开篇
+
企业合规是21世纪在全球兴起的重大法学交叉课题，坦率地说，自己开始研究合规不过才三年，如果没有经过一定的阅读和调研，对合规了解不够充分，就很容易认为合规只是按照字面含义理解的合乎规定、遵纪守法的意思，合规对应的英文是compliance，动词形式是comply，也容易被理解为只是要求每个自然人、法人、单位都遵守法律。显然，如此空泛直白的定义是对合规的误解，光从字面意思出发无法进入合规研究领域。
在构建企业风险管理机制的同时也需要充分运用风险管理信息系统，基于信息技术与计算机应用技术构建现代化的全面风险管理系统，将风险识别、风险预警与风险管理多项子系统功能进行整合，进一步提升企业风险管理与控制的效果与效率，推进企业的发展。可见风险管理在企业的持续性发展中显得极其必要，本篇我们将具体阐述十四五规划下集团企业如何做好风险管理请看下文。
有两个案例令我真正感受到合规的震撼并促使我着手研究合规，一是西门子公司的合规事件，二是中兴公司的合规事件。
2001年至2007年，西门子公司在海外11个发展中国家进行商业贿赂，媒体报道的商业贿赂金额约为14亿美元，其中就包含向中国官员及相关人员行贿，并由此获取了金额高达23亿美元的订单，涵盖医疗设备、高压输电线路、地铁列车和信号系统等多个领域。西门子公司的行为违反了美国1977年颁布的著名法律：《反海外贿赂法》（简称FCPA），经过40多年的执法实践，现在每年都会有一二百个世界各地包括美国本土的公司受到FCPA执法的调查和处罚，而对西门子公司的罚款曾一度创下FCPA执法的最高纪录。2006年11月，德国慕尼黑检察机关调查西门子公司涉嫌商业贿赂的情况，事件曝光后，西门子公司为了避免损失主动向美国联邦司法部和美国证交会披露自己的违法违规情况，相对于自然人的投案自首，企业法人可以通过主动披露换取宽大处罚。随后，美国联邦司法部和美国证交会展开调查，西门子公司自己也聘请律师进行独立的内部调查，后来经过研究才知道，这是律师一项最重要的合规业务，即合规的内部调查，也就是在违规事件发生后，企业为了避免最大的损失主动聘请作为独立法律专家的外部律师事务所进行的合规内部调查活动，具有专门的功能、专门的结构、专门的业务操作模式，如今已经是北京各大著名律师事务所合规业务的基本类型。
当然，西门子公司的这一做法必须经过美国联邦司法部和美国证交会批准，美国联邦司法部代表美国检察机关进行刑事调查，美国证交会代表美国监管机构进行行政调查，当西门子聘请美国德普律师事务所介入后，两项调查都暂停，由西门子公司先进行合规内部调查。
德普律师事务所向西门子公司派驻一个团队，因为商业贿赂调查涉及会计账簿、财务管理等各种各样的财会专业领域问题，为了提高内部调查的有效性和专业性，德普律师事务所又聘请了顶级会计师事务所的审计专家，律师团队和审计团队共同进驻西门子公司，开展为期两年的独立调查。西门子五分之二的员工和高管卷入调查，调查活动审查了上亿份文件、交易记录、咨询协议和银行账户报表，进行了无数次内部谈话。
合规内部调查这项业务既讲究高度的专业性，又要求有相当大的人力、物力资源投入。在西门子案中，律师事务所团队和审计团队介入，工作两年之后，最终形成一份合规内部调查报告，业务收费8.5亿美元，记得当时看到这个数据感到非常震惊，原来律师还可以这样开展业务。
后来，西门子公司与美国联邦司法部达成刑事和解协议，受到4.5亿美元的罚款，与美国证交会达成民事和解协议，退还3.5亿美元的不正当利益，德国慕尼黑检察机关也不甘示弱，对西门子作出了处以3亿9500万欧元罚款的决定。如此高额的罚款在当时是闻所未闻的，但是更加让人惊讶的是高达8.5亿美元的律师费用。
在研究美国律师合规业务的发展程度时看到一份资料，显示美国华尔街十大最著名律师事务所的合规业务收入跟诉讼业务收入比例是五比一，而我国目前合规业务收入远少于诉讼业务收入，可谓发展潜力极大，当然，美国合规业务的发达是基于其特殊的国内环境，英国、法国、德国等国家的合规业务则未必能达到这一规模。
回到西门子案件，这份合规调查报告被提交给美国联邦司法部和美国证交会，成为适用DPA制度的重要条件，DPA即暂缓起诉协议制度，美国联邦司法部和美国证交会暂缓起诉企业，为企业设置3年考验期，在考验期内企业要完成合规计划的改造，包括董事会和总经理在内的领导团队全部撤换，在董事会下设立合规管理委员，任命首席合规官（CCO）等，首席合规官成为企业的一个新职务，过去只有CEO和CFO，如今出现负责领导企业合规建设的CCO。西门子公司还聘请德国前任财政部长、著名经济学家威格尔博士担任合规总顾问，同时美国派出由一名合规联络官率领的工作团队进驻西门子，在考验期内监督合规制度的重建。用美国联邦司法部的话说，经过3年努力，西门子毕业了，而且成为全球最优秀的毕业生。
现在打开西门子公司中文网站，会发现在合规专栏中有公司合规计划的全套资料，这是对外公开的，网站首页的一句话就是“只有清廉的业务才是西门子的业务”，还有一句俗语是“西门子只挣干净的钱”，这是经过巨额处罚后才得以建立的合规理念。
西门子建立了国际一流的三大合规体系，即反商业贿赂合规体系、出口管制合规体系、数据保护合规体系。第一次看到西门子的合规体系时会感到困惑，为何在遭受美国的严厉处罚，达成和解协议并交纳巨额罚款之后，西门子却只建立了三项合规计划？而我国有的大型国有企业一建就是几十项合规，例如反不正当竞争合规、反垄断合规、知识产权保护合规、税收合规等等，西门子的反商业贿赂合规计划就达到200多条，而我国大型国企包含数十个项目的合规计划却只有80余条，这显然不能成为有效合规计划，在了解西门子合规计划的来龙去脉之后，就能感受到我们有的企业距离真正的合规还有遥远的距离。
西门子公司强调合规的三大支柱：防范、识别、应对，这是现在风靡全球的有效合规计划的三大体系。首先是合规风险的防范，为什么要做尽职调查、举办合规培训、进行各种各样的合规风险评估？目的就是为了防范。其次是识别体系，又叫实时监控，要求像雷达一样保持24小时全覆盖的监控，包括合规报告制度、吹哨人制度、24小时举报热线等，这是现代有效合规计划的第二个板块，西门子公司的框架非常清晰。最后是应对体系，违规行为发生以后要有效应对，及时采取措施，高度配合执法机关的调查，找出责任人和合规漏洞，提出整改方案并及时采取堵塞漏洞的整改措施。
第二个事件是中兴公司的合规事件，其实中兴公司2017年就已经被处罚过一次，与美国商务部达成了和解协议，罚款8.92亿美元并开始重建合规计划，之所以2018年出现第二次危机，是因为在第一次处罚中，有35名员工和4名公司高管是违反《美国进出口条例》的直接责任人，和解协议包含了开除这些责任人的条款，合规的灵魂在于违规行为发生以后要对责任人作出处罚，“放过企业，但是严惩责任人”，这是合规的基本理念。因此，合规不解决企业家风险防控问题，而只保住企业，同时不能放过企业内的直接责任人。
中兴公司跟美国商务部达成第一次协议后，在2017年底发生了向责任人发放巨额奖金事件，因为这些责任人被撤职、开除后，按照儒家文化要发放一定的安慰奖，奖励名单和奖金数额很快被吹哨人传给美国商务部，美国方面认为这体现了中兴公司的合规计划是无效合规，于是2018年启动第二波制裁，由中兴公司与美国商务部、美国司法部、美国财政部海外资产管理办公室三家机构达成和解协议，除了交纳10亿美元罚款以外，还要在未来的十年时间里完善合规计划，中国国内大成律师事务所深圳分所的律师团队介入帮助重建合规计划，美方派驻有在联邦司法部任职多年检察官经历的律师霍华德担任合规监督员，由其直接领导中兴公司的合规部，公司每年给他数百万美元年薪。中兴公司因为给39名责任员工发放奖金付出了惨重的代价，有人会认为这在中国企业中实在是司空见惯，但是这意味着企业在已经达成和解协议的情况下，竟然对导致违规乃至构成犯罪的直接责任人应对不利，发放高额奖励，说明企业没有整改的意识，没有重建规则制度的决心，企业的整个合规体系是纸面上、书本上的，而不能成为有效合规计划。当时看到媒体报道，包括一些研究合规的顶级专家和企业界人士对中兴公司的评论，一个直观感受是中兴公司在西门子事件十年后，依然在走西门子的老路，只不过这次罚款力度更大，两次罚款和保证金加在一起达到26亿美元，据说相当于中兴公司五年之内的盈利都要交给美国。
2018年到现在已经两年过去了，中兴公司重建合规计划的进展同样让人大吃一惊，从公司网站上可以看到，中兴公司只做三个专项合规计划：进出口管制合规计划、反商业贿赂合规计划、数据保护合规计划。有人评价说中兴公司正在进行的合规建设是中国乃至世界最前沿的合规体系之一，毫不夸张地说已经超越了西门子，中兴公司不仅建立了合规政策，而且三个专项合规计划都配备专门团队，在董事会下设立合规委员会，主席必须由非执行董事担任，还在公司领导层设置总合规官，其下又分别为三个专项合规计划设置进出口管制首席合规官、反商业贿赂首席合规官、数据保护首席合规官。总之，中兴公司的三项合规计划里面都有合规政策、合规程序、合规团队，完全符合国际一流标准。
西门子公司和中兴公司两大合规事件，尤其是中兴公司的合规事件在国内产生巨大影响，几乎所有法律界和企业界人士都开始知道“合规”的概念，当然，这是中兴公司用惨痛的教训换来的，于是在我国出现了几场合规运动。
第一，中国政府近年来采取了最坚决的行动，“合规”出现在总书记的报告里，国家最高领导人在中央全面依法治国委员会第二次会议上的讲话，以及在第二届“一带一路”国际合作高峰论坛开幕式上的主旨演讲中都出现了合规这一概念，国务院总理的政府工作报告里也出现了合规的概念。国家最高领导人和高级领导人对合规的认可，说明合规不单纯是欧美国家的独创制度，而是人类法治文明发展到今天的精华，这是超越国界的。
从实用角度来说，中国要发出“一带一路”倡议，中国企业要走出去，在海外投资、并购、上市、参与经营，就必须遵守国际公认的游戏规则，否则就只能处处挨打，时刻处于被动。记得一位研究合规的学者说过一段非常形象的话，国际市场就像一场晚宴，各个企业洽谈合作时都身着燕尾服，举止彬彬有礼，此时如果一个企业没有建立合规体系，就像穿着裤衩来参加晚宴，不会有人愿意和这样的企业进行商业来往，而且会处处受到制裁、遭受打压。
一个著名案例是中国某银行纽约分行受到美国金融监管制裁的例子，2016年这家银行来了一位客户要存进一笔巨款，根据美国法律，银行要对巨额存款进行反洗钱合规审查，但银行行长为了不让客户流失，想跳过反洗钱合规审查直接给客户办理存款，这项决定遭到纽约分行首席合规官和其下属各个合规官员的强烈反对，认为这会严重违反美国联邦和纽约州的金融监管法律，必须对客户和存款进行合规审查。
世界范围内的反洗钱合规主要是审查两大重点，即腐败洗钱和恐怖主义融资，而这些业务如果发生在国内银行，有客户要办理一亿美元的存款业务，任何银行都会将其奉为座上宾，迅速为其办理业务，但是中国某银行纽约分行的这位首席合规官是一名美国女士，由其领导的合规部门具有高度独立性，集体提出抗议。结果纽约分行行长认为合规部门影响业务开展，让合规部集体休假两个月，这些合规官休假后发现该笔存款业务早已办理完毕，严重违反美国反洗钱法律，马上决定集体辞职，行长欣然同意，还不知道风险即将来临。首席合规官立即向纽约金融监管局举报了这家银行的违规行为，纽约州金融监管部门雷厉风行，经过简单调查，最后同意与纽约分行达成和解协议，但需要处罚1.67亿美元，在中国商业银行海外分支机构被罚款的数额中是比较高的。
这一事件所带来的影响关键不在于罚款，而是后续提出了近乎苛刻的合规要求，如果不能通过合规验收，要么会收到更为严厉的责任追究，要么将被取消在美国继续经营的资格。所以这家商业银行立即在北京总部开会部署整改方案，第一步把纽约分行行长撤职，后来被北京某法院判处有期徒刑8年，第二步开始整改，建立反洗钱合规中心，成为国内几大商业银行中第一家建立反洗钱专项合规中心的银行，据说目前该合规体系仍在建设当中，充分吸取了纽约分行的教训。
从近年来国际和国内频频爆发的合规事件来看，合规已经来到我们面前，并成为中国企业面临的头号挑战，过去企业唯一的理念就是经营和营利，现在看来经营和营利固然重要，是企业存续的生命所在，没有营利企业当然无法生存。但是如果没有合规，企业同样寸步难行，难以融入文明世界，难以跟世界其他商业主体进行正常、平等的交易和贸易。企业合规中著名的“可持续发展理论”理论由此产生，企业不仅要营利，还要追求可持续发展。我国领导人也强调可持续发展的理念，要建百年老店，具有长远的眼光和意识，不能因为追求眼前利益而违规追求短、平、快，导致受到严厉处罚。
企业合规的另一个重要理论也出现了，叫作“企业的社会责任理论”，企业不仅要营利，还要承担应有的社会责任，如化工企业要重视环境保护，建立专门的环保合规计划，美国联邦环境保护署作为环境保护的行政监管机构，每年跟企业达成几十项和解协议，其中包含几十亿美元的罚款。
之所以要求企业建立环境保护合规，正是因为企业要承担社会责任，保护环境、爱惜地球；之所以要求企业保护劳工，是因为企业要承担人权保护责任。同样地，企业要保护知识产权，反商业贿赂，反垄断等等，也都是社会责任的体现，尤其在美国、英国、法国这些国家，商业贿赂已经由国内延伸到海外，企业在海外行贿也要受到国内法的责任追究，而行贿的对象主要是发展中国家的官员和公职相关人员。如果从实用价值出发，西门子公司行贿的11个国家都是第三世界国家，西门子公司充当行贿者角色，受贿者都是第三世界国家的官员，企业海外贿赂行为不会对国内官员的廉洁性造成损害，只会损害第三世界国家官员廉洁性。但合规的理念是让廉洁成为最高价值，让市场保持公平竞争和机会平等成，而不仅仅是追逐利益，合规理念要求必须考虑社会价值。
通过合规理念的引入，中国政府监管部门开始注重合规建设，我国终于有了本土化的合规。简单梳理一下脉络，其中最著名的是三大合规指引：
一是中国标准化管理委员会在2017年底以国际标准化组织发布的《合规管理体系指南》为蓝本，发布了中国版的《合规管理体系指南》．这是中国第一个合规的国家标准，虽然不具有强制力，但是对包括国有企业、民营企业以及其他企业的合规管理体系建设具有指导意义。紧接着，2018年有两个合规指引在中国出现，一是国务院国资委发布的《中央企业合规管理指引（试行）》，这是针对中央国有企业的专门合规指引，提出了合规的价值和合规的组织结构，要求所有中央国有企业建立首席合规官和合规部，架设合规组织机构，还要有合规风险评估和合规管理体系。该指引还建立了合规的行政处罚机制，中央国有企业不建立合规就要受到国资委处罚，体现了强制合规的色彩，这是中国合规的第二个国家标准。
2018年还有一个重要的规定，由国家发展改革委员会牵头，与全国工商联、外交部、商务部、国资委等7家部委联合发布了《企业境外经营合规管理指引》，适用于到海外投资的中国企业，包括国有企业、民营企业和中外合资企业。中国银监会和保监会曾在15年前发布合规指引，但影响相对小，主要限于金融企业。
2018年被称为中国的“合规元年”，这三项文件发布具有重大历史意义：一是建立了中国企业合规的国家标准；二是具有一定强制力，如果企业不按照要求建立合规就会遭到制裁，既要处罚第一责任人，又要处罚企业，实行双重处罚；三是在全国国有企业和海外投资企业中强制推行合规，要求这些企业必须建立合规。去年给多家国企授课，因为合规培训是建立合规体系的重要组成部分，而过去国有企业很少请学者进行合规培训，这与国务院系统开始全面推行合规体系密切相关。
目前几个最新动向是：
中纪委和国家监察委开始建立廉政合规指数，建成后将成为真正具有强制力的合规国家标准；公安部开始对大数据企业试行合规评估和认证制度，目前这种评估是自愿性的，对自愿参加的企业进行合规评估，最终企业合规风险通过评分的方式反馈，对达不到基础分数的企业提出整改要求。
近年来我国的互联网金融行业和大数据行业出现危机，这些企业从诞生以来一直野蛮生长，在经营模式里就有违规的基因，由于在设计商业模式时没有法律专业人士介入，企业的商业模式很多都是犯罪模式，P2P行业几乎是全行业垮塌，互联网金融涉及诸多刑法罪名，如果不能区分罪与非罪、厘清合法和非法的界限，而贸然开展业务，就会出现行业性违法甚至犯罪。
大数据行业同样如此，在中国勃然兴起，但处处充满了违规的危险，企业通过各种手段获取用户信息，由于没有建立数据保护体系，致使信息泄露或者进行信息买卖，就会在业务开展过程中触犯多个刑法罪名。
最近接触多个类似的案件，基本模式都是由企业员工或企业的第三方代理商出卖个人信息，而出售个人行踪轨迹等重大敏感信息只要50条就可以入罪，入罪标准很低，实践中交易的信息数量远超过这一标准，动辄数十万甚至上百万条，早已符合情节严重标准。而且一旦抓获企业员工，涉嫌侵犯公民个人信息罪，这些员工马上会向司法机关交代称是“企业让我干的，这是企业行为”，把责任都推给单位，这是律师辩护常用的手段，要想减少自然人的刑事责任，必须说明责任是企业的，构成单位犯罪，对单位判处罚金，此时自然人的处罚就会轻缓得多，如果企业没有合规意识，就会构成侵犯公民个人信息罪或拒不履行信息网络安全管理义务罪，后者是与自然人侵犯公民个人信息罪相配套的罪名，成为大数据企业的主要刑事风险来源之一。
最近一位律师在刑事辩护过程中，除了给公司高管做辩护以外，还想保住企业，想证明已经履行网络安全管理义务，建立合规计划，比如对员工进行了培训，建立员工认证上岗制度，有各种数据保护规章制度，禁止员工随便泄露、出售客户信息。如果有这些证据说明企业已经尽到注意义务、尽到管理责任、尽到治理的基本要求，当然可以豁免企业责任。正如自然人要想豁免责任可以主张正当防卫、紧急避险等等，以此来获得无罪的结果，对企业来说，内部员工、第三方、被并购方、客户如果构成犯罪，企业要想摆脱责任，就可以举出合规的证据来证明无罪，这就是合规切割企业责任与员工责任、客户责任、第三方责任、代理商责任的功能，合规成为企业最大的保护伞。合规体现了法律人的思维方式，与温情脉脉儒家文化有所不同，也不是道德所能解释的。
的确，一个企业刚刚兴起时在乎的更多是生存、经营和发展，但是到了一定规模之后，危险逐渐来临，即便是律师事务所也不能幸免，现在每一个辩护律师都战战兢兢、如履薄冰，已经出现多起公安机关将辩护费作为涉案赃款予以查扣的案例。因此当企业不再是小作坊的经营模式，而是在全国都设有分支机构，拥有成百上千名员工时，面对复杂的组织体系和员工、客户、第三方等法律关系，如果不进行合规建设，任何一个员工、分支机构出事，责任都可能追究到总公司头上，任何一笔收费都可能变成赃款赃物，还有可能构成共犯，可谓企业有多大风险就有多大。
像西门子这样的大型跨国托拉斯企业，全球上百个分公司和子公司员工加在一起可以达到几十万人，年营业额数千亿美元，一旦其中一个分公司出现问题，最后责任都要追究到总公司，这是西门子带来的最大教训。中兴公司全球二十余万名员工，事件发生后也是人人过关，全面进行合规调查和建设，如今合规已经成为企业的第一生命。
以上内容有点漫谈的性质，主要是与大家分享一些通过案例得出的感受，这是写作本书的最初体验。《企业合规基本理论》最大功能只有一个：澄清基本概念，解释基本理论。下面简单梳理一下，这本书三十多万字，其实是解决了以下几个问题。
（一）合规的性质
第一，合规不等于风险防控。
到目前为止，中国各界人士对合规的认识存在着误区，很多朋友看到的文章和书籍未必那么精确。为了写《企业合规基本理论》，我阅读的外文文献不下百篇，用最原始的办法仔细阅读研究这些英文文章，下过苦功夫。
我们对合规存在的最大认识误区是认为合规就是风险防控，如果有人将合规等同于风险防控，那么其所建立的合规计划必然是杂乱无章的。很多国有企业将合规部与风控部合并，在给一个大型国企进行合规讲座的前一晚，总经理和首席合规官拜访我，说“陈老师，我们准备把合规部放在风控部，您觉得合适吗？”我说：“请跟我讲讲你们公司对合规的认识。”他们马上提出合规无非就是风险防控的理念，我接着问：“你们公司有多少风险？”他们回答：“我们风险多了，有一百多种风险，合规可以作为其中的一种。”其实，如果合规只是一百种风险之一，那么合规就被稀释，相当于几乎没有风险了。如果把合规等同于风险防控，那么审计部门、总经理等公司机构也当然有风险防控的职责，财务有风险、市场有风险、竞争有风险、供货有风险、销售有风险，甚至法律本身都有风险，法律一旦改变，商业环境也会改变，企业可能面临机会的丧失，如果尝试列出企业经营中面临的所有风险，就会发现是举不胜举的。
为了研究合规，在阅读一些顶级的公司治理、财务治理和风险防控理论之后，才发现根本不需要构建如此复杂的风险体系，数十种甚至上百种风险天花乱坠，都是因为没有理解企业风险的本质，才会将简单的问题越来越复杂化。事实上，一个企业就面临三种风险，一是经营风险，二是财务风险，三是合规风险。
经营风险也被称为业务风险，企业在开展投资并购、市场销售、质量保障等各种业务活动过程中，所面临的投资得不到回报、企业无法营利、面临生存困难的风险，统称为经营风险。企业最基本的诉求就是要经营、营利、生存、发展，因此这当然是企业的第一风险，但经营风险与法律人无关，企业的法律顾问、合规人员等法律人从来不能帮助企业赚钱，只能帮助企业摆脱风险，是节流而非开源，经营风险是以CEO为代表的执行团队在经营、执行过程中负责预防的风险。第二种是财务风险，其是指由于财务管理混乱、舞弊、贪腐等行为，导致企业遭受损失，无法实现盈利目的，甚至濒临破产的风险。现代企业CFO的地位越来越高，孟晚舟作为华为的CFO，之所以受到美国和加拿大的迫害，就是因为首席财务官的地位太重要了。
除了这两个风险还有什么风险？第三个风险就是合规风险，是指企业因为在经营中存在违法违规乃至犯罪行为，而遭受行政监管部门处罚和司法机关刑事追究的风险。一个企业因为违规被行政处罚，因为构成犯罪被追究刑事责任，被处以罚款和罚金，这些都不重要，只会被企业视为必要的支出，真正让企业遭受灭顶之灾的是合规中的“资格剥夺理论”，一旦企业被剥夺特许经营资格或吊销营业执照，就相当于自然人被剥夺生命一样，被判处死刑，这才是企业最大的风险。
当年西门子公司认为，为什么花8.5亿美元给律师和审计团队，因为他们使我们避免了最坏的结局，保住了上市资格和与政府的交易资格，如果没有和解制度，西门子就可能被吊销执照、取消上市资格、剥夺与政府交易的资格，这样一来整个企业就会轰然倒塌，所以其实西门子公司花费8.5亿美元，挽回的是上千亿美元的业务收入，企业着力避免的从来都是最大的损失。
任何一家企业，即便是北京街头夫妇二人经营的小面馆，也就三个风险，因经营不善倒闭、因财务管理不善亏损、因卫生检疫不合格而被责令停业。
我一直以来的观点是要把合规当作三架马车的第三架，视为企业治理的第三种权力（the third power），第一种权力是董事会，第二个权力是执行团队，第三个权力就是合规。有人可能会提出质疑，认为合规在我国公司治理的地位没有这么高。其实正因为目前地位不高问题才会一再出现合规事件，正因为目前地位不高才需要加强对合规的重视，提高合规的地位，一个真正成熟的社会，合规应当是第三种权力，具有一票否决的权力，西门子合规部门发现任何一笔交易只要违规就能一票否决。李嘉诚曾说没有跟律师商量不会签任何字，这当然不是说他要跟律师商量投资的策略和商业的发展，而是讨论是否会存在风险，会不会被监管调查、被行政处罚、被追究刑事责任，这就是合规风险。
因此，合规不等于风险防控，而是一种特殊的风险防控，防控的风险只是企业三大风险中的合规风险。在中国几个合规文件中都出现了这一概念，合规风险成为专有名词，因为违法违规所带来的遭受行政处罚、追究刑事责任，给企业造成各种损失的风险，就叫合规风险。在法学界已经达成共识的是不存在民事合规概念，民法里面根本不存在合规，公认的合规只有三项，行政监管合规、刑事合规、国际组织制裁合规。所以合规可以是行政法范畴、刑法范畴、国际经济法范畴，跟平等主体之间的民商事交易没有直接关系，虽然在供货商、经销商、代理商等第三方合规和被并购方合规中可能涉及合同中的合规条款，但没有民事合规的概念。总之，不能把合规等于风险防控，合规只是风险防控的一种，只是合规风险的防控。
第二，合规不等于企业家风险防控。
合规的目的是保护企业，合规不仅保护不了企业家，一旦企业家涉嫌犯罪，还要通过交出责任人来保住这个企业。合规上世纪六七十年代在美国刚刚兴起，到90年代合规全面进入政府监管领域以后，美国联邦司法部有一句名言，合规的生命和灵魂是尽量放过这个企业，但要严惩责任人。也就是说合规的本质是保护企业，但是严厉惩罚自然人，自然人包括公司高管、员工、第三方代理商、被并购方的企业经营者，主要可以概括为四大类：员工（包括高管）、第三方（包括上游供货商、代理商，下游经销商）、客户、被并购方，在投资并购领域大量带病企业甚至犯罪集团被收购，公司法上存在继承责任的概念，只要把犯罪集团并购入企业，犯罪集团的所有违规犯罪行为都由母公司承担责任，所以投资并购领域是最危险的，有无数惨痛的教训。
去年，万达集团武汉分公司的五名高管涉嫌公司内部贪腐近一个亿元，被万达集团处分后送交司法机关，万达集团的合规计划不仅不保护这些高管，还要将他们送交司法机关，这是保住企业、交出自然人的典型案例。
有一家律师事务所开展合规业务非常专业，为国有企业做合规咨询时，这家律所的律师告诉我，律师团队介入后，向企业提出的第一个要求是把涉嫌违法违规的副总经理开除，结果因为副总经理是董事长的小舅子而没能如愿。我告诉这位律师，如果不坚持意见开除副总经理，合规计划得不到国际社会的认可，因为这会违反美国FCPA，合规灵魂在于要想保住企业，必须处理直接责任人，构成犯罪的要直接交给司法机关。因为合规制度是保护企业的，是为了防止企业动辄面临倒闭的风险，我国现在强调保护民营企业，在观念上与世界接轨，但是具体实施上我们缺乏有力措施，没有建立全方位的合规体系，合规远远没有进入到中国的行政法和刑法之中。
那么，为什么要通过合规尽量保护企业呢？这就涉及到一个著名案例：安达信事件。
原来全球有五大会计师事务所，安达信会计师事务所排名第一，安达信垮掉后就剩下四大会计师事务所。当年安达信在全球雇佣工作人员五万多人，总部设在美国，就是因为给安然集团破产案造假构成美国联邦刑法中的妨碍司法公正罪，并且拒绝达成暂缓起诉协议和辩诉交易，美国联邦检察官只能向美国联邦法院起诉安达信，最终主要责任人被判处五年有期徒刑，安达信事务所本身才被罚了二十万美元，就是这么一个很小的案子。
但没想到在起诉的第二天，美国证交会就取消了安达信给上市公司提供审计服务的资格，并向全球发布公告。由于雪崩效应，安达信的客户在一年内流失殆尽，五万名员工最后只剩下两千多人，安达信从此消失。据说有五万人受到波及，包括股东、投资者、职工、代理商、经销商等，酿成了一个经济危机和社会动荡事件。
美国国会听证的时候，新泽西州的一个检察官流着泪说了著名的一段话，“起诉一个企业等于宣告一个企业死刑”，一旦企业被判决有罪，无数的善意第三人受到影响。在中国也是如此，人们常说企业家要么在监狱里面，要么走在通往监狱的路上，美国和欧洲很多国家都经历过这个阶段，通过严刑峻罚让企业倒闭，最终代价惨重。
美国学者将其称为对企业严刑峻罚带来的水波效应，如同一圈圈的水波纹，企业一旦受到刑事制裁，会波及到无数无辜的利益相关方，影响到社会稳定和经济发展，影响经济稳定。因为公司里违法犯罪的往往只是少数人，只因为个别人的错误决策，数以万计的员工、投资者、第三方受到波及，遭受处罚，这显然是不公平的，所以合规的生命在于尽量保住企业。
上世纪90年代以来，美国联邦司法部对它所调查的企业90%都达成DPN或NPA，DPN是暂缓起诉协议，NPA是不起诉协议，达成协议后监督企业建立合规，合规就这样进入到刑事司法领域。美国行政监管部门处理的企业违规行为90%都达成了行政和解，美国商务部、美国财政部、美国环保署、美国证交会、美国金融监管部门原则上都是与企业和解，要求交纳高额的罚款，达成和解协议，然后设置考验期，监督企业建立合规计划，必要时派出合规监督官、合规联络员、合规协调人。
一旦企业建立合规通过验收，在交纳高额罚款后就不再追究企业责任。
法国的法兰西银行和德国的德意志银行都曾遭受美国数十亿美元的巨额罚款，经历处罚后，法国政府痛定思痛，也开始在国内推行合规，利用长臂管辖对美国企业进行罚款。法国制定暂缓起诉协议制度以后的第一个案例是对英国汇丰银行瑞士一家支行罚款8亿欧元，法国第一大报《共和国报》头版头条报道称“我们终于也能从合规里面挣钱了”，他们认为美国通过合规执法挣了很多钱，一年可能收入几百亿美元。其实这只看到了表面问题，确实美国人通过长臂管辖处罚了大量企业，全世界企业只要违反了美国法律都可以进行处罚，但是这些企业也正因为合规执法才能免于被起诉，从而得以继续生存。
与此同时，如何防止企业继续从事违规和犯罪行为，就要直接消除违法犯罪的根源，这是严惩自然人的理论就很容易理解了，所有的违规、违法、犯罪行为都是人干的，企业本身只是拟制的人格，企业自身不会犯罪，是由企业内部员工、高管、内部组织者、管理者进行的犯罪，所以与合规相配套的一是高额罚款，二是追究自然人责任，不仅如此，还鼓励企业披露违规责任人，企业在合规内部调查期间把公司有责任的人员交出来就可以获得降低罚款的优惠。
第三，企业合规不只是道德问题。
企业合规究竟是道德问题还是法律问题，存在一些争论，有人直接提出企业合规就是道德问题，这显然是对合规了解不深入的体现。道德问题意味着没有严厉的法律后果，不遵守道德最多只会受到道德上的谴责，六七十年代以来美国企业最初是基于道德意识建立合规，彼时的合规是美国各商业协会在各领域建立的一种道德规范，带有职业道德的色彩。但是自上世纪90年代以来，合规上升为行政法、上升为刑法、上升为刑事诉讼法，进而上升到以世界银行为代表的国际经济法，再也不仅仅是道德问题。今天很多企业还称首席合规官为首席道德与合规官，主要是受到历史因素的印象。
为什么说企业合规不仅仅是道德问题呢？答案很简单。
首先，很多国家建立了强制合规制度，如果企业不建立合规，就会受到行政监管部门的严厉处罚。中国已经引进强制合规制度，在这方面是行政法问题。
其次，行政和解引入合规，如果建立合规，就可以与行政机关达成行政和解，只要缴纳一定的罚款或和解金，行政机关就不再进行严厉处罚。作为行政和解的条件之一，合规也早已是行政法问题。
最后，合规也是刑法问题。大企业如果建立数据合规体系，就可以证明已经履行网络安全管理义务，因此不会构成拒不履行信息网络安全管理义务罪，与自然人的正当防卫、紧急避险等抗辩事由一样，合规成为企业的无罪抗辩事由。如果未来我们国家出现单位构成的“拒不履行……义务罪”形式的犯罪，企业就都需要为此引进合规。目前来看，除了拒不履行信息网络安全管理义务罪可以用合规作为无罪抗辩事由以外，还有许多失职类犯罪和事故类犯罪都呈现出这一特征，可以用合规进行无罪抗辩。目前律师给企业辩护当中普遍使用的手段是在员工构成犯罪的情况下，想证明企业无罪就用规范管理制度作为无罪抗辩事由，合规已经开始运用于实务中。
2016年兰州中院判决的雀巢公司5名员工侵犯公民个人信息案，被称为中国合规无罪抗辩第一案，雀巢公司最终没有被认定构成犯罪，因为雀巢公司的答辩理由是尽到合规管理义务，禁止员工侵犯公民个人信息的政策和规范不仅明文被列入包括雀巢公司宪章、公司指示、员工手册等规范性文件之中，而且还被列入员工培训内容之中，这些书证被送交给兰州中院，证明雀巢公司对这些员工的行为不知情，也尽到了管理、监督、教育、培训的责任，那么，对这些员工违背公司规定所实施的犯罪行为，雀巢公司当然就不承担法律责任了。
（二）有效合规计划
现场和线上的企业界人士最关心的可能是如何建立一个合规体系，其中两个概念最为重要，一是有效合规计划，二是专项合规计划。
我国国有企业往往喜欢制定大而全的合规指引，例如某著名中央国有企业的合规指引，里面列有二十多种合规风险，包括税收合规、环境保护合规、知识产权合规、反商业贿赂合规、反不正当竞争合规、反垄断合规、出口管制合规、大数据合规、反洗钱合规等几乎所有常见合规风险。
在与企业法务打交道时，只要问他两个问题就能知道这个公司的合规建设到什么程度：第一，有没有建立专项合规计划，第二，如何保障合规计划的有效性。没有做到这两条，合规纯粹是毫无意义的一纸空言，一旦出现问题还是会遭到处罚。
有效合规计划不能光有书面合规文本，如果要帮助企业起草合规计划文本，可能一晚上就能写出来，比如反商业贿赂合规，就以西门子两百多条的反商业贿赂合规为基础进行修改，很快就能成型，企业拿着这份合规计划已公布，就成为纸面上的合规，但这根本不是有效合规计划。
所谓有效合规计划，主要是指三个要素：有效地预防合规风险、有效地识别违规行为、有效地应对违规事件，也就是合规三大支柱，即防范、识别、应对。有效合规计划细致的点有很多，由于时间限制无法全部展开，讲课的功能在于向大家传播理念，因此着重介绍有效合规计划的基本理念和原则。
第一，有效合规计划一定要找到风险点和风险领域，每个企业都有它的风险点，每个企业都有风险领域。比如医院或者生产医药产品的企业，根本没有必要做反洗钱合规或者出口管制合规，医药企业目前存在的最大风险点是商业贿赂，医药行业应该建立商业贿赂合规，而医院除了商业贿赂合规以外，也要建立大数据合规，一旦管理不善，医院或者员工出售病人及其家属信息，只要属于重大敏感信息，出售五十条就能构成侵犯公民个人信息罪，风险极大。建筑行业同样需要注重商业贿赂合规，否则在参与招投标的过程中存在巨大的贿赂风险；还要建立诚信合规，否则去银行贷款时会大量使用虚假业绩和虚假报表，构成欺诈行为，刑法为此设置有骗取贷款罪和贷款诈骗罪等多个罪名。化工企业尤其应当建立环境保护合规，随着环境保护执法越来越严格，化工企业面临的合规风险也逐渐加大。可见，每一种企业根据业务性质不同有专门的风险点和风险领域，所以一定要找到合规风险点和风险领域。
第二，有效合规计划要求企业开展合规风险评估，而且要定期进行合规风险评估，因为合规风险是会发生变化的。风险评估要由专业人员完成，公司的合规部门和法务部门难以胜任，需要聘请外部律师来完成，律师合规业务现在已经蓬勃兴起，凡是懂民法、行政法、刑法交叉的律师都能开展合规业务，相反，只知道研究民法而不屑于从事行政法和刑法的律师就会给企业带来灾难，有的企业早就已经构成犯罪了，律师或者法务还说只是合同问题，肯定没事，结果马上企业就被以合同诈骗罪立案。而化工企业可能早就达到污染环境罪的入罪标准了，没有研究刑法的律师可能还认为最多只是行政法问题，结果企业也被以污染环境罪立案。
我在给学生讲课时也提到这一点，只知道研究民商法而不懂行政法和刑法的话，未来进入社会，进入企业，是根本无法服务客户的。所以企业面临合规风险时不能只听公司法务的意见，他们多是民商法专业出身，对行政法和刑法没有研究，而客户的需要是综合的，合规的风险也是综合的，甚至罪名的构成也是综合的。现在很多刑事辩护律师不研究行政法，这在一定程度上能应付，一些自然犯可能不涉及行政法问题，但是在法定犯领域，不懂行政法将寸步难行，要知道企业构成犯罪，相当大的比例都是从行政违法转换而来的，行政违法达到情节严重的程度之后转化为行政犯，不懂行政法就无法区分行政违法和犯罪的界限，无法为企业提供有效辩护。
尤其是《刑法分则》第三章和第六章，这两章可谓是中国刑法的精华，这些罪名涉及到多学科交叉，如刑民交叉、刑行交叉等，是律师开展合规业务和辩护业务最重要的罪名，企业面临这么多罪名所带来的刑事风险，往往在立案之前就已经陷入风险，需要律师提供有效的法律帮助，此时就需要懂合规业务、行政业务、刑事业务的专业律师介入，综合调动所有知识，为企业进行合规风险评估。
第三，有效合规计划要求一套有效的合规组织体系，得有专门的合规委员会、首席合规官，合规部、合规人员等四位一体的组织体系。其中最高等级的合规机构是合规委员会，一般设在董事会之下，具有独立性和权威性。首席合规官是组织体系的第二个层级，是合规的总负责人，我国的首席合规官一般是法律与合规官，由总法律顾问或者法务部总监兼任，把法务部门和合规部门合并，这是中国企业的特色。再往下是合规部，合规部是合规委员会下面的执行部门，负责对全公司每一项业务、每一交易、每一项投资进行合规把关，中兴公司在美国监控下实行合规部门一票否决机制，合规部门只要认为有风险就可以将业务一票否决掉，交易不能继续进行。合规部具有否决一项业务的职权，这才是有效的合规计划，如果像某银行纽约分行那样，风险业务来了以后就让合规部门休假，这显然就是无效合规的体现。中国的国有国企面临的足力往往来自于企业内部，如何定位合规部门，为其设定职级，可能是很多国企感到头疼的问题。
湖南建工集团在中国率先突破，为了应对世界银行的制裁开始建设诚信合规，创造性地由湖南建工集团纪委书记担任合规委员会主席，世界银行了解了纪委书记的地位之后欣然同意。国有企业都可以参照这一模式，别让纪委闲着，让他们参与到合规风险防控中来，开辟一条新的路径。在中纪委一起参加会议时，湖南建工集团的首席合规官谈到这一条经验得到国内国外的一致认同，为世界银行解除制裁创造了条件。结合中国本土，把美国首席合规官制度照搬过来，把德国前任财政部长担任合规监督员的举措搬过来，是不契合中国国情的，而由纪委书记担任合规委员会主席或者首席合规官是一条思路。首席合规官必须要有足够的权威，要能说了算、镇得住，能一票否决，这才叫有效的合规计划，按这个标准看中国现有企业恐怕没几家合格，许多国企的合规计划也纯粹是为了应付国资委的检查和考核，只是停留在纸面合规阶段，不是有效合规计划。
第四，有效合规计划要有一套合规政策。合规政策又被称为合规的实体法，比如做反商业贿赂合规，一定要把反商业贿赂合规政策逐条写定，西门子反商业贿赂合规二百多条，包括如何与官员交往，超过多少金额的礼物要入账，是否属于政治献金，如何进行捐款等等，写得一清二楚，合规政策要结合本国反商业贿赂法律和相关条例进行起草。合规政策起草完毕后分发给每个员工，这就是员工行为守则，也称为合规行为守则，一般来说会在入职的时候分发给员工，人手一本，还要每年定期对守则内容进行培训，培训要留有记录，保存录像和书证，万一某位员工接受了培训后仍然实施商业贿赂，拿出培训记录来就可以证明已经尽到管理义务，企业没有责任，而应由员工自行承担责任。
现在很多企业做合规培训不做记录，也没有录像，这种合规培训是无效的，真的出现问题以后起不到任何作用，所以合规的每一步都要留有痕迹、留下书证，都要进行企业免责的证明，让出事的员工自己承担责任，以切割企业和员工的责任，还要定期对代理商进行合规培训，定期进行合规认证，尽到合规管理义务。合规的水确实太深了，一个大型企业集团要管理好企业员工，管理好分公司、子公司等分支机构，管理好第三方代理商，管理好客户，进行投资并购时对被并购的企业也要进行合规审查，一旦出现问题，企业已经进行了合规管理，就不会被波及和牵连，无需承担责任，这实际上是提前进行合规风险防控的机制。
如此复杂的工作企业合规部那点人手根本不够，需要聘请外部专业律师来做，如果一个企业真的建立有效合规计划，律师在里面业务会有二三十种，企业合规的每一个步骤都需要专业律师的介入，人们常说合规是律师业务的蓝海，真正的律师合规业务简直是太平洋，空间极大。企业有需求，律师就会有业务，现在企业内部的法务部朋友们需要转变观念，需要一边跟企业家打交道，一边跟律师打交道，如果不转变观念，企业家不知道，律师进不来，法务跟不上律师发展、跟不上企业合规业务的发展，确实会给企业带来灾难。所以有效合规计划要有合规政策，中兴公司的出口管制合规、反商业贿赂合规、数据保护合规都分别有几十条的专门政策，这是有效合规计划的基本要求。
第五，有效合规计划的三大程序支柱，时间关系只能简要概括一下，首先是防范（又叫预防）体系，全称是合规风险的预防。由以下几个要素构成：
一是合规培训。培训的对象是员工、代理商、第三方和客户，只要有可能把违规责任带给企业的主体都进行合规培训，发放合规手册、进行合规政策培训，培训要注意留下痕迹，以电子留痕、书面留痕作为未来的证据，作为责任切割的依据。
二是合规风险评估，合规风险评估要求与时俱进，随着公司业务的变化和发展而不断更新，每年度都要定期形成合规风险评估报告，作为建立良好防范体系的证据予以留存。
三是律师合规业务中最重要的合规尽职调查，英文due diligence，直接翻译的话是“尽职尽责”的意思，在《企业合规基本理论》中特别加了两页中英文对照表。尽职调查报告，就是企业在发展第三方、发展客户、发展投资并购的时候要做一个合规尽职调查，这个调查报告如果做好了就可以进行风险防控，如果不做，企业就要为这些主体的违规行为承担责任。
四是合规报告，合规部门要进行定期和不定期的合规报告，将其制度化，畅通自下而上的报告途径，报告可能的合规风险。以上就是合规的预防体系，是由西门子公司所创造的，在全世界享有盛誉，有人把它称之为“事前合规建设”，西门子自己称“合规预防”。
其次是合规事件的识别体系。有效识别违规行为，外部监管部门无法完成，公司高管也难以胜任，一个大型公司主要通过以下方式识别日常运营中的违规行为。一是定期和不定期的合规审计，与审计部门联合的合规审计本身就是一种违规行为的识别机制。二是合规吹哨人制度，要求企业设立24小时违规行为举报制度，要有举报电话和举报网站。
西门子有一个TELL US热线，违规事件24小时都可以进行举报，有专人负责接待。世界银行制裁湖南建工的时候，有一次暗访，连续拨打10次举报电话，结果只有一次有人接听，如果要举报违规行为但没人接听电话，那么合规举报机制就成为摆设，世界银行马上要求整改，此后再次抽查时拨打10次电话能有7次被接听，基本上合格。
吹哨人分内部吹哨人和外部吹哨人，两种吹哨人都叫合规的举报机制。食品、药品、污染环境领域如果没有内部举报人，外部监管部门根本无法发现违规行为和责任人，今天线上还有一部分从事行政监管的朋友，食品掺假、药品造假，内部人不举报，行政机关根本无法发现，所以美国最早实行风靡全球的举报人制度，也就是吹哨人制度，只要吹哨人给举报违规事件发生，经查实后给予高额奖励。
2019年国务院通过了有史以来最有利的一个规定，即出台了《关于加强和规范事中事后监管的指导意见》，其中首次明确建立吹哨人制度，吹哨人正式进入国务院的文件，只不过没有实施细则，期待后续有更加完善的制度规范。对吹哨人要建立完善的保护体系，保证其人身安全，也要进行高额奖励，美国证交会对吹哨人奖励的最高记录是6000万美元，将罚款的三分之一奖励给吹哨人，只有可以获得一笔可观的财富，吹哨人才敢冒极大的风险进行举报。因为企业违法犯罪的危害可以达到自然人犯罪的成百上千倍，社会危害性太大，所以必须采用特殊手段，鼓励对企业违法违规行为进行举报，这就是合规机制中的举报制度。
最后是违规行为发生后的应对体系，一般包括四个要素：
一是及时进行内部调查，也就是合规内部调查。如前所述，企业必须尽快进行内部调查，等到行政机关介入再开始内部调查就晚了，内部调查越早越好。
二是及时处理责任人，把违法违规的责任人找出来，立即做出处理，必要时交给司法机关，这就是主动披露司法机关没有掌握的责任人，从而换取宽大处理。合规律师尤其注意在企业违规后不能让企业销毁账目，毁掉硬盘、软盘，建立攻守同盟，这是合规业务的大忌，合规讲求高度的配合，配合监管调查、配合刑事侦查，以此换取最大利益，避免最大损失，合规基本上建立在合作性的司法基础之上，而不是对抗性的。一次给律师讲课时，有律师提出我们的目标是无罪辩护，如何跟司法机关合作呢？其实这就是业务理念发生错误，合规的目标是要挽救企业，以合作换取企业的存续，如果律师的眼里只有无罪，很多律师以“张无罪”“赵无罪”“李无罪”自居，眼里只有无罪当然就只能进行对抗，但是抱着对抗的心态就只能做合规业务的最后一个，也就是以合规证明无罪，而在行政监管阶段是真正的黄金救援期，此时应该掌握最佳时进行合作、配合，尽量达成和解，尤其是说服行政机关不要将案件交给公安机关，并表示愿意缴纳罚款，愿意配合调查，只要能把案件阻止在行政监管调查阶段就达到了目的，而一旦案件移送给公安机关，刑事诉讼的列车一旦启动就再难以挽回了，中国一年无罪的案件没有多少，说实话比中彩票都难，要想维护企业的利益，就需要早点让案件结束，越早越好，在行政监管阶段经过合规实现软着陆，这是合规业务的精髓所在。所以必须尽早开展合规调查，及时处理责任人。
三是查找合规体系漏洞，要求及时报告合规体系的漏洞以及合规计划的缺陷和不足。
四是建章立制，进行全方位的制度整改，尽快建立内部控制机制，尤其在一些刑事业务领域，要趁着公安没有介入要求客户尽快改造商业模式。最近几年因为研究合规问题，有些律师希望找我组织专家团队对企业的商业模式进行合规论证，这些案件正处在行政监管阶段，工商管理部门、证券监管部门、税务部门正在调查，公安还没有立案，在这个阶段律师和专家团队介入，有几个案子大获成功，通过改造商业模式把其中的犯罪因素消掉，也就是消灭犯罪构成要件，尽量争取行政监管部门以和解或行政处罚方式结案，不把案件移交给公安机关，这项业务一旦得到广泛开展，将会前途无量，这就是有效应对违规事件，又叫危机爆发后的应对业务。以上关于有效合规计划的内容书里都有，在此我只点到为止。
（三）合规专项计划
专项合规计划的概念同样十分重要，专项合规计划重在强调绝对不能做一揽子的大一统的合规，要吸取刚才举的那些反面例子的教训，所谓专项合规计划是指针对特有的风险点建立专门性的合规计划。
目前全世界四大专项合规计划风靡全球：反商业贿赂合规计划、数据保护合规计划、出口管制合规计划、反洗钱合规计划。所以涉外企业通过“一带一路”在海外投资、并购、上市、经营，从事这些海外业务的公司做合规的时候，要根据企业的业务性质和实际需要围绕四大合规计划来设计。
比如银行、保险公司最需要的合规计划是反洗钱合规计划，特别是恐怖主义融资和涉及腐败的反洗钱；而反商业贿赂合规基本是每个企业都要建立的。国内企业目前面临的合规风险不难找到，在行政法，在刑法分则第三章和第六章中规定得很清楚，它们当中每一章、每一节的标题都可以作为合规计划的标题，如刑法分则第三章破坏社会主义市场秩序罪中，首先就涉及到食品药品安全合规计划，这对食品药品企业来说当然是首要的专项合规计划。
其后还有反走私合规计划、税收合规计划、知识产权合规计划、环境保护合规计划等等，金融领域的合规计划涉及金融秩序保护合规计划和反金融诈骗合规计划两类，妨害对公司、企业的管理秩序罪更是每个罪名都可以成为合规计划的标题，建立专项合规计划。专项合规计划之所以如此重要，是因为有专业的政策，有专业的合规团队，才可以使合规走向专业化。
未来一个企业应该有一个总合规部，如中兴公司合规部，下面分若干个合规分部，有几个专项合规计划就分几个专业合规部门，中兴公司合规部下面分4个分支机构：反商业贿赂合规部、大数据保护合规部、出口管制合规部、合规综合管理部，组织架构非常清晰。西门子公司也是如此，一看就是专业而有效的合规建设。如果一个大一统合规部，只有3名工作人员，却管辖28种所谓的合规风险，这一看就是无效合规，根本没有掌握合规的要义。因此，专项合规可以说是合规的生命，如果给一个企业做合规，先从最急迫的风险点入手，建立专项合规计划。
（四）合规激励机制
接下来想给线上和线下的各位监管部门和检察机关的朋友讲一讲，目前为止，合规不光局限在公司的内部治理层面，公司内部治理只是合规的一个方面，企业合规还有一个激励机制，只有给建立合规的企业以激励机制，使企业能够通过合规在行政执法和刑事司法中获得优惠，企业才有强大的动力建立合规，否则如我们国有企业做合规只能是在国资委的逼迫下应付差事，这种合规注定走不远，既不正宗也不会有效。
我们国家在合规激励的两个领域刚刚起步，可以说是前途无量。
首先，行政监管领域激励机制开始出现，尤其最近十年来有两个部门走在中国行政监管最前列，一个是中国证监会，一个是市场监管总局，也就是原国家工商管理总局，而食药监局相对独立，这一块与国际接轨。在其他监管领域合规发展得比较缓慢，令人感到失望的是，刚刚公布向社会征求意见的《行政处罚法（修订草案）》竟然没有规定合规，所以我国合规在行政监管领域已经开始起步，但任重道远。
合规的激励机制是这本书着重研究的问题，用了大量篇幅研究，没有合规激励机制企业就没有合规的动力，世界各国经验表明合规都是在处罚中发展出来的，所谓不撞南墙不回头，这是全世界企业的通例，西门子不经过处罚，不可能花费重金打造世界一流的合规体系；德意志银行、法兰西银行、瑞士银行都被美国罚过，受到几十亿美元的罚款，用血的教训来才换来有效合规计划，概莫能外。
中国几大商业银行也在国际上屡屡被罚，这都是必须经历的过程，没有一个企业愿意主动建立合规，因为这需要耗费大量的人力、物力、财力，需要准备充足的预算。
例如，湖南建工集团在被世界银行处罚之前，整个集团的合规部只有几个人，一年拨款也就几十万，遭受世界银行制裁以后，为了取消制裁不得不下定决心建立诚信合规计划，全集团的合规部加在一起超过100人，每年合规预算超过2亿元，一个公司居然拿出2亿元来养活一群不挣钱的合规官，这需要对合规有多么深刻的认识，没有严刑峻罚根本走不到这一步。可惜我国行政监管理念上存在致命缺憾，最基础的严刑峻罚都做不到，一对企业处罚就只罚几十万，如果对西门子公司罚款50万元，那简直是笑话，西门子公司完全不会对这点罚款感到在意。因此我在很多场合呼吁给公务员提高工资，因为公务员工资太低，制定出来的法律就会缺乏想象力。
到现在为止，《行政处罚法》观念落后，法律条文不发达，而这次修改《行政处罚法》有没有做出实质性改变，再次修改更是不知道猴年马月了，国家最高领导人和总理都提出建立合规，最高法和最高检两长都强调保护民营企业的重要性，但行政处罚法修正案的起草人就不接受合规的理念。
我们现在也出现了一定的激励机制，第一，行政和解制度在证监会系统开始建立，2015年证监会颁布《行政和解试点实施办法》，我国第一次出现“行政执法和解”，过去行政法领域的和解只有行政诉讼和解、行政复议和解，也就是在争议过程中的和解，属于争议和解。这里出现的和解是执法调查中的和解，中国证监会调查一个违规行为的时候如果企业有悔改表现，愿意建立合规，就可以达成和解，企业交纳和解金，在设定的考验期内建立合规计划，以罚款和合规换取和解，这已经进入被引入证监会系统。
目前为止，有案可查的只有两个案件，一个是美国高盛公司亚洲分公司交纳1.5亿和解金，被责令建立合规体系；另一个是今年1月初中国证监会与上海司度贸易有限公司等五家企业达成行政和解协议，要求司度公司交纳6.8亿元和解金，创造了行政和解金的最高记录，本案由北京一家律师事务所合规团队为司度公司提供合规服务，促成了与中国证监会和解的达成。
行政和解得到发展后，将来成为行政处罚的普遍手段，由此衍生出律师的行政合规业务，即参与并积极促成行政和解，跟行政机关谈判，给客户争取最大利益，这就是该项律师业务的特点。目前这项制度刚刚起步，不仅案例很少，还被局限在证券领域。
第二，2017年《反不正当竞争法》第5条规定了严格责任制度，只要单位的员工有商业贿赂行为，一律视为单位商业贿赂。但是，有证据表明员工行为不是为了增加竞争优势或者交易机会的除外，根据市场监管总局一位官员的解读，这意味着只要单位有合规计划就可以实现免责，其中的逻辑很简单，就是员工有商业贿赂行为推定为单位商业贿赂，单位建立合规机制就可以实现合规无责任抗辩，合规被融入免责的证明责任中，成为无责任抗辩的事由，此处因为时间关系一带而过，书里都进行了重点阐述。《反不正当竞争法》第5条是合规领域最著名的条文之一，引入了严格责任，让单位跟员工切割责任的时候用合规加以证明，这是第二个激励机制。
第三，在我国证券监管、反垄断监管等领域，如果建立合规机制，行政处罚就会予以酌情宽大，罚款数额也会得到降低，而且一般不吊销执照。只要建立合规就可以避免被吊销执照，这对企业而言是天大的利益，当然也是一种激励机制，也就是行政处罚从宽。最新的动向是公安部开展的大数据企业合规认证，如果经过合规认证合格，可能会换来免检、免责的后果。所以很多企业想要进入到合规认证体系当中，因为这会带来一系列利好。
以合规换取宽大处罚的制度，实际上是把合规作为一种治理方式，让合规成为一种市场调节手段，而不是像过去那样动辄做出行政处罚，进行罚款、吊销企业经营执照。与过去以管制为目的的行政管理方式不同，现在是以奖励、交易、合作、协商为特点的一种行政管理模式，代表着中国终于接受了国外的先进理念，把协商、对话、合作理念引入到行政监管当中。只不过适用范围仍然太窄，主要集中在中国证监会和市场监管总局，大量行政监管部门还不知道“合规”为何物，还没有合规的激励机制。
学术界也是如此，我此前一直从事刑事诉讼研究，跟跨专业的合规比起来面相对较窄，每次开会发现行政法学者对合规也不感兴趣，有的行政学界教授甚至不知道什么是合规，写文章时也从来不提合规，而且还对行政和解有所抵触。年轻一代行政法学者只专注于行政法总论，不研究企业监管问题，比如证券领域的监管、反不正当竞争领域的监管。加上我国的法学部门不合理的分类，这些问题又属于经济法的范畴，行政法学者不研究经济法，其实经济法就是经济行政法。另一边，经济法学者也不研究合规，认为这属于行政法的研究范围，最后只能由我一个刑事诉讼法学教授来研究这个问题。法学院的学生也有这个现象，学民商法的同学不接触行政法、刑法，学刑法的同学排斥民商法，学行政法的同学不懂监管法，学经济法的同学不懂行政法，逐步就形成学科壁垒。总之，未来的行政法必须进行改造，全面铺开行政和解，让行政和解落地，并将合规引入行政和解制度，中国律师的合规业务才有平台和载体，美国90%以上进入行政监管的企业违法案件都以和解而告终，中兴公司与美国商务部和财政部达成的也正是行政和解。
其次，值得关注的还有发生在检察机关的改革，国家最高领导人、最高检察院的领导都要求检察机关参与社会治理，相关司法改革文件也反复提到这一点。
比如国有财产保护、食品药品安全、生态环境和资源保护等领域都是社会治理的重要方面，检察机关可以参与进来，对相关问题提起民事公益诉讼、行政公益诉讼，还有刑事附带民事公益诉讼，现在各地检察机关积极探索，除了法定的几个重要领域之外，又将监督范围延伸到网约车运营安全、电信部门等，如对电信部门治理诈骗电话不作为的也提起公益诉讼。既然朝着参与社会治理的方向改革，那么作为中央关注的热点领域的民营企业保护问题，检察机关肯定也可以参与治理，有所作为。现在最高检观念开始有重大调整，在深圳、江苏等地出现了改革的浪潮，尤其在一些基层检察院，合规不起诉开始进行改革试点，下周我就要去深圳调研三家检察院和一个公安机关，据说合规不起诉已经在深圳展示出勃勃生机。合规不起诉在我国基层的改革当然不是空穴来风，而是在征得最高检的同意和批准后才开始试点的。
合规不起诉目前在中国有三种模式，第一种模式对民营企业用相对不起诉提检察建议，建议企业建立合规，这是检察建议模式，目前江苏无锡、张家港等地区在这方面走在前列。第二种模式是认罪认罚模式，只要企业自愿认罪认罚，检察机关就可以对其不起诉，附加条件是企业要建立合规，并定期上交合规报告。第三种模式是最为激进的附条件不起诉模式，把未成年人附条件不起诉制度引入到检察机关，因为突破了法律规定，所以目前只处于试点阶段，基本原理是发现企业愿意建立合规，就可以考虑对企业暂缓起诉，暂时不做起诉或不起诉的结论，给企业设立半年到一年的考验期，期间企业抓紧时间建立合规，检察机关会任命一名律师担任合规联络员进驻企业监督合规建设，企业给合规联络员开工资，人员的选任必须经过检察院批准，这就连美国的合规监督官和合规协调人制度都引进了，深圳某检察院富有创新意识和改革精神。
深圳律师看到这一改革后感到非常兴奋，因为这项改革直接涉及律师的利益，如果在全国范围内推开附条件不起诉和合规联络员制度，那么律师的刑事合规业务就实现突破性发展，通过跟检察院谈判、通过做合规联络员、通过维护企业利益，合规业务将遍地开花，这是真正像大海一样的业务量，有多少民营企业就会聘请多少合规律师担任合规联络员，合规律师一旦介入合规建设，合规尽职调查、合规内部调查、定期合规汇报、合规检测、合规评估等等业务类型都有了空间，会衍生出十几种合规业务。
我跟三个志同道合的教授明年准备策划一期检察机关参与社会治理的新途径的专题文章，给各地检察机关引进合规的改革鼓鼓劲，表示学界的支持，同时建议检察机关跟企业合作，敞开大门，让律师参与进来，这是一块完全未开垦的处女地，南方经济发达、观念开放的几个地区的试点情况值得引起我们的高度关注，希望将来有了成熟的改革经验之后能将合规不起诉写到刑诉法当中。企业合规的中国化问题一定要落在行政监管激励和刑事司法激励中，让检察机关在不起诉里面引入合规，目前有以上三种模式，到底哪种模式效果好，需要持续关注试点情况。
三、律师合规业务的中国化问题
最后是律师业务的中国化问题，《企业合规基本理论》第十章专门谈律师合规业务，律师合规业务的中国化问题非常复杂，近两三年以来多次给律师讲合规业务，一半以上的受众是刑事辩护律师，有些刑事辩护律师听完课就开始探索合规业务，我不断收到律师朋友给我发来的微信，告诉我合规业务开张了，在合规业务的探索上取得了成功，去年到现在至少听到二十名律师接到了合规业务。但也接到一些刑辩律师传来令人沮丧的消息，他们到处给企业讲课，宣传合规业务的重要性，但是没有企业愿意做合规业务。
事实上，如果只是宣扬合规的重要性，建议企业建立合规计划，这种方式很难找到真正的企业客户，即便有也只是小公司，不会有很大的业务空间，在根源上，这类律师存在着两个误区，第一，没有公司客户，很多律师只给自然人辩护，很难想象这些自然人会摇身一变要求做合规，如果律师天天与“两抢一盗黑社会”打交道，当然不会有合规客户，合规是合作性、协商性、对话性的，讲究时机。第二是律师的思维问题，长期以来辩护律师一直是案源思维，只有当委托人被采取强制措施时律师才会介入，否则律师就不会介入，以委托人进入看守所作为业务开始的标志，但是对于合规业务而言，客户一旦进入看守所，就意味着业务结束了。合规业务就是要把案件阻止在立案大门之外，阻止在立案程序之前，律师在立案之后才介入，当然找不到客户，整个业务模式完全不接轨。
我给这类律师提出的建议是：
首先要辞职，加入综合所，如果只做刑事辩护业务就可以扎根专业所，但是要拓展合规业务就必须加入综合所，综合所其他部门有公司客户，只有加入综合所，才有可能接触更多的公司客户。
其次，要建立合规思维，在给一个公司高管辩护时，如果他对辩护工作很满意，此时律师就要赶紧拿出公司合规思维来说服他，让这位高管知道，尽管当下这个案件成功了，但是企业的交易模式是存在问题的，带病的商业模式早晚会爆炸，必须改造企业的商业模式，改造企业的内部控制机制，彻底消除企业的风险点，此时合规业务就能够开展了。因此，第一得有公司客户，得跟公司打交道，并且要懂公司、懂企业，跟自然人打交道虽然也可以生存，但是业务范围就局限于刑事辩护。第二是必须要有合规思维，合规业务不能二把刀，有志于从事合规业务的律师要到中国合规前十名的律所去学习，比如金杜、方达、中伦等律所，他们都有合规业务部，一年的合规业务收入是天文数字，一开始服务外企，现在客户早已扩展到国内企业，他们有一套成熟的流水作业生产线一样的流程，要多向他们学习。
这几年我除了看书研究以外，深深受益于刚才讲的这几家律所，向他们学习，到他们所里拜访，一开始他们比较谨慎，不愿意透露太多细节，当然也与客户签订了保密协议，慢慢地，我请他们到学校讲课，总结出合规业务的基本要点，经过了三年偷师学艺的过程，终于弄明白了合规业务基本框架。
（一）律师开展合规业务的基本要求
从合规的中国化问题来看，结合我近期的思考，律师在开展合规业务时有几个基本点要把握：
一是知识的储备。知识储备非常重要，要想做好企业合规业务，知识储备是第一步。所谓知识储备有三方面，首先是要懂公司管理，一个不懂公司管理的律师没法跟公司内部任何一个管理人员对话，合规业务无从下手；其次是要跟企业内部法务人员建立良好的工作关系，通过自身良好的业务、口碑和声誉，积累一批企业内部法务朋友，刑辩律师如果天天只接触刑辩律师，对合规业务的开展肯定是没有帮助的，所以在一个大型的综合律师事务所，刑事部要多跟房地产部、证券部、银行部、公司部等部门做交流，一碰撞就会有火花。最后是要有行政法和刑法的储备，现在很多人天天疲于办案，没有经历来研究自己的业务，如果要从事合规业务，就要研究某一类犯罪跟行政违规的界限，尤其是穷尽式地研究相关条文，一个行政犯往往牵扯到几十条行政法条文，研究它得进行充分检索。
《网络安全法》还有即将公布的《数据安全法》的上百条最终落在《刑法》里面只有七个罪名，最常见的罪名只有两个，一个是侵犯公民个人信息罪，一个是拒不履行信息网络安全管理义务罪。要研究这七个罪名跟众多行政违法行为界限如何区分，不充分建立起一个知识体系是没法找到答案的，我经常在跟一些律师进行案件讨论时发现他们不清楚行政违规转化成犯罪的界限，往往经过刑法学者提醒才恍然大悟。
比如虚开增值税发票案件，大量的虚开行为都违反行政法，构成行政违法，但如何才能上升为虚开增值税专用发票罪，就需要考虑两个界限：一是有没有真实交易，二是有没有造成国家税款的流失，这两条界限有二十多个案例，包括最高法院公报案例、刑事审判参考案例加以佐证。万变不离其宗，要研究税法的合规问题，就得知道什么情况下从违反税法的行政违法行为转换成犯罪行为，如果给一个因为虚开发票而处于税务部门调查中的企业做合规，那么只要打掉这两个要件，论证有真实交易，并且国家税款没有流失，就能证明企业无罪，如此一来，公安机关不会立案，税务部门也就通过罚款的行政处罚予以结案，合规业务大获成功。南方的上海、江苏、浙江等地，虚开类案件95%都在税务部门处理，而没有移交给公安机关，但到北方一些地区，就看到有接近60%的虚开案件都移送给公安机关，执法环境存在区别。
传销类案件也是如此，实践中已经遇到好几个案件，就是企业的商业模式出现问题，如果在市场监管部门调查期间介入，熟悉行政违法意义上的传销与组织、领导传销活动罪中的传销行为的区别，帮助企业改造商业模式，打掉行政不法转化为犯罪的特定构成要件，就能论证企业不构成传销犯罪，实现案件在监管调查阶段的软着陆。当然，这需要知识体系的更新换代，没有知识的积累，没有对行政违法向犯罪转化条件的分析，这项业务是难以开展的。
尤其是针对《刑法分则》第三章和第六章的罪名，律师一定要肯花费时间和精力来研究，现在刑法学界之研究刑法教义学，不要就犯罪的界限，律师也不愿意下工夫，运用检索工具穷尽行政法和刑法条文，来研究行政违规和犯罪的界限，只有我作为刑事诉讼法学教授在钻研这一领域，但这是合规业务的基本技能，是合规业务的知识基础，所以在这方面律师一定要加强知识储备。
二是一定要跟企业进行密切的联系。从全国情况来看，涉外所垄断了合规业务，别的律师闯入合规这片领域很困难，外企只看律所品牌，一看大所有留学背景的律师，就不会回头再找没有涉外业务小所和刑辩律师。此时我们的目光要盯上大量国内的民营企业和国有企业，这些企业的业务，涉外所根本忙不过来，每年有那么多出问题的中国民营企业，给我们提供了丰富的案源。
这时候有主要几种跟企业打交道的模式，第一是加入综合所，第二是在综合所内部进行有机整合。现在有些综合所只是专业部门的简单拼凑，业务团队各干各的，相互之间没有交流、互不干涉，没有任何业务往来。
律所至少要把本所内部的资源盘活，北京一家律师事务所有句名言：只要客户来了，他的所有需要我们这个所都能给他满足，发生民事纠纷所里有民事律师，需要刑事合规所里有合规律师，需要刑事辩护有辩护律师，做到肥水不落外人田。尤其是很多大型律师事务所在全国有几十家分所，这都是资源和火种，要加以有效的共享和整合，否则某大型律所南京分所动不动在上海找其他所的合规律师合作，从来不到北京总部来谈业务合作，这不得不说是北京总部的失职。
在这一方面，我特别欣赏四川一家律所，这家律所在全国有12家分所，但是总部确实没有能力做合规，于是就把贵阳分所改造成专门的合规分所，招募有行政监管机关、检察机关、公安机关任职经历的律师，再加上有公司法务经历的成员，打造成精品合规所，贵阳分所马上成为一家专业的合规所，全国所有总分所只要出现合规业务都给贵阳分所来做。这是合规业务布局的一种模式，从综合所里面开辟出合规业务，强调的是资源整合的重要性。
还有一种模式是深圳律所带给我的启发，一家律所的刑辩律师团队跟另外两个所的团队联合成立了合规业务中心，这又是一个令人脑洞大开的思路，所谓不为所有但为所用，其他律所的团队虽然不为我所有，但我们能通过强强联合，实现优势互补，比如这个所刑事业务比较强，另一个所公司业务比较强，还有一个所有熟悉行政监管的监管官员出身的律师，以及熟悉行政违法和犯罪界限的公检法出身的律师，不同团队因专业而合作、因案子而合作，共同开展业务，实现知识整合、人员整合、业务整合，这是一种非常聪明的思路，尽量用别人的长处弥补自己的短处，因为谁都不是万能的，都需要整合资源，而且合规业务不像刑事辩护那样，一个律师带着助理就可以出庭了，合规业务本来就是单打独斗所不能胜任的，天生需要联合与合作。
我到美国纽约看过一个人的律所，在美国纽约曼哈顿那种寸土寸金的地方，一个老律师就租一个三居室，聘了三个人，一个会计、一个助理、一个负责接电话的秘书，只做刑辩业务，也能有不错的收入；同时，我也到纽约看到超过五千人的律师公司（law firm），合规部接近300人，所以合规业务必须进行联合。
三是思维方式的革命。企业合规的本质是客户思维，而不能有案源思维。刑事辩护和民事代理过多强调案源，案源成了律师命根，只要有案源就有业务、只要有案源就有收入，但是只有等到纠纷发生，刑事领域委托人被采取强制措施了，律师才有案源。相反，合规业务的思维方式是“客户思维”，律师在客户面临行政监管调查的时候就要介入，提供客户需要的服务，合规业务的最佳黄金救援期是在行政监管环节，等公安立案了，一切为时已晚，只能从事辩护业务，这就相当于癌症爆发了，只能进行保守治疗。
合规业务是疾病没有爆发之前所做的体检，并消除引起疾病的病灶和生活习惯。过去经常讲合规是体检式法律服务，辩护辩护就是保守治疗，因为企业一旦进入刑事诉讼，就像患上不治之症，治愈的希望微乎其微，因为我们的无罪比例实在太低。当然不起诉和撤销案件的比例会高一些，诉讼阶段越靠前，无罪的可能性越大，等到了法院阶段，无罪的概率就极低了，合规意味着在立案之前就将案件解决在行政监管环节，能够最大限度保护客户的利益。
客户思维具有以下特点，一是要求有良好的品牌和声誉，不能单打独斗，要有良好的团队品牌和律所品牌；二是要走专业化道路，跟企业客户打交道，他们只看中律师的专业能力；三是强调服务客户的理念，而不能认为自己高高在上，合规业务中律师不是救世主，想做合规业务的人很多，客户选择律师是因为能获得律师提供的服务。这种思维转变对很多刑辩律师来说有困难，刑辩律师往往以救世主自居，在与被关进看守所的委托人及其家人的关系中处于绝对的主导地位，强调一切都要听律师安排。但是合规律师跟企业打交道是平等对话，律师必须拿出自身的竞争优势来征服客户，这点尤其需要向民商事律师和公司法务学习，他们已经形成跟企业打交道的一套成熟经验。
（二）律师合规业务的基本框架
《企业合规基本理论》一书分析了目前律师合规业务的基本框架，首先是传统合规业务，无论是国际业务还是国内业务，都分为五大板块。
第一板块是合规计划的打造，这有点像公司法律顾问业务，接受一个企业的委托帮助企业改造合规计划，已经有合规计划的则帮助企业完善合规计划，总之，帮助企业建立合规计划是永恒的一项合规业务。开展这项业务必须掌握刚才讲到的有效合规计划和专项合规计划的专业知识，尤其是有效合规计划的几个基本标准，要按照这个标准来打造合规计划，在书中有详细阐述，这里就不再赘述了。各位律师朋友也要多向做过这项业务的律师事务所学习，现在已经有一些律所把打造合规计划的工作流程和半成品对外公布了。
第二板块是尽职调查。律所给一个企业做合规尽职调查，主要发生在三个领域，一是发展第三方合作伙伴，第三方包括分销商、经销商、供货商、代理商等，与第三方合作时需要聘请律师事务所做合规尽职调查；二是金融企业等特定企业在发展客户时，为了防止出现重大的风险，要对客户进行合规尽职调查；三是进行投资并购的时候，现在很多综合所都有投资并购业务部，这里面就涉及到合规尽职调查的内容，主要是调查被投资、被并购的企业是否有违规行为，有没有被处罚过，会不会给企业带来合规风险。尽职调查是企业管理第三方合作伙伴、客户、被并购方的一种方式，没做好尽职调查和合规管理，一旦这些主体爆发危机，最终必然损害本公司的利益。
合规尽职调查一般包括以下方面的业务，第一是做合规尽职调查，发现第三方合作伙伴、客户、被并购方的危险，第二是根据危险的程度进行相应的合规管理。比如某著名跨国公司发展第三方合作伙伴的时候就十分注重合规管理，律师经过合规尽职调查后，根据被调查企业的经营情况、违规情况、被处罚情况来计算分数，100分是满分，被分成五个等级，如果被调查企业低于20分就会亮红牌，提醒不能与该企业进行合作，如果在50分以内就会亮黄牌，要求被调查企业进行合规整改，在规定时间内合规状况有所提升就会上升等级，一旦进入绿色等级，就达到了免检水平，可以放心与这样的企业展开商业合作。这些调查和评估过程要全程留痕迹，一旦第三方等主体实施违规犯罪，本企业可以此作为合规证据，成为切割第三方责任、客户责任、被并购方责任跟企业责任最重要的板块。此外，对这些主体还要进行定期的合规培训，使其了解最新的合规政策。实际上，合规发展到一定程度，意味着公司承担了部分行政监管责任，由公司代替行政机关监管自己的客户、员工、第三方，监管被并购方，对一个动辄几千人、上万人，拥有几十个分公司大型企业集团来说，与其让行政监管部门从外部监管，不如改革监管方式，调动总公司的合规治理积极性。以上是合规尽职调查的内容，这项业务靠公司内部法务人员人手不够，必须要聘请专业律师介入。
第三板块是合规内部调查。刚才讲的西门子公司聘请德普律师事务所进行的就是合规内部调查，这是应对体系的一部分，违规行为发生后要尽快开始内部调查，调查内容一般包括以下几个：调查违规行为、调查违规责任人、调查制度的漏洞，完成合规调查后要出具合规调查报告，并提出整改意见。合规内部调查又叫同步调查，是与官方同步进行的调查活动，企业调查的目的是要提出整改方案，交出违规责任人，必要时主动披露官方没发现的违规行为、没发现的责任人，以换取宽大处理，这是内部调查业务的基本要求，各位可以阅读《企业合规基本理论》中西门子公司的故事。
第四个业务板块是行政执法调查的应对。行政执法调查过程中得有专门的应对，没有律师帮助单靠企业应付不过来。企业面临工商部门调查违反反不正当竞争法律法规，或者有垄断行为，税务部门调查税收违规，证监会调查证券违规时，难以独自对行政部门的调查采取有效应对措施，唯有外部律师介入才能进行相对冷静和独立的应对。
律师的执法调查应对业务，一是要求及时介入，时间上越早越好，有的律师等到行政诉讼阶段才介入，甚至认为行政案件就是打行政诉讼，这种观点对企业是致命的，因为只要一开始行政诉讼，就意味着跟行政机关撕破脸皮，相当于给行政违规行为做“无罪辩护”，我们的律师不知为何一接到案子就开始准备行政诉讼，上来就要做无罪辩护、开始与行政机关对抗。当然这是需要一定勇气的，而且该打行政诉讼的案件就要全力以赴，该做无罪辩护的案件也要用于斗争，只有这样才能推动法治进步。但是，如果企业很明显已经构成违法，一个税收的行政违法案件可能就要被移交给公安机关了，律师还能贸然启动行政诉讼吗？有多少案件在行政诉讼进行过程中，这边税务部门就把案件移交给公安，公安直接做出立案决定，开始对嫌疑人采取强制措施。结果有的行政诉讼律师打算对抗到底，委托人被抓后接着进行无罪辩护，真可谓无知者无畏，不知道无罪辩护有多么困难。对于律师而言，客户的利益是最高利益，为什么此时不开展合规业务，不把握住黄金救援期，与行政机关进行协商和谈判呢？
二是必要的时候以合规作为抗辩事由，告诉行政机关企业已经建立了合规，尽职尽责地对员工采取了必要的管理措施，个别员工违规是其个人的责任，此时合规就像一个防火带和隔离墙，把公司责任和员工责任切割开来，公司有合规的政策文件、合规培训、合规认证、合规行为守则，已经尽到管理责任，个人违背公司意志实施违规行为只能追究其个人责任，这是一项非常重要的工作。
三是必要时谈判以达成行政和解。尽管我国目前只有证券领域有行政和解规范，但实践中行政和解已经大量出现。广州、上海、深圳等地的行政机关在监管调查时经常出现这样的声音，即只要企业配合调查，缴纳一定的罚款，就不再将案件送交公安机关，结果有的企业一定要与行政机关对抗，去法院提起行政诉讼，此时行政机关自然不愿意再和解，直接移送给公安机关，一旦公安介入，这盘棋就下成了死棋，企业资产立刻就被查封、扣押、冻结、拍卖，涉案财物都被处置了，检察机关只能提起公诉，法院也只能判决企业构成犯罪。面对这些公权力机关，法律人怎么还能鼓励自己的客户与他们对抗呢，只有案件不进入刑事司法程序，在行政监管领域实现软着陆，才是企业的最高利益所在。这就要求律师代理企业尽量与监管机关达成和解，能通过行政执法解决的就不要提起行政诉讼，能以行政处罚终结的案件尽量不要移交司法机关，能缴纳罚款的尽量不要吊销营业执照，因为特许经营资格和营业执照的剥夺对企业而言无异于灭顶之灾，当年安达信会计师事务所就是因为给上市公司的审计服务资格被取消，马上就面临客户和员工流失，整个企业分崩离析，很快就濒临破产。
第五个业务板块是刑事风险的化解，这主要是指当企业遇到了刑事风险，还没有被刑事立案的时候，最容易发生在行政调查阶段、立案之前，合规律师尽早介入，帮助企业化解刑事风险。此时律师介入开展工作面临一定的执业风险，因为企业可能很快就会被立案，如果律师被认定为鼓励企业反侦查的话就会面临危险，所以律师从事该项业务时一定要谨慎。
在《企业合规基本理论》一书，我提出诊断法律风险的概念，通过诊断法律风险提出化解风险的方案，这是所有刑事合规业务里面最精华的一项业务，相当于把无罪辩护提前到风险化解阶段，而不是等企业被立案之后再做无罪辩护，与整个刑事司法体制对抗。刑事立案之前化解风险的最高境界是改造商业模式，消除犯罪构成要件，这样就能真
实现案件的软着陆，比如虚开增值税发票在行政监管阶段律师介入，通过合规业务的开展，提出两条消除犯罪构成要件的关键事实，一是有证据证明有真实交易，即便存在虚开发票的行为，也只能构成行政违法，而不能成立犯罪；二是没有造成国家税款流失，没有造成社会危害。如果能提出证据证明这两项事实，公安机关就不会再立案。还有传销案件，合规律师只要及早介入，证明企业有真实交易，即便形式上有入门费、组织层级、发展下线的奖励和抽成等要素，但只能构成国务院《反传销条例》中的传销行为，是行政法意义上的传销违法，但不能构成组织、领导传销活动罪。每一个行政犯都存在行政违规和犯罪之间的界限，只要消除特定的转化条件，打掉犯罪构成要件，就能避免案件进入刑事诉讼程序，获得合规业务的成功。
除了上述五项国际通行的律师合规业务以外，还有两项与合规相关的新型业务。
第一是案件立案，律师在刑事辩护环节用合规作为无罪抗辩事由。合规不仅可以化解风险，还可以在风险来临之后用合规作为无罪抗辩事由，通过合规证明企业不构成犯罪，将合规作为无罪辩护的根据。
这里面有三个关键点要注意，首先，用合规证明有一套完善的内部管理体系，内部已经建立完善预防犯罪的合规管理体系。其次，通过合规证明企业没有犯罪的主观意志，没有主观过错。企业是法人，只具有法理上的拟制人格，而不像自然人那样有独立思想，但规章制度、合规管理本身就体现了企业的主观意志，证明企业既不存在积极追求或放任犯罪的主观故意，也已经尽到注意义务，在主观上没有过失，因而没有主观过错。
上个礼拜在论证一起非法采矿案件，涉及是单位犯罪还是自然人犯罪的问题，我们提出单位拿出合规来作为抗辩事由，如果单位有明确禁止非法采矿和越界采矿的文件和政策，那么公司在主观上没有过错，无需承担责任。
最后，只有用合规才能证明企业对员工尽到了管理责任，至于员工个人违背单位意志实施的违规和犯罪行为，是员工的个人行为，与单位无关，以此实现公司和员工的责任切割，这在所有单位犯罪中都是通用的手段，未来可以把合规作为一项无罪抗辩事由，延伸到单位犯罪的辩护领域，合规并非跟刑事辩护格格不入。
第二，一项新的业务即将兴起，检察机关和行政机关设立的合规联络人、合规监督员制度，只要在行政监管环节和刑事不起诉环节让企业做合规，就要任命律师做合规监督员，尤其有检察机关工作经历的律师更是具有得天独厚的优势，是检察机关在合规不起诉时最信任的律师群体，曾经在法院、公安机关、行政监管机关任职的律师同样具有一定的优势。
该内容可能有会员内容，需要登录查看全文，点击
这里在顶部登录
