跨国企业尽职调查刑事法律风险及防范

一、获取信息过程中可能涉嫌的罪名分析

（一）为境外窃取、刺探、收买、非法提供国家秘密、情报罪

（二）非法获取、故意或过失泄露国家秘密罪

（三）侵犯商业秘密罪

（四）侵犯公民个人信息罪

二、企业触犯刑事法律的危害

三、防范风险的措施

（一）熟悉中国法律，识别敏感信息

（二）明确获取目的，如实说明原因

（三）依法依规获取，尽到注意义务

（四）数据出境评估，及时进行申报

四、结语

摘要：跨国企业在尽职调查过程中 不但要注意避免调查不慎导致的决策失误或投资失败的商业风险，更要注意防范因对外部非公开信息进行尽职调查时操作不当引起的刑事法律风险。 尽职调查中包含的外部非公开信息因可能涉及国家秘密、商业秘密和个人信息而面临较大刑事法律风险。 因此， 跨国企业的尽职调查活动应当依法依规进行，以避免调查中的各类风险。

引言：尽职调查是企业在与另一方签订协议或进行必要的商业行为之前实施的调查行为，其目的是快速且深入地了解相对方的实际信息，提高决策者所获取信息的数量和质量，以供决策者利用该等信息，考虑商业决定及其相关的成本、效益和潜在风险，作出明智的决策和选择。尽职调查可能涉及政府信息、行业信息、商业秘密及第三方信息等外部非公开信息，如政策动向、统计数据、潜在竞争对手信息、上下游客户信息等。与中国本土企业相比，跨国企业从事尽职调查因可能涉及敏感信息而面临更大的风险。因此，跨国企业应当依法依规开展尽职调查活动，以避免调查活动中的各类风险。

一获取信息过程中可能涉嫌的罪名分析

外部非公开信息的收集和利用具有特定的限度，一旦超过合法收集、利用的限度，调查、获取该信息的行为将被认定为违法甚至犯罪。这些外部非公开信息可能涉及国家秘密、商业秘密或个人信息。根据我国刑法的规定，跨国企业在获取这些信息的过程中可能涉嫌的罪名包括为境外窃取、刺探、收买、非法提供国家秘密、情报罪、非法获取、故意或过失泄露国家秘密罪、侵犯商业秘密罪和侵犯公民个人信息罪。

（一）为境外窃取、刺探、收买、非法提供国家秘密、情报罪

该罪名规定在我国《刑法》第一百一十一条。构成本罪的主体是一般主体，包括中国公民和非中国公民。该罪行为对象包括国家秘密和情报，国家秘密包括绝密、机密、秘密三种密级，而情报则是国家秘密以外的涉及国家政治、经济、科技、军事等方面尚未公开或者不宜公开的内部情况。该罪行为模式包括窃取、刺探、收买和非法提供，具体表现为“为境外的机构、组织、人员窃取、刺探、收买、非法提供国家秘密或者情报”，包括采用各种秘密手段非法取得、通过各种途径和手段非法探知、以给予财物或者其他物质性利益的方法非法得到、国家秘密或情报的持有人将自己知悉、管理、持有的国家秘密或情报非法出售、交付、告知其他不应知悉该秘密或情报的人等行为。

根据该规定，跨国企业在获取外部非公开信息时，如不当接触涉密人员，或者涉密信息，且相关信息后续被提供向境外企业，包括境外母公司，容易触犯该项罪名。

（二）非法获取、故意或过失泄露国家秘密罪

我国《刑法》第二百八十二条第一款规定了非法获取国家秘密罪；第三百九十八条规定了故意或过失泄露国家秘密罪。非法获取是指以窃取、刺探、收买方法非法获取国家秘密。故意或过失泄露国家秘密罪是指国家机关工作人员或者非国家机关工作人员违反保守国家秘密法，故意或过失使国家秘密被不应知悉者知悉，或者使国家秘密超出了限定的接触范围，情节严重的行为。泄露国家秘密罪既包括主观故意，也包括主观过失。犯罪主体不仅包括国家机关工作人员，也包括跨国企业员工在内的非国家机关工作人员。

如果跨国企业工作人员在不了解中国法律的情况下，违反国家保密法规定，将国家秘密或者国家秘密载体提供给了非保密人员，或者使保密信息超出了限定的接触范围，都有可能构成此罪。

（三）侵犯商业秘密罪

该罪名规定在我国《刑法》第二百一十九条。该罪的常见行为类型包括：（一）以盗窃、贿赂、欺诈、胁迫、电子侵入或者其他不正当手段获取权利人的商业秘密；（二）披露、使用或者允许他人使用以前项手段获取的权利人的商业秘密；（三）违反保密义务或者违反权利人有关保守商业秘密的要求，披露、使用或者允许他人使用其所掌握的商业秘密；（四）明知前述所列行为，获取、披露、使用或者允许他人使用该商业秘密。另外，该条补充规定了“为境外的机构、组织、人员窃取、刺探、收买、非法提供商业秘密”的犯罪行为。其中的权利人是指商业秘密的所有人和经商业秘密所有人许可的商业秘密使用人。其中的商业秘密是指不为公众所知悉，能为权利人带来经济利益，具有实用性并经权利人采取保密措施的技术信息和经营信息。商业秘密不仅包括技术信息，还包括客户名单、产销策略、价格策略等经营信息。

跨国企业在尽职调查过程中进行行业调研和竞争对手分析时，如果忽略了对前述信息的识别，例如混淆市场份额分析和某特定竞争对手的客户名单，则可能触犯侵犯商业秘密罪。

（四）侵犯公民个人信息罪

我国《刑法》第二百五十三条之一第一款至第三款规定的侵犯公民个人信息罪是指向他人出售或者提供公民个人信息，情节严重的行为，或者是将在履行职责或者提供服务过程中获得的公民个人信息，出售或者提供给他人的行为，以及窃取或者以其他方法非法获取公民个人信息的行为。关于个人信息，《个人信息保护法》的定义是“以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息”。《关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》中包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹、住宿信息、健康生理信息、交易信息等。

如果跨国企业在尽职调查中出现不当获取个人住址、银行账号、交易流水、车辆信息、行踪轨迹等情况，则企业及有关人员可能因犯该罪而面临被追究刑事责任的风险。

二触犯刑事法律的危害

企业触犯刑事法律具有双重处罚性。我国刑法第三十一条规定，单位犯罪的，对单位判处罚金，并对直接负责的主管人员和其他直接责任人员判处刑罚。企业受到刑事处罚，会导致信誉下降，资源流失，甚至可能会倒闭；相关负责人员会被剥夺人身自由，附加财产刑，给家庭带来危机。

首先，企业经营活动受阻。刑事诉讼程序中的强制措施，比如对犯罪嫌疑人刑事拘留或逮捕，对企业账户冻结，对涉案财产查封、扣押等，会对企业及相关人员造成严重影响。人身自由被限制后，与外界通讯联络中断，开展生产、经营几乎成为不可能。企业账户被冻结、财产被查封或扣押则限制或剥夺了企业正常的交易机会，维持企业基本的经营活动也极为困难。

其次，企业商业信誉受损。商业信誉是企业的生命线，其形成是一个漫长的积累过程，而丧失则是一瞬间的事情。在互联网日益发达的今天，企业一旦涉罪，很快会被社会各方面了解，企业涉罪被公开知悉后，其经营能力、偿付能力、存续能力等都会受到质疑，合作伙伴和客户通常会要求提前履行债务或取消、中断合作。

再次，企业经济实力消弱。经过刑事诉讼程序，企业一旦被定罪，企业财产权和相关人员的人身权都会面临严厉的刑事处罚。如果企业被处以巨额罚金，则企业的经济实力在一定程度上被削弱。这种处罚会严重阻碍企业的继续经营，甚至让企业无法存续。

三防范风险的措施

如前所述，不当获取外部非公开信息可能给跨国企业带来重大风险，造成严重后果。考虑到跨国企业需进行跨境工作汇报的信息流动特殊性，也为了依法合规地开展尽职调查工作，跨国企业需要采取以下措施，以防范相应刑事风险。

（一）熟悉中国法律，识别敏感信息

跨国企业在中国经营，就要遵守中国法律规定，不得危害中国国家安全、损害社会公共利益，不能触碰中国的法律红线。这也是跨国企业在华合法经营、健康发展的重要前提。对此，跨国企业要根据中国法律规定将信息进行分类，对于日常经营性信息、商业敏感信息、高度敏感信息进行分类管理，必要时制定制度文件予以明确。

跨国企业要针对高度敏感信息特别设置严格的管理红线，明确任何部门、个人都不得试图违规获取高度敏感信息，并通过内部法律培训和举例等方式使得企业内部能够明晰高度敏感信息的具体含义、类型、限制要求和违规后果等。对意外获取的高度敏感信息，跨国企业不仅应及时采取措施，控制相关信息的进一步扩散，必要时还需要向国家安全机关、保密机关进行报告，并根据国家安全机关、保密机关的意见进行后续处理。

从企业实务角度，跨国企业首先应充分认识到高度敏感信息与中国国家安全和利益的密切联系，以及其泄露后给中国国家安全和利益带来的损害后果。其次，应把握“实质大于形式”的原则，不能仅因保密标识缺失或模糊不清就降低判断标准。最后，应从信息载体、内容、来源、保密措施等因素，并结合具体情景判断某项信息是否属于高度敏感信息。

（二）明确获取目的，如实说明原因

如跨国企业在尽职调查过程中确需获取外部非公开信息，应当在获取外部非公开信息前，在企业内部如实进行工作交流，明确获取该等信息的目的，并书面说明拟获取外部非公开信息的具体原因、拟获取信息的具体内容、拟获取信息的具体方式等，并经过法律人员的评估和确认。

如实说明拟获取外部非公开信息的具体原因在一定程度上对中国司法机关判断行为人是否具有不法目的具有重要作用。跨国企业在获取外部非公开信息前如实书面说明相关信息获取的原因，例如确系基于企业业务规划、日常管理、合规控制等合法需求，有利于避免企业被误认为存在不法目的的风险。如实明确拟获取信息内容、具体方式，并经过法律人员确认，一方面是为了加强企业法律人员对敏感信息的筛查和控制，避免在法律人员不知情的情况下，业务人员、外部机构等贸然进行相关信息的收集，因不足够了解法律红线而引发风险；另一方面也是通过对信息内容和获取方式进行记录，确认跨国企业获取信息和方式的合法性。如果后续出现信息内容或者获取方式超出留痕内容或审批范围的，跨国企业可以根据超出信息的情况决定是否需要采取弥补措施，或者是否需要对相关人员做进一步处理。这样也有助于证明跨国企业本身在尊重中国法律层面的积极性，降低企业风险。

（三）依法依规获取，尽到注意义务

实务中，因信息具有多样性、复杂性而使信息判断存在着不确定性。在此情况下，信息获取方式是否依法依规、是否尽到适当的注意义务，对跨国企业防控风险、防止越线具有关键作用，对有关部门判断行为人的获取行为是否具有违法性有重要作用。

某些资料，如工商档案，跨国企业就可以通过聘请律师进行查询，合法获取其他企业登记档案资料。另外，在行业信息获取过程中，如果涉及到对行业专家的调研，跨国企业要根据行业的敏感程度以及专家的具体情况进行分类管理。因为敏感行业中涉及核心技术的专家很可能系国家涉密人员，跨国企业应避免通过单方或私下接触进行，而可以通过获取和分析公开信息、已发表论文、著作以及公开会议的学术交流、问答环节等方式进行调研。

（四）数据出境评估，及时进行申报

基于跨国企业组织架构的特殊性，其在华经营主体尽职调查的相关内容很可能需要实时向境外母公司报告，并共同确定后续工作方案和内容。这种情况下，跨国企业要特别注意遵守数据出境的相关规定，包括但不限于《网络安全法》《数据安全法》《个人信息保护法》《数据出境安全评估办法》等。跨国企业在数据出境前，应由内外部法律人员对相关数据出境的安全性进行评估。评估重点不仅包括审查相关数据是否涉及国家秘密、情报等，还需要注意对个人信息等其他高度敏感信息的识别，避免将尽职调查中获取的个人信息不当进行跨境传输。符合《数据出境安全评估办法》第四条所列情形的跨国公司还需要向国家网信部门申报数据出境安全评估，以更好地遵守中国法律规定。

四结语

跨国企业在尽职调查中会遇到很多法律风险，如果是因为调查不慎导致决策失误或者投资失败，可能会产生商业经营风险。然而，如果因为前期尽职调查过程中的操作不当而产生上述刑事风险，则失去的可能是人身自由及企业资产。因此，这些刑事风险更应当予以重视，加强防范。