如果說，社會公眾對“刑事合規”的認識還處在理念認知的狀態，那么司法機關卻已經率先在具體司法活動中對刑事合規問題做出了反應。

深圳市寶安區司法局于2020年8月印發了《關于企業刑事合規獨立監控人選任及管理規定（試行）》，明確規定由律師事務所擔任刑事合規獨立監控人，協助涉刑企業完善刑事合規工作。2020年9月，浙江省岱山縣人民檢察院印發《涉企案件刑事合規辦理規程（試行）》，其規定，對于涉刑企業，經過刑事合規整改后，檢察機關可以作出不捕、不訴等處理決定。2020年10月，上海市長寧區檢察機關對一批涉嫌虛開發票的企業及經營者采用“相對不起訴+檢察建議”的方式，在對涉刑企業不起訴的同時，幫助涉刑企業開展刑事合規管理。

在司法機關已經開始全面積極探索刑事合規在司法活動中的定位和效用之際，企業在構建刑事合規方案時也將面臨一個亟待解決的現實問題：標準化的刑事合規制度，到底是什么樣的？

事實上，不同類型、不同規模、不同行業的企業在構建刑事合規制度時必然存在不同的側重點；但另一方面，刑事合規制度本身也包含共通性的重要原則和基礎機制，這些內容也是定制個性化合規方案的基準。筆者將在本文中，結合自身為各類企業提供刑事合規法律服務的經驗，就企業刑事合規治理制度的重點機制進行介紹，以期能夠對企業刑事合規治理制度的構建有所裨益。

一、發現風險：刑事合規盡職調查

企業類型，經營模式，經營內容不同，可能導致的刑事合規風險也會有所不同。通過刑事合規盡職調查，考察企業的具體情況，對企業可能存在的刑事合規風險問題進行識別，是企業刑事合規治理制度的重要內容之一。刑事合規盡職調查，一般可分為全面的盡職調查和專項的盡職調查。

（一）全面的刑事合規盡職調查

全面的刑事合規盡職調查，將協助企業發現其存在的刑事合規風險問題，其重點在于全面，即全面發掘企業可能存在的刑事合規風險問題。盡職調查的成果，將成為企業開展合規治理工作的重要基礎和前提。全面的刑事合規盡職調查，一般可從企業的合規管理制度、企業管理人員的職責履行情況、企業的經營模式和業務管理等角度入手，并視企業的具體情況進行拓展。

（二）專項的刑事合規盡職調查

如企業對自身可能涉及的刑事風險有初步認識，但無法作出準確的分析和判斷時，往往需要開展專項刑事合規盡職調查，并對具體問題作出具體研判。專項刑事合規盡職調查，一般會分析相關問題是否會導致刑事責任，可能導致何種刑事責任；如會導致刑事責任，是企業還是個人需要承擔刑事責任。此外，由于刑事責任在企業與個人之間存在著延伸性，如果個人需承擔刑事責任，還需要考量企業是否有被波及的可能。

二、控制風險：刑事合規管理

企業基于全面或專項的刑事合規盡職調查發現問題后，需要制定或完善刑事合規治理制度，以確保企業能夠對刑事風險問題進行防控。企業的刑事合規治理制度，應當融入企業的日常經營管理和公司治理活動中，且應當能夠做到貼近刑事法律實務。

（一）融入企業治理的刑事合規方案

企業刑事合規問題一般產生于企業經營活動中，因此，刑事合規方案應融入到企業日常經營管理和公司治理制度當中，并讓企業決策層、管理層以及執行層的人員均參與到刑事合規治理之中，形成對企業及高管的雙重保護。

同時，刑事合規治理制度需要做到流程化及可視化。流程化指通過清晰的流程化管理，確保企業經營事項從發起到決策，均有清晰流程制度可依。可視化則指相關事項的審批過程，均應被完整的記載。

（二）貼近實務的刑事合規方案

由于刑事立法的模糊性以及高度概括性，所以往往需要基于具體的司法解釋、刑事政策、既有判例甚至是司法實踐經驗，才能對刑事法律問題做出準確理解。因此，企業刑事合規治理制度，不能是刑事法律法規以及司法解釋與企業的管理制度的簡單整合，而應該與刑事法律實務緊密結合，并根據刑事法律法規的更迭，刑事法律實務的變化，適時地做出調整。

三、應對風險：刑事危機處理

企業即便已經通過刑事合規盡職調查，對刑事合規風險問題作出了識別，并制定了較為完善的刑事合規治理制度，但仍可能由于風險偏好、制度落實不到位，或員工刻意規避制度，而導致企業面臨刑事風險。因此，完善的企業刑事合規治理制度除了能夠發現風險、控制風險外，還需要能夠在刑事風險事件發生時，引導并協助企業處理風險。

企業刑事風險事件處理機制，應當包括風險事件發生的預警機制、風險事件處理團隊的選定機制、風險事件的處理方案的確定與落實機制、以及風險事件處理后的復盤機制等基本內容。

預警機制能夠保障企業在風險事件發生的早期，對風險事件作出識別，并對相關法律后果及嚴重程度作出準確預測。風險事件處理團隊的確定，將直接影響風險事件處理方案的制定及落實效果。風險事件處理方案是風險事件處理機制的主體部分，是結合法律規定與實踐經驗，對風險事件進行綜合分析，并通過法律關系梳理、責任認定、談判和解、有效抗辯等方式對危機事件進行處理的綜合方案。風險事件處理完成后，還應對風險事件處理過程中存在的問題進行復盤，并根據復盤結果進一步評估企業可能存在的其他刑事合規風險，并對企業合規治理制度進行升級和完善，進而防范相同或類似的刑事風險事件再次發生。

綜上不難看出，企業刑事合規治理制度并不僅僅指管理制度，還應包括刑事合規盡職調查以及刑事風險事件的處理機制。此外，各部分內容并非相互獨立，而是有機地組合在一起并在相互互動過程中實現企業的刑事合規治理。只有各部分內容在企業運營過程中相互配合，良性互動，才能夠確保企業及高管免受刑事風險事件的影響，或即便面臨刑事風險事件時，也能夠有效面對，并將刑事風險事件對企業及高管的影響降到最低。

（作者王峰為北京市中倫（上海）律師事務所合伙人，沈立為北京市中倫（上海）律師事務所律師）