电子取证，是以技术手段采集、提取电子数据的简称，而电子数据作为电子取证的对象，正式进入刑事司法实践的视野中不过数年，属于较为新型的刑事诉讼证据。

相对而言，由于舞弊人员大多为有一定文化水平的公司高管人员，具有一定的反侦查意识，在意识到风险时往往会将舞弊行为的传统证据（如书证、物证等）进行藏匿甚至毁损，而电子数据往往被无意识留存于其使用的存储介质中，即便某些舞弊人员能够删除、修改电子数据，在专业技术人员的介入下，电子数据也能得到有效的恢复和提取。

星瀚刑事部前不久介入一起金融公司反舞弊案件，涉案舞弊人员自认为已经将全部涉案证据毁损、灭失，因此对律师介入调查不以为然，然而在短时间之内，星瀚刑事部使用技术手段恢复了其工作电脑的全部数据，并将核心的电子数据提取出来，整理成案。在电子取证的成果面前，该舞弊人员对于犯罪事实供认不讳，公司的损失也及时得到了补偿。如果没有电子取证的技术手段，本案便无从侦破。

以往的反舞弊实务中，电子数据这类新型证据往往被忽略，而如果在传统证据被舞弊人员毁损的情况下，案件的调查便更是无法继续，因此，我们应该改变思路，在调查获取传统证据之外，重视电子取证的应用。

一、电子取证的对象——电子数据的刑事法规定

2012年3月4日,十一届全国人大五次会议表决通过了《中华人民共和国刑事诉讼法》修正案，其中于第四十八条规定的物证、书证、证人证言等传统证据基础上增加了“电子数据”，自此电子数据作为一种新的刑事诉讼证据种类开始正式在我国刑事诉讼程序中崭露头角。

2016年9月9日，最高人民法院、最高人民检察院、公安部联合发布的《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（法发〔2016〕22号）中对于确定了电子数据的概念外延，即“电子数据是案件发生过程中形成的，以数字化形式存储、处理、传输的，能够证明案件事实的数据”，并且对于电子数据的形式作出了列举式说明“电子数据包括但不限于下列信息、电子文件：（一）网页、博客、微博客、朋友圈、贴吧、网盘等网络平台发布的信息；（二）手机短信、电子邮件、即时通信、通讯群组等网络应用服务的通信信息；（三）用户注册信息、身份认证信息、电子交易记录、通信记录、登录日志等信息；（四）文档、图片、音视频、数字证书、计算机程序等电子文件。”

至此，电子数据的法律地位和法律内涵已经基本确定,而作为反舞弊实务中的电子数据，则因为反舞弊刑事实务中涉及的罪名通常为外观具有隐蔽性的职务类犯罪，加之电子数据往往依赖于存储介质而存在，所以反舞弊实务中电子数据通常会体现出如下不同的特点。

二、反舞弊实务中电子数据的特点

1. 存储介质的私密性

从星瀚刑事团队丰富的反舞弊实务经验中可以发现，大多数公司舞弊人员出于掩盖犯罪的需要，往往会刻意将暴露犯罪行为的电子数据特意存储在私密的存储介质中，如某些舞弊人员会将涉及犯罪的电子数据存储在个人电脑、手机、优盘、记忆棒、存储卡、存储芯片甚至网盘中，而相对公开的网络平台等存储介质往往不会作为其存储电子数据的首选。

在一起星瀚刑事部经办的侵犯商业秘密案中，某上市公司的技术子公司一技术员窃取公司的机密技术资料后，上传至百度云网盘及家里的个人电脑，后星瀚刑事部凭借专业的电子取证技术，通过数据筛查、数据恢复、行为分析等综合调查手段，查清技术秘密被该员工存储至百度云盘、邮件、个人电脑硬盘、移动硬盘等细节，顺利获取该员工窃取公司技术秘密的关键证据，成功阻止了该核心技术秘密信息的泄露，该案件便是一起典型的舞弊人员将涉案电子数据存储在私密性的存储介质之中的案例。

2. 反映案情的不完整性

除了以上提到的舞弊人员刻意存储涉嫌犯罪行为的电子数据的情形，亦存在舞弊人员在通信信息中无意间暴露或者尚未删除的电子数据，这种类型的电子数据在实务中往往以手机短信、电子邮件、即时通信（包括QQ、微信等即时通信工具）记录为主要形式。由于该类电子数据并非舞弊人员刻意存储，而是日常犯罪活动所累积形成的，因此极为容易因为各种原因缺失甚至完全遗失，尤其是因为电子数据对于存储介质具有相当强的依赖性，在存储介质变更或灭失的情况下，电子数据很容易丢失，如私人手机更换导致的微信聊天记录清空的情形便是一种很常见的导致电子数据缺失的情形。因此，在舞弊人员没有刻意存储电子数据的情况下，涉案电子数据的不完整性会成为电子数据的突出特点，此时的电子数据作为犯罪线索会无规律且不完整地分布在各种存储介质中。

星瀚刑事部近期接受某著名视频网站公司的委托，在初步了解案情后，决定以涉案电子数据作为刑事控告的突破口，就此组织了专业人员对涉嫌舞弊行为的高管人员的电脑硬盘进行电子数据的采集，取得了包括电子邮件、QQ聊天记录、微信聊天记录等形式在内的电子数据，由于时间跨度较大，各种形式的电子数据均有了不同程度的缺失，但是在星瀚刑事部人员的努力下，整理出的电子数据作为犯罪线索能够证明绝大部分的已掌握案情，也因此使得本案在公安机关成功立案。

3. 数据的易删改性

电子数据的另一大特征便是易删改性，当电子数据的以各种形式存储于一定的存储介质中时，其依赖存储介质的存在而存在，因此其稳定性差，容易被修改，甚至删除、灭失，此时必须经过专业技术人员的数据恢复才有可能恢复原状。星瀚刑事部在近期承办的一起金融行业反舞弊案件中，组织专业的技术团队在电脑硬盘中将已被舞弊人员删改的电子数据进行了数据恢复，获取了关键的案件线索，使得舞弊人员不得不承认了其涉嫌非国家工作人员受贿罪的行为。

三、反舞弊实务中电子取证的要点

由上文所分析的反舞弊实务中电子数据的特点与刑事证据标准出发，结合数年来星瀚刑事部电子取证的成功经验，我们认为，反舞弊实务中电子数据采集应当遵循以下要点：

1. 取证主体的专业性

如上文所分析，用于证明舞弊行为的电子数据往往呈现私密性、不完整性、易删改性的特点，而且为了后期的刑事控告考虑，必须保证所采集的电子数据符合刑事证据标准的要求，因此只能由专业的技术人员进行电子数据的采集和分析。非专业的人员在采集电子数据的过程中，可能会将电子数据破坏，甚至导致电子数据灭失，而且据星瀚刑事部办理反舞弊案件的经验，往往会出现舞弊人员对电子数据进行删改、企图使原有电子数据丧失真实性、完整性的情况，在此种情况下，专业的技术人员通过数据恢复等方式能够使得电子数据恢复原状。此种情况已有前述案例，不复赘述。

2. 取证过程的保密性

电子数据对于存储介质具有极大的依赖性，易于改动和删除，因此部分舞弊人员在得知公司开展反舞弊调查后，会选择铤而走险删改和破坏电子数据，甚至物理损毁存储介质。为了防止这一情形的发生，公司开始反舞弊调查前，应当注意信息的保密，即调查的相关情况必须仅由有限的高层决策并执行，避免调查的相关信息泄露，防止舞弊人员提前产生警惕，阻碍甚至是抗拒电子取证。在一起资产管理公司反舞弊调查开始时，公司高层决定对舞弊人员的工作电脑收缴并交由星瀚刑事部进行电子取证，该舞弊人员得知会有律师介入后产生了警惕，借故拖延上缴，后期其将数据损毁后方上缴公司，但此时该工作电脑已经丧失了电子取证的可能性，本案即是没有注意保密的典型案例。

3. 取证行为的合法性

除了以上两点，电子取证行为的合法性也是需要重视的，因为公司主导的反舞弊调查中，公司并非法定的刑事侦查主体，因此应当尤其注意合法性的问题，否则很容易出现未曾发现有效的犯罪线索反而可能涉嫌侵犯隐私权等违法行为的情况，电子取证只能在法律规定的范围内行事，这便引出了下文的前期制度构建问题。

四、公司反舞弊实务中电子取证的前期制度建构

应当明确，电子取证的前期制度建构除了确保电子取证行为的合法性的目的，还应确保电子取证的结果的完整性和确保电子取证的结果能够启动刑事诉讼程序。就此，星瀚刑事部从丰富的办案经验中总结出以下原则：

1. 公司应当对存储介质拥有所有权，保证于反舞弊调查开始后有权收缴该存储介质

公司应当对于在工作场合的存储介质拥有所有权，对于关键内控岗位的人员必须根据工作需要配备电脑、手机、平板电脑、移动硬盘、光盘、优盘、记忆棒、存储卡、存储芯片等载体，上述物品由公司购买，公司拥有所有权，购买的相关书面手续应当留存。此外，在给相关人员配备电子设备时，应当考虑是否符合后期电子取证的要求，比如某些配置的电脑或者手机不易于技术破解的，应尽量避免购买。

上述制度建构使得公司有权收缴员工电子设备进行电子取证，可以保证公司对存储介质展开电子取证的合法性。

2. 促使员工尽量使用公司提供的存储介质，使得存储介质中的电子数据尽量丰富和完整

另一方面，为保证员工尽量使用上述公司提供的设备而非私人设备，可以采取技术手段限制非公司所有的设备接入办公场所的网络、限制移动储存介质介入办公电脑。由于办公场所只能限制使用上述设备，可以尽量确保作为电子取证结果的电子数据的完整性。除了限制使用的办法，也可采取鼓励、侧面奖励机制，如对使用公司所提供的手机和手机号码的员工，可以采用每月补贴相当数额话费的方式进行奖励。

3. 重点内控人员的存储介质中的电子数据定期提取和保存

由于存储设备均为更新换代较快的电子设备，公司可以对达到一定使用年限的存储介质进行更换，存储介质中的数据可以定期的进行保存或者转存，以备日后反舞弊调查期间使用。除了更换，公司亦可以以定期维修、硬件护理、软件更新等名义组织技术人员将重点内控人员的存储设备取得后保存或转存电子数据，此时便需要公司将该制度常态化，定期运作。

4. 公司内推行规范化的电子办公制度

为了使员工对于存储介质具有依赖性，公司可以聘用专业的技术人员为公司建设办公网络、设计办公软件，并在日常工作过程中推广使用。此外，在办公过程中统一即时通讯工具客户端的使用（比如微信），推广邮件等客户端等办公软件的客户端在存储介质上的安装都是可行的措施。

作者：星瀚企业内控与反舞弊法律中心