从尽职调查到风险评估，企业“事前刑事合规”全流程实务操作指南
近年来，企业刑事合规越来越受到学界和企业、司法机关、律师等方面的重视。根据开展阶段、启动主体等不同，大致可以分为两类：
一类是“案发”后，由政法机关主导，对涉罪企业开展的合规整顿，起亡羊补牢之功，并将合规作为对涉嫌犯罪的企业予以宽大处理的依据，可称之为“事后刑事合规”；另一类是尚未“案发”，由企业自发或者自觉启动的，对企业已经遇到的或者潜在的风险进行检测、化解、预防，起防患于未然之效，可称之为“事前刑事合规”。
目前，关于企业刑事合规的理论研究层出不穷，但鲜见对企业刑事合规实务操作的总结。本文由资深刑事团队撰写，在积累了大量“事前刑事合规”业务经验的基础上，对相应的实务操作进行总结和归纳，希望对你有所帮助。
”
文 | 邹琰、刘丽芳、彭睿媛、张新若、孙展
来源 | 兰台律师事务所
一、开展企业事前刑事合规的目的和任务
二、企业事前刑事合规的准备阶段
1. 预测企业突出风险，使合规更具有针对性
2. 制定专门的刑事合规专项工作方案
三、企业事前刑事合规尽职调查阶段
1. 书面审查
2. 现场访谈
3. 现场考察
四、企业事前刑事合规法律风险的评估、反馈和整改
1. 刑事合规法律风险的评估
2. 出具刑事合规法律风险合规报告
3. 刑事合规法律风险的反馈和落实
五、企业事前刑事合规工作的心得
- 1 -
开展企业事前刑事合规的目的和任务
目的决定内容。有明确企业事前刑事合规的目的、任务，才能保证合规的正确方向，更有效地开展这项工作。企业是盈利为目的组织，事前企业刑事合规的目的和价值当然是依法维护企业的利益，促进企业更好健康发展，在法律许可范围内实现最大的利润。一切合规工作都由此而开展。具体体现在以下三个方面：
1. 通过实施有效的刑事合规计划，优化公司的治理结构。
即在传统的由公司决策者、执行者和监督者所构成的三角结构之外，组建起一个独立的法律风险防控部门，并发挥其不可替代的独立作用，提早预判公司可能出现的各种刑事风险并采取相应措施预防刑事追诉。
2. 减少企业利益损失。
企业以盈利为目的，刑事合规最终走向公司利益的保障是毋庸置疑的。在美国20世纪发生的安然事件和安达信事件中，联邦司法部对这两家企业提起刑事诉讼，最终导致两家企业相继破产，数以万计的公司员工面临失业困境。
美国联邦司法部对安达信提出刑事起诉
这显然表明，一个没有刑事合规计划的企业，难以预防自身或其高管犯罪行为的发生，而企业一旦被定罪判刑，将会导致其他无辜的员工、股东、投资者、代理商、经销商的利益受到严重损失，企业轻则失去大量交易机会和交易资格，重则被宣告破产，数十年的经营心血往往一朝覆亡。基于有效的刑事合规，企业才能在遵守法律法规的前提下开展经营活动，营造一个相对公平的经营环境和秩序，从而获得更加长远的、整体的利益保障。
3. 树立良好的企业形象。
通过建立合规计划，企业可以承担更大的道德责任和社会责任，并树立良好的社会形象，获得长久的商业信誉，从而实现可持续的长久发展。
- 2 -
企业事前刑事合规的准备阶段
1. 预测企业突出风险，使合规更具有针对性
每个企业基于其性质、业务、公司治理结构和经营方式，都会面临各不相同的合规风险。律师在帮助企业客户打造合规计划时，应首先进行刑事合规风险的评估，发现该企业特有的合规风险，列出合规风险清单，按照从重到轻的顺序，以此开展合规计划的设计。如果不突出重点，抓住突出问题，眉毛胡子一把抓，不但效率不高，而且难以准确发现问题、有效解决问题。
因此在开展合规之前，一要听企业经营者介绍。企业经营者对其企业状况了解最为全面，因此他对风险的体会最为深刻。在开展合规工作之前，一定要听公司领导关于其担心的问题的介绍，了解企业及企业所处行业近期受到的监管调查、执法处罚、刑事立案侦查等情况，但是企业经营者一方面并不专业，另一方面“身在此山中”，对问题的分析和把握不一定准确，需要通过别的渠道予以分析、对照。
二要了解企业经营的模式和业态、规模大小，了解公司经营的重点环节，以此来预测公司经营中的法律风险。在笔者对一家在线教育机构进行合规中，经过了解得知，该行业销售部门在公司经营中占有重要地位，因此其突出问题是向客户夸大、虚假宣传，以提高业绩甚至骗取财物。学员对此反响强烈，投诉乃至报案时有发生。因此诈骗类犯罪、虚假广告犯罪较为常见，此外，由于这类企业掌握大量学员信息，侵犯公民个人信息罪也常有发生。
三要从类案检索中分析风险。每个行业每个领域存在风险都有其特点特性，因此我们在开展工作前，做类似企业犯罪案件的检索，分析常见的犯罪、发生犯罪的环节和原因，这对于明确合规重点，分析原因和提出合规建议都有重要意义。
比如在商业银行信贷业务刑事风险的排查中，我们通过类案检索，发现在信贷业务中商业银行作为潜在的被害人，可能遭受的犯罪侵害至少有贷款诈骗罪，骗取贷款、票据承兑、金融票证罪，高利转贷罪。
同时，作为可能的被告人，商业银行或其从业人员可能面对的刑事指控至少有违法发放贷款罪。又如在商业银行储蓄业务中，商业银行作为潜在的被害人，商业银行可能遭受的犯罪侵害有伪造、变造金融票证罪，金融凭证诈骗罪等，同时，作为可能的被告人，商业银行或其从业人员可能面对的刑事指控有吸收客户资金不入账罪。
2. 制定专门的刑事合规专项工作方案
在对企业问题和突出风险准确预测和对企业情况深入掌握的基础上，要量身定做刑事合规工作方案。打造合规工作方案的目的，一方面是为了律师团队有序开展工作，另一方面也有利于企业对律所开展工作有所了解，从而为配合刑事合规的开展做好相关的准备工作。
刑事合规专项方案是根据企业所提供的初步事实材料，结合前期与企业经营者的沟通，依据相关法律法规与司法实践，认真研究、论证而出具的方案。合规工作方案一般由初步法律分析意见、刑事合规工作步骤、注意事项、专业服务团队简介四部分构成。
第一部分初步法律分析意见主要根据背景情况和客户需求，分析企业可能涉及的主要刑事法律风险和主要责任划分节点。
第二部分刑事合规工作步骤，围绕可能存在的风险和节点，将具体刑事合规工作一般分为四个步骤：
① 通过听取企业经营者对企业的全面情况介绍、梳理和审查书面材料、现场访谈、现场考察等方式排查企业刑事风险；
② 结合书面材料审核及访谈结果，在全面了解企业情况后，对可能会给公司带来的风险进行梳理和评估；
③ 根据前述工作成果，出具书面法律风险合规报告初稿，准确反映情况，提出依法合理的建议；
④ 协助做好相关合规工作，针对在该项目中反映的问题在兰台担任企业常年法律顾问工作期限内，协助企业制定合规方案并做好落实，通过完善贵司相关制度流程文件，开展普法培训，解答疑难问题咨询等进一步强化企业合规建设，保障企业的合法合规运营发展。
第三部分为注意事项，围绕该刑事合规专项中可能出现的问题做重点提示与说明。
第四部分则是结合企业具体需求，为该项目组建的专项合规工作团队的介绍，该部分附上团队律师的简历供企业了解专项合规工作团队律师的履历。
总的来说，合规专项方案是一个有机的整体。合规专项方案应做到言简意赅，方便专项工作团队的律师做到“一册在手，即可执行”，有序开展刑事合规专项工作，同时也要通过该方案让企业经营者了解刑事合规专项工作具体如何开展、协助做好准备工作。
- 3 -
企业事前刑事合规尽职调查阶段
1. 书面审查
在刑事合规专项工作方案形成后，需严格依照工作方案展开尽职调查。首先，结合客户的具体情况，出具详细的刑事合规材料清单。刑事合规材料清单一般包括公司基本信息和治理体系、组织结构、公司业务管理制度、实际运行情况等材料。
值得注意的是，对于客户企业内部制度等材料不应一昧求多揽入，应做到有的放矢，明确重点，结合前期对企业突出刑事风险的预测要求企业提供重点部门、重点业务等相关材料。例如，对于一些电商销售平台，结合其行业特性及之前对于该行业刑事风险的预判，刑事合规材料清单中需要企业提供的制度则重点包括财务、人事、销售、货物质量、售后、客户信息管理和员工奖励惩处等制度，重点包括销售规范化制度体系。
其次，根据刑事合规材料清单，核对企业所提供的所有书面材料，核查是否存在遗漏和待补充材料，并同步组织团队律师对客户提供的刑事合规材料进行交叉审查，全面了解企业的业务决策、执行和监督情况，着重排查客户可能存在的刑事法律风险。此外，在对刑事合规材料进行审阅的过程中，还应对可能涉及的其他民事、行政法律风险一并进行排查。
2. 现场访谈
在对客户所提供的刑事合规材料进行全面和交叉审查后，基于可能涉及的刑事风险，专项律师团队拟通过与企业高层、分管领导、重点部门负责人以及重点业务相关工作人员进行访谈的形式，试图全面了解企业在经营中的实际情况从而排查企业刑事法律风险。
在现场访谈环节，一是需要通过草拟访谈计划，确定访谈的员工名单、提前列明访谈提纲、访谈的重点问题等；二是按照访谈计划事先确定的员工名单，对从公司领导层到各部门主管、一线员工等逐个进行访谈，从而深入了解和记录企业目前经营情况和存在的问题；三是对每次访谈当场形成访谈记录，并将访谈记录打印出来供被访谈人员核对无误后签字，访谈结束后组织律师对访谈记录进行二次审阅，核查在访谈记录中可能暴露的刑事法律风险及其他法律风险点。
此环节，最值得注意的莫过于对员工开展访谈的原因的确定、访谈提纲的设计以及访谈技巧的把握。访谈环节需注意方式方法，避免对企业的负面影响。除企业领导规定的范围外，对相关人员是否以大合规或者融资尽职调查的名义开展工作，还是直接以刑事合规的名义开展，具体名义由公司领导确定，防止因员工错误认知事前刑事合规的目的而引起不必要的担忧。在实践中，有的企业是为了提高员工的合规意识，要求就是以刑事合规名义开展工作，有的企业则会要求尽量降低影响。
对于访谈提纲的设计，应紧密结合被访谈人的职位和负责的具体内容，根据前期审核企业刑事合规材料时所梳理的该部门可能涉及的风险，有针对性的列明访谈提纲，标注重点问题。
在开展访谈过程中需注意访谈策略方法，避免直接就发问关键问题。在对员工的访谈中尽量避免直接问“工作中有没有不符合规定、不正常或存在争议的情况”等这种问题，可增加若干其他问题，如“公司是否开展团建？在公司中幸福感如何？”等进行引入，避免相关被谈话人觉察谈话目的。在较为轻松的氛围中切入重要的问题，让其诚恳地回答问题，对于具体涉及风险的问题可建议对方作出详细的说明。
3. 现场考察
在现场访谈以后，专项律师团队对企业进行现场考察，深入了解客户企业的实际经营情况。
① 前往客户企业办公场所，对企业的办公环境、组织结构、内部合规宣传和培训情况等进行全方位的考察和记录；
② 查阅客户企业的对外官网，了解其对外官网页面内容，核查经营业务范围、对外宣传力度等与实际经营情况是否存在偏差等，如对在线教育机构的刑事合规专项中，律师团队将查阅其官网内容中的课程内容、价格、师资力量等与实际情况是否相符，了解客户的对外宣传力度、实际经营内容等。
又如在商业银行刑事合规项目中，律师团队会认真查阅商业银行对外的官网页面，了解银行官网页面中所提供的个人服务、公司服务、信用卡服务等板块所涵盖的具体业务内容，并与前期的资料审查和现场访谈中所知悉的实际情况作深入对比，从而排查刑事风险。
③ 走访企业客户群体，听取客户对企业的反映和意见等。
- 4 -
企业事前刑事合规法律风险的评估、反馈和整改
1. 刑事合规法律风险的评估
结合前期的书面资料审核、现场访谈、现场考察等结果，在全面了解客户企业的具体情况后，专项律师团队对企业风险进行梳理和评估。对识别出的刑事、民事、行政法律风险发生的原因、风险发生的可能性及其影响后果进行研判，并形成书面的法律意见。
在这一阶段，评估企业刑事风险的具体思路可以分为三步：
第一步，确定是否存在刑事风险。也即是否存在涉嫌犯罪的行为，判断依据是前期书面资料审核、现场访谈、现场考察所了解到的员工的具体行为和相关犯罪构成。
第二步，如果通过第一步判断确实存在刑事风险，在存在刑事风险的基础上，要甄别判断仅是员工个人的风险，还是单位犯罪，直接负责的主管人员和其他责任人员是否承担责任，公司是否面临相应的刑事法律风险。
对此有三个关键节点：一是决策环节，也即公司在对融资、经营、销售、商业秘密保护、知识产权等活动的决策是否合法；二是执行环节，公司是否对相关决策组织落实，是否存在“说一套做一套的问题”；三是监督环节，也即公司对员工工作情况是否进行监督，对发现的违法犯罪行为是及时纠正、处罚、报案，还是因为该行为符合公司利益而纵容、默许甚至支持。
第三步，除评估企业是否存在刑事风险以外，还需要对企业是否存在其他风险，如民事、行政法律风险进行评估。
2. 出具刑事合规法律风险合规报告
根据前述工作成果，专项律师团队出具书面法律风险合规报告初稿，准确反映客观情况，提出依法合理的建议。法律风险合规报告出具的目的：一是以最小的代价最大限度化解客户企业和相关人员已有刑事犯罪风险点，就客户经营中可能面临的民事和行政法律风险提出应对意见；二是为企业经营者今后如何依法规范管理企业，防范刑事及其他法律风险，完善企业治理结构出谋划策。
刑事法律风险合规报告一般包括五部分：一是企业刑事合规的具体背景；二是开展刑事合规专项企业的基本情况；三是尽职调查工作的基本情况；四是企业存在的刑事法律风险及其他法律风险；五是刑事法律风险及其他风险防范的对策和建议。其中，最为重要的部分为第四和第五部分。
在此阶段，由参与该项目的主办律师及协助助理主笔起草企业刑事合规专项工作报告初稿，由高级合伙人、顾问对报告进行二次复核和修改，律师团队进行集体讨论；高级合伙人、顾问对本刑事合规专项工作报告进行最后修订和完善，确保做到依法科学，符合企业实际，具有较强关联性、可行性，并向企业领导层及时高效地提交刑事法律风险合规报告的具体全面版本。
经与企业领导层沟通后，再根据企业领导层对于报告的意见进行修改和完善，隐去企业经营者、领导层较为敏感的信息，提供给企业员工刑事法律风险合规报告的简版，供员工查阅、了解及规范自身工作期间的行为，提高员工刑事合规意识。
3. 刑事合规法律风险的反馈和落实
企业即使已经通过刑事合规尽职调查、对刑事合规风险问题作出了识别、评估，仍可能由于风险偏好、制度落实不到位或者员工刻意回避制度等原因而导致企业面临刑事风险。
因此，在出具刑事法律风险合规报告后，专项律师团队向企业领导层就刑事合规成果进行汇报和反馈的同时，针对客户目前存在的法律风险，逐一与企业领导层分析，并与企业领导层交流防范法律风险的对策和建议，帮助企业确立未来合规的重点，协助企业建立并完善刑事合规治理制度。
完善的刑事合规治理制度的功能应主要体现在刑事法律风险的发现和控制上。基于此，对于企业目前存在的问题，在笔者担任企业常年法律顾问工作期限内，笔者拟协助企业制定合规方案并做好落实，通过完善企业相关制度、流程文件，开展普法培训，解答疑难问题咨询等进一步强化企业合规建设，保障企业的合法合规运营发展，从而做到从源头发现和控制风险。
此外，笔者拟对刑事法律风险较大的部门进行部门专项制度的重构和修订，确保部门制度构建完善，提高企业高管及员工的刑事合规意识，从而帮助企业有效厘清责任，在必要之时进行相应的责任分割。
- 5 -
企业事前刑事合规工作的心得
1. 企业事前刑事合规项目要立足刑事又要超越刑事，因此综合性一体化律所在刑事合规中具有独特优势
企业刑事法律风险是企业面临的最为严重的风险，因为可能违反刑事法律，涉嫌犯罪。同时要看到，这些虽然是刑事问题，但其根源主要来自于企业经营，在出现刑事违法之前，已经违反了民法、经济法、行政法的相关规定，有的本身就是刑民交叉问题。而对风险的防范和化解，也往往离不开经济、民事和行政法律手段，比如完善公司治理机制、健全财务制度、规范销售行为和商业秘密保护制度等。
因此，在开展企业刑事合规的时候，一定要立足于刑事问题，但又要跳出刑事之外。不但要排查刑事法律风险，还要分析其根源和原因，根据民事、经济和行政法的规定，对企业提出合规建议，促进企业各方面制度的健全和完善。
这也对刑事合规团队的专业提出了要求，因此，在组建刑事合规专项团队时，要以刑事专业律师为主，并根据企业特点抽调在公司商事合规、争议、金融、知识产权等业务领域的资深律师参与。
2. 发现问题是成绩，帮助企业解决顾虑亦是成绩
通过企业事前刑事合规专项能够帮助企业发现较大的刑事法律风险并予以提供应对方案自然是成绩，但在工作中，如果能够确定企业经营者一直担心的问题不是问题，帮助企业化解顾虑也是刑事合规的重要意义。
如在笔者办理过的某在线教育机构刑事合规专项中，企业经营者由于发现同行机构销售人员涉嫌合同诈骗罪被定罪判刑的案件，深深担忧自身业务经营中涉及的刑事法律风险。在对该企业开展合规后，专项律师团队发现该企业在销售环节涉及的刑事法律风险较低，且可防可控，虽夸大宣传偶有发生，但更多可能面临的是民事、行政法律风险，只需要企业继续坚持行之有效的制度规定，不断加强对员工的合规教育，不断健全制度规定，不断完善管控措施就可以将该风险扼杀于襁褓之中。
这一结论犹如给企业和企业经营者送上了“定心丸”，明确了合规的重点而又解决了经营者的顾虑，确保了企业合规建设，健康发展的路径。
3. 刑事合规工作需注意方式方法，维护企业合法利益最大化
在开展事前刑事合规过程中，需要以客户合法利益最大化为原则，充分考虑客户的实际情况，采取妥善的方式方法，避免对客户产生不利的影响。在事前刑事合规项目的开展中，笔者团队采取了以下措施：
一是坚持依法、专业、客观开展刑事合规工作。匹配专业精干力量，深入、客观、准确地查找、分析、反映客户存在的问题，并注重站在企业的角度思考问题，提出意见建议，既保障企业合规经营，又提高企业经营活力。
二是严格保守企业秘密。律师事务所和参与工作的律师签署保密协议，在工作中严格保守企业的秘密，把知情范围控制在企业要求的范围。同时，在未经企业同意的基础上，依法拒绝向有关部门提供企业秘密。
三是注意方式方法。为避免对企业造成不良影响或者在员工中引起不必要的紧张，与客户商定，在访谈和查阅资料时，是以融资尽职调查等名义开展工作，还是明确告诉大家进行的是刑事合规。在开展访谈过程中，要注意策略方法，避免引起被访谈人的反感。在工作节奏和工作时间的安排上，要注意避免影响企业的正常经营。
四是加强与企业领导的沟通。对于书面审查和谈话的范围、内容，与企业领导商定。每进行一个环节，都要向企业领导进行反馈，共同研究对下一步工作方案进行调整。合规报告的初稿形成后，要首先送企业领导提出意见并进行修改，再正式提交。
4. 对策和建议的落实需在合法的前提下保持企业的活力
企业以盈利为目的，刑事合规最终走向公司利益的保障是毋庸置疑的。因此，在事前刑事合规的过程中，应当牢记刑事合规的最终目的，对策和建议的提出与落实的过程中需注意“尺度”把握，在合法的前提下保持企业的活力。
如某电商平台最担心的销售人员夸大虚假宣传，可能涉嫌骗犯罪风险问题，笔者在合规中发现该企业已经采取了有效的措施，效果明显，就向企业提出在销售环节保持和完善现有管理制度和管理力度，避免“一管就死，一放就乱”，下一步重点加强制度的可视性，注重工作留痕，并具体提出了四项建议：
一是实现制度上墙，时刻提醒；二是进一步加强企业合规文化建设；三是定期研究销售工作，建立健全会议纪要制度；四是定期开展员工合规考试，以考促行。如此一来，既保障了企业销售合法合规进行，又避免了因“用药过猛”，影响销售人员的积极性，导致企业盈利受到重大创伤。
5. 事前刑事合规是一个动态的检视过程，需长期开展并建立起独立的第三方动态监测机制
事前刑事合规是一个动态的检视过程，犹如天气预报一样，需时常开展，不能一劳永逸。因此，事前刑事合规是一个长期的工作，要建立起独立第三方动态监测机制，确保企业长期健康发展。
当前，最高检等9部委发布的《关于涉案企业合规第三方监督评估机制的指导意见（试行）》标志着在依法推进企业合规改革试点工作中建立“检察主导、各方参与、客观中立、强化监督”的第三方监督评估机制自此有了“国家队”。
按照《意见》，第三方机制是指检察机关在办理涉企犯罪案件时，对符合企业合规改革试点适用条件的，交由第三方监督评估机制管理委员会选任组成的第三方监督评估组织，对涉案企业的合规承诺进行调查、评估、监督和考察，考察结果作为检察院依法处理案件重要参考的制度。
虽然该《意见》所适用的范围为涉案企业合规，但在事前刑事合规业务中我们亦可借鉴参考。事前刑事合规的落实有必要建设好、利用好第三方动态监测机制，其中第三方可以是律所的专项律师团队，为企业做好“定期体检”工作，保障企业合法合规经营。
如某学者兼律师所言“刑事合规是企业管理的必修课”。企业可能因及时且高度重视事前刑事合规而防范刑事法律风险，平稳前行；也可能因游离法外，盲目贪利而走向深渊。无论怎样，“刑事合规”这门必修课不仅能保障企业合法经营，也可以帮助企业尽早发现尚在腠理的合规问题，及时防范刑事风险，为企业的长远发展保驾护航。