继美国之后，英国2014年实施《犯罪与法院法》，确立了暂缓起诉协议制度；2016年法国通过《萨宾第二法案》，引入美国暂缓起诉协议制度；加拿大2018年确立该项制度，授权检察官在企业涉嫌欺诈、贿赂、洗钱等严重经济犯罪案件中，可以与涉案企业达成暂缓起诉协议；同年新加坡效仿。各法域均在积极探索该制度在企业合规领域的运用。

目前我国仅在未成年人犯罪案件中适用附条件不起诉制度，对于单位犯罪尚未引入暂缓起诉协议制度。与此同时，为了激励企业推进合规工作，我国正在进行积极探索。2020年9月10日，最高人民检察院在深圳宝安进行了为期三天的企业刑事合规与司法环境优化研讨会。此次研讨会旨在深入学习贯彻习近平总书记在企业家座谈会上的重要讲话精神，进一步发挥检察机关保护支持市场主体的职能作用，推动不起诉制度改革和企业合规管理。之后，在深圳、江苏等地的基层检察院，开展了合规不起诉的试点工作。虽然该项工作还没有在全国范围内推广，但不排除企业合规可能成为企业不被起诉的重要依据之一，这也会推动国内企业自发进行刑事合规建设。

企业刑事合规，顾名思义，就是企业及其员工行为需要合乎刑事法规范，不仅包括刑法，还包括相关的司法解释以及与刑法相衔接的各种部门法等。而企业刑事合规风险就是企业在经营中因自身或者其他关联主体的违法犯罪行为，可能受到国内外司法机关刑事追究的风险。

陈瑞华教授在《企业合规基本理论》一书中写道，可从四个维度全面认识企业合规。第一个维度是作为公司治理方式的合规，将合规管理作为企业日常管理的有机组成部分。第二个维度是作为行政监管激励机制的合规，将合规作为企业与行政监管部门达成行政和解的基础，也是企业受到宽大行政处理的依据。第三个维度是作为刑事激励机制的合规，亦即将合规作为对涉嫌犯罪企业减免处罚的依据。第四个维度是作为解除国际制裁激励机制的合规，企业可以通过建立有效的刑事合规制度来寻求解除国际制裁，重新获得进出口或招投标资格。

企业在经营过程中，会因为劳动争议或合同纠纷涉及民事诉讼，也可能会因为一些违规行为受到过行政处罚。但是对于大部分企业而言，接触刑事诉讼的机会较少，所以对刑事风险的危害性也没有明确的认识。其实，刑事风险是最为致命的法律风险，即使只是被判处罚金，也可能造成一系列的连锁反应，最终导致不可挽救的后果。

之前全世界有五大知名会计师事务所，而当时的榜首安达信现在已经销声匿迹了。安达信灭亡的导火索是因为它在安然集团破产中帮助安然违规销毁相关文件，安达信被美国休斯敦联邦地区法院判处妨害司法公正罪，处罚五十万美元罚金。这次处罚后续引发了雪崩式的后果，安达信因此被剥夺了为上市公司提供审计服务的资格，一年之内，安达信的客户流失殆尽，5万员工也缩减至两千，在审计行业经营了89年的“领头羊”宣告倒闭。

我国刑法对于单位犯罪绝大多数采取双罚制，即对单位是判处罚金，对直接负责的主管人员和直接责任人员判处刑罚，这里的刑罚包括自由刑与罚金。所以，刑事风险不仅会使企业受到损失，也会使企业内部的管理人员和直接责任人员受到刑事处罚。

从企业内部来看，刑事合规可以帮助企业有效厘清责任，甚至进行相应的责任切割。在司法实务中，很多员工在企业内因违法行为被羁押后，都会立即辩称说“是公司指使我做的，这是单位犯罪”，想借此摆脱自身的刑事责任。在这种情况下，厘清该违法行为是属于公司责任还是员工个人责任至关重要。首先需要了解该行为是否在员工的工作职责范围内，如果不属于日常工作行为，而是特殊指令行为，则需要追溯上一级指令发出人的责任；如果属于日常工作行为，则需要根据企业内部的行为规范制度或行为禁止令，以及规范培训记录等，判断企业是否尽到了合理监管义务和管理职责，从而分析企业是否能免责。

2017年某公司员工因涉嫌侵犯公民个人信息被立案调查，主要犯罪行为是该公司地区市场经理为推销产品，指使员工通过拉关系、支付好处费等手段，从工作人员手中非法获取客户信息。在庭审中，员工声称非法获取信息行为是为了完成公司分配的任务，所获取的信息也是为了提供给公司，该行为属于公司行为，应是单位犯罪。但该公司向法院出示了《公司指示》、员工行为规范、员工承诺函等文件，证明公司明文禁止员工从事侵犯公民个人信息这类违法犯罪行为，而且在全公司范围内进行公布宣导，并且，涉案员工签署了相应承诺函。最终，法院判定公司履行了企业监管义务和管理责任，涉案犯罪行为属于员工个人行为，不属于单位犯罪，未对公司进行处罚。该案也是国内首例因企业具备刑事合规制度，最终免除刑事责任的案例。

刑事合规不仅可以切割企业责任与员工责任，也可以切割母公司责任与子公司责任，以及企业责任与第三方责任。一个企业发展规模越大，面临的刑事风险也越多。当一个企业在全国各地都设立子公司或分支机构时，会面临着成千上万的员工以及复杂的客户、供应商等第三方法律关系，如果没有刑事合规，那么任何一个员工、合作对象、分支机构涉及刑事风险，都可能会追究企业的刑事责任。

企业在经营过程中会遇到的各类刑事风险可分为两个方面。一方面是所有企业都可能会遇到的共性化刑事风险，另一个方面是每一个企业所处的特定行业，因行业的特殊性质可能会遇到的个性化刑事风险。

企业所面临的共性化刑事风险可以从业务板块、管理板块和防御板块三方面入手分析。

（1）业务板块

企业经营活动中，合法业务创新与违法犯罪活动的清晰划界

从企业内部来看，杜绝企业层面上的犯罪，首先企业的经营业务应合法合规，不能触及监管部门的高压线。比如，随着互联网的发展，一些企业开发了线上棋牌室业务模式，研发了各式各样的网络棋牌游戏APP，但因为该类APP的业务性质存在着极大的涉赌风险，2018年至今不少企业因棋牌产品涉赌被卷入刑事诉讼中，国内头部互联网企业也下架了旗下最赚钱的几款游戏。但是，并不是开展此类业务就一定属于违法犯罪行为，制定刑事合规制度以及进行刑事风险分析可以使得该类业务在法律允许的范围内合法开展。 

针对极易发生问题的业务领域，具体分析业务合法存在的空间和实务中处罚的违法业务的共性，结合刑事法律，分析合法与违法之间的界限。导致企业涉嫌违法甚至犯罪的因素有很多，比如棋牌游戏的玩法、APP的功能、员工个人因素或公司层面规章制度存在缺漏等。刑事合规服务可以帮助企业定期进行刑事风险审计，辨识并剔除可能导致违法犯罪的因素，帮助企业守住合规底线。

企业对外联系中，正常商务往来与商业贿赂行为的清晰划界

商业贿赂风险是所有企业在开展业务过程中都可能会遇到的刑事风险。不管公司内部高管和员工利用手中职务便利收受他人贿赂，还是企业或者员工为了一定目的向其他主体行贿，都会带来巨大的危害后果。根据受贿和行贿主体的不同，可能会触犯单位行贿、对单位行贿、单位受贿、非国家工作人员受贿、向非国家工作人员行贿以及受贿、行贿等各类罪名。这区分企业之间正常的礼尚往来和商业贿赂违法行为，以及防范商业贿赂风险则是企业当务之急。

（2）管理板块：员工个人责任与企业责任的清晰划界

从员工侵犯企业内部利益角度来看，最容易发生的是侵犯财产和侵犯知识产权风险。侵犯财产风险，即是员工利用职务便利、工作便利条件，非法侵占企业的钱款。而企业商业秘密不仅包括技术信息、产品方案、操作技巧，也包括客户名单、管理诀窍、工作流程等。商业秘密一旦被泄露，将直接削弱企业的核心竞争力，从而给企业带来不可估量的损失。实务中，企业高管、核心人员另立门户或跳槽到竞品公司，用其所掌握的商业秘密从事同类业务，损害原任职企业的利益，是最常见的侵犯商业秘密情形。针对上述情况，企业可通过刑事合规管理，完善公司员工行为规范、设置任职敏感权限，以及与员工签署承诺书、保密协议、竞业禁止协议等，防范侵害商业秘密风险。

（3）防御板块：企业受到其他主体违法犯罪行为侵害

企业除了自身和员工可能触犯刑事风险外，还可能作为被害方，遭受到其他主体违法行为的侵害。例如，与其他主体签订合同后受骗、受骗为其他主体贷款充当担保方等等。许多企业管理者因为对法律规定不熟悉，不仅不能明确区分民事合同欺诈行为与刑事合同诈骗行为，还往往会因为举报材料未达到刑法规定的立案标准或者选择举报的罪名不恰当，导致无法及时挽回损失。

根据事实情况，分析交易对方的行为是否属于犯罪行为，如果构成犯罪，目前证据是否达到了立案标准，还需要补充哪些证据以及报案材料的撰写准备，报案时如何与公安机关沟通等等，也都属于刑事合规团队的专项服务范畴。

根据不同行业的业务性质、工作流程，每个行业也会存在不同的个性化刑事风险。通过对已决案例进行检索可以发现，房地产行业最常涉及的刑事罪名有非法经营、串通投标和非法转让、倒卖土地使用权罪；矿产行业涉及最多的是非法采矿和非法占用耕地、林地等刑事风险；金融行业在非法吸收公众存款、集资诈骗、洗钱及贷款类犯罪等方面存在极大风险隐患；而互联网行业侵犯公民个人信息、侵犯知识产权等事件也屡屡见诸报端。及时了解各类刑事犯罪的立法和司法趋势，防范刑事风险，是所有企业的当务之急。