以单位直接责任人员的行为作为判定单位是否承担刑事责任的根据，是我国刑法认定单位犯罪的基本思路。然而，随着现代商业的发展，公司规模越发庞大，治理结构也越发复杂，对公司员工行为的管理、控制和监督也越发重要。员工以单位名义、为实现单位利益所实施的违法犯罪行为是否必然导致单位承担刑事责任？单位能否通过相关制度的设计和安排，在员工个人责任与公司责任之间设置一道“防火墙”，将企业责任与员工个人责任进行有效隔离？笔者从2016年发生在兰州的雀巢公司员工侵犯公民个人信息一案展开，分析并简述企业责任“防火墙”的设置机制及作用。
兰州市城关区人民检察院指控，2011年至2013年9月期间，被告人雀巢（中国）有限公司西北区婴儿营养部市务经理郑某、雀巢（中国）有限公司兰州分公司婴儿营养部甘肃区域经理杨某，为了抢占市场份额，推销雀巢奶粉，授意该公司兰州分公司婴儿营养部员工被告人杨某甲、李某某、杜某某、孙某通过拉关系、支付好处费等手段，多次从兰州大学第一附属医院、兰州军区总医院、兰州兰石医院等多家医院医务人员手中非法获取公民个人信息。公诉机关认为上述被告人的行为触犯《中华人民共和国刑法》第二百五十三条之一第一款、第二款的规定，分别构成出售、非法提供公民个人信息罪、非法获取公民个人信息罪。
收集公民个人信息是为完成公司任务，是按照公司要求所做，获取的信息也是提供给公司的。①：公司不允许员工以推销婴儿配方奶粉为目的，直接或间接地与孕妇、哺乳妈妈或公众进行接触，不允许员工未经正当程序或未经公司批准而主动收集公民个人信息。②：雀巢公司不允许员工为收集公民个人信息向医务人员支付任何资金或其他利益。雀巢公司不为此向员工、医务人员提供奖金。③：雀巢公司遵守世界卫生组织《国家母乳代用品销售守则》及卫生部门的规定，禁止员工向婴儿母亲发放婴儿配方奶粉免费样品，禁止向义务专业人员提供金钱或物质奖励，以引诱其推销婴儿配方奶粉等。①：雀巢公司的指示（收录于雀巢公司员工培训教材）、雀巢（中国）有限公司情况说明。②：雀巢公司电访调研的相关文件显示，雀巢公司在电访调研工作中需要用到的信息应当是消费者自愿提供的部分个人信息。③：被告人参加雀巢公司不允许营养专员向医务人员支付费用获取公民信息的培训和测试及被告人签署的承诺书。法院认为被告人行为均已构成侵犯公民个人信息罪。至于雀巢公司是否为单位犯罪，法院认为：单位犯罪是以为本单位谋取非法利益为目的，在客观上实施了由本单位集体决定或者由负责人决定的行为。本案中，雀巢公司政策、员工行为规范等证据证实，雀巢公司禁止员工从事侵犯公民个人信息的违法犯罪行为，故员工违反公司管理规定，为提升个人业绩而实施的犯罪应当属于个人行为。
以上案件的审理发生在2016年至2017年期间，审理思路并没有用到我们今天所说的刑事合规，但仍然被律师界称为“企业合规无罪抗辩第一案”。这是因为在案件审理中，雀巢公司的相关制度的设置及有效实施，让法院认定员工实施的犯罪行为系个人行为，这就在员工个人责任和企业责任之间设置了一道“防火墙”，有效切割了员工个人责任和企业责任。这道“防火墙”主要包含哪些内容？又是如何实现员工个人责任和企业责任的有效切割呢？笔者结合上述案件简要阐述如下：任何合规风险的预防，企业都应当先基于合规要求颁布合规政策和行为准则。这里需要特别提出一点，一些企业基于国家或主管部门提出的合规要求，设计了大而全的合规政策，希望将企业可能遇到的合规风险都攘括其中，在发生具体的合规风险时，这种做法往往并不能达到预期效果。我们建议企业的合规政策应当是基于自身组织结构、行业特点、资本构成等要素，针对重点风险进行专项合规政策的设计，对具体的违规行为提出明确的禁止性要求，并建立惩戒制度。上述案件中，雀巢公司针对婴儿配方奶粉这一产品所处市场领域的经营特点，制定了专项的合规要求和行为准则，足以说明雀巢公司尽到了合规管理的义务。合规政策的颁布是基础工作，合规政策的有效实施是合规工作的关键所在，这就要求企业应当对员工或高管进行合规培训，将合规要求和行为准则落到实处。这种培训既包括日常的合规培训，也包括针对重点高危员工进行的专项培训。我们建议企业在实施这类培训时，不仅留存培训记录，还要求员工签署承诺函，就可以证明企业尽到了对员工的提醒、教育和沟通义务，既没有鼓励或放纵员工的违规行为。上述案件中，雀巢公司实施的“不允许营养专员向医务人员支付费用获取公民信息”的专项培训以及受训员工签署的承诺函，对认定雀巢公司是否将合规政策落到实处起到了非常关键的作用。日常经营过程中，我们还建议企业对员工的违规行为建立预警机制，设置实时合规监控措施对违规行为进行有效监控。例如自下而上的报告机制或匿名投诉机制等，这些都能说明企业对于违规行为预警的重视和落实。
》针对违规行为的及时内部调查：
对于监控工作中发现的已经发生的违规行为，我们建议企业对相关行为进行及时的内部调查，对违法违规的员工进行及时的惩戒，并根据实际情况适时整改合规制度，弥补合规制度中可能存在的漏洞。这样的行为也可以说明企业在配合监管调查以及应对违规行为方面采取了积极有效补救措施。
综上，专项合规机制的设计、实施是企业特别是大型企业在对员工行为监管过程中进行风险防控和自我保护的重要手段，尽管我们无法通过合规制度杜绝一切员工的违规行为，但合规机制可以最大程度实现相关风险的预防，并且在违规行为发生后实现员工个人责任和企业责任的有效隔离。
【 微信扫码咨询 】