在华企业发现员工可能涉及经济犯罪：内部调查前72小时应当先做什么？

一、适用范围：可信线索不等于犯罪已经成立

本文适用于在中国大陆经营的企业收到有关员工、管理人员、代理商或交易可能涉及商业贿赂、职务侵占、诈骗、伪造文件或其他经济犯罪的可信线索。它不替代已进入刑事程序后的辩护，也不讨论国家监察机关管辖的全部特殊规则。

匿名举报、异常付款或邮件片段可以启动核查，但不能单独证明主观故意、非法占有目的、单位责任或具体罪名。调查任务应先写成可验证的问题：谁批准了什么、资金或利益流向哪里、公司获得了什么交易机会、哪些记录可能反驳或支持该解释。

二、前6小时：保全原件，并把业务连续性控制与证据处理分开

第一份指令应当是针对相关保管人的法律保全通知，覆盖邮箱、企业微信或其他聊天工具、手机、云盘、付款、费用报销、合同、印章和门禁记录。尽量保留原始载体、元数据、访问日志和完整性校验信息；只截屏或把文件另存为PDF，通常不足以说明来源、时间和上下文。

为防止继续付款、转移资产或未经授权使用印章，企业可以采取比例适当的双重审批、临时权限冻结或实物盘点。但不要重装设备、清空账号、修改历史记录或让同一名潜在涉事人员独自导出证据。电子数据规则强调提取过程、清单和完整性，这也是内部记录日后能否解释清楚的关键。

• 列出保管人、系统、设备、账户和可能灭失时间
• 记录每次复制、移交、封存和访问的人员与时间
• 把业务权限调整记录与证据副本分开保存
• 暂停自动删除、邮箱归档清理和设备回收重置

三、24小时内：确定谁代表公司，以及公司与个人是否需要分别聘请律师

调查负责人应向不受指控影响的董事、审计或合规负责人报告。若举报涉及法定代表人、控股股东、总经理、法务负责人或批准调查的人，应重新确定授权链和报告对象。公司律师代表的是公司利益，不当然同时代表被调查员工。

中国《律师法》要求律师对执业中知悉的国家秘密、商业秘密、隐私及委托人不愿泄露的信息承担保密义务，但这不等于所有内部邮件、访谈纪要或顾问报告都自动免于向司法机关提交。应在调查开始时明确委托主体、目的、材料标识、接收范围和可能的披露决定，并在利益冲突出现时安排独立意见。

四、员工数据可以调查使用，但人力资源管理并不是无限授权

《个人信息保护法》第13条允许在依照合法劳动规章制度或集体合同实施人力资源管理所必需时处理个人信息；同时仍受目的明确、最小必要、透明、安全和保存期限等原则约束。健康、财务账户、行踪、生物识别等敏感个人信息还需要更严格的必要性和保护措施。

开始检索前，应记录调查目的、人员范围、关键词和时间段，排除明显无关的私人内容，并限制下载与二次传播。劳动纪律或解除决定还应核对规章制度是否依法制定并向员工公示、证据是否支持对应条款以及处理是否相称。内部调查结论不能替代合法劳动程序。

五、境外总部远程查看或接收调查材料，应单独审查数据出境

把中国员工邮箱、访谈记录或付款数据放入境外总部的e-discovery、举报或合规平台，可能构成向境外提供个人信息。即使符合跨境人力资源管理豁免，也不当然免除告知、个人信息保护影响评估、最小化和安全义务；含重要数据或达到法定数量门槛时，还要核对安全评估、标准合同或认证路径。

较稳妥的顺序是先在中国形成数据地图和窄化后的审阅集，再决定境外团队实际需要哪些字段、是否可脱敏以及通过何种合法机制访问。不要以‘总部拥有子公司’或‘调查由律师主持’作为自动出境依据。

六、访谈顺序应从不易受污染的事实开始，而不是先与核心对象对质

通常先访谈举报接收人、流程负责人和外围证人，再结合文件确定是否以及何时访谈核心对象。每次访谈前应说明调查者身份、代表对象、用途和保密边界；不得冒充办案机关、非法限制人身自由、威胁或诱导证言。

纪要应区分原话、文件显示的事实和调查者判断，记录出示材料及员工提出的更正。不要让多名证人共同核对口径，也不要在全员邮件中披露未经证实的指控。若员工已经是犯罪嫌疑人或机关要求访谈保密，应先由中国刑事律师确定后续沟通方式。

七、机关联系公司后：核验文书、权限和范围，不自行扩大或缩小要求

收到公安、检察、市场监管、海关或其他机关的电话、调取通知、协查或检查要求时，应记录机关、人员、案号、法律文书、期限和要求的数据范围，并由中国律师核对权限和回应方式。刑事诉讼中的物证、书证、视听资料和电子数据有法定收集、审查规则；企业自行整理的材料也可能进入程序。

既不要隐匿、毁灭或篡改材料，也不要在未核验范围前把与要求无关的员工隐私、商业秘密或境外资料整库交付。涉及依法不得披露的调查信息时，应限制内部通知。对外沟通只陈述已核实事实，避免承诺调查结果、责任或从宽处理。

八、72小时决策表：四种事实组合对应不同下一步

第一，行为仍在持续且存在资金或安全风险：先做比例适当的权限和付款控制，同时保全记录。第二，线索可信但事实不完整：完成窄化审阅和外围访谈，不急于刑事定性。第三，机关已正式介入：以程序要求和独立中国律师意见为主线，暂停可能污染证据的重复访谈。第四，境外总部需要材料：先完成数据分类和出境判断，再提供必要范围。

是否主动报案或向监管机关说明，需要结合已知事实、公司可能承担的责任、持续危害、法定报告义务、证据完整性和境内外程序影响决定。任何‘自报必然从宽’或‘内部处理即可避免刑事风险’的承诺都不可靠。

• 0—6小时：发出保全通知，停止自动删除，控制持续付款或权限风险
• 6—24小时：确认授权和利益冲突，建立证据与数据地图
• 24—48小时：窄化审阅范围，访谈外围证人，记录事实与缺口
• 48—72小时：分别决定业务控制、劳动措施、数据出境、报案或监管回应
• 全程：保存决策依据、接触记录、材料清单和完整性信息

九、这些情况值得尽快取得针对性法律意见

员工已被带走或传唤、机关要求立即提交设备或数据、指控涉及高管或公司获益、存在跨境付款或总部取证、可能含国家秘密或重要数据、关键账号即将被删除，均不适合只按普通人事投诉处理。企业应让中国刑事、劳动和数据律师明确分工，并把境外法律要求与中国境内可执行步骤衔接起来。