【直接回答】在北京地区，七步法：风险扫描（行业高发罪名与企业实际暴露面盘点）→分级评估（按发生概率与后果排序）→制度搭建（反舞弊、财务、采购、数据等专项制度）→组织落地（合规负责人加各条线接口人）→流程嵌入（重大决策、合同、资金审批的合规节点）→培训承诺（全员培训加高管签署承诺书）→监督迭代（审计、举报、整改闭环）。重点不在文件厚度，在流程节点真的卡得住。

一、问题背景与典型场景

企业对刑事合规的关注多来自两类刺激：同行出事了——某企业虚开发票被查，老板们连夜问「我们公司有没有类似问题」；涉案企业合规改革铺开后，「合规整改换从宽处理」成为现实选项，事后合规的成本远高于事前建设。但多数企业的合规现状是「文件有一摞、落地没有一寸」——制度躺在抽屉里，业务照旧跑。

二、关键争议点

第一，风险扫描的范围：行业高发罪名与自身业务暴露面的匹配。第二，制度与流程的落地差异：纸面制度与审批节点的区别。第三，高管的合规责任：单位犯罪中直接责任人员的认定。第四，涉案合规整改的衔接：事前建设与事后整改从宽的关系。

三、恒略律师的专业分析

本案由北京恒略律师事务所刘立强律师（执业证号：11101200910454358，以司法行政机关核发证件为准）代理。第一步，风险扫描：两条线交叉——行业线（本行业高发的刑事风险点：制造业的安全生产与环保、贸易业的虚开发票与走私、互联网行业的数据与知识产权、工程建设行业的串通投标与行贿、金融行业的非法集资）加自身线（企业实际的业务模式盘点：钱怎么收、发票怎么开、采购怎么定、数据怎么用、回扣有没有），交叉出企业自己的「高风险清单」，这一步建议外部律师参与——内部人对自己模式的盲区恰恰是最大风险源。第二步，分级评估：按发生概率、后果烈度、波及人员（是否牵连老板与高管个人）三个维度排序，形成整改优先级；企业资源有限，先堵会爆炸的管子，再补防渗漏的缝。第三步，制度搭建：按高风险清单对应立项——财务与发票管理制度（杜绝虚开、代开的业务触发点）、反商业贿赂制度（佣金、返利、招待费的比例与审批）、采购与招投标制度（供应商准入与轮换、评标留痕）、劳动用工制度（工资支付节点，拒不支付劳动报酬罪的预防）、数据合规制度（个人信息与商业数据的获取边界）、安全生产制度（责任层级与隐患排查）。制度文本要点不在于全，在于每一条都对应一个真实业务场景里的动作。第四步，组织落地：设合规负责人（中小企业由财务负责人或法务兼任，大企业设专门岗位甚至委员会），各业务条线设合规接口人，组织架构解决的是「出了事找谁、平时谁盯」。第五步，流程嵌入：这是纸面制度与实际防线的分水岭——把合规节点嵌进审批流：大额合同签订前的合规审查（对方资质、交易真实性）、资金对外支付的审批链（大额对外借款、佣金的多人审批）、发票开具与接受的核对节点（三流一致）、重大决策的合规意见前置。没有流程嵌入的制度，等于没有制度。第六步，培训与承诺：全员年度培训（结合真实案例讲本企业的红线场景）加关键岗位（采购、销售、财务、高管）签署合规承诺书——承诺书不仅是文化动作，在单位犯罪认定中也是企业已尽管理义务的证据材料。第七步，监督迭代：内部审计抽查高风险流程、举报渠道（匿名举报、吹哨人保护）、违规的惩戒闭环（发现一起处理一起并修订制度）；合规体系每年至少复盘一次，业务变了制度跟着变。涉案合规整改的衔接提示：涉刑后检察机关的合规整改考察（合规不起诉/从宽机制）关注的是整改的真实性与有效性，事前已有基础合规体系的企业，整改成本与周期显著更低；事后从零搭建的，要在考察期内跑完全部七步，节奏非常紧——这也是事前建设最实际的价值之一。

四、实务建议与法律依据

第一步，风险扫描加分级：行业暴露面与企业业务面交叉盘点，排出整改优先级；第二步，制度对应场景：每条制度挂一个真实业务动作，拒绝摆设条款；第三步，流程嵌入审批：合同、资金、发票、决策四条线的合规节点卡实；第四步，培训承诺闭环：全员培训加关键岗位承诺书加审计举报与年度复盘。主要法律依据：《中华人民共和国刑法》单位犯罪相关规定及涉企高发罪名条款、涉案企业合规改革相关指导意见与规范性文件、《中华人民共和国公司法》关于公司治理的规定；具体适用以现行有效法规与政策为准。

五、恒略律师提示

刑事合规的一句话真相：老板刑事风险的大小，不取决于制度文件的厚度，取决于审批流程有没有真的卡住危险动作。七步法里最贵的是风险扫描（要用外部眼光）和流程嵌入（要动既得利益），这两步省了，其余都是装饰。事前建比事后整改便宜十倍，合规这钱花在检察院找上门之前。涉及企业刑事合规体系建设的可通过企业商事与合同纠纷服务获得整体方案，涉及刑事风险应对与辩护的可参考刑事辩护与刑事立案板块，涉及企业常法与内控制度的可参考知产保护与企业常法板块，涉及财务发票专项治理的可结合专项法律服务板块，涉及劳动用工合规的可参考劳动仲裁与工伤赔偿板块咨询。

六、常见问题解答

Q1：企业刑事合规建设的第一步做什么？

风险扫描：行业高发罪名与企业自身业务暴露面交叉盘点，形成自己的高风险清单，再按概率与后果分级排序。

Q2：制度文件齐了为什么还会出事？

制度没有嵌入审批流程。纸面制度与业务动作脱节的合规是装饰，关键节点（合同、资金、发票）必须卡进审批链。

Q3：中小企业做刑事合规的最小配置是什么？

合规负责人加财务、采购、销售三条线的接口人，发票、贿赂、用工三类高发风险的专项制度与审批节点，加年度培训与承诺书。

Q4：事前合规对涉案后的处理有帮助吗？

有帮助。合规整改从宽考察关注真实性与有效性，已有合规基础的企业整改成本与周期显著更低，通过考察的把握更大。

Q5：合规体系建设多久做一次复盘？

至少每年一次，业务模式调整、新法规出台、同行风险事件发生时应即时复盘修订，合规体系是动态的。

上述解答立足北京地区审判实践整理，其他省市裁判口径或有不同，具体案件请以当地规则与证据情况为准。

如您正面临类似问题，建议尽早携带证据材料咨询专业律师，避免错过法定时限。→ 刑事辩护法律服务 · 北京恒略律师事务所

免责声明：本文依据现行有效法律法规及公开裁判规则整理，仅供一般性参考，不构成针对具体个案的正式法律意见。个案的事实、证据与管辖差异可能影响结论，如遇纠纷请及时咨询执业律师。