Compliance Review

---
id: compliance-review
name: 合规审查
description: 合规审查：对企业经营行为、合同条款、数据合规、劳动用工等事项进行法律合规分析
---

# 合规审查

## 概述

| 项目 | 内容 |
|------|------|
| **能力名称** | 合规审查 |
| **核心功能** | 对企业经营行为、合同条款、数据合规、劳动用工等事项进行系统性法律合规分析 |
| **适用领域** | 企业合规管理、数据合规、劳动用工合规、反垄断/反不正当竞争、行业监管合规、国际贸易合规 |
| **审查类型** | 合同合规审查、经营行为合规审查、制度合规审查、产品合规审查、项目合规审查 |
| **关键原则** | 全面性、针对性、可操作性、风险导向 |

## 法律声明

> **重要提示：** 本技能提供的合规审查分析为辅助性专业意见，不构成正式法律意见或合规保证。使用者应注意：
> 1. 不同行业的监管要求差异较大，审查标准需结合实际行业情况调整
> 2. 法律法规处于动态更新中，引用的规范应在使用时核实其现行有效性
> 3. 合规审查结论不代表监管机构的最终认定
> 4. 涉及重大合规风险的，建议聘请专业律师或合规顾问进行深度审查
> 5. 跨法域的合规问题需要特别关注法域冲突和适用规则

## 一、核心概念体系

### 1.1 合规风险的类型

| 风险类型 | 主要内容 | 典型场景 |
|----------|---------|---------|
| **行政监管风险** | 违反行政法规导致行政处罚、责令整改、吊销许可 | 未经审批经营许可业务、未履行数据安全义务 |
| **刑事合规风险** | 行为涉嫌犯罪，面临刑事追究 | 商业贿赂、侵犯公民个人信息、洗钱 |
| **民事合规风险** | 违反法律强制性规定导致合同无效、赔偿损失 | 违反强制性条款的合同效力问题 |
| **声誉风险** | 违规行为导致品牌声誉受损、客户流失 | 数据泄露事件、环保违规曝光 |
| **国际制裁风险** | 违反国际制裁或出口管制规定 | 与被制裁实体交易、技术出口违规 |

### 1.2 合规审查的核心维度

| 审查维度 | 审查要点 | 法律依据 |
|----------|---------|---------|
| **主体资格合规** | 营业执照范围、行政许可、资质证书、外商投资限制 | 《公司法》《市场主体登记管理条例》 |
| **业务合规** | 业务模式合法性、行业准入条件、特殊监管要求 | 各行业专门法规 |
| **合同合规** | 合同条款是否符合法律规定、是否存在无效或可撤销情形 | 《民法典》合同编 |
| **数据合规** | 数据收集/使用/存储/传输合规、个人信息保护、数据出境 | 《个人信息保护法》《数据安全法》 |
| **劳动用工合规** | 劳动合同、社保缴纳、加班工资、竞业限制、裁员合规 | 《劳动法》《劳动合同法》 |
| **知识产权合规** | 商标/专利/著作权合规使用、技术许可合规 | 《商标法》《专利法》《著作权法》 |
| **反垄断/反不正当竞争** | 垄断协议、滥用市场支配地位、经营者集中申报 | 《反垄断法》《反不正当竞争法》 |
| **环境保护合规** | 环评审批、排污许可、环境应急预案 | 《环境保护法》 |
| **财务税务合规** | 税务申报、发票管理、跨境资金流动合规 | 《税收征收管理法》《外汇管理条例》 |
| **反腐败/反商业贿赂** | 反贿赂制度、利益冲突管理、第三方尽职调查 | 《刑法》《反不正当竞争法》 |

### 1.3 合规审查框架

合规审查应当遵循系统化的框架，按层次递进进行：

第一层是合规环境扫描，需要确定适用的法律框架，根据企业所处行业、业务类型和经营地域，整理适用的法律法规清单。同时需要分析行业监管机构的监管要求和执法重点，关注最新的监管动态和处罚案例，识别当前的高风险领域。

第二层是合规差距分析，审查企业现有的合规制度和流程是否完整，审查实际业务操作是否与合规要求一致，审查合同条款是否符合法律要求和监管标准，最终梳理出现有状态与合规要求之间的差距。

第三层是风险评估与定级，评估违规行为发生的可能性和影响程度，综合两者进行风险评级，按风险等级进行排序，确定优先处理的风险事项。

第四层是整改建议与方案，针对各项合规风险提出具体的整改措施，包括制度整改、流程优化、合同修改、人员培训和应急预案等，形成合规路线图。

## 二、操作步骤

### 2.1 第一步：合规环境扫描

首先确定适用的法律框架。根据企业所处行业、业务类型、经营地域，确定适用的法律法规清单，包括法律、行政法规、部门规章、行业标准、监管指引等不同层级的规范。然后梳理监管要求，整理行业监管机构的最新监管要求、指引文件和执法重点方向。分析执法趋势，了解近期监管机构对类似企业的处罚案例，把握执法尺度和关注重点。最后识别高风险领域，根据行业特点和近期监管动态，初步确定合规审查的重点领域和关注事项。

### 2.2 第二步：合规差距分析

审查现有制度，检查企业现有的合规管理制度、操作流程、内部控制机制是否建立健全，是否覆盖了所有合规风险点。审查业务实践，通过实地走访、流程访谈、文件抽查等方式，了解实际业务操作是否与制度要求一致，是否存在制度与执行脱节的情况。审查合同条款，检查企业与客户、供应商、合作伙伴签订的合同是否包含必要的合规条款，是否存在违反法律强制性规定的条款。最后识别差距，系统梳理现有状态与合规要求之间的差距，形成差距分析清单。

### 2.3 第三步：风险评估

可能性评估，结合行业特点、企业规模、过往记录等因素，评估各类违规行为发生的可能性，分为低、中、高三个等级。影响评估，评估违规行为如果发生可能产生的影响程度，包括行政处罚金额、民事赔偿、刑事追责、声誉损失等，分为轻微、一般、严重三个等级。综合评级，将可能性和影响程度进行组合，形成综合风险评级（R01至R09共九个等级）。风险排序，按综合评级从高到低对风险进行排序，确定优先处理的风险事项。

### 2.4 第四步：合规审查结论与建议

形成审查结论，明确各项合规审查事项的现状，是否存在违规情形、违规的性质和严重程度。提出整改方案，针对各项风险提出具体的整改措施，明确整改责任部门、整改时限和预期效果。确定优先级，按风险等级确定整改的优先顺序，分为紧急整改（P1）、重要整改（P2）、一般整改（P3）三个优先级。出具审查报告，形成规范化的合规审查报告，包括审查概况、审查发现、风险矩阵、整改建议和合规路线图等部分。

## 三、输出格式

合规审查报告的基本结构应当包括以下组成部分：

审查概况部分列明审查对象、审查范围、审查期间和审查依据等基本信息。审查发现部分按风险点逐一展开，每个风险点应当包括风险等级、发现描述、合规要求和差距分析等要素。风险矩阵部分以表格形式汇总所有风险点，标注风险等级和优先级。整改建议部分按优先级排列具体的整改措施，包括操作说明、责任部门和预期完成时间。合规路线图部分将整改措施按时间维度进行规划，分为短期、中期和长期三个阶段。

### 3.1 风险矩阵示例

风险矩阵应以表格形式呈现，列明每个风险点的编号、名称、发生可能性、影响程度、综合评级和整改优先级。综合评级采用三级制：高风险（红色预警）、中风险（黄色预警）、低风险（蓝色提示）。整改优先级分为P1（紧急整改，需立即采取措施）、P2（重要整改，需在合理期限内完成）、P3（一般整改，在常规整改周期内完成）。

## 四、重点合规领域审查要点

### 4.1 数据合规

数据合规是当前监管的重点领域，需要从数据收集、使用、存储、传输、删除等全生命周期进行审查。在个人信息收集环节，需要审查是否履行了告知同意义务，是否遵循最小必要原则，收集目的是否明确具体。在个人信息使用环节，需要审查是否在约定范围内使用个人信息，是否存在超范围使用的违规行为。在数据跨境传输环节，需要审查是否依法进行了安全评估，是否签订了标准合同或通过了专业认证。在数据安全保护环节，需要审查是否建立了等级保护制度，是否制定了安全管理制度和操作规程。在数据删除和销毁环节，需要审查是否明确了数据存储期限，是否建立了数据删除机制。

### 4.2 劳动用工合规

劳动用工合规涉及劳动合同管理、社保缴纳、加班管理、竞业限制、裁员解雇等多个方面。在劳动合同管理方面，需要审查是否与所有员工签订了书面劳动合同，合同是否包含法定必备条款。在社保缴纳方面，需要审查是否按时足额为员工缴纳五险一金。在加班管理方面，需要审查加班费是否按规定计算和支付，是否建立了合法有效的工时管理制度。在竞业限制方面，需要审查竞业限制协议的范围是否合理、补偿金是否达到法定标准。在裁员和解雇方面，需要审查是否履行了法定程序，是否依法支付了经济补偿。

### 4.3 反商业贿赂合规

反商业贿赂合规需要关注礼品招待政策、第三方管理、政府关系和利益冲突管理等方面。礼品和招待政策应当合理透明，建立审批和记录制度。第三方管理应当进行尽职调查，在合作协议中加入反贿赂合规条款。政府关系应当保持合法合规的交往，避免任何可能构成贿赂的行为。利益冲突管理应当建立申报制度和回避机制，确保员工在利益冲突时如实申报。

## 五、质量检查清单

审查范围检查：已确定适用的法律法规框架，已覆盖所有相关业务领域，已考虑行业特殊监管要求，已考虑跨法域合规问题。审查过程检查：审查对象的相关资料已收集齐全，对关键合规问题进行了深入分析，已参考最新的监管动态和执法案例，审查程序和方法适当。审查结论检查：合规风险已识别完整，风险评级合理，整改建议具有可操作性，整改优先级排序合理。报告质量检查：格式规范、逻辑清晰，法律依据引用准确，表述严谨、结论明确，措辞适当、风险提示到位。

## 六、关联技能

| 关联技能 | 关系 | 说明 |
|----------|------|------|
| 法律研究 | 上游 | 合规审查需要先进行法律检索 |
| 合同风险审查 | 并行 | 合同中的合规风险审查 |
| 尽职调查 | 并行 | 并购项目中的合规尽职调查 |
| 风险评估 | 下游 | 合规审查结论支持风险评估 |
| 数据合规 | 专门领域 | 数据合规审查的专项深化 |

## 七、局限性

本技能提供的合规审查分析存在以下局限性：第一，法律法规持续更新，审查结论可能存在时效限制，用户应当在适用时核实法律依据的现行有效性。第二，不同地区、不同执法机构对同一规定可能有不同的理解和执行标准，审查结论不能替代具体执法机构的判断。第三，各行业监管要求差异大，本通用审查框架可能无法覆盖所有行业的特殊监管要求，用户应当结合行业特点进行调整。第四，部分合规风险等级的判断涉及主观因素，不同审查者可能有不同的风险判断结论。第五，审查质量严重依赖于提供的信息的完整性和真实性，信息缺失可能导致风险遗漏。