企业侵权责任的归责原则
石一峰中南财经*法大学法学院{讲师}
一、问题的提出
传统归责理论以自然人为设计原型，以康德哲学中的意志自由为基础，注重对人的主观心理的考察，强调自由意志行为的道德可责难性。但现代社会的图景已不再是个人的社会，而是企业组织的社会。[1]企业侵权责任(以下简称企业责任)已成为重要的责任类型，[2]如医疗责任、雇主责任、产品责任、中介服务机构责任等，其共通处是责任主体均为组织体。[3]组织体的特性是其并不存在自然人意义上的行为，而只存在相应的行为领域。[4]因此，若仍以自然人归责的方式对企业进行归责，就忽视了组织与个人的差异，[5]也忽视了企业责任在当代责任法中的特殊地位。
现有归责学说虽然已从单纯的过错归责转向过错与危险并重的归责模式，[6]但对企业组织归责却进行了体系回避。[7]传统上对于特定种类的企业责任，如雇主责任，采取的仍是过错推定(德国等)或无过错归责(英美)的替代责任模式。[8]如此，企业责任仍陷于自然人的归责体系之中，因而受到了诸多实践和理论的质疑。[9]
比较法上，为填补传统归责之疏漏，出现了所谓的“组织过错理论”。但该理论只是对组织的归责进行了客观化处理，本质依然是过错归责，且需赋予企业组织相应的注意义务。[10]但一方面，赋予企业组织广泛注意义务的合理性有待考量；另一方面，企业组织的危险责任，如产品责任、环境责任等，亦无法被囊括进组织过错归责体系之中。
综上可见，现有的归责原则显然不足以对企业责任进行理论和实务的统合，因而有必要构建企业责任自身的归责原则，尤其是在当下民法典侵权责任编编撰的背景下。从企业组织的产生和演变来看，企业责任的本质是组织的各类风险承担问题，如何在企业与外部人之间分配风险是其核心。[11]此与过错归责所秉持的矫正正义不同，更多体现的是分配正义。[12]在当今风险社会下，分配正义就是关于风险如何公正分配之问题，此与风险归责原则的理念最为相近。为此，企业责任可采风险归责原则。然而关于风险归责原则，虽然已有人论及该学说，但并未注意到风险与企业责任之间的关联性，对风险归责与危险归责之关系也未进行有效澄清。[13]企业组织的风险归责制度应如何建构并具体化，是现今组织化社会中的重要课题。
为此，本文将以企业责任的特殊性为起点，首先论述传统归责之于企业组织的局限性及风险归责之于企业组织的妥当性，以此在理论上构筑起企业组织的风险归责规则；然后从实务角度出发，以企业组织的风险类型为脉络，论述企业组织风险归责方法的具体展开；最后再从规范层面入手，着重阐明风险归责在未来民法典侵权责任编中的规范表达路径。
二、企业责任归责原则的理论构建
(一)传统归责原则之于企业组织的局限性
1.过错归责之于企业组织的狭隘化
传统上强调自然人道德可非难性的过错归责方式显然已不适应企业责任归责，可讨论的是客观化的过错归责能否适用于企业责任。客观过错归责要求赋予企业注意义务，此举易引发企业注意义务设定过度泛化的问题。而由于无法实现之注意义务业已转化为风险，最终仍需依风险属性对归责原则进行解说。
(1)企业组织注意义务的过度泛化
对企业组织进行客观化归责的理论在德国法上被称为组织过错理论(Organisationsvers-chulden)。[14]依此理论，客观化的过错归责方式建立于注意义务之上，而注意义务一般来源于约定或法定。[15]此时所谓的组织过错已不再是道德非难问题，而是组织的注意义务(Organisationspflicht)违反问题，[16]即企业组织未充分履行保证自身有序经营及对其成员的谨慎选任和监督义务时，应当受到责难。[17]
我国现行的企业组织规范中，确有对企业组织设立、经营及其成员选任、职责的要求，如《公司法》第2章第1节中关于有限责任公司的设立要求，第条的董事、监事、高级管理人员选任要求等。但这些规定的违反并非令当今企业承担责任的主要来源，引发企业归责争议的更多是如“选任和资质都合规的医生在手术时意外发生心脏病，导致病人身体健康受损，医生在医疗操作上毫无过错，医院是否应担责”[18]或是“选任和资质都没问题的经理在公司监督之下仍侵害了他人权益”等案件类型。医院、公司等组织并未违反法定经营和监督要求，此时若对其进行过错归责，就必须在现行法之外再赋予其额外的注意义务要求——此举是否妥当不无疑问。因为在现代商业社会中，若赋予每一个企业组织如此多的额外注意义务，势必会影响企业组织的运行成本和交易效率。任何的商业拓展和商业冒险也将在“注意义务之网”[19]中寸步难行。而且，注意义务的赋予应当有充分的依据。超越潜在责任人能力范围的过高注意义务将无法被切实履行，是故不能发挥对潜在责任人的激励作用，也无益于注意义务本身目标的实现。
此外，注意义务的内容是否需因归责对象不同而有所差异亦有探讨空间。组织过错理论采绝对的客观归责规则，要求赋予潜在责任者相同的注意义务。此种绝对化的规则在自然人责任领域尚不合理，因为每个自然人之间禀赋迥异，都赋予相同的注意义务，并不能实现损害预防之目的，也有违背人权保护之嫌。[20]在企业责任领域，不同企业组织的组织结构和组织能力同样存有差异，赋予绝对相同的注意义务亦难谓合理。企业组织的注意义务具体包括经营和治理上的注意义务，[21]对其程度的要求实际会因组织规模、组织形态、组织经营状况等的不同而有所差异，如对合伙企业中的经营管理人员和公司中的经理所设置的义务就不同，上市公司的信息披露义务(《证券法》第63条等)与非公众公司的信息披露义务也显然不一致。
而一旦在归责中考量组织“禀赋”的差异，注意义务之标准就会走向组织能力标准，即判断企业组织对相应义务事项的控制能力。
(2)企业组织客观归责的风险属性
如上所述，组织过错理论虽意识到了传统过错归责理论的局限性，但考虑到不与传统归责原则过分疏离，仍采取过错归责的表述。但此组织之“过错”与自然人之过错早已相去甚远，其“事实上就是一种去个人化的体系失灵的一种形式或表现”[22]。其仅为一种称谓表述，与过错归责的内涵已大不相同。然而，此种客观归责却与风险概念有着更为密切的联系。
第一，当赋予企业组织之注意义务已超越其自身的法定或约定承受范围而无法实现时，企业组织即负担了一种结果责任。[23]此种结果责任，使得对企业的归责依据从对行为过程中行为瑕疵(Mangel)的评价转向行为领域(Sph?re)的评价。[24]换言之，对企业组织的客观归责将不再考察企业组织行为过程中是否有违反注意义务之瑕疵，而是考察企业组织对其行为领域的风险控制情况，即依据风险领域进行归责(ZurechnungnachRisikosph?ren)。[25]典型案例如德国法上的德国联邦铁路公司铅中*案，[26]其中铁路公司用未经清洗的曾运送铅料的车厢再行运送食物，由此引发铅中*事件。虽然铅中*并非铁路公司之行为直接所致，但因其可通过监督和控制相应雇员之行为来防范风险之发生，故而属于其行为领域内的风险控制问题，对其进行归责非无道理。由此可见，以客观过错为标准的结果责任实际采取的就是风险控制标准。[27]
第二，组织的客观过错归责仅以“不可避免的风险”作为免责事由，且需由法官自由裁量。[28]这使得对归责依据的评价在诉讼程序中事实上走向了对风险的评价。因为双方当事人必然会就导致损害发生之事由是否为“不可避免的风险”而发生辩论，法官最终也必须在判决书中论证风险是否“不可避免”等。实务上，如医疗侵权案件中，法官就会从“手术中是否包含不可避免的风险”的角度对医疗机构过错进行分析，进而判定责任的最终归属。[29]又如用电单位侵权案件中，“用电单位事件处置不当所增加的风险是否本可完全避免”亦会被作为责任认定的关键。[30]学理上，论证企业责任正当性时，也以“风险分配”和“企业的控制力”作为说理依据。[31]因而，企业组织的客观过错归责实际会走向风险控制标准。
第三，组织过错理论的产生是为了解决《德国民法典》第条中的雇主责任(Gesch?ftsherrenhaftung)问题。[32]但以组织过错理论对诸如雇主责任等企业责任进行解说时，又不可避免地将雇主的风险控制情况作为归责依据。[33]因为，当受损方无法确定企业组织中何者致损时，此种加害人不特定的不利益，不应由受损方承担(其对企业组织的经营和治理并无权限)；相反，企业组织对于自身的经营和治理才具有控制力。[34]所谓控制力就是企业组织的风险控制能力，因而最终的评价指向也是风险控制标准。
2.危险归责之于企业组织的表面化
在过错归责之外，还存在危险责任(Gef?hrdungshaftung)[35]之概念。危险责任也被称为无过错责任，无过错虽意味着不考虑过错，但并非不需要进行归责，只是将归责依据转换为危险。然而，以危险作为归责依据并不能满足归责原则的价值判断要求，其合理的理论解说基础仍是风险。
(1)企业组织归责原则的价值判断
“归责”一词源于可归责性理论，可归责性决定着在法律上某人是否应对某法律状况承担责任，[36]此为整个私法责任体系的核心问题。无论是侵权责任、[37]合同责任、[38]缔约过失责任[39]抑或信赖责任[40]等，凡责任问题均与可归责性有关。可归责性可追溯至私法最基本原则之一的“自我负责”法律理念，[41]即人们需对自己的行为或自身的行为领域(Gesch?ftskreis)负责。[42]因此，可归责性的判断需要证明责任可归于潜在责任者的行为或行为领域内，即证明归责的对象(如损害、表示、可信赖事实等)与潜在责任者(即请求权的承受者)的行为或行为领域之间存在一定的关系。此种关系使得责任者的责任承担具有正当性，体现着法律的价值判断，并成为追究私法责任的根据。[43]法律价值判断需依据一定的标准或准则进行，此被称为归责原则，所要解决的是依据何种标准来确定责任的归属或责任的承担。[44]因而，归责原则着体现某种法律价值判断标准的职能。
危险归责本非纯粹的起因归责原则(Veranlassungsprinzip)，因为在危险源与损害之间还需要相应的社会评价方可使归责具有正当性。[45]但“危险责任”或“无过错责任”的字面含义并未揭示这一价值判断，其仅进行了类型特征的表层性描述，[46]这使得危险归责的依据易被表面化为存在危险源之事实，即陷入“危险源引起损害即需担责”这一起因归责原则的简单逻辑中。起因归责实际仅强调了危险源与损害之间的事实因果关系，[47]并未进行相应的法律价值判断。如此，一方面，归责的过程被简单等同于事实因果关系的判断过程；另一方面，其也实质上放弃了归责的要求，未能澄清责任者承担责任的正当性。[48]由此，企业危险责任的归责原则仍需要明确其价值判断标准，以证成责任者承担责任的正当性。
(2)企业组织危险归责的风险因素
由上可知，存在危险之事实并不能成为归责依据，但危险责任揭示了企业责任的归责对象并在理论基础上提供了新归责原则因素——风险。
首先，在企业组织情形中，危险归责对象不是组织成员或机关的行为，而是组织的行为领域。因为，环境侵权责任、核设施、民用航空器侵权等对企业的危险责任归责针对的不是行为不法(Rechtswidrigkeit)，而是状态不法(Zustandsunrecht)。[49]此种状态不法指向的正是企业组织的行为领域，即企业组织对领域内各类活动的控制状态。对行为领域进行归责是企业责任的重要特征，其使得归责的价值判断集中于评价企业组织对其行为领域内风险进行控制的情况。因而，企业组织的危险责任实质上以风险为基础。
其次，现有的危险责任无一例外的以风险作为基础进行理论解说和实务适用。如危险责任的正当性考量因素中，均包含风险因素：“只有当风险承受者采取一切可能的方式也未能阻止损害发生时，许可危险活动才是可容忍的”;[50]“行为通常使环境遭受危险的，启动、控制风险之人应承担责任”;[51]“危险责任背后蕴含着分配正义的思想，是对不可避免之风险的公平分配”[52]等。由此，风险因素是危险责任真正的内核。拉伦茨在总结损害赔偿的归责原则时就放弃了“危险”(Gef?hrdung)的表述，转而采取“风险”(Risiko)的表述，形成了更为广泛的风险归责原则(Risikozurechnung)。[53]我国危险责任的相关判决也表明企业危险责任并不存在一个可供参考的注意义务水平，而是以风险作为考量对象。如在环境侵权案件中，判决认为“即使排污符合国家或者地方污染物排放标准，亦不能免除污染者的责任”。[54]
由此可见，要想真正发挥危险责任的作用，仍需以“危险”的引发和控制为解释基准。其本质还是风险责任问题，风险控制的评判是归责的核心，体现着价值判断，符合归责原则的内涵。由此，风险控制成为企业危险责任归责的基础。[55]
(二)风险归责原则之于企业组织的妥当性
如上所述，传统的客观过错归责或危险归责之于企业组织都存在一定的局限性。但这些归责原则实质上都体现了风险的属性或因素，能够以风险归责的形式展开。同时，风险于现代企业组织而言，是相伴而生之物，以风险对企业责任归责有其必要性和可行性，并呈现出更高的妥当性。
1.企业组织风险归责的必要性
从企业组织的演变史来看，风险一直是企业组织演变的重要因素。早期的商个人向商合伙转变，就是为了通过责任的分担，实现风险在合伙人之间平均分配之目的，由此即诞生了分散风险的企业组织风险原则。[56]其后，公司等组织的有限责任原则同样也是为了能以分散风险的方式鼓励大众投资者将资金投入到航海、铁路等需要大笔资金的项目中。[57]因为对于非专业的大众投资者而言，将全部资产投入企业的责任财产中，势必将增加其风险而降低投资积极性；对于公司而言，更理想的模式也是通过股份获取风险资本投资的灵活性。[58]因而现代公司也被当作资金筹集和财务风险管理的工具。[59]有限责任原则促进了投资者对不同行业、不同国家的诸多公司的分散投资，降低了在特定公司和特定国家的投资风险。[60]由此可知，企业组织诞生和存在的目的之一就是抵御风险。
然而，企业组织的产生和运行又不可避免地在制造风险。无论是从事高危行业的企业组织，还是一般的企业组织，只要其进行活动，就必然面临着对他人造成损害的风险。原因在于，企业组织之结构使得企业并没有自然人意义上的行为，只存在各具体执行人行为所构成的行为领域。企业组织无法对各具体执行人的行为进行全方位的直接控制，具体执行人也可能因企业结构所导致的信息传递问题而无法切实地执行企业意志，此时企业的行为领域中就存在风险。
正是由于企业对行为领域内的风险未进行必要控制才引发了企业责任问题。因此，对企业责任的归责需从一般的行为瑕疵转向对行为领域的评价。此与风险归责之理念一脉相承。风险归责并非凭空创造之物，而是基于法教义学中的风险分担思想而提出。[61]该思想认为归责的评价标准是考量能控制或支配风险者是否对行为控制领域内的风险进行了必要控制。此与企业责任的归责评价相契合。我国法官在实务中也意识到了此点，在以企业为责任主体的案件中强调了风险因素，如有法官认为“内部管理不善导致的风险不应由外部第三人承担”,[62]“风险控制是表见代理或表见代表责任的构成要件之一”。[63]
综上，作为抵御风险之工具的企业组织在现代社会也在不断制造风险。企业责任的本质是企业组织对于其行为领域之风险的控制问题，以风险对其进行归责有其必要性，也更为契合。
2.企业组织风险归责的可行性
对企业组织进行风险归责也有其可行性：
首先，以风险对企业进行归责与组织分散和转嫁风险的能力相符。具体如下：①以企业形式进行运营本身就是一种风险分散机制，企业组织及其成员也因此受益。[64]因而，相对于获得的利益和利润，企业组织同时应对其风险活动负责。[65]②以企业形式进行商业经营活动的企业，通常能将相应的风险控制成本转嫁到产品价格之中，并最终由企业组织之外的大众消费者分担。[66]因此，让企业承担更多的风险控制和预防成本并不会给组织带来过重的负担，[67]却能使自我保护能力更为弱小的第三人得到更为有效的保护。③企业在运行过程中通常会通过保险形式主动对自身的风险进行分散。[68]虽然这增加了企业的保险成本，但保险成本作为企业组织成本之一本应由企业承受，且其可通过价格转嫁或利润转移的形式予以填补。[69]因此，相较于企业之外的第三人，企业更能应对风险，对其进行风险归责具有可行性。[70]
其次，作为系统信任中重要一环的企业应当对具有合理信赖之人的损害承担风险责任。现代社会的信任体系已经从人格信任转向系统信任，企业组织就是系统信任的机制之一。[71]正是源于对企业专业性的信赖，人们才会购买他们的产品或服务。在现代社会，信赖原则也可作为公正分配交往风险的方式来理解。[72]因为当企业及其行为领域使第三人产生合理信赖时，第三人对于自身所需的风险预防和控制预期就会降低，况且企业对行为领域内的风险具有更早的预防和控制能力，因而以风险控制与否对企业进行归责具有合理性。
此外，归责原则在价值判断上是要“谴责”具备归责属性的行为或行为领域，从而在另一层面上预防责任的发生，此在过错归责中有明显体现。[73]以风险进行归责的本质是以风险控制力进行归责，这体现着价值判断。由于此种价值判断中的风险因素可在另一层面上对人类的行为和决策起到促进作用，使得人类行为更具有责任心，[74]是故以风险对企业归责也将促使企业更好地进行治理和经营，从而防范其行为领域内的各类风险。
综上，当企业组织风险归责具有必要性和可行性时，以风险对企业责任归责也就更具妥当性。
三、企业责任归责原则的具体化
(一)风险归责原则的双边性
风险归责的最终目的是使风险能够被有效控制，从而降低其转化为现实损害的概率。因而本质上风险归责应当表述为风险控制力归责。而风险之控制并非仅依靠一方就能圆满完成，通常需要参与双方的共同努力，由此风险归责原则应当具有双边性。
首先，双边风险归责的本质是比较思想的运用。企业组织行为领域内发生的损害通常并非仅基于企业组织单方行为，还与第三人的行为存在牵连性。因而各方当事人对某一风险的现实化都有相应的作用力，对各方作用力的衡量即为对双方风险控制力及控制行为本身的比较评价。[75]比较的思想也在法官的判决论证中有所体现，如环境侵权案件中就考量了受害人应预见损害时，是否及时采取有效补救措施避免和减少损失发生，[76]高压电危险责任案件中也考量了完全民事行为能力人在应当认知到高压电之危险时，是否采取必要行为防范风险。[77]此中理据正是受害人与潜在责任者之间对损失发生的控制力的比较。此外，企业责任的受损方并非一定是处于弱势的个人，可能也是企业组织，此时仅要求一方企业组织进行风险控制，并不利于风险的控制和预防。
其次，归责原则除解决损害救济必要性问题之外，也为解决责任承担的正当性问题而存在。该要求本身就体现了行为者与受损者之间的利益衡量，是行为自由与社会安全价值之间的调和。[78]双边风险归责能够更好地展现这一利益衡量的过程，从而在企业组织的行为领域内的风险控制与企业组织之外主体的风险触发之间找寻更有利的损失分担平衡点。例如，《侵权责任法》的“高度危险责任”中，第73条规定“从事高空、高压、地下挖掘活动或者使用高速轨道运输工具造成他人损害的”应按照风险归责担责，但若“受害人故意造成损害的”，则不再承担责任。此时之所以免责，亦可从可归责性角度来理解：受害人的故意使得本在经营者可控制范围内的风险转化成现实损害，因而风险经营者的可归责性降低了，无需再承担责任。[79]综上，双边风险归责可以更好地在潜在责任者与受损者之间进行利益衡量。
最后，从社会整体的维度来看，归责本身就具有交互性。科斯在《社会成本问题》一文中就指出：“统计的方法掩盖了不得不作出的选择的实质。人们一般将问题视为甲给乙造成损害，因而所要决定的是：如何制止甲？但这是错误的。我们正在分析的问题具有相互性(reciprocal)，即避免对乙的损害将会使甲遭受损害。必须决定的真正问题是，是允许甲损害乙，还是允许乙损害甲？关键在于避免较严重的损害。”[80]“如何分担损害”这一问题在企业责任中就是风险的分担问题——理论上应当由更能控制风险者来承受风险转换为现实之不利益，因此风险归责本身也必然需双边交互进行，从而呈现出风险归责的具体价值判断。
风险归责的双边性改造了传统可归责要件的单一性，使得其更能发挥利益衡量的作用。风险的双边性考量使得原本的责任承担抗辩事由在责任成立阶段就予以考量，意即《侵权责任法》第26、27条中受害人过错作为责任的减免事由在企业责任下将作为责任成立与否的判断。之所以如此融合，是因为责任成立本身即蕴含价值判断，在自然人过错侵权下，只要自然人有过错并符合侵权构成要件，责任即成立，侵权人的行为即受到了法律的否定评价。至于是否承担责任，则是另一层级的问题。但在企业侵权下，企业之行为，如符合国家标准之排污不应当仅因造成损害就在价值判断上受到否认，若受害人在风险控制比较下更具可归责性，则责任并不成立。此时企业行为仍可受到公正评判，防止企业陷入两难选择，确保其进行合规之风险防范。于此，风险归责的双边化将促进企业侵权责任构成体系在利益衡量和价值评判上的公正合理。
(二)企业责任归责于各风险类型下的具体展开
从企业的结构和运行来看，其行为领域一方面包括内部治理，另一方面包括对外运营。因而企业组织的风险主要来源于两大维度：一是企业内部治理中的风险，二是企业对外运营中的风险。前者可包括企业选任风险、企业组织风险等；后者包括企业项目风险、企业管理风险等。企业责任的双边风险归责如何进行，需结合这些风险类型进行具体的论述。
1.企业选任风险
企业组织之行为必然是由其选任之自然人去实施，因而所选任之人的行为风险本身构成了企业的行为领域内风险。无论是企业的代表人还是代理人都有可能因执行行为不当而导致他人权益受损。同时企业的内部雇员在制造、设计和销售产品时也可能致人损害。此时，相比与企业之外的第三人，企业更早地处于对风险进行控制的位置，其风险控制力也比第三人更强，因为选任的慎重和必要监督措施都可避免风险。[81]而且企业组织的内部选任比一般的外部选任有更多的考察方式和监督机制(如监事会、独立董事的设置，产品质量检验环节等)，具有更高的风险控制力。第三人无论身处何种情形均几乎没有对被选之人行为的风险控制力。但在具体情形中，第三人可通过控制自己的行为来防止损害的发生或扩大。如有判决认为，“被告(员工)的不当安装行为导致了设备运行存在较大的安全隐患，增加了升降平台上升时脚被挤压到的风险。因此，被告应对原告员工的受伤承担相应的责任”，即被告作为企业应承担其选任之人不当安装的行为风险，因其在风险产生和持续上均有控制力。但“原告明知被告的安装存在一定安全隐患，在使用了近三年之久，也并未自行采取相应措施消除隐患，直到本起事故发生后，原告才进行了相应补正。另外，原告在明知该设备运行存在风险的情况下，怠于履行其对员工的安全教育及培训义务，管理人员也疏于对车间操作人员(王某及其同事)的安全管理，加上员工自身的疏忽大意、使用不当等因素，直接导致了该事故发生，对此，原告理应承担一定的管理不力之责”，即原告作为抵御风险的第三人也应当采取避免风险转变为现实损害的措施。这不仅体现在对风险触发的控制力上，即明知设备安装有隐患却仍然操作设备从而触发风险；还包括对风险维持的控制力上，即明知设备安装有隐患却未采取相应措施消除隐患从而维持了风险的存在。[82]
此种双边的风险控制比较展现了最终责任承担的利益衡量过程：通过比较企业方在选任中对风险产生、持续的控制力与第三人对风险触发、维持的控制力，明确企业方承担选任风险的正当性，从而证成其具有可归责性。
2.企业组织风险
企业组织风险是企业内部治理过程中一系列抽象风险的总称。在选任风险中，选任之人的行为不当是判断风险产生与持续的外在标志，但在组织风险中，选任之人的行为并未有明显不当，但仍然造成了他人的损害。如在雇主责任中，即使雇员没有行为不当，即没有一般意义上违反注意义务的过错，雇主也需要担责。[83]之所以如此，是因为雇主在以企业形式展开活动时，就需承担企业内部治理中组织不当的风险，如组织员工工作方式不当的风险、特殊岗位缺乏专业人员的风险、工作环节缺乏负责人的风险、机器设备缺乏维护的风险等。[84]这些风险源于企业内部，相比于第三人，企业对其产生和持续有着更高的控制力。因而在“选任和资质都合规的医生在手术时意外发生心脏病，导致病人身体健康受损，医生在医疗操作上毫无过错，医院是否应担责”的案件中，医院作为企业组织就可能因组织医生工作的风险未有效控制，如安排手术过密、缺乏对医生自身身体的检查等而需承担责任。[85]此外，《侵权责任法》第42条第2款规定：“销售者不能指明缺陷产品的生产者也不能指明缺陷产品的供货者的，销售者应当承担侵权责任。”由同条第1款的规定可知，对销售者一般只进行过错归责；[86]而第2款的归责依据实际上指向的是销售者自身的组织风险问题，即其未能有效组织产品的进货、供货管理，因而不能证明产品缺陷的产生与其无关，为此就应承担相应责任。
3.企业项目风险
企业组织项目风险源于其所从事的特殊风险项目，通常包括但不限于环境污染、高危行业等项目。这些项目因其本身的风险属性而成为企业组织行为领域内的风险。
企业组织的项目风险源于侵权责任法体系中的危险责任类型，只是此时采取的归责原则不再是表面化论述的危险，而是以双边风险控制能力的比较为依据进行归责。因项目风险源于企业组织自身的经营，从事该项目的组织对项目风险的认知和管控能力显然比第三人更强。因而在一般意义上，企业组织因对项目风险未能有效掌控而具有可归责性。实务中的案例在对企业组织项目进行归责时，也考量了第三人的风险预见和控制力。如高度危险作业中，法院认为受害人不可能预见到被告对废锂电池未进行任何安全处理，也就不可能预见爆炸的发生。其对高度危险项目之风险不具备预见和控制力，因而由被告承担全责。[87]又如高压用电中，法院一般也认为受害人应当认知到高压电力设施的高度危险性，进而可对此风险进行必要控制，若未进行相应控制而导致触电的，此可导致潜在责任者可归责性的降低。[88]再如“(原告)作为完全行为能力人理应知道在10千伏高压线附近从事钓鱼活动的高度危险性，对损害的发生具有过失，应减轻供电公司的责任”。[89]
上述现实案例中风险大多是由第三人过失触发，这会导致潜在责任者可归责性的减轻。但若风险是由第三人以故意形式触发的，企业组织即使尽全力进行风险掌控，也无法有效避免损害发生。此时在双边归责理念下，企业组织就无法律意义上的可归责性，故而将风险损失转由故意之第三人承担。
4.企业运维风险
企业的运营如同生态系统一样需要细心的维护，因而企业还存在运营维护不当的风险(简称运维风险)。在项目风险中也有运维的要求，如高压电的警示等，但因已被项目风险类型化，故不在此分析。运维风险主要针对风险产生之后的风险持续问题，即企业组织是否在明知有风险时对风险的持续进行了必要的控制。如《侵权责任法》第46条规定：“产品投入流通后发现存在缺陷的，生产者、销售者应当及时采取警示、召回等补救措施。未及时采取补救措施或者补救措施不力造成损害的，应当承担侵权责任。”此时是否及时采取有力补救措施来控制产品缺陷风险的持续是判断生产者、销售者可归责性的关键。《侵权责任法》第91条第1款规定：“在公共场所或者道路上挖坑、修缮安装地下设施等，应设置明显标志和采取安全措施。”这也体现了对风险持续进行控制的要求。
对于企业的运维风险，同样需要双边风险比较来进行归责，如实务判决中认为生产者的说明书中已明确记载“需进行清理时，必须切断电源开关，方可进行”，此种操作流程和注意事项的警示本可防止事故发生，即有对风险持续的相应控制，但生产者生产的产品与说明书存在差异，“机器开关位置被生产安装在一个明显的容易发生危险的位置，实际机器开关位置极易与操作者发生碰触，且对该开关位置的变动未履行告知和警示义务”，即对风险持续的控制不到位。而“原告在进行清理操作时并未按照说明书中载明的注意事项进行操作，在未切断电源的情况下就将手臂伸入机器内进行清理，致使在清理过程中身体触碰开关，导致机器转动将其左手臂卡在其中”，即原告对风险触发未进行必要控制。此时判决以原告的风险触发控制不当降低了生产者风险持续控制不到位的可归责性为由，仅要求生产者承担次要责任，此即体现了双边风险比较之思想。[90]
企业运维风险是企业对外运营过程中的兜底性风险，若相应之风险未能以定型化的方式表现，则可通过企业运维风险来说理论证。
上述各风险类型的划分并非非此即彼的关系，各类风险存在互换的可能，如项目风险可能因选任风险而加剧，即内部治理的风险会影响到外部运营的风险。划分本身是为了给实务裁判一个指引框架。此种框架下，内部治理风险中组织风险系为兜底，外部运营风险中的运维风险系为兜底。因而在分析上，即使企业并无选任或项目风险，抑或能够证明对两种风险已进行有力控制，也仍可能因组织和运维风险控制不当而具有可归责性。这些风险类型虽有侧重，但在双边风险归责下，企业方面是要分析其对风险产生和风险持续是否进行有力控制；第三人方面则要考察其对风险触发和风险维持的控制力，通过比较最终确定风险该如何归责。其中，风险的产生与存续并非企业的直接行为所致，而是企业行为领域内之问题。此外，随着社会和企业的发展，企业必然面临着新的风险，因而需要通过实务判决对其在内部治理和外部运营维度下新出现的风险进行定型化处理。
(三)风险归责的举证证明机制
对于可归责性，一般依据归责原则的不同有不同的举证证明机制。如依据《侵权责任法》第6条第1款，采过错归责，此时过错的举证证明责任在受损方一方；依第6条第2款，采过错推定归责，虽然归责依据仍为过错，但此时过错的举证证明责任由侵害方承担。企业责任即使是在过错框架下也表现为一种“准严格责任”，第6条第1款的适用余地不大，而应通过适用第6条第2款对可归责性进行推定。[91]当将过错转化为风险来解说时，风险归责自然也应进行推定。关于《侵权责任法》第7条中的无过错(危险)归责，虽然法律未明确归责所依据事实的举证证明责任由谁承担，但基于诸如第70、71条等无过错责任规范中采取的“能够证明损害是因受害人故意造成的，不承担责任”的表述，由潜在责任方对风险控制状况进行举证证明更为合理。[92]此外，如上所述，受损方之故意在双边风险归责下，也是从另一侧面对风险控制力的证明。此时，从风险归责角度看，风险控制的举证证明责任也应由企业一方承担。[93]对于此，《奥地利损害赔偿法草案》第条对雇主为企业时的雇主责任及其他企业责任都采取了举证责任倒置方式。[94]
由上可知，企业责任的风险归责一般采取推定，并导致所谓的举证证明责任倒置。对企业课以此种举证上的严格责任，是因为面对复杂组织时受害人举证证明具体行为人的行为瑕疵显属困难。[95]在特别情形下，如企业组织并非复杂，具体行为及其领域可得清晰知悉时，会存在表面证据规则的推定(亦称表见证明)，即受损方只要举证企业引发风险等其他表面证据即可推定企业方有可归责性。此时，企业所创设之风险程度会成为影响企业一方所承担的证明责任的因素：对于风险程度超越正常危险行为的，其证明责任将更为严苛，采取倒置模式；对于一般性风险，受害人首先要举证证明存在风险及控制不当的表明证据，然后举反证证明的义务才转向企业一方。在举证证明程序上，企业一方面要举证风险产生或风险持续不在其行为领域内，或虽在其行为领域内，但已经进行有力控制；另一方面也可通过反面证明来反驳推定，反驳的举证集中于第三人对于风险的触发和维持有控制力却未进行必要控制的事实，由此可知在企业和第三人之间，对于风险转化为现实何方更具有控制力。
上述企业的举证若仅能证明其已对选任或监督选任人进行了必要控制，或其机器设备合格、生产操作流程合规等，企业并不能因此免责。因为法律对于企业的风险控制有着更高的要求，企业的组织和运维风险控制是否达到市场和第三人的合理期待是企业方证明的关键。虽然从实务角度看，此种证明的完成有一定难度，但这并不意味着在诸如受损方故意或其他特别情形下企业不存在反驳的空间。只是反驳空间的狭小将使得企业责任更趋于严格责任，但此与企业责任的性质及其风险属性相关。这也是风险归责的应有之义。
四、企业责任归责原则的规范表达
归责原则一般在各具体责任条文中就有相应的表达。如在过错责任类型中，一般有“因过错导致损害的，应承担责任”的直接表述，《侵权责任法》第6条、第42条、第44条，《合同法》第条、第条、第条都采取类似表述。但无过错责任类型的规范，却并未完全明确归责原则为何，只在少数条文中有“造成他人损害的，应承担责任，但能证明损害是因受损方故意造成的，不承担责任”，如《侵权责任法》第65条、第69条等。如上所述，此种表述了隐含了双边归责的思想，但如何归责仍不清晰。规范制定者试图通过责任主体的特殊性来表明这些无过错责任都是危险责任，如“从事高度危险作业、民用核设施发生核事故、民用航空器”等。此种思路有一定的借鉴意义，但仍需其他制度配套。因为随着社会之发展，危险事项必然增加，立法中列举之事项并不能涵盖所有情形。为此，有学者提出以危险责任一般条款的方式来统合各危险责任类型。[96]在过错责任中，也有学者指出以侵权责任一般条款的形式进行统合。[97]
企业责任散落在侵权法体系的各个部分，有些企业责任并未引起学界的足够重视。规范与学说研究的分散也导致了实务适用规则时的不统一，如对于雇佣人责任是否需要雇员过错就存在争议。[98]为此，在民法典编撰的背景下有必要在侵权责任编中对企业责任予以体系化规定。
在比较法上，21世纪以来的最新立法草案都有对企业责任的一般规定，如年的《瑞士债法典修改草案》第49条就规定了企业责任(Unternehmenshaftung)，即企业应就其活动范围所造成的损害承担责任；《瑞士债法：新总则草案》(SchweizerObligationenrecht:EntwurffüreinenneuenallgemeinerTeil，简称OR)也于第58、59条规定了企业组织责任(Organisationshaftung)，其中第58条是雇主责任的一般规定，第59条是对商事企业责任的规定；《欧洲侵权责任法原则》第4:条也规定了企业责任(Enterpriseliability)。OR第59条中“对预防损害的发生采取了合适的措施”实际也是采取了风险控制之思路。
在英美法上虽然未有企业责任的直接成文化规定，[99]但法院确认了以企业引发之风险来确定其责任的判例规则。[]为此，我国法上也有必要对企业责任进行一般条款的表述，并在其中将企业双边风险归责规则予以规范表达。[]
一般条款由不确定的、需要价值填补之概念构成，[]其可以统合诸多类型。如一般侵权责任的一般条款，统合了侵害身体健康权、姓名权的责任等具体侵权责任类型，使其具备统一的构成要件：损害后果、因果关系、行为的违法性及过错。企业组织的风险归责原则亦可采取类似的规范表达方式：通过不确定之概念来统合各具体企业组织风险，也就是将“需要价值填补的概念”交由法官在个案中依据具体风险情形和各方风险控制能力予以确定，如此可进行双边风险的归责。[]上述各风险类型下企业责任双边风险归责的展开，可为法官裁判提供指引。
关于具体的规范设置，可以考虑在侵权责任一般条款之后再设企业侵权责任一般条款之规范，明确企业侵权责任中的风险因素，然后在第二款通过明确风险的双边比较要求及风险比较时的考量因素来规定企业责任的双边风险归责原则。风险考量要素在规范中可进行概括性表述，即以企业内部治理和外部运营为两大风险考量维度，具体的风险类型则可交由法院进一步具体化。上述各具体风险类型及其考量因素可通过下图进行可视化表述：
（图略）
其中风险产生控制力是针对企业制造风险的控制力；风险持续控制力则考虑企业对相应风险在可进行必要措施进行警示或预防时，是否对风险的持续存在进行了控制。风险触发是针对第三人以其行为引发风险转为现实的控制力；风险维持的控制力则考虑第三人在被告知或以其他方式知晓风险时，是否对风险维持在自己的行为触发领域内进行了控制。
图中所示的每个考量因素在具体判断上还需结合具体案件情形，如企业的风险类型与企业的关联度、企业组织分散和转嫁风险的能力(价格或保险转嫁)、企业组织创造信赖的程度等。此处并不存在如同数学一样精准的规范表达，只能通过此种一般条款形式来为法官适用法律提供指引和限制。
上述通过企业风险责任一般条款的形式对企业责任归责原则进行规范表达是一种应然的立法论视角。若受制于立法进程和立法博弈，亦可通过解释论的角度进行相应规范解释上的表达。我国《侵权责任法》第6条已明确了过错和过错推定归责的一般规定，其中并未区分自然人与企业组织，文义解释上两者均可适用。同理，第7条之无过错归责(实际为危险归责)，亦得适用于企业组织。但在具体适用解释上，若企业责任能通过具体行为人的过错进行判断的，仍得以适用第6条之规定，但此时需要强调企业组织对具体行为人的控制力及其行为领域之风险；若企业责任无法确定具体行为人时，可以适用第7条，但此时危险也应转化为风险进行阐释，同时该条中的“法律规定”应作扩大解释并在必要时得以类推适用，使得企业责任之整体均能纳入此体系中来。然而，此种方式可能导致“过错”“危险”“法律规定”等概念在体系上的不一致，对于实务操作并非有益，仅能作为权宜之计。
五、结论
现代社会各类责任事故，无论是产品责任、医疗事故，还是环境污染、高危致损，都以企业组织作为责任主体。然而由于企业组织与自然人的差异，传统归责原则对其适用余地有限。过错归责的客观化使得注意义务泛化，实际操作也会走向风险控制标准；而危险归责的表述过于表面化，企业之危险需纳入企业风险中予以考量。为此，从企业责任归责原则体系化的角度看，有必要在传统归责原则的基础上构建企业的风险归责规则。
企业组织的演变史表明企业本身就是风险制造与控制的载体，对其归责应从行为瑕疵转向行为风险领域的评价，以风险对之归责有其必要性。同时，企业组织具有通过价格机制和保险等进行风险转嫁的能力及作为现代系统信任一环的特性，亦使得其相较于企业之外的第三人一般具有更高的风险控制力，并降低了第三人自身风险防范之预期：以风险对之归责有可行性。与传统归责相比，风险归责一是放弃了广泛注意义务的构建来认定可归责性，使得企业能够在责任与行为自由之间做出有利于企业自身发展的决策，从而与企业这一组织的经营及其商业开拓和商业冒险等相适应；[]二是将危险归责中的简单归责或无归责转向责任法一体要求的具有价值判断的归责评价，此种评价依风险之特性而强调风险控制力的比较，从而实现在潜在责任者与受损方之间利益衡量。
此种利益衡量体现着价值判断，并能对双方风险控制问题进行具体评判。具体的双边风险归责展开则需对企业组织之风险予以类型化分析。企业组织的风险一方面来源于企业内部治理中的风险；另一方面是企业对外运营过程中的风险。前者包括企业选任风险和组织风险等；后者包括企业项目风险和运维风险等。对每一风险类型均需从企业对于风险产生的控制力、对风险持续的控制力和第三人对风险触发的控制力、对风险维持的控制力等角度予以分析，亦需法官结合具体企业组织和第三人之情形作个案之裁决。在具体的实务诉讼中，企业风险归责在判断上一般采推定之方式，此将导致举证证明责任之倒置，特殊情形下亦允许表见证明规则的运用，允许企业方举反证反驳。
在规范表达上，鉴于企业责任在当下社会的普遍性和重要性，理想的企业责任归责原则可在未来的民法典侵权责任编中以企业责任一般条款的形式予以规范表达：通过明确风险考量因素及风险双边比较要求来规定企业组织双边风险归责的方式。若受制于立法之博弈和滞后，则可通过对《侵权责任法》第6、7条进行解释而将企业责任的风险归责纳入原有立法体系，但此种操作将对法官裁判时的说理论证提出更高要求，仅为权宜之计。
需注意的是，将企业归责区别于自然人归责，并非意味着要以企业与自然人的区分来重构全部的归责体系，而是在现有归责原则下，以风险要素进行新的解说，以此实现企业责任归责的合理化。随着风险社会的发展，自然人领域的归责也将受到企业风险归责的影响，然此乃另文可详述之课题。