上市公司虚假陈述行政处罚内部责任人认定逻辑之改进

在我国证券市场违法行为中，虚假陈述是最主要的违法形式。20世纪末，欺诈发行股票或债券、提供虚假财务会计报告、编造虚假信息、中介人员提供虚假证明等四类案件合计占所有证券市场违法案件的比例大约为33%。21世纪以来，类似案件所占的比例迅速上升到了60%左右，稳居“证券违法行为榜单”第一位。因此，需要对上市公司虚假陈述违法行为高度重视，重点打击。

我国证券执法机构打击上市公司虚假陈述取得了显著成效。但毋庸讳言，证券执法机构对于上市公司虚假陈述的责任认定逻辑也引发了不少争议。在2019年修订后的《证券法》（以下简称新《证券法》）大幅度提高行政处罚额度的情况下，如果继续按照既有的虚假陈述行政处罚责任认定逻辑进行处罚，再加上后续的在特别代表人诉讼制度下巨额连带赔偿责任之威胁，可能使大量的上市公司董事、监事和高级管理人员（以下简称董监高）难以承受，被迫辞职。如果优秀的人才纷纷离开上市公司，也将是中国资本市场难以承受之重。

基于此，本文先研究我国对于上市公司虚假陈述行政处罚中内部人即董监高责任认定的逻辑，并揭示其存在的问题；然后结合新《证券法》大幅度提高行政处罚幅度的背景，提出我国上市公司虚假陈述行政处罚中内部责任人认定逻辑的改进思路——四步测试法；最后论证该方案的比较优势与进一步深化。本文虽只研究虚假陈述行政处罚的责任认定，但对于虚假陈述民事诉讼过程中的责任认定也有较大的参考意义，但不适用于刑事诉讼，因为刑事责任较为特殊。

一、目前的认定逻辑及其问题

中国证券监督管理委员会（以下简称证监会）于1992年成立，并于次年因《禁止证券欺诈行为暂行办法》的颁布与授权而获得行政处罚权。在30年的证券行政处罚实践中，形成了什么样的责任主体认定逻辑呢？存在哪些问题呢？对此，有必要进行历史分析和典型案例分析。

（一）目前的认定逻辑

1.《股票发行与交易管理暂行条例》下责任认定逻辑的初步形成

1993年4月22日，国务院发布的《股票发行与交易管理暂行条例》（以下简称《股票条例》）第6章规定了“上市公司的信息披露”，并在第7章规定了“调查和处罚”。在《股票条例》之下，对于上市公司的虚假陈述，处罚对象是上市公司和“直接责任人员”。“直接责任人员”的认定逻辑是：

第一，如果是发行股票文件中出现虚假陈述，则签字的所有董事都将作为“直接责任人员”而受到处罚，典型案例是“蓝田股份案”“大东海案”“郑百文案”。但将签字的所有董事都作为“直接责任人员”而被处罚并非一开始就形成。早在1993年10月，证监会对尖峰公司的处罚就只处罚了公司和其中一位直接主管人员即该公司的时任董事长兼总经理。1996年8月，证监会对大明公司及有关中介机构的信息披露违规行为进行了处罚，对大明公司处以警告并罚款100万元；对大明公司全体时任董事处以警告，责令该公司对直接责任人员作出处理并报证监会。这是第一起因发行上市过程中虚假陈述而处罚全体董事的案例。1999年10月，证监会针对蓝田股份在股票发行申报材料中的虚假陈述行为，对该公司罚款100万元，并将时任董事长认定为负有主要责任的人员从而处以警告和罚款10万元，将其他时任董事认定为负有直接责任的人员从而处以警告和罚款5万元。2000年3月，证监会对大庆联谊公司欺诈上市及1997年年报虚假陈述案作出了行政处罚。证监会认定，对大庆联谊公司欺诈上市负有责任的内部人员是原法定代表人、时任董事长张某以及在招股说明书上签字的全体董事。对大庆联谊公司1997年年报虚假陈述负有责任的为原法定代表人、时任董事长薛某及全体时任董事。2001年9月27日，证监会认定郑百文公司造假上市，时任董事长、原总经理李某对上市过程中的虚假利润负有领导责任和直接责任，全体时任董事负有直接责任，其中包括时任独立董事陆家豪。陆家豪成为中国历史上第一个受到处罚的独立董事。对此处罚，陆家豪不服，向证监会提出了行政复议，要求免除罚款。2002年4月8日，证监会答复认为：陆家豪作为董事，应当对董事会决议通过的有关上市申报材料、年度报告的真实性、完整性负责；不能以担任独立董事、不在公司任职、不参加公司日常经营管理、不领取工资报酬或津贴等理由主张减免处罚。陆家豪又向北京市第一中级人民法院对证监会提起行政诉讼，也成为中国历史上第一个状告证券监管机构的独立董事。该法院以陆家豪提起行政诉讼超过了法定期限的程序性事项为由驳回了起诉，从而回避了实体审查。陆家豪又向北京市高级人民法院提起了上诉。2004年12月，北京市高级人民法院裁定驳回上诉。

第二，如果是年度报告出现虚假陈述，则签字的所有董事都将作为“直接责任人员”而受到处罚，典型案例是“飞龙实业案”“郑百文案”“张家界案”。

第三，如果是临时信息披露出现虚假陈述，则董事长将作为“直接责任人员”而受到处罚；但如果是董事会决议出现虚假陈述，则全体签字董事都将作为“直接责任人员”而受到处罚。例如，渤海公司1996年中期报告虚增资本公积金1.8亿元，1996年7月12日的董事会公告披露了未经土地管理部门正式盖章确认的不具有法律效力的土地估价资料，构成虚假陈述。证监会除了责令该公司改正错误外，还对渤海公司处以警告并罚款人民币50万元；对在渤海公司董事会决议上签字的时任董事处以警告。

总之，在《股票条例》之下，我国已经形成了“签字即担责”的上市公司虚假陈述行政处罚内部人责任认定逻辑。

2.《证券法》下责任认定逻辑的定型

1998年12月，《证券法》通过，自1999年7月1日起施行。该法还在2005年10月27日进行了一次较为全面的修订［以下简称《证券法》（2005年修订）］，自2006年1月1日起实施。

（1）“签字即担责”的责任人认定逻辑之承继

《证券法》实施后，上市公司因年报信息披露违法被处罚第一家是珠海鑫光公司。珠海鑫光公司的违法行为（即募集资金用途披露不实、遗漏对外担保和会计处理错误）有的发生在《证券法》实施前，有的发生在《证券法》实施后。在该案中，“签字即担责”的责任人认定逻辑得以承继，并被此后的绝大部分类似案件（包括董事会决议披露案件）所遵循。

（2）“直接负责的主管人员”和“其他直接责任人员”的区分逻辑的确立

针对珠海鑫光公司的违法行为，部分适用了《股票条例》，部分适用了《证券法》。第一家因信息披露违法完全适用《证券法》受处罚的上市公司是三九医药公司。三九医药公司未披露与股东之间的巨额资金往来，未披露关联交易。证监会认为，三九医药公司构成虚假陈述，负有主要责任的人员是时任董事长赵新先和时任董事兼董事会秘书许某，其他7名时任董事也负有相应责任。由于“三九医药案”是第一起完全适用《证券法》的行政处罚案例，“三九医药案”意味着董事长是“直接负责的主管人员”的认定逻辑的确立以及“直接负责的主管人员”和“其他直接责任人员”区分逻辑的确立。一般来讲，董事长是“直接负责的主管人员”，其他签字董事是“其他直接责任人员”。此外，本案也尝试着对董事会秘书进行责任人定位，该董事会秘书被认定为主要责任人，这是为数不多的将董事会秘书认定为主要责任人的案例。不过，这一探索很快就在其他案例中被推翻。

在2002年10月证监会对宇通客车公司1999年年报虚假陈述案的处罚中，依旧处罚了全体签字董事以及董事会秘书。但“宇通客车案”的时任董事会秘书不再被认定为主要责任人，而是与其他签字董事一道，被认定为“其他直接责任人员”，从而确立了董事会秘书一般来讲是“其他直接责任人员”的“先例”，推翻了“三九医药案”中将董事会秘书作为“主要责任人”的定位。

在2003年证监会对上海物贸中心公司1999年年报虚假陈述的处罚中，除了处罚审议通过该年报的全体时任董事外，还处罚了一位非董事的时任副总经理。该副总经理负责财务工作，证监会认定其为“其他直接责任人员”。这是《证券法》实施后第一起因信息披露违法而被证监会处罚的非董事直接责任人员。在2003年9月16日证监会对渝开发公司的处罚中，非董事吴某在渝开发公司1998年至2000年年报上以财务负责人的名义签字，证监会认定其与其他签字董事一样，为“其他直接责任人员”。从而，负责财务工作的高管或财务负责人被认定为财务虚假陈述的“其他直接责任人员”的逻辑确立。

（3）未按期披露年报及临时信息披露违法的责任人认定逻辑

《证券法》实施后，上市公司因未按期披露年报及临时信息披露违法被处罚的第一家是内蒙宏峰公司。证监会认定，直接负责的主管人员是公司原董事长高某。2004年5月19日，证监会对渝万里公司未按期披露2002年年报、临时信息披露不及时且存在重大遗漏作出处罚。证监会认为，时任董事长罗某是“直接负责的主管人员”。时任董事杨某珊参与划款事项，时任董事兼总经理杨某中在第一时间获知该事项，但渝万里公司未及时披露该事项，因此该二人为“其他直接责任人员”。从而，证监会确立了对于未披露年报一般将董事长认定为“直接负责的主管人员”，对于临时重大事项未披露一般将参与和知情的董事认定为“其他直接责任人员”的逻辑。

（4）临时信息披露违法转化为年报信息披露违法及责任人认定逻辑

证监会要求临时报告也需要在年度报告中披露。证监会发布的《公开发行证券的公司信息披露内容与格式准则第2号〈年度报告的内容与格式〉（2001年修订稿）》第2章第10节“重要事项”要求上市公司披露各种《证券法》所规定的“重大事件”。因此，未披露的临时重大事项如未在接下来的年度报告中披露，则年度报告就会出现重大遗漏，签字的董事也就转化成了“其他直接责任人员”。2003年12月1日，证监会对国嘉实业公司的处罚就是如此。

（5）独立董事与其他董事承担同样责任的逻辑的确立

虽然陆家豪是第一个受到中国证监会处罚的独立董事，但该处罚的依据是《股票条例》而非《证券法》。依据《证券法》处罚独立董事的第一案是“中鲁B案”。该公司2001年年报和2002年上半年年报信息披露虚增利润，且未按有关规定披露担保信息。该公司当时设置了两名独立董事。证监会对该公司处以罚款，对直接负责的主管人员——原董事长予以警告和罚款5万元；对直接负责经营、财务并兼任公司高管或副董事长的5名主管人员予以警告并各处罚款3万元，对其他7名董事（包含2名独立董事）予以警告。独立董事与其他董事承担同样责任的逻辑再一次被确认。

（6）全体负责认定逻辑与全部受处罚模式的最终形成

在2009年6月3日的“德棉股份案”中，证监会开始处罚监事和一般高管。德棉股份2007年年度报告虚假陈述。证监会认定对德棉股份公司2007年年度报告虚假陈述直接负责的主管人员为时任董事长周某，其他直接责任人员为时任10名董事（含4名独立董事）以及一名时任监事和一名时任副总经理。这使得该案中受处罚的自然人责任人达到13人。而在此前，上市公司虚假陈述受处罚的自然人责任人一般都在10人以内（只有个别案例例外）。

在2009年9月证监会对荣华实业公司的处罚中，被处罚的自然人责任人高达20人，其中包括董事12人（含独立董事3人）、监事3人、高管5人（均为副总经理）。这是上市公司第二例一次被罚达到20名自然人的案例（第一例是2008年的“大唐电信案”，其董事会成员庞大）。“德棉股份案”和“荣华实业案”标志着上市公司虚假陈述内部责任人认定的全体负责（俗称“全家桶”）逻辑与全体受处罚（俗称“一锅端”）模式正式形成。

这一转变的法律背景是，2005年修订的《证券法》第68条规定：“上市公司董事、高级管理人员应当对公司定期报告签署书面确认意见。上市公司监事会应当对董事会编制的公司定期报告进行审核并提出书面审核意见。上市公司董事、监事、高级管理人员应当保证上市公司所披露的信息真实、准确、完整。”而原《证券法》无此规定。

2021年7月，证监会通报首批适用2019年修订的《证券法》对财务造假类虚假陈述进行处罚的情况。广东榕泰公司、中潜股份公司、宜华生活公司三家上市公司的全体董监高均最终受到了行政处罚。虽然有的处罚并无不当，甚至发生了悄然变化（容后详述），但也在一定程度上标志着全体负责认定逻辑与全部受处罚模式在新《证券法》下的延续。

（二）既有认定逻辑存在的问题

证券执法机构对上市公司虚假陈述内部人责任认定的逻辑有一定道理，传达了证券执法机构要求上市公司董监高人人尽责、相互监督的理念。但是，这种逻辑也存在可商榷之处。

1.责任主体缺乏区分度，上市公司董监高常常被“一锅端”

一位前证监会行政处罚官员曾感叹道：“信息披露违法类案件，尤其是涉及重大舞弊的案件，调查过程往往艰辛复杂、阻力很大，但到了认定处罚环节，争执最大的一般并非事实问题而是公司内外部众多涉案主体的责任认定与责任落实（问题）。”

我国已经形成了只要签字即承担责任的责任认定逻辑。因此，无论是发行申请文件，还是定期报告，只要出现虚假陈述，签字的董监高——绝大多数案例中都是全体董监高均会受到处罚，尽管处罚的幅度会根据具体情况而有所不同，个别董监高要想幸免非常困难。因此，“签字即担责”的认定逻辑实际上是一种“全家桶”式的责任认定逻辑，并导致了“一锅端”式的处罚模式，初衷是减少虚假陈述，但值得商榷的是：第一，上市公司虚假陈述尤其是财务造假并未明显减少。可能是因为，一方面，很多极其隐蔽的虚假陈述，不知情的董监高一般是难以发现的；另一方面，这种“全家桶”责任认定逻辑和“一锅端”的处罚模式减少了主要责任人的耻辱感，反向激励了“首恶们”肆无忌惮地从事违法行为。第二，精准性与公平性欠缺，打击面有过宽之嫌。由于追“首恶”的难度很大，“首恶们”此前并没有受到应有惩罚。现在，虽然开始追究“首恶们”的刑事责任了，但追赃力度还不够，还有的“首恶”早已逍遥境外。第三，“签字即担责”的认定逻辑陷签字董监高于绝对、全面保证之中。签字的人不可能对所有财务信息（哪怕是重大的财务信息）都调查一遍，更不可能每个人都委托审计师复核一遍，因为那将造成巨大的成本浪费。法谚有云：“法律不强人所难”，法律制度的设计应节约制度遵从成本，而不宜提出不现实的要求。签字的人在签字之时，蕴含了信任的存在。签字的人只能保证其当时所认为的真实（尤其是部分真实），而无法保证绝对的、全部的真实。第四，它造成了上市公司董监高人人自危，缺乏职业安全感，会产生“劣币驱逐良币”的现象，不利于优秀人才加入上市公司董监高队伍。同时也不利于我国公司治理水平的提升，从而最终损害投资者的利益，不利于资本市场的健康发展。第五，这种模式在罚款上限总体不高的《证券法》（2005年修订）以及《证券法》（2014年修正）下，问题尚不严重，因为董监高的信息披露罚款责任上下限分别是30万元和3万元。但在新《证券法》下，罚款责任上下限分别是500万元和50万元。罚款下限由3万元提高到了50万元，提高了16.7倍，但他们的收入却几乎没有提高。即使按照下限处罚，也将使许多董监高退避三舍，不愿再担任职务。

美国《萨班斯法案》第302条仅要求上市公司首席执行官（CEO）和首席财务官（CFO）保证向美国证监会（SEC）提交的财务报告真实可靠，且要求上市公司CEO作出与财务相关的内控有效的声明。《萨班斯法案》并没有要求全体董事保证向SEC提交的财务报告真实可靠。在美国，对于财务报告虚假的行政责任和刑事责任，执法部门重点追究的是关键少数（主要是CEO和CFO），而不会将不直接负责的董事、高管也纳入追责范围。

2.主次责任人的责任不均衡

根据《证券法》（2005年修订）第193条，对主要责任人的罚款上限仅为30万元。这在《证券法》（2005年修订）修订之时颇具威慑力，但17年后，随着货币贬值和人们收入提高，其威慑力已经大为降低。这就造成了对主要责任人的处罚太轻，不足以震慑违法行为。而由于同时会追究其他董监高的责任，反而凸显了“其他直接责任人员”尤其是独立董事的责任太重。

与此形成对比的是，SEC很少对独立董事提起诉讼。“这确认了SEC对独立董事提起诉讼的死亡。”在SEC执法中，外部董事受到财产处罚的非常罕见。SEC可能认识到，如果SEC在涉及监督失职的案件中对董事采取过激行为，可能会阻止合格的个人担任董事职务。剑桥大学法学院教授布莱恩·R. 柴芬斯（Brian R. Cheffins）等还研究了英国、加拿大、澳大利亚、德国、法国和日本六国的经验。他们发现，在这些国家，独立董事的自负性财产责任也是很小的，尽管不为零。

在新《证券法》下，主要责任人的行政责任加重，但次要责任人的行政责任也同时上升。如果再加上后续的巨额连带民事赔偿责任，我国上市公司独立董事所负的法律责任，在全球资本市场当中，是最为严厉的，上市公司独立董事在我国已是高危职业。

3.公司责任与个人责任不分，将本应由个人承担的责任让公司承担

上市公司是信息披露义务人和对外披露的通道，关于该上市公司的所有信息都是通过该上市公司对外进行披露的。有的股东、个别董监高秘密策划某项违法行为，故意隐瞒应予披露的信息，除了超比例持股外，很多本属于股东或个别董监高的过错，本应由股东或个别董监高承担的责任，也往往让上市公司同时承担，因为毕竟上市公司没有披露该等应予披露的信息。其实，这些个别董监高的行为，并未得到公司的“授权”，并不能代表公司的意志，其行为并不能归属于所在的公司。典型案例如“北大医药案”“方正科技案”“文峰大世界案”等。

4.合理信赖专家意见的门槛过高，抹杀了专业分工

域外资本市场一般均允许合理依赖专家意见，合理信赖专家意见很容易成功。但在我国的证券行政处罚实践中，基本上（虽不绝对）不允许合理依赖专家意见。在“金亚科技公司被处罚案”中，证监会指出：独立董事“独立发表专业意见和专业判断，即使借鉴其他机构或者个人的专业意见，也要独立承担责任。不能以其他机构或者个人未发现、未指出为由，请求免除其责任。发生信息披露违法时，其他主体是否发现、是否指出错误、是否存在过错、是否被追究责任，均不能免除董事、监事和高级管理人员的责任。”在2018年1月对华泽钴镍公司的处罚书中，证监会指出：“上市公司董事、监事和高级管理人员应具备与职责相匹配的专业知识和水平，主动调查并获取决策所需资料，独立发表专业判断。参考借鉴审计结果需独立承担责任，完全依赖审计结果则是未勤勉尽责的表现。”不使用“信赖”而使用“借鉴”“依赖”字样，表明证券执法机构基本上不允许其他人合理信赖专家意见的态度。

5.不适当地扩大会计责任，将全体董监高都视为会计人员

区分会计责任与审计责任的确是一种进步，即审计师的失职不构成会计人员免责的理由。但将所有董监高都视为负有会计责任的主体时，就抹杀了公司内部各种不同的主体的分工，将所有董监高都当成了“小会计”，这并不利于公司治理的提升。我国《会计法》第21条规定的会计责任人员为单位负责人和主管会计工作的负责人、会计机构负责人、总会计师等四类人员。这和美国《萨班斯法案》只要求CEO和CFO保证向SEC提交的财务报告真实可靠是一致的。全体董监高不属于会计责任人员，相反，他们可以合理信赖会计责任人员签名盖章的审计报告。这是社会分工与合作的需要，是减少交易成本的需要。

二、认定逻辑之改进：四步测试法的提出

在新《证券法》实施后，在适用新《证券法》对上市公司虚假陈述进行处罚时，应对目前的责任认定逻辑加以改进，宜只认定关键少数人，并予以重罚。那么，关键少数人如何识别呢？如何鉴别董监高是否有责呢？笔者提出如下四步测试法（参见图1）。

（一）第一步测试：主观状态测试

第一步应测试董监高在主观上是故意还是过失，并作不同认定。故意和过失，合称为主观过错。虽然主观状态不是行政违法行为的构成要件，处罚机关无需证明相对人具有主观过错，但它却是行政处罚要考虑的一个至关重要的情节。而在民事侵权裁判中，主观过错是一般侵权行为的构成要件之一，在实行过错责任的侵权案件中，法官必须考察侵权行为人的主观过错。由于故意与过失的主观恶性不同，法律予以了不同的评价，并处以轻重不同的法律责任（甚至免责）。

在上市公司虚假陈述案件中，首先，对于以积极行为（包括组织、策划、指使、参与、实施）从事虚假陈述行为的董监高，以及隐瞒有关重大事项的董监高，则认定为主观上具有故意，无需再进行下一步测试，即可认定其为“直接负责的主管人员”并应承担责任。这里需要着重解释何谓隐瞒。隐瞒是指信息披露义务人（根据新《证券法》第78条，是指发行人及法律、行政法规和国务院证券监管机构规定的其他信息披露义务人）或责任人（主要是发行人的董监高）采取积极行为掩盖相关事实或采取消极行为不向信息披露义务人告知相关事实的行为。这里的“相关事实”有的是与自己相关的，有的是自己知悉的与他人相关的，但信息披露义务人均有义务对外披露的情况。

对于那些没有以积极行为从事虚假陈述，也未隐瞒有关重大事项，而仅在有关信息披露文件上签字的董监高（简称为非参与董监高），由于其过错至多是过失，其是否担责，应进行进一步的测试。如果接下来的测试认定其应负责任，则应认定为“其他直接责任人员”。

（二）第二步测试：义务主体测试

责任界定的前提是义务的精准界定，因为承担法律责任的前提是违反了法定义务。过失的董监高在虚假陈述中负有责任，是基于其负有注意义务。但我国《公司法》对于董监高注意义务的界定比较模糊并广受批评，相关法律法规和执法司法实践对董监高在信息披露方面的注意义务要求过高且不合实际，需要改进。

董事和监事在信息披露方面的注意义务实际上是一种系统监控（monitor）义务。“科层的增加和分工的细化，（使得）董事主要在董事会中集体决策，导致了董事并不直接执行经营活动，但董事负有对公司作为一个运行良好的系统的‘设计者’和‘维护者’的职责，负有‘督导’（monitor）的义务。”董事会日益成为监督者和系统维护者。监事也是如此。此外，还有学者认为，董事的注意义务还可以进一步细化为内部控制义务，内部控制义务是董事注意义务的具体化及内在化。笔者认为，监事也负有内部控制义务，内部控制义务属于董事和监事注意义务的重要内容，但不是全部。在信息披露方面，董事负有实时监控义务，监事更负有实时监控义务。“美国公司法默认状态是董事可以合理地信赖别人，不必对日常的管理行为进行监督，可以合理地相信公司是一个运作正常的信息收集系统。然而，如果董事被告知雇员的不当行为，则有义务利用权威去停止；这一告知不需要是实际发生的，只要是推断性的举报就可以；构成推断性的通知，其标准是足以引起董事怀疑的危险信号；如果不存在危险信号，董事会并没有义务实际去监视非法行为。……对系统维护者而言，董事还负有一个职责就是‘警察巡视’，必须投入一定时间和精力去进行巡查监督。”总而言之，董事和监事的注意义务在信息披露领域可以进一步细化为内部控制义务和实时监控义务。上市公司信息收集与披露制度及其实施情况属于内部控制制度的重要内容，上市公司重大异常则属于实时监控的重要对象。

因此，对于非参与董监高，要让其承担责任，需要先进行是否负义务测试或称义务主体测试，即要先辨别其在信息披露方面是否为负有内部控制义务和实时监控义务的主体。（1）对于董事和监事，因在信息披露方面负有内部控制义务和实时监控义务，因此，需要进入第三步测试。（2）对于高级管理人员（简称高管），需要对其进行是否对相关的虚假陈述负注意义务的测试。具体言之，高管在信息披露方面的注意义务，需要根据认定的信息披露违法事项是否与高管的职务、具体职责存在直接关系而有所区分。有直接关系的高管（简称主管高管），对该事项负有注意义务；主管高管在信息披露方面的注意义务也可以进一步细化为内部控制义务和实时监控义务。没有直接关系的高管（简称非主管高管），对该事项不负注意义务。对于主管高管，因其负内部控制义务和实时监控义务，需要进入第三步测试；对于非主管高管，因其不负内部控制义务和实时监控义务，不应被认定为责任人员，而应免责，无需进一步测试。

一般而言，总经理、董事会秘书是所有虚假陈述行为的主管高管，分管财务的公司副总经理和财务总监是财务类虚假陈述的主管高管，其他公司副总经理在各自分管的领域内才成为主管高管，才对相应的虚假陈述负责。超出其分管领域，公司副总经理不应对虚假陈述负责。例如，重大诉讼仲裁事项未披露，应向对该事项及其信息披露事务负有管理职责的高管——总经理、董事会秘书、管理公司法律事务的副总经理追责，而不应向对该事项及其信息披露事务没有管理职责的其他公司副总经理追责。又如，某项采购原材料的关联交易未披露，应向对该事项及其信息披露事务负有管理职责的高管——总经理、董事会秘书、主管财务的公司副总经理和管理生产的公司副总经理、财务总监追责，而不应向对该事项及其信息披露事务没有管理职责的其他公司副总经理追责。

（三）第三步测试：内部控制义务履行测试

对于董事、监事和主管高管，需要进入第三步测试：内部控制义务履行测试。内部控制义务履行测试主要是制度性测试，即要看该公司是否按照法律或监管规定建立了内部控制制度，是否依法设置公司内部机构并明确其职责（包括是否设立了内部审计职能部门），是否对员工进行持续合规培训，董事会是否定期对内部控制进行评价并进行完善，监事会是否检查内部控制、督促内部控制的评价及其完善。“公司有证据表明其业已制定有效完整的合规计划的，可以减轻或免除对其的处罚。”

内部控制义务履行测试是对董事会、监事会和主管高管的履行内部控制义务情况的测试，而不是对公司内部控制是否存在缺陷的测试。只要董事会、监事会和主管高管认真完成了以上规定性动作，就能通过此项测试。内部控制义务履行测试的目的是督促董事会、监事会和主管高管建立和完善内部控制制度，而不是将内部控制作为“口袋条款”，只要上市公司发生舞弊，就以内部控制存在缺陷为由对董监高进行处罚。这是因为，内部控制作为公司治理的一部分，本质上属于软法，宜主要通过激励、引导而非强制、命令的方式予以实施。至于经营层、管理层或实际控制人突破业已建立的公司内部控制制度进行舞弊，则应通过第四步测试即实时监控义务履行测试来判断相关董监高是否勤勉尽责。

内部控制义务履行测试也是一项集体测试，允许“不作为”的董监高搭便车，因为董事会和监事会本身就是一个集体决策、集体负责机制。如果董事、监事和主管高管未集体地履行上述内部控制义务，则均应被认定为责任人员，无需进一步测试。如果董事、监事和主管高管集体履行了上述内部控制义务，还需要进行第四步测试。

（四）第四步测试：实时监控义务履行测试

实时监控义务履行测试是一个个体测试，要一一查验每个董事、监事和主管高管是否发现了重大异常或收到了重大异常的“警报”（即危险信号），发现或收到危险信号后是否采取了调查、纠正、补救等措施。如果某个董事、监事或主管高管未发现明显的危险信号，则说明其未尽实时监控义务。如果某个董事、监事或主管高管收到危险信号后无动于衷，未采取必要且合理的调查、纠正、补救等措施，也说明其未尽实时监控义务。此外，还要看每个董事、监事、主管高管出席、列席董事会、监事会会议的情况。如果某个董事、监事或主管高管未发现极为隐蔽的危险信号且未收到危险信号，又勤勉地出席、列席了董事会、监事会会议，认真阅读相关会议资料，进行实质性的发言，或者在发现或收到危险信号后积极进行相应调查、纠正、补救等措施，或在所涉的虚假信息披露事件上投票反对或弃权，或向监管部门进行了举报，或依法公开披露了反对意见，则不应被认定为责任人员，从而可免责。如果某个董事、监事或主管高管不能勤勉地出席、列席董事会、监事会会议，不认真阅读相关会议资料，未进行实质性的发言，则构成未尽实时监控义务的有力证据。

例如，在适用新《证券法》处罚上市公司第一案中，广东榕泰公司2019年的年报无法在法定期限披露，公司股票停牌，随后，其2019年财务报告被注册会计师出具带强调事项段的保留意见。后经中国证监会广东监管局查明，该公司披露的2019年年度报告未披露关联关系、虚增利润。该公司未参与上述违法事项的部分董监事，在审计机构对该公司2019年财务报告出具带强调事项段的保留意见后，未能对审计意见提及的明显可疑事项予以特别关注或关注但未勤勉尽责，并签字保证该公司2019年年度报告内容真实、准确、完整，因此，均受到了行政处罚。又如，在证监会部分适用新《证券法》对宜华生活公司的处罚中，证监会认定，自2019年初以来，宜华生活公司因“存贷双高”被媒体质疑，2018年年报被交易所问询，2019年财务报表被会计师出具无法表示意见的审计报告，但声称“未参与、不知情”的7名董监高并未对前述异常情形予以应有关注，更未进行必要、审慎核查，即在相关定期报告签署确认意见，因此未勤勉尽责，受到了罚款处罚。在这两起案例中，行政处罚决定书特别论述了“危险信号”及收到“危险信号”后相关董监高的反应，值得肯定，同时也标志着证券执法机构的认定逻辑正在悄然变化。

图1虚假陈述内部责任人认定测试示意图

三、四步测试法的比较优势与进一步深化

在虚假陈述行政处罚过程中，如何区分公司责任和个人责任，是否以及如何允许合理信赖专家的意见，如何判断不同种类的董监高注意义务的履行情况，众说纷纭，莫衷一是，显示出该领域中的共识甚少，亟待加强研究。在美国，主要通过“合理勤勉抗辩”（due diligence defense）来进行判断。詹姆斯·考克斯（James D.Cox）教授等人曾总结出了不同的被告抗辩的“滑动的责任标准”（sliding scale of responsibility），尝试在签署登记注册文件的内部人和外部人之间划出一条界线，最严格的注意标准适用于签署登记注册表的内部人，外部人根据专业被分解到不同的注意标准中。由于这些注意标准仍然存在界限不明和较大的模糊性，在实践中并不十分成功。相比较而言，本文提出的四步测试法进一步将董监高“合理勤勉抗辩”的标准予以规则化、步骤化，这比美国法上的合理勤勉抗辩标准更具有可操作性和应用优势，也更具有进一步深化发展的空间，能对上述问题作出较好的回应。

（一）如何区分公司责任与个人责任？——只需附加一项测试

应区分公司责任与个人责任，以保护上市公司免受“二次伤害”，这是不少学者的共识。但个别董监高甚至是董事长的信息隐瞒违法行为，是否可以代表公司意志、是否可以归属于其所在的上市公司，则不易判定。在实践中，证券执法机构一般认定这些隐瞒代表了公司意志，上市公司应受处罚。但笔者认为，可以在本文提出的四步测试法中的第一步测试后，再附加一项测试即可轻松判定，从而决定上市公司是否担责。

此即信息隐瞒之董事人数测试。详言之，如果是个别董监高参与的信息隐瞒行为，要看该项信息隐瞒行为是否为半数以上的董事会成员所知悉，并明示、默示或共同一致的行为。如果知悉并隐瞒该项信息的董事未达到董事会成员的半数以上，则该部分董事的隐瞒行为就不能代表其所在的公司，而应认定为个别人的行为，处罚时应只处罚这些个人，而不能处罚其所在的上市公司。如果知悉并隐瞒该项信息的董事达到董事会成员的半数以上，则该部分董事的隐瞒行为就代表其所在的公司，处罚时不仅要处罚这些个人，还要处罚其所在的上市公司。这是因为，在法人违法犯罪过程中，法人内部往往有不同的意见，法人通过决策机关的表决，对各种思想、意志或者力量进行综合，从而形成整体的思想和意志，也就是占多数的思想和意志。法人的违法犯罪，不是复数主体的复数违法犯罪行为，而是一个违法犯罪行为，有复数的责任主体。如果违法犯罪的思想和意志占决策成员的多数，就可以归责于法人，同时还应惩罚这些多数人；反之，如果违法犯罪的思想和意志占决策成员的少数，则不能归责于法人，而只能归责于这些少数人。

即使是董事长、法定代表人的信息隐瞒行为，也不能当然认定为上市公司隐瞒了信息，因为法定代表人仅在民事行为中可以对外代表公司，在行政违法、刑事犯罪行为中，董事长、法定代表人违法犯罪，并不当然地代表所任职的公司。上市公司一般都不会授权董事长、法定代表人进行虚假陈述，除非有相反证据。如果责备该公司长期内部控制存在重大缺陷，其他董监高监督不力，从而导致了虚假陈述的发生的话，也应该以第三步测试甚至第四步测试的结果为依据对公司和董事、监事进行处罚。之所以只考察知悉并隐瞒信息违法的董事人数而不考察监事和高管人数，是因为只有董事会才能在信息披露中代表公司，信息披露都是以董事会的名义对外披露的，监事会和高管不能在信息披露中代表公司。

如此精准地执法后，在很多情况下，上市公司和不知情的董监高将不受处罚，受处罚的是以积极行为从事虚假陈述或刻意隐瞒有关重大事项的“关键少数”。此后的虚假陈述民事赔偿，也会主要只针对这些“关键少数”，而不应是上市公司和其他董监高，“关键少数”将赔得倾家荡产，上市公司和其他董监高不应再成为“替罪羊”，这既能有效地遏制信息隐瞒行为，又公平合理，减少争议。因此，新《证券法》第85条关于上市公司的无过错责任之规定应予修改。

（二）董监高是否可以信赖专家意见？——已包含于第四步测试之中

在美国，董事对于虚假陈述是否负法律责任，主要考察其是否合理地勤勉尽责，并且允许其合理信赖专家的意见。美国的相关判例表明，对已经由专家的报告予以支撑的部分，虽可以合理地信赖该报告，但对“合理”的理解已经不再局限于消极被动地援引专家的报告即可，而是需要积极地进行相关的调查才可免责。英国也允许被告相信专家的意见来保护自己，英国《2000年金融服务与市场法》第90条及其附录10《损害赔偿：豁免》对此有详细规定。英国允许被告的抗辩比美国还要广泛，被告无需证明他相信专家的陈述是真实的，他仅需证明他具有合理的理由相信专家有资格（competent）出具报告或作出陈述即可。

在我国的证券行政处罚实践中，在听证过程中，也有不少董事申辩称自己信赖专家的意见应予免责。但在我国的证券执法实践中，证监会坚持认为，董监高不能以专家的报告未发现为由为自己开脱责任。例如，在2007年“安信信托公司虚假陈述行政处罚案”中，证监会认为，会计责任和审计责任是两种不同的责任。保证会计资料的真实性、准确性、合法性是被审计单位的会计责任，会计师事务所的审计责任不能代替、减轻或免除会计主体的会计责任。因此，安信信托公司及董事会全体董事（包括独立董事）都受到了行政处罚。又如，在2016年的“亚太实业公司虚假陈述行政处罚案”中，证监会认为，审计机构未发现、未指出或者存在过错、相信专业机构或者专业人员出具的意见和报告、不直接从事经营管理、受到外部干预等，不能成为（董事）免责的理由。对此，蒋大兴教授批评道，董事所负的应为监督责任、管理责任，而不应是会计责任，不能将董事看成是会计师。

目前，我国监管机构对合理信赖审计报告的要求很高，董监高成功援引审计报告而使自己免责的案例很少。这种做法扩张了董监高的责任，忽视了社会分工的必要性、合理性。在社会学家迪尔凯姆看来，正是在分工的基础上，才有社会的合作和团结。如果没有差异，也就没有结合，没有组织。组织结合了各种差异，形成了合力。换言之，社会分工导致了组织的必要性。社会分工是社会进化的结果，社会分工使社会从“低密度社会”进化到了“高密度社会”。

在新《证券法》大幅度提高处罚额度的背景下，证券执法机构的既有做法应予改进。建议证券执法司法机构降低合理信赖专家意见的门槛，在相关制度规范和司法解释或案例中，明确不同主体合理信赖专家意见的标准，使大部分普通董监高能够达到该门槛，而不是不现实地将董监高都假定为全身心投入、应该无所不知、见微知著、火眼金睛的侦探或刑警。但是，董监高可以信赖专家的意见，这种信赖也是一种合理信赖，而不是无条件信赖。合理信赖意味着，需要以一定的调查为前提。董监高不做任何调查的无条件信赖是不允许的。这就是第四步测试中的实时监控测试。因此，只有董监高通过了实时监控测试，履行了实时监控义务，才可以合理信赖专家意见。因此，合理信赖专家意见已为第四步测试所吸收。

（三）董监高注意义务标准的差异——由第四步测试来体现

国外尤其是美国的判例法实践还表明，“合理勤勉”抗辩标准是因人而异、因事而异的，并没有整齐划一的标准。美国证监会甚至出台了“规则176”来进一步解释考虑“妥当的勤勉”抗辩标准时应考虑的因素。对于董事来讲，负主要责任的董事的调查应比其他董事更详细。外部董事的核查义务应轻于内部董事。

但也有的国家或法院不区分董事的类型，主张所有的董事负有同等的注意义务。那么，是否应该区分不同种类的主体，建立不同的合理调查、合理信赖标准呢？笔者认为，不区分对待虽然有执法的便利性，但却对兼职的、薪酬低的董事和监事不公平，违反了“相同情况相同对待，不同情况不同对待”的公平原理。以独立董事为例，目前，我国很多普通民众乃至证券监管机构官员和法官对独立董事的角色定位之认识存在一定偏差，认为独立董事就应该像全职董事那样全身心投入到公司的经营之中，如未发现虚假陈述就是不尽职尽责的表现不考虑其成本收益。这将导致课加于独立董事身上的责任、风险与收益不匹配。其实，我国资本市场上市公司独立董事遭遇行政处罚的风险远高于其他资本市场，但为何虚假陈述尤其是财务造假并未见减少呢？独立董事不是经济侦查人员，其识破财务造假的能力、手段、时间和经验均非常有限。很多隐蔽的财务造假，即便注册会计师团队往上市公司派驻几十人、驻守一个多月都未必能够发现，独立董事哪怕是会计师专业出身也很难发现。我们对于独立董事的发现虚假陈述尤其是财务造假的功能寄予了不切实际的过高期望，这种期望不但实现不了，反而会进一步失去公司决策效率、经济发展等效率目标。回到现实的办法是降低独立董事勤勉尽责的标准，承认独立董事的有限功能，将独立董事的功能限定在抑制控制股东滥用控制权，特别是监督和制止控制股东利用关联交易损害公司和股东利益方面，而不是放在保证信息披露文件的真实、准确与完整上面。

如果应区别对待不同主体，那么该如何区别对待呢？笔者认为，应根据不同董监高的职位作用、薪酬水平、工作方式等略有区分；独立董事的合理调查、合理信赖和注意义务的标准是最低的，这是由他们的职位作用、薪酬水平、工作机制、惩处机制等决定的。他们可以合理信赖管理层的陈述，合理信赖专家的意见。独立董事的注意义务标准应该是：他们除了正常、认真出席董事会会议并进行讨论外，还包括：熟悉公司的业务和经营，认真审阅但不能仅仅阅读相关书面文件，对公司重大异常保持合理关注，并主动向公司管理层进行询问或调查，提出异议或提示风险。建立了独立董事的注意义务标准之后，再根据其他主体的职位作用、薪酬水平、工作机制等，适当提高其合理调查、合理信赖标准。

但无论董监高的职位作用、薪酬水平、工作机制如何，都要通过前述四步测试进行判断。通过这四步测试，发现其履行了两大基本义务——内部控制义务和实时监控义务的，均可免责；发现其未履行两大基本义务的，都要担责。在此意义上，不同的董监高的注意义务标准并没有太大不同，但是，在具体进行第四步测试时，可以在最低限度的注意义务标准即独立董事的注意义务标准之上，根据不同主体的职位作用、薪酬水平、工作机制等，适当提高其注意义务的标准。此外，由于董事长是上市公司信息披露工作的直接领导者，对虚假信息披露负有直接责任，因此，如果通过第三、第四步测试发现董事长未履行内部控制义务或实时监控义务的，则应直接认定其为“直接负责的主管人员”。

四、结语

针对我国已经形成的上市公司虚假陈述内部责任人认定的全体负责认定逻辑和全部受处罚模式，鉴于其本身存在的执法不够精准、打击面过大、公平性还有欠缺、不重视社会分工、效果不理想等弊端，笔者在新《证券法》的背景下，提出了四步测试法来判定上市公司虚假陈述的内部责任人。第一步是主观状态测试，以区分故意违法和过失违法，并作不同对待。第二步是义务主体测试，以排除非主管高管的责任，避免责任泛化。第三步是内部控制义务履行测试，通过对董事、监事和主管高管对于内部控制的制度建设情况的测试，来判断其注意义务履行情况。第四步是实时监控义务履行测试，通过对董事、监事和主管高管对于公司重大异常的监测和反应情况的测试，来判断其注意义务履行情况。通过第三、四步测试，将未履行内部控制义务和实时监控义务的，存在过失的董事、监事和主管高管认定为“其他直接负责人员”，从而排除履行了这两项基本义务的董事、监事和主管高管的责任。在发生信息隐瞒类虚假陈述时，可通过附加测试，来判断是个人责任还是“个人责任+公司责任”。该四步测试法是有比较优势的，它涵盖和回应了“董监高是否可以信赖专家意见”“不同种类的董监高的注意义务标准是否有不同”等当前学术界的理论关切，也更具有逻辑性、科学性，操作性、适用性，并包含一定的发展空间和弹性空间。