作者：江溯，北京大學法學院研究員。

原文發表于《財經法學》2024年第4期，第92-108頁。本文由紀佳吟校驗，為方便電子閱讀，已略去注釋與參考文獻。

【摘 要】過去十多年，由于德國一些著名公司的商業腐敗丑聞事件，刑事合規成為理論和實踐上的重要課題。德國通行的觀點認為刑事合規是為了避免企業職員基于實施與企業相關的行為而負擔刑事責任所必須采取的全部必要且被允許的措施。在實體法上，德國尚不承認法人犯罪，因此德國刑事合規主要關注的是公司內部人員的責任與公司外部人員的責任。在理論和實踐中，對于這兩類人員的歸責基礎均有諸多探討。在程序方面，德國刑事合規主要探討公司內部規定、內部調查、吹哨人制度與合規之間的關系。德國刑事合規并不止于宏觀層面的教義學探討，而是在很多具體領域中有廣泛的應用，尤其是在環境刑法、刑事產品責任、腐敗犯罪、網絡刑法和數據保護刑法等領域。德國刑事合規的三個鮮明特色是教義學色彩濃厚、一體化的研究方法和應用領域的廣泛性。雖然德國與我國的法律語境有所不同，但德國刑事合規的有益經驗值得我國立法、 司法和理論重視。

【關鍵詞】刑事合規 合規計劃 實體 程序

目次

一、問題的提出

二、刑事合規的實體問題

（一）公司內部人員的刑事責任

（二）公司外部人員的刑事責任

三、刑事合規的程序問題

（一）公司內部規定

（二）內部調查

（三）吹哨人制度

四、刑事合規的具體領域

（一）作為基礎規范的《德國違反秩序法》

（二）環境刑法

（三）刑事產品責任

（四）公職腐敗與商業腐敗

（五）網絡刑法

（六）數據保護刑法

五、如何借鑒德國刑事合規制度

（一）實體法維度

（二）程序法維度

六、結論

一

問題的提出

刑事合規是一項興起于美國的制度，其基本含義為遵循刑法的相關規則。企業刑事合規的目的在于從結果上避免刑事責任，并且追求經濟上的最終收益最大化。一般認為，合規計劃具有預防性目的、抑制性目的和經濟性目的。為了規避刑事風險，實現有效犯罪預防，許多國家通過實踐的不斷探索，形成了各具特色的合規模式。近年來，以“中興事件”為契機，我國刑事法學界開始對刑事合規展開深入研究。從目前的研究現狀來看，我國關于刑事合規的研究偏向于對美國相關理論和實踐的借鑒，對德國刑事合規的研究則略顯不足。

在德國，合規觀念起源于證券交易市場。20世紀70年代，證券交易公司為了自我管理而自愿制定相關內部準則，被視為合規計劃的初次嘗試。合規計劃在德國的真正發展要追溯到20世紀90年代初期。刑事合規在德國之所以備受關注，與近年來一些德國著名公司的商業腐敗丑聞有關。其中，西門子事件和富樂斯多事件尤為值得關注。基于對上述事件的反思，德國刑事法學界對刑事合規展開了深入細致的研究。在德國，刑事合規存在各種各樣的定義，其中最具代表性的是托馬斯·羅奇教授（Thomas Rotsch）的定義：“刑事合規是指為了避免企業職員基于實施與企業相關的行為而負擔刑事責任所必須采取的全部必要且被允許的措施。”本文首先探討德國刑事合規中的實體法問題與程序法問題，然后展示德國刑事合規的具體領域，最后分析德國刑事合規對我國的借鑒價值。

二

刑事合規的實體問題

刑事合規與實體刑法具有密切的關系。實體刑法主要涉及刑事責任的問題。需要指出的是，德國傳統刑法體系建立在個人責任的觀念之上，因此不承認公司的刑事責任。關于個人刑事責任以及一般歸責問題，首先要區分的是公司內部人員的責任與公司外部人員的責任，而公司內部人員的刑事可罰性，又可以進一步區分為公司管理人員、特別的合規負責人（合規專員）和其他公司職員的可罰性。隨著公司對外部合規顧問的需求進一步增加，公司外部人員的刑事可罰性也成為一個關注的問題。

（一）公司內部人員的刑事責任

1.公司管理人員的刑事責任

關于公司（或組織）管理人員的刑事責任，可以從兩個方面進行探討：一方面，公司管理人員為職員的行為承擔責任，這是通過主動作為實現的；另一方面，公司管理人員的不作為可能導致的刑事責任，以及相關的刑事責任所需要滿足的條件。

（1）主動的作為

在刑法上，不僅需要解決直接實施犯罪行為之人的刑事責任問題（即根據《德國刑法典》第25條第1款第1項作為直接正犯），而且需要探究作為犯罪行為之“實際”負責人的“幕后者”（Hintermann）的責任問題。在 “皮革噴霧案”和“柏林墻射殺案”中，德國聯邦最高法院采取了兩種完全不同的歸責模式。

在“皮革噴霧案”中，德國聯邦最高法院指出，至少在公司遭遇危機情況下，即“會影響到公司整體”之時，需要在刑法中適用公司法中的公司管理者的“一般責任與全部負責”的基本原則。這一歸責模式的特點在于，在商業公司的語境下，將公司法上的假定行為人的義務地位（Pflichtstel lung）直接適用于刑法。與傳統觀念不同，行為人無需對事件過程具有實際的掌控，重要的是考察行為人在刑法之外（例如在民法上）是否具有法律上的職責（Zust?ndigkeit）。根據刑法中傳統的信賴原則，通常而言，公司董事的責任僅限于本人所負責的領域，因為原則上每位公司董事都可以相信其他人在其所負責的領域合義務地實施行為。此案并非通常情況，而是涉及“會影響到公司整體”因而需要公司各部分通力合作的危機和例外狀況（Krisen und Ausnahmesituation）。因此，德國聯邦最高法院認為，在本案中不適用信賴原則，而是適用每一個公司董事單獨的一般刑事責任原則 （Grundsatz genereller strafrechtlicher Verantwortlichkeit）。德國聯邦最高法院明確指出，公司管理人員相關的責任分工以及涉及公司上下級關系的內部組織結構亦不阻礙公司董事的一般責任（Generalverantwortung）的成立。在本案中，德國聯邦最高法院采取了一種頗具實用性的路徑論證公司董事的刑事責任，其主要依據的是《德國刑法典》第25條第2款。德國聯邦最高法院認為，在通過簡單多數達成的集體表決中，參與表決的各公司董事的刑事責任并不應取決于其個人投票行為與結果之間 （難以證明的）因果性，而應僅取決于表決和結果之間的因果性。換言之，此處并不考察單個投票行為的因果關聯，只要表決行為整體與結果之間滿足因果性即可。需滿足的前提僅在于，參與投票的各公司董事構成《德國刑法典》第25條第2款的共同正犯。批評者認為，聯邦最高法院的判決在此存在循環論證的問題，因為其通過預設公司董事成立共同正犯從而肯定因果關系，而共同正犯的成立前提正是每個行為人與結果之間存在因果性。此外，該判決還帶來了“過失共同正犯”的問題，學界認為法院判決在此實際上認可了在德國刑法中“過失共同正犯”存在的空間。羅奇教授認為，無論人們是否認可這一觀點，《德國刑法典》第25條第2款除了能夠解決單獨因果性難以證成的難題，還能（通過聯邦最高法院的判決）在商業公司人員的過失犯罪案例中發揮歸責工具 （Zurechnungsinstrument）的作用。

與之前“皮革噴霧案”中將刑事責任建立于民事責任之上的歸責模式不同，德國聯邦最高法院在“柏林墻射殺案”中將“幕后者”的責任建立在一個更有說服力的、更符合實踐的基礎之上，即“利用組織支配的間接正犯”理論。“利用組織支配的間接正犯”理論是由羅克辛（Roxin）在1963年提出的，其理論基礎為命令發出者的命令權、權力機構的法律背離性和直接實施行為者的可替代性。與羅克辛嚴格將此理論的適用限制于國家權力機器不同，德國聯邦最高法院在一系列判決中突破了這一限制，將其作為利用規則化流程的規范模式來論證商業公司中相關自然人的刑事正犯責任。

與“皮革噴霧案”中的一般責任和普遍負責原則相比，“柏林墻射殺案”中采用的“利用組織支配的間接正犯”這種歸責模式所涵蓋的行為人范圍遠遠大于“皮革噴霧案”中一般責任和普遍負責原則所確定的行為人范圍。對于刑事合規而言，尤其需要注意的是，公司的中級和低級管理層同樣可能承擔正犯責任。盡管德國聯邦最高法院的“公司的組織支配模型”（即將組織控制理論適用于商業公司）在學界受到廣泛批評（包括羅克辛），但可以確定的是，“柏林墻射殺案”的判決在可預見的時間內并不會被推翻。在實踐中，該論證公司管理者刑事責任的模式實際上早已取代了之前“皮革噴霧案”中的論證模式，從此成為以預防功能為導向的刑事合規制度的基石。

（2）不作為

公司管理人員還可能因其不作為而具備刑事可罰性，這種不作為可能出現在公司管理層沒有履行防止具有刑法意義的、與公司相關的職員行為的義務之時。這里涉及的主要是不真正不作為犯。在經濟刑法和公司刑法中，認定作為不真正不作為犯成立前提的保證人義務，常常會遇到各種困難。針對這些困難，從體系化的視角出發，可以進行以下區分：一方面，公司管理人員可能涉及基于對他人的責任而成立的保證人義務，例如公司負責人的責任（Gesch?ftsherrenhaftung），在理論上，對此基本沒有異議；另一方面，公司管理人員還可能涉及由物引發的（商業）危險中推導出的保證人義務，例如刑事產品責任。對此，理論上則仍然存在一定的爭議。

在“公司負責人的責任”這一關鍵詞之下討論的問題是：公司負責人或公司管理人員對于其雇員通過作為或不作為實施的、與公司相關的犯罪行為所負擔的刑事責任。有學者認為，基于個人自治原則，應當否定上級主管的保證人義務。也有觀點認為，僅當所討論的危險直接源于生產經營的特性時，才存在保證人義務。當然，德國學界的通說一直都承認公司負責人的保證人義務。與學界的通說觀點一致，德國聯邦最高法院肯定了公司負責人或相應的公司高管對于預防其下屬實施犯罪行為負有基本的保證人義務。德國聯邦最高法院第五刑事審判庭認為，這里的犯罪行為必須“與公司相關”，這是保證人的可罰性前提。但是，需要注意的是，公司負責人的保證人義務不包含“偶爾”在公司運營中實施的犯罪行為。

在公司經營風險中，被廣泛認可的是公司經營者 （Betriebsinhaber）的保證人義務。公司所有者負有與特定的經營風險相關的交往保障義務。但是，從寬泛的民法上的交往保障義務中推導出的監督保證人義務的范圍究竟有多大，則存在較大的爭議。這個問題在刑事產品責任中顯得尤為尖銳,其中往往涉及（如“皮革噴霧案”）對危害健康的產品的召回問題。德國學界的通說同樣認為，在上述情況中存在交往保障義務。在特定情況下還需要考慮保護型的保證人義務，例如消費者已經發現有害產品之時。

2.合規專員的刑法責任

在刑事合規中還需要特別注意的是，當合規專員沒有履行其所負有的阻止公司成員實施犯罪行為的義務時，其可能會因此面臨刑事追訴的風險。此處的不作為在刑法語境中涉及的是所謂的不真正不作為犯，其成立前提是相關參與人負有保證人義務。

在2009年之前，關于合規專員是否為保證人這一問題，德國學界只有零散的討論。僅有少數觀點十分謹慎地認為，在特定情況下合規專員可以成為保證人。但是，在德國聯邦最高法院的第五刑事審判庭于2009年作出引起轟動的“柏林城市清潔公司案”判決之后，這一情況發生了改變。德國聯邦最高法院在2009年7月17日的判決中寫道：“通常來說，合規負責人負有《德國刑法典》第13條的保證人義務……其需要防止公司職員實施與公司相關的犯罪行為。” 這是“合規負責人針對公司領導層所負擔的義務的必要的另一面，即其負有阻止規范違反的義務，尤其是犯罪行為”。德國學界普遍認為，刑法上的保證人義務的成立需要兩個前提：一方面，相關人必須與可能受侵害的法益處于以法律為基礎且事實上臨近的位置；另一方面，從上述臨近位置中產生的非刑法的義務必須具有刑法上的相關性。

就公司管理人員而言，根據以上兩個前提，其保證人義務的成立一般不存在障礙。但是，就合規專員而言，通常來說并非如此。因為盡管從法律視角來看，合規專員（根據勞動合同的規定）可能與面臨侵害風險的法益處于特別的臨近位置，但是，通常而言，合規專員的義務范圍僅限于特定領域，而這取決于公司的規模。例如，在某個大公司中，如果某合規專員僅對生產領域負責，則不能認為其對銷售領域的犯罪行為實施負責。但是，如果某合規專員對整個公司負責，則其義務就涉及預防整個公司內的犯罪行為，在一些中小型公司可能就是這樣的情況。

關于合規專員的保證人義務，德國學界和實務界一致認為：合規專員的保證人義務僅僅是從公司領導層的保證人義務中推導出來的保證人義務，即“次要”保證人義務。德國聯邦最高法院明確指出：只有公司負責人才負有主要保證人義務，至于部門負責人的責任，只能以從公司領導層的主要保證人地位中推導出的（次要）保證人地位為基礎。由此可見，合規專員并不負有主要的保證人義務。

3.其他公司職員的刑法責任

其他公司職員是指既不根據工作合同作為合規人員，也未承擔事實上合規任務的普通職員，其刑事責任的成立適用一般基本規則。雖然其他公司職員并不負有如合規人員基于其功能所負有的防止與公司相關的犯罪行為的保證人義務，但是，需要注意的是，不在合規職位上的其他公司職員也可能因為其服務崗位或勞動合同中所規定的義務（包括事實上承擔的義務）而負有相應的保證人義務。

（二）公司外部人員的刑事責任

公司外部人員與公司內部人員有所不同，因此其刑事責任也應當有所區別。在公司中（尤其在大公司中）極其常見的現象是聘請外部律師來完成相關的合規任務。在這種情況下，相比公司內部的合規專員而言，司法機關會對外部律師提出更高的注意要求，因為公司內部合規專員可能并非法律專業人士。然而，一個懸而未決的問題是：作為外部合規專員的律師在何種情況下可能承擔刑事責任，以及其責任在何種程度上超過一般的律師責任。在涉及外部律師的情況下，公司管理層會陷入一個非常棘手的困境，即如果公司管理層將合規任務委托給外部人員，那么可能出現的情況是：一方面，沒有盡到足夠注意義務的律師的刑事可罰性會最終落到公司管理層頭上；另一方面，如果公司管理層將實現合規管理體系的任務委托給(非法律人的)公司職員,則可能無法滿足一個有效合規體系的相關要求。在這兩種情況下，公司管理層均面臨刑事處罰的風險。最佳解決方案是公司內部與外部的合規專員共同完成“合規”。但是，需要注意的是，這樣的“合作合規”對許多中小型企業而言并不是一個現實的選擇，因為公司需要為此花費高昂的人力和金錢成本。

三

刑事合規的程序問題

刑事合規的目標之一是程序上的抑制性目標，筆者在下文中將通過公司內部規定、內部調查制度和吹哨人制度三個方面對此加以論述。

（一）公司內部規定

作為自我約束的工具，公司規定的目的在于保障公司職員的行為符合法律，同時符合經濟利益最大化原則，雖然德國學界越來越多的學者（特別是犯罪學領域的學者）將公司內部規定視為有效的合規方式，而且這種觀點在實務中也得到了一定程度的回應。但是，從刑事合規的經濟目的、實體目的與抑制目的來看，公司內部規定可能還存在一些困難。

第一，實踐中存在以下矛盾的現象，即一方面公司需要耗費大量精力制定規則，并保證職員遵守規則，另一方面，由于法律的復雜性，遵守內部規定并不必然意味著該行為符合刑法。刑法是純粹的國家制定的法律，公司事實上并沒有判斷某行為是否違反刑法的權限。因此，公司的投入與其在規范上得到的回報往往并不平衡。

第二，公司內部規定是否能夠達到其所追求的犯罪預防目的，尚存疑問。實體性預防并非刑事合規的唯一目標，甚至不是公司建立合規的本質目標。越來越多的觀點認為，合規往往被公司視為一個功能性的公關手段，而非有效防止與公司相關的犯罪行為的手段。但是，從企業經濟學的角度考慮，企業具有制定內部規定的合理動力，因為它可以保護企業的既有利益，同時避免其名譽受損。“通過建立經濟體系中的內部控制，在國家通過刑罰手段進行外部規制之前采取行動，可以使經濟保持一定的自由空間。”

第三，內部規定在某些場合下并不能發揮預防犯罪的目的。相反，在某些情況下，它可能會更加有助于刑事可罰性的確立。試圖通過刑事合規來降低刑事可罰性風險，可能反而會提高承擔刑事責任的風險，最典型的例子是西門子事件。在該案中，事實審法官認為，本案構成《德國刑法典》第266條第1款第2項（背信罪）的“義務違反”，因為“根據西門子公司已存在的合規規定，任何賄賂支付都應當被禁止”。因此，在某種程度上，可以說正是公司的合規措施導致部門負責人必須承擔背信罪的刑事責任，正是符合民法的行為導致了刑事責任的承擔。

對于上述問題，有觀點認為，從表面上看，合規制度似乎額外地創設了公司在刑法上的義務，但實際上并非如此，因為刑事合規所避免的主要是公司管理層的責任，合規導致刑事可罰性主要是針對下層職工（如中下級管理層、部門負責人）的。當然，這種公司管理目標的實現僅僅停留在表層，因為單純的刑事責任向下層轉移并不能避免公司承擔罰金、損害賠償、名譽減損等風險。

（二）內部調查

內部調查即公司內部的調查，其內容是查明具有法律上重要意義的事實情況。德國學界一般區分內部調查與內部監控。例如，為了監控可能威脅公司生存和公司資本、環境污染、垃圾和危險品、引發事故或危害工作崗位職員健康、向社會傳達錯誤信息、侵害公司數據庫等的風險而建立的內部措施（定期檢查）并不屬于內部調查。出于同樣的理由，各種外部監控與質量保障措施（如年度審查、評級等）也不屬于內部調查。德國通說認為內部調查是特定的、針對定期檢查無法發現的事實所進行的調查。內部調查的主體在所不問。在實踐中，內部調查通常是由外部控制者實施的。

雖然德國學界普遍承認內部調查在民法或勞動法上的合理性，但在刑事領域，需要特別警惕內部調查違反刑事程序基本原則的風險，特別是對被告人權利的侵害。因此，首先必須厘清內部調查的合法界限。雖然法律并未禁止公司實施內部調查，但是，如果調查手段超出了法治國的界限，例如通過欺騙、脅迫或其他方式進行調查，則當然是違法的。而且，內部調查中不得使用強制性手段，如扣押、搜查等。換言之，內部調查的界限在于其行為不得嚴重違背從偵查法定主義推導出來的檢察機關對刑事偵查的整體壟斷。

此外，對于刑事合規中的內部調查而言，勞動法中的陳述義務與刑法中不得強迫自證其罪這一基本原則可能會發生沖突。德國民法學通說認為，應當允許企業以勞動法上的制裁強迫職員進行陳述，員工不得援引刑事訴訟中的沉默權。但是，這種在內部調查中取得的證人證言，極有可能通過程序轉化而進入刑事訴訟中，因此涉及證據評價禁止的問題。有學者認為，這種情形下應當適用《德國基本法》第2條第1款和第1條第1款規定的證據評價禁止，同時承認證據使用禁止意義上的遠程效力。

（三）吹哨人制度

除內部調查外，有效的合規計劃一般要求公司為員工的舉報提供途徑。“吹哨人制度”源于美國的公司實務，合規視野下的吹哨人與刑事訴訟中的私人舉報不同。由于勞動關系的存在，公司職員在進行舉報時，很可能面臨勞動法甚至刑法上的嚴重后果。

刑事合規語境下的“吹哨”，是指公司職員實施的在公司內部或外部對公司相關違規行為的信息傳遞。從舉報途徑上，可以將其區分為內部舉報和外部舉報：前者是指公司職員將相關信息報告給上級、公司高管或合規辦公室等公司內部人員、機構；后者是指公司職員不經內部調查，直接向刑事追訴機關或相關監管部門報告信息。德國立法上的最新動向是將歐盟2016/943163號指令（保護吹哨人）轉化為德國法。德國聯邦議會于2022年12月正式通過了《德國吹哨人保護法》。根據該法律，公司職員既可以通過內部舉報，也可以通過外部舉報，既可以通過實名舉報，也可以通過匿名舉報來反映公司的違法犯罪行為；禁止對舉報人進行任何形式的報復，包括紀律處分、解除勞動合同以及不正當的歧視；如果公司違反本法對舉報人進行報復，則舉報人有權根據《德國民法典》請求獲得賠償，而且公司還可能因此被處以最高10萬歐元的罰款。這部法律的實施，對于德國刑事合規制度的完善將會發生重要的影響。

四

刑事合規的具體領域

在德國，刑事合規并未停留在宏觀層面（或者教義學層面），而是在很多具體領域中有廣泛的應用。尤其是在環境刑法、刑事產品責任、腐敗犯罪、網絡刑法和數據保護刑法領域，刑事合規受到了廣泛的關注。

（一）作為基礎規范的《德國違反秩序法》

刑事合規的“目的在于保障所有公司職員實施合法行為”，因此，雖然《德國刑法典》不承認法人的行為主體地位，但這并不影響我們將視野拓寬到刑法以外的法律。在德國，對于刑事合規而言，最重要的是《德國違反秩序法》第30條和第130條。

首先，《德國違反秩序法》第130條一般性地創設了實施合規監督措施的作為義務，其制裁規范可以在事實上發揮刑罰的效果。該條明確了管理層人員因違反監管義務所需承擔的責任范式，被視為刑事合規在教義學上的核心規范。具體而言，該條第1款以真正不作為犯的方式，對企業所有人施加積極的監管義務。一般來說，相關命令規范主要是指向管理層的公司主管的義務，但主管人員常常會將相應義務委托給本來并非規范命令對象的公司職員。從立法目的上看，第130條即旨在避免這一處罰漏洞，因此可以被視為《德國違反秩序法》第14條參與犯責任的“兜底條款”，其保護法益需要通過相關制裁規范所保護的法益來認定，具有附屬性。正是在這一意義上，該條發揮的是法益的前置保護作用。其次，《德國違反秩序法》第30條直接規定了對法人的罰金，目的在于通過剝奪犯罪收益使公司成員在選擇商業活動中的機構時更加謹慎，在考慮職業能力的同時，也要考慮其遵守法律的情況，因而具有預防性特征。雖然立法者在該條中部分地肯定了公司承擔制裁的能力，但從該條所采取的替代責任立場看，并不需要存在獨立的組織性罪責。

（二）環境刑法

在德國，環境刑法分為狹義的環境刑法和廣義的環境刑法。狹義的環境刑法，指的是《德國刑法典》分則第29章中所列舉的刑法條文（即《德國刑法典》第324條及以下）；廣義的環境刑法，指的是對損害環境的行為處以刑罰的所有規范，除了上述狹義的環境刑法相關條文之外，還包括其他與環境相關的核心刑法規范（《德國刑法典》第304條、第307條、第309至312條和第314條）、環境行政法中包含的附屬刑法的相關規范（例如《德國自然保護法》第71和71a條、《德國危險物質保護法》第27條及以下條文、《德國動物保護法》第17條）。

在環境法的語境下，合規措施具有非常重要的意義。首先，在環境合規方面，公司需要就環境保護委托相關負責人，環境行政法中的諸多法條都對此作出了規定。環境保護委托人的職責是：通過對公司職員進行監督，并且就已確定的不符合規范的行為向公司管理層進行報告，以保證其遵守環境法的相關規定。源于歐盟的環境審計指令的生態管理和審計計劃（EMAS）為德國環境合規機制作出了結構化補充。生態管理和審計計劃（EMAS）的目的在于為公司和相關機構自愿設立以及定期評估環境管理體系提供激勵。其次，環境私法也敦促公司執行自我監督措施。例如，根據 《德國環境責任法》第6條第2至4款，企業所有人可以通過證明其設備正常運轉符合法律規范，反駁相關的環境損害原因推定（《德國環境責任法》第6條第1款），最終避免承擔《德國環境責任法》第1條的危險責任。當然，如前所述，公司實施的控制措施可能招致相反的結果：一方面，遵守相關標準可以在判斷過失與監督義務違反時起到減輕企業罪責的作用；另一方面，為環境問題創設特別職責也可能催生新的可罰性風險。此外，如果允許在刑事訴訟中評價合規過程中獲得的信息，控方的舉證難度會大大降低。

（三）刑事產品責任

當某種產品投入市場之后產生了法益侵害的后果，就可能追究生產者、銷售者以及將該產品投入市場的相關人員的民事責任或刑事責任。對于生產者、銷售者以及將該產品投入市場的相關人員而言，避免或者減少責任風險的需求自然就非常強烈。為了排除與產品相關的違法可能性，避免或者減少責任風險，刑事合規的重要性日益凸顯。

刑事產品責任的前提是：單獨的個人通過將產品投入市場，違法且有罪責地滿足了刑法構成要件。原則上，所有與產品相關的人員都可能承擔刑事責任，只要其行為共同導致了損害的發生，他們不僅包括產品的生產者或銷售者，原則上還包括運送者、中間商或咨詢人員。對于非常困難的因果關系證明來說，只要 “法院在整個程序之后完全信服所需證明的事實”就足夠了，并不需要存在自然科學上非常精準的證明。

在德國刑法上，與產品責任相關的刑法構成要件首先是過失和故意的身體傷害罪（《德國刑法典》第229條和第223條），也包括危險和嚴重的故意傷害罪（《德國刑法典》第224條和第226條）。此外，還包括過失致人死亡罪（《德國刑法典》第222條）以及故意殺人罪（《德國刑法典》第212條）。當然，將有缺陷的產品投入流通還可能觸犯其他的刑法構成要件，例如詐騙罪（《德國刑法典》第263條）和縱火罪（《德國刑法典》第306條及以下）。在德國法上，與民事產品責任不同，在刑事產品責任中的行為人只能是自然人，不能是組織或（作為組織的下位概念的）公司。這就意味著，作為生產者的公司在刑法上不能作為刑事責任的承擔者。當然，根據《德國違反秩序法》第30條，公司事實上需要承擔一種類似于刑事責任的懲罰。刑事產品責任中的法律后果包括罰金刑、自由刑以及職業禁止（《德國刑法典》第70條）。對于公司職員來說，相比單純的民事責任，刑事產品責任可能帶來更大的個人風險。就罰金而言，公司一般可以承擔，而不需要行為人個人承擔。但是，就職業禁止而言，不僅會對個人的職業發展帶來阻礙，甚至可以完全毀滅其職業前途。

在大部分案件中，有缺陷的產品的刑事或民事產品責任并非故意行為，而是過失行為。《德國民法典》第276條第2款對“單純的過失”這一概念作出了規定。根據該法條，如果某人在交往中未盡到必要的注意，就是過失行為。原則上，這一責任標準不僅適用于民事產品責任，而且適用于刑事產品責任。因此，民法上對產品生產者和其他將有缺陷的產品投入市場的相關人員的要求，原則上也適用于刑法。但需要注意的是，與民法不同，刑法上的過失責任除了要求違反客觀注意義務，還要求違反主觀注意義務。

（四）公職腐敗與商業腐敗

在腐敗領域，德國刑法區分公職人員腐敗與商業活動中的腐敗。結合最近腐敗犯罪的立法規定，這一區分顯得更加重要。具體而言，在《德國刑法典》中，并未使用“腐敗”這一概念。《德國刑法典》中傳統的腐敗犯罪包括：《德國刑法典》第331條及以下規定的公職人員接受利益（第331條）、索賄（第332條）、提供利益（第333條）以及行賄（第334條），以及商業往來中的行賄和索賄（《德國刑法典》第299條等）。此外，在《德國刑法典》第108b和108e條中還規定了選舉候選人和議員賄賂。

在過去很長時間里，合規常常被視為公司內部預防腐敗的各種措施的同義詞。今天，仍然有很多公司在建立合規體系之時重點關注（至少在初始階段）預防腐敗這個重要問題。在商業活動中，禮物、酬勞和其他利益往往屬于正常商業往來的一部分，在某種程度上甚至是無法避免的。因此，為了達到合規的目的，公司必然需要考慮預防腐敗的問題。對許多公司而言，建立長期的法務部門或合規部門成為必然選擇。刑事合規可以作為避免腐敗的手段之一，其要求公司建立防止腐敗犯罪的相關機制，該機制必須能夠識別可能的違規行為。為了決定對于公司外部人員以及公司的內部人員而言何種利益是法律允許的，公司管理層首先必須明確法律的界限。除此以外，公司管理層還要考慮倫理準則或者公司相關規定，雖然這些準則或者規定的要求比刑法的要求更高，但從刑事合規的角度上，遵循這些準則或者規定，對于防止腐敗犯罪、降低企業遭受嚴厲制裁的風險具有重要意義。

（五）網絡刑法

網絡刑法中的合規主要涉及網絡服務提供者的刑事責任問題。對于服務提供商的刑事責任而言，最重要的法律是《德國電信媒體法》。根據《德國電信媒體法》第1條第1款，電信媒體是指“所有電子化的信息與通信服務（電信媒體），但《電信法》第3條第24項規定的完全通過電信網絡傳輸信號的電信服務、《電信法》第3條第25項規定的受電信支持的服務、《廣播電視與電信媒體州際協議》第2條規定的廣播電視除外”。根據《德國電信媒體法》第1條第1款第2句，其適用范圍包括公共機構在內的所有提供者，不論使用是否收費。根據《德國電信媒體法》第1條第2款第1句，服務提供商是指提供自己或他人的電信媒體以供使用或提供使用鏈接的自然人或法人。因此，首先需要確定，服務提供商的概念不僅包括“傳統的提供鏈接者”，還包括任何自然人和法人以及公共組織,只要其在網絡上準備好自己或他人的內容。這意味著，任何公司的網站以及任何內容的傳播都需要符合《德國電信媒體法》的相關規范，因此，合規在網絡領域扮演著十分重要的角色。

（六）數據保護刑法

在數據保護（刑）法中，合規不僅可以發揮避免法律責任的作用，而且對于公司的聲譽和市場地位也具有十分重要的意義。在數據保護刑法中，在兩個不同方面需要特別注意合規，這就是合規在數據保護刑法中的“雙重功能”。首先，數據保護刑法是合規廣泛適用的領域。這里涉及的問題是，在經營中處理數據時需要注意符合法律的規定。《德國聯邦數據保護法》（BDSG）第4條第1款規定，關于個人相關數據的收集、處理和使用，禁止許可保留。為了確保公司合規，有必要根據《德國聯邦數據保護法》第4條設置 “數據保護代理人”，或者在處理數據時委托相關人員以確保符合《德國聯邦數據保護法》第11條的要求。與此同時，數據保護刑法對涉及其他法律領域的合規設置了限制。在這個意義上，立法者將合規定義為“通過公司整體遵循所有相關法律、規定、指令以及自我義務”。為了保證遵循上述規則所要求的措施，要求在公司內部通過監督相關人員來避免或揭露犯罪行為。需要注意的是，這樣的“內部調查”也受到數據保護法相關規則的限制。

因此，在具體個案中需要就相互沖突的目標事先做好準備。因為絕大部分公司的查明措施都需要最大值的信息，而《德國聯邦數據保護法》第3a條對數據避免（Datenvermeidung）和數據節儉 （Datensparsamkeit）作出了規定。通過刑法，合規相關人員的行動受到兩方面的限制：一方面，在合規措施不足夠甚至是不作為時，需要考慮相關人員（例如合規專員、數據保護代理人、法務部門的負責人員）通過不作為實現的關于公司職員的犯罪行為（例如背信罪、行賄罪）的幫助犯刑事可罰性。此外，還可能存在《德國違反秩序法》第130條意義上的監管義務違反。另一方面，過度開展的合規措施本身可能根據《德國聯邦數據保護法》第43條和第44條觸犯《德國違反秩序法》或《德國刑法典》。在具體個案中，甚至還可能成立《德國刑法典》第201條及以下條文的刑事可罰性風險。例如，德國電信公司的前任安全負責人就因為違法的監督措施而根據《德國刑法典》第206條被判處多年有期徒刑。因此，展開合規措施的相關人員的任務在于：在必要的調查強度與數據保護界限之間找到一個合適的平衡。

五

如何借鑒德國刑事合規制度

隨著改革開放的不斷深入，我國企業在全球經濟活動中的參與程度越來越高，域外企業違反我國刑法的現象也時有發生，最有名的是2014年的GSKCI（葛蘭素史克）商業賄賂案。以中興事件為契機，國內刑事法學界近年來也對刑事合規這一問題展開了持續性的關注。通過上文對德國刑事合規晚近發展的梳理，我們可以從以下幾個方面反思我國合規制度的構建。

（一）實體法維度

1.單位犯罪制度與刑事合規

刑事合規在企業犯罪治理中能夠發揮何種作用，其理論根據首先取決于企業犯罪構成理論。我國刑法與德國刑法的一個顯著區別在于我國《刑法》明確規定了單位犯罪,對單位犯罪原則上實行“雙罰制”。除個別情況外，在認定單位犯罪的前提下，自然人需要承擔的刑事責任往往比較低。因此，在實踐中，在單位內部人員受到刑事追訴時，傾向于從單位犯罪角度辯護，以換取更輕的刑罰。因此，我國學界傳統觀點多將重點放在單位犯罪與自然人犯罪的區分之上。

從實定法出發，我國單位犯罪制度存在三個特點：其一，單位犯罪罪名不周延。由于單位犯罪有法律規定的才處罰，我國刑法中單位犯罪集中在公共安全、金融秩序與貪污賄賂等領域，缺乏諸如2007年英國《企業過失殺人與企業殺人法》、《德國違反秩序法》第130條的一般條款。為了實現有效打擊犯罪的需要，立法機關在立法解釋中明確指出“公司、企業、事業單位、機關、團體等單位實施刑法規定的危害社會的行為，刑法分則和其他法律未規定追究單位的刑事責任的，對組織、策劃、實施該危害社會行為的人依法追究刑事責任。”因此，即便不成立單位犯罪，對直接責任人員也應當追究刑事責任。從單位犯罪的有效預防角度出發，我國單位犯罪制度的這一特征不容忽略。其二，直接責任人員的刑罰評價并不確定。在部分單位犯罪中，立法者對直接責任人員規定了比自然人犯罪更低的法定刑，此時直接責任人員實際上是減輕責任的身份；在部分罪名中，自然人犯罪與單位犯罪中直接責任人員的刑事責任的差別僅在是否需要承擔罰金刑。其三，單位承擔的刑事責任畸輕。我國甚至有學者主張在單位犯罪的場合，應當充分適用定罪免刑制度，一方面發揮刑罰標簽化的非難機制，另一方面可以對涉案單位適用數額更高的行政罰款而非刑事罰金。

上述特征決定了我國刑事合規的關注重點并非學者倡導的將單位與實施非法行為的自然人脫鉤，而在于將單位中直接責任人員與實施非法行為的自然人脫鉤。因此，雖然從單位犯罪的視角討論單位承擔刑事責任的根據確有必要，但更應當引起關注的是刑事合規如何排除直接責任人員的刑事責任。在這一點上我國與德國具有相似性，只有在追究直接責任人員刑事責任的場合，刑事合規制度才確有必要。除涉外投資的場合應當尊重所屬國的刑法規定，我國刑事合規制度應當著眼于直接責任人員的責任阻卻或減輕。若僅將合規計劃理解為對公司責任和員工責任的切割，只要建立了合規體系，即可免除企業對員工犯罪的歸責，仍然無法實現公司的深層管理目標。除將刑法風險向下轉移外，可以借鑒德國的經驗，明確企業相關負責人的監管義務，促使管理層以避免自身因義務違反成立犯罪的方式，達到合規管理的真正目的。具體而言，合規計劃的引入，存在過失責任與不作為責任兩條路徑。

2.責任模式與刑事合規

我國公司治理中兩權分離不足，董事義務和責任追究模式也尚未實現充分的法制化，德國以司法上的有罪判決推動企業合規回應的做法值得我們學習。因此，在組織體內直接實行人導致法益侵害時，能否認定直接責任者違反了注意義務，進而構成相應過失犯罪就顯得至關重要。例如，在責任事故類犯罪與瀆職犯罪中，我國司法實踐傾向于對過失歸責進行寬松的把握，只要前行為創設的因果關系一直延續的結果發生，實際發生的因果流程的復雜性并不能阻卻過失的罪責，合規制度也就具備廣泛的適用空間。過失犯的規范本質在于沒有將自身注意能力維持在法規范期待的水平線上，這種注意義務違反即體現了過失犯所具有的規范評價性質。因此，我國在現階段宜將合規制度作為判斷注意義務違反的重要規范根據，有效的合規計劃可以起到否定注意義務違反，或減輕過失犯行為不法的作用。

另一條可行的路徑是借鑒《德國違反秩序法》第130條，賦予直接責任人員強制合規義務。我國亦有學者采取此種觀點，并建議在刑法總則中增設相應條款。以刑法為威懾雖然可以倒逼企業建立合規，但純粹積極義務的創設，總會面臨刑法過度侵入自由的詰難。特別是我國刑法總則中不存在對不作為的一般規定，實踐中對不作為犯的認定也較為保守，因此在立法上針對具體領域創設真正不作為犯，將現行一般罪名加以細化的做法是值得贊同的。雖然表面上犯罪圈的擴張加重了相對人的負擔，但這也為組織體提供了實行合規契機，在出現犯罪的情況下可以獲得減免責任的機會。

3.刑罰效果與刑事合規

雖然現行法決定了合規更為主要的相對人是企業管理者而非企業本身，但從深層考慮，只有完善單位刑罰制度，才能實現合規相對人的真正歸位，發揮合規制度的應有價值。對于自然人責任，一般而言，我國目前單位犯罪中責任人員處罰相對輕緩，緩刑適用比例高。為了實現刑罰的抑制效果，一方面應當規定相關人員的刑罰，另一方面可以借鑒德國立法，完善職業禁止的適用范圍，在立法上將《刑法》第37條之一的使用范圍明確擴展至涉及重要公共利益的食品、藥品和生產安全領域。對于單位責任，我國針對單位的罰金刑數額偏低，而德國關于法人犯罪法草案的討論表明，罰金數額直接影響企業所感知的處罰力度，只有在對企業的罰金達到一定數額的情況下，罰金才能夠擺脫象征意義。因此，應當適度提高企業犯罪的罰金刑數額，彌合刑事責任與行政責任之間的縫隙。與之相應，應當將是否實施有效的合規計劃作為決定罰金刑數額的法定量刑情節。除罰金外，真正對企業具有威懾力的是行政法上的資格限制甚至吊銷執照，今后也應當將其納入刑法，使其進入司法審查的范圍。

（二）程序法維度

1.程序激勵與刑事合規

國內訴訟法學界大多從程序激勵措施的角度，分析刑事合規制度的引入，主張在加大企業實體責任壓力的前提下，通過對認罪認罰從寬、不起訴等制度的擴張適用，構建中國的暫緩起訴協議制度。從統計數據看，實踐中對單位犯罪中的直接責任人處罰相對較輕，大多數僅受到三年以下有期徒刑、拘役或管制的處罰。對于此類情節較輕的企業犯罪，適用暫緩起訴制度，不僅能夠實現一般預防目的，也可以有效提升司法效率，合理配置司法資源。此外，我們應當充分借鑒德國刑事合規中的程序性抑制機制，即在事后的刑事程序中考量公司的合規體系，與我國現行認罪認罰從寬相接洽，激勵企業積極開展內部合規管理。在制度上將合規措施作為對企業從寬處罰的根據，并探索企業犯罪暫緩起訴制度。但與認罪認罰從寬制度一樣，刑事合規減免企業實體責任的根據何在，對此仍需從企業注意義務與作為義務的角度加以分析。

2.程序預防與刑事合規

借鑒德國的經驗，我國可考慮引入吹哨人制度，并通過法律強化對公司吹哨人的保護。相應地，在立法上需要對內部舉報與外部舉報進行區分。為解決吹哨人在勞動法與刑法責任上的困境，我國可參考德國為轉換歐盟指令的立法建議，當相關人員以保護一般公眾利益的目的，揭發違法行為、違規行為之時，應承認其行為具有合法性。在內部舉報的情況下，企業需建立相關的合規辦公室（作為相對獨立的監督機關）以及建立特殊的企業違法犯罪揭發機制，提供越級舉報途徑。在企業內部要確保吹哨人受到足夠的保護，保障其匿名性。在外部舉報的情況下，可能存在企業以損害商業信譽、商業聲譽罪等罪名起訴吹哨人的風險，檢察機關應查明吹哨人所舉報的情況是否為“虛假事實”，謹慎對吹哨人采取人身強制措施，否則，吹哨人制度就會淪為一紙空文。

六

結論

與我國刑事合規的歷史極為相似的是，德國刑事合規的出現也是受現實驅動的結果。雖然“刑事合規”在德國刑事法上并沒有明確的法律依據，但并未妨礙其在實體和程序上對刑事合規的探索。總體而言，德國刑事合規具有三個鮮明特色：第一，教義學色彩較為濃厚，這表明德國學者并不總是急于從立法論的角度觀察新出現的事物或者現象，而是首先重視現有理論資源的應用。第二，一體化的研究方法。在德國刑事合規的研究中，實體與程序的結合是極為明顯的。而且，這里的實體和程序并不限于實體刑法與刑事程序法，而是擴展到其他所有相關的法律領域。在我國，由于非常復雜的原因，實體與程序的隔閡依然存在，這在一定程度上阻礙了對刑事合規的進一步深入研究。當然，近年來，在我國刑事合規的研究中，這種狀況已經有較大的緩解。第三，應用領域的廣泛性。如前所述，德國刑事合規理論并不是屠龍術，而是在很多領域發揮著實實在在的作用。刑事合規的立法與司法有賴于理論上的深入研究，雖然我國與德國在刑事合規的法律語境上有所不同，但德國的有益經驗仍然值得借鑒。