格律法学院:《企业出海2.0一体化合规报告》

合规一旦出问题，代价从来不是「罚款可承受」。

中兴通讯违反美国出口管制，合计支付 14 亿美元民事罚款、解聘高管、改组董事会、接受独立合规协调员长期监督；滴滴网络安全审查违规，被处人民币 80.26 亿元罚款、两名高管各罚 100 万元。两条线的违规成本，都已是「企业级」量级。

这背后是出海逻辑的根本变化。中国企业出海已经走过 1.0 阶段——产品出口、工程承包、单一合同风险；进入 2.0 阶段后，「实体落点前置、运营深度本地化、合规义务多法域叠加」成为常态。合规不再是某一环节的查漏补缺，而是贯穿投资准入、日常运营、税务筹划、争议解决的连续治理命题。

格律法学院基于这一判断，把分散的单点合规升级为一体化体系，统编出《企业出海 2.0 一体化合规报告》。下面，先用七张图把全报告的骨架和核心判断展开。

——— ◇ ———

一、出海 1.0 → 2.0：形态变了，规则也变了

图 1 ｜ 出海 1.0 到 2.0 的形态变化与合规逻辑转变

两套规则在多数场景下叠加并行，而非择一适用。例如一笔对美半导体领域的并购：需要同时过中国 ODI 三线审批、美国 CFIUS 国家安全审查、经营者集中申报，并预置出口管制与数据合规边界。任何一个环节失守，都可能让整笔交易卡壳甚至失败。

——— ◇ ———

二、三项统领性判断：改写出海合规的触发逻辑

图 2 ｜ 三项统领性判断 · 贯穿全报告、落在每一章每一节

贯穿全报告的，是三项改写触发逻辑的统领性判断：

· 远程访问即传输：监管口径已转向——境外主体对境内数据的远程可读、可调取，本身即构成跨境提供。「境内留存 + 境外可读」的架构，必须按出境规则补齐机制。

· 本地化≠ 跨境限制：强制本地化只解决「数据放在哪」，不解除「谁能读」的问题。本地化数据被境外远程访问，仍触发跨境义务。

· CSDDD / CSRD 涓滴效应：即便中企自身未达欧盟层级门槛，也会经大客户采购合同与价值链尽调被间接纳入。「简化」不等于「免责」。

——— ◇ ———

三、数据出境三路径：2024 规定之后的真实门槛

图 3 ｜ 数据出境三路径门槛（依据《促进和规范数据跨境流动规定》2024-03-22）

依据《促进和规范数据跨境流动规定》（2024-03-22 施行），按当年累计出境人数——

· 非敏感 < 10 万 且非 CIIO 非重要数据 → 自由流动豁免

· 非敏感 10 万–100 万 / 敏感 < 1 万 → 标准合同（SCC）/ 认证

· 非敏感≥ 100 万 / 敏感 ≥ 1 万 / 重要数据 / CIIO → 安全评估

「重要数据」和「CIIO」的认定带有行业化、动态化特征。不确定时，应取「就高不就低」的保守合规，先按安全评估申报——滴滴案的「拒不履行审查义务」教训就在眼前。

还要强调两项改写触发逻辑的判断：跨境传输的认定不再以「物理存储位置」为限，远程访问同样构成传输；DPF（欧美数据隐私框架）脆弱性已被多次警示，须备 SCC + 传输影响评估 + 补充措施的「B 计划」。

——— ◇ ———

四、未来三年硬时间线：错过即违规

图 4 ｜ 出海企业未来三年关键合规节点（制裁 / 数据 / ESG / 税务 全口径）

Omnibus 的「推迟」不等于「免责」。排放、供应链、人权尽调的数据底座仍须保留——CBAM 首报 2027-09-30、CSDDD 适用 2029-07-26 就在眼前。

——— ◇ ———

五、一体化合规五层框架：把单点合规升级为体系 

图 5 ｜ 一体化合规五层落地框架 · 八章规则收敛为一条主线

八章规则最终收敛为五层结构：

· 治理：CCO + 跨境合规委员会，董事会设合规问责；中国法遵从（含阻断法）列为不可逾越底线。

· 识别：多法域触发表覆盖八维（ODI / FDI / 出口管制 / 数据 / IP / 用工 ESG / 税务 / 争议），嵌入交易第零日。

· 管控：制裁筛查红旗 / 数据三路径 / FTO / 间接转让预检 / 供应链尽调，嵌入业务系统。

· 监测：清单每周更新、ESG 节点预警、支柱二与 CSDDD 立法跟踪，月度合规态势。

· 应急：黄金窗口表 + 证据固化清单 + 律师特权安排，预设制裁冲突豁免申请与争议管辖。

底层逻辑是：以统一数据底座 + 可配置决策流程承载多法域规则。规则更新只需在底座上更新节点，无须重构整个合规部门。

——— ◇ ———

六、六条主线共用一张数据底座 

图 6 ｜ 六条合规主线 + 多法域口径差异地图

出海合规的难度还在于——同一事实在不同法域常被给出不同定性。报告中以「口径差异地图」反复提示这些张力点：

· 远程访问：中欧认定为传输，美国 FDP / 州法存差异；

· 本地化：俄、越强制境内存储，欧盟以行业法切割，美国联邦无统一个人信息法；

· 强迫劳动：UFLPA 以可反驳推定将举证责任倒置给进口商，CSDDD / LkSG 以尽职调查义务前置；

· 合理商业目的：中国 TCI 案以「实质重于形式」否定中间层，但各国证明标准与举证责任分配不同。

结论是：架构设计阶段即须预置「多法域兼容」方案——同一批「供应商—物料—技术」事实要被多套规则反复使用、口径必须一致。

——— ◇ ———

七、典型判例速览

报告中提炼了 11 起典型案例的裁判规则，覆盖不同合规主线：

· 中兴通讯案：违反 EAR/OFAC 的直接后果，是行政罚款、刑事罚金、拒绝令与强制合规监管，且常附「高管解聘、董事会改组、独立合规协调员」等结构性救济。

· 滴滴案：80.26 亿元罚款明确传递了「拒不履行审查义务」的代价。

· 王致和诉德国欧凯公司：中企以在先权利（著作权 / 在先使用知名度 / 不正当竞争）主张撤销，证明完全可以在外国法院以原告身份胜诉。

· 华为诉康文森（2019 最高法知民终 732-734 号）：中国法院首次通过禁诉令 / 禁执令保护本国诉讼利益，按日 100 万元人民币计罚。

· TCI 诉杭州市西湖区国税局（2016 最高法行申 1867 号）：中间层公司在避税地无实质经营、交易无合理商业目的，税务机关可否定中间层就间接转让中国应税财产所得征税（10%，补税约 1.05 亿元）。

· 平安人寿 / 平安保险诉比利时王国（ICSID ARB/12/29）：新旧 BIT 衔接的属时管辖「黑洞」决定成败。

· 北京城建诉也门（ICSID ARB/14/30）：中国国企可凭「商业运作、非政府职权」身份获 ICSID 管辖权。

· 同方威视首案（2026.05）：国家层面首次依《反外国不当域外管辖条例》第 3、6 条识别 + 阻断欧盟 FSR 调查做法。

每一案都对应一组可复用的合规要点。

——— ◇ ———

八、关于这份付费报告 

图 7 ｜ 《企业出海 2.0 一体化合规报告》· 公众号付费报告

格律法学院把分散在 8 章里的实体与程序规则、11 起典型判例、5 大一体化框架、四份附录工具，统编成《企业出海 2.0 一体化合规报告》。

报告包含：

· 8 章 实体 + 程序规则，覆盖交易第零日 → 危机黄金窗口；

· 4 份 附录：自查清单（可勾选）/ 实务工具包 / 规范索引 / 内训建议；

· 28 页 内训版讲义，分部门课时建议（法务/合规→管制数据争议，财税→税务，HR/供应链→用工 ESG，投资/战略→准入与实体）；

· 关键合规时间线 + 量化门槛对照 + 多法域口径差异地图。

· 总字数：3万字

适用于：

· 企业内部合规学习、管理层汇报、专项培训讲义；

· 法务、财税、HR、供应链、投资各条线的日常对照与风险排查。

注：AI参与编辑，信息准确性请使用者核查

获取方式