张劲冼宇航
“许霆案”激起了社会舆论对银行服务质量不佳的许多抨击，为了正确判断事实，找准立场，防范影响金融稳定的事件发生，笔者对“许霆案”的有关情况作了调查和分析。
一、关于ATM机与“金融机构”的关系
许霆案的判决结果引起社会强烈反响的最重要原因是许霆被判处的刑期。在给许霆定罪量刑的依据——《刑法》第264条里，犯盗窃罪又有两个情节——盗窃金融机构，数额特别巨大的，法定刑只有两个选择——死刑或者无期徒刑。除非有法定的减轻处罚情节，否则不能够在法定刑期以下判刑。本案的审理法官裁量权有限，因此（原审一审）只能判许霆一个无期徒刑。
因此，ATM机是否为金融机构，就成为本案量刑的一个焦点。否认ATM机是金融机构的代表性观点认为，金融机构是个有机整体。根据《商业银行法》等相关法律，金融机构必须要有严密的组织系统、运作程序等，必须有工作人员、保安等。ATM取款机其实只是金融机构下设的机械设备，在法律地位上，和银行的办公桌、电脑一样，不能称之为金融机构。
但笔者认为，《刑法》加强对金融机构的保护，立法原意并非保护金融机构的楼房、机器设备、办公设施，而是保护存放在金融机构的资金安全，包括有形的货币或者贵金属，也包括无形的电子资金记录。只要是在金融机构控制、保管下的资金被盗，就属于盗窃金融机构；相反，盗窃分子到金融机构的大楼内盗窃电脑设备、空调设备等等与资金无关的物品，只能按照盗窃一般财物的犯罪处理。金融机构控制、保管下的资金，既包括通常认识到的存放于金库、营业柜台内的，也包括在运钞车运输途中的，当然还应当包括存放于ATM机内、将要支付出去或者刚刚收储进来的（对于有存款功能的ATM机而言）。在ATM机内的现金就是属于金融机构的现金，盗窃ATM机内的现金，当然属于盗窃金融机构的立法规制范畴。
二、关于《刑法》第264条的立法与对许霆量刑的思考
由于许霆案的发生，《刑法》第264条在许多人眼里成为一条严刑峻法，成为一条“恶法”。但是笔者认为，《刑法》第264条并非恶法，也并非特别的严峻。一方面，我们要理性认识这个条文制定时的特定历史背景，在上世纪90年代中叶，针对金融机构尤其是银行的盗抢犯罪活动非常猖獗，另一方面，这类犯罪一般涉案金额都比较高，而且社会影响特别恶劣，严重影响社会稳定，所以才有1997年新修订《刑法》增加对金融机构特别保护。这个条文，今时今日，并没有失去合理性。
当然我们也不可否认，立法当时只针对凿墙破锁、秘密潜入式的传统的盗窃行为，而许霆在本案中的“秘密窃取”的方式较为独特，是立法时没有考虑到的，而且这种“秘密窃取”方式的社会危害性确实比传统的盗窃方式小，只有在受害人自身有过错的情况下才可能实施。许霆案只是又为“成文法必然落后于社会发展”提供了一个证据和标本。
还有一个为大众诟病的是，在盗窃罪里的“数额特别巨大”，目前的标准还是最高人民法院在1998年定的以10万元为界线。很多人认为，这么多年经济高速发展，10万元已经不是什么“大钱”，所以“数额特别巨大”的界线也要提高。我们不敢苟同这样的论调。因为犯罪线（或者叫“起刑点”）不是社会的最低生活保障线，也不是CPI或者社会通货膨胀率。打击犯罪是为了保护人民，全世界没有一个国家将起刑点（或者量刑标准）与其经济增长率或者通货膨胀率挂钩！盗窃罪是一种传统型、多发型犯罪，受害人多数也是普通百姓，恐怕在当前的中国，10万元对大多数普通百姓而言，还是一个不小的数目。如果我们看到犯罪的涉案金额越来越高，就要不断提高入罪或量刑的标准，那么，这究竟是社会的进步，还是国家对犯罪的妥协退让？
我们也认为，在今天的环境下，就许霆个人的行为与对其一审判决的“无期徒刑”的量刑是不相称的。但法律也给这些特殊情况提供了一些救济的途径，例如，《刑法》第63条第二款就规定，“犯罪分子虽然不具有本法规定的减轻处罚情节，但是根据案件的特殊情况，经最高人民法院核准，也可以在法定刑以下判处刑罚。”对许霆案的判决，能否适用这个条款，值得审判法院斟酌。但是，在一个法治社会里，以一个特别的个案而完全否定一个法律的合理性，是与法治精神相背的。
三、金融机构应当在本案中吸取的教训
（一）银行对ATM机的系统软件版本的管理控制不够规范
银行资金系统软件修改、测试均有严格的规范，修改后的软件必须经过第三方测试，测试案例和脚本必须涵盖所有可能的情况，测试过程的所有情况均须客观记录并作为系统验收依据，而在本案中，涉案ATM机升级软件的系统测试仅由开发商自身进行，且测试案例不全面。银行方面意识到了升级软件上线试运行的风险，但重视不够，系统升级操作过程具有随意性，没有实时监控试运行情况，也没有及时发现试点ATM机出现的异常情况并及时制止。
（二）ATM机的安全防范设计存在严重不足
从许霆案以及本文列举的几个案例来看，目前ATM机在安全设计上还存在一些明显的不足，ATM机的安全防范软件或者系统不能独立运作。我们看到，在多个案例里，犯罪人在短时间里，用同一张银行卡多次取款、连续取款，取款金额远远超出ATM机正常情况下设定的限额，但ATM机完全没有第二套的限制程序设计，或者有也不能运作，导致巨额损失的发生。这是今后改善ATM机软件设计时应当考虑的。
（三）银行对ATM机的同步监控不足
本文所举案例，都是在发案以后多时银行才发觉的。据我们了解，广州市商业银行对ATM机的运行情况，没有定期检查制度，所以许霆案经过一个双休日后才被揭发。所有ATM机都是与银行的计算机管理中心联网的，但对ATM机上发生的异常交易，从本文列举的案例来看，银行网络管理中心没有察觉和报警，使犯罪人有了从容的作案和逃跑时间，也增加了破案的难度。这应当也是银行加强安全防范措施时要增加的内容。
摘自《法治论坛》第十辑