江溯：刑事合规的学理基础与实践展开 | 财经法学202404

　　刑事合规是一项兴起于美国的制度，其基本含义为遵循刑法的相关规则。企业刑事合规的目的在于从结果上避免刑事责任，并且追求经济上的最终收益最大化。一般认为，合规计划具有预防性目的、抑制性目的和经济性目的。为了规避刑事风险，实现有效犯罪预防，许多国家通过实践的不断探索，形成了各具特色的合规模式。近年来，以“中兴事件”为契机，我国刑事法学界开始对刑事合规展开深入研究。从目前的研究现状来看，我国关于刑事合规的研究偏向于对美国相关理论和实践的借鉴，对德国刑事合规的研究则略显不足。

　　在德国，合规观念起源于证券交易市场。20世纪70年代，证券交易公司为了自我管理而自愿制定相关内部准则，被视为合规计划的初次尝试。合规计划在德国的真正发展要追溯到20世纪90年代初期。刑事合规在德国之所以备受关注，与近年来一些德国著名公司的商业腐败丑闻有关。其中，西门子事件和富乐斯多事件尤为值得关注。基于对上述事件的反思，德国刑事法学界对刑事合规展开了深入细致的研究。在德国，刑事合规存在各种各样的定义，其中最具代表性的是托马斯·罗奇教授（Thomas Rotsch）的定义：“刑事合规是指为了避免企业职员基于实施与企业相关的行为而负担刑事责任所必须采取的全部必要且被允许的措施。”本文首先探讨德国刑事合规中的实体法问题与程序法问题，然后展示德国刑事合规的具体领域，最后分析德国刑事合规对我国的借鉴价值。

　　刑事合规与实体刑法具有密切的关系。实体刑法主要涉及刑事责任的问题。需要指出的是，德国传统刑法体系建立在个人责任的观念之上，因此不承认公司的刑事责任。关于个人刑事责任以及一般归责问题，首先要区分的是公司内部人员的责任与公司外部人员的责任，而公司内部人员的刑事可罚性，又可以进一步区分为公司管理人员、特别的合规负责人（合规专员）和其他公司职员的可罚性。随着公司对外部合规顾问的需求进一步增加，公司外部人员的刑事可罚性也成为一个关注的问题。

　　（一）公司内部人员的刑事责任

　　1.公司管理人员的刑事责任

　　关于公司（或组织）管理人员的刑事责任，可以从两个方面进行探讨：一方面，公司管理人员为职员的行为承担责任，这是通过主动作为实现的；另一方面，公司管理人员的不作为可能导致的刑事责任，以及相关的刑事责任所需要满足的条件。

　　（1）主动的作为

　　在刑法上，不仅需要解决直接实施犯罪行为之人的刑事责任问题（即根据《德国刑法典》第25条第1款第1项作为直接正犯），而且需要探究作为犯罪行为之“实际”负责人的“幕后者”（Hintermann）的责任问题。在“皮革喷雾案”和“柏林墙射杀案”中，德国联邦最高法院采取了两种完全不同的归责模式。

　　在“皮革喷雾案”中，德国联邦最高法院指出，至少在公司遭遇危机情况下，即“会影响到公司整体”之时，需要在刑法中适用公司法中的公司管理者的“一般责任与全部负责”的基本原则。这一归责模式的特点在于，在商业公司的语境下，将公司法上的假定行为人的义务地位（Pflichtstel lung）直接适用于刑法。与传统观念不同，行为人无需对事件过程具有实际的掌控，重要的是考察行为人在刑法之外（例如在民法上）是否具有法律上的职责（Zuständigkeit）。根据刑法中传统的信赖原则，通常而言，公司董事的责任仅限于本人所负责的领域，因为原则上每位公司董事都可以相信其他人在其所负责的领域合义务地实施行为。此案并非通常情况，而是涉及“会影响到公司整体”因而需要公司各部分通力合作的危机和例外状况（Krisen und Ausnahmesituation）。因此，德国联邦最高法院认为，在本案中不适用信赖原则，而是适用每一个公司董事单独的一般刑事责任原则（Grundsatz genereller strafrechtlicher Verantwortlichkeit）。德国联邦最高法院明确指出，公司管理人员相关的责任分工以及涉及公司上下级关系的内部组织结构亦不阻碍公司董事的一般责任（Generalverantwortung）的成立。在本案中，德国联邦最高法院采取了一种颇具实用性的路径论证公司董事的刑事责任，其主要依据的是《德国刑法典》第25条第2款。德国联邦最高法院认为，在通过简单多数达成的集体表决中，参与表决的各公司董事的刑事责任并不应取决于其个人投票行为与结果之间（难以证明的）因果性，而应仅取决于表决和结果之间的因果性。换言之，此处并不考察单个投票行为的因果关联，只要表决行为整体与结果之间满足因果性即可。需满足的前提仅在于，参与投票的各公司董事构成《德国刑法典》第25条第2款的共同正犯。批评者认为，联邦最高法院的判决在此存在循环论证的问题，因为其通过预设公司董事成立共同正犯从而肯定因果关系，而共同正犯的成立前提正是每个行为人与结果之间存在因果性。此外，该判决还带来了“过失共同正犯”的问题，学界认为法院判决在此实际上认可了在德国刑法中“过失共同正犯”存在的空间。罗奇教授认为，无论人们是否认可这一观点，《德国刑法典》第25条第2款除了能够解决单独因果性难以证成的难题，还能（通过联邦最高法院的判决）在商业公司人员的过失犯罪案例中发挥归责工具（Zurechnungsinstrument）的作用。

　　与之前“皮革喷雾案”中将刑事责任建立于民事责任之上的归责模式不同，德国联邦最高法院在“柏林墙射杀案”中将“幕后者”的责任建立在一个更有说服力的、更符合实践的基础之上，即“利用组织支配的间接正犯”理论。“利用组织支配的间接正犯”理论是由罗克辛（Roxin）在1963年提出的，其理论基础为命令发出者的命令权、权力机构的法律背离性和直接实施行为者的可替代性。与罗克辛严格将此理论的适用限制于国家权力机器不同，德国联邦最高法院在一系列判决中突破了这一限制，将其作为利用规则化流程的规范模式来论证商业公司中相关自然人的刑事正犯责任。

　　与“皮革喷雾案”中的一般责任和普遍负责原则相比，“柏林墙射杀案”中采用的“利用组织支配的间接正犯”这种归责模式所涵盖的行为人范围远远大于“皮革喷雾案”中一般责任和普遍负责原则所确定的行为人范围。对于刑事合规而言，尤其需要注意的是，公司的中级和低级管理层同样可能承担正犯责任。尽管德国联邦最高法院的“公司的组织支配模型”（即将组织控制理论适用于商业公司）在学界受到广泛批评（包括罗克辛），但可以确定的是，“柏林墙射杀案”的判决在可预见的时间内并不会被推翻。在实践中，该论证公司管理者刑事责任的模式实际上早已取代了之前“皮革喷雾案”中的论证模式，从此成为以预防功能为导向的刑事合规制度的基石。

　　（2）不作为

　　公司管理人员还可能因其不作为而具备刑事可罚性，这种不作为可能出现在公司管理层没有履行防止具有刑法意义的、与公司相关的职员行为的义务之时。这里涉及的主要是不真正不作为犯。在经济刑法和公司刑法中，认定作为不真正不作为犯成立前提的保证人义务，常常会遇到各种困难。针对这些困难，从体系化的视角出发，可以进行以下区分：一方面，公司管理人员可能涉及基于对他人的责任而成立的保证人义务，例如公司负责人的责任（Geschäftsherrenhaftung），在理论上，对此基本没有异议；另一方面，公司管理人员还可能涉及由物引发的（商业）危险中推导出的保证人义务，例如刑事产品责任。对此，理论上则仍然存在一定的争议。

　　在“公司负责人的责任”这一关键词之下讨论的问题是：公司负责人或公司管理人员对于其雇员通过作为或不作为实施的、与公司相关的犯罪行为所负担的刑事责任。有学者认为，基于个人自治原则，应当否定上级主管的保证人义务。也有观点认为，仅当所讨论的危险直接源于生产经营的特性时，才存在保证人义务。当然，德国学界的通说一直都承认公司负责人的保证人义务。与学界的通说观点一致，德国联邦最高法院肯定了公司负责人或相应的公司高管对于预防其下属实施犯罪行为负有基本的保证人义务。德国联邦最高法院第五刑事审判庭认为，这里的犯罪行为必须“与公司相关”，这是保证人的可罚性前提。但是，需要注意的是，公司负责人的保证人义务不包含“偶尔”在公司运营中实施的犯罪行为。

　　在公司经营风险中，被广泛认可的是公司经营者（Betriebsinhaber）的保证人义务。公司所有者负有与特定的经营风险相关的交往保障义务。但是，从宽泛的民法上的交往保障义务中推导出的监督保证人义务的范围究竟有多大，则存在较大的争议。这个问题在刑事产品责任中显得尤为尖锐,其中往往涉及（如“皮革喷雾案”）对危害健康的产品的召回问题。德国学界的通说同样认为，在上述情况中存在交往保障义务。在特定情况下还需要考虑保护型的保证人义务，例如消费者已经发现有害产品之时。

　　2.合规专员的刑法责任

　　在刑事合规中还需要特别注意的是，当合规专员没有履行其所负有的阻止公司成员实施犯罪行为的义务时，其可能会因此面临刑事追诉的风险。此处的不作为在刑法语境中涉及的是所谓的不真正不作为犯，其成立前提是相关参与人负有保证人义务。

　　在2009年之前，关于合规专员是否为保证人这一问题，德国学界只有零散的讨论。仅有少数观点十分谨慎地认为，在特定情况下合规专员可以成为保证人。但是，在德国联邦最高法院的第五刑事审判庭于2009年作出引起轰动的“柏林城市清洁公司案”判决之后，这一情况发生了改变。德国联邦最高法院在2009年7月17日的判决中写道：“通常来说，合规负责人负有《德国刑法典》第13条的保证人义务……其需要防止公司职员实施与公司相关的犯罪行为。”这是“合规负责人针对公司领导层所负担的义务的必要的另一面，即其负有阻止规范违反的义务，尤其是犯罪行为”。德国学界普遍认为，刑法上的保证人义务的成立需要两个前提：一方面，相关人必须与可能受侵害的法益处于以法律为基础且事实上临近的位置；另一方面，从上述临近位置中产生的非刑法的义务必须具有刑法上的相关性。

　　就公司管理人员而言，根据以上两个前提，其保证人义务的成立一般不存在障碍。但是，就合规专员而言，通常来说并非如此。因为尽管从法律视角来看，合规专员（根据劳动合同的规定）可能与面临侵害风险的法益处于特别的临近位置，但是，通常而言，合规专员的义务范围仅限于特定领域，而这取决于公司的规模。例如，在某个大公司中，如果某合规专员仅对生产领域负责，则不能认为其对销售领域的犯罪行为实施负责。但是，如果某合规专员对整个公司负责，则其义务就涉及预防整个公司内的犯罪行为，在一些中小型公司可能就是这样的情况。

　　关于合规专员的保证人义务，德国学界和实务界一致认为：合规专员的保证人义务仅仅是从公司领导层的保证人义务中推导出来的保证人义务，即“次要”保证人义务。德国联邦最高法院明确指出：只有公司负责人才负有主要保证人义务，至于部门负责人的责任，只能以从公司领导层的主要保证人地位中推导出的（次要）保证人地位为基础。由此可见，合规专员并不负有主要的保证人义务。

　　3.其他公司职员的刑法责任

　　其他公司职员是指既不根据工作合同作为合规人员，也未承担事实上合规任务的普通职员，其刑事责任的成立适用一般基本规则。虽然其他公司职员并不负有如合规人员基于其功能所负有的防止与公司相关的犯罪行为的保证人义务，但是，需要注意的是，不在合规职位上的其他公司职员也可能因为其服务岗位或劳动合同中所规定的义务（包括事实上承担的义务）而负有相应的保证人义务。

　　（二）公司外部人员的刑事责任

　　公司外部人员与公司内部人员有所不同，因此其刑事责任也应当有所区别。在公司中（尤其在大公司中）极其常见的现象是聘请外部律师来完成相关的合规任务。在这种情况下，相比公司内部的合规专员而言，司法机关会对外部律师提出更高的注意要求，因为公司内部合规专员可能并非法律专业人士。然而，一个悬而未决的问题是：作为外部合规专员的律师在何种情况下可能承担刑事责任，以及其责任在何种程度上超过一般的律师责任。在涉及外部律师的情况下，公司管理层会陷入一个非常棘手的困境，即如果公司管理层将合规任务委托给外部人员，那么可能出现的情况是：一方面，没有尽到足够注意义务的律师的刑事可罚性会最终落到公司管理层头上；另一方面，如果公司管理层将实现合规管理体系的任务委托给(非法律人的)公司职员,则可能无法满足一个有效合规体系的相关要求。在这两种情况下，公司管理层均面临刑事处罚的风险。最佳解决方案是公司内部与外部的合规专员共同完成“合规”。但是，需要注意的是，这样的“合作合规”对许多中小型企业而言并不是一个现实的选择，因为公司需要为此花费高昂的人力和金钱成本。

　　刑事合规的目标之一是程序上的抑制性目标，笔者在下文中将通过公司内部规定、内部调查制度和吹哨人制度三个方面对此加以论述。

　　（一）公司内部规定

　　作为自我约束的工具，公司规定的目的在于保障公司职员的行为符合法律，同时符合经济利益最大化原则，虽然德国学界越来越多的学者（特别是犯罪学领域的学者）将公司内部规定视为有效的合规方式，而且这种观点在实务中也得到了一定程度的回应。但是，从刑事合规的经济目的、实体目的与抑制目的来看，公司内部规定可能还存在一些困难。

　　第一，实践中存在以下矛盾的现象，即一方面公司需要耗费大量精力制定规则，并保证职员遵守规则，另一方面，由于法律的复杂性，遵守内部规定并不必然意味着该行为符合刑法。刑法是纯粹的国家制定的法律，公司事实上并没有判断某行为是否违反刑法的权限。因此，公司的投入与其在规范上得到的回报往往并不平衡。

　　第二，公司内部规定是否能够达到其所追求的犯罪预防目的，尚存疑问。实体性预防并非刑事合规的唯一目标，甚至不是公司建立合规的本质目标。越来越多的观点认为，合规往往被公司视为一个功能性的公关手段，而非有效防止与公司相关的犯罪行为的手段。但是，从企业经济学的角度考虑，企业具有制定内部规定的合理动力，因为它可以保护企业的既有利益，同时避免其名誉受损。“通过建立经济体系中的内部控制，在国家通过刑罚手段进行外部规制之前采取行动，可以使经济保持一定的自由空间。”

　　第三，内部规定在某些场合下并不能发挥预防犯罪的目的。相反，在某些情况下，它可能会更加有助于刑事可罚性的确立。试图通过刑事合规来降低刑事可罚性风险，可能反而会提高承担刑事责任的风险，最典型的例子是西门子事件。在该案中，事实审法官认为，本案构成《德国刑法典》第266条第1款第2项（背信罪）的“义务违反”，因为“根据西门子公司已存在的合规规定，任何贿赂支付都应当被禁止”。因此，在某种程度上，可以说正是公司的合规措施导致部门负责人必须承担背信罪的刑事责任，正是符合民法的行为导致了刑事责任的承担。

　　对于上述问题，有观点认为，从表面上看，合规制度似乎额外地创设了公司在刑法上的义务，但实际上并非如此，因为刑事合规所避免的主要是公司管理层的责任，合规导致刑事可罚性主要是针对下层职工（如中下级管理层、部门负责人）的。当然，这种公司管理目标的实现仅仅停留在表层，因为单纯的刑事责任向下层转移并不能避免公司承担罚金、损害赔偿、名誉减损等风险。

　　（二）内部调查

　　内部调查即公司内部的调查，其内容是查明具有法律上重要意义的事实情况。德国学界一般区分内部调查与内部监控。例如，为了监控可能威胁公司生存和公司资本、环境污染、垃圾和危险品、引发事故或危害工作岗位职员健康、向社会传达错误信息、侵害公司数据库等的风险而建立的内部措施（定期检查）并不属于内部调查。出于同样的理由，各种外部监控与质量保障措施（如年度审查、评级等）也不属于内部调查。德国通说认为内部调查是特定的、针对定期检查无法发现的事实所进行的调查。内部调查的主体在所不问。在实践中，内部调查通常是由外部控制者实施的。

　　虽然德国学界普遍承认内部调查在民法或劳动法上的合理性，但在刑事领域，需要特别警惕内部调查违反刑事程序基本原则的风险，特别是对被告人权利的侵害。因此，首先必须厘清内部调查的合法界限。虽然法律并未禁止公司实施内部调查，但是，如果调查手段超出了法治国的界限，例如通过欺骗、胁迫或其他方式进行调查，则当然是违法的。而且，内部调查中不得使用强制性手段，如扣押、搜查等。换言之，内部调查的界限在于其行为不得严重违背从侦查法定主义推导出来的检察机关对刑事侦查的整体垄断。

　　此外，对于刑事合规中的内部调查而言，劳动法中的陈述义务与刑法中不得强迫自证其罪这一基本原则可能会发生冲突。德国民法学通说认为，应当允许企业以劳动法上的制裁强迫职员进行陈述，员工不得援引刑事诉讼中的沉默权。但是，这种在内部调查中取得的证人证言，极有可能通过程序转化而进入刑事诉讼中，因此涉及证据评价禁止的问题。有学者认为，这种情形下应当适用《德国基本法》第2条第1款和第1条第1款规定的证据评价禁止，同时承认证据使用禁止意义上的远程效力。

　　（三）吹哨人制度

　　除内部调查外，有效的合规计划一般要求公司为员工的举报提供途径。“吹哨人制度”源于美国的公司实务，合规视野下的吹哨人与刑事诉讼中的私人举报不同。由于劳动关系的存在，公司职员在进行举报时，很可能面临劳动法甚至刑法上的严重后果。

　　刑事合规语境下的“吹哨”，是指公司职员实施的在公司内部或外部对公司相关违规行为的信息传递。从举报途径上，可以将其区分为内部举报和外部举报：前者是指公司职员将相关信息报告给上级、公司高管或合规办公室等公司内部人员、机构；后者是指公司职员不经内部调查，直接向刑事追诉机关或相关监管部门报告信息。德国立法上的最新动向是将欧盟2016/943163号指令（保护吹哨人）转化为德国法。德国联邦议会于2022年12月正式通过了《德国吹哨人保护法》。根据该法律，公司职员既可以通过内部举报，也可以通过外部举报，既可以通过实名举报，也可以通过匿名举报来反映公司的违法犯罪行为；禁止对举报人进行任何形式的报复，包括纪律处分、解除劳动合同以及不正当的歧视；如果公司违反本法对举报人进行报复，则举报人有权根据《德国民法典》请求获得赔偿，而且公司还可能因此被处以最高10万欧元的罚款。这部法律的实施，对于德国刑事合规制度的完善将会发生重要的影响。

　　在德国，刑事合规并未停留在宏观层面（或者教义学层面），而是在很多具体领域中有广泛的应用。尤其是在环境刑法、刑事产品责任、腐败犯罪、网络刑法和数据保护刑法领域，刑事合规受到了广泛的关注。

　　（一）作为基础规范的《德国违反秩序法》

　　刑事合规的“目的在于保障所有公司职员实施合法行为”，因此，虽然《德国刑法典》不承认法人的行为主体地位，但这并不影响我们将视野拓宽到刑法以外的法律。在德国，对于刑事合规而言，最重要的是《德国违反秩序法》第30条和第130条。

　　首先，《德国违反秩序法》第130条一般性地创设了实施合规监督措施的作为义务，其制裁规范可以在事实上发挥刑罚的效果。该条明确了管理层人员因违反监管义务所需承担的责任范式，被视为刑事合规在教义学上的核心规范。具体而言，该条第1款以真正不作为犯的方式，对企业所有人施加积极的监管义务。一般来说，相关命令规范主要是指向管理层的公司主管的义务，但主管人员常常会将相应义务委托给本来并非规范命令对象的公司职员。从立法目的上看，第130条即旨在避免这一处罚漏洞，因此可以被视为《德国违反秩序法》第14条参与犯责任的“兜底条款”，其保护法益需要通过相关制裁规范所保护的法益来认定，具有附属性。正是在这一意义上，该条发挥的是法益的前置保护作用。

　　（二）环境刑法

　　在德国，环境刑法分为狭义的环境刑法和广义的环境刑法。狭义的环境刑法，指的是《德国刑法典》分则第29章中所列举的刑法条文（即《德国刑法典》第324条及以下）；广义的环境刑法，指的是对损害环境的行为处以刑罚的所有规范，除了上述狭义的环境刑法相关条文之外，还包括其他与环境相关的核心刑法规范（《德国刑法典》第304条、第307条、第309至312条和第314条）、环境行政法中包含的附属刑法的相关规范（例如《德国自然保护法》第71和71a条、《德国危险物质保护法》第27条及以下条文、《德国动物保护法》第17条）。

　　在环境法的语境下，合规措施具有非常重要的意义。首先，在环境合规方面，公司需要就环境保护委托相关负责人，环境行政法中的诸多法条都对此作出了规定。环境保护委托人的职责是：通过对公司职员进行监督，并且就已确定的不符合规范的行为向公司管理层进行报告，以保证其遵守环境法的相关规定。源于欧盟的环境审计指令的生态管理和审计计划（EMAS）为德国环境合规机制作出了结构化补充。生态管理和审计计划（EMAS）的目的在于为公司和相关机构自愿设立以及定期评估环境管理体系提供激励。其次，环境私法也敦促公司执行自我监督措施。例如，根据《德国环境责任法》第6条第2至4款，企业所有人可以通过证明其设备正常运转符合法律规范，反驳相关的环境损害原因推定（《德国环境责任法》第6条第1款），最终避免承担《德国环境责任法》第1条的危险责任。当然，如前所述，公司实施的控制措施可能招致相反的结果：一方面，遵守相关标准可以在判断过失与监督义务违反时起到减轻企业罪责的作用；另一方面，为环境问题创设特别职责也可能催生新的可罚性风险。此外，如果允许在刑事诉讼中评价合规过程中获得的信息，控方的举证难度会大大降低。

　　（三）刑事产品责任

　　当某种产品投入市场之后产生了法益侵害的后果，就可能追究生产者、销售者以及将该产品投入市场的相关人员的民事责任或刑事责任。对于生产者、销售者以及将该产品投入市场的相关人员而言，避免或者减少责任风险的需求自然就非常强烈。为了排除与产品相关的违法可能性，避免或者减少责任风险，刑事合规的重要性日益凸显。

　　刑事产品责任的前提是：单独的个人通过将产品投入市场，违法且有罪责地满足了刑法构成要件。原则上，所有与产品相关的人员都可能承担刑事责任，只要其行为共同导致了损害的发生，他们不仅包括产品的生产者或销售者，原则上还包括运送者、中间商或咨询人员。对于非常困难的因果关系证明来说，只要“法院在整个程序之后完全信服所需证明的事实”就足够了，并不需要存在自然科学上非常精准的证明。

　　在德国刑法上，与产品责任相关的刑法构成要件首先是过失和故意的身体伤害罪（《德国刑法典》第229条和第223条），也包括危险和严重的故意伤害罪（《德国刑法典》第224条和第226条）。此外，还包括过失致人死亡罪（《德国刑法典》第222条）以及故意杀人罪（《德国刑法典》第212条）。当然，将有缺陷的产品投入流通还可能触犯其他的刑法构成要件，例如诈骗罪（《德国刑法典》第263条）和纵火罪（《德国刑法典》第306条及以下）。在德国法上，与民事产品责任不同，在刑事产品责任中的行为人只能是自然人，不能是组织或（作为组织的下位概念的）公司。这就意味着，作为生产者的公司在刑法上不能作为刑事责任的承担者。当然，根据《德国违反秩序法》第30条，公司事实上需要承担一种类似于刑事责任的惩罚。刑事产品责任中的法律后果包括罚金刑、自由刑以及职业禁止（《德国刑法典》第70条）。对于公司职员来说，相比单纯的民事责任，刑事产品责任可能带来更大的个人风险。就罚金而言，公司一般可以承担，而不需要行为人个人承担。但是，就职业禁止而言，不仅会对个人的职业发展带来阻碍，甚至可以完全毁灭其职业前途。

　　在大部分案件中，有缺陷的产品的刑事或民事产品责任并非故意行为，而是过失行为。《德国民法典》第276条第2款对“单纯的过失”这一概念作出了规定。根据该法条，如果某人在交往中未尽到必要的注意，就是过失行为。原则上，这一责任标准不仅适用于民事产品责任，而且适用于刑事产品责任。因此，民法上对产品生产者和其他将有缺陷的产品投入市场的相关人员的要求，原则上也适用于刑法。但需要注意的是，与民法不同，刑法上的过失责任除了要求违反客观注意义务，还要求违反主观注意义务。

　　（四）公职腐败与商业腐败

　　在腐败领域，德国刑法区分公职人员腐败与商业活动中的腐败。结合最近腐败犯罪的立法规定，这一区分显得更加重要。具体而言，在《德国刑法典》中，并未使用“腐败”这一概念。《德国刑法典》中传统的腐败犯罪包括：《德国刑法典》第331条及以下规定的公职人员接受利益（第331条）、索贿（第332条）、提供利益（第333条）以及行贿（第334条），以及商业往来中的行贿和索贿（《德国刑法典》第299条等）。此外，在《德国刑法典》第108b和108e条中还规定了选举候选人和议员贿赂。

　　在过去很长时间里，合规常常被视为公司内部预防腐败的各种措施的同义词。今天，仍然有很多公司在建立合规体系之时重点关注（至少在初始阶段）预防腐败这个重要问题。在商业活动中，礼物、酬劳和其他利益往往属于正常商业往来的一部分，在某种程度上甚至是无法避免的。因此，为了达到合规的目的，公司必然需要考虑预防腐败的问题。对许多公司而言，建立长期的法务部门或合规部门成为必然选择。刑事合规可以作为避免腐败的手段之一，其要求公司建立防止腐败犯罪的相关机制，该机制必须能够识别可能的违规行为。为了决定对于公司外部人员以及公司的内部人员而言何种利益是法律允许的，公司管理层首先必须明确法律的界限。除此以外，公司管理层还要考虑伦理准则或者公司相关规定，虽然这些准则或者规定的要求比刑法的要求更高，但从刑事合规的角度上，遵循这些准则或者规定，对于防止腐败犯罪、降低企业遭受严厉制裁的风险具有重要意义。

　　（五）网络刑法

　　网络刑法中的合规主要涉及网络服务提供者的刑事责任问题。对于服务提供商的刑事责任而言，最重要的法律是《德国电信媒体法》。根据《德国电信媒体法》第1条第1款，电信媒体是指“所有电子化的信息与通信服务（电信媒体），但《电信法》第3条第24项规定的完全通过电信网络传输信号的电信服务、《电信法》第3条第25项规定的受电信支持的服务、《广播电视与电信媒体州际协议》第2条规定的广播电视除外”。根据《德国电信媒体法》第1条第1款第2句，其适用范围包括公共机构在内的所有提供者，不论使用是否收费。根据《德国电信媒体法》第1条第2款第1句，服务提供商是指提供自己或他人的电信媒体以供使用或提供使用链接的自然人或法人。因此，首先需要确定，服务提供商的概念不仅包括“传统的提供链接者”，还包括任何自然人和法人以及公共组织,只要其在网络上准备好自己或他人的内容。这意味着，任何公司的网站以及任何内容的传播都需要符合《德国电信媒体法》的相关规范，因此，合规在网络领域扮演着十分重要的角色。

　　（六）数据保护刑法

　　在数据保护（刑）法中，合规不仅可以发挥避免法律责任的作用，而且对于公司的声誉和市场地位也具有十分重要的意义。在数据保护刑法中，在两个不同方面需要特别注意合规，这就是合规在数据保护刑法中的“双重功能”。

　　因此，在具体个案中需要就相互冲突的目标事先做好准备。因为绝大部分公司的查明措施都需要最大值的信息，而《德国联邦数据保护法》第3a条对数据避免（Datenvermeidung）和数据节俭（Datensparsamkeit）作出了规定。通过刑法，合规相关人员的行动受到两方面的限制：一方面，在合规措施不足够甚至是不作为时，需要考虑相关人员（例如合规专员、数据保护代理人、法务部门的负责人员）通过不作为实现的关于公司职员的犯罪行为（例如背信罪、行贿罪）的帮助犯刑事可罚性。此外，还可能存在《德国违反秩序法》第130条意义上的监管义务违反。另一方面，过度开展的合规措施本身可能根据《德国联邦数据保护法》第43条和第44条触犯《德国违反秩序法》或《德国刑法典》。在具体个案中，甚至还可能成立《德国刑法典》第201条及以下条文的刑事可罚性风险。例如，德国电信公司的前任安全负责人就因为违法的监督措施而根据《德国刑法典》第206条被判处多年有期徒刑。因此，展开合规措施的相关人员的任务在于：在必要的调查强度与数据保护界限之间找到一个合适的平衡。

　　随着改革开放的不断深入，我国企业在全球经济活动中的参与程度越来越高，域外企业违反我国刑法的现象也时有发生，最有名的是2014年的GSKCI（葛兰素史克）商业贿赂案。以中兴事件为契机，国内刑事法学界近年来也对刑事合规这一问题展开了持续性的关注。通过上文对德国刑事合规晚近发展的梳理，我们可以从以下几个方面反思我国合规制度的构建。

　　（一）实体法维度

　　1.单位犯罪制度与刑事合规

　　刑事合规在企业犯罪治理中能够发挥何种作用，其理论根据首先取决于企业犯罪构成理论。我国刑法与德国刑法的一个显著区别在于我国《刑法》明确规定了单位犯罪,对单位犯罪原则上实行“双罚制”。除个别情况外，在认定单位犯罪的前提下，自然人需要承担的刑事责任往往比较低。因此，在实践中，在单位内部人员受到刑事追诉时，倾向于从单位犯罪角度辩护，以换取更轻的刑罚。因此，我国学界传统观点多将重点放在单位犯罪与自然人犯罪的区分之上。

　　从实定法出发，我国单位犯罪制度存在三个特点：其一，单位犯罪罪名不周延。由于单位犯罪有法律规定的才处罚，我国刑法中单位犯罪集中在公共安全、金融秩序与贪污贿赂等领域，缺乏诸如2007年英国《企业过失杀人与企业杀人法》、《德国违反秩序法》第130条的一般条款。为了实现有效打击犯罪的需要，立法机关在立法解释中明确指出“公司、企业、事业单位、机关、团体等单位实施刑法规定的危害社会的行为，刑法分则和其他法律未规定追究单位的刑事责任的，对组织、策划、实施该危害社会行为的人依法追究刑事责任。”因此，即便不成立单位犯罪，对直接责任人员也应当追究刑事责任。从单位犯罪的有效预防角度出发，我国单位犯罪制度的这一特征不容忽略。其二，直接责任人员的刑罚评价并不确定。在部分单位犯罪中，立法者对直接责任人员规定了比自然人犯罪更低的法定刑，此时直接责任人员实际上是减轻责任的身份；在部分罪名中，自然人犯罪与单位犯罪中直接责任人员的刑事责任的差别仅在是否需要承担罚金刑。其三，单位承担的刑事责任畸轻。我国甚至有学者主张在单位犯罪的场合，应当充分适用定罪免刑制度，一方面发挥刑罚标签化的非难机制，另一方面可以对涉案单位适用数额更高的行政罚款而非刑事罚金。

　　上述特征决定了我国刑事合规的关注重点并非学者倡导的将单位与实施非法行为的自然人脱钩，而在于将单位中直接责任人员与实施非法行为的自然人脱钩。因此，虽然从单位犯罪的视角讨论单位承担刑事责任的根据确有必要，但更应当引起关注的是刑事合规如何排除直接责任人员的刑事责任。在这一点上我国与德国具有相似性，只有在追究直接责任人员刑事责任的场合，刑事合规制度才确有必要。除涉外投资的场合应当尊重所属国的刑法规定，我国刑事合规制度应当着眼于直接责任人员的责任阻却或减轻。若仅将合规计划理解为对公司责任和员工责任的切割，只要建立了合规体系，即可免除企业对员工犯罪的归责，仍然无法实现公司的深层管理目标。除将刑法风险向下转移外，可以借鉴德国的经验，明确企业相关负责人的监管义务，促使管理层以避免自身因义务违反成立犯罪的方式，达到合规管理的真正目的。具体而言，合规计划的引入，存在过失责任与不作为责任两条路径。

　　2.责任模式与刑事合规

　　我国公司治理中两权分离不足，董事义务和责任追究模式也尚未实现充分的法制化，德国以司法上的有罪判决推动企业合规回应的做法值得我们学习。因此，在组织体内直接实行人导致法益侵害时，能否认定直接责任者违反了注意义务，进而构成相应过失犯罪就显得至关重要。例如，在责任事故类犯罪与渎职犯罪中，我国司法实践倾向于对过失归责进行宽松的把握，只要前行为创设的因果关系一直延续的结果发生，实际发生的因果流程的复杂性并不能阻却过失的罪责，合规制度也就具备广泛的适用空间。过失犯的规范本质在于没有将自身注意能力维持在法规范期待的水平线上，这种注意义务违反即体现了过失犯所具有的规范评价性质。因此，我国在现阶段宜将合规制度作为判断注意义务违反的重要规范根据，有效的合规计划可以起到否定注意义务违反，或减轻过失犯行为不法的作用。

　　另一条可行的路径是借鉴《德国违反秩序法》第130条，赋予直接责任人员强制合规义务。我国亦有学者采取此种观点，并建议在刑法总则中增设相应条款。以刑法为威慑虽然可以倒逼企业建立合规，但纯粹积极义务的创设，总会面临刑法过度侵入自由的诘难。特别是我国刑法总则中不存在对不作为的一般规定，实践中对不作为犯的认定也较为保守，因此在立法上针对具体领域创设真正不作为犯，将现行一般罪名加以细化的做法是值得赞同的。虽然表面上犯罪圈的扩张加重了相对人的负担，但这也为组织体提供了实行合规契机，在出现犯罪的情况下可以获得减免责任的机会。

　　3.刑罚效果与刑事合规

　　虽然现行法决定了合规更为主要的相对人是企业管理者而非企业本身，但从深层考虑，只有完善单位刑罚制度，才能实现合规相对人的真正归位，发挥合规制度的应有价值。对于自然人责任，一般而言，我国目前单位犯罪中责任人员处罚相对轻缓，缓刑适用比例高。为了实现刑罚的抑制效果，一方面应当规定相关人员的刑罚，另一方面可以借鉴德国立法，完善职业禁止的适用范围，在立法上将《刑法》第37条之一的使用范围明确扩展至涉及重要公共利益的食品、药品和生产安全领域。对于单位责任，我国针对单位的罚金刑数额偏低，而德国关于法人犯罪法草案的讨论表明，罚金数额直接影响企业所感知的处罚力度，只有在对企业的罚金达到一定数额的情况下，罚金才能够摆脱象征意义。因此，应当适度提高企业犯罪的罚金刑数额，弥合刑事责任与行政责任之间的缝隙。与之相应，应当将是否实施有效的合规计划作为决定罚金刑数额的法定量刑情节。除罚金外，真正对企业具有威慑力的是行政法上的资格限制甚至吊销执照，今后也应当将其纳入刑法，使其进入司法审查的范围。

　　（二）程序法维度

　　1.程序激励与刑事合规

　　国内诉讼法学界大多从程序激励措施的角度，分析刑事合规制度的引入，主张在加大企业实体责任压力的前提下，通过对认罪认罚从宽、不起诉等制度的扩张适用，构建中国的暂缓起诉协议制度。从统计数据看，实践中对单位犯罪中的直接责任人处罚相对较轻，大多数仅受到三年以下有期徒刑、拘役或管制的处罚。对于此类情节较轻的企业犯罪，适用暂缓起诉制度，不仅能够实现一般预防目的，也可以有效提升司法效率，合理配置司法资源。此外，我们应当充分借鉴德国刑事合规中的程序性抑制机制，即在事后的刑事程序中考量公司的合规体系，与我国现行认罪认罚从宽相接洽，激励企业积极开展内部合规管理。在制度上将合规措施作为对企业从宽处罚的根据，并探索企业犯罪暂缓起诉制度。但与认罪认罚从宽制度一样，刑事合规减免企业实体责任的根据何在，对此仍需从企业注意义务与作为义务的角度加以分析。

　　2.程序预防与刑事合规

　　借鉴德国的经验，我国可考虑引入吹哨人制度，并通过法律强化对公司吹哨人的保护。相应地，在立法上需要对内部举报与外部举报进行区分。为解决吹哨人在劳动法与刑法责任上的困境，我国可参考德国为转换欧盟指令的立法建议，当相关人员以保护一般公众利益的目的，揭发违法行为、违规行为之时，应承认其行为具有合法性。在内部举报的情况下，企业需建立相关的合规办公室（作为相对独立的监督机关）以及建立特殊的企业违法犯罪揭发机制，提供越级举报途径。在企业内部要确保吹哨人受到足够的保护，保障其匿名性。在外部举报的情况下，可能存在企业以损害商业信誉、商业声誉罪等罪名起诉吹哨人的风险，检察机关应查明吹哨人所举报的情况是否为“虚假事实”，谨慎对吹哨人采取人身强制措施，否则，吹哨人制度就会沦为一纸空文。

　　与我国刑事合规的历史极为相似的是，德国刑事合规的出现也是受现实驱动的结果。虽然“刑事合规”在德国刑事法上并没有明确的法律依据，但并未妨碍其在实体和程序上对刑事合规的探索。总体而言，德国刑事合规具有三个鲜明特色：第一，教义学色彩较为浓厚，这表明德国学者并不总是急于从立法论的角度观察新出现的事物或者现象，而是首先重视现有理论资源的应用。第二，一体化的研究方法。在德国刑事合规的研究中，实体与程序的结合是极为明显的。而且，这里的实体和程序并不限于实体刑法与刑事程序法，而是扩展到其他所有相关的法律领域。在我国，由于非常复杂的原因，实体与程序的隔阂依然存在，这在一定程度上阻碍了对刑事合规的进一步深入研究。当然，近年来，在我国刑事合规的研究中，这种状况已经有较大的缓解。第三，应用领域的广泛性。如前所述，德国刑事合规理论并不是屠龙术，而是在很多领域发挥着实实在在的作用。刑事合规的立法与司法有赖于理论上的深入研究，虽然我国与德国在刑事合规的法律语境上有所不同，但德国的有益经验仍然值得借鉴。