建立出口管制内部合规机制的“九要素法”

文/蔡开明 阮东辉 陈怡菁 刘红梅 编辑/吴梦晗

2021年4月28日发布的《商务部关于两用物项出口经营者建立出口管制内部合规机制的指导意见》（商务部公告2021年第10号，下称《指导意见》），从多个方面为出口经营者建立内部合规制度提出了原则性指引，完善了出口经营者内部合规制度的基本要素。与此同时，商务部发布了《两用物项出口管制内部合规指南》（下称《合规指南》），在为出口经营者建立出口管制内部合规机制提供操作建议的同时，兼顾灵活性，为企业结合自身情况进行调整留出了空间。本文将对上述文件进行解读，为企业明确出口管制合规义务边界，并就落实出口管制相关合规要求提供建议。

建立内部合规机制的必要性

《中华人民共和国出口管制法》（下称《出口管制法》）第五条规定，国家出口管制管理部门适时发布有关行业出口管制指南，以引导出口经营者建立健全出口管制内部合规制度，规范经营。据此，商务部于2007年发布了《关于两用物项和技术出口经营者建立内部出口控制机制的指导意见》，为相关企业建立出口管制合规制度提供了指导意见。在此基础上，为进一步完善相关立法，商务部安全与管制局（下称“商务部安管局”）又于2021年发布了《指导意见》及《合规指南》。

出口管制是跨境合规的重要组成部分。对于国际化经营的企业来说，建立出口管制内部合规机制，不仅可以适应国际化经营的合规需要，赢得国际商业伙伴的认可和信赖，也是企业稳定和扩大海外市场、融入国际合作竞争的客观要求。建立系统的合规管理流程，兼顾中国法和其他适用法域的合规要求，对企业来说也是内部合规资源的整合优化。

此外，对于出口经营者而言，《合规指南》中的内容对现行出口管制立法规定做了细化解释，这对出口企业厘清《出口管制法》中规定的出口经营者相关合规义务的边界有着重要的指导意义。《合规指南》具有较强的操作性，通过落实其中的合规要求，企业可以自行对存量业务进行风险评估自查，对增量业务进行事先风险防范，降低业务经营的出口管制风险，确保稳健的出口经营。

合规九要素要点解读

根据商务部《指导意见》及《合规指南》，良好的出口管制内部合规制度包括九个基本要素。下文将解读九要素的核心要点和目标，并参照实践操作为企业提出在建立和完善合规制度方面的建议。

拟定政策声明

企业所有者或最高管理者拟定和签署政策声明，向员工、商业合作伙伴、监管机关以及全社会传达企业对出口管制内部合规制度建设的重视和合规意愿，表明企业将遵守出口管制的相关法律法规，并投入相应的合规资源和支持。

根据《合规指南》，企业主要负责人作为企业出口管制合规第一责任人，签署并发布出口管制合规政策声明，申明经营者将严格执行国家出口管制法律法规，高级管理层对内部合规机制的支持态度，以及企业将对出口管制风险进行评估审查，并告知违反出口管制规定的后果、处罚以及提供相关合规联系人的联系方式。政策声明对内应向全体员工发送，并由全体员工签署出口管制承诺书；同时可向合作伙伴（如供应商、货运代理、分销商、销售代理、合资合作伙伴、技术交流方、其他代理商等）分发声明，宣示本企业的出口管制合规立场。如有必要，可以要求合作伙伴也签署出口管制合规承诺书。政策声明应根据企业自身情况和外部法律变化，及时更新。

实践中，部分企业存在高管担心签署政策声明增加自身的责任而不愿签署的情况。对此，企业应注意提升高管的出口合规意识，使其认识到，作为合规第一负责人，自身的违规风险要大于普通员工；而通过签发合规声明，能降低高管自身风险，避免企业责任传导至高管个人。对于第三方合作伙伴是否有必要签署合规承诺函，应根据企业的具体情况、在交易中的谈判实力、相关商业伙伴的性质和交易的风险评估，综合考虑是否要求对方签署。

建立组织机构

企业应配备充分的合规资源，建立与出口合规风险相适应的合规管理组织机构，以保障合规制度的落地和执行，为业务开展提供合规支持，并有效降低出口业务的违规风险。

根据《合规指南》，此要素的内容主要包括：设立出口管制内部合规机制的组织机构，明确主管部门和人员职责、权限。从上至下，出口合规组织管理体系可以包括：出口管制合规委员会（由决策层领导），出口管制合规部门/出口管制合规岗位，各业务单位。企业应根据自身情况选择建立合理规模的出口合规组织架构。建立组织机构后，应授予相关部门和人员与其责任相匹配的权力和权限，保持合规管理的独立性，在发生部门意见冲突时，要优先考虑合规部门的意见；同时要强化落实责任，加强合规考核评价。

实践中，许多跨国企业已建立了与自身业务规模和出口合规风险相匹配的合规组织架构。笔者建议，可在此基础上，在合规管理体系中嵌入相关出口合规管理职责，授予特定合规管理人员出口合规管理权限；还可根据企业出口业务的规模和风险情况，设立专门的出口合规管理部门，或在合规部门内部设立出口合规小组，或任命一位出口管制合规官。企业应当确保出口管制合规部门/官具有独立的决策权，在必要的业务流程中加入出口合规审查流程，确保相关业务决策经出口管制合规部门/官的审批。

全面风险评估

根据《合规指南》，出口经营者应根据自身组织规模、所处行业、经营方式等情况，对可能面临的出口管制风险进行全面评估，识别易发生违规风险的业务环节，并根据风险等级匹配合规资源和审查内容，力求严谨缜密。评估内容主要包括：经营物项情况、客户情况、技术与研发情况、内部运作情况、出口管制相关信息情况、第三方合作伙伴情况、风险防范措施等各方面。经营者可根据风险评估的结果有针对性地建立和更新适合自身特点的出口管制内部合规机制和相关组织管理体系，梳理分析可采取的风险防范措施。在风险评估中若有疑问，应及时向国家出口管制管理部门或外部专业机构咨询。

实践中，不同行业的企业面临的风险不同。例如，贸易企业和物流企业应关注物项、进口方和目的国的风险评估，高科技企业需关注技术研发、共享、转移和出口风险，而金融机构应关注客户和交易本身是否涉及敏感物项违规出口的风险。因此，风险评估的内容、范围和深度通常根据行业特点和业务环节而有所差异。风险评估工作主要针对企业存量业务，涉及大量的文件审阅、业务人员访谈和调查工作，需要企业投入一定的人力资源配合完成。

风险评估工作是一项基础性的重要工作，是企业搭建合规体系的重要依据。因此，笔者建议，风险评估工作流程应包括前期的业务人员访谈、填写风险排查问卷、业务系统展示、合作伙伴（包括客户、供应商和第三方服务机构）的排查、业务涉及国别地区排查、企业内部制度及相关问卷审阅等环节，并由企业合规人员和外部顾问共同合作完成。在对风险评估工作出具报告时，应描述风险排查的结果，梳理业务环节中的风险点，对各个合规风险点进行评估和分级，确定风险的应对策略和措施。

确立审查程序

审查程序这一要素旨在为业务部门提供具体的业务操作指引，根据出口管制相关法律法规、管制清单等，建立每笔交易的全流程风险审查工作。不同于全面风险评估的要素，这一要素针对每笔具体交易中的风险，提供业务风险审查的具体方法。

根据《合规指南》，此要素的内容主要包括：出口经营者确立出口审查程序，明确经营过程中哪些特定环节需要实行内部合规控制，通过程序化、制度性管理，杜绝管制物项未经内部审查随意出口。审查要点主要包括以下内容.一是签约前的审查环节：关注审查物项、最终用户、最终用途、运输路径等。例如最终用途是否具备合理性，客户的支付方式是否符合一般的商务习惯，出口运输路线是否合理等。二是签订合同环节：设置出口管制合规相关条款，约束交易方遵守出口管制相关法律法规。三是申请许可证环节：确定相关交易是否涉及管制物项，如有，需要按照法律规定申请出口许可证。四是履行合同环节：再次筛查交易方情况，防止因禁止或限制交易名单变动引发违规风险。

《合规指南》确定的审查程序这一要素内容详实、逻辑清晰、给企业提供了实际可落地的指引，也对企业合规提出了更高的要求。如在履行合同环节，在发货前或者开展具体业务活动前，企业需要对交易相对方进行二次筛查或通过建立系统回溯机制来完成该二次筛查的步骤。对于提供产品售后、维护服务的企业来说，需要持续关注业务链条后端的出口合规风险，避免相关交易完成后出现后续合规监管缺位。

实践中，不同企业的合规流程和侧重点不同。例如，金融机构的审查流程主要在于开设账户时对客户开展反恐、反洗钱等领域的筛查；生产制造类企业则更关心客户的身份和目的国风险。目前，大部分企业较难实现合同签订前、业务开展前、业务开展后、后续运维的全流程出口管制审查监控，特别在客户身份的二次回溯合规审查和产品后续运维过程中的合规管理方面，可能存在缺漏和不足。

笔者建议，在完成风险评估的基础上，企业应选择符合自身风险等级和业务环节的业务审查流程，根据业务情况搭建出口管制合规系统，并将该系统与客户系统、订单/合同管理系统、物料管理系统等业务系统进行结合，将出口管制审查节点、审查程序、审查规则和根据审查结果所采取的后续措施，按照《合规指南》的要求嵌入到上述系统当中，以确保在出口的全流程中不遗漏《合规指南》中的任何关键节点。同时，应注意在每一个合规节点的判定上，尽量通过系统进行标准化的判定，减少对人工判定的依赖，降低人为失误风险。在合规审查全流程中，应通过系统进行记录和保存。即使特定企业自身条件暂时不允许搭建出口管制合规系统，此类企业也应参照上述流程和建议，制定详细的标准操作流程，并严格执行，以避免可能发生的违规事件。

制定应急措施

制定应急措施，主要目的是为了加强企业内部的自我监管和自我纠正功能，防止企业风险扩大，由企业内部传导至企业外部，造成严重后果。

根据《合规指南》，此要素的内容主要包括：出口经营者鼓励员工提高风险意识，设置内部举报途径和可疑事项调查流程，明确启动调查的标准，要求员工在发现可疑订单、可疑客户或可疑行为后及时向出口管制内部合规部门举报等。出口经营者应确定调查范围、明确调查程序、起草调查报告、采取补救措施，并视情况向举报人通报调查结果，并向管理层汇报。如发现严重违法行为，应采取紧急补救措施，并及时向政府部门报告。此外，出口经营者可考虑将违规行为识别与补救相关案例纳入出口管制合规培训内容。

实践中，部分企业存在对内部违规行为自查、纠正不充分，导致风险从内部传导至外部，遭受监管机构调查甚至处罚的情形。对此，笔者建议，企业应把出口管制相关的举报机制和调查程序纳入现行举报和调查体系中；应当保护举报人的身份不被披露；企业内部调查机构应具有独立做出调查结果和补救措施决策的权限，不受业务部门的干扰。需要注意的是，企业对于应急措施的管理需要在业务前端预先留出空间，以便后续采取相应的纠错措施。

开展教育培训

开展教育培训的目的在于以清晰、通俗、易懂的方式向员工宣贯出口管制合规知识，培养全体员工的合规意识，使员工及时了解出口管制法律法规的变化、管制清单的更新，熟悉公司出口管制合规制度及操作流程，进而避免在实际业务处理中发生错误，并保障及时发现问题。

根据《合规指南》的要求，培训内容应因岗而异：对于一般员工，应宣传出口管制合规概念以及本企业的出口管制合规政策等；对于出口管制相关业务部门的员工，应增加出口管制内部合规制度、出口管制合规审查流程、最终用户和最终用途审查重点、相关信息系统/筛查工具操作方法等相关内容的培训；对于出口管制合规部门，应额外对我国和业务相关国别的出口管制政策法规动向、国际出口管制合规先进经验借鉴等，保持持续关注。

实践中，许多企业已经开展出口管制相关合规培训，也能根据各个企业实际情况，在培训内容、频率及深度上有所不同；但对于《合规指南》要求的分级培训、定期培训、纳入考核的要求，则没有完全落实，应有针对性地予以改进。此外，企业还可以结合热点事件及经典案例，开展合规宣贯工作，对开展业务及经营管理过程中遇到的合规难点进行重点探讨。

完善合规审计

合规审计的目的是了解和验证出口管制合规体系的有效性，识别内部合规机制运行的薄弱环节，并针对发现的问题提出整改措施，对内部合规机制进行必要的完善和更新，以适应不断变化的监管环境。

根据《合规指南》，此要素的内容主要包括：出口经营者定期对出口管制内部合规机制的合理性、可行性、有效性等进行审计，评估具体业务流程合规操作的规范性。审计报告应反映内部合规机制运行状况以及整改方向。合规审计可以由企业内部专人进行，也可以聘请外部第三方机构进行。审计包括整体审计和专项审计。专项审计着眼于特定部门（例如销售、生产、采购）或特定出口环节（例如发货、记录保存）。审计报告的结果应向管理层汇报，并落实整改、持续跟踪。

实践中，由于出口管制合规是一个较新的领域，企业较少执行针对出口管制内部合规机制的专项审计，往往通过合规审计或整体审计对相关出口业务环节进行审计。笔者建议，根据企业的性质、规模和复杂性，在企业常规内部管理审计体系中加入对出口管制合规体系有效性的审计版块；如果经整体审计发现存在出口管制合规高风险信号，再组织安排专项审计或聘请外部专业机构进行外部审计。

保留档案资料

准确、全面、有效地保存相关资料档案，有助于企业严格遵守相关法律中的记录保存要求，配合主管机关的两用物项出口管制查询或外部调查，降低因缺失记录证据而导致的违规风险；同时，也有利于企业内部进行合规调查，从而不断完善出口管制内部合规制度。

根据《合规指南》，出口经营者应完整、准确地保留与出口管制相关的文件，包括出口产品规格、商业交易相关文件、与政府部门沟通情况、客户筛查记录及往来文件、最终用户和最终用途证明文件、许可申请文件、许可审批文件、出口项目执行情况、涉及出口管制的规章制度、会议纪要、会议决议、管理文件、曾发现的违规问题及处理措施、培训记录和材料、审计报告、国外分包商或客户的来访记录等。对以电话、传真、电子邮件和其他方式的接洽也视情予以记录，并明确相关贸易文件存档程序及保管要求。

关于留档期限，《中华人民共和国行政处罚法》第三十六条规定，违法行为在二年内未被发现的，不再给予行政处罚；涉及公民生命健康安全、金融安全且有危害后果的，上述期限延长至五年。《合规指南》也建议，按照五年的期限进行文件留档。另外，美国法下出口管制相关行政责任的追诉期限为五年，且美国商务部工业安全局在出口合规计划中建议相关文件留档保存期限也为五年。因此，建议企业按照五年期限对相关文件留档保存。

此外，需要注意的是，存档文件如需向境外提供，应当按照《出口管制法》第三十二条要求进行，企业内部应制定相关出境审批流程，避免相关文件违规出境风险。如果企业通过云服务的形式对相关文件进行留档保存，建议通过加密方式上传至服务器架设于中国境内的云，避免云共享导致数据违规出境的风险。

编制管理手册

编制管理手册的目的是便于将合规管理流程通过书面文件进行固化，便于业务人员随时审阅、参考和依据执行。

根据《合规指南》，此要素的内容主要包括：出口经营者编制出口管制内部合规机制管理手册，涵盖前述基本要素规定的内容，包括政策声明、国家出口管制法律法规、合规组织机构及相关职责、企业内部出口管制合规政策和制度、管制物项识别和筛查制度、全面风险评估的主要内容及风险评估结果、出口审查流程及审查重点等，使员工能够通过手册及时了解并有效执行。

实践中，许多企业已开始或完成相关出口合规管理手册的编制，但手册涵盖的内容、深度以及文本的颗粒度存在差异。笔者建议，企业可根据自身风险评估情况，选择编制出口管制管理手册的广度、深度和颗粒度。如经评估企业出口合规风险较小，可以在合规手册中系统性地介绍出口管制法律法规制度和内部政策，以科普和宣贯出口管制合规意识和知识为主；如经评估企业出口合规风险较大，企业应根据评估风险点，结合业务环节形成颗粒度较细的合规指引，便于业务人员执行。企业应结合《合规指南》风险评估要素，针对高风险业务版块和环节，制定具有操作性的标准操作流程，将出口合规嵌入各个业务节点，并开展与制度一致的合规审查程序。