文 | 甘震乾

此次公布的《中华人民共和国反跨境腐败法（草案）》（下称“草案”）共六章四十七条，其中专设“廉洁合规”一章，对从事跨境经营业务的企业提出制度建设、风险评估、财务管理、第三方管理及员工教育等要求，并在第四十五条规定不履行相关义务的法律后果。

正如笔者在此前讨论《反不正当竞争法》商业贿赂条款，特别是如实入账义务的可执行化问题时^[1]，曾持续关注一个问题：法律规定了企业“应当”履行的义务后，如何通过明确的法律后果及可操作的执法机制，使该义务真正得到落实？此次草案将廉洁合规义务与相应的法律责任直接衔接，为这一问题提供了值得关注的立法样本。

对于企业而言，这意味着合规体系建设的法律意义将进一步扩展。除预防违法、支持调查应对和事后整改外，履行廉洁合规义务本身也拟成为可以独立接受监管审视的事项。企业需要考虑的，既包括如何建设与自身业务相适应的体系，也包括如何使其持续运行，以及如何证明有关要求已经得到实际落实。

草案第三十条第一款规定：

“从事跨境经营业务的企业应当根据企业规模、业务范围、营业收入等，制定廉洁合规管理制度，完善廉洁合规运行机制，及时调查和处理违规行为，将廉洁合规管理贯穿跨境经营业务决策、执行、监督全过程。”

与之相对应，第四十五条规定：

“从事跨境经营业务的企业不履行本法规定的廉洁合规义务的，由有关主管部门责令限期改正；拒不改正的，可以责令暂停相关业务、停业整顿或者吊销相关业务许可证。上述行为同时违反其他法律法规规定的，依法追究法律责任。”

当我们将这两条规定结合理解，则可以明确厘清其中的监管要求脉络：第三十条要求企业制定制度、完善运行机制并及时调查处理违规行为，第四十五条则为包括上述要求在内的廉洁合规义务配置了相应的法律后果。此外，对于合规管理制度的要求并不仅仅停留在政策制度的文本之上，而是要求将合规管理“跨境经营业务决策、执行、监督全过程”。

由此可见，草案不仅为企业设置了明确的合规体系建设要求并明确了未能履行的后果，而且明确企业应确保该合规体系有效运转。因此，企业即使已经制定了相关反贿赂政策，如果相关政策长期未执行，对已发现的风险也未作处置，仍可能面临被认定未履行廉洁合规义务的风险。

此外，从第四十五条的文义看，其适用并未以企业已经实施或者被认定实施跨境腐败行为为前提。换句话说，未履行廉洁合规义务与实施跨境腐败行为，是需要分别判断的两个问题。企业未发生已查实的腐败案件，并不当然意味着其已经履行法定义务；反过来，企业发生个别违规事件，也不宜直接推定其整个合规体系无效。是否履行义务，仍应结合企业面临的具体风险、已采取的管理措施以及实际运行情况进行认定。

由此可见，与此前的诸多合规指引和指南对于有效合规体系的倡导性提法不同，草案的上述制度涉及，使得合规投入不足可能产生的不良后果，从后端的违规事件进一步提前至前端。在草案的这一规定下，如果企业未能建立起行之有效的合规体系，即便侥幸未发生合规风险事件，仍然可能被责令改正，未能改正的，甚至可能被进一步将进一步采取暂停相关业务、停业整顿或者吊销相关业务许可证等措施，从而直接影响公司的业务开展资质和能力。

草案第二十九条第二款将“从事跨境经营业务的企业”界定为：“在境外设立分支机构、子公司或者进行投资活动的境内企业，以及境外企业在境内设立的分支机构、子公司”。因此，第四章的适用对象同时包括“走出去”的境内企业与“引进来”的在华外资企业，且没有将一般性义务限于国有企业、上市公司或者大型企业。

此外，对于不同企业之间的合规体系，草案第三十条还明确了应“根据企业规模、业务范围、营业收入等”进行设计。这意味着，草案并非要求各个不同行业、不同规模的企业都要统一适用一套合规体系标准，而是应当以“风险为本”为原则进行定制化考量，如业务单一、境外人员较少的企业，与在多个国家设有生产、销售及政府事务团队的大型集团，可以采用不同的组织及管理安排。在“风险为本”的标准下，衡量一个合规体系是否有效的标准，应是有关安排能否满足企业合理的合规风险管控需求，而非是否拥有同样数量的制度、审批层级或者合规人员配置。

草案第四章已经对廉洁合规的基本框架和主要要求作出了较为系统的规定。在此基础上，域外较为成熟的反腐败合规实践，也可以为企业进一步理解和落实相关要求提供有益参考。作为比较法上的参考，美国司法部及美国证券交易委员会在《反海外腐败法》项下也对有效合规体系的主要要素作了系统梳理^[2]。结合草案第四章、域外的企业合规实践经验以及企业经营中常见的问题，我们建议从以下九个方面着手：

（一）高层基调：合规承诺体现在经营决策中

合规体系的有效运行的基石是公司要建立一套真正的合规文化。而合规文化“皇冠上的宝珠”，则是高层基调。对于一个良好的高层基调而言，应当体现为管理层将合规经营作为企业实现长期、稳健发展的基本原则，并落实到业务目标制定、资源配置和具体经营决策之中。

实践中，高层基调不能停留在总裁或者CEO每年发布一封合规倡议信、在员工大会上重复几句原则性要求。真正影响员工行为的，往往是管理层在面临业绩压力、重大项目和利益冲突时作出的具体选择。如果公司一方面强调廉洁合规，另一方面又以业绩压力为由默许业务绕过审批、降低第三方准入标准或者容忍缺乏合理依据的费用支出，员工最终接受到的实际信号很可能与书面政策完全相反。

因此，高层管理人员需要以身作则，将合规要求落实到每一项重要业务决策和费用审批中。管理层在经营决策中的实际行为，往往比任何一份合规宣言更能决定企业的合规文化；如果管理层自身不断突破规则，再完善的制度也很难在业务一线得到有效执行。只有这些日常决策长期保持一致，企业内部才能真正形成稳定的合规预期。

（二）政策制度：高风险场景与国别/区域规则

合规的政策制度作为合规体系的骨架，应以风险识别评估为基础，考虑经营所在国家、客户及交易对象、政府接触环节、资金流向与第三方使用方式，并重点覆盖关键或高风险业务场景。

具体而言，海外经营的反腐败政策至少应根据业务实际覆盖礼品与招待、差旅接待、捐赠与赞助、咨询服务、佣金及代理费、政府许可与通关、招投标、利益冲突等高风险场景。对于相关场景中的具体规定，应列明禁止行为、审批权限、所需材料、例外处理及升级路径，使员工能够据此判断一项具体业务是否能够开展，以及应当如何开展。

此外，考虑到不同司法管辖区对于诸如礼品、招待、差旅、政府许可等场景或事项的监管要求可能存在差异，我们建议企业可以采用总部基本政策+重点国别/区域附录的方式，在确保集团合规政策一致性的前提下，明确具体司法管辖区内的礼品及招待限制、政府交往注意要点等细则，并明确审批联系人。对于中国法、当地法与集团政策之间的差异或者冲突，应设置专门的法律审查路径，基于“风险为本”的原则明确适用规则，而非简单粗暴地规定“一律适用最严格标准”。

（三）组织与资源：有人、有权

再完善的合规政策，最终都需要具体的人员和组织去推动执行。草案第三十条第二款对此已经提出较为明确的要求，规定从事跨境经营业务的境内企业应当合理设置廉洁合规管理部门或者人员，并根据境外业务规模、风险状况等配备相应人员。对于大型跨国经营企业而言，可以设置专职合规团队和区域合规人员；对于规模相对较小、业务较为集中的企业，也可以采用兼职人员、区域共享或者总部集中支持等模式。具体采用何种组织形式，应当与企业实际面临的廉洁风险相匹配。

同时，资源配置还需要结合企业跨境经营的实际需求动态调整。项目数量增加、经营地域扩大、进入高风险市场或者大量使用政府关系密切的第三方后，原有人员和预算未必仍然足够。对于兼职承担合规职责的人员，也应当明确其职责边界、投入时间、专业支持以及利益冲突回避机制。设立了合规部门或者任命了合规负责人，只是体系建设的起点；如果长期缺人、缺预算、缺权限，相关职能仍然很难真正发挥作用。

此外，有效的合规体系还要求企业对于合规职能给予充分授权。对于合规授权是否充分，可以重点观察几个问题：合规人员能否在必要时直接接触管理层，能否获取合同、付款、第三方和其他与风险判断有关的业务资料；对重大风险事项能否提出暂停、升级或者进一步审查的意见；当问题涉及直属上级、重要业务负责人甚至高级管理人员时，是否存在独立的汇报和决策渠道。

（四）业务激励与合规奖惩：不可既要又要

合规本身并不排斥业务的发展。但是不合理的业务目标几乎无可避免会在无形中迫使员工违背合规经营的原则，追求短期的业绩。因此，合规体系是否得以有效运行还与企业如何设定业务目标、评价业绩和分配利益密切相关。如果公司一方面要求员工严格履行合规义务，另一方面又设置明显脱离市场实际的业绩目标，并将奖金、晋升甚至岗位去留高度绑定于短期销售结果，就容易形成事实上的反向激励。

这一问题在海外经营中尤其值得关注。新市场开拓、政府项目、大额招投标以及依赖代理商或经销商的业务，本身就可能具有较高的廉洁风险。如果企业只关注销售额、市场份额和项目获取，对异常佣金、高额折扣、咨询服务费或者其他市场费用缺乏同等程度的关注，业务压力很容易沿组织层级向下传导，最终弱化既有的合规控制。

因此，我们建议企业在销售目标、绩效考核、奖金、晋升以及经销商激励机制中适当纳入合规因素。对于坚持审批要求、主动报告风险、拒绝明显违规业务并推动问题解决的员工，应当给予管理层明确支持；对于绕过流程、隐瞒风险、提供虚假材料或者打击报复举报人的行为，则应严肃处理并明确表态反对。

相应的奖惩机制还应覆盖负有管理职责的人员。对于长期放任下属绕过控制、明知存在异常却未采取措施的管理者，其管理责任也应得到体现。至于奖金扣减、递延、追回等措施，则需要结合适用的劳动用工法律、劳动合同及企业内部制度进行设计，确保相关机制具有实际可执行性。

需要注意的是，合规绩效指标本身也应合理设置，例如，将“零举报”“零问题”作为目标，反而可能诱导团队压制举报或者隐瞒风险。

（五）第三方管理：应贯穿合作全生命周期

第三方是跨境腐败风险最为集中的领域之一。尤其是在海外经营中，企业往往需要依赖代理商、顾问、报关服务商、渠道商以及其他外部合作方接触政府部门、争取项目或者处理当地事务。企业与最终风险行为之间增加了一层第三方，并不会当然隔离相应风险。

有效的第三方合规管理应当覆盖准入、签约、履约、付款、定期复核直至终止合作的全生命周期。

在合作前，企业应当根据第三方的实际风险了解其股权和实际控制情况、政府关系、履约能力、聘用必要性、服务内容和收费依据。对于客户指定中介、异常高额成功费、要求向无关账户付款、服务内容模糊、缺乏相应人员或者专业能力等红旗，应当进一步核查，并对最终接受、限制或者拒绝合作的理由予以记录。

在合作过程中，则应持续关注第三方是否按照合同实际履约，付款金额和方式是否与服务相匹配，风险状况是否发生变化。合同中的合规承诺、审计权、信息提供义务和终止权等条款，也需要在发现异常时真正使用。涉及分包、转委托或者第三方继续使用其他中介的，还应根据其实际业务角色和风险程度决定是否需要进一步穿透管理。

草案第四十一条还对共同实施以及教唆、帮助实施跨境腐败行为明确了法律责任。对于第三方的跨境腐败行为将如何传导至企业，应具体结合第三方违法情节、企业第三方管理状况以及企业在相关违法行为中的涉及程度进行个案判断。有关共同违法规则与现有行政法律责任之间如何衔接，我们将在本系列后续文章中进一步讨论。

（六）举报与调查：鼓励发声并严禁报复

一套合规体系能否发挥作用，很大程度上取决于企业能否及时发现问题。很多腐败风险可能来自员工举报、业务异常、审计发现或者第三方投诉。因此，有效的举报和内部调查机制，是企业持续识别和处置廉洁风险的重要保障。企业因此需要建立境内外员工能够方便使用、愿意使用，并且相信举报之后会得到适当处理的渠道。

具体而言，举报机制应当包括便利的举报入口、保密和反报复安排、案件分级、利益冲突回避、调查授权以及适当的结果反馈。对于涉及当地管理层或者高级管理人员的举报，应设置可以绕过相关管理层的汇报渠道，避免线索在业务体系内部被截留。企业还可以定期分析举报类型、调查周期、重复发生的问题以及整改完成情况，从中识别更深层次的制度风险。

发现重大线索后，内部调查还需要兼顾事实查明、证据保护、员工权益以及不同司法管辖区的法律要求。跨国企业尤其需要关注调查材料跨境调取、员工访谈、个人信息处理以及调查结果向境外总部汇报可能涉及的中国法要求，避免机械照搬全球统一调查流程。

此外，草案第三十一条还规定，发现涉嫌跨境腐败问题的，应依法向监察机关、公安机关等有关机关举报、报案。企业应当在内部流程中设置相应的法律评估和决策机制，及时判断线索是否已经达到相应程度、向何种机关报告以及报告哪些内容。一般政策偏差、尚待核实的举报线索与已经涉嫌跨境腐败的问题，仍需要结合具体事实依法区分处理。

与此同时，反报复机制是举报制度能否真正发挥作用的关键。员工只有相信善意举报不会因此遭受降职、调岗、绩效打压、奖金扣减、排斥孤立或者其他形式的不利对待，才更可能主动报告问题。因此，企业应当在制度中明确禁止对善意举报人、配合调查人员以及提供相关信息的员工实施报复，并建立相应的升级和处理机制。对于举报发生后短期内出现的异常绩效评价、岗位调整、劳动关系变化等情况，也应当保持必要关注，避免管理人员以其他名义变相实施报复。经核实存在报复行为的，应按照内部制度严肃处理，并通过适当方式传递明确的管理信号。

（七）培训宣贯：听得懂、学得会

合规制度最终需要员工在具体业务中执行。对于大多数员工而言，他们并不需要掌握复杂的法律理论，更需要知道在面对一项真实业务时，哪些事情可以做、哪些事情不能做，出现疑问时又应当向谁寻求帮助。因此，培训宣贯的价值，在于将抽象的法律和政策要求转化为员工可以理解和执行的具体规则。

我们建议企业根据不同岗位的风险特点设计培训内容。例如，销售和业务人员应当知道如何应对客户索要不当利益，财务人员应当能够识别异常付款和虚假支持材料，采购和供应链人员需要关注第三方背景及利益冲突，管理人员则应当理解自身的审批、监督和升级报告责任。对于境外团队，还需要结合当地法律和实际业务场景进行本地化培训。

培训形式也应尽量贴近真实业务。例如，当地代理商声称“这笔费用是取得许可的惯例”时，员工应当如何回应、向谁咨询、需要补充哪些材料；业务团队希望紧急聘用一个由客户推荐的顾问时，应当如何汇报与决策；收到外国监管机关的资料要求或者访谈通知时，又应如何响应。此外，对于新入职员工、外派人员以及进入高风险岗位的员工，还应及时开展针对性培训。

同时，企业还应通过情景测试、审批抽查、内部调查发现以及重复错误分析，判断员工是否真正理解并能够应用有关规则。对于长期反复出现的问题，应及时调整政策表述、审批流程或者培训方式，让政策和培训真正回应业务中的风险。

（八）财务账册：真实、完整、一致

真实、完整、一致的财务记录，是反腐败合规体系中的一道重要防线。草案第三十二条要求企业依法建立健全财务、会计制度，保证跨境经营会计资料真实、完整，并明确禁止利用财务会计手段实施、掩饰、隐瞒跨境腐败行为。这一规定将财务管理直接纳入跨境廉洁合规体系，也使业务审批、合同管理、付款和会计记录之间的衔接更加重要。

对此，企业应尽量确保合同、业务审批、服务交付、发票和其他费用凭证、实际收款人以及最终会计科目能够相互印证。对于拆分付款、异常现金支出、第三方代付、向非合同主体付款、服务交付与费用明显不匹配等情况，则应设置相应的预警和复核机制。

对于境外机构的，总部还应当根据第三十二条加强财务管理、规范会计核算并强化内部审计。单纯依赖境外子公司定期提交的汇总报表，往往难以发现隐藏在具体合同、服务和付款中的异常。对于高风险市场、重大项目以及异常费用，总部应具备依法调阅底层支持材料、开展抽查和进一步核验的能力，使财务控制真正成为发现和预防廉洁风险的有效工具。

这一规定也与我们此前讨论《反不正当竞争法》商业贿赂条款时关注的“如实入账义务可执行化”问题形成了呼应^[3]。这一规定也与我们此前讨论《反不正当竞争法》商业贿赂条款时关注的“如实入账义务可执行化”问题形成了呼应。此前我们关注的核心问题在于，法律虽然要求经营者对折扣、佣金等“如实入账”，但如果仅仅规定一项“应当履行”的财务记录义务，却缺乏与之直接衔接的整改要求和法律后果，其在执法实践中的独立可执行性就会受到一定限制。

此次草案第三十二条一方面明确要求企业建立健全财务、会计制度，保证跨境经营会计资料真实、完整，并禁止利用财务会计手段实施、掩饰、隐瞒跨境腐败行为；另一方面，第四十五条又对不履行廉洁合规义务设置了“责令限期改正—拒不改正后进一步采取措施”的责任机制。由此，财务、会计管理不再只是识别和证明腐败行为的辅助环节，其本身也被纳入可以接受监管审视的合规义务体系。对于企业而言，这意味着即便尚未查实具体的跨境腐败行为，如果财务管理制度长期缺失、会计资料管理严重失范，或者发现明显问题后拒不整改，也可能面临独立的合规监管风险。

（九）合规体系更新：定期检讨与触发式更新相结合

合规体系并非一经建立即可长期不变。企业应当结合业务规模、经营地域和风险水平，定期检讨廉洁合规体系的适用性和有效性，并根据外部监管要求和内部风险变化及时更新相关制度、流程和控制措施。

除定期检讨外，还应建立触发式更新机制。例如，在进入新的国家或地区、开展新的业务模式、使用新的第三方类型，或者外部法律法规、监管政策和执法实践发生重要变化时，应及时评估现有合规安排是否需要调整。

企业内部发生的风险事件同样是重要的更新触发点。对于举报、审计发现、调查案件或者重复出现的违规问题，企业不应仅处理个案，还应进一步复盘问题成因，判断是否反映第三方管理、审批流程、财务控制或培训机制中的系统性缺陷，并据此完善合规体系。

此次草案一个非常重要的制度变化，在于企业廉洁合规体系本身拟成为一项独立的法定义务。对于企业而言，这意味着合规要求不再仅仅体现为预防违法、支持调查应对或者争取从宽处理的管理工具，而是企业需要持续履行并接受监管审视的一项义务。

在此背景下，企业一方面需要建立并持续运行与自身规模、业务范围和风险状况相适应的合规体系；另一方面，也有必要对合规体系的建立、更新和实际运行情况形成相应记录。例如风险评估、制度修订、管理层审议、第三方尽调、培训、举报调查、整改和后续复核等，都应当在日常管理过程中形成真实、可追溯的记录，以便在面临检查时说明企业如何识别风险、采取措施并持续改进。

与此相对应，后续规则还需要进一步明确什么情况下可以认定企业的合规体系未达到法定要求。完全没有建立制度、制度长期不执行、关键风险长期无人管理、发现重大问题后仍未采取措施，与个别流程缺陷、偶发记录遗漏或者单次执行偏差，在性质和程度上显然存在区别。我们建议后续通过配套规则、执法指引或者典型案例，结合企业规模、业务复杂程度、风险水平以及实际整改能力，明确履责评价标准和需要启动整改的基本情形。

对于企业当前的准备，我们建议可以先行开展有针对性的差距评估，优先处理管理责任不清、关键风险场景缺少规则、第三方和付款审核失效、举报无法有效处理等实际问题，并同步建立相应的更新和留痕机制。已经建立集团合规体系的企业，可以在现有基础上补充中国法及重点市场要求；初次开展体系建设的企业，则应首先确保重要风险有人负责、有规则可循、有措施执行，也有记录可以说明相关要求确实得到了落实。

总体而言，草案将企业廉洁合规进一步纳入具有明确法律后果的持续履责体系，这意味着在草案框架下，企业的反腐败合规体系建设已经从一个预防性的软义务转化成一个有着明确对应法律后果的硬义务。对尚未完整建立合规体系的企业而言，当前可以先从风险评估、制度与流程、第三方管理、举报调查、财务控制及体系更新等重点环节入手，结合自身业务逐步补齐短板并随着后续配套规则进一步明确履责标准、整改要求和执法边界，持续检视并完善相关安排。

注：本文观点供交流讨论和参考，不代表对具体事项的法律意见。具体问题仍需结合适用法律法规、监管要求和个案事实进行判断。