近日，国家安全机关会同有关部门，对咨询企业凯盛融英信息科技（上海）股份有限公司（以下简称"凯盛融英"）进行多地联合执法。根据公开报道，凯盛融英在从事涉外咨询业务的过程中，频繁联系、接触党政机关、重要国防科工等涉密人员，并以高额报酬聘请行业咨询专家之名，非法获取各类敏感领域信息。2023年5月10日，凯盛融英发表了关于成立合规管理委员会的声明，落实国家安全机关的有关整改要求。

在此之前，亦有报道称，多家咨询、尽职调查企业在境内的办事处均受到有关部门的调查，或与国家安全相关。随着2023年4月26日新修订的《中华人民共和国反间谍法》（以下简称"《反间谍法》"）颁布，企业如何承担反间谍安全防范工作的主体责任、避免可能面临的行政处罚甚至刑事责任，成为了企业合规领域新的热点问题。《反间谍法》修订中的一些新变化，应予以关注。

《反间谍法》于2014年颁布，其前身是1993年制定的《中华人民共和国国家安全法》，是我国贯彻落实总体国家安全观的第一部重要法律。为应对不断翻新的各类间谍情报活动，《反间谍法》的修订被列入全国人大常委会2022年度的立法工作计划之中。

经过三次审议，第十四届全国人大常委会于2023年4月26日表决通过了《反间谍法（修订草案）》，并将自2023年7月1日起施行。本次修订有以下几个新变化：

（一）"间谍行为"的范围进一步明晰

本次修订之前，《反间谍法》对"间谍行为"的定义即采用"列举+兜底"的方式规定。根据新修订的《反间谍法》第四条，本次修订将"投靠间谍组织及其代理人""针对国家机关、涉密单位或者关键信息基础设施等实施网络攻击等行为"明确列举为间谍行为，将相关主体窃密的对象在"国家秘密、情报"的基础上增加"其他关系国家安全和利益的文件、数据、资料、物品"，同时增加了针对第三国的间谍行为。本次修订扩充了"列举+兜底"立法模式下明确列举的间谍行为类型，"间谍行为"的范围进一步明晰。

值得注意的是，在2014年第十二届全国人大常委会审议《反间谍法》之时，就有将窃取商业秘密、信息领域秘密的"经济间谍行为"纳入《反间谍法》的建议[1]。然而该建议在本次《反间谍法》修订中并未被采纳。

我们认为，对窃取商业秘密的行为，现行法仍通过《中华人民共和国反不正当竞争法》《中华人民共和国刑法》（以下简称"《刑法》"）等法规中关于商业秘密保护的规定予以规制；对窃取信息领域秘密的行为，仍通过《中华人民共和国个人信息保护法》《刑法》等法规中关于公民个人信息保护的规定予以规制。但是，受《反间谍法》规制的"国家秘密"含义较广，国家秘密、情报与商业秘密、信息领域秘密之间并非泾渭分明。例如在凯盛融英案件中，某大型国企涉密岗位的研究员向凯盛融英提供产品的成本、利润率、总利润，亦可能涉嫌非法提供国家秘密、情报。

（二）国家安全机关的职权进一步增加

新修订的《反间谍法》增加了国家安全机关在法定情形下查看随带物品、查阅调取数据、传唤、查询财产信息等职权。

对修订之前《反间谍法》已经规定的执法职权，本次修订亦明确了相应的审批程序，这是在赋权的同时限权，有利于实现规范化执法。针对不同情形下国家安全机关可采取的执法职权和审批程序，我们整理表格如下：

点击可查看大图

（三）行政处罚规定进一步完善

针对单位实施或者协助实施间谍行为的，新修订的《反间谍法》第五十四条明确规定了对单位和相关个人实施"双罚制"，即对单位予以警告、单处或者并处罚款，并对直接负责的主管人员和其他直接责任人员依照自然人实施或者帮助实施间谍行为的规定，给予警告或者行政拘留，单处或者并处罚款。同时，国家安全机关还可以建议有关主管部门依法责令单位停止从事相关业务、提供相关服务或者责令停产停业、吊销有关证照、撤销登记。

此外，《反间谍法》还增加了约谈、通报批评、暂扣或者吊销许可证件等行政处罚种类。

（四）监督与救济制度进一步健全

在增加行政处罚职权、完善行政处罚规定的同时，新修订的《反间谍法》还健全了国家安全机关履职行为的监督与救济制度。

针对国家安全机关及其工作人员超越职权、滥用职权和其他违法行为的检举、控告，除了可以向上级国家安全机关提出之外，新修订的《反间谍法》第五十二条进一步明确了还可以向监察机关、人民检察院提出。监察机关、人民检察院应当及时查清事实，依法处理，并将处理结果及时告知检举人、控告人。

此外，针对国家安全机关作出行政处罚的救济，新修订的《反间谍法》第六十七条明确了在处罚作出前，当事人依法享有陈述、申辩、要求听证等权利。

依照新修订的《反间谍法》第五十三条、第五十四条、第六十条的规定，涉及间谍行为的法律责任包括刑事责任和行政责任。国家安全机关经调查，发现间谍行为涉嫌犯罪的，应当依照《中华人民共和国刑事诉讼法》（以下简称"《刑事诉讼法》"）的规定立案侦查；尚不构成犯罪的行为，依法给予行政处罚。因此，反间谍相关追责程序亦涉及行政执法和刑事司法。

（一）行政执法程序的特点

基于新修订的《反间谍法》，反间谍行政执法程序有以下特点：

第一，涉及多个部门联合执法。新修订的《反间谍法》第六条规定，国家安全机关是反间谍工作的主管机关，公安、保密等有关部门和军队有关部门按照职责分工配合、协调。在凯盛融英案件中，根据公开报道，苏州市国家安全局对凯盛融英苏州分公司开展执法行动时，即会同该市市场监督管理局、统计局联合执法。多部门联合执法可能导致案件处理的复杂程度增加，与执法部门的沟通难度增大。

第二，执法职权较大，调查手段丰富。前文已述，新修订的《反间谍法》进一步增加了国家安全机关在执行反间谍工作任务中的执法职权。国家安全机关根据反间谍工作需要，甚至可以采取技术侦察措施[2]。因此，反间谍执法收集证据、查明事实的能力相对较强。

第三，鼓励悔改、立功。《反间谍法》第五十五条规定了实施间谍行为，有重大立功表现的，甚至应当"给予奖励"，这是针对反间谍工作的特殊性所作出的专门规定，成为《反间谍法》的一大特色。

由于反间谍行政执法案件复杂程度较高，而执法机关对事实查明能力较强，如何在既定事实中进行法律分析，选择最妥当的应对方案，是企业应对行政执法程序的一大难点。

（二）刑事司法程序的特点

根据《反间谍法》对于间谍行为的范围和实践情况，实施间谍行为可能构成的刑事犯罪主要包括间谍罪，以及为境外窃取、刺探、收买、非法提供国家秘密、情报罪等危害国家安全罪名。由于《刑法》并未对单位犯上述罪名作出规定，虽然理论界存在争议，但依照《刑法》第三十条，单位不能成为上述犯罪的主体。如单位从事相关犯罪行为的，其法律责任应由相关直接责任人员承担。

相较于一般刑事案件，反间谍刑事司法程序存在以下特点：

第一，辩护律师侦查阶段会见权相对受限。依照《刑事诉讼法》第三十九条，对于一般的刑事案件，辩护律师会见犯罪嫌疑人无需侦查机关的许可；但对于危害国家安全犯罪案件，辩护律师在侦查期间会见犯罪嫌疑人的，应当经侦查机关的许可。

第二，取保候审难度较大。由于实施间谍行为的犯罪嫌疑人可能被认定为有危害国家安全的现实危险，不符合"采取取保候审不致发生社会危险性"的条件，申请取保候审的难度较高。

第三，不适用企业合规第三方监督评估机制。2020年3月起，最高人民检察院在试点地区开展企业合规改革试点，刑事合规逐渐成为涉企犯罪的有力辩护方向。然而，最高人民检察院等部门联合发布的《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》第五条第四项已明确涉嫌危害国家安全犯罪的，不适用该制度。

通过对行政执法程序和刑事司法程序的分析可知，由于刑事司法程序中犯罪嫌疑人与辩护律师会见、申请取保候审均存在一定障碍，而刑事合规这一有力辩护手段亦无法采用，刑事辩护的难度相对较大。企业在遇到相关事项时，根据基本案情，应尽量争取在行政执法程序中处理。

在贯彻总体国家安全观的背景下，对间谍行为的监管日趋严格，境外企业或从事涉外业务的境内企业必须重视反间谍领域的企业合规建设。

（一）落实反间谍安全防范工作的主体责任，开展合规建设

新修订的《反间谍法》第十二条明确规定企业应当承担本单位反间谍安全防范工作的主体责任，落实反间谍安全防范措施。企业可从以下方面开展合规建设：

第一，企业实际控制人、主要负责人和高级管理人员应高度重视反间谍安全防范工作，在企业内部以公开方式提出反间谍相关合规要求、进行反间谍法规的培训，确保合规要求在全体员工中得到明确传达和有效执行。

第二，建立和完善内部合规管理组织架构。企业可以组建专职的合规管理委员会，负责业务风险的整体评估，识别业务过程中的重要风险点，监督合规要求的具体落实。在凯盛融英案后续处理中，凯盛融英即在国家安全机关的整改要求下，成立了由董事长、首席执行官领导的合规管理委员会。

第三，制定并落实反间谍合规管理制度。企业应当制定反间谍合规管理制度或政策，在制度中明确企业相关部门的职责分工，建立反间谍风险识别机制和风险应对预案，并在日常业务中贯彻落实。

（二）建立敏感领域信息专项合规体系

虽然新修订的《反间谍法》第四条列举了五项间谍行为，但其中第一、二、四项系与间谍组织相关，第五项系"为敌人指示攻击目标"，一般企业在正常商业活动中涉及的可能性相对较低。

第三项间谍行为系"窃取、刺探、收买、非法提供国家秘密、情报以及其他关系国家安全和利益的文件、数据、资料、物品"，其行为主体既包括间谍组织及其代理人以外的其他境外主体，也包括与其相勾结的境内主体。从主体上看，一般企业更可能涉及第三项间谍行为。

此外，该项间谍行为不仅包括直接实施的行为，还包括指使、资助行为；保护的对象不仅包括国家秘密、情报，还新增了"其他关系国家安全和利益的文件、数据、资料、物品"，含义较为宽泛，涉及军事、国防、外交、科技等敏感领域的非公开信息，均可能成为《反间谍法》的保护对象。

因此，涉敏感领域信息型间谍行为的防范，应成为反间谍领域企业合规工作的重点。企业应当采取措施、有的放矢，建立针对敏感领域信息的专项合规体系。

首先，企业在与可能涉及敏感领域信息的主体合作时，可以在合同中明确约定各方应主动履行保守国家秘密、情报等义务。其次，在具体执行上，企业也应避免通过非常规渠道获取、提供敏感领域信息，同时谨慎要求他人提供上述信息，以免被认定为指使、教唆他人实施间谍行为。最后，企业在获取或提供敏感领域信息时，应当严格控制知情人范围，防止危害结果的产生和扩大。

（三）尽早启动风险应对工作，及时与办案机关沟通

前文已述，新修订的《反间谍法》进一步健全了监督与救济制度，企业在面临行政处罚时，在配合办案机关调查的基础上，宜充分行使陈述、申辩、要求听证等程序权利，尽力避免遭受行政处罚。

此外，由于间谍行为可能涉及的刑事犯罪辩护难度相对较大，因此也应视调查情况及时与国家安全机关沟通，全力避免国家安全机关将相关行为认定为刑事犯罪、进行立案侦查。