论坛实录FORUM RECORD

2021年10月24日，第十五届尚权刑事辩护论坛在北京市成功举办。本届论坛由中国政法大学国家法律援助研究院与北京市尚权律师事务所联合主办。论坛的主题是“刑事辩护高质量发展与法律援助制度完善”。本届论坛采用线下、线上相结合的方式进行，共有100余名专家学者、法律实务界人士在现场出席了本届论坛，在线实时收看达1.9万余人次。

以下是北京市环球律师事务所顾问、北京市律协智库刑事合规专家组成员宋伟在论坛上的发言，整理刊发以飨大家！

感谢论坛邀请参与学习分享，也感谢北京市律协智库刑事合规专家组组长赵运恒律师的组织安排。刚才我们见证了孙鹏检察官的绚烂口才，作为曾经的公诉人，我们曾经承办过单个案件超过1500本案卷的案件，也曾经历过在庭审中一个公诉人面对27个辩护人的这样的场景，公诉人工作的这种辛苦，也锻造了公诉人较强的案件审查能力。

我今天换了一个角色，作为刑事合规律师的角色，回顾将近20年的工作生涯，发现过往的职业生涯可能大都与今天我们谈的刑事合规有一些关联。之前我是在北京的检察院做金融犯罪公诉工作，做了13年，之后在民营互联网企业，在阿里和蚂蚁负责他们的法律政策研究和刑事风控，那时候不流行讲刑事合规，实际上我觉得很大一部分工作就是我们现在谈的刑事合规的工作。后面我又到了中国建设银行的金融科技子公司进行合规工作。从国企、民企、互联网、传统机构以及检察院公诉的角度看刑事合规的问题，企业刑事合规需要什么样的律师，我有自己的一些思考，有些不太成熟，今天跟大家汇报一下。

主要跟大家汇报的核心问题都在这一页PPT上。我在想我们刑事合规的制度探索、制度建设，很多学者有很多的国内国外制度方面的考量，我认真拜读了。再反过来看一下我们的实践，从刑事合规的实践一线最细微的颗粒度去看这个问题，我们发现在刑事合规未来的工作中，我们律师行业可能参与的两类角色：一类是作为涉案企业合规监管人中的专家身份，可能是有少部分律师有幸参与；另外一部分是受企业委托给企业做刑事合规方案，做制度的落实落地工作。后一项工作又可以分为两种，一种是事后受委托，也就是在涉案企业已经被司法机关调查甚至是在批捕环节或者公诉环节等环节，配合检方或者是监督机构工作；还有一种是企业涉案之前、还没有进入刑事案件，给企业做合规方案。检察机关主导的试点中，各地在实践中积累出了一些经验，其中包括企业风险的排查、风险的识别、风险计量、风险缓释、风险消除、风险的事后评估等等工作。大家如果在企业做合规的话，大家会发现风险计量等等这些工作很大一部分都是似曾相识，就是原来四大会计师事务所给金融机构、国企做全面风险管理以及企业内控制度里面原来有的制度安排。其实在一些大企业里已经做了很多的尝试，时间关系我就不把效果展开讲了，但是企业全风和内控效果打了一个大大的问号，是存疑的。

现在回到企业刑事合规需要什么样的律师问题上，从我们律师在企业刑事合规业务中的作用发挥和我们应有的能力看，我们刑事合规律师是需要具备这四个维度的视角。前两个维度是需要有刑事司法案件处置和刑事辩护律师的视角。如果一个做刑事合规的律师，我们核心关注企业涉及的风险能不能演化成案件，我们需要判断这个风险从公安、检察、法院的维度看成不成案，能不能诉，能不能判。这个维度是需要非常清晰的底线意识和底线规则，我们一个业务、一个产品能不能符合现在的法律规定，甚至要考虑随着司法解释、行业典型案例的出现，风险水位的变化，判断风险的动态变化，这块我们是需要有一个非常明确的边界的，给企业一个确定性很强的答案，并且释法说理、以案宣讲得非常清晰，而不是给企业仅做普法或者是法条的宣讲，这种能力需要有多年的刑事司法的职业生涯慢慢累积出来的能力和敏感度。刑事辩护经验也很重要，但不能仅仅是站在辩护人的视角，谈案件应然的处理结果，还要从批捕、公诉等视角和维度，研判风险是否可能演化为刑事案件，是此罪还是彼罪，如何优化产品或者业务模式可以降低风险，哪些业务的模式本身就是违法的，需要从根本上调整业务模式。我们刑事合规律师，只有自己对风险的判断非常清晰和笃定，我们才能用我们的专业判断说服企业，降低合规风险。很多企业家都是商场上摸爬滚打过来的，我们刑事合规律师的内心坚定程度，人家是很容易看出来的。

第三个维度，我们的刑事合规律师需要有企业实务的视角。我因为之前十多年金融犯罪公诉工作的关系，面对过很多的辩护律师，主要是北京律师，也有从外地来北京办案的律师，能代理中院级别案件的辩护律师整体业务能力都是不错的，但是我感觉在金融犯罪涉及的具体金融业务方面，很多律师的专业能力还是有较大的提升空间的。律师在刑事合规维度办理案件的时候，如果没有企业实务的视角看问题，可能会与企业的实务两张皮，无法实质性的开展合规问题梳理、合规方案制定和合规整改的，企业的负责人对我们刑事合规律师工作的信任和认可度可能也会低一些。

第四个维度，是刑事合规律师需要理解细分的领域、细分的行业所特有的行业惯例和行业运作方式。例如一些金融机构，比如信托公司或者保险公司的合规问题，如果我们对信托业务或者对保险业务本身没有一个深刻的理解，如果我们没有从一个很长的时间轴去看行业的发展历程，恐怕很难提出非常适当的合规方案，更别提去落实合规制度了。

第三个维度是深入了解所服务的企业特有的问题和风险，第四个维度是深入了解具体细分行业的共性规律。所以这四个维度我理解是做好刑事合规业务缺一不可。但是这四个维度也不是我们律师一朝一夕能够都掌握的，这就是好的刑事合规业务的基础准入门槛，如果我们想把这个刑事合规业务做大、做实，切实能够帮助企业降低刑事法律风险，必须把这四个维度更扎实地培养好。

如果我们刑事合规律师在上面四个维度中有严重短板，可能在开展刑事合规业务中会有较大的问题。有很多这样的案例，这张PPT图里，大家看到右边的这几个企业都是近年来因为和数据、技术相关的法律风险问题涉案、涉刑，有的已经判决。比如说这个M科技公司，它是大数据风控行业头部企业，它的数据来源有一个很重要的渠道，就是通过爬虫技术爬取其他机构的数据。爬虫技术的应用在互联网行业长期广泛存在，只是在刑事司法评价领域是近几年一个新的问题。爬虫技术的应用是不是合法，这个不能一概而论，需要律师结合爬虫爬取的对象、爬取的内容、爬取的频率和数据量、爬取的技术实现方式、爬取的数据怎么使用等维度来判断。我们说这个M公司经营过程中也注意到这个法律风险，聘请了当地著名的律所做了风险评估和合规安排，从事后披露出来的信息看，刑事法律风险评估可能有失误。我们的客户Z公司因为被M公司爬取了大量的数据，找我们做法律分析，结合M公司爬虫技术爬取的数据类型和技术实现方式，我们分析认为M公司的行为是违反刑事法律规定的，既侵犯了Z公司和用户的合法权益，也给用户金融数据安全带来很大的风险。我们给Z公司出具的法律建议是，考虑到M公司也是当地企业，并且数据风控行为是它的主业，我们可以给M公司适当的业务缓冲的机会，先给他发律师函，要求它停止违规违法地爬取Z公司的数据，给它一个合理时间期限，否则我们保留进一步采取法律措施的权力。M公司在这个期间里，又经过他的外部律师团队进行了一个“专业”评估之后，给我们回复的结论就是他们的行为是合规合法的，没有刑事法律问题，所以继续爬取Z公司的数据。Z公司当然就很恼火，就在我们讨论要不要刑事报案的时候，网上就有新闻报道，M公司被当地公安部门上门调查了，原来M公司的业务部门已经被公安部门盯了很久，他爬取了很多机构的数据，并且还有违规留存用户账密等违法行为。之后M公司被司法机关以侵犯公民个人信息罪判处刑罚。

这个案例里，给M公司做刑事合规评估的律师团队对该业务模式的评估可能是有失误的。这个失误也许他们是因为企业方面有这样一个强烈的业务的需求，律师为了维系客户，勉强给出了客户能接受的法律意见。就像刚才嘉宾讲的，有的企业他的风险业务形态就是这个企业的所有业务，你说这种业务不合法不能做，这个企业就不要做了，有的律师团队为了维系客户会有专业判断的妥协；另一种可能性就是，这个律师团队对数据领域的专业性能力不足，对行业动态的刑事法律风险判断不准，给企业不够准确和全面的法律评估意见。而企业方面的高管大部分都是技术出身，他认为我请了当地著名的律师事务所来做法律顾问，刑事法律风险方面就安全无虞了，最终形成悲剧的案例。

所以作为外部专家，特别是作为我们刑事合规法律专家，我觉得我们肩负着非常大的责任和压力。如果我们的法律分析研判出现重大失误，轻则企业经营业务受损，重则企业和企业责任人员面临刑事法律责任。

总之，我个人现在从公诉、辩护、国企、民企、互联网等等维度去看刑事合规，我了解的这个领域是大有可为的，但是对我们律师的专业能力的挑战也是巨大的。大家只要有志向或者有意愿投入其中，刑事合规是有巨大市场的，特别是适合年轻律师未来的发展空间。

以上我就跟大家汇报这几点，谢谢！