法人刑事責任

法人刑事責任（Corporate Criminal Liability）是指當企業員工或代理人在執行職務範圍內實施犯罪行為時，企業法人本身須承擔刑事法律責任的制度。此概念源於英國普通法系中的「識別理論」（Identification Doctrine），即特定高階主管的行為被視為公司本身的行為。台灣刑法第290條規定法人得為犯罪行為之刑責人，並於各特別法中進一步擴大適用範圍。在企業風險管理（ERM）框架中，法人刑事責任屬於「法律合規風險」（Compliance Risk）的核心範疇，與ISO 31000風險管理標準及COSO ERM框架緊密相連。不同於個人刑事責任，法人刑事責任的懲罰通常以罰金、強制執行或停止營運為主，因此企業必須建立系統性的防線，而非僅依賴個別員工的自律。此制度的設計目的是防止企業利用法人地位規避法律責任，並迫使企業主動建立監控機制。台灣《公司法》第266條亦規定董事、監察人、經理人等對公司之損害負賠償責任，與刑事責任形成雙重約束。企業若無法證明已建立「充分之監督與管理措施」，將在刑事訴訟中面臨極高舉證壓力。因此，建立可稽核的合規管理系統是企業防範法人刑事責任的關鍵前提。

實務上，企業導入法人刑事責任防範機制需遵循以下三個關鍵步驟：第一步，進行「法律風險盤點」（Legal Risk Assessment），依照ISO 31000風險評估流程，識別業務流程中可能觸犯的刑法條文，如《洗錢防制法》、《貿易法》或《勞動基準法》等。第二步，建立「三層防禦模型」（Three Lines of Defense），第一層為業務單位日常控制，第二層為合規與風險管理部門，第三層為內部稽核。第三步，設計「違法行為應變程序」（Incident Response Protocol），確保一旦發生違法事件時，能立即啟動調查、保全證據並依法通報。以台灣某大型製造業為例，該公司因員工賄賂公務員被依《貪污罪》起訴，罰金達新台幣5,00萬元，並被吊銷特定出口許可。此案例顯示，若企業未建立符合ISO 37301合規管理系統的內部控制機制，將無法在法庭上主張「已盡合理監督義務」而減輕刑責。量化指標方面，企業應追蹤「合規事件發生率」、「員工法規訓練覆蓋率」及「內部舉報案件處理時效」，目標是將重大違法事件發生率降至0%。

台灣企業在建立法人刑事責任防範機制時，面臨三個主要挑戰。首先是「法律認知落差」，許多中小企業仍將合規視為法律事務而非風險管理議題，無法理解員工行為如何直接轉化為公司刑事責任。對策是將法規風險納入董事會層級的風險矩陣，並定期進行法規更新掃描。其次是「內部控制文件化不足」，台灣企業習慣口頭指令而非書面程序，導致刑事訴訟中無法舉證已建立有效監督機制。對策是依照ISO 37301要求，建立完整的政策、程序、紀錄與稽核軌跡。第三是「文化阻礙」，員工對舉報違法行為的恐懼使內部控制形同虛設。對策是建立匿名舉報機制並依照《吹哨者保護法》保護通報人。建議企業分階段實施：第一階段（0-30天）完成法規盤點與風險矩陣；第二階段（31-90天）建立政策與程序；第三階段（91天後）進行模擬演練與持續改善。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Corporate Criminal Liability相關議題，擁有豐富實戰經驗，協助企業在90天內建立符合ISO 31000與ISO 37301標準的合規管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact