2016年12月8日，法国国会通过了《关于提高透明度、反腐败以及促进经济生活现代化的2016-1691号法案》。该法案沿袭了法国财政部长米歇尔·萨宾于1993年提交的第一份反腐败法案，故被称为《萨宾第二法案》。这部法案共有9编，169个条款，涉及对法国刑法、刑事诉讼法和货币金融等法律的修订和补充。法案吸收了美国《反海外腐败法》和英国《反贿赂法》的相关内容，确立了反海外腐败行为的制度。该法创立了专门的反腐败机构，确立了强制合规制度，要求符合条件的企业承担建立合规机制的义务，并对不建立合规机制的公司确立了法律责任。与此同时，该法还吸取了美国和英国的法制经验，确立了法国式的暂缓起诉协议制度，允许检察机关与涉嫌犯罪的企业签订和解协议，确立3年考验期，涉案企业在此期限内缴纳罚款，赔偿受害者，并制订或完善合规计划，对于那些考察期满后履行了协议内容的，检察机关将撤销起诉。
对于有效合规的标准，《萨宾第二法案》仅仅确立了一些原则性的条款。2020年12月，法国国家反腐败局在总结相关实践经验的基础上，发布了一份“反腐败指南”，确立了旨在预防腐败行为的标准。从所发挥的作用来看，该反腐败指南实际就是一份针对腐败案件的有效合规标准。
他山之石，可以攻玉。在我国正在推进企业合规制度改革的背景下，了解法国反腐败领域的合规制度发展情况，特别是反腐败案件的有效合规标准，无论是对于我国行政机关完善合规监管机制，还是对于我国检察机关确立科学可行的有效合规评估验收标准，都是非常有借鉴意义的。
一、强制合规与暂缓起诉协议
迄今为止，法国在反腐败领域负责实施合规制度的国家机构有两个：一是法国国家反腐败局（AFA），二是法国国家金融检察官办公室（PNF）。根据《萨宾第二法案》，AFA是一个专门负责预防和发现腐败行为的国家机构， AFA的主要职能是监督企业按照法案的要求建立合规制度，并对合规的有效性加以评估。对于那些未按照法律规定建立有效合规制度的企业，AFA下设的处罚委员会有权对企业及其高管进行行政处罚。与此同时，AFA一旦法案现企业存在腐败行为，还可以将案件提交检察机关，后者才有权提起公诉。在该法实施之前，法国还设立了国家金融检察官办公室，负责对税收欺诈、金融犯罪和腐败犯罪案件行使检察权。
《萨宾第二法案》创设了强制合规制度。这一制度包括两项内容：一是行政强制合规制度；二是刑事强制合规制度。所谓行政强制合规制度，是指任何符合法定条件的企业，都负有建立和实施合规制度的义务，并将此作为预防腐败行为的重要举措。按照该法，任何企业同时符合以下两项条件的，应当建立合规制度：一是用工人数达到500人以上，或者隶属于总部设在法国且用工人数达到500人的公司集团；二是年营业收入超过1亿欧元。对于同时符合上述条件的公司，没有按照规定建立合规制度的，AFA下设的处罚委员会有权对其处以不超过100万欧元的罚款，并对高管处以不超过20万欧元的罚款。同时，处罚委员会还有权要求企业或高管在不超过三年的期限内，完成合规制度的建立。
所谓刑事强制合规制度，则是指对于那些构成贿赂犯罪的企业，法国法院有权判令企业在规定期限内，按照该法要求建立合规制度。AFA负责监督和协助企业建立合规制度，并定期向检察机关报告企业建立和执行合规制度的情况。AFA由此产生的费用一律由企业承担。假如企业没有建立符合要求的合规制度，法国法院有权对企业及其高管判处罚金，并对相关人员判处两年以下监禁。
在强制合规之外，《萨宾第二法案》还确立了一种“基于公共利益的司法协议”（CJIP）制度。根绝这一制度，授权检察官与涉嫌犯罪的企业进行协商，后者只要承认被指控的犯罪事实，缴纳了罚款，赔偿了被害人，在考察期内建立或改进了合规计划，检察机关就可以经法院批准，作出撤销起诉的决定。这种基于司法公共利益的协议，通常被称为“法国式的暂缓起诉协议”。
根据《萨宾第二法案》，检察官与涉案企业达成协议的条件是，企业需要交纳不超过过去三年平均年营业额30%的罚款，并且同意在AFA监控下，在第三方独立合规监管人的协助下，在三年之内建立或完善合规制度。在那些有明确被害人的案件中，企业还需要在一年之内按照约定方式赔偿被害人的损失。
在与企业达成上述协议后，检察机关将协议文本提交法院，法院经过听证程序加以确认之后，和解协议正式生效。在经过不超过三年的考验期之后，经过审核企业履行了协议所确定的各项义务的情况，检察机关认为涉案企业履行了各项义务的，将向法院提出申请，放弃对该企业的公诉程序。而假如企业没有遵守协议所确立的义务，检察机关可以向法院汇报，由法院决定是否恢复公诉程序。
2019年，法国国家反腐败局和国家金融检察官办公室联合发布了有关实施CJIP的法律指南，在总结该制度实践经验的基础上，对该项制度的有效实施作出了较为具体详细的解释。该指南规定了CJIP协议提交的程序，明确了达成该协议会给涉案企业和自然人带来的实际收益，确立了协议达成的前提条件。其中，检察官在考虑是否适用CJIP协议时，会充分审查涉案企业是否实施了有效的合规计划，对于那些符合强制合规适用条件的企业，检察官会将其未实施合规计划作为对其作出程序选择或提出从重量刑建议的依据。而对于那些不符合强制合规适用条件的企业而言，自愿实施有效的合规计划可成为一项获得签署CJIP协议的有利条件。与此同时，检察官在考察适用CJIP协议时，还会充分考虑涉案企业与检察官开展合作的情况，例如涉案企业就犯罪行为进行自我报告的自愿性，实施合规内部调查的情况，对被害人的赔偿情况，等等。
二、法国的反腐败合规标准
无论是强制合规还是暂缓起诉协议，都需要有相配套的有效合规标准。迄今为止，这种合规标准主要围绕着反腐败和相关领域的合规管理体系来确立的。相比之下，强制合规制度所提出的是“事先合规”的要求，经过评估，反腐败机构唯有认定企业实施了“有效的反腐败合规体系”，才能认定企业履行了强制合规的义务。而暂缓起诉协议制度则给企业提出了“事后合规”的要求，涉案企业与检察机关达成协议后，唯有按照协议要求实施了有效的合规计划，检察机关才有可能认定企业履行了协议要求，其合规体系达到了合格的要求，并据此向法院提出撤销起诉的申请。可以说，确立一套可操作的有效合规评价标准，是法国有效治理腐败问题的必由之路。
2016年通过的《萨宾第二法案》，曾确立了企业合规制度的基本原则。根据该法，一个最低限度的企业合规制度包括以下七项制度要素：一是“制定行为准则”，以便定义可能构成贿赂以及其他构成非法交易的行为。行为准则应成为企业内部规章制度的一部分，需要企业通过与企业员工代表的磋商而完成。二是建立“内部预警系统”，以便收集员工提供的有关违法行为线索或者信息。三是进行“风险评估”，根据企业所属的行业和运营地区，来对企业的贿赂风险加以识别、分析和分级，并定期更新风险评估。四是制定“内部和外部会计控制程序”，以确保会计账簿、会计记录和会计账目不被用来掩盖贿赂行为。这类控制程序可以由企业财务和审计部门完成，也可以由外部会计师完成。五是建立“培训体系”，以帮助那些最接近贿赂风险的高管和员工预防并发现腐败行为。六是建立“惩处机制”，以惩戒那些违反行为准则的员工。七是建立“内部控制和评价制度”，以审查合规制度的有效性。
2017年，法国国家反腐败局（AFA）曾发布过一项有关帮助企业预防腐败的法律指南，试图为企业在反腐败方面确立可操作的合规指引。2020年12月，在总结相关实践经验的基础上，AFA对上述指南做出了更新和改进，发布了一份全称为《法国反腐败机构关于帮助公共部门和私营企业预防和监控贿赂、利用影响力交易、公职人员勒索、非法获取利益、挪用公款和徇私舞弊行为的指南》（以下简称为《法国反腐败指南》）的文件，对在公共部门和私营企业实施有效的反腐败合规的标准作出了更加详细的规定。《法国反腐败指南》尽管对涉案企业并不具有强制约束力，但可以成为AFA审查企业合规计划有效性的重要依据。该指南分为三大部分，在确立反腐败计划的基本原则和三项支柱的前提下，分别对私营企业和公共部门的反腐败计划确立了较为详细的标准。以下对这些有效合规标准作出简要分析。
（一）反腐败合规计划的基本理念
《法国反腐败指南》试图为企业提高认识、预防、发现和制裁相关腐败犯罪确立必要的措施和程序。该指南将“相称性原则”确立为核心理念，要求企业根据其所面临的合规风险情况来建立反腐败合规计划，合规风险情况由不同的因素所决定，这些因素可以包括业务活动、产品或服务类型、治理结构、规模、业务部门、营业地点以及不同类型的第三方商业伙伴等。
该指南认为，企业的反腐败合规计划应建立在三个不可分割的支柱基础上。这三个支柱分别是：（1）高级管理层的反腐败承诺，包括通过言行举止体现正直和诚实的品质；通过个人交流促进反腐败计划；投入必要的资源，以建立有效和高效的合规计划；努力督导合规计划的运行；在决策过程中遵守合规计划；对违反行为准则或可能被认定为腐败的行为，实施适当和相称的制裁；（2）风险识别，也就是运用风险识别工具，来提升对企业所面临腐败风险的认识；（3）风险管理，通过有效的措施和程序管理已识别的风险，以预防和发现任何违反行为准则或可能构成腐败的行为，并实施相应的制裁。这种风险管理还包括监测和评估相关措施和程序在预防和发现腐败方面的有效性。
（二） 高级管理层的反腐败承诺
高级管理人员是指那些根据公司章程和有效标准履行公司管理职责的高级负责人。在设置董事会的企业中，高级管理人员的工作要接受董事会的监督，而董事会则负责确保通过适当和有效的反腐败计划来妥善应对企业所面临的腐败风险。这些高级管理人员在执行企业任务、展示能力和开展业务方面所作的反腐败承诺，是任何反腐败计划的基础。
这种承诺不仅体现在高级管理层在企业内部实施预防和发现腐败行为的决心上面，还体现在反腐败资源的适当分配上面。为保证反腐败计划所包含的措施和程序得到有效的设计、实施和监督，高级管理层应部署与其腐败风险相适应的适当资源。其一，高级管理层既可以亲自负责反腐败计划的设计、实施和监督工作，也可以将这些工作委派给其他工作人员。在后一情况下，有关工作人员必须直接向高级管理层进行报告。其二，高级管理层应确保其下属工作人员通过经验或接受培训获得必要知识，享有为履行职责所需要的足够权力和相关信息。其三，高级管理层应对其反腐败计划的各项措施和程序的审计结果加以审查，以确保该计划的正常运行。其四，高级管理层应亲自参与执行某些重要的反腐败措施和程序，例如，对特定的腐败风险作出识别验证，根据第三方尽职调查结果作出决定，或者对那些违反行为准则或实施腐败行为的人做出处罚，等等。其五，高级管理层应在企业内部并向第三方商业伙伴传达其反腐败计划，强调自己对道德和诚信的坚定承诺。其六，高级管理层应确保对那些违反行为准则或实施腐败行为的人，作出适当和成比例的制裁。
（三）腐败风险识别
对企业腐败风险的识别是反腐败计划的基石，也是对腐败问题采取预防和检测措施的根据。通过风险识别，企业应对其所存在的腐败风险作出具体的确认、评估，并采取分级管理措施。
反腐败计划是一种基于风险的合规管理体系。按照这一体系的要求，企业应对其腐败风险加以了解和作出评估，并实施适当和相称的措施和程序，以便对这些风险作出有效的管理。
为进行风险识别，企业应定期更新相关文件，以获得对腐败风险的准确认识；企业应详细分析其管理流程，采取可以真实反映企业实际风险的识别方法；企业应对风险的严重程度做出准确的评估，并通过对风险的准确排序，对风险作出有效的管理。
在对腐败风险作出识别后，高级管理层应提交专门部门进行验证，这种验证在实施之前和每次更新后都要进行。
（四）腐败风险管理
所谓风险管理，是指企业根据对腐败风险作出确认、评估和优先排序的结果，来设计、部署和实施反腐败计划。反腐败计划所包含的措施和程序，应达到三个方面的目标：一是有效预防可能发生的合规风险；二是对正在发生的合规风险作出监测；三是对所发现的制度缺陷采取补救措施。
- 1.预防机制
一般而言，针对腐败风险所采取的预防机制可以包括三项措施：一是制定行为守则和相关程序和政策；二是提高对腐败风险的认识并采取培训措施；三是对第三方商业伙伴采取尽职调查措施。
所谓行为守则，或者具有同等效力的文件，是指企业针对管理层和员工所实施的道德规则，也是针对各种可能构成腐败的不当行为的禁止性规则。这些行为准则应当是清晰、直接和明确的，是高级管理层在企业内部加强反腐败措施的第一步。这些行为准则应在各个方面对企业内部的全体员工具有约束力，并应尽可能被纳入议事程序之中。其他方面的道德规则和良好实践政策也应被纳入行为准则之中，例如关于规范礼品、赞助、游说、利益冲突管理、招待费用、兼职以及其他与反腐败有关的程序。作为一个不可分割的整体，对于企业的行为守则与相关的反腐败程序和政策，应当确保全体员工易于获取，并在必要时通过适当方式传达给第三方商业伙伴。
提高全体员工对腐败风险的认识，是预防机制的重要组成部分。无论是管理人员还是履行最高风险职责的员工，都应接受与他们的工作和潜在风险相称的强制性培训。企业可通过风险识别程序来确定目标学员和培训内容。与此同时，企业应保证受训人员了解反腐败计划的整体架构，确认他们在工作中遇到的特定风险以及适用于这些情况的程序和措施。为保证培训的有效性，企业应建立对受训人员进行监督和测试的各项指标。
不充分的第三方尽职调查会使企业陷入腐败犯罪的牵连之中，并对其声誉造成损害，对其商业发展带来不利影响，甚至使企业或者其高级管理人员承担法律责任。企业开展第三方尽职调查的主要目的在于，通过评估企业在于任何第三方（包括客户、服务提供商、供应商、并购目标、用户和合作伙伴）打交道时发生的风险来进行有效的风险管理。潜在的腐败风险可能会发生在企业与上述个人或法人实体发生商业联系的过程之中。
当然，尽职调查的性质和彻底性要取决于第三方所存在的风险程度。一般而言，被认为无风险或低风险的第三方群体，可能不需要尽职调查，或者只需要较为简单的尽职调查。而对那些被认为具有更大风险的第三方群体，则需要更为彻底的尽职调查程序，以确保相关交易的安全性。尽职调查可以使用不同方法，包括对开放资源的简单搜索、深入调查以及向第三方发放评估问卷。通过开展尽职调查，高级管理层可以对与第三方是否建立关系、保持关系或者结束当前关系，作出适当的评估。同时，企业应在合同中设立有关反腐败合规的条款，以便在第三方发生腐败行为或者不遵守企业反腐败合规条款时，及时取消或者不再保持有关的业务关系。
- 2.监测机制
在有效预防腐败风险之外，《法国反腐败指南》确立了两项旨在监测合规风险的管理机制：一是内部举报系统，二是内部控制和审计系统。对于这两种系统，该指南都确立了较为具体的有效性评价标准。
所谓内部举报系统，是指企业对那些违反行为准则或可能构成腐败的行为获取秘密报告的制度。这种举报系统应与企业腐败风险的性质相契合，鼓励举报人进行善意举报，并对他们进行有效保护。该系统可以由企业自行加以管理，也可以委托合同约定的第三方进行管理，但该第三方必须有能力正确处理报告，并对举报信息严格保密。
该指南对内部举报确立了一些技术性规则。例如，举报系统可以有一个或多个提交报告的渠道，可以是电子邮件、管理软件，也可以是专门的举报平台。这些渠道应当畅通无阻，既可以随时接受组织内部人员的举报，也可以确保第三方易于进行投诉。又如，举报系统应当接受匿名举报，可以通过匿名电子邮件地址或邮政信箱，与举报人保持秘密联系。再如，在接获举报之后，企业应实施一些必要的处理程序，如在组织内部指定一名接受和处理举报的联系人；对举报人身份、举报内容和被牵连的人等信息加以保密；举报人应遵循程序提供相关信息和文件，来支持其举报事项；企业应根据举报信息或线索调查相关的商业信息和文件；告知举报人有关接受举报、采纳报告内容以及采取后续行动和作出相关时间安排的信息；假如举报没有引发进一步的行动，应将那些容易使人识别举报人和被举报人身份的文件信息及时销毁；如果启动自动举报程序，应整个流程符合数据保护的标准；对举报系统的质量和有效性确立评估指标，并将评估结果连同其他报告一并提交高级管理层，等等。
在举报系统之外，企业应建立与腐败风险相适应的内部控制和审计系统。实施该系统的目的有二：一是对企业内部的腐败行为进行预防和检测；二是对企业反腐败措施和程序的有效性进行审核，并确定适当的矫正和改进措施。
在理想情况下，内部控制系统可以有三道自动防线：一是事先采取预防性控制措施，以确保决策和交易过程符合企业的反腐败程序；二是按照特定的时间间隔或者随机地对有关决策或交易采取检测性控制，以确保第一道防线得到适当执行，并确保整个反腐败程序运转正常；三是采取定期的内部审计措施，以确保控制系统符合组织的要求，得到有效实施，并保持最新的状态。负责第三道防线的审计人员应当具有独立性，他们应由高级管理层任命，并向后者报告工作。
作为内部控制系统的重要组成部分，会计控制和审计控制可以成为发现腐败问题的首选手段。会计控制系统可确保企业的帐薄、账目和会计凭证不被用来掩盖腐败问题。这一系统着眼于那些经过风险识别所发现的高风险领域，应当成为企业必须构建的控制系统。在核实服务、付款请求、付款授权和实际付款方面确保责任分离，有助于预防腐败行为的发生。理想情况下，企业实施会计控制也有三道防线，并遵循与内部控制相同的三道程序。会计控制既可以由组织内部的会计和财务部门加以执行，也可以委托给合格的外部审计师负责实施。
- 3.补救机制
一旦发现反腐败计划存在制度漏洞或问题，就需要实施矫正或补救措施。这些措施主要包括两个方面：一是对实施腐败行为人的制裁措施；二是对反腐败文件、信息和方法的记录和存档。
对于已经发现的不遵守行为准则或可能构成腐败的行为，高级管理层应施加适当的制裁，对该类制裁应加以记录，以查明发生违规行为的原因，并防止该行为再次重复发生。高级管理层应在企业内部就该事件和相关制裁进行沟通，同时对被制裁者采取匿名措施，使其身份不易受到识别。
企业对于其反腐败计划实施中形成的文件和信息，应执行记录保留和归档系统，以确保创建审计跟踪机制。但该系统应符合数据和隐私保护的标准。企业用于制定反腐败计划和更新计划的方法也应被纳入保留和存档范围。
三、法国反腐败合规制度对我国的启示
自《萨宾第二法案》实施以来，法国在反腐败领域引入了企业合规制度。这种制度建设的基本特征是，通过建立强制合规制度，赋予大型企业建立合规管理体系的法律义务，大大推动了日常性合规管理体系（“事先合规”）在众多企业的快速实施。与此同时，通过建立暂缓起诉协议制度，对那些涉案犯罪的企业建立了合规激励机制，大大推进了“事后合规”体系在这些涉案企业的建立。不仅如此，通过对事先合规和事后合规的实践经验总结，法国有关部门逐渐形成了独具特色的“有效合规标准”，也就是以“相称性原则”为核心，以“最高层承诺”、“合规风险识别“和”合规风险管理“为三大支柱的有效合规标准。
当前，我国行政监管部门正在大力推进企业合规建设，逐步扩大合规监管的适用范围，将合规激励作为行政监管的重要手段。这在证券期货、反垄断、反洗钱和出口管制等监管领域体现得越来越明显。在行政监管领域，我国除了继续完善原有的“合规免责”、“合规宽大处罚”、“行政执法承诺”等合规激励机制以外，还可以借鉴法国的制度，引入强制合规制度，对于达到一定规模的大型企业，赋予其建立合规管理体系的法律义务，并对不履行这一义务的企业，采取行政处罚措施。目前，在证券期货、数据保护和反洗钱领域，这种强制合规制度已经开始被引入我国法律之中，但是还远远没有得到普遍的适用，也没有形成切实可行的制度。未来，可以借鉴法国的强制合规制度，在我国行政监管的各个领域，普遍确立大型企业建立合规管理体系的法律义务。与此同时，还应当在行政法规中完善合规激励机制，对于拒不履行合规管理义务的企业，固然要追究行政责任，但对于建立合规管理体系的企业，给予一定的行政激励，如授予合规资格认证等，在企业因为行政违法而接受行政调查时，给予优先适用行政执法承诺、行政宽大处罚等激励措施。
目前，我国检察机关在大力推进企业合规从宽制度的改革探索，这一制度在可预期的将来，有可能被确立为正式的刑事诉讼法律制度。检察机关已经就有效合规整改确立了初步的标准。例如，在最高人民检察院发布的规范性文件中，涉案企业被要求根据其所面临的合规风险、企业性质、业务类型、企业规模、行业特点等，建立成比例的合规组织，配备相适应的合规管理人员。这标志着我国检察机关开始接受“相称性原则“的基本理念。又如，根据相关的改革文件，第三方组织对涉案企业合规整改欧小型的评估，应重点关注合规风险的有效识别和控制，对违法人员的及时处置，管理机构和管理人员的合理配置，管理制度和人力物力的充分保障，监测、举报、调查、处理机制及合规绩效评价机制的运行，持续整改机制和合规文化的形成，等等。这也意味着合规风险识别和风险管理的理念，也得到了相关改革文件的接受。
尽管我国检察机关已经初步确立了适合我国情况的有效合规评价标准，但是，这一标准仍然有进一步完善的空间。在这一方面，法国反腐败案件的有效合规标准是具有一定参考借鉴意义的。例如，不仅是合规管理机构和管理人员，在合规风险识别和合规风险管理方面，也应贯彻相称性原则，根据企业的风险领域、行业特点、业务类型和企业规模，设置相对应的合规整改方案。在这一方面，有必要探索建立多元化的合规整改模式。目前，实践中已经初步形成了“简式合规”和“范式合规”的模式区分，有必要在此基础上加以细化，使之具有普遍的可操作性。又如，在合规风险识别方面，有必要强化企业的内部调查制度，督促准确地查找犯罪原因，发现管理制度的漏洞和隐患，并根据企业已经暴露的违法犯罪情况，识别出存在违规发现的制度领域和业务环节，从而采取有针对性的合规整改。再如，在合规风险管理方面，可以根据涉案企业的具体情况，以有效预防犯罪再次发生为目标，有针对性地采取定期风险评估、尽职调查、合规培训、合规沟通等风险防控措施，有选择地采纳包括合规报告、合规举报、合规审计等风险监控措施，根据需要适用合规内部调查、处罚责任人员和改进合规管理体系等补救性措施。
当然，法国的有效合规标准主要适用于反腐败领域，其适用范围略显狭窄，其暂缓起诉协议制度也仅仅适用于极少数特大型涉案企业，在有效合规整改的经验总结方面还缺乏基本的数据支持。法国有关部门所确立的有效合规标准，对于事先合规和事后合规都同时适用，这在一定程度上限制了这些标准的普遍适用价值。其实，与日常性合规管理体系的建设不同，检察机关主导的合规整改，需要确立一些专门性和有针对性的有效合规标准。在这一点上，我国检察机关在借鉴吸收法国合理的合规体系建设经验的同时，还应当立足本国国情，通过总结涉案企业合规整改的成功经验，提炼出越来越成熟的中国版本的有效合规标准。这是推进合规从宽制度改革的必由之路。
作者：陈瑞华（北京大学教授、博士生导师）
来源:悄悄法律人
本文仅供学习交流、公益普法使用，如来源标注错误或侵犯到您的权益，烦请私信告知，我们将于第一时间删除！
