M07 合规体系

◐ 骨架 合规 v0.2 · 更新于 2026-10-29

给谁用

业务开始接触政企客户、需要把反贿赂、竞争和出口管制落到可执行动作的科技公司

解决什么问题

反腐败、反垄断、出口管制全靠「我们没问题」，出事前没有判断、表单和证据

组件清单

• 判断树
• 表单模板
• 条款库（不适用）
• 落地 SOP
• 适用边界

可下载内容

详细说明

本模块给科技公司一套最小可运行的合规抓手：三份一页指引（反商业贿赂、竞争、出口管制）加三份简表（利益冲突、礼品与招待、举报）。它解决三个问题：业务看得懂、遇事有动作、做完有证据。它不是完整合规体系，也不替代正式法律意见。下载区提供三页 PDF，每个主题一张 A4，并附同版 Markdown 源文；以下正文为展开说明，用于复核、培训和争议处理。三份申报表为可复制编辑的 Markdown，不含自动审批或公式。

适用范围与输入准备

以下场景可以直接从本模块取用对应工具：

填表前至少准备这些输入。缺项可以写“待补证”，不能用假设代替证据：

先固定事实，再套规则。事实不清时，结论写“待核实/待补证”，不要写“应该没问题”。

判断树：出口管制与制裁初筛

0 固定事实：物项参数/版本、最终用户/用途、目的地、访问人员、交付方式
  └─ 关键事实不明 → 公司暂停交付、补证；不是直接认定违法

1 物项：清单、临时管制、参数/技术描述（不能只看 HS 编码）
  ├─ 清单内/临时管制 → 确认许可或法定凭证路径，取得后才交付
  ├─ 清单外 → 仍审查清单外兜底风险与具体公告，不能直接放行
  └─ 分类不明 → 技术和法务复核，必要时向商务主管部门咨询

2 最终用户：管控名单、关注名单、股权/控制关系、涉军等红旗
  ├─ 管控名单 → 按具体禁止/限制措施；特殊交易须获批准
  ├─ 关注名单 → 不当然禁运；两用物项仅可按规定申请单项许可
  └─ 涉军、地址重合、第三国中间商、拒绝说明 → 暂停、核实

3 最终用途：谁用、在哪里用、具体项目；与参数/数量是否匹配
  ├─ 清单外且知道/应当知道或获通知：可能危害国家安全和利益、
  │  涉大规模杀伤性武器及运载工具、恐怖主义 → 申请许可
  ├─ 特定禁止措施适用 → 不交付；不能靠普通许可或公司审批覆盖
  └─ 仅有“民用”自述、用途不明/变更 → 补证/重审；依法停运报告

4 路径及其他规则：境外下载/访问、向外国主体提供、转售/再出口
  ├─ 有境外访问/外国人员接触 → 进入审查，本身不等于受控或禁止
  ├─ 再出口/境外制造 → 核对适用公告、物项、对象及主管部门要求
  └─ 并行核对技术出口、数据出境、制裁/反制/阻断等适用要求

5 汇总与批准
  ├─ 禁止措施适用 → 拒绝；必要报告，保留依据
  ├─ 需许可/凭证 → 依法办理，核对用户、用途、数量、目的地条件
  ├─ 任一关键事实待核实/待补证 → 公司暂停，补证后重新复核
  └─ 全部适用要求已满足 → 书面批准交付；留日志，变化时重审

两个旧概括要改正

• “软件没有 HS 编码，所以不涉出口管制”不成立。 《出口管制法》第二条把管制物项定义为货物、技术、服务，并明确包括物项相关的技术资料等数据；两用物项清单按管制编码、技术参数和技术描述判断，报关 HS 编码是另一套海关分类，二者不能互相替代。软件、源代码、设计文档、算法、工艺、云服务都可能进入审查。
• “只有实物出口才需要管”不成立。 出口既包括从境内向境外转移，也包括中国公民、法人和非法人组织向外国组织和个人提供两用物项。跨境软件交付、境外客户远程访问、外籍员工或境外顾问接触受控技术资料、再出口和境外制造，都要按事实筛查，不能只盯报关单。境外访问或外国国籍本身不等于必须获许可；仍须结合物项、用户、用途与具体措施。

还要改掉三个习惯：把“最终用户/最终用途证明”当形式文件；把客户口头保证当证据；把“外国制裁名单”当成与己无关。前两个会让判断落空，第三个可能让交易在银行、保险、物流或股东环节突然中断。涉外国制裁、反制与阻断规则冲突时，本模块只要求暂停和升级，不教如何规避。

一页指引一：反商业贿赂

一句话：给好处换交易机会或竞争优势，就可能构成商业贿赂。 现金、购物卡、旅游、干股、顾问费、报销、捐赠、不当招待都可能是“财物或者其他手段”，不只在信封里塞钱才算。

《反不正当竞争法》第八条禁止向三类对象行贿：交易相对方的工作人员；受交易相对方委托办理相关事务的单位或者个人；利用职权或者影响力影响交易的单位或者个人。经营者的工作人员行贿，原则上认定为经营者的行为，除非经营者能证明该行为与谋取交易机会或者竞争优势无关。折扣、佣金可以存在，但必须明示并如实入账，收受方也要如实入账。违反第八条的，按第二十四条可没收违法所得，并处十万元以上一百万元以下罚款，情节严重的可处一百万元以上五百万元以下罚款，并可以吊销营业执照；法定代表人、主要负责人和直接责任人员还可能被处一百万元以下罚款。

允许与不允许的边界

中国法律没有一条统一的“礼品金额安全线”。 公司可以设内部登记线和审批线，但那是内控阈值，不是合法豁免。政府采购、国企、事业单位、医药医疗器械等场景往往更严；对方制度禁止的，金额再小也不要送。

渠道佣金、咨询费不是必然违法

真实的市场推广、渠道服务、技术咨询可以有佣金或服务费。判断重点不是名称，而是四件事：

1. 有没有真实服务：交付物、工作时间、参会记录、报告、邮件、验收单。
2. 价格是否公允：与市场费率、服务内容、工作量匹配；明显高于市场且无解释，是红旗。
3. 对象是否敏感：收款方是否为客户员工、公职人员、其近亲属或代持人；是否把费用转给个人。
4. 是否入账：合同、发票、付款路径、会计科目一致；现金、个人账户、境外账户、第三方代收都要停下来。

如果“咨询公司”不干活、只开票，或者费率异常且没有真实服务依据，应暂停并核查。真实佣金按交易金额计费本身不当然违法，仍须核对服务、收款人、利益归属与入账。

出事先做什么

1. 停止：暂停付款、交付、投标或签约；必要时隔离涉事人员，但不要以隔离代替调查。
2. 保全：邮件、聊天、合同、发票、报销、审批、门禁和系统日志；发保存通知，禁止删除、修改、倒签。
3. 报告：按举报表分流；涉及管理层、法务、财务负责人时，升级董事会/审计委员会或外部律师。
4. 评估：金额、对象、频次、是否公职人员、是否实际获得交易、是否持续、是否有人身安全或监管风险。
5. 补救：退回、追回、终止第三方合同、整改流程、培训；主动停止、消除或减轻危害后果，依法可能作为从轻或减轻行政处罚的情节（《反不正当竞争法》第三十二条），但这是处罚裁量，不是免于调查的承诺。
6. 移送与披露：涉嫌犯罪依法评估移送；上市公司、持牌机构、政府采购供应商还要评估监管披露和客户告知，不要私下“赔钱了事”。
7. 记录：保留调查日志、证据清单、访谈笔记和结论；个人信息按最小必要处理。

一句话总结：不给、不收、不走账外；折扣佣金明示入账；政企客户更严；出事停、保、报。

一页指引二：竞争合规

一句话：与竞争对手谈价格、产量、市场划分、投标，是红线；转售价格限制先交法务审查；并购须完成申报判断与必要审查后再交割。

横向协议：同行之间最容易踩的线

《反垄断法》第十七条禁止具有竞争关系的经营者达成下列垄断协议：固定或者变更商品价格；限制商品的生产数量或者销售数量；分割销售市场或者原材料采购市场；限制购买新技术、新设备或者限制开发新技术、新产品；联合抵制交易；以及执法机构认定的其他垄断协议。

重点不是有没有签一份叫“合作协议”的文件。交换价格、客户、产能、投标计划等敏感信息，再据此行动，也可能构成协同行为。 行业会议、协会群、饭局、前同事聊天、共同供应商组织的“协调会”，都要留个心眼。招投标场景还可能同时触及《招标投标法》第三十二条、第五十三条的串通投标责任。

纵向安排：转售价、最惠国、平台“二选一”

《反垄断法》第十八条禁止与交易相对人固定向第三人转售商品的价格，或者限定向第三人转售商品的最低价格。固定转售价和最低转售价不是当然合法，需要按具体条款、市场结构和竞争效果分析；经营者能证明其不具有排除、限制竞争效果的，不予禁止（第十八条第二款）。

2025年修正、2026年2月1日施行的《禁止垄断协议规定》第十七条给出纵向协议的安全港门槛，条件是“在协议期间”按每一年度计算：

• 固定转售价或最低转售价：须同时满足①经营者、交易相对人各自在相关市场每一年度的市场份额均低于 5%；②协议所涉及商品每一年度的营业额均低于 1 亿元。份额和营业额是两个并列条件，缺一不可。
• 其他纵向协议（第十八条第一款第三项）：各自市场份额均低于 15%。
• 交易相对人为多个的，在同一相关市场的份额、协议商品营业额合并计算；特定行业、领域或协议另有规定的，从其规定。

安全港不是自动生效：

• 只适用于纵向协议，不适用于横向价格、市场划分、投标串通；
• 经营者的主张在执法机构调查程序中提出，须提交协议情况、股权结构与控制权、每一年度各自市场份额和协议商品营业额及计算依据等材料（第十七条、新增的第十八条）；
• 执法机构核实后不予立案或终止调查；但有证据证明协议具有排除、限制竞争效果的，不适用安全港（第十九条）。

“最惠国待遇”、价格平价、平台“二选一”、独家交易、地域限制，不能一概说违法，也不能拿模板直接签。它们在特定市场结构下可能构成纵向垄断协议或滥用市场支配地位，需要结合市场份额、替代性、封锁效果和对创新的影响单独分析。

组织、帮助与“我只是传话”

《反垄断法》第十九条禁止经营者组织其他经营者达成垄断协议，或者为其他经营者达成垄断协议提供实质性帮助。平台、渠道商、代理商、行业协会、共同投资人、甚至“牵线”的顾问，都可能落入“组织”或“帮助”。“我没有签协议，只是把大家叫来聊聊”不是安全说法。

行业协会尤其要注意：协会不得组织本行业经营者从事本章禁止的垄断行为。协会会议的议程、纪要、签到、群聊记录都可能成为证据；发现有人讨论价格、客户分配、投标计划，应当立即制止、退出并留存记录。

豁免不是自己说了算

《反垄断法》第二十条列了若干可以不适用第十七条、第十八条第一款、第十九条的情形，包括改进技术、研究开发新产品，统一产品规格标准，提高中小经营者效率，节约能源、保护环境、救灾救助等社会公共利益，经济不景气时缓解销量严重下降或生产明显过剩，保障对外贸易和对外经济合作中的正当利益，以及法律和国务院规定的其他情形。

豁免有举证责任，部分情形还要证明协议不会严重限制相关市场竞争，并使消费者分享利益。不要用“我们是为了行业好”自我豁免；拿不准时先改条款或咨询，不要在群里留下“大家都知道”的证据。

经营者集中：先算门槛，再谈交割

《反垄断法》第二十五条把经营者集中定义为：经营者合并；通过取得股权或者资产取得对其他经营者的控制权；通过合同等方式取得对其他经营者的控制权或者能够对其他经营者施加决定性影响。“收购团队”“合资”“VIE 架构调整”“一致行动安排”都可能是集中，不要只看有没有买 100% 股权。

现行《国务院关于经营者集中申报标准的规定》（2024年修订）第三条的申报门槛是：

• 参与集中的所有经营者上一会计年度在全球范围内的营业额合计超过 120 亿元人民币，并且其中至少两个经营者上一会计年度在中国境内的营业额均超过 8 亿元人民币；或者
• 参与集中的所有经营者上一会计年度在中国境内的营业额合计超过 40 亿元人民币，并且其中至少两个经营者上一会计年度在中国境内的营业额均超过 8 亿元人民币。

达到门槛的，先核对《反垄断法》第二十七条是否允许免于申报；不适用免申报情形的，应当事先申报，并在依法可实施前停止交割与实质整合。仅提交申报不等于可以交割（第三十至三十二条）。未达门槛，但有证据证明该集中具有或者可能具有排除、限制竞争效果的，执法机构仍可以要求申报（第四条）。银行、保险、证券、期货等特殊行业、领域的营业额计算另有规定；涉及上市公司、国有资产、外商投资安全的，还要叠加其他审批。签约后、交割前就整合业务、交换敏感信息、共同定价，可能构成“抢跑”，要单独控制。

一句话总结：同行谈价、分市场、串标是红线；纵向限制由法务审查竞争效果和安全港；并购先审申报义务，申报后仍须遵守停实施要求。

一页指引三：出口管制（判断树展开）

一句话：编码只是入口。物项、最终用户、最终用途、交付路径是四道独立闸门，关键风险未排除或必要许可未取得，不能靠其他节点“没问题”放行。

节点一：物项——清单、临时管制与“清单外”

《出口管制法》第九条建立管制清单和临时管制制度，第十条规定可以禁止特定物项、特定目的地、特定组织和个人出口。两用物项统一清单由商务部等四部门2024年第51号公告发布，后续调整和专项公告须叠加核对，自2024年12月1日起实施；清单按管制编码、技术参数和技术描述判断，不是按报关 HS 编码判断。临时管制针对清单外物项，期限每次不超过二年，可以延长，但延长不超过两次（两用物项条例第十二条）；到期可能取消、继续延长或转入清单。

需要进入物项判断的，不只是硬件：

• 软件、源代码、目标代码、算法、模型权重、设计文档、工艺参数、测试方法；
• 技术资料、操作手册、远程技术支持、云服务、API；
• 货物、技术、服务，以及物项相关的技术资料等数据。

HS 编码是海关征税和统计分类，管制编码是出口管制清单的分类，两者不能互相替代。 没有 HS 编码的软件、技术服务，仍然可能受管制；有 HS 编码的普通商品，也可能因为参数、最终用户或最终用途进入管制。拿不准时，向商务主管部门提出咨询，并保留咨询记录；不要自己写一句“非管制物项”就放行。

并行核对技术出口规则。 软件许可、源代码或技术秘密转让、技术服务如构成技术出口，还要核对《技术进出口管理条例》及有效的《中国禁止出口限制出口技术目录》：禁止类不得出口，限制类须许可，自由类实行合同登记（条例第二十九至三十一条、第三十七至三十九条）。不因两用物项清单未列入而免查；普通软件产品销售是否构成技术出口，要按实际交付内容判断。

本次核对的动态变化。 商务部、科技部2026年第48号公告对目录拟增列技术征求意见，同时对公告附件所列相关技术实施出口前登记。征求意见稿不等于已生效的限制出口目录；须分别核对公告正文的临时措施、附件范围与后续实施状态，不把所有 AI 软件都纳入，也不忽略正在实施的登记要求。

物项筛查至少记录：名称、版本、功能、关键参数、清单/临时管制比对结果、比对日期、依据文件、结论、复核人。只看产品名或客户行业，不算完成。

节点二：最终用户——名单、股权与红旗

《出口管制法》第十八条建立管控名单；两用物项条例还建立关注名单。被列入管控名单的进口商、最终用户，可能被禁止或限制交易、责令中止出口；确需交易的，要按特别程序申请。关注名单的重点是：不得申请通用许可或以登记填报方式获得出口凭证；申请单项许可时要提交风险评估报告和承诺。

筛查动作至少包括：

1. 名单比对：商务部管控名单、关注名单，以及交易涉及的其他适用名单；记录比对日期和版本。
2. 股权穿透：最终用户的实际控制人、主要股东、董事、关联方；是否通过第三国子公司、代理、壳公司间接交易。
3. 地址与联系人：注册地址、经营地址、收货地址、联系人是否与名单实体重合；是否只给邮箱或酒店地址。
4. 业务合理性：新设公司、经营范围与采购物项不匹配、采购量明显超过业务需要、拒绝说明最终用途、要求异常转运、第三方代付，都是红旗。
5. 历史交易：是否曾被退货、转售、改变用途、拒绝配合核查；是否有异常中间商。

客户自己填的“最终用户声明”只是起点。最终用户和最终用途证明由最终用户或者其所在国家和地区政府机构出具；实践中通常由最终用户出具，主管部门可以要求同时提交政府机构出具或认证的证明。证明可能伪造、变造、过期，必须与公开信息、股权、地址、业务逻辑交叉核对。

节点三：最终用途——民用也可能转用

《出口管制法》第十五条至第十七条要求提交最终用户和最终用途证明，最终用户承诺未经允许不得改变用途或向第三方转让；出口经营者、进口商发现最终用途可能改变的，要立即报告。两用物项条例进一步要求最终用户按主管部门要求作出承诺，并配合核查。最终用户、最终用途已经或可能改变，证明文件被伪造、变造、失效，或者以欺骗、贿赂等不正当手段取得的，应当立即停止出口、报告并配合核查（条例第二十五条）。

判断最终用途时，不要只问“军用还是民用”。要问：

• 用在什么产品、项目、场景？技术参数与最终产品是否匹配？
• 最终用户是否涉军、涉警、涉情报、涉大规模杀伤性武器或恐怖主义？
• 是否存在转售、再出口、境外转移、境外加工后回流的安排？
• 用途证明是谁出的、什么时候出的、覆盖哪个物项和数量、是否允许转用？
• 如果用途改变，谁负责报告、多久报告、怎么留证？

“民用”不是安全词。 两用物项的本质就是既有民事用途，又有军事用途或有助于提升军事潜力。一个民用研究所、民用工厂、民用云平台，也可能因为最终产品、项目或客户而改变风险。最终用途证明缺失、过期、与实际业务不匹配，结论只能是“待补证”，不是“可以出口”。

节点四：交付路径——没有报关单也可能是出口

《出口管制法》第二条把出口定义为从境内向境外转移管制物项，以及中国公民、法人和非法人组织向外国组织和个人提供管制物项。两用物项条例第二条进一步把贸易性出口，以及赠送、展览、合作、援助和其他方式的转移纳入。

因此，下列路径都要进入筛查：

• 软件下载、SaaS 账号开通、API 调用、云服务部署；
• 境外客户、境外子公司、境外顾问远程访问境内系统；
• 外籍员工、外国留学生、境外合作方接触源代码、设计文档、工艺参数；
• 技术许可、联合研发、技术服务、远程运维；
• 样机、测试设备、展会样品、赠品、援助物资；
• 再出口、过境、转运、通运、从海关特殊监管区域或保税监管场所向境外出口；
• 境外制造产品中含有、集成或混有原产于中国的特定两用物项，或者使用原产于中国的特定技术。

两用物项条例第四十八条明确，过境、转运、通运、再出口，以及从海关特殊监管区域和保税监管场所向境外出口，依照出口管制法和条例执行。第四十九条还规定，境外组织和个人在境外向特定目的国家和地区、特定组织和个人转移、提供含有、集成或混有原产于中国的特定两用物项在境外制造的两用物项，或者使用原产于中国的特定技术等两用物项在境外制造的两用物项，以及原产于中国的特定两用物项，主管部门可以要求相关经营者参照条例执行。不要凭“中国成分低于某个比例”自行放行；是否有此规则、适用哪些物项，按具体公告和主管部门要求判断。

许可与记录

两用物项出口许可按目录和公告分为单项许可、通用许可，以及符合条件的登记填报方式。不同方式的条件、适用范围、有效期和报告义务不同，不能假定“有许可证就什么都能出”。许可通常绑定物项、最终用户、最终用途、数量和目的地；发生变化要重新评估，必要时申请变更或重新许可。

本模块对普通交付收集基本用户、用途和访问记录，是内控建议，不等于所有软件出口都须法定许可或正式最终用户证明。每笔交付按适用范围保留（不适用的项目说明理由）：物项分类记录、名单筛查记录、最终用户/最终用途证明、合同和订单、许可或登记凭证、报关单据、交付/访问日志、用途变更报告、复核记录。两用物项出口相关的最终用户和最终用途证明文件，以及合同、发票、账册、单据、业务函电等资料，保存期限不少于 5 年（两用物项条例第二十七条）；其他文件按法律、行政法规和公司档案制度执行。涉及调查、诉讼或监管问询时，延长保存并发保存通知。

出口筛查记录（可复制到内部系统）

制裁因素：只做筛查，不做效力判断

本模块不判断外国制裁的效力，也不指导规避。交易涉及外币结算、境外银行、境外保险、境外物流、境外股东、原产于境外的技术或软件、被外国名单列名的主体时，先停下来问法务/外部律师：

• 交易是否触发外国制裁或出口管制域外适用？
• 中国法律、反制措施或阻断规则是否对遵守外国措施有限制？
• 银行、保险、物流、云服务商是否会因此拒绝或冻结？
• 是否需要调整交易结构、币种、路径或客户，调整是否合法？

不要为了“合规”而违反中国法，也不要为了成交而隐瞒外国制裁因素。 这类冲突需要专业意见，不是一张自查表能解决。

一句话总结：物项看清单和参数，最终用户看名单和股权，最终用途看证明和场景，交付路径看访问和再出口；任一红灯停，不靠另外三盏绿灯放行。

表单：三份简表使用说明

三份简表是内部控制工具，不是法律意见。每份表应区分处理状态、分级与事实结论，使用表内选项；共同要求是必须落到明确动作，不能写“应该没事”“问题不大”“领导知道”。每份表都要有填表人、复核人、相应审批人（举报表为结案审批人）和日期；关键证据缺失时，结论就是“待补证”。

上述年限是公司可调整的内控参考，不是统一法定期限。应按个人信息处理目的确定最短必要期限；会计档案、出口资料等依法保存，调查或诉讼保全期间暂停删除，期限冲突由法务复核。

利益冲突申报

谁要申报。 董事、监事、高级管理人员按《公司法》第一百八十条负有忠实义务；自我交易按第一百八十二条报告、决议，董事、监事、高级管理人员经营同类业务按第一百八十四条报告、决议，关联董事按第一百八十五条回避；关联关系的法定定义见第二百六十五条。普通员工不当然适用同样的法条，但公司可以通过劳动合同、员工手册和内部制度要求申报。采购、销售、财务、法务、HR、研发负责人等有审批权或信息优势的岗位，应当全部纳入。

申报什么。 本人、配偶、子女、父母、兄弟姐妹、其他近亲属，以及本人或近亲属直接/间接控制、持股、任职、担任顾问或代理的企业，与公司发生或可能发生采购、销售、合作、租赁、借款、担保、许可等关系。不要只申报“有股权”的情况；亲属在供应商做销售、顾问、居间人，也可能是利益冲突。

怎么处理。 先判断申报人是否参与相关决策、评审、审批、付款、验收。参与的，默认回避；不参与的，可以登记备案并披露。需要继续合作的，要有替代决策人、价格对比、书面批准和必要的客户/监管披露。董事、监事、高级管理人员涉及第一百八十二条所列交易的，按公司章程和《公司法》走董事会/股东会程序，关联董事回避；上市公司还要遵守信息披露和关联交易审议规则，本表不能替代。

什么时候更新。 年度申报之外，在供应商准入、招标、合同签署、关系变化、岗位变化时触发申报。不要等审计来了才补。

礼品与招待

三条硬规则：

1. 按本模块示例内控，现金、购物卡、有价证券、虚拟币、黄金等，一律不收、不送。 无法退回的，登记后上交公司，不得个人留存。
2. 招投标、谈判、审批、验收等敏感期，默认拒绝收授。 确有无法拒绝的，登记、披露、上交，并评估是否影响项目。
3. 记录要能和财务账对上。 接受礼品/招待的，按公司标准登记和审批；公司支付的招待费要有业务目的、参加人、发票和审批；对方支付的，要在礼品表记录，不能变成账外利益。

公司可以设内部登记线和审批线（例如单次 200 元登记、单次 1,000 元审批、年度累计限额），但这是内控阈值，不是法律安全线；不同客户、行业、国企/政府采购要求可能更严。礼品和招待不能替代合同、不能换取中标、不能覆盖亲属费用，也不能用“会议费”“咨询费”“市场推广费”改头换面。

财务每季度把礼品表与招待费、差旅费、会议费、市场推广费核对一次：有账无表、有表无账、金额拆分、频繁小额、同一对象多次，都要问清楚。

举报

入口。 至少提供一种独立于被举报人所在条线的渠道：合规邮箱、举报电话、邮寄地址、当面受理。匿名举报可以受理，但要提前说明：匿名可能限制核实、反馈和奖励；公司会在可行范围内保护举报人身份，但不能承诺法律上没有的“绝对匿名”。

分级。 涉及现金/回扣、招投标串通、管理层或法务/财务/HR 负责人、持续损害、监管/媒体风险、毁灭证据的，列为重大；一般政策违规、小额礼品、未执行的冲突申报，列为一般；事实不清的，先“待核实”，不要直接结案。

时限。 紧急止损、证据保全与利益冲突分流应立即处理，不等回执时限届满。建议重大举报 7 个工作日内确认受理，一般 15 个工作日内；重大 10 个工作日内形成调查计划，一般 20 个工作日；每 30 天更新一次进展；重大 60 个工作日内、一般 45 个工作日内结案，复杂案件经批准延长。这些是可调整的内部服务标准，不是法定时限；涉及外部调查、刑事程序或监管问询时，按外部要求调整。

保密与利益冲突。 知情人最小化；举报材料单独存放；调查前检查调查人是否与被举报人有利害关系；涉及法务、HR、审计负责人的，升级董事会/审计委员会或外部律师。不要在群里讨论、不要在开放式办公区约谈、不要向被举报人透露举报人身份。

调查与结论。 先保全证据，再访谈；访谈两人以上在场，笔记签字；调取合同、发票、付款、邮件、系统日志要在合法权限内；银行流水由有权人员依法调取或申请。结论可以是属实、部分属实、不属实、证据不足；不属实的也要记录理由。属实案件按证据、责任和适用制度评估纪律处理、追回、流程整改及供应商措施；涉嫌犯罪的，依法评估移送。

禁止打击报复。 不得因举报对举报人降职、调岗、降薪、解除合同、孤立或变相施压；发现打击报复的，单独调查并处理。举报人自身参与违规的，按事实和责任分别处理，不因为举报就一律免责。

落地 SOP：公司应用建议

以下为公司应用工具的建议步骤；先确定责任人、适用范围与证据要求，再按实际交易风险试运行。

每年至少复审一次

• 法规与名单：反不正当竞争法、反垄断法及配套规章、出口管制清单、临时管制、管控/关注名单、年度许可目录是否有更新。
• 申报抽查：随机抽取利益冲突申报，核对供应商/客户名单、股权和实际决策人；检查是否有该报未报。
• 礼品与财务对账：礼品表、招待费、差旅费、会议费、市场推广费交叉核对；关注拆单、频繁小额、同一对象。
• 举报与整改：统计受理量、分级、结案时长、整改完成率、打击报复投诉；重大案件复盘。
• 培训与签收：新员工入职培训、年度复训、关键岗位专项培训；签收记录可检索。
• 第三方：高风险供应商/渠道/代理的尽调更新；合同中的合规、审计、终止条款是否可执行。
• 出口：清单和名单版本、许可条件、最终用户/用途证明有效期、再出口/境外访问场景是否变化。

最小体系不是 ISO 37301 认证，也不保证监管认可。 它的价值是让业务在事前有判断、事中有记录、事后能复盘；等规模扩大、客户要求提高或出现跨境复杂交易，再评估更完整的体系。

边界验收矩阵与三个用例

用例一：供应商在续约前送来购物卡

事实（虚构）。 星屿科技（虚构）采购经理周某负责年度包装供应商续约。供应商青禾包装（虚构）在开标前一周寄来一张 2,000 元购物卡和一盒估值 180 元的茶叶，快递面单写“样品”。周某没有拆封，向合规邮箱报告。

判断。 购物卡具有可兑换的财产利益，按本模块示例内控一律拒收；不将购物卡一概定性为法律上的有价证券。开标前属于敏感期，购物卡和茶叶均须拒收/退回；是否构成行受贿还须查明对象、目的、请托与其他事实，不能只凭金额定性。

动作。

1. 周某不拆封、不使用，交合规封存；合规拍照、登记快递面单和物品。
2. 合规通知供应商：退回购物卡，保留退回凭证；茶叶一并退回，不能用低于内部金额线留用。
3. 周某不参与该供应商的评审、谈判和验收；由替代评审人参加。
4. 采购复核该供应商的历史价格、履约和投标文件；如发现围标、串标线索，转举报/反垄断审查。
5. 在礼品表记录“拒收/退回”，在利益冲突表记录“回避”及替代人员、期限和复核安排；主动报告本身不构成违规认定，留存邮件和评审记录。
6. 如供应商坚持、或发现其他员工收受，升级调查；涉嫌犯罪依法评估移送。

证据。 礼品登记表、快递面单、封存照片、退回凭证、合规邮件、替代评审记录、供应商历史价格对比。

用例二：研发总监的配偶持股供应商

事实（虚构）。 云岚软件（虚构）研发总监林某的妻子持有星屿数据服务公司（虚构）30% 股权，并担任监事。公司拟采购该供应商的数据标注服务，金额 80 万元（虚构），林某是技术评审成员，但没有主动申报。本例假设已核对其不兼任董事、监事，也不属于法定或章程规定的高级管理人员。采购在供应商问卷中发现股东信息，转法务核查。

判断。 林某属于研发总监，可能参与技术评审和验收；其配偶持股并任监事，属于典型的利益冲突。即使林某不负责商务谈判，技术评审也会影响结果。公司制度要求申报；《公司法》对董事、监事、高级管理人员的相关交易另有报告、决议和回避要求，本例按普通员工内控制度处理；真实案件仍须核对实际任职与章程，不能仅凭“总监”称谓判断是否属于高级管理人员及交易是否落入法定程序。

动作。

1. 要求林某在 2 个工作日内补报利益冲突表，说明关系、持股、参与程度和已知信息。
2. 林某立即回避技术评审、供应商选择、合同谈判和验收；不得私下接触供应商。
3. 由替代评审人重新评审；采购做市场价格对比，至少取得两家可比报价；法务审查合同中的合规、审计、终止条款。
4. 评估是否存在利益输送、价格偏高、质量风险；如继续合作且林某不属法定相关人员，由总经理按内部授权书面批准，合规复核；若属董事、监事、高级管理人员等法定情形，另完成公司法及章程所需报告与决议程序，记录回避和价格对比；如无法排除影响，终止该供应商。
5. 如林某此前未申报且已参与评审，评估是否需要重新招标、是否追究纪律责任；上市公司还要评估关联交易审议和信息披露。
6. 将供应商、关系人、交易金额、回避安排录入台账，下一次年度申报继续跟踪。

证据。 利益冲突申报表、股权查询、回避邮件、替代评审记录、两家报价对比、批准文件、合同审查记录。

用例三：跨境软件交付，物项不在清单但最终用户涉军

事实（虚构）。 北辰智能（虚构）向新加坡客户远帆系统（虚构）交付一套通用数据分析软件，授权境外部署和远程访问。软件没有报关 HS 编码，参数经初步比对不在两用物项清单；远帆系统说最终用户是“某研究机构”，拒绝提供最终用户名称，只给了一个转售商联系邮箱。合规进一步检索发现，该研究机构疑似隶属某国国防系统，且转售商要求把服务器放在第三国、由“客户指定的工程师”远程维护。

判断。 物项节点初步为“否”，但最终用户节点无法排除涉军，最终用途节点缺少证明，交付路径还存在境外转售和境外远程访问。用户、用途关键事实未查清，路径又需进一步审查，不能因为“软件没有 HS 编码、不在清单”放行。即使物项不在清单，如果出口经营者知道或应当知道，或者获主管部门通知，相关物项可能危害国家安全和利益、被用于大规模杀伤性武器及其运载工具或恐怖主义，仍应申请许可；最终用户和最终用途证明缺失，结论只能是“待补证/暂停”。

动作。

1. 暂停报价、合同签署、账号开通和任何技术资料提供；不因客户催促而先上线。
2. 要求远帆系统提供最终用户名称、注册地、股权、最终用途、部署地点、访问人员名单；拒绝提供的，终止交易。
3. 对最终用户、转售商和服务器服务商做名单筛查及股权核查，对访问人员做身份与权限核查；记录筛查日期、版本，并行核对技术出口及特定公告。
4. 涉军并不自动等于法定禁运；风险无法排除或客户拒绝补证的，按公司内控拒绝交易。触发清单外兜底或其他许可要求且不属于禁止出口的，准备物项分类说明、最终用户/最终用途证明、风险评估和许可申请，未获许可前不交付。
5. 评估已提供的软件、文档、账号是否构成“提供”；如已提供，立即停止访问、保留日志、报告并咨询是否需要采取补救。
6. 在出口筛查记录中写明“物项：待核实/不列入；最终用户：红灯；最终用途：待补证；路径：境外访问+转售；结论：暂停/拒绝”，由法务和业务负责人签字。

证据。 出口筛查记录、清单比对截图、名单筛查截图、客户问卷、最终用户/最终用途证明（如有）、暂停邮件、访问日志、许可申请（如适用）、法务意见。

这个用例直接验收“出口管制不只看物项编码”： 即使未找到管制编码，最终用户或用途的关键风险未排除、必要许可或登记未完成，就不能放行。境外访问本身是筛查触发事实，不当然是违法或禁运依据。

适用边界与版本

什么时候不要用本模块

• 刑事调查、监管突击检查、搜查、扣押、员工被采取强制措施：立即请外部律师，按程序应对；不要用内部举报表代替刑事辩护，不要自行清理或转移证据。
• 正式经营者集中申报、申报口径、停表、附条件决定：需要专业申报团队和完整营业额测算；本模块只做初筛。
• 出口管制许可申请、物项归类、清单咨询、最终用户核查：以商务主管部门的正式程序和要求为准；本模块不替代许可申请材料。
• 外国制裁、反制与阻断规则冲突：本模块不判断外国制裁效力，也不指导规避；必须由外部律师就具体交易出具意见。
• 上市公司关联交易、信息披露、独立董事审议：按证券监管和交易所规则办理；本表不能替代董事会/股东会程序和信息披露。
• 医药、医疗器械、军工、金融、跨境支付、加密、人工智能等强监管行业：先查行业特别规则；本模块只作一般合规起点。
• 劳动争议、纪律处分、员工调查：涉及劳动合同、工会、个人信息和证据规则；由 HR/法务按当地程序处理。
• 数据出境、个人信息保护：使用 M04 数据合规模块；举报和调查中的个人信息只在本模块做最小化提示，不替代 PIA/出境判断。
• 条款库不适用：本模块提供合规指引、判断树与简表，不提供合同条款库；合同与条款文本见 M01、M03。

法源核对表

核对日期均为 2026-10-29。核对方式为官方页面或官方发布渠道的全文；清单、名单和许可目录会动态调整，正式交易前要按当日有效版本复核。

动态提示：两用物项清单、临时管制、管控名单、关注名单、年度许可目录和特定国家/地区措施会在两次核对之间变化。2025—2026年商务部已就特定物项、特定国家和地区多次发布管制调整、暂停或恢复实施等公告；本表不复制具体清单，交易前必须到商务部出口管制信息网和主管部门发布页核对当日有效版本。

成熟度说明

本版标为 skeleton。本版补齐了三份一页指引、出口管制判断树、三份简表和三个验收用例，但整个合规体系还包括：经营者集中申报实操、反垄断调查应对与宽大制度、制裁与反制/阻断冲突、合规调查取证与访谈、第三方深度尽调、行业专项合规、董事会与合规委员会运作、培训与文化指标、举报数据分析和持续监控等。不能因为附件齐全或篇幅增加就升级为 deep； 待上述能力补齐并通过专业审阅后，再评估成熟度。

本版修订说明

• v0.2（2026-10-29）：重写合规体系，新增反商业贿赂、竞争、出口管制三份一页指引；新增出口管制判断树、三份简表使用说明、公司应用 SOP、边界矩阵和三个虚构用例；按 2025年修订的《反不正当竞争法》、2025年修正的《禁止垄断协议规定》、2024年修订的经营者集中申报标准、2024年《两用物项出口管制条例》及清单核对法源；明确出口管制不只看物项编码；区分涉军红旗、清单外许可、法定禁运和交付触发事实；补充技术出口核对，纠正监事义务、礼品案例及申报后停实施要求；同步可打印指引和表单。由规划稿 planned 调整为 skeleton：已具备可执行初筛、申报与留证流程，尚未达到完整体系深度，理由见上。
• v0.1（2026-10-27）：规划稿，列出反商业贿赂、利益冲突、礼品招待、出口初筛和举报的方向，未形成判断树、表单和 SOP。