陈宇：构建合规管理有效性评价标准的域外经验和中国实践（四）

六、合规管理有效性评价标准的案例分析

本文拟以二个FCPA执法案件为切入点，来进一步探讨合规计划有效性评价标准的具体运用。

（一）无效的反腐败合规计划-以西门子案为例的分析

1、案件事实

西门子案是反腐败和合规领域的重要里程碑性案件。从1990年代中期开始，西门子公司进行了系统性伪造其公司账簿和记录，并故意不实施和规避现有的内部控制制度。从2001年3月12日在纽约证券交易所上市到2007年，为了获得联合国石油换食品计划项目、委内瑞拉城市轨道交通项目等，西门子股份公司通过各种途径总共支付贿赂款大约13.6亿美元。美国司法部代理总检察长马修·弗里德里希（Matthew Friedrich）说，“今天的文件清楚地表明，对于全球范围内的许多业务，贿赂是西门子的标准操作程序。”  [1]最终，美国司法部，美国证券交易委员会和慕尼黑检察官办公室提起的刑事和民事诉讼，西门子公司支付总计超过16亿美元的罚款，罚金和没收利润，这创下了当年国际反腐败案件的最大处罚金额记录。自2011年以来，在与西门子案相关的25名前高管和雇员中，有16个人被判处违反信托罪而受到制裁。

2、对合规管理有效性的法律分析

在起诉中，美国执法机构强调了西门子松懈的合规职能和内部控制导致了公司在全球开展业务中出现广泛的贿赂行为。[2]结合相关法律和指南的规定，具体分析如下，

（1）西门子的合规计划是否有效。

根据美国《反海外腐败法》的规定，“合规计划的存在本身并不足以证明司法部不向公司指控其高管，董事，雇员或代理商所犯的不当行为。” [3]尽管有效的合规计划不是法定的减缓情节，但执法机构会在是否发起调查、谈判认罪协议和其它协议[4]、是否进行金钱处罚[5]、决定非诉讼解决方案中的合规义务[6]方面起到很大作用。

根据2020年7月发布的《FCPA指引》，[7]美国执法机构在考察企业的合规计划有效性的标准包括如下三个方面，

一是形式评估-公司的合规计划设计得当吗？

这一判断标准包括了A.风险评估、B.政策和程序、C.培训与交流、D.保密报告的结构和调查过程、E.第三方管理、F.并购。[8]

在本案中，西门子公司在1999年之前，公司在其项目成本计算表中增加了通用税的科目，这被公司许多雇员部分理解为“贿赂”的另一个称呼，变相将贿赂合理地植入公司的管理程序，体现了纵容贿赂的企业文化。而且，公司也没有对各级员工进行反腐败和防止贿赂外国政府官员的适当培训。总之，经调查，公司完全没有制定将合规文化纳入其日常运营的政策和程序。同时，调查发现，公司在阿根廷和委内瑞拉通过中介机构向所在国政府官员行贿，这表明与公司有业务关系的第三方实际上充当了公司行贿的工具，违反了E项对第三方的管理。

所以，司法部认为，西门子公司的合规计划并不满足设计合理性的标准。

二是执行评估-是否认真，真诚地实施该计划？

这项标准的具体在于“公司是否提供了足够的人员来审核，记录，分析和利用公司合规工作的结果”、“公司的员工是否充分了解合规计划，并确信公司对此有承诺”[9]包括A项高层管理人员的承诺、B项自治与资源、C项激励和纪律措施。

第一、不满足A项高层管理人员的承诺。

西门子高级管理人员没有对公司贿赂行为表明合规的立场，纵容和任由贿赂行为在公司蔓延。“.... 检察官应检查高层管理人员在多大程度上清楚地阐明了公司的道德标准，以清晰明确的方式传达和传播了这些道德标准，并以身作则表现出了严格的遵守。 检察官还应研究中层管理人员又如何加强了这些标准并鼓励员工遵守这些标准。”西门子公司的高管没有履行反腐败的承诺。

第二、不满足B项自治与资源。

直到2001年，公司才设立了公司合规官职位，并将其合规计划扩展到反腐败事务。但是，公司合规官却是个兼职的职位，直到2004年，公司只有两名律师从事相关事务。B项规定“有效的实施还要求负责合规计划的日常监督的人员以足够的权限和地位行事。作为门槛，检察官应评估合规计划的结构。此外，检察官应处理合规职能内人员和资源的充足性，特别是负责合规的人员是否具有：（1）组织内足够的资历；（2）足够的资源，即人员，以有效地进行必要的审核，记录和分析；（3）管理层赋予足够的自治权，例如直接接触董事会或董事会的审核委员会。但是，每个因素的充分性将取决于特定公司的规模，结构和风险状况。“大型组织通常应投入更多的正式运营和更多的资源......比一个小组织要大。”相比之下，“一个小型组织可能[依赖]较少的形式和较少的资源。”。无论如何，要使合规计划真正有效，就必须在公司内部授权合规人员。”[10]

第三、不满足C项激励和纪律措施。

即便在全球遇到了各种贿赂官司后，西门子公司既没有针对相关人员进行调查也没有采取纪律行动。“有效执行合规计划的另一个标志是建立对合规行为的激励措施和不合规行为的处罚措施。检察官应评估公司是否有明确的纪律处分程序，在整个组织内一致执行这些纪律程序，并确保该程序与违规行为相称。检察官还应评估公司将有关信息传达给员工的程度，即不容忍不道德行为，并且将迅速造成后果，无论从事该行为的员工的职位或职务如何。”[11]

三是效果评估-公司的合规计划有效吗？

在实践中有效运行的合规计划的标志是公司能够在多大程度上对不当行为的原因进行彻底分析，并通过采取及时适当措施予以补救和解决。因此，针对上述西门子在全球市场的贿赂历史和公司合规治理情况，美国司法部认定公司的合规计划无效，并没有发挥实际上阻止贿赂的作用。

（2）后续的改进措施

在接受美国执法机构处罚后，西门子痛定思痛采取大量的措施，重构了公司的合规体系。在进行了一次全面的调查之后，包括采访了数千名员工并检查了数百万份文件，西门子在建立合规计划和诚信文化方面采取了以下措施，

更换高层管理人员。公司聘请了具有强大公司治理和合规背景的经验丰富的人员来替换其高级管理人员，包括首席执行官，总顾问，首席审计官和首席合规官。此外，公司在监事会内部建立了合规委员会，并由总法律顾问，劳工总监，首席合规官，人力资源主管，以及发生违规行为的其他业务部门负责人组成。

增加对合规职能和报告线的支持。西门子授予合规职能的报告可以直接给最高管理层，将全球合规员工人数增加到600人。该公司还成立了由前刑警领导的合规调查部门和由前专业服务公司调查负责人领导的法律审计部门。

更加注重培训和沟通。公司采用各种方法建立了培训计划，包括对高级管理人员，合规官，具有签字权的员工以及负责与政府官员打交道的个人进行专门培训。培训计划中包括强有力的反合规计划和反腐败手册等。该公司还创建了一个反腐败工具包，详细介绍了用于实施合规计划的控制措施。

监察员计划和合规性服务台。公司建立了一个保密的匿名监察员计划，以处理个人（包括可能不想直接与公司联系的员工和第三方）的投诉。该公司聘请了一家著名律师事务所的律师担任外部监察员。此外，该公司还建立了一个匿名的匿名服务台，可以通过电子邮件，电话和其他方式以七天24小时无间断和150种语言以解决问题和举报不当行为。

增强的内部控制。公司还制定了有关内部控制的新政策，包括：

加强对公司银行账户的监控；明确禁止以员工或第三方名义持有的公司资金；加强支付和其他交易签名授权的规则；加强对现金透支的限制；使用自动化和数据保证流程作为进一步控制。

加强尽职调查和监控。鉴于公司与顾问，代理商和其他业务合作伙伴之间的问题，公司实施了更严格的审查和尽职调查流程，包括对支付给此类人员的款项实行更严格的控制。该公司还为其供应商制定了新的行为准则强调合规并禁止贿赂和腐败。[12]

综上所述，透过美国司法部和证交会对西门子跨国贿赂案件的执法过程，有助于对合规计划在反腐败治理中的定位和价值做更为深入的考察和理解。一方面，如果私人企业没有制定和实施有效的合规计划预防反腐败犯罪，通常将受到各国执法机构的严厉处罚。而另一方面，如果该企业在处罚后能够积极弥补和完善有效的合规计划，仍可以得到执法机构的减轻处理。简言之，在国际反腐败治理中，保证合规管理体系的有效性是检验能否实现预防犯罪刑事策略的起点和终点。

（二）有效的反腐败合规计划-以摩根士丹利案为例的分析

这是一个特殊的案例，因为它代表有效的合规计划可以免除公司所有责任的原则。

1、案件事实

根据法院文件显示，摩根士丹利（Morgan Stanley）的中国区董事总经理加思·彼得森（Garth Peterson）与他人合谋通过虚假称述方式规避了摩根士丹利的内部控制系统，将价值数百万美元的房产所有权权益转让给自己和与一名摩根士丹利有业务关系并与他有个人关系的中国公职人员。由于售价要比该房产的实际市场价值低很多，几个个同谋者立即赚得超过250万美元的账面利润。自彼得森及其同谋取得该房地产权益以来，该房地产权益持续升值，他们定期收取股份分红。在2012年，美国司法部调查并指控其违反FCPA时，彼得森认罪。[13]

2、法律分析

美国司法部同意“没有合规计划能够阻止公司员工的所有犯罪活动”，[14]但必须对公司的合规计划的有效性进行评估来作为确定公司的责任的依据之一。评估的关键因素是该程序是否经过适当设计以最大程度地防止和发现员工的不当行为，以及公司管理层是否正在执行该程序，或者默许鼓励或迫使员工从事不端行为以实现业务目标。尽管司法部对公司合规计划没有明确的要求，但明确应考虑的因素来评估合规计划的全面性。

（1）不当行为。刑事不当行为的程度和普遍性；所涉及的公司雇员的数量和级别；不当行为的严重性，持续时间和频率。

（2）补救措施。以及公司采取的任何补救措施，包括，例如，合规计划发现的针对过去违规者的纪律处分，以及根据吸取的经验教训对公司合规计划进行的修订。[15]检察官还应考虑披露任何不当行为是否及时地提交给政府。

（3）公司治理机制。在评估合规计划时，检察官可以考虑公司是否建立了可以有效检测和防止不当行为的公司治理机制。例如，公司董事是否对提议的公司行动进行独立审查，而不是毫无疑问地批准高管人员的建议？内部审计职能的执行水平足以确保其独立性和准确性；董事们决定在组织中建立了合理的信息和报告系统，旨在为管理层和董事们提供及时，准确的信息，以使他们能够就组织是否遵守法律做出知情的决定。[16]

（4）合规资源的投入。检察官应确定公司是否提供了足够的人员来审核，记录，分析和利用公司合规工作的结果。检察官还应确定公司的员工是否充分了解合规计划，并确信公司对该计划的承诺。

因此，执法机构应确定公司的合规计划仅仅是“纸面程序”还是有效地设计，实施，审查和修订（视情况而定）。当与其他联邦执法政策保持一致时，该程序可能会导致决定仅对公司的雇员和代理商进行处罚或减轻对公司的指控或制裁。[17]

在本案中，美国司法部在FCPA调查后认定摩根士丹利为了执行合规计划采取了如下措施：[18]

摩根士丹利投入了大量合规人员和相关资源。在2002年至2008年之间，摩根士丹利雇用了500名专门的合规人员，包括负责评估特定地区风险的区域合规人员。这些合规人员与董事会保持直接联系，并且首席法律顾问定期向首席执行官和高级管理委员会的成员报告。合规部门还负责起草和维护反腐败的政策和程序，并与全公司的业务部门进行协调，以提供与反腐败有关的咨询服务；对代理人进行持续评估；预结算涉及非美国政府官员的费用，并与外部律师合作对潜在的商业伙伴进行尽职调查。合规官还负责监视客户和员工的交易，并在高风险地区随机审计选定的人员，同时定期审计和测试业务部门。

制定了严格的反腐败政策。摩根士丹利的付款批准流程包括多层人员授权和审查，以确保交易符合管理层的授权并防止不当付款，其中包括赠送给外国政府官员的有价物品。公司的反腐败政策还依据FCPA解决了与礼品赠送，商务娱乐，旅行，住宿，餐饮，慈善捐款，和就业有关的各类风险。要求员工每年证明其行为遵守了《行为准则》（包含有关FCPA合规性的规定）。

配备了用于检测和防止不当付款的控制系统。这些控制措施要求多名员工参与批准摩根士丹利（Morgan Stanley）与外部公司或个人之间签订的各种合同中超出特定金额的任何付款。除非完成内部程序，否则无法支付高于这些金额的款项：熟悉项目活动的资产经理或收购团队成员起草了支付合同；初级资产经理或初级收购团队经理启动了付款流程并寻求批准，而副总裁或以上职位的高级官员资产经理或资产收购团队经理已经批准了付款。

注重培训。公司经常通过各种方法对员工进行FCPA培训，包括现场和网络培训演示。在2002年至2007年之间，摩根士丹利为亚洲员工进行了至少54次培训，包括彼得森接受了七次培训，包括在某些时候由全球诉讼负责人和反腐败小组全球负责人主持的培训。彼得森还收到了35项FCPA提醒，包括书面培训材料，通函，以及有关公司行为准则，礼物赠送和娱乐政策，全球反贿赂政策，顾问聘用指南，以及诸如奥运会之类的高风险赛事的政策。彼得森还多次证明他遵守《反海外腐败法》，并已记录在他的永久雇用记录中。除其他事项外，伊夫尔根·士丹利（Ivlorgan Stanley）还就中国国有实体的雇员可以成为FCPA之下的政府官员问题专门培训了彼得森。

合规热线。摩根士丹利提供每周7天，每天24小时的免费合规热线，其工作人员以每种主要语言进行现场沟通。

持续评估和改进。摩根士丹利不断评估和改进其合规计划和内部控制。2007年，公司开展了基于风险的审计，以发现非常规行为，定期的内部审计，案头审查以及合规人员与公司其他工作人员之间的会议，以讨论和发现违反FCPA的风险。合规人员还随时了解法规发展和不断变化带来的风险。最后，该公司聘请独立法律顾问每年进行一次年度正式审查。

基于上述调查结果，在《反海外腐败法》执行历史上，美国司法部首次拒绝对摩根士丹利公司提起任何诉讼，[19]并特别强调了摩根士丹利高质量的反腐败合规计划。总之，此案例为实施合规性计划的有效性提供了有力的论据。如前所述，在防止该公司对其一名雇员的行为承担进一步责任方面，该案是同类案件中的第一例。在同时期所有其他《反海外腐败法》案例中，包括涉及公司已经执行不同程度的合规计划的案例，公司通常只能得到减轻处罚的结果。但是，这个案例表明，被认定有效的合规计划可以阻止对公司及其股东追究刑事和民事责任。

七、中国企业进行合规管理有效性评价的建议

中国企业应充分考量自身风险防范的针对性等因素，从合规管理切实融入日常运营等方面入手，参考但不迷信美国等国家的评估标准框架及ISO37031 国际标准，结合我国企业的管理水平和运营的实际情况，探索一套有针对性和可操作性的合规管理有效性评价标准，助力企业合规管理水平的提升。为此，本文认为，有必要在以下几个重要方面提供一些参考建议。

1.重视风险评估在合规管理有效性评价工作的基础性价值。

各国法律法规均强调企业开展风险评估的重要性，可以说,风险评估是设计有效合规管理体系的基石。目前，许多企业的风险评估工作存在形式化和模板化，无法发挥其发现风险的效用，导致风险评估工作流于形式，合规管理制度的设计成为无本之木。所以，一方面，企业确保合规计划有效性的第一步,就是根据公司的商业模式、其所提供的产品或服务、经营地点、经营范围、竞争能力、第三方代理商、客户和合作伙伴等,进行识别和评估可能的违法犯罪的风险, 然后再制定有针对性的合规管理方案。因此,由于每个公司的特性不同,合规管理方案必然会有所不同。就如同企业管理一样,没有千篇一律的企业管理模式, 最有效的风险评估是企业根据自身情况去寻找答案。其二，企业需要根据内外部环境的变化持续更新风险评估内容, 根据企业的业务发展和行业监管要求等,阶段性、实时性地更新企业合规管理制度,以最大限度地预判企业的各类风险，制定有针对性的防控方案，为有效性评价工作奠定坚实的基础。其三，采用先进的风险评估的技术手段，提高风险评估的效率和水平。简言之，没有高效和针对性的风险评估，就难以保证合规管理制度设计的适宜性，更遑论合规管理的有效性。

2、合理设计合规管理有效性的评价指标体系。

合规构成要素是评价合规管理有效性的制度基础和重要工具，对合规管理构成要素及其项下合规义务进行分析综合而成的标准，构成合规有效性评价标准的主要依据。 所以，企业开展评价工作有必要采取科学的方法对合规管理构成要素进行进一步的分解，设计形成多层级和多维度的评价指标体系。

综合国内外合规管理有效性评价方法理论成果和实践经验，大部分合规管理有效性评价的指标体系多以定性指标为主，只有在特定的事项上才考虑定量标准。这是由于定性指标在解释事项发生的原因上可以给予较为直接和客观的答案。但在硬币的另一面，这会导致合规管理有效性评价标准的主观性和概括性较强，客观性和具体细节不足。而定量指标有助于掌握考察事项发生的多少频次，特别是通过分值幅度和多重检验等方法可以判断合规管理的个体差异性，也可以纠正和消除评价的主观性。因此，在设计评价指标体系时企业应考虑到不同类型指标的特性，合理地平衡定性指标和定量指标、单一指标和组合指标等的关系，来搭建全方位多维度多层面的指标组合，才能更全面地实现评价的目标。

3、加强合规管理信息化系统的建设。

目前，中国企业合规管理的信息化水平不高，中国企业通用的合规风险分析和风险评级的技术相对简单，很少在合规风险识别和分析采用建模等技术方法，缺少对合规风险进行动态监测和控制的技术手段，合规管理效能不高。

而从世界范围来看，合规管理工作的电子化是合规管理的未来发展方向，也是实现合规管理有效性评价便捷和高效的重要工具。《中央企业合规管理办法》设专章强调信息化建设的重要性，随着企业内部互联网、信息数据库等的广泛采用，中国企业应为合规管理部门的合规管理评估数据系统的建设创造更有利的条件，投入资源尽可能将多种信息化技术应用于合规风险管理体系的建设、实施和评估之中，高效地规避合规风险，为合规风险管理提供高效率的技术支撑。

结语

合规管理制度作为舶来品，起源于美国并逐步扩展到世界范围。从美国公司治理制度层面上看，合规制度是以上级责任、董事义务和刑事激励作为其理论和制度基础的。从实践效果上看，即便在美国，关于合规制度有效性的争论也一直不断。这些都为其它国家学习和借鉴合规管理制度的同时，也增添了许多制度和实践方面的难度。在中国，由于大陆法系的制度局限性和中国公司治理水平等原因，在国家立法层面上，合规制度中的相关法律基础问题并没有得到解决。因此，这也注定了在企业操作层面上，中国企业对合规管理制度的引进与消化必定要有很长的探索之路要走。特别是合规管理有效性作为合规管理中的核心事项，探索建立适合中国实际的企业合规有效性评估标准，不仅对企业本身有重要的现实意义，也可以为未来立法层面上增设合规内容贮备丰富的实践素材。

参考文献：

1.王君祥编译：《英国反贿赂法》，中国方正出版社2014年版。

2.李本灿：《企业犯罪预防中国家规制向国家与企业共治转型之提倡》，载《政治与法律》2016年第2期。

3.邓峰：《公司合规的源流及中国的制度局限》,载《比较法研究》2020年第1期。

4.刘霜：《意大利企业合规制度的全面解读及其启示》, 载《法制与社会发展 ( 双月刊)》2022年第1期 (总第163期)。

5.陈瑞华：《企业合规整改中的专项合规计划》，载《政法论坛》2023年第44卷第1期。

6.梁涛：《美国企业合规制度的构建:国家监管、强制性自我监管与刑事激励》，

载《政治与法律》2022年第7期。 

7.国际标准化组织（International Organization for Standardization, ISO）：ISO 37301：2021《合规管理体系 要求及使用指南》。

8.国家市场监督管理总局：《合规管理体系 要求及使用指南》（GB/T35770-2022）。

9.中国企业评价协会：《企业合规管理体系有效性评价指引》（T/CEEAS 003-2022）。

10.中国中小企业协会：《中小企业合规管理体系有效性评价》（T/CASMES 19—2022 2）。

注释：

[1]经合组织：《用非审判解决方案解决外国贿赂案件》（2019），第209-211页。   

[2]United States v. Siemens Aktiengesellschaft, CourtDocket Number: 08-CR-367-RJL;  Securities and Exchange Commission v. Siemens Aktiengesellschaft, 1:08-CV-02167 (D.C. 2008). 

[3]US DOJ, U.S. Attorneys Manual corp.-charging-guidelines，第9-28.800条企业合规计划 A一般原则。

[4]US DOJ, the Justice Manual JM 9-28.300，“在违法时以及作出指控时，公司合规计划的充分性和有效性”

[5]the United States Sentencing Guidelines U.S.S.G. §§ 8B2.1, 8C2.5(f), and 8C2.8(11).“为了计算适当的刑事罚款，应考虑公司在不当行为发生时是否已经建立了有效的合规计划。”

[6]US DOJ, the memorandum entitled “Selection of Monitors in Criminal Division Matters” issued by Assistant Attorney General Brian Benczkowski (the “Benczkowski Memo”)“公司是否对其公司合规计划和内部控制系统进行了重大投资和改进”和“是否已对合规计划和内部控制的补救性改进进行了测试，以表明它们将防止或检测到类似的不当行为再度发生。”来确定安排监视官是否合适。

[7]美国证监会：《<海外反腐败法>指南》(2020年版)。

[8]美国司法部刑事司：《公司合规计划评估》（2019年版），第2-8页。

[9]U.S. Attorneys Manual corp-charging-guidelines §9-28.800.

[10]U.S.S.G. § 8B2.1 note 2(c).

[11]U.S.S.G.§8B2.1(b)(5)(c)规定，“组织的合规计划应通过（A）根据合规与道德计划执行的适当激励措施在整个组织内得到统一促进和执行；和（B）组织对从事犯罪行为和未能采取合理步骤预防或侦查犯罪行为采取适当的纪律措施。”

[12]Biegelman, Martin T., and Daniel R. Biegelman. Foreign Corrupt Practices Act compliance guidebook: protecting your organization from bribery and corruption. John Wiley & Sons, 2010.167-175.

[13]美国司法部：美国司法部关于彼得森案的发布会，2012年4月25日，s.justice.gov/opa/pr/former-morgan-stanley-managing-director-pleads-guilty-role-evading-internal-controls-required，最后访问时间：2020年3月26日。

[14]U.S. Attorneys Manual corp-charging-guidelines §9-28.800.

[15]USSG § 8B2.1.

[16]In re Caremark Int 7 Inc. Derivative Litig., 698 A.2d 959, p.968-70 (Del. Ch. 1996).

[17]美国司法部：《美国律师手册》公司责任指南第9-28.800条，企业合规计划，B评论。

[18]United States v. Garth Peterson, Court Docket Number: 12-CR-224.

[19]在这个案子之前和之后，摩根斯丹利公司都被美国司法部和证监会因违反FCPA多次被处罚。