李荣维律师
涉税犯罪案件和网络犯罪案件有一个共同特点：涉案企业一旦被刑事立案，留给企业自救的时间窗口非常有限。
启动合规整改程序、提交合规计划、接受第三方监督评估、通过验收——每一个环节都有严格的时间要求和程序规范。企业在被卷入刑事程序后，最现实的问题是：合规整改到底要改什么？怎么改才能让检察机关和第三方组织认可？
这不是一个“写份报告”就能解决的问题。
一、合规整改的核心逻辑：建链、强链、护链
合规整改不是“写材料”，而是“修链条”。
前文已经详细阐述了“企业刑事合规链”的三环模型——财税合规环、数据合规环、刑责防控环。合规整改的本质，就是把这套已经断裂的链条重新接上、加固、运行起来。具体来说，分为三个层次：
第一，建链——建立缺失的制度。企业过去没有的合规制度，现在要建起来。
第二，强链——强化已有的机制。企业已有的制度但执行不到位的，现在要强化执行、留下记录。
第三，护链——形成长效机制。整改不是一次性的，要建立持续运行的合规管理体系，确保不起诉后不会“恢复原状”。
基于这一逻辑，涉税企业和网络科技公司的合规整改，可以从以下核心事项入手。
二、涉税企业合规整改核心清单
涉税企业的合规整改，核心是“把账搞清楚、把票管规范、把税交明白”。
根据多地税务机关发布的涉税合规指引和涉案企业合规整改的实务经验，涉税企业整改至少应涵盖以下事项：
（一）发票管理整改
发票是涉税案件最核心的证据，也是合规整改的第一道关口。
一是全面核查历史发票。对涉案期间及此前三年的所有进项发票和销项发票进行全面自查，逐一核实发票所记载的交易是否真实发生、货物品名与数量是否与实际一致、发票金额与资金流水是否匹配。
二是建立发票合规管理制度。制定并执行发票开具、接收、保管、抵扣的标准化流程。在开具环节，通过ERP系统与税务开票软件对接，建立合同、物流、资金的三方校验机制。在接收环节，通过发票查验平台核验真伪后，再与合同、入库记录逐项核对。
三是确保“三流合一”。核查每一笔交易是否做到合同流、资金流、发票流（及货物流/服务流）三流匹配。对于确实无法匹配的历史交易，主动向税务机关说明情况并依法补缴税款和滞纳金。
（二）财务核算整改
涉税案件的定罪逻辑建立在财务数据的闭环之上。财务核算不规范，不仅会导致行政罚款，还可能成为刑事定罪的依据。
一是清理往来账目。重点核查长期挂账的应收账款、应付账款、其他应收款、其他应付款——这些科目往往是隐匿收入、虚列成本的高发区域。
二是规范成本费用归集。确保每一笔成本费用的列支都有真实、合法的凭证支撑，杜绝虚列工资、虚列成本、虚列研发费用等行为。
三是建立会计核算与税务申报的对账机制。确保会计账簿记载的收入、成本、利润与纳税申报表的数据一致，避免出现“账上赚了钱、申报没交税”的逻辑矛盾。
（三）税务申报整改
一是补缴历史欠税。对自查发现的少缴、漏缴税款，主动向税务机关申报并补缴税款及滞纳金。主动补缴是争取从宽处理的重要前提。
二是规范各税种申报。增值税、企业所得税、个人所得税等主要税种的申报，要做到应税收入确认及时、进项税额抵扣合规、优惠政策适用准确。
三是建立税务风险预警机制。定期对纳税申报数据进行内部审计，重点关注税收优惠适用、关联交易定价等高风险领域。
（四）内控机制整改
一是建立合规管理组织架构。设立合规管理岗位或部门，明确合规管理职责和权限。有条件的企业可以设立合规委员会或聘请外部合规顾问。
二是建立内部审计制度。定期对企业财务账目和发票使用情况进行审计检查。建立“月度复核、季度自查、年度第三方审计”的分级监督机制。
三是建立员工合规培训制度。定期对财务人员、采购人员、销售人员等重点岗位开展涉税合规培训，确保全员了解基本的合规要求。
四是建立举报与问责机制。设立内部举报渠道，对违规行为进行内部调查和处理。
三、网络科技公司合规整改核心清单
网络科技公司的合规整改，核心是“把数据管住、把系统加固、把日志留好”。
2025年，网络安全与数据安全领域的监管执法明显趋严趋密。公安、网信、工信等部门形成了对互联网生态的穿透式监管。网络科技公司的合规整改，至少应涵盖以下事项：
（一）数据安全整改
数据是网络科技公司的核心资产，也是最大的风险敞口。
一是数据分类分级。根据《数据安全法》的要求，对企业的数据进行分类分级管理，明确不同类别、不同级别数据的保护措施和访问权限。
二是建立数据安全管理制度。制定数据采集、存储、使用、加工、传输、提供、公开、删除的全流程管理制度。确保数据从产生到销毁的每一个环节都有据可查、有责可追。
三是落实技术防护措施。采取加密、脱敏、访问控制、日志审计等技术措施保障数据安全。数据库服务应做远程访问限制、启用数据审计。
（二）网络安全整改
一是落实网络安全等级保护制度。按照《网络安全法》的要求，对信息系统进行定级、备案、安全建设整改、等级测评。
二是修复系统漏洞。对存在的安全漏洞进行全面排查和修复，防止系统被篡改或攻击。建立漏洞发现、报告、修复的闭环管理机制。
三是强化账号和权限管理。杜绝默认管理员账号、弱口令等常见安全隐患。建立最小权限原则，确保人员权限与岗位职责匹配。
（三）日志留存与电子数据管理
网络犯罪案件的核心证据是电子数据。合规整改的一个重要目标，是确保企业的电子数据能够经得起司法审查。
一是建立日志留存制度。按照法律法规要求留存网络日志，确保日志的完整性、真实性和可追溯性。
二是规范电子数据管理。建立电子数据的分类、存储、备份、销毁制度，确保数据在产生、流转、存储各环节都有完整的操作记录。
三是确保数据可追溯。关键业务系统的操作记录、数据变更记录、权限变更记录，都应做到可追溯、可审计。
（四）个人信息保护整改
一是落实个人信息保护影响评估。在处理个人信息前，依法进行个人信息保护影响评估，并对处理情况进行记录。
二是规范个人信息收集和使用。确保个人信息的收集、使用、处理符合《个人信息保护法》的要求——告知同意、最小必要、目的限制等原则都要落实到位。
三是建立个人信息泄露应急响应机制。制定数据泄露应急预案，明确发现泄露后的报告、处置、通知流程。
四、第三方监督评估的验收标准
合规整改做得好不好，不是企业自己说了算——要由第三方监督评估组织来验收。
根据涉案企业合规第三方监督评估机制的要求，第三方组织在验收时重点关注以下几个方面：
第一，合规计划是否落地。企业提交的合规计划是否真正执行了，还是一份“纸面合规”。第三方组织会调取制度文件、抽查执行记录、访谈关键岗位人员。
第二，风险是否实质性消除。导致涉案的深层次风险——财务管理制度不规范、内部监督机制缺失、数据安全管理薄弱等——是否已经得到实质性解决。
第三，长效机制是否建立。整改不是一次性的，第三方组织会考察企业是否建立了能够持续运行的合规管理体系。
第四，整改态度是否真诚。企业在整改过程中是否积极配合、主动投入——这些主观因素同样会影响验收结论。
从实践来看，检察机关在办理涉企案件时，会针对涉案企业生产经营中存在的监督管理漏洞制发检察建议，帮助企业建章立制。红河州检察机关在办理企业合规案件后，还对已整改企业进行回访，督促企业把整改真正落到实处。昆明市五华区检察院在办理首例合规不起诉案件后，确立了不起诉后一年内定期回访机制和“双渠道举报机制”——承办检察官每季度对涉案企业进行回访考察，了解企业后续整改、经营情况。
五、合规整改的窗口期与专业支撑
合规整改的窗口期非常有限。
从案件移送审查起诉到检察机关作出不起诉决定，往往只有几个月的时间。企业需要在这段时间内完成从申请启动到通过验收的全流程。错过了，可能就再没有第二次机会。
李荣维律师在长期的刑事辩护和企业合规实务中，深刻意识到合规整改不是“做材料交差”，而是“真金白银换从宽”。从媒体行业跨界法律领域，近二十年的刑事辩护一线积累，让他对企业经营中的风险点有着敏锐的洞察力。在他看来，合规整改的核心在于“修链”——把断裂的财税环、数据环重新接上，并建立能够持续运行的长效机制。他先后赴中国政法大学、西南政法大学、复旦大学、浙江大学、西安交通大学等高校持续研修，系统补足财税审查和电子数据质证方面的专业能力，逐步形成了从“诊断—建链—强链—护链”的系统性合规整改方法论。
执业至今，李荣维律师保持着零行政处罚、零行业处分、零不良执业记录，在涉税犯罪、网络犯罪与企业合规整改交叉领域形成了独特的专业积累。