老板为什么一定要重视企业合规：合规真正保护的是老板个人
摘要
先问一个直接的问题：合规是给谁做的。多数老板的回答是给监管、给客户、给融资要求。这个回答决定了合规的位置：一份必须交、但不必真用的材料。等到出事，才发现当初做的那套东西，一样也用不上。另一种回答是给老板自己做的，听起来自私，却更接近制度设计的本意。公司一旦有了分支、团队和几个账户，决策就变成靠授权，资金就要过几个主体，办案机关最先问的是三件事：这件事谁定的、钱从哪出、收益归谁。这三问的答案，全部由事前的制度和留痕决定。合规真正保护的不是公司，是老板个人。这篇讲清五件事：合规到底在保护谁，为什么很多公司的合规是废纸，立案之后留下的东西能换回什么，成本差在哪里，老板自己花最小成本能做哪三件。合规不改变结果，只改变可辩的空间。
一个老板对合规的态度，通常在他第一次被叫去问话时就暴露了。材料能不能翻出来、决定能不能说清、钱能不能对上，这三件事没有一件可以在三天内补出来。
一、合规到底在保护谁
（一）公司出事，老板个人为什么跑不掉
因为单位犯罪实行双罚制，公司被罚，人也判。 《中华人民共和国刑法》第三十条规定，公司、企业、事业单位、机关、团体实施的危害社会的行为，法律规定为单位犯罪的，应当负刑事责任；第三十一条规定，单位犯罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员判处刑罚。
这句话对老板的含义很直接：公司是公司，责任不止于公司。虚开、串通投标、非法经营、污染环境、单位行贿，这些罪名都可以由单位构成。一旦认定，站在被告席上的除了公司，还有签字的人和拍板的人。
而直接负责的主管人员怎么认定，不看头衔，看四件事：谁决定的、谁批准的、钱从哪出、收益归谁。 这四件事，全部是事前留下的东西。
（二）合规的核心动作是切割
合规不是把制度写厚。它处理的是一个具体的技术问题：把单位意志和个人行为分开。
判断标准只有两条：
- 这个决定是不是经过公司程序作出的。
- 这笔收益是不是归公司。
两条都成立，才可能往单位犯罪上靠；两条都不成立，责任就落到具体的人身上。中间那两种情形更常见：经过程序但收益归个人，或者收益进公司但决定没走过程序。前者在司法解释里有明确出口，违法所得由个人私分的，按自然人犯罪处理；后者要看这个决定能不能还原成公司意志，也就是谁批的、依据什么批的。反过来看也成立：老板想让公司背、自己不背，需要程序；想让公司不背、只由行为人承担，需要程序加记录。两种目的都要程序，差别在于有没有把话说在前面。
这是合规最实用的价值：它不是让坏事不发生，是让坏事发生之后，责任能被放在该放的位置上。
二、为什么很多公司的合规是废纸
（一）制度、系统、记录，缺一样就断
合规能不能用，只看三样东西对不对得上：制度怎么写的、系统怎么跑的、记录留下来的是什么。 三样对上才叫体系，对不上就是三张皮。
常见的情形是：制度里写了采购必须三方比价，系统里没有必填字段，实际业务由一个人从头走到尾。这套制度只在事后被引用，用来证明公司知道风险，而没有一个人执行。这个方向的作用，和老板想要的正好相反。
判断方法很简单：抽一笔去年的真实业务，看能不能在系统里走完整条链，每一步都有时间戳和操作人。走不完，说明这套制度没有落地。
（二）有制度没记录，事后会被当成明知
没有记录的合规，在案卷里等于不存在；被证明存在却没有执行的制度，会被当成明知。 这两个结果差得很远。前者是没做，后者是知道而放任，量刑上更难解释。
所以合规真正要沉淀的不是文本，是四类记录：
- 会议纪要与决策文件，能看出谁提议、谁反对、谁批准。
- 审批流与系统日志，能还原每一步的时间和操作人。
- 合同、发票、入库单与资金流水，能对上钱和货。
- 异常处理记录与内部问责决定，能证明公司发现过、处理过。
四类凑齐才叫留痕；缺一类，链条就断在那里。
（三）为什么合规不能从制度开始写
顺序错了，写出来的东西就是空的。正确的顺序是先定权限与流程，再配系统字段，最后才写文本。
多数公司反过来：先请人写一套手册，再让各部门签字，最后归档。这套东西检查时拿得出来，案卷里没有用。
因为制度回答的是应该怎么做，系统回答的是实际怎么做，记录回答的是做没做。能进案卷的主要是后两样。
三、立案之后，合规留下的东西能换回什么
（一）争的不是有罪无罪，是责任落在谁头上
多数涉企案件到了立案这一步，争的核心已经从有没有发生，变成谁该为它负责。 这一层有三块空间：
- 单位犯罪还是个人犯罪。定单位犯罪，公司判罚金，主管人员与直接责任人员判刑；定个人犯罪，责任集中在具体行为人身上。这个选择对老板并不总是单向的：定单位犯罪，公司多一笔罚金和一条前科，老板仍要以主管人员身份担责；定个人犯罪，老板一个人扛，公司和团队保住。哪个更有利，要看数额、情节，还要看会牵进几个人。
- 谁是直接负责的主管人员。技术总监、财务负责人、业务负责人，都可能被划进这个范围。一锅端的风险，是落在团队身上的。
- 责任范围能不能缩小。不知情、不参与决策、只是执行，这些抗辩能不能成立，取决于岗位职责书与审批记录。
（二）数额、情节、从宽，都要有据可查
数额核减、自首与退赔的认定、认罪认罚的适用，都要求有对应材料，不能只靠陈述。
数额一项，靠合同、发票、流水、审计底稿逐笔核对。账和票据本来就清楚的企业，核减有依据；两套账、私户收付、无票支出的企业，核对过程本身会牵出新的问题。
退赔一项，靠资金能力和处置顺序。案发后急着转移资产，会把认罪悔罪的空间压掉，同时触发另一重风险。
自首与主动交代，靠时间点和记录。什么时候说的、说了多少、有没有书面材料，都影响认定。
四、合规的成本，和出事的成本怎么比
（一）立案当天的成本与判几年无关
案子立了，第一天的成本就开始了，与最后判几年无关。 具体是六项：
- 账户与资金。涉案账户冻结，正常结算中断，供应商账期立即收紧。
- 资质与资格。投标资格、行业许可、资质年检，多数附带无犯罪记录或者合规审查要求。
- 融资。贷款提前到期条款被触发，续贷停止。
- 决策。法定代表人、实际控制人被采取强制措施，公司决策停摆。
- 团队。核心人员被带走，客户与骨干同时流失。
- 长期影响。案件结束之后，本人与家属在从业、任职、资格审查环节仍有后续影响。
这些成本里，只有罚金和刑期写在判决书上，其余都不在，却先发生。
（二）哪些成本落在老板个人身上
公司层面的损失，最终由股东承担。但有四项直接落在个人：人身自由、涉案财产处置，包括家属账户与代持股权；从业与任职限制；家属的生活安排。这四项的共同点是不可替代、不可转让、不可事后弥补。 合规花的是钱和时间，出事花的是这些。
（三）合规做到什么程度就够了
合规有边界，不是越贵越好。三条达到就可以停：记录能被抽查复核、权限能被分开还原、异常能被发现并处理。
追着做全套体系，常常变成买一堆文件和一沓培训签到表。判断标准其实只有一条：换一个不熟悉情况的人，能不能凭记录把去年的一笔业务重新走一遍。 能走通，这套东西事后站得住；走不通，再多文件也只是装饰。
五、老板自己能做到哪三件事
（一）决策留痕
凡是超过一定金额、涉及资质与审批、涉及对外支付的事项，都要有一次可以被复述的决策过程。 具体是三样：谁提议、依据什么、谁批准。形式可以是会议纪要、审批流或者邮件，但必须落在系统里，时间不能倒签。
这一条的价值在事后：它是区分单位意志与个人行为的主要材料。
（二）资金与权限分开
同一个事项的发起、审批、付款，不能由一个人完成。 三件事要分开：不相容岗位分离，公私账户分离，关联方往来有合同有对价。
最容易出事的是公私不分。一人公司和家族企业在这个点上格外脆弱：钱从哪个口袋出、进哪个口袋，自己都说不清，一旦要对外证明，几乎无从下手。
（三）一年一次的四问自查
合规要有固定频率，不能等出事才想起来。 四问可以直接照做：
- 去年进项发票里，有几家供应商既没有合同也没有入库记录。
- 备用金与股东借款，有没有超过一年未清的余额。
- 用印登记与合同台账，能不能对上。
- 内部举报与异常处理，去年有没有记录。
这四问一年做一次，成本很低；一次都不做，事后的解释成本会翻几倍。
六、三起案件里，合规留下了什么
卓安律师事务所刑事风控与危机应对委员会办理这类案件时，先看的通常不是罪名，是事发之前的决策记录与资金路径。以下案件由卓安律师团队办理，信息已脱敏。
第一起。 某化工公司持危险化学品安全生产许可证生产出口十五年，安全生产零事故。2021 年厂区因新建高速公路无法续期，公司为履行境外合同，以调制样品送检、伪报出口品名的方式出口危化品两千余吨，货值三千余万元，被指控非法经营罪与逃避商检罪。办案团队提交了十五年安全生产记录、第三方鉴定、设备维护与人员培训记录，证明许可失效期间仍沿用原标准，并提交异地重建三千万、重新验收取证的整改材料。法院认定不构成非法经营罪，以逃避商检罪定罪，免予刑事处罚。这起案件的胜负手不在庭上，在那十五年：合规积累平时看不出价值，到了量刑阶段，它是能被逐项提交、被逐项核对的事实。
第二起。 某商业银行原主要负责人被指控挪用资金、违法发放贷款、非国家工作人员受贿三罪，违规审批发放贷款二点七九亿元。办案团队把违法发放贷款这一节拉回单位层面，指出贷款经过贷审会程序、体现单位意志，该节的责任最终落在单位的决策层面，个人责任相应降低；非国家工作人员受贿一节因证据不足，指控不成立；挪用资金一节全额退赃后减轻处罚并适用缓刑。这起案件说明程序值多少钱：同样一次违规放贷，有没有经过贷审会，责任落在谁头上完全不同。
第三起。 某公司一名员工因涉嫌诈骗被立案。办案团队提出的核心意见是，涉案行为属于单位行为，应当追究主管人员与直接责任人员的责任，该员工所处岗位不具备决策权，不应由其承担。检察机关以事实不清、证据不足作出不起诉决定。这起案件的另一面值得老板记住：单位犯罪认定之后，被追责的是直接负责的主管人员和其他直接责任人员，范围不止一个人。
七、涉及的主要法律依据
- 《中华人民共和国刑法》第三十条：单位犯罪的成立范围，法律规定为单位犯罪的才负刑事责任。
- 《中华人民共和国刑法》第三十一条：单位犯罪的处罚，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员判处刑罚。
- 《中华人民共和国刑法》第三百九十三条：单位行贿罪，为谋取不正当利益以单位名义行贿。
- 《中华人民共和国刑法》第二百零五条：虚开增值税专用发票罪，单位可以成为本罪主体。
- 《中华人民共和国刑法》第二百二十三条：串通投标罪，投标人相互串通投标报价，单位可以成为本罪主体。
- 《中华人民共和国刑法》第一百六十二条之一：隐匿、故意销毁会计凭证、会计账簿、财务会计报告罪。
- 《最高人民法院关于审理单位犯罪案件具体应用法律若干问题的解释》：个人为犯罪设立公司、以犯罪为主要活动、盗用单位名义且违法所得归个人的，不以单位犯罪论处。
- 《中华人民共和国公司法》关于董事、监事、高级管理人员忠实义务与勤勉义务的规定：决策与监督职责的法定依据。
- 《中华人民共和国刑事诉讼法》第十五条：认罪认罚从宽，以及第一百七十七条第二款：犯罪情节轻微不需要判处刑罚的，可以不起诉。
祁增燕 卓安（西宁）律师事务所主任
