二、企业合规的价值

谈到合规经营，有人说这是企业实现可持续发展的保障；也有人说，这是融入全球化竞争的必然选择。当然也会有人质疑，合规体系即便建立起来，也无法防止和杜绝所有的违法、违规和犯罪活动。尤其是大型企业，具有人数众多的员工队伍、管理层级，还有子公司、客户、第三方商业伙伴，等等，即便企业本身不存在违法犯罪的主观意志，也难以完全避免上述关联人员的违法犯罪行为。对此，人们可能会有疑惑：给企业建立合规管理体系，究竟有什么实质意义或者价值呢？

案说　案例：雀巢公司员工侵犯个人信息案(5)

2011年至2013年9月，被告人郑某、杨某在分别担任雀巢（中国）有限公司西北区婴儿营养部市务经理、兰州分公司婴儿营养部甘肃区域经理期间，为了抢占市场份额，推销雀巢奶粉，授意该公司兰州分公司婴儿营养部员工——被告人杨某某、李某某、杜某某、孙某——通过拉关系、支付好处费等手段，多次从兰州大学第一附属医院、兰州军区总医院、兰州兰石医院等多家医院的医务人员手中非法获取公民个人信息。其间，被告人王某某利用担任兰州大学第一附属医院妇产科护师的便利，将在工作中收集的2074条公民个人信息非法提供给被告人杨某某、孙某，收取好处费13610元；被告人丁某某利用担任兰州军区总医院妇产科护师的便利，将在工作中收集的996条公民个人信息非法提供给被告人李某某，收取好处费4250元；被告人杨某某利用担任兰州兰石医院妇产科护师的便利，将在工作中收集的724条公民个人信息非法提供给被告人杜某某，收取好处费6995元。

在一审庭审中，被告人郑某、杨某、杨某某、李某某、杜某某辩称，自己为完成公司任务收集公民个人信息，起诉书指控非法获取公民个人信息的数量不准确。

根据当庭经过质证的《雀巢公司指示》（收录于雀巢公司员工培训教材）、雀巢（中国）有限公司情况说明，雀巢公司不允许员工以推销婴儿配方奶粉为目的，直接或间接地与孕妇、哺乳期的妈妈或其他社会人群进行接触，不允许员工未经正当程序或未经公司批准而主动收集公民个人信息。雀巢公司就DR（通过医务人员成功指导消费者使用雀巢产品入组的人）的概念、目标任务、与DR相关的信息获取方式等进行了说明，DR任务目标不是收集消费者个人信息，DR工作完成的实际效果由中国健康促进与教育协会承办的营养咨询中心（NCC）通过电话来了解和评估。为完成电访调研，需要用到消费者自愿提供的部分个人信息，雀巢公司不允许为此向医务人员支付任何资金或者给予其他利益，也从不为此向员工、医务人员提供奖金。

雀巢公司在《雀巢公司指示》以及《关于与保健系统关系的图文指引》等文件中明确规定：“对医务专业人员不得进行金钱、物质引诱。”根据这些规定，雀巢公司要求所有营养专员都须接受培训，并签署承诺函。

经当庭质证的医务渠道WHO（世界卫生组织）在线测试成绩、测试卷，关于在高风险国家与医务专业人员和医疗保健机构交往的指示以及员工奖金表均证明，被告人郑某、杨某、李某某、杜某某、杨某某、孙某均参加过雀巢公司不允许营养专员向医务人员支付费用获取公民信息的培训和测试。

雀巢公司的政策与指示、雀巢宪章、关于与卫生保健系统关系的图文指引均证实雀巢公司遵守世界卫生组织颁布的《国际母乳代用品销售守则》及卫生部门的规定，禁止员工向母亲发放婴儿配方奶粉免费样品，禁止向医务专业人员提供金钱或物质的奖励，以引诱其推销婴儿配方奶粉等。

2016年10月31日，一审法院判决雀巢公司郑某、杨某、孙某等六人以非法方式获取公民个人信息，情节严重；医务工作者王某某、丁某某等三人违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息出售或者非法提供给他人，情节严重。上述九人的行为均已构成侵犯公民个人信息罪。

一审法院宣判后，各被告人均提起上诉。其中，郑某的上诉理由是自己的行为系公司行为；杨某某的辩护人提出本案属于单位犯罪的辩护意见；李某某上诉的主要理由是自己的行为都是公司下达的任务；杜某某上诉的主要理由是自己的行为是按照公司要求所做的，所获取的信息都是提供给公司的。

2017年5月31日，兰州中院经过不开庭审理后认为：“单位犯罪是为本单位谋取非法利益之目的，在客观上实施了由本单位集体决定或者由负责人决定的行为。雀巢公司手册、员工行为规范等证据证实，雀巢公司禁止员工从事侵犯公民个人信息的违法犯罪行为，各上诉人违反公司管理规定，为提升个人业绩而实施的犯罪为个人行为。”据此，兰州中院裁定驳回上诉，维持原判。

观点探讨

上述案例被称为“企业合规无罪抗辩第一案”，法院的裁判逻辑是什么？

法院的裁判逻辑是，认定一个公司或个人构成犯罪，需要符合《中华人民共和国刑法》（以下简称《刑法》）规定的主观和客观方面的要件。雀巢公司建立了系统、有效的合规制度，主观上具备了合规风险防范的意识，对员工进行过相关合规培训，签署过依法从事经营活动的承诺函，并明确禁止员工从事违法、违规行为，客观上也尽到了合规管理的义务。由此可见，雀巢公司没有犯罪的主观故意。

本案中，被告人所实施的侵犯公民个人信息的行为虽然是以雀巢公司员工的名义进行的，但是是为了个人业绩而实施的违规行为。他们既没有决策层或者管理层的授权，也没有向管理层进行汇报。据此，法院认定雀巢公司不构成单位犯罪，相关员工构成个人犯罪。因此，这种合规管理体系和内部控制机制，成功地将员工行为与企业行为进行了切割，使得企业不因员工的行为而承担刑事责任。

这也充分体现了企业开展合规体系建设的价值。企业合规体系可以发挥“隔离带”和“防火墙”的作用，成功将企业责任与员工责任、客户责任或者第三方商业伙伴的责任进行切割和分离。

除了责任切割，企业合规的价值还体现在哪些方面？

企业建立合规管理体系，可以为企业守护和创造价值。其中，“隔离带”和“防火墙”是守护价值的体现；创造价值则体现在企业能够通过合规树立诚信经营形象，保障自身组织的健康稳定，同时赢得合作伙伴及社会公众的长期信任。企业具备了竞争优势，也就获得了更多的商业机会，能够在可持续的基础上实现长远发展。

保有和获得商业机会（或资源）

2016年4月，国务院国资委印发《关于在部分中央企业开展合规管理体系建设试点工作的通知》，在中国石油、中国移动、中国中铁、招商局集团和东方电气等五家中央企业试点开展合规管理体系建设。随后，国家相关部门相继出台了《中央企业合规管理系列指南》和《中央企业合规管理办法》。

根据《中央企业合规管理系列指南》之《商业伙伴》的要求，国有企业选择供应商应遵循如下原则：

1．合法原则，即为合法目的，选择合法设立和有效存续的商业伙伴开展合作；

2．诚信原则，即选择具有资信和履约能力、合规义务履行情况良好的商业伙伴开展合作；

3．择优原则，即充分考虑相对方经济实力、履约能力等因素，从中选择综合实力较强的商业伙伴开展合作；

4．共赢原则，即与商业伙伴通力协作，实现合作目的，为合作各方和社会创造更大价值；

5．公开原则，即对于法律、法规规定应公开采购商业伙伴的，应公开进行。

国家对企业合规的要求从中央企业逐渐辐射至其他企业，企业如果希望继续保有和获得更多的商业机会，那么进行合规体系建设是必要的。此外，对于“走出去”的企业来说，如果希望在全球市场占有一席之地，拥有良好并经过认证的合规体系则显得更为重要。这方面，从中兴制裁案、湖南建工集团建立合规体系后被世界银行剔除出黑名单、西门子公司重建合规体系等案例中，都可以得到证明。

减轻甚至免除承担不合规的不利法律后果

有效的合规体系可以在企业发生违规行为后，作为其与执法机关达成和解的基础条件，实现减轻甚至免除处罚的目的。目前已经有检察机关结合涉案企业刑事案件办理，积极探索和落实涉案企业合规整改，以案促改、以案促治、以案促建，实现从事后惩治向事前预防转变。当然，这需要满足一定的条件。首先，企业的违法犯罪的情节相对轻微，具有整改的条件和基础，如果对企业追究刑事责任，可能使企业面临经营困难，甚至灭顶之灾；其次，涉案企业、个人必须认罪认罚，企业愿意并积极配合合规整改；最后，合规整改必须得到检察机关的同意，并且遵循一定的程序，比如召开听证会，指定第三方监控人，验收整改成果，等等。

只有涉案企业积极整改落实合规机制，促进企业合规经营，检察机关才能对涉案企业和企业相关人员，依法作出不起诉决定或者予以轻缓处罚。企业合规体系的构建，使社会上合规经营的企业不断增加，也实现了司法办案中政治效果、法律效果和社会效果的统一。

提高企业效率

合规体系的建设确实需要投入时间和成本，这可能会造成一些人的误解，认为复杂的规则和制度会导致效率降低，影响企业经营，但结果恰恰相反。

有效和完整的合规体系包含了标准化、流程清晰、可量化和明确的行为指引。这些指引明确了什么行为可以实施、什么行为应当被禁止、什么情况下需要遵循什么样的流程、什么事项由什么部门负责等。明确的指引让企业员工有了行为的依据，遇到情况可按章办事，避免出现无人担责、相互推诿的情况。因此，企业建立有效的合规体系，是有助于企业提高效率的。

减少或避免合规风险

企业在经营过程中将面临众多的监管法规，而监管法规常常更新快速、系统庞杂、条款散乱。若是没有经过系统的培训，员工在具体工作时，很可能会触犯相应的规范要求，如个人信息的泄露、开展违法交易或通过不正当方式开展业务等，员工的违规后果将直接或间接导致企业承担法律后果。

有效的合规体系是具有明确的操作指引、过程控制的，里面的内容也会实时更新，企业对员工实施培训的过程中，应确保员工知晓并掌握相关合规的指引要求，确保员工在合规的前提下开展各项业务，进而减少或避免企业的合规风险。

合规启示

合规体系只有有效，才能发挥它的价值。合规体系的有效性体现在三个方面：设计的有效性、执行的有效性及结果的有效性。在设计上，企业管理层应当重视合规工作，并建立合规组织，投入充分资源；在执行上，企业应当有贴近自身业务实际的政策和流程，并建立合规管理的运行机制；在结果上，企业应当通过检查调查，确保合规计划的有效运作，形成良好的合规文化。

01．颁布专项合规政策

企业为预防特定合规风险，可颁布专项合规政策和员工行为准则，明确告知员工禁止从事的违法、违规行为，并规定相应的惩戒措施。

02．开展合规培训并留存记录

企业为预防合规风险，需要对旗下高管及员工开展合规培训，同时留存培训记录，要求员工签署相关承诺函，以证明企业尽到了对员工的提醒、教育和沟通义务，既没有鼓励或者放纵员工的犯罪行为，也没有在阻止员工违法、违规方面存在失职行为。

03．建立完善的合规监控体系

企业要建立完善的合规监控体系来监督员工行为，包括违规行为的举报制度，以证明企业建立了预警机制来处置员工的违法、违规行为。

04．定期更新合规体系以堵塞漏洞

在违规行为发生后，企业要对员工的违规行为进行及时的内部调查，对存在违法、违规行为的员工予以相应惩戒。通过定期开展合规体系的梳理整改，来堵塞制度漏洞。

结语

企业建立合规管理体系，可以防范重大风险，避免被剥夺经营资格或吊销营业执照等，为企业的健康发展保驾护航。更重要的是，企业在培育了合规经营、积极向上的文化氛围之后，可以不断提升企业信用，形成良好声誉，更能赢得合作伙伴的信赖，增加更多商业机会，有利于企业的发展壮大。

此外，部分存在违法犯罪行为的企业通过合规整改的方式，不仅可以降低执法成本，还可以起到预防违法犯罪的积极作用，更重要的是，避免了企业直接破产倒闭和员工失业的风险。特别是一些在行业内有重要影响的大型企业，在合规管理体系的保护下，通过可持续的发展，将为社会经济做出更大贡献。