为了实现对权力的约束和制衡，国企在内控制度中通常都十分重视审批流程的设定，希望通过严密的审核程序规范而避免决策失误。而在具体制度设计中，有时会倾向于增加审批环节，从而细化审批责任。但是，如果忽视了审批制度的实质科学性，而只注重形式过程，有时反而会招致刑事风险。

例如，某国企为交易合同审批设定了复杂的审批程序，除了交易部门管理人员审核外，还需要其他原本与交易无关的各部门管理人员审核，最终致使审核程序流于形式。而在一次交易中，某业务部门高管擅自作出违法交易决定，其他部门管理人员对此并不知情，其出于例行公事的心态通过了对该交易的审核。这样的审批程序设置，却恰恰落入到了刑事风险的“围追阻截”中：所有在审核中签字的高管，如果和涉案高管事前存有通谋，就可能被认定为涉案高管的共同犯罪；如果事前毫无通谋，则可能被认定为国有公司人员失职罪，在具体刑事风险发生时，相关合规程序毫无风险阻隔或者诉讼抗辩能力。很显然，相关审批程序完全失去了风险控制的能力，甚至审批程序本身就具有刑事风险——这为指控高管犯罪提供了充分的证据素材。

事实上，审批程序的规范化本身符合刑事合规本意；但是如果仅注重形式完备，而忽视审批过程的科学性和实效性，就根本无法实现对国企高管的合规保护。

除了审批流程外，尽职调查也成为国企人员刑事风险的常见环节。

例如，在对外交易中，某国企管理人员虽然按照内控要求对交易对手和交易项目开展了尽职调查，尽调程序形式上也符合内控要求，但是尽调的方法却存在疏漏，没有及时发现交易项目存在的风险，造成国有资产流失的后果。最终，负责尽调的主管人员和具体实施人员均按照国有公司人员失职罪而被追究刑事责任。

随着国企人员合规理念的不断完善，重大交易和重大决策前的尽调、审查已成为合规必须程序。而对国企人员而言，在交易项目审查中，除了应当确保相关审查流程符合内控要求，更应当注重尽调方法的切实可行，兼顾形式流程和实质作用，避免刑事风险。

在国企经营中，重大事项集体讨论、决策也成为重要的内控制度之一。而这也极易让国企人员产生认识偏差：只要会开好了，经过了集体决策，就不会对高管个人产生法律风险。但事实上，在刑事责任的认定中，即使议事过程符合内控要求，但是最终决策损害国有公司利益时，仍会引发刑事风险。

例如某国企董事会经集体开会研究决定，为了尽快实现项目回款，在某项交易中放弃部分债权。后司法机关认定被放弃的债权构成国有资产流失，并进而以国有公司人员滥用职权罪追究董事长的刑事责任；相应的，由于该公司监事会主席在列席会议时未提出反对意见，也被以国有公司人员失职罪而追究刑事责任。

在刑事司法视角中，对犯罪的认定，强调的是实质化的判断标准；而在国企人员刑事合规中，刑事责任归责的核心，就是相关行为严重侵害了国有资产利益。因此无论职权行使的形式多么完备，程序多么规范，只要在实质上出现危害国有资产的情况，都会触发刑事合规风险。所以在合规方案的设计中，形式层面的完备性和实质层面的有效性都应当成为重要的合规标准。

和“重形式、轻实质”这一认识误区相反，在部分案件中，亦存在决策程序过度注重实质结果而忽视程序事项，最终引发刑事责任的风险。

例如，某国企管理人员认为公司内部的交易项目尽调流程过于繁杂，不利于交易推进，因此其个人决定简化项目尽调流程，删减了部分环节，提升时间效率。最终该国企管理人员被认为是违反程序要求决定重大经营事项，进而被追究国有公司人员失职罪的刑事责任。

又如，某国企管理层为实现项目投资收益最大化，通过召开高管会议的形式作出投资决策。但是，由于会议召集程序和表决程序存在瑕疵，不符合内控制度要求，因此所有参会表决的高管均被认定为挪用公款罪的共同犯罪。

事实上，该履行的程序没履行，可能是犯罪；履行了程序，但程序存在瑕疵，也可能是犯罪；而履行了程序，尽管程序无瑕疵，但是决策内容有偏颇，还可能是犯罪。“正确履行职责”的合规要求包括两个方面，一个是形式层面的合乎程序，一个是实质层面的切实有效。换言之，兼顾“形式”与“实质”，平衡“结果”与“过程”，是国企刑事合规方案制定时应当充分考量的首要原则。

一言蔽之，国企刑事合规的精要，就是实现“形式完备”与“实质正当”的均衡之道。

事实上，早在2006年，国资委就下发了《中央企业全面风险管理指引》，希望通过程序和实体两个方面，构建有效防范风险的内部控制系统。在随后的近15年中，中共中央、国务院、国资委、财政部、审计署等又针对中央企业内部控制体系建设、“三重一大”决策制度、专项财经治理、违规经营投资责任、合规管理建构、境外合规经营等事项陆续出台多部文件，反复强调了合规管理程序与权力制衡结果在合规治理中的守恒关系。

但是另一方面，不断出现的国企人员涉刑案件也不禁让人深思：在国企强监管的趋势之下，为何频繁出现因为管理失衡而引发的刑事风险？

问题的核心在于，在当前国企合规建设中，刑事合规要素仅散见于部分经营模块或管理事项中，而并没有被体系化的纳入公司治理架构之中，这就导致在决策、管理、审批、执行等各项公司治理活动中，相关合规方案仅关注到了民商法层面的治理义务，却忽视了刑法层面犯罪风险的鉴别信号，最终在治理架构中遗漏了刑事合规层面的防火墙设置，无法形成有效的刑事合规体系。

在“合规1.0”的弊病日益凸显，而监管趋势又日益增强的背景下，国企合规建设如何实现从合规管理到合规治理的彻底转变，如何实现刑事合规要素与公司治理架构的全面融合，这是实现国企合规方案升级的最为重要的问题。