实质出罪通道不可能从构成要件符合性中寻找，通向光明的出罪通道——预防必要性。按照传统的犯罪构成，预防必要性只能作为量刑因素考量，难以成为违法或责任阻却事由。但是，罗克辛的目的理性体系为预防必要性作为责任阻却事由打开了一条通道。罗克辛目的理性体系最大的特点是以新康德主义哲学为根基，以规范的可交谈性为实质内涵的罪责概念，融入刑事政策的考量，将是否具有预防必要性作为责任的内容，惟有罪责和以预防为目的的处罚必要性两个要素同时具备，才能认为行为人具有答责性。这样一来，“在缺乏罪责之外，如果缺乏预防性刑事惩罚的必要性，也能够导致排除责任”，进而实现实质出罪。建立并实施了有效合规计划的“企业公民”在规范上具有“可交谈性”，为遵守法规范做出真诚的努力，恢复了法和平和法安全，而不需要特殊预防，同时也对其他企业形成良好的守法示范作用而不需要一般预防。因此，预防的必要性缺乏，进而缺乏答责性，实现实质出罪。就此而言，企业合规作为实质的出罪事由在理论上是有空间的，详细展开已经超过本文的议题范围，留待另文详述。