想要理解刑事合規盡職調查的概念，首先我們需要搞清楚什么是“盡職調查”。盡職調查是企業或個人在與另一方簽訂協議或合同或采取必要的商業行為之前，通常被期望實施的調查行為。其本質是較為快速且深入地了解相對方的一個手段、途徑，很大程度上有助于明智的決策，提高決策者所獲取信息的數量和質量，以供決策者利用該等信息，考慮案頭的商業決定及其相關的成本、效益和潛在風險。
由此可以推知，刑事合規盡職調查是盡職調查手段在刑事合規領域的運用。涉案企業一旦根據《關于建立涉案企業合規第三方監督評估機制的指導意見（試行）》開展合規整改工作，便需要研讀檢察院所出具的檢察建議書（如有），明確合規整改方向，進行刑事合規盡職調查。
刑事合規盡職調查此時的主要作用在于獲取企業或個人涉刑背景下與合規整改相關的信息，目的則是識別出合規風險源，以作為合規整改的基礎。另一方面，因為合規整改的前提是刑事案件的發生，作為律師的我們在整改工作中將比往常更關注自身執業風險。盡職調查手段基于其本身的特性，會留下大量的書面底稿作為我們工作推進的判斷基礎和佐證，很大程度可以幫助降低我們在刑事合規整改工作中的執業風險。
刑事合規試點以來，我們有幸作為第三方監管人或企業合規法律顧問參與了多個案件，具有較為豐富的經驗。第三方監管人和企業合規法律顧問的合規盡職調查，在深度和廣度上存在較大差異，而且因為第三方監管人并不必然需要對企業進行單獨的合規盡調，此文將以企業合規法律顧問的角度展開。
二、 如何進行刑事合規盡職調查
（一）了解你的客戶
利用企查查、天眼查、巨潮資訊網（如果企業是上市公司）等途徑了解企業的基礎信息，著重掌握企業的所屬行業、監管機構、業務范圍、經營體量等方面的信息。同時，通過檢索企業所屬行業、所開展業務的相關監管法規及行業規定，收集案情類似的裁判案例，了解企業行業或商業慣例等等方式，總結涉案企業常面臨的合規風險源。
（二）起草《合規盡職調查清單》
在前述工作的基礎上，結合案情及行業經驗，起草《合規盡職調查清單》。
《合規盡職調查清單》可以選擇以表格的形式呈現，內容通常包括律師免責聲明、企業業務模式、組織架構、部門設置及崗位職責、公司治理、合同管理、已有合規措施及合規制度等方面的內容。如果案情不涉及知識產權、稅務、勞動人事等方面的內容，我們一般不作收集，以節約企業的精力和資源。清單的作用不僅在于能夠幫助企業梳理自身資料和業務，也在于可以幫助我們進一步加深對企業的了解。對于遺漏或者需要再深挖的地方，我們可以通過合規盡調補充清單的形式再次或多次請企業配合補充提供資料。對于企業無法通過資料確認的事項，我們可以要求其出具書面的說明或承諾。
需要特別注意的是，刑事合規姓“刑”，所以刑事合規盡調資料收集時宜包含企業或相關人員出具的犯罪成因分析，這樣有助于我們在短時間內精確定位風險源，并與高風險崗位人員進行精準交流。
（三）人員訪談
分析所收集的資料后，聯系企業安排訪談相關人員。
實踐中也可以在收集資料之前或同時進行訪談，但是可能會因為對企業了解的不深入而需要再次約見受訪人員。受訪人員可能是日理萬機的高管，也可能是不能輕易離崗的技術人員，更可能是長期在外風吹日曬的銷售顧問。所以，我們推薦盡量在做好準備以后再開始有針對性的訪談，至于后續補充的小問題，則可以通過書面的方式獲取回復。在訪談之前，宜根據受訪人員的部門、崗位、所負責業務等信息準備訪談提綱。
訪談提綱不是萬能的，在訪談過程中如果根據經驗判斷存在合規風險源，則需要隨機應變，追加問題。在我們接手某上市公司刑事合規項目后，他們所提供的書面文件乍一看非常齊全，也比較符合上司公司的監管規則，我們準備的訪談提綱也主要是圍繞案發原因及檢察建議收集一些基本信息的問題。不曾想，在訪談過程中，我們逐漸發現該公司在銷售人員的管理上稍顯松弛，對銷售人員與客戶的接觸并未規定嚴格的紅線行為，加上該公司的績效要求，銷售人員很容易在業績壓力下產生不夠規范的行為，甚至以為這屬于“潛規則”，而“潛規則”在受訪員工的眼里，天然地應該被赦免，“別人都這么做了，我這么做也不會出現問題”式的僥幸心理此時就會出現。在后期的合規體系建設中，我們針對訪談中暴露的上述問題，對該企業制度進行修改，并通過一些積極的方式培育反潛規則的合規文化。
訪談內容要留有底稿記錄，謹慎一些的，最好由受訪者簽字確認。
（四）梳理材料及識別風險
全面梳理企業制度、業務流程以及相關人員訪談記錄，結合檢察建議、犯罪成因分析并參考我們在步驟一中歸納概括的該類型企業通常面臨的合規風險源，結合經驗，識別涉案企業存在的合規風險源以及高風險崗位。此步驟宜根據人員、部門、業務環節等信息形成詳細的表格。
三、 刑事合規盡職調查結果的運用
對于識別出來的合規風險源，我們需要進行合規風險評價，以確定工作重心。我們可以從與案件的關聯程度、風險嚴重程度、發生頻率、企業現有應對風險的措施有效性等多方面對其予以評價。在評價中，與案件的關聯程度越高、嚴重程度越高、發生頻率越高、企業應對措施有效性越低或者不存在應對措施的風險，將是該次刑事合規整改的重點。基于相稱性及必要性原則，與案情無關且并不緊急的合規風險源，通常不會在第一時間進行處理。評價的過程和結果，可以采取風險熱力圖的形式記錄和展示。
經梳理的風險，我們可以通過修訂現有制度，或新設制度對其進行處理。制度可以看作合規意識的實體化和具體運用，于是更深層次的，我們能夠潛移默化地影響員工的意識，在制度無法準確覆蓋某些場景的時候，幫助其判斷什么是公司所倡導和鼓勵，什么又是將受到調查和懲處的行為方式。制度是死的，一旦付梓便失去活力，唯有結合企業合規文化與懲戒機制，才能在很大程度上彌補前者靈活性上的不足。
四、 動態和持續的刑事合規盡職調查
隨著時間推移及企業內外部環境的變化，新的合規風險源隨時可能出現。如果合規體系中未包括動態和持續的刑事合規盡職調查程序，那么合規體系很有可能因為無法適應新的變化而面臨漏洞，從而部分喪失有效性。
設立定期的刑事合規盡職調查，或者在特定情況發生時觸發刑事合規盡職調查，以評估企業是否存在新的風險源，并相應更新合規體系。通常在發生下列情形時，企業宜通過盡調手段再評估合規風險：
1.企業出現新的或變更的活動、產品或服務；
2.企業組織結構或戰略改變；
3.企業出現重大的外部變化，如金融經濟環境、市場條件、債務和客戶關系；
4.企業的合規義務發生改變；
5.企業發生并購、重組；
6.企業出現了不合規事件（即使是一個單一的不合規事件也可能構成針對情勢和未遂事件的實質變化）。
結合了傳統商業盡職調查及刑事案件分析梳理兩方面工作內容的刑事合規盡職調查，服務于不同以往的盡調背景和目的，將成為律師可以發揮經驗進行一定創新、探索的領域，也因其新興性將成為新背景下律師展開刑事合規整改工作的重要工具，更進一步的，因其客觀性和縝密性，將成為有效降低律師刑事合規整改執業風險的利器。
