企业境外经营合规管理指引

你在境外经营里最常卡住的不是「有没有规定」，而是抓不到重点：一堆条文先看哪条、哪些要求必须落到流程和文档上、出事时手里有没有能自证的东西。这篇按速查指南的结构梳理，先给章节骨架与每章要讲清的问题，再给落地顺序和留证清单，具体数字与口径到站内对应页面核对。

你在境外经营里最常卡住的不是「有没有规定」，而是抓不到重点：一堆条文先看哪条、哪些要求必须落到流程和文档上、出事时手里有没有能自证的东西。这份指引看着像法条合集，其实是给法务用的作业清单——它关心的是你有没有把要求拆进流程、有没有留下痕迹。

这篇按速查指南的结构走：先给章节骨架，再给落地顺序和留证清单。所有涉及数字和口径的地方，都去站内对应页面核对当时的版本，别拿旧口径当结论。

先划范围：哪些主体、哪些业务被这份指引罩住

第一件事不是读条文，是判断自己到底属于哪一档。同一个集团下，境外子公司、分支机构、项目部、代表处被要求到的程度完全不同：有独立法人的实体通常要求最全，代表处和项目部很多条款只是参考。先做勾选，再逐条读，效率差很多。

• 按主体拆：境外子公司、分支机构、项目部、代表处，各自被要求到什么程度
• 按业务拆：投资并购、工程承包、日常贸易、数据与人员跨境，四类触发点各不相同
• 不适用的情况要写清：只做境内生产、境外仅收汇不落地经营时，很多条款只是参考不是硬约束
• 把「本企业属于哪一档」做成一张勾选表，比逐条读条文快得多

核心义务对照表：从制度、人员、流程到文档

指引的落脚点可以归成四层：制度、人员、流程、文档。四层缺一层，事后举证就会卡住。做法是先把每层对应的交付物列出来，再倒推谁负责、什么时候交。

制度层

合规管理办法、行为准则、举报与问责办法，要能拿出正式发布版本

人员层

合规负责人、境外机构合规岗、外部顾问的职责边界，别把责任全压在一个人身上

流程层

重大决策合规审查、第三方尽调、合同前置审核、异常上报，节点要能落到具体岗位

文档层

审查记录、尽调报告、培训签到、上报台账，缺哪类就在事后举证时吃亏

判断标准很实在：随便抽一笔境外业务，能不能在半天内凑齐这四层对应的文件。凑不齐，说明制度还停在纸面。具体要准备哪些模板和清单，可以去站内企业合规管理体系相关页面核对。

多法域叠加时怎么排优先级

出海企业最容易踩的坑不是「没有规定」，而是四层规定同时压过来：经营地法律、注册地法律、母公司所在地要求、客户与银行的合同约束。排优先级之前先把清单列全，列不全就谈不上取舍。

1. 列全四层清单按经营地、注册地、母公司所在地、合同约束各列一栏，逐条写下来源和适用条件
2. 标冲突点同一件事两层要求不同就标出来，比如数据留存期限、文件披露范围
3. 按从严者优先冲突时原则上选更严的一方，同时在内部备注里写清为什么这么选，别只留结论
4. 按风险高低排序先处理会直接导致停业、账户冻结、人员被限制的那类，而不是按条文顺序

落地顺序：从哪一步开始，谁签字

推荐顺序是：现状盘点 → 风险识别清单 → 制度起草 → 流程嵌入系统 → 培训与考核 → 定期评估。每一步都要定责任人和验收标准，法务牵头、业务配合、财务与人事在各自节点签字。小团队可以合并步骤，但风险识别清单和审查留痕这两步不能省。

评估频率和触发条件必须写进制度，别只写「定期」。临时触发条件通常包括新增法域、重大合同、监管问询、人员变动，具体节奏可以参考站内数据安全风险评估频率类页面。

留证与上报：出事前先想好拿什么证明

留证不是事后补，是事前设计。常规留证四件套：制度签收记录、培训记录、单笔业务的合规审查记录、第三方尽调底稿。这四样凑齐，面对监管问询时基本能自证已尽合理注意。

• 触发上报的条件和时限写进流程卡，避免临场争论「算不算大事」
• 跨境传文件、发数据前先过一遍本地要求，口径去站内数据出境与个人信息相关页面核对
• 制度改版要留版本记录：改了几版、改了什么、谁批的
• 每季度抽查一次留证完整性，比年底集中补材料省力得多

合规做得好不好，不看制度写得多漂亮，看随便抽一笔业务能不能半天内凑齐证据链。