足够程序：公司在第17A条下唯一的辩护

足够程序：公司在第17A条下唯一的辩护

以浅白语言解读T.R.U.S.T.原则、法院的要求，以及各种规模的马来西亚企业如何保护自己

「但我们已经有反贪污政策」

许多企业主以为，只要公司有行为准则、合约中有反贿赂条款，或在共享文件夹里有一份政策文件，就可以高枕无忧。可惜的是，如果他们的员工或代理为了争取生意而行贿，这种想法到了法庭上可能一天也撑不住。

自2020年6月1日起，《2009年马来西亚反贪污委员会法令》（反贪会法令）第17A条规定，公司及合伙企业须为与其有关连的人所作的贿赂承担刑事责任。法律只给公司一条出路，那就是证明它已设有足够程序防止贿赂发生。

本文将说明「足够程序」的含义、五项T.R.U.S.T.原则在实际上如何运作、从真实案例中可以汲取哪些教训，以及即使是最小型的企业，今天可以做些什么。

第17A条简介

根据第17A条，若与「商业组织」有关连的人，例如董事、雇员、代理或承包商，为了替该组织取得或保留生意或商业利益，而贪污地给予或提出给予贿赂，该商业组织即属犯罪。简而言之：

• 这是一项严格责任罪行。无论公司高层是否知道有关贿赂，公司都可能须负责。
• 刑罚为罚款不少于贿款价值的十倍或100万令吉（以较高者为准），或监禁最高20年，或两者兼施。
• 根据第17A(3)条，董事、高级职员及经理可被视为个人触犯同一罪行。

在责任如此严格的情况下，足够程序的辩护便成为企业最重要的保障。

什么是足够程序的辩护？

第17A(4)条规定，公司若能证明它已设有足够程序防止与其有关连的人行贿，即可以此作为辩护。这有时被称为监管尽职调查辩护。

有两点值得强调：

• 举证责任在于公司。一旦控方证明罪行成立，就由公司证明其程序属于足够。
• 这是唯一的辩护理由。在第17A条下，公司没有其他法定的脱身途径。

为了协助商家了解有关要求，首相署根据第17A(5)条发布了《足够程序指引》。其目的是鼓励每一家企业采取合理且相称的步骤，避免为了本身利益而参与贪污。换句话说，法律刻意把打击贪污的部分责任转移给企业本身。

五项T.R.U.S.T.原则解读

《指引》围绕五项原则而制定，这些原则适用于每一个商业组织，无论其规模或行业为何：

原则一：高层承诺

反贿赂计划的强弱，取决于其背后的文化。如果员工不真正相信公司对贿赂采取零容忍态度，这些政策就只会变成清单上的打勾项目。这种文化由高层塑造，而管理层应以身作则。

《指引》建议高层管理人员应做到的事项包括：

• 制定、维持并定期检讨一套具有清晰政策及目标的反贪污合规计划，
• 在组织内推动廉正文化，
• 鼓励使用举报渠道举报涉嫌贪污的情况，
• 委任一名称职的人员或部门，并提供足够资源，负责反贪污合规事务，以及
• 确保审计及风险检讨的结果向全体董事部汇报，并据此采取行动。

马来西亚透明国际（TI-M）的指南补充了一个有力的讯息：管理层应清楚表明，组织宁可失去商机，也不会为了赢得商机而行贿。

原则二：风险评估

没有被识别的风险，就无从管理。《指引》建议每三年进行一次贪污风险评估，并在法律或业务出现变化时进行额外评估。评估应考虑的事项包括：

• 治理或内部制度中可能制造贪污机会的弱点，
• 可能被用来掩饰贪污款项的财务交易，
• 在贪污风险较高的国家或行业进行的业务活动，
• 代表公司行事、但可能不遵守反贪污规定的外部人士，以及
• 与供应链中第三方的关系。

贪污为何会发生？了解贪污的成因，有助企业找出自身的弱点。常见的成因包括不受制衡的决策权、代理在缺乏适当监督下被施压「把事情搞定」、新员工延续前人留下的贪污做法、个人经济利益，以及改善公司业绩的压力。风险存在于每一个层级，从董事部到采购人员、帐目文员，甚至保安人员。

进行风险评估的一个简单且具成本效益的方法是风险地图，这通常可在内部完成，无须聘请昂贵的顾问或购置新系统：

原则三：采取管控措施

如果对风险评估的结果不采取任何行动，评估就毫无意义。《指引》建议的管控措施包括：

• 尽职调查，即在建立关系之前，对生意伙伴及员工进行背景调查、核实文件及面谈，
• 举报渠道，例如小型企业可设立专用电邮地址，并对举报者的身份保密，
• 政策，涵盖利益冲突、礼物、应酬、款待、出差、捐款、赞助及疏通费等方面，
• 财务管控，例如分开审批权限及多人签署，以及非财务管控，例如职责分离及招标前程序，以及
• 妥善保存记录，记录公司根据其足够程序所做的一切。

第三方尤其需要特别关注。较大型的组织应把目光放在母公司之外，留意其子公司、合资企业、代理、中间人、服务供应商及供应商所带来的风险。

原则四：系统性检讨、监察及执行

许多公司都有写得很好的政策，却从未被检查或执行。新的风险也不断出现，因此昨天的政策今天可能已经过时。《指引》建议企业：

• 规划并维持一项监察计划，列明检讨的范围、频率及方法，
• 委任一名称职人员或合规部门进行内部审计，
• 考虑至少每三年由合格且独立的一方进行一次外部审计，
• 根据反贪污政策监察员工的表现，以及
• 对不遵守规定的员工采取纪律行动。

另外两宗英国案件也说明了同一点。在Amec Foster Wheeler案中，本应防止贿赂的政策根本没有被遵守，并多次被规避及违反。在Serious Fraud Office v Petrofac Ltd一案中（涉及与伊拉克及沙特阿拉伯合约有关的11项贿赂罪），高级职员能够绕过合规部门，并推翻其对委任一名代理的反对意见。

原则五：培训与沟通

即使是最好的政策，若无人知晓也毫无用处。《指引》建议反贪污政策应公开，并传达给所有员工及生意伙伴。传达的方式可以有很多种，包括公司网站、电邮、通讯、海报、行为准则、员工手册、研讨会及全员大会。

企业应把培训视为一个持续的过程，包括：

• 入职培训，供新员工参加，
• 定期培训，对象包括员工及代表公司行事的第三方，以及
• 妥善记录已进行的培训。

培训不一定要很昂贵。预算紧绌的公司，可以把反贪污内容纳入入职培训、集中培训高风险部门的员工，并以网上方式举办复修课程。

首宗受争议的案件：Skansen为何败诉

大公司：要求更高

对大型组织来说，标准要高得多。两宗著名的英国案件显示，即使是看似完善的制度，仍然可能失效：

• 劳斯莱斯公司（Rolls-Royce plc）设有关于中间人的书面政策、禁止贿赂的规定、佣金超过5%须额外审批、佣金上限为10%、由一家大型会计师事务所进行检讨，以及负责审查合约及道德事务的委员会。这一切都未能阻止它在包括马来西亚和中国在内的多个国家行贿。总财务制裁超过5亿1000万英镑。法院后来赞扬该公司的全面改革，包括委任一名独立专家担任监察人、实施强制培训、审查250名中间人（其中88人被暂停合作），以及对38名员工采取纪律行动。
• 空中巴士（Airbus SE）设有关于第三方的书面政策，以及审查代理使用情况的委员会。后来发现部分委员本身知悉或参与了不法行为，而委员会所获得的资讯也不完整或具误导性。空中巴士随后全面改革其制度，包括与63名高级经理分道扬镳、委托进行独立检讨、招聘经验丰富的合规专业人员，并大幅减少使用外部顾问。

这个讯息十分清楚。企业规模越大，其合规检讨、风险评估及培训就被期望越频密、越全面。

中小型企业又如何？

根据本书，2021年马来西亚有97.4%的企业属于中小型企业，而其中78.6%是销售额低于30万令吉或员工不超过五人的微型企业。对它们来说，设立一个完整的合规部门根本不切实际。

好消息是，《指引》并非一体适用。它们应按照每家企业的规模、性质、行业、风险及复杂程度相称地应用，而且并非每项建议都必须采纳。然而，正如Skansen案所显示，小型企业仍然需要真正的措施。国家治理、廉正及反贪污中心（GIACC）为小型供应商公司建议以下基本步骤：

1. 采取零容忍的反贪污政策，并透过公司座右铭或行为准则加以表达。
2. 定期检查财务文件，留意可能隐藏贪污款项的交易。
3. 在贪污风险较高的国家或行业经营业务之前，参考已发布的国家评估。
4. 就风险评估及合规事宜，向政府机构或私人组织寻求意见。
5. 妥善保存反贪污政策、所作努力及相关程序的记录。
6. 设立一个容易使用的举报渠道，例如专用电邮地址。
7. 监察员工及生意伙伴，确保他们遵守零贪污的立场。
8. 举报涉及实际或涉嫌贪污的不正常情况。
9. 在公司网站、通讯或电邮中公布反贪污政策。

马来西亚透明国际的指南也为中小型企业提供了更多节省成本的建议。与其聘请顾问，不如培训一名经理掌握基本的风险评估。尽职调查可以只包括简单的背景或推荐人查核、要求对方出示其反贪污政策，以及在网上搜寻。培训可以在内部进行，而为全体员工举办一次培训，就可以取代多次培训。

经济合作与发展组织（OECD）针对大型跨国公司的研究也显示，许多最常用的反贪污工具成本都很低，例如举报机制、准确的记录保存、清楚的纪律处分警示、举报者保护，以及最高层主管的道德声明。其他低成本的选择包括规定员工有责任举报贿赂、提高员工对刑事罚则的认识，以及要求员工签署反贪污承诺书。

可供使用的免费工具及框架

企业无须从零开始。多个本地及国际机构已发布了实用的指南：

合约条款有帮助，但并不足够

样本文件，例如雇佣合约及商业合约中的反贪污条款、利益冲突声明、犯罪记录声明、廉正协议及反贪污政策声明，都很有用。它们让每一个与企业往来的人知道该企业不容忍贪污，也有助证明高层的承诺。

然而，这些条款本身并不足以构成足够程序的辩护。本书提醒商家不要产生虚假的安全感。措施必须真实存在，而不只是表面上看似存在，并且必须被落实及持续监察。

足够程序也保护董事

根据第17A(3)条，当公司犯罪时，董事及经理可被视为个人触犯该罪行。董事若要免责，必须证明罪行是在未经其同意或纵容的情况下发生，并且他已采取适当的尽职调查以防止罪行发生。

实际上，采取真正的步骤落实《指引》，是高层管理人员证明其已尽职调查最实际的方法。如果公司本身的辩护失败，董事可能仍需证明他个人曾采取哪些具体步骤推动程序的落实。简而言之，足够程序不仅保护公司，也保护经营公司的人。

批评及解决的问题

第17A条曾受到批评。有人认为，其严苛的性质增加了经商成本，并可能打击企业家承担风险的意愿，对经济增长产生寒蝉效应。《指引》的内容也相当概括，而且由于它明确表示并非一体适用，企业可能无法确定究竟需要做到什么程度。在本书撰写时，可供企业参考的马来西亚案例也不多。

本书建议，反贪会必须负责任地行使其起诉公司及个人的广泛权力，而法院在评估这项辩护时，也应考虑每家企业的规模、性质、行业、风险及复杂程度。

快速自我检查：你的企业准备好了吗？

根据本书中的足够程序清单，问问自己以下问题。每一个「否」，都是一个值得填补的漏洞：

• 公司是否有书面的反贪污政策？
• 是否有特定的人员或部门负责反贪污事务？
• 董事及高层管理人员是否熟悉《反贪会法令》及《足够程序指引》？
• 付款是否须经足够高级的员工批准，并由不同的审批人分担职责？
• 高层管理人员是否亲自批准贪污风险较高的交易？
• 每一项付款申请是否都必须附有妥当的证明文件及清楚的说明？
• 员工是否须申报利益冲突，而且是否设有申报程序？
• 公司在聘用代理、顾问或承包商之前，是否会进行尽职调查？
• 是否设有保障措施，防止不当款项经由第三方转出，而且是否只透过正当渠道向第三方付款？
• 公司是否在过去三年内进行过贪污风险评估？
• 是否设有保密的渠道举报涉嫌贪污的情况？
• 员工及生意伙伴是否接受培训，而培训记录是否有被保存？
• 反贪污措施是否定期接受检讨及审计，而违规者是否受到纪律处分？

总结

在第17A条下，企业不能以不知情或出于好意作为理由。如果有人为了企业的利益而行贿，除非公司能证明它已设有足够程序，否则就须负上法律责任。这些案例显示，法院不会只看文件，而是会审视有关程序是否与时并进、是否被执行、是否有足够资源，以及是否获得高层的认真对待。

令人鼓舞的是，足够程序不一定很昂贵。重要的是它们必须真实、与企业的规模相称，并且持续维持。今天就以T.R.U.S.T.原则为基础建立合规计划的企业，不仅是在保护自己免受起诉，也是在为未来建立一家更廉洁、更稳健、更值得信赖的企业。

参考案例

• R v Skansen Interiors Ltd, Case No T20172024 (Southwark Crown Court, 2018)
• Serious Fraud Office v Glencore Energy UK Ltd [2022] Lexis Citation 1463 and [2022] Lexis Citation 1464
• Director of the Serious Fraud Office v Amec Foster Wheeler Energy Ltd [2021] Lexis Citation 110
• Serious Fraud Office v Petrofac Ltd (Southwark Crown Court, 2021, unreported)
• R v Sweett Group plc (Southwark Crown Court, 2016, unreported)
• Serious Fraud Office v Standard Bank plc (now known as ICBC Standard Bank plc) [2015] Lexis Citation 567
• Serious Fraud Office v Rolls-Royce plc and another [2017] Lexis Citation 3
• Director of the Serious Fraud Office v Airbus SE [2020] Lexis Citation 56