合规大势下中企稳步前行的ABC

Facebook事件、中兴出口管制事件、欧盟《通用数据保护条例》（GDPR）施行……如今合规成了中企走出去面临的头等大事。“健康的合规体系需要三方面支撑：合规意识、合规流程、合规工具，很多人误以为解决了合规流程就万事大吉，实际上如果不能在企业上上下下树立起合规意识、利用好合规工具，合规很难融入到企业的发展基因里。”日前举办的第五届中国（北京）国际服务贸易交易会法律服务板块公司法务论坛上，蓝海现代法律服务中心执行理事长肖璟翊表达了自己的担忧。

打造合规体系

在VMware高级总监兼副总法律顾问李军看来，合规是企业经营管理风控的一个基本要素，合规要解决德与才的关系，在员工的招聘、升职中，合规部门要发挥作用，选拔诚信的员工。一个没有诚信的员工可能会规避公司重要的流程和规矩，给企业带来致命灾难。

“比如，一家企业的合规人员曾接到非正式消息——美国证监会正对企业某一个南美交易高度关注，且另外两家企业也涉及了该事件。三方同时采取行动，最终却取得了不同的结果。一家企业用了6个月时间，从司法部和证监会得到明确答复，不会进行处罚。一家企业用了一年半的时间，得到了不再起诉的结论。另一家企业花了4年半的时间，交了1.1亿元的罚款。虽然这三家企业有不同的处境，但员工诚信情况在其中起到了非常关键的作用。”李军表示，除了诚信，合规部门在与政府执法部门打交道时，还要考虑行为心理学，讲究行动技巧。如果一家小企业遇到问题时能请这个领域最顶尖的律师，或许会给人“既然请这么优秀的律师，证明他一定有问题的”感觉。

会上，君泽君律师事务所合伙人唐功远表示，我们要做好进出口贸易中的合规，要知道国际上有哪些规矩，中企在国际贸易中面临的问题是什么。他建议，企业要建立自己的出口管理和合规计划，不仅要审查直接交易，也要审查间接交易，了解最终用户到底是谁。

数据合规势在必行

被称为“最严数据法”的欧盟《通用数据保护条例》已于5月25日开始实施，引起业内广泛关注。微软大中华区公共及法律事务部总监黄丽丹认为，条例对个人数据的定义非常广泛，不仅仅是姓名、地址、联系方式，网页上追踪用户在线的标志或者IP地址，都被定义为个人信息。此外，关于财务的信息、医疗数据、生物识别信息等也被定义为特殊类型的数据，企业处理数据会受更多限制。

“企业负责人应尽量做到亲自对数据进行管控，并将数据透明化，让客户了解到，他们的信息是怎样被搜集和处理的，有什么样的用途。企业不应去扫描客户的电子邮件或通话记录，对客户进行精准广告投放。”黄丽丹表示，还要保证数据的安全性，微软公司在全球190个国家都有域名，目的就是为了确保遵守全球各地关于隐私权的法律。

GDPR正式生效后，跨境数据转移问题受到很多科技企业关注。黄丽丹指出，企业在进行跨境数据转移时，要注意两个原则。一是确保第一数据从欧盟出境有合法基础，二是确保数据的接收方对数据的保护不低于欧盟境内的保护。

“建议企业先观察自己已有哪些类型的数据，这些数据是否涉及欧盟居民。再对这些数据进行整理管控，如删除、修正等。这一时间通常被限制在1个月内，很多企业没有自动处理的设备，需要手动处理。同时，该过程还要经过用户的同意，因此开始工作前企业要做好充分的准备。”黄丽丹说。