在现实因素制约下,仅靠刑事司法机关在事后对保险黑产犯罪开展刑事责任追查、督促涉案企业开展合规工作建设,显然并不足以实现良好法治。为了稳定企业经营、提升企业活力、拓展企业发展空间、获得长期效应,保险机构应当着力建设针对保险黑产犯罪的合规管理体系,在不影响保险机构经营效率的情况下,增强保险市场的稳定性,以达到恢复保险市场稳定、控制刑事风险的最终核心目的。
(一)以风险意识为导向,构建刑事合规监管基本框架
对保险机构而言,形成风险意识是针对保险黑产犯罪建立刑事风险合规体系的首要要求。同时,有效的监管框架是实现有效治理的前提。仅仅形成风险意识并不足以真正防范风险,还必须切实强化风险底线思维,将风险防范融入公司治理之中,形成刑事合规监管基本框架,确保内部治理与合规体系的有效性和公平性。对此,保险机构应当以风险意识为导向,构建刑事合规监管基本框架。
1、构建保险黑产犯罪辨识及预警机制,确保保险黑产犯罪第一时间被识别并上报
一方面,保险机构必须延伸前端触角、前移监控关口,建立异常行为上报的专属渠道和监管初步研判处理机制。通过整合现有的保单登记系统、从业人员管理系统等信息数据管理平台,建立以保险机构为轴点、以保险机构的分支机构为支点的分布式异常行为监督管理上报端口,基于涉刑性对异常行为开展筛选、过滤、研判,进而强化监管与机构对涉刑风险的数据监控和信息共享,提高刑事风险监控预警的及时性和前瞻性。另一方面,保险机构应当依托保险监管部门,与刑事司法部门联合开展案件处置工作。对于保险监管部门开展初查并认定其具备刑事风险的案件,检察机关、公安部门应当提前介入办理案件;对经过审查后认定确实存在刑事风险的异常行为,应当采取第一时间立案查处、对犯罪嫌疑人采取强制措施、开展证据扣押及保全等措施,并坚持“早发现、早干预、早纠正”,由检察机关主导开展专项合规监管,充分发挥对保险机构行为纠偏纠差的作用,引导保险机构及时弥补漏洞、开展风险处置,提升风险处置效率,遏制刑事风险的扩散和蔓延。
2、构建覆盖全流程的保险黑产防范内控工作规范
监管效用的有效发挥有赖于构建全面覆盖、分工配合、执行到位的犯罪防范内控工作规范。首先,应当构建全面覆盖的内控体系。针对当前保险黑产犯罪几近无孔不入、无缝不钻的渗透式发展趋势,保险机构应当确保监管规范能贯穿决策、执行、监督和反馈全过程,覆盖各项业务流程和管理活动,覆盖所有部门、岗位和人员。其次,保险机构应当有针对性地构建分阶段式监管体系。保险机构应基于“流程—节点—风险点—控制措施—违规事件”关联模型,有针对性地构建分级分层管理的主动式监管机制。尤其是“董监高”应当筹备并组建专门的合规部门来牵头负责整体合规监管工作,并通过规范制定内设部门在流程上建立合理制约、相互监督、切实有效的监督机制,确保监督的互嵌性和有效性。再次,应当建立专门的合规报告制度,由专门的合规部门与内设部门负责上报可能存在保险黑产犯罪苗头的情况,并确保专项合规报告信息的准确性、完整性和可验证性,确保决策层及时了解并采取预防、纠正或补救措施。
3、构建区别不同情况采取应对措施的动态调整监管体系
对于不同层级的分支机构、不同内设部门、不同业务规模、不同业务形态,保险机构应当区分不同情况,构建适应性监管措施,并及时根据情况变化进行优化调整。此外,对于内设部门,将监管内容细化为风险管理、经营管理、资质管理等具体的功能事项,并设置相应的监管标准,区分出已达标和未达标的功能事项,分别设置不同的考核措施。针对存在高危刑事风险漏洞的业务、部门或者分支机构,应当尽快优化治理结构,弥补管理漏洞,杜绝刑事风险。在构建动态调整监管体系的同时,也应当注意监管措施在标准上的一致性,防止出现保险黑产人员利用不同业态之间的不同监管标准来实施技术性套利和灰黑产牟利行为。
4、构建与保险监管部门的双向沟通交流机制与信息共享机制
保险机构应当在强化内部监督的同时,加强与外部监督部门的双向沟通和交流,促进与外部监督部门之间的信息互通、交流、协商,避免因信息不对称而出现监管失灵。在当前保险行业监管体系中,“外部监督”由中国银保监会及其派出机构通过“非现场监管”(即由公司递交的各类报告、反馈的问题等)与“现场监管”(即现场检查)来对保险机构的内控有效性进行评价。但是在《典型案例》中,保险黑产人员利用保险监管部门的外部监督反向操作,迫使保险机构为了降低投诉率而向不法行为让步,导致监管失灵。在这种情况下,保险机构应当与保险监管部门针对保险黑产犯罪行为建立专门的双向信息沟通及联动机制,通过及时通报保险黑产案件办理情况、司法机关立案及追捕追诉标准、案件证据要求、最新保险黑产活动动态等,与保险监管部门根据当前保险监管政策要求、刑事案件打击趋势、市场预期反应等方面开展会商,在接受保险监管部门依法监督的同时,最大限度争取到保险监管部门的支持,构建统一的保险黑产犯罪认定与打击的标准。同时,保险机构也应当通过接受保险监管部门的指导,及时配合保险监管部门对异常行为开展筛查,通过改进技术方法来提升筛查效率,从而能够真正对保险黑产犯罪打早打小,降低预警误判率。
(二)以功能监管为标准,系统构建刑事合规分类监管体系
如果将保险黑产犯罪在教义学意义上实现类型化,那么保险黑产犯罪是诈骗、非法经营、侵犯公民个人信息、职务犯罪等一系列犯罪行为的总和。在此情况之下,对于保险黑产犯罪的不同分支犯罪,保险机构必须有针对性、系统性地推进刑事合规分项、分类监管框架,制定对应刑事风险的应对预案,并建立监管工具储备池,明确其设计及使用原则,形成刑事风险监管工具的动态调整机制,确保机制妥善运行。其中,对防范保险黑产犯罪最具有针对性的类型化合规分别是数据合规、人力合规以及财务合规。
1、构建数据合规监管框架
数据合规监管的缺失是保险黑产犯罪猖獗的重要原因。保险机构在经营过程中,借由物联网、云储存等信息传输交互系统平台存储了消费者保单、资金运用、投融资等大量信息,而该部分信息本身即是消费者通过投保、融资租赁等消费行为所集聚的个人身份、账户、消费等相关私密信息的总和,极具敏感性;同时,保险机构对于业务人员在消费者信息存取、管理、使用和交易方面缺乏严格规范,导致黑产人员利用保险机构管理漏洞,与保险公司员工内外勾结窃取保单信息用于交易,对客户个人信息保护造成极大威胁(廖凡,2019)。可见,从数据权属、信息安全、隐私保护等方面实现数据合规化监管,是以合规监管打保险黑产犯罪“七寸”、实施保险黑产犯罪溯源治理的重要方向,而且应从以下诸方面构建数据合规监管框架,完善数据合规监管制度。
首先,保险机构应当配合保险监管部门构建消费者数据分类、分级管理制度。对于消费者提供的相关信息,应当由保险机构在数据集成的基础上,由保险监管部门制定数据分类、分级管理制度,并要求保险机构严格将信息根据其敏感程度分为一般业务信息、关键业务信息以及消费者私密信息等,根据分类、分级情况分别实施不同数据分级加密、查询权限分级控制、查询场景严格控制等措施,确保不同信息在对应场景中得到合理使用,而不是泛滥使用甚至非法使用;对于消费者私密信息,更应当明确其采集、整理、保存、提供和使用等各环节的保密规则。保险监管部门应当要求保险机构制定规范,明确各类信息主体可以使用及禁止使用的信息范围,防止消费者私密信息违规外泄。
其次,保险机构应当构建监管数据全覆盖核查常态化运行工作机制。保险机构应当在保留其关键业务信息的基础上,通过向保险监管部门提供一般业务信息及消费者个人信息,构建统一监管的业务管理数据库,构建保险黑产防范场景化平台。对此,保险监管部门将不再区分保险机构数据库及业态类型,常态化开展全覆盖核查工作。在核查中发现消费者在不同或相同保险机构重复投保、无效投保、提供虚假信息、多次退保等异常行为时,保险监管部门应及时通过回访消费者、开展社会信用调查、了解承保情况等措施,查明其背后是否存在保险黑产行为及犯罪。此外,对于新承保的保单,保险监管部门也应当通过数据筛查来查明消费者历史投保记录及社会信用情况,从而降低保险黑产行为发生概率。
再次,保险机构应当建立数据全生命周期管理机制。在数据全生命周期内,保险机构应当配合保险监管部门在信息获取、储存、使用、提供、加工、传输、公开、删除等行为的渠道开展监管,并区分情况向保险监管部门提供情况说明:若数据信息来源于自行或委托第三方采集,保险机构应当向保险监管部门提供数据权利主体的授权凭据,并应当定期或不定期对消费者开展回访,明确其对所提供的数据信息的相关授权,确保数据权属的合法性;若数据信息来源于合法购买,保险机构应当向保险监管部门提供购买凭证及数据权利主体的授权;若数据来源于使用爬虫等技术性手段,保险机构应当向保险监管部门就其手段合法性、目的正当性及未侵害第三方合法权益作出说明。对于保险机构内部数据信息产生流动的情况,保险机构应当在保险监管部门指导下建立数据溯源追查系统:一方面,对于所有敏感性数据信息的操作行为均应通过后台系统登录及使用日志予以记录,并通过及时质询查明是否存在异常行为;另一方面,对于数据在保险机构内的流通全过程留痕追踪,防止出现数据流转过程中出现权责不明、监管重叠或监管真空的情况,在必要的时候准确识别风险发生的节点,对数据开展二次核查和备份,从而降低数据泄露风险。
最后,保险机构应当在保险监管部门指导下,构建信息安全事件预防机制。在指导保险机构制定保险合同格式条款时,除了原有的消费者信息和隐私保护措施之外,保险监管部门应当要求增加专门针对数据要素的隐私合约,加强保险机构对消费者数据的保护(锁凌燕、吴海青,2021)。保险监管部门也应当前瞻性地开展刑事风险场景预判,实时监督保险机构内部数据违规行为,并通过压力测试、案例学习等方式绘制保险机构数据合规风险地图,并利用网络分析、机器学习等技术,提高数据合规风险地图的准确性和预判性。在出现数据泄露等信息安全事件时,保险监管部门应当第一时间介入并指导保险机构开展数据安全应急处置,降低数据进一步泄露的风险。
2、构建人力合规监管框架
人力合规监管是阻断当前保险行业内外勾结实施保险黑产犯罪趋势的重要途径之一。对此,基于保险从业人员流动性极大、由各家保险机构分别开展从业人员管理确有困难的现状,保险机构构建人力合规监管框架必然需要通过加强内控人力合规监管和联合行业、监管开展行业性人力合规监管入手,加强从业人员管理。
保险机构应当在内控制度上,进一步完善人员管理。保险机构应当在保险监管部门的指导下建立合规培训制度,对销售人员、内勤人员、管理人员分层级开展合规培训,通过增强对保险黑产行为及保险黑产犯罪的防范意识、树立合规经营价值观、重视保险黑产案例说法释理宣传教育等方式,确保从业人员真正形成刑事底线思维、从业合规观念和风险防范意识。其中,需要重点针对新入职员工、数据安全管理人员、保单销售人员等保险黑产犯罪高发、频发的群体,开展相应的刑事风险合规培训,通过以案释法等形式,明确传达法治理念及责任观念。对于违反企业合规义务、政策、流程和程序的人员,保险机构还应当完善问责与惩戒机制;对于查证属实参加保险黑产活动、造成保险机构损失的员工,应当视其情节不同,通过训诫、警告、降级、降职、调离、解雇等途径对其采取违规处分;对于涉嫌保险黑产犯罪的员工,则应当及时向保险监管部门、司法部门汇报其涉嫌违法犯罪的情况,由相应部门对其采取措施。
同时,保险机构应当在保险监管部门及行业协会的组织、指导下,联合监管部门和行业协会开展行业性人力合规监管。保险机构应当积极配合保险监管部门建立从业人员清单数据库,并强化信息报送和披露,确保信息的时效性和准确性;对违规使用或外借业务账号、虚假出勤、套用身份等行为开展定期的普遍排查;通过制定技术规范、强化数字支持,加强大数据、机器学习、生物识别等技术手段在识别保险从业人员身份中的运用;对于从保险机构离职的人员严格执行即时停用客户信息访问权限、交接或销毁客户信息等敏感资料的规定,确保客户信息安全。
此外,保险机构还应当通过保险监管部门的统筹,加强信用评价管理,构建完善的失信惩戒机制。保险机构应当在保险监管部门的牵头下建立征信披露平台,在行业监管层面整合保险机构报送数据,及时根据监管动态及刑事处理实现动态管理,将涉黑产犯罪、违法行为的从业人员的事件信息全面纳入管理;对于存在不良信用的人员,应当在保险从业资格取得、业内任职资格、业务开展等方面根据其行为的评价程度予以不同限制,确保合规治理的普遍性和有效性。
3、构建财务合规监管框架
在保险黑产犯罪中,利用保险机构佣金发放制度漏洞实施职务侵占行为是造成保险公司财务损失的重要因素。对此,保险机构应当有针对性地开展财务纪律监管。一方面,在保险监管部门的指导和监督之下,保险机构应对机构内部的业绩真实性审核,对投保、退保、转投保、理赔等重点环节加强审查复核,并结合佣金奖惩机制,加大对制作虚假保险单证、挂单等情形的惩处力度,通过业绩追溯机制,明确保险代理人和各层级管理人员的责任。另一方面,保险机构应建立交易前置性支付审核机制,及时上传保单登记、佣金发放审核、保费收取登记等支付关口系统中的关键业务信息,并由保险监管部门将其与行业从业人员管理数据库、消费者信息数据库中的存量数据开展分要素数据映射、比对、查重,进行集成式数据实时监控管理。对于违规、违法的异常交易行为,保险监管部门应及时通知保险机构开展纠察、纠错工作;对于涉嫌犯罪的行为,保险监管部门应及时向检察机关、公安机关商请司法审计介入,并协同开展案件研商、侦查及合规整改工作。
(三)以科技赋能为助力,构建合规监管工具池
随着当前保险行业逐步从“传统化”向“数字化”转变,“保险+科技创新”成为引领保险行业变革的主要力量,科技创新为保险监管提供了新的手段,运用科技手段对行业开展监管能够实现积极预防犯罪、及时发现犯罪苗头、精准遏制打击犯罪,从而有效提升监管执法效能。对此,应当以科技赋能构建保险黑产犯罪防治监管框架,加强行业刑事合规监管。
1、加强人工智能化的大数据筛查系统在交易监控中的运用
严密监测交易行为、及时发现可疑交易,是防控保险黑产犯罪的重要途径。然而,交易监测的痛点和难点之一就是面对海量的数据和资金流动信息,如何降低预警误判率,及时准确地识别真实的犯罪交易(陶峰、万轩宁,2019)。对此,可以在构建行业性交易管理数据库基础之上,以人工智能技术实现对海量交易行为的初步甄别、筛查、分析、分流、过滤、标记,屏蔽低风险预警信号,确保监管处理的效率。
2、以数据挖掘工具构建保险犯罪防治技术体系
通过将网络爬虫、数据映射查询等技术运用到监管系统中,穿透式追踪资金流,连通孤岛式数据、精准锁定犯罪行为。通过开展数据深入挖掘的场景化运用功能,构建犯罪分类场景治理应用模式,并最终建立识别与预防、监测与预警以及回应与决策为一体的保险犯罪治理技术体系。
3、以数据网络互联互通助力检监协同开展合规监管
数据网络的互联互通对于解决衔接代沟问题有着重大意义。通过数据网络互联互通,实现保险黑产动态与案件办理信息实时共享,为建立跨部门、跨地区的保险黑产治理大数据应用平台提供基础,为合规监管政策分析提供数据支撑与实证支持。
与此同时,“保险+科技创新”也为合规监管增加了新的监管对象,如何预防“保险+科技创新”成为监管短板是监管面临的新问题。对此,应当在运用科技赋能监管的同时,建立相应风险预警以及配套保护机制。在数据收集、筛选、过滤过程中,防止出现数据泄露、筛选逻辑篡改、数据篡改等情况,并通过模拟运行来实现逻辑测试,确保数据筛选的准确性和可靠性。
(四)以消费者行为引导为路径,强化构建开放型监管
加强对保险消费者行为的监督引导应当成为保险机构配合保险监管部门开展行业治理整顿的重要组成部分。一方面,这是行业刑事合规监管补短板、强弱项、拓边界的有效手段,能够弥补原有监管体系下的监管空白;另一方面,能够通过监管与宣传,真正实现对保险消费者权益的保护。
对此,保险机构应当在保险监管部门及司法机关的指导下,强化源头预防,紧密结合保险黑产案件办理的情况,在实现溯源整改的同时积极配合司法机关,多渠道、多举措、多平台地开展对重点案件和典型案件以案释法的宣传,充分发挥典型案件查处的警示作用,提高保险消费者的风险防范意识,引导保险消费者对保险黑产人员不轻信、不透露、不配合。与此同时,保险机构也应当积极配合保险监管部门补齐监管投诉、违规举报制度短板,畅通消保投诉渠道,规范投诉举报处置,加强对保险黑产行为的整治,并逐步探索矛盾纠纷多元化解机制,确保“真纠纷”得到妥善解决的同时,对于“假纠纷”“真黑产”予以防治。
(五)以长效治理为目的,建设防范黑产犯罪企业合规文化和协同治理文化
合规文化常被视为是开展企业合规建设的重要内容之一,也是在行业治理中最重要的目标之一。通过建设防范黑产犯罪企业合规文化,利用监管手段引导行业培育合规经营理念,促使保险从业人员在追求经济效益的同时,坚守社会责任底线,从而真正实现对黑产犯罪的长效治理。对此,一方面,保险机构应当将刑事合规列为保险机构合规经营的底线,统一构建违规、违法、犯罪行为监管标准,对各家保险机构及其分支机构建立统一的刑事合规标准,防治保险黑产犯罪转移;另一方面,保险机构应当在配合保险监管部门、司法机关推动行业刑事合规监管的同时,严督实导、追根问责、溯源整改,以合规监管作为“指挥棒”,消除刑事风险和保险黑产犯罪的“滋生土壤”,着力塑造行业合规文化,进而塑造保险行业良好的社会形象。
此外,保险行业还应当在保险监管部门的监督下,建设协同治理文化。当前保险机构更为强调在业务、市场占有率等方面与其他保险机构开展竞争,正是这种竞争的激烈化、无序化被保险黑产人员利用,最终结出了保险黑产犯罪这颗“毒树之果”。对此,在强调竞争的同时,保险机构还应当强调在保险监管部门的监督下,推动有序竞争,实现协同治理文化。一方面,要着眼现在,厉行法治,完善监管衔接,推进保险机构监管的规范性、系统性和协调性,以营造良好的行业生态;另一方面,要放眼未来,坚持全局观念、法治思维和底线意识,将保险黑产犯罪合规监管建设与司法机关、行政机关、监管部门全面实现社会协同治理相结合,助力国家社会治理能力进一步优化。