公司合规源于美国，已有60年的历史，[1]在中国的提出也有若干年，但最早关心这一话题的仅仅是赴国外上市公司（合规于外国法）以及外国在华公司（合规于美国《反海外贿赂法》），并不普及。2006年的银监会《商业银行合规风险管理指引》以及2008年的证监会《证券公司合规管理试行规定》中的“合规”和“合规总监”，以及国资委的“总法律顾问”制度，可以看成是中国法上引入这一制度的开始。

两个公司治理危机事件层叠地促进了一般公司去严肃审视这一机制。首先，肇始于2007年并大兴于2011年的“中国概念股”公司在美国上市之后遭遇到各种信息披露和财务欺诈问题，引发了高度关注，[2]域外律所从此时开始提供合规引导的服务，但由于所引发的更多是民事赔偿，范围也局限于此类公司。其次，则是由于域外长臂管辖的存在，诸多跨国公司的风险上升到可能遭受刑事处罚的层面，中兴通讯、华为等案件，陡然成为了当下学界和业界的热点话题。具有国外业务的公司，开始采纳有关合规的法律服务。合规成为新的律师业务的增长点。不仅如此，监管部门也受到影响，强调合规概念，甚至已经有部门出台了针对一般公司的合规指引，如2019年7月9日发布的《浙江省企业竞争合规指引》。

今天通常所讨论的合规，源于经济法的各领域，如反垄断法、证券和金融监管以及跨国商业行为，在制裁上这些领域的监管和责任追究充当了替代。现在，其已经扩展到经济和社会规制的各个领域。合规从不同的部门兴起，从最开始的分流和不同目标，逐步在近年来合并成干流，并成为多个法律部门的共享制度。从经济和社会规制中的行为监管，到作为刑事制裁的替代手段，再到公司法中的社会责任和注意义务，到最后，形成这一制度的共同目标：引导公司成为“良善公民”（good citizen）。这是一个逐步演化、由分到合的过程。

因时势而勃发的中国合规，在目前成为实践热点。但是源于美国并扩展到世界范围内的这一制度，有许多值得检讨的地方，对其效果的争议一直不断，甚至被许多学者批评为失败的制度。现有中文研究对此关注更多是操作层面的模仿，而欠缺制度和理论层面的深入分析。中国式的公司治理、法治水平，和大陆法系的制度局限性，限制了合规的作用发挥。本文试图在梳理合规的源流、并轨及其内涵外延演变的基础上，对其在理论上的争议进行回顾，对中国模式的合规制度背后的理论问题及其制度条件进行检讨。

合规（compliance）是服从的含义，“规”是翻译而来的，当然“规”的含义是多重的，包括法律和伦理规范两种，并不仅限于法。显然，合法的内涵要小，针对“硬法”（hard law），而对于是否应当包括“软法”，后者更多表现为公司社会责任（CSR），有不同理解。[3]合规也被称为“组织尽责”（organizationaldue diligence）。[4]按照美国律师协会（ABA）合规指南起草人之一保罗·E.麦格雷尔（ Paul E. McGreal ）的表述，“公司合规和伦理体系（ethics program）是符合法律立法和内部伦理标准的，由组织行为规则、政策和程序构成。为此，组织必须：首先，创造一个公司文化，教育和动员组织雇员，遵循法律规则和伦理规范而行事；其次，通过风险评估、督导（monitoring）、审计和适当的纪律来阻止和发现违规。其挑战是，在一个组织结构、文化和法律环境内，去识别和实施有效措施，以最好方式实现每个任务”。[5]

站在公司的立场上，合规更多和“风险管理”（risk management）、“内控体系”（internal control）联系在一起。通常惯用的界定，一是COSO所界定的内控和合规，包括五个要素：控制环境、风险评估、控制程序、信息和交流以及督导；另一是指PCAOB所界定的，“由实体的董事会、管理层和其他人事执行的，用于提供合理的与操作、汇报和合规相关的目标实现的过程”。[6]公司的合规、风控、内控、内审等，在每个公司中有分有合，或同或异，但都是“公司用于确保其雇员不违反适用规则、规制或者规范的一套程序”。[7]

合规作为一个制度，对于外部监督者（规制者、执法者、行业管理者、社会行动者）而言，是“组织采用的，防止违反法律和确保对外部权威的服从，由此采取步骤来发现违规的政策和控制系统”。[8]作为对法律服从的合规，通常认为由三个要素组成：一是公司确立发现和阻止高频发生的犯罪行为的内部机制；二是这一机制应当持续完整地运作；三是尽管公司可以依据不同的标准进行特殊分工，但应当采取广泛的预防措施。这些通常被更具象地形容为“一套正式行为准则、一个合规部门和官员以及一个面向员工的热线电话”。[9]

结合前述的软硬法的区分，公司合规实际上有两层：第一是阻止非法行为，尤其是防止诸如洗钱、内幕交易、贿赂、会计和银行欺诈，也包括违反规制，包括不当价格政策等垄断行为所引发的刑事和民事责任，以及属于侵权的如工作场所性骚扰、职业安全、隐私以及环境保护等。在这个层面上，合规强调的是减少雇员的非法行为风险，公司由此可以降低所承担的上级（respondent superior）责任。第二个是合规体系通常会趋向和正向价值规范相符合，包括要求雇员遵守除了法律之外的公司内的行为准则和惯例。后者填补了正式法律规则和规制执行机制的空白，也被称为商业伦理规则或者与社会责任相关的内容。这样的两种区分，也有学者形容为：合规与正直（integrity）。[10]

美国司法部《量刑指南手册》§8B2.1(a)-(b)[11]提出了有效合规体系最低标准，组织应当：（1）采用应有勤勉来阻止和发现犯罪行为；（2）促进鼓励伦理行为和守法承诺的组织文化。这一合规和伦理体系应当合理设计、实施和执行，以实现在阻止和发现犯罪行为上的一般有效性。未能阻止或发现紧急违规，并不必然意味着体系不能一般性地阻止和发现犯罪行为，具体包括：（1）创造阻止和发现犯罪行为的标准和程序；（2）体系内的所有级别都应负责，并应当向管理者提供充分的资源和权威；（3）组织应当采用合理努力发现或应当通过应有勤勉来发现，在具有实质权限的组织人员从事非法活动，或者有其他与有效合规和伦理体系相冲突的行为的时候，剥夺其权限；（4）组织应当采用合理步骤，确保所有级别的人员以符合实际的方式交流合规和伦理体系的其他方面的标准和程序；（5）采用持续督导、审计和禁止报复的内部建议/报告系统，包括定期对体系有效性进行评估，建立允许匿名或保密的发布系统，以便雇员或代理人可以汇报或者提出建议；（6）采用明确的激励和惩罚措施，促进和推行合规与伦理行为；（7）发现违规之后，采取合理措施，作出适当回应，并阻止更多的不当行为。2019年更新版，明确提出了12项评估合规体系有效性的指标，并在《商业组织联邦起诉原则》中明确提出了三个评价标准：[12]合规体系是否设计良好？是否有效实施？是否实际发挥作用？

合规应当“因人而异”，[13]但反讽的是，大多数公司都是类似的。[14]首先，大同小异的合规体系都要对员工进行教育和培训。公司制定行为准则，要求员工进行记忆或背诵令行禁止的行为,分发员工手册，其中包括公司的使命或者价值，以及具体的员工行为。比如防止利益冲突，涵盖旅行、礼物往来以及各类休闲娱乐方面。其次，督导的目标是保证公司政策目标得以落实，迅速发现任何违规。直接督导从雇佣开始，所有员工应当接受经常性的对其行为的监督，包括鉴定、离职程序和监督总结。间接督导采用热线电话或者网站媒介以支持对不当行为的投诉，也包括在商业交易之中使用巡视员或者外部审计。再次，合规需要强制执行，主要是对违规人员追责，公司要配合执法部门，对员工实施罚款、取消授权、降职甚至配合将其定罪入狱。[15]千篇一律的操作，导致合规成了可选择度较低、同质性较强的强制版本。[16]

公司合规在过往的60年内，从非正式、被动反应式向正式、积极踊跃式演化。最初属于问题导向，是指公司向监管机关作出行为承诺。1946年通用公司首先采用了反垄断合规政策，所有公司官员均需要签署符合反垄断法从事活动的声明，但是不能减轻处罚。1950年代，电气设备制造业的几家大公司，从事了固定价格、围标和分割市场的行为，[17]政府对此除了实施罚金外，还要求一些公司采用反垄断合规体系。1966年，FTC主席Dixon提出，如果公司存在着符合法律的内部体系，在有效监督和诚实运营下，如果违规仅仅是粗心造成的，并迅速得到了纠正，那么公司对监管机关的承诺是可信的。[18]

缘起于反垄断法的合规在之后扩展到了美国证监会、税务署等系统。1970年代水门事件中，检察官发现很多公司在1972年总统选举中提供非法政治献金。证监会和税务署发现，非法贿赂和回扣行为在公司商业实践之中非常普遍，于是制定了相应的上市公司自愿信息披露制度。如果公司采用自我调查，并且向证监会披露不当行为，则可以减轻处罚。证监会同时还要求存在不当行为的公司作出承诺，改变其业务程序，采用外部审计。[19]

同时，1970年代，很多美国公司被发现广泛存在对外国政府官员的贿赂行为，国会通过了《反海外贿赂法》，确立了有关公司在财务审计和同外国政府商业往来上的内部控制的要求。

在证券法领域，不断曝光的内幕交易丑闻，暗示着有关市场在自愿披露和实施审计监督方面的不足，国会在1988年通过了《内幕交易和证券欺诈强行法》，将证券业对员工的监督列入了强制要求。[20]证监会在1990年代也强制要求投资银行建立合规体系以防范欺诈行为。由于金融业内不时发现欺诈财务报告，Treadway委员会建议发展公司行为准则，该委员会之后确立的风险与内控系统成为行业普遍采用的标准。

1980年代中期，国防产业中的浪费和承包商欺诈丑闻引发了大众和媒体的高度关注，里根总统组建了国防管理的帕卡德委员会，提出了一系列改进方案，包括在国防产业承包商中建立伦理准则，建议承包商自愿披露不当行为，并提出可以将之作为一个减轻处罚的情节。同时还发布了国防系统内的《承包商风险评估指南》，其成为后续许多规制或者监管机关采用的样本。之后，司法部在政府采购中也采用了类似的制度。

合规的发展是一个不断升级的过程。最开始是作为一种轻微违规监管处罚的替代工具，要求公司承诺特定行为；[21]之后合规因素成为考虑减轻处罚的情节，然后逐渐成为监管部门要求采用的一般机制。尤其是从国防部开始，出现了在合规中要求主动汇报和完全配合调查的义务。当国防部发展出对公司内的合规体系进行评估的制度时，法律的执法方式就又向前跃进了一大步。实践探索为之后的法定合规制度塑造了原型。这些法律上的变化，体现了现代经济规制的特性，被视为回应型法的典型制度。[22]而回应型监管（responsive regulation），也成为了监管领域的趋势共识和代表性标签。

随着经济和社会规制针对组织的处罚的增加，刑事责任的需要凸显出来。组织量刑指南（联邦量刑指南的一个章节）就是针对公司行为的。1984年的《量刑改革法》创设了一个量刑委员会，来制定量刑指南，其中涉及到对组织的缓刑和罚款事项。应国会的要求，该委员会在1988年发布了草稿，其中并没有规定若采用合规体系就可以减少罚金的机制，只是建议减少“累犯”。草案提醒法院，在决定量刑的时候，应当考虑阻遏的收益，是否会显著超过对私人经营活动的司法监督的明显成本。起草人提出，“这些指南的核心目的，是改善公司的自我监督控制，增加内部预警系统发现未来犯罪行为的可能性”。[23]1991年4月，委员会制定了新的指南，明确了合规体系作为量刑处罚的考虑因素——如果存在有效的系统来阻止和发现违法行为时仍然存在违规，则可以在量刑打分上获得奖励，从而降低罚金。2004年的修订要求合规应推动组织文化，鼓励伦理行为。指南的出现和不断改进，促成了合规成为正式的具有激励效果的法律制度和普遍的商业实践。有评价认为指南是精心起草、累年经验和专家意见的产品。[24]

“胡萝卜加大棒”成为这一制度的标志性形容词。司法部副部长撰写的“汤普森备忘录”，可能是胡萝卜中最大的一根，规定检察官在对组织进行调查、指控和辩护交易的时候，应当考虑9个因素，其中3个涉及到有效的公司合规体系：“公司及时和自愿披露错误行为，表现出愿意配合调查其代理人的意愿，如必要，放弃公司的律师—客户（attorney-client）保密和工作底稿（work product protection）保护权利”；“存在并且是充分的公司合规体系”；“公司的救济行动，包括实施或改进有效公司合规体系的任何努力、更换负责的管理层，对错误行为人进行纪律处分或者开除、支付补偿，以及与相关政府人员合作等”。[25]

滥觞于经济规制，蔓延到社会规制和行政规制，兴盛于刑事制裁的合规，更多是一种法律上的考虑。然而，从公司及其治理的视角来看，合规更多表现为商业伦理、CSR的内容，也就是量刑指南中所指向的伦理目标。CSR也是公司商业实践内在发展出来的，合规仅仅是第一代CSR的一部分，[26]法律不过是复制、扩大了这一既有实践而已。

CSR的兴起，和三个社会经济条件的变化及思潮是相联系的。首先，1960年代后美国大型公司进入了多元化经营时代，两权分立进一步加强，公司治理上管理中心主义和经营管理思想中的精英主义盛行。CSR有助于管理层实现权力集中，独立于股东控制，推行特定的理念。其次，跨国公司的兴起中，当一个企业从法治发达国家扩展到法治程度较低国家的时候，其所需要遵守的法律规则就有所变化。许多原本遵守高标准的企业，面临着“随行就市、入乡随俗”还是“砺行厥初、严格自律”的选择。CSR起到了用伦理、社会责任来填补跨国公司在不同法律和规制水平国家间的行为标准落差的作用。再次，CSR也受到1980年之后以欧美为中心的政治体系中不断强化的人权观念的推动，其中典型的代表是1977年发源于美国的苏利文原则（Sullivan principles）。从牧师Sullivan呼吁公司抵制南非的黑白种族隔离政策开始，积极承担某类价值责任的内容不断扩展到环境保护、消费者安全、劳动保护等领域。

公司本身的扩张发展同样带来了对合规的需要，包括横向范围的公司不断的跨国、多元化、多事业部（multi-division model）模式的发展，以及纵向范围内公司权力体系的改变，包括两权分立的加强、权力集中和向下授权的同时扩张。如何在广袤的地理范围、不同的政治—经济—法律之间实施有效的管理，在防控风险，内控制度、风险管理、流程重组中以及大量长期的依赖于外包的审计、诉讼、评估等专业化中介服务等事务中进行有效的管理，公司需要一些被正式表达并且明确维持的价值观念。在这样的动力下，早期诸多的跨国公司设立了合规官，被称之为“首席伦理官”（Ethical Chief Officer, ECO），以巡视的方式，向董事会汇报不当制度、经营行为和员工违规活动，以便在不同的“规则区域”协调庞大组织的行为，从而保持组织行为与标准的一致性。

Dodd教授指出，当公司股东之间出现了修改章程等冲突，公司法的实用主义解决方案是保护权力的完整性，让小股东取得异议评估价值离开公司。这就意味着通过公司民主或者司法审查的方式去解决权力行使问题，是存在先天缺陷的。传统模式的失败，促使他最早提出了利益攸关者公司治理和CSR。[27]

1930年代开始，证券法和证券交易法随着罗斯福新政而得到了联邦化和成文化，二战期间的经济管制减弱了股东对收益回报的渴望正当性，特拉华州的立法趋向于“管理者中心”，在司法领域也出现了判例支持董事对外捐赠行为的正当性。自此，两权分离—公司业务的公共性—公司独立于股东—公司对所在社区的责任—公司作为社会良好公民的存在，成为公司治理的演化主线。1950年代之后，CSR问题从公司董事应当向哪些群体负责的诚信义务争论，扩展到了公司在社会和政治生活中的角色。从1960年出现到1980年大为盛行的接管浪潮，直接推动了公司的利益攸关者条款。法律不再要求董事会向股东利益负责，而是强制要求董事在决策时必须考虑公司的长期利益（包含了利益攸关者），或者要求直接考虑利益攸关者。[28]CSR最终在资本市场反并购活动所引发的社会反应中，取得了正当性。

几乎所有的利益攸关者条款，都扩充了董事会的权力。[29]与CSR、合规制度并行的公司权力变化上，最为重大的变化包括：第一，董事会作为公司的最高权力机关得到强化，利益攸关者条款保证了董事会拥有自行判断公司长期利益而对抗股东、尤其是反收购的权力，股权和债权划分的淡漠弱化了股权的管理职能，独立董事的增加尤其是SOX法案之后要求独立董事占据董事会席位的2/3以上，更加强了董事会对抗股东的能力，而公司的社会化也在不断加剧这种趋势；第二，管理层趋向于集权，董事会趋向于督导职能，传统的战略管理、智囊的功能交给了管理层或者专业研究机构，而由于公司管理宽度、幅度和层级的增加，董事会通过组建下属委员会日趋进行授权和放权；第三，公司内部权力制衡和分立的增强，这体现在风险管理、内控制度以及合规的建立；第四，董事的注意义务，逐渐从被要求积极作为变成了督导职责，典型的标志性案例是1996年In re Caremark Internatinal Inc.派生诉讼案；第五，董事的善意（in goodfaith）、合规或者服从（duty of obedience）义务逐步成为了诚信义务的组成部分。而其免责事由—业务判断规则也与这一过程相适应，不断得到解释扩大。合规与董事义务，外部施加的合规与内部的公司治理之间的关系，也在合规相关的法律之间得到了明确。1982年，《反海外贿赂法》78m(b)(2)中明确规定了董事“负有义务维持内部会计系统对企业的控制”；美国法学会（ALI）《公司治理和结构准则》草案中4.01(b)也明确，注意义务包括“合理的对是否存在和是否有效的督导系统，包括法律合规体系的关注”。

总体而言，从规制到刑事责任的发展，是在公司本身横向和纵向扩张发展的现实和在公司的商业实践、治理转型、权力分配变化的整体演化逻辑下进行的，公司合规不过是这个现实与逻辑的一个结果而已。

“合规是一种授权追责，通过企业的结构、流程和决策来沿着公司层级向下驱动。”[30]由于公司扩大，而内在又要求价值的同一，在这一背景下基于风险而进行管理，同时可以通过购买保险和采取内控作为自我保险，以面对跨法域的风险。从法律效果的层面，作为一个法律制度，尤其是一般公认的两个关键点——作为缘起的反垄断合规以及作为一般刑事量刑制度的指南——之后，其主要功能在于当公司违法或者犯罪的时候，可以减轻处罚，包括取得和解协议（consent decree）和辩诉/认罪协议（plea agreement）。之后，在不同的领域，这种合规对法律责任形式和轻重程度的影响又对应地产生了更为多元具体的法律机制，包括：第一，选择性赦免。1993年之后，司法部在合规上确立了赦免政策。被定罪的公司应当支付一个最低的罚金，承担被指控的声誉损失；政府合同承包商如果欺诈，可能被取消资格或者停牌。公司可以在赦免或减轻处罚之间根据成本来进行选择，但是不允许“零罚款”。[31]第二，自我评估权。其可以和前一项结合适用，也可以单独适用。公司自我进行的内部审计具有可信性，董事在没有疑点的时候可以有效信赖会计师的工作。与之相伴的法律上的权利（priviledge）主要是专业服务机构的客户保密权和工作底稿原则，对这些权利，联邦执法机关开始并不认可，但得到了法院的确认，在劳动法、反垄断、证券法等领域均有效。指南规定，公司的合规体系能够促进信息交换，虽然有保密原则的保护，但如果下级雇员也能获得审计发布的错误行为信息，可以减轻处罚。第三，合作式事前批准。对灰色地带行为，公司合规体系可以和监管机关合作，提出汇报和咨询。监管部门（主要是美国证监会）经过评估后如果无异（no-action），则可以确认其合法性。如果监管部门发出了建议函（advisory），则函件公布后可以作为先例。在司法定罪之中，法院在适用缓刑的时候，合规也成为一个重要的考量因素。[32]

上述作为激励性法律制度的合规，具有两个典型的特点：第一，在监管等层面，合规属于刺破式的，介入到公司的权力体系及其日常运作之中。监管层面对合规体系的评估强化了公司按照明确的规则对权力分配、流程等方面所进行的运作，公司趋向于透明化。同时也意味着公司治理的一般框架得到了法律或监管的确认。第二，随着公司经营和行为范围的扩大，不当行为的后果严重性程度上升，公司犯罪的数量也不断上升，这种公司犯罪的复杂性对法律和执法活动形成了挑战，合规在目前法律及监管上的地位状态，就是在对这种现实及挑战的应对中确立的。

公司合规在公司犯罪上，被普遍认为是对上级责任的突破。这里涉及公司犯罪的法律认定问题，首先是公司主观犯意及动机的争议及确立。在拟制论下，公司不能满足犯罪要件中需要的“犯意”（meansrea）。尽管有突破性的公司犯罪判例，但这些案件没有考虑精神状态要件。[33]早期英美的公司由于都是公共公司，刑罚的适用主要是基于明确的成文法强制要求。随着公司在社会经济生活中的逐渐普遍和地位上升，通过刑法实现对公司行为的一般控制就成为必然。在经济规制领域，1890年的谢尔曼法明确规定了公司的“重罪”行为，在此之后的模式，针对公司均采用了无需考虑主观状态的罚金。

尽管公司犯罪从19世纪末期开始已经成为常态，但是其犯罪的主观状态问题仍然存在，到了1909年，美国最高法院明确确立了目的犯罪，判决公司基于其自然人代理人的动机和意图而拥有（habor）了犯罪动机。1918年，美国最高法院宣布借鉴民事责任，确立了刑法上的上级责任，公司应当为其雇员在雇佣授权范围内的行为负责。“公司基于代理人意图而得其主观意图”与“公司为其对雇员授权范围内的行为负责”结合，成为公司目的犯罪的逻辑构造。在犯意问题上采用上级责任来替换，产生了两个标准——授权范围和主观意图上为了公司利益。无论是公司内的高级还是低级人员，其适用并无区分。这两个概念替换使用，试图保证公司内的各级人员均能受到“阻遏”，但造成了公司即便没有对其职员进行任何具体授权，也不能免责的情形。同时，以主观为了公司利益的标准，会导致公司雇员即便是实施了违反公司政策或者上级指令的行为，公司也因为上级责任无法免责。由于现代公司普遍采用了内部分工，如果几个不同雇员每一个人不具有错误意图，但是决策流程产生了违法，犯意问题如何解决呢？法院又创造了“集体知晓”（collective knowledge），[34]导致了即使没有任何一个自然人具有犯意，公司也不能免责的情形。

认识到这些问题，美国法学会在1962年起草《标准刑罚准则》（the Model Penal Code），区分了三种公司犯罪责任，前两种是违反规制和过失，第三种针对目的犯罪，规定为“公司董事或者高级管理人员授权、要求、命令或者执行的，或者重大过失的容忍”（recklessly tolerate），而低层、没有政策制定权力的雇员不再受到制裁。之后，大部分州都采取或借鉴了这一模式。

这种刑法理论的演化，伴随着公司法上公司本质理论的变化。20世纪以来，拟制论被实体论所替代，[35]并且公司内部的权力分配得到了尊重，出现了宪政理论；随着对公司的程式（formality）和运作惯例（routine）的理解，出现了程式理论。[36]没有这些公司理论的支持，对合规法律与现实的需求很难成为一个普遍现象。法学上的三个理论基础，即上级责任、董事义务和罚金的动摇、变化或者维持，是合规的前提。[37]

然而，不幸的是，以“胡萝卜加大棒”的量刑指南，来引导公司采用合规，从一开始就遭到了批评和指责，[38]并且随着时间的推移，学界质疑、反对、嘲讽之声几乎是压倒性的。这些声音分布在各个领域，以不同视角切入，并且在不同阶段出现，当然其间也伴随着法律制度的不断修订。

首先是激励并没有起到效果，并且经常出现极端的反面典型。比如在2000年的时候，西门子合规部门只有6个律师，监督超过40万的雇员。有调查显示，在超过200个雇员以上的11个产业的组织之中，只有15.6%具备了所有7个合规要素，18.38%的组织没有伦理手册。[39]2016年的调查显示，只有32%的合规总监对合规项目的有效性具有信心，而14%的无信心，45%的只有一点信心。[40]在1995年按照指南处罚的208家公司之中，只有一家属于存在“有效合规”。其次，是否存在着有效合规，对法院判决几乎没有影响。而在监管者或者检察官是否起诉或者处罚的时候，尽管有明确的规定，但实际上存在着另外的规则，比如允许检察官考虑所有的不合规情节，从而产生了抵销作用。再次，公司犯罪有增无减，处罚力度不断加大，一般阻遏并未达到效果。澳大利亚学者对规制领域所依赖的审计制度进行了实证研究，包括反垄断、证券等领域，发现公司合规项目审计的用处很少。[41]在公平交易领域，通过对999家最大公司的调查，发现合规有些仅仅是执行部分内容、象征性并且是三心二意的。[42]美国学者也认为合规在反垄断领域是失败的。[43]此外，合规实施还产生了筛选效应，对大公司而言，更多起到了设定辩诉交易条款的作用，即没有合规的应当建立合规，合规不足的应当增加，合规出问题的应当改进；而被判刑罚的小公司比例大量增加。[44]更为重要的是，合规又产生了新的道德风险，这包括所有的公司都采用相似的制度，这本身是不符合合规应有目的的，而对恶意的公司高管可以通过权力调整、授权、信赖下级，以合规的存在作为理由躲避责任，即由于公司层级的存在，管理者将可以通过权力链条来转移风险，进而转移责任。合规体系的存在可能会由于流程等决策体系的网络化，导致成为掩盖公司犯罪或违规的工具。诸如“阅后即焚”的躲避监管，以及类似“中兴通讯”删除记录等，被称为“合规犯罪化”。[45]

尽管批评声音巨大，但并没有学者希望回到继续沿用上级责任、忽略公司治理特性的老路。这些改进的道路无非是：更加实际地判断公司实际合规的能力、法律制度和实践之间更加协调一致地融合、基于双罚制[46]而更好地扩展多种制裁手段以及更多地调动其他社会科学去更好地理解公司复杂性，并结合市场声誉等诸多手段更好地回应公司犯罪的挑战，[47]同时，更好地进行实证研究检验其效果。[48]

完整意义上的中国法下的公司合规，始于跨国公司对域外合规制度被动采纳的商业实践，继而在公共性最强的三个领域（证券公司、银行保险和金融机构以及央企）进行了监管实践，现在进一步升级到新的阶段：反垄断的监管部门在考虑是否起草和颁布有关指南，同时刑事责任上的减轻、免责已经引发了学界的高度关注。[49]如果从合规制度的要素来看，包括内控体系、合规高管、风险管理、外部审计、员工培训，以及与监管机关的合作等，很多内容已存在于目前的各类管理与法律制度中，诸如证监会的上市辅导制度，反垄断局采用的附条件通过合并审查等，均已成为实践。合规或其思路在不同的领域，或多或少地已经存在。和源于美国的合规制度相比，我们所欠缺的主要是：（1）董事注意勤勉义务的制度化；（2）合规体系作为刑事处罚的减轻、豁免情形或者处罚的替代或者并加手段。前者涉及到中国公司治理中的权力分配和追责考量因素问题，后者则涉及到区分对待公司的决策者和行动者问题，[50]两个问题都共享一个价值目标：阻遏公司违规或者犯罪。

美国公司制度和法治演化史已经长达200年，受益于远离政治和战争的波动，在过往的50年间，其从诸多的分散源头汇集到一起，形成了具有共性的合规制度。而在中国40年的法治学习过程中，民刑商经等领域的割裂分据的趋势，某种意义上却有增无减。不同步的各法律部门的演化进度，与这一阶段中国经济发展的速度，以及中国公司日趋扩张的跨国商业实践之间，形成了反差，导致了合规制度的基础性条件的缺乏，主要表现在以下：[51]

第一，中国公司治理中的两权分立不足、组织化水平低下、权力集中于股东会、合规的公司制度条件不足。我国现行公司制度起源于中外合资经营企业，属于joint venture，股权集中度高，同时国有股的广泛存在，导致股东导向的价值突出。我国公司法学研究的模板一直是有限公司，立法模式采用了股份公司与有限公司合一的模式，股份公司更多是有限公司的升级版，造成有限公司中两权分立不足的状态延伸到了上市公司。由此决定了我国公司制度中的诸多弊端。首当其冲的是股东会作为权力中心，忽略了组织应当具有的代议制制度特征，包括分权、分工、程式、层级等。在法律理论上仅仅用所有权来解释组织，甚至连是否存在着有别于全体股东利益的公司利益都是有争议的，经济理论也几乎清一色使用委托代理理论来解释股东和高管人员的关系。迄今为止，主流解释体系仍然采用财产甚至物权理论去解释股东和公司的关系。而相比之下，美国合规制度的产生，不仅有实体理论作为底色，更是以两权分立下的包括宪政、程式、学习等更为充分发展的公司理论作为支撑。对比对CSR的理解，很容易可以看出，中国公司法仅仅是用了这个词汇去宣誓性地予以承认引入，即便如此，也遭到了主流公司法学界的各种嘲讽和批评，而美国法上则是通过利益攸关者条款，即对董事会的授权确认了这一商业实践。中国的法学研究仍然停留在解释层面，对教义学的执着在合规制度上的反面效果就是，对这一实践中演化的制度的功效反思、检验和分析的研究几乎为零。

现有的这种格局、话语和思维，也导致了非常严重的偏离：公司的权力并不掌握在董事和高管人员手中——他们事实上随时可能被撤换、股东委任下甚至无需经过实质的选举即可上任，为什么权力的行使结果，委托人所有人的责任要由代理人来承担呢？不仅如此，由于存在着强大的大股东甚至政府机关（国有企业中的出资人身份）的实际意志，公司治理中缺乏对股东意思的程序制约尤其是公开透明的程式和分权制衡的机制，“控制”、“命令”的传递甚至不需要遵守章程的约定，股东间的一致即可以被法律所认可，造成了公司的组织运作并无严格的法定程式，多数实质上处在“黑箱”的层面。如果公司或者组织主张依据其存在着合规体系而减轻处罚，事后追责的监管者、检察官、法官是否可以相信公司是按照章程、细则、规章和决议实际运作的？事实也是显然的，监管机关在实践中也并不承认公司的自我约束，而更多采用了“严格责任”形式，乃至某种程度的直接命令式介入与控制。

第二，中国公司治理之中的董事义务和责任追究模式同合规制度的所需基础完全不兼容，并且少有司法救济。东亚地区的公司近代化始于19世纪的中国和日本，在知识来源上属于法国法的谱系。而法国法传统上并不追究董事的管理过失，只需要“热心肠，空脑袋”（warm heart, empty head），[52]这也是权力分配模式的自然结果。我国1993年的公司法统编教材对董事义务的表述，和法国法系一样，仅指“竞业禁止”，强调忠实义务。2005年公司法规定了“勤勉义务”，但不过是一个“孤词”，内涵和外延并无具体界定。而即便是犯罪视野下的公司合规，其在公司法上的本质有时不过是下级员工违反忠实义务从事了违法行为；也可能仅仅意味着董事或者高管人员违反了看护合规体系的注意义务。可以说，中国公司法并不存在着基于过错的注意义务实施。由于党内规则的存在，在公共企业之中，董事和高管人员的间接责任，实际上是用“领导责任”替换的，其运行的法治化水平和实施效果也差强人意。一个连注意义务都没有能力去具体界定的法律制度，如何去设定在此基础上更复杂的合规？

当下的理论学说和公共舆论罔顾事前的权力配置，将公司违规的板子直接打向了董事和高管人员。然而，自2005年大幅增加董事和高管责任条文后，判例至今仍然有限。司法解释迟迟未动，这自然也不难理解——外来的嵌入式规则在法律的整体运作之中被搁置了。如果再考虑到董事会的行事方式，就更为复杂，判断集体决策效力的规则（《公司法》司法解释四）也不过刚刚颁布不久，遑论对集体决策、网络化运作体系的追责。不仅如此，中国法上没有任何正式规则对董事、高管人员的权力和职位加以保护，诸如美国法上的解职规则、业务判断规则、责任豁免乃至于责任保险，都是阙如的。在这种现实下，将合规与否、成效大小作为判断公司犯罪责任的考量因素，几近于沙上盖楼。

第三，民法中的法人制度侵蚀着公司治理；而刑法中，用单位犯罪对应一切正式组织，用黑社会性质的犯罪，对应一切非正式组织，并没有发展出公司犯罪理论、制度和规则。两者在本质上均采用“连带责任”模式，[53]而对组织内的分权、分工、分层等程式视而不见。独裁的法定代表人制度仍然是中国组织治理中的原则，无论民事对外签约、监管执法还是刑事责任追究都层叠在这一概念之上。[54]单位犯罪则是采用了法定代表人和直接责任人的表述，越过了公司内的角色设定与规则体系。尽管可能会采用因果关系去判断行为过错和罪责之间的关系，区分不同人的责任差异，但在一体处罚的一般规则下，实践中是否愿意考虑公司内的体系和分工，完全取决于控方。

第四，合规制度的另外一个含义是，通过对组织体系和运作的评估考察，甄别和评价组织的“制度”良善与否。这不仅是中国法律，也是整个社会治理中的盲区，从面对诸如“富士康13连跳”事件的束手无策中即可见一斑。[55]由于制度化、组织化的水平不足，信息的公开透明，并且依据公开透明的信息进行交往并不占据主导方式，社会交往、制度、治理中的信息编码化（codification）程度低，[56]合规所需要的正式信息交流、透明公开等也就存在着社会行为习惯和治理上的阻碍。[57]信息编码化的不足，具体到中国当下的法治模式下，表现为监管、司法和执法部门一方面处在规则甚至制度的不断变革之中，另一方面由于“遵循先例”、“同案同判”的缺乏，合规所需要的种种行为边界的稳定标准事实上无从判断，这也限制着专业人员提供知识支持的能力。

这些制度上的不足与约束，对合规的影响是明显的。基础规则并不能有效支持合规制度的引入，因此也就在中国现有的合规实践上出现了悖论与畸形：第一，合规变成了公司义务的扩张，而丧失了自律的意义。证监会、银保监会以及国资委所设立的合规，变成了变相审批、私下命令、窗口指导，合作式合规，实际上导致了监管机关的不当扩权，通过“严格责任”消灭了公司合规，而同样陷入了“千人一面”的情形。第二，对中国的跨国公司有意义的合规，更多是针对域外实践的，进而形成了在一个公司之内，日常经营行为和合规采用不同的标准甚至体系，造成了公司法在域内与域外的分裂。第三，监管机关尝试性地颁布的合规指南，因为缺乏具体的尺度、标准和情形，导致了现有法律的重复，合规指南变成了普法。第四，在规则不清晰的地方，合规的“预先汇报”制度既是先例的创制，也是面向未来的改进方案。而在中国的既有监管实践中，因监管机关的独立性缺乏，公司询问法律灰色地带的答案只能是否定性的。颇具讽刺意味的结果是，合规本来应当是一个“回应型”的法律制度，但是实际上变成了“压制型”的。

中国现有的制度结构和组织行为之间形成了相互嵌套，在缺乏支柱性规则变动的时候，不断的法典化、法条注释相互之间形成了更为紧密的网络。这对于改革中的社会而言，的确是一种困境：变革需要法治，但是不断蔓延的细化规则，其本身反而在固化既有实践。合规在中国的变异和困境，就是一个典型例子。

尽管合规本身在其他法域之中，存在着种种批评和质疑，但正如我们不能退回过去一样，既有制度、原则和理论的内在弊端和空白，导致了合规的产生；中国亦然。公司犯罪理论的缺乏，并不是维持单位犯罪框架的理由；法人制度试图约束甚至替代公司制度，也不可能对抗商业、经济和社会实践的力量；公司治理中的制度薄弱，更是不断改进的方向。当我们的公司、监管和刑罚在实践中已经开始拥抱新的模式的时候，既有制度的约束条件不过是下一步的改革方向而已。

[1] See Miriam Hechler Baer, Governing Corporate Compliance, 50 B.C. L. Rev. 949, 961-62 (2009). 有明确记载的最早文献，参见James R.Withrow, Jr., Making Compliance Programs Work, 7 Antitrust Bull. 877-887 (1962)。

[2] See PCAOB, Activity Summary and Audit Implications for Reverse Mergers Involving Companies from the China Region: January 1, 2007through March 31, 2010 (March 14, 2011), available at https://pcaobus.org/Research/Documents/Chinese_Reverse_Merger_Research_Note.pdf; see also Mark Hughes, China Hustle Is the Most Important Film of the Year, Forbes, March 30, 2018.

[3] See Christiana Ochoa, Corporate Social Responsibility and Firm Compliance: Lessons from the International Law–International Relations Discourse, 9 Santa Clara J. Int'l L. 169, 177 (2011).

[4] William S. Laufer, Corporate Culpability and the Limits of Law, 6 Bus. Ethics Q. 311 (1996).

[5] Paul E. McGreal, Corporate Compliance Survey, 60 Bus. Law. 1759 (2005).

[6] Lynford Graham, Internal Control Audit and Compliance: Documentation and Testing under the New COSO Framework 2 (John Wiley &Sons, Inc. 2015).

[7] Todd Haugh, The Power Few of Corporate Compliance, 53 Ga. L. Rev. 129, 139 (2018).

[8] Miriam Hechler Baer, Governing Corporate Compliance, 50 B.C. L. Rev. 949, 958 (2009).

[9] Philip A. Wellner, Effective Compliance Programs and Corporate Criminal Prosecutions, 27 Cardozo L. Rev. 497, 501 (2005).

[10] Lynn Sharp Paine, Managing for Organizational Integrity, 72 Harv. Bus. Rev. 106 (1994).

[11] U.S. Sentencing Commission Guidelines Manual 2018, § 8B2.1 Effective Compliance and Ethics Program (a)-(b), 2018.

[12] John Nassikas et al., New DOJ Compliance Program Guidance, June 10, 2019, available at https://corpgov.law.harvard.edu/2019/06/10/new-doj-compliance-program-guidance/.

[13] D. Daniel Sokol, Teaching Compliance, 84 U. Cin. L. Rev. 399, 401 (2016).

[14] See Kimberly K. Krawiec, Cosmetic Compliance and the Failure of Negotiated Governance, 81 Wash. U. L.Q. 487, 494-96 (2003).

[15] See Martin T. Biegelman, Building a World-Class Compliance Program: Best Practices and Strategies for Success 205 (John Wiley & Sons,Inc. 2005).

[16] See Paul J. Larkin, Jr. ＆ John-Michael Seibler, All Stick and No Carrot: The Yates Memorandum and Corporate Criminal Liability, 46Stetson L. Rev. 7, 8 (2016).

[17] See Walker B. Comegys, Antitrust Compliance Manual: A Guide for Counsel, Management, and Public Officials xxviii (2d ed., Practising Law Institute 1992).

[18] See Richard J. MacLaury, Compliance Programs Under the Robinson-Patman Act and Other Antitrust Laws–The Practical Effect of Such Programs or the Absence Thereof, 37 Antitrust L.J. 96, 103 (1968).

[19] See John C. Coffee, Jr., “No Soul to Damn: No Body to Kick”: An Unscanalized Inquiry into the Problem of Corporate Punishment, 79Mich. L. Rev. 386, 1115-17 (1981).

[20] See Charles J. Walsh ＆ Alissa Pyrich, Corporate Compliance Programs as a Defense to Criminal Liability: Can a Corporation Save Its Soul, 47 Rutgers L. Rev. 605, 654 (1995).

[21] See Growing the Carrot: Encouraging Effective Corporate Compliance, 109 Harv. L. Rev. 1783, 1784 (1996).

[22] 参见［美］诺内特、塞尔兹尼克：《转变中的法律与社会》，张志铭译，中国政法大学出版社1994年版，第110-112页。

[23] John C. Coffee, Jr., Richard Gruner & Christopher Stone, Draft Proposal on Standards for Organizational Probation, in Discussion Materials on Organizational Sanctions, pt. II, at 7, (U.S. Sentencing Commission ed., 1988).

[24] See Serena Hamann, Effective Corporate Compliance: A Holistic Approach for the SEC and the DOJ, 94 Wash. L. Rev. 851, 862 (2019).

[25] Supra note 5, at 1762.

[26] See Simon Zadek, The Civil Corporation 10-23 (Earthscan Publications Ltd. 2007).

[27] See E. Merrick Dodd, Jr., Dissenting Stockholders and Amendments to Corporate Charters, 75 U. Pa. L. Rev. 585-613 (1927).

[28] See Eric W. Orts, Beyond Shareholder: Interpreting Corporate Constituency Statutes, 61 Geo. Wash. L. Rev. 14-135 (1992).

[29] See Melvin A. Eisenberg, Corporate Conduct that Does Not Maximize Shareholder Gain: Legal Conduct, Ethical Conduct, the PenumbraEffect, Reciprocity, the Prisoner's Dilemma, Sheep’s Clothing, Social Conduct, and Disclosure, 28 Stetson L. Rev. 1-27 (1998).

[30] William S. Laufer, Corporate Liability, Risk Shifting, and the Paradox of Compliance, 52 Vanderbilt L. Rev. 1343, 1393 (2009).

[31] See Division to Recall Verticals Guides, Expand Amnesty Policy for Corporations, 65 Antitrust & Trade Reg. Rep. (BNA) No. 1627,227-228 (1993).

[32] See Christopher A. Wray, Corporate Probation under the New Organizational Sentencing Guidelines, 101 Yale L.J. 2017, 2029 (1992).

[33] See Henry W. Edgerton, Corporate Criminal Responsibility, 36 Yale L.J. 827, 828 (1927).

[34] See Dan K. Webb, Steven F. Molo ＆ James F. Hurst, Understanding and Avoiding Corporate and Executive Criminal Liability, 49 Bus.Law. 617, 625-626 (1994).

[35] See Mark M. Hager, Bodies Politic: The Progressive History of Organizational "Real Entity" Theory, 50 U. Pitt. L. Rev. 575-654 (1989).

[36] See Geoffrey M. Hodgson ＆ Thorbjorn Knudsen, The Firm as an Inter actor: Firms as Vehicles for Habits and Routines, 14 J. Evol. Econ.281-307 (2004).

[37] See Corporate Crime: Regulating Corporate Behavior through Criminal Sanctions, 92 Harv. L. Rev. 1227 (1979).

[38] See e.g. James R. Withrow, Jr., Compliance with the Antitrust Laws, 9 N.Y. L. F. 187 (1963); see also Decision making Models and the Control of Corporate Crime, 85 Yale L.J. 1091 (1976).

[39] See Muel Kaptein, The Ethics of Organizations: A Longitudinal Study of the U.S. Working Population, 92 Bus. Ethics 601, 615 (2010).

[40] See Deloitte, Compliance Week-In Focus: 2016 Compliance Trends Survey, available at https://www2.deloitte.com/content/dam/Deloitte/us/Documents/governance-risk-compliance/us-advisory-compliance-week-survey.pdf.

[41] See Christine Parker, Regulator-Required Corporate Compliance Program Audits, 25 Law & Pol'y 221 (2003).

[42] See Christine Parker ＆ Vibeke L. Nielsen, Do Business Take Compliance Systems Seriously? An Empirical Study of the Implementation of Trade Practices Compliance Systems in Australia, 30 Melb. U. L. Rev. 441, Section IV (2006).

[43] See e.g. Jesse W. Markham, Jr., The Failure of Corporate Governance Standards and Antitrust Compliance, 58 S.D. L. Rev. 499 (2013).

[44] Barry J. Pollack, Time to Stop Living Vicariously: A Better Approach to Corporate Criminal Liability, 46 Am. Crim. L. Rev. 1393,1405-1409 (2009).

[45] Todd Haugh, The Criminalization of Compliance, 92 Notre Dame L. Rev. 1215, 1217 (2017).

[46] See Stephen Calkins, Corporate Compliance and the Antitrust Agencies' Bi-Model Penalties, 60 Law & Contemp. Probs. 127 (1997).

[47] See V.S. Khanna, Corporate Criminal Liability: What Purpose Does It Serve, 109 Harv. L. Rev. 1477 (1996).

[48] See Eugene Soltes, Evaluating the Effectiveness of Corporate Compliance Programs: Establishing a Model for Prosecutors, Courts, and Firms, 14 N.Y.U. J.L. & Bus. 965 (2018).

[49] 例如，参见李本灿：《企业犯罪预防中合规计划制度的借鉴》，载《中国法学》2015年第5期，第177-205页；陈瑞华：《企业合规制度的三个维度——比较法视野下的分析》，载《比较法研究》2019年第3期，第61-77页；黎宏：《合规计划与企业刑事责任》，载《法学杂志》2019年第9期，第9-19页；时延安：《合规计划实施与单位的刑事归责》，载《法学杂志》2019年第9期，第20-33页。

[50] 参见蒋熙辉：《论公司犯罪的刑事责任构造》，载《中国法学》2005年第2期，第160-167页。

[51] 总体上参见邓峰：《代议制的公司》，北京大学出版社2015年版，第1-59页。

[52] See Douglas M. Branson, The Indiana Supreme Court Lecture: The Rule That Isn't a Rule—The Business Judgment Rule, 32 Val. U. L. Rev. 631-654 (2002).

[53] 参见张维迎、邓峰：《信息、激励与连带责任——对中国古代连坐、保甲制度的法和经济学解释》，载《中国社会科学》2003年第3期，第99-112页。

[54] 参见方流芳：《国企法定代表人的法律地位、权力和利益冲突》，载《比较法研究》1999年第3期，第419-438页。

[55] 参见郑晓珊：《日本过劳自杀工伤规制之借镜：从富士康事件谈起》，载《中外法学》2013年第2期，第422-439页。

[56] See Max Boisot ＆ John Child, From Fiefs to Clans and Network Capitalism: Explaining China’s Emerging Economic Order, 41 Adm. Sci. Q.600 (1996).

[57] See Timur Kuran, Private Truths, Public Lies: The Social Consequences of Preference Falsification 217-220 (Harvard University Press1995).