2026年合规试题及答案

2026年合规试题及答案一、单项选择题（共20题，每题1分。每题只有一个正确选项，请将正确选项的代码填入括号内）1.在企业合规管理体系建设中，通常被定义为“第一道防线”的部门是（）。A.内部审计部门B.业务部门C.合规管理部门D.监事会2.根据《中华人民共和国个人信息保护法》，处理个人信息应当遵循合法、正当、必要和（）原则。A.公开透明B.诚信原则C.不得误导D.限于最小范围3.关于合规风险的定义，下列说法最准确的是（）。A.企业因未遵守法律、法规、规则、准则和适用标准而可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。B.企业因经营决策失误导致的市场风险。C.企业因内部员工舞弊导致的操作风险。D.企业因宏观经济波动导致的财务风险。4.在反洗钱合规管理中，对于高风险客户或复杂交易，金融机构应当采取的措施是（）。A.简化尽职调查B.强化尽职调查C.回绝业务办理D.仅上报管理层5.2026年合规管理趋势中，针对人工智能（AI）算法的合规要求，核心关注点不包括（）。A.算法的透明度与可解释性B.算法歧视与公平性C.算法的高效性D.数据来源的合法性6.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度。其中，对核心数据实行（）。A.自主保护B.严格保护C.重点保护D.一般保护7.合规管理委员会通常由谁担任主任？（）A.首席合规官B.董事长C.总经理D.首席财务官8.下列哪项不属于ISO37301合规管理体系标准中的PDCA循环环节？（）A.策划B.实施C.检查D.处罚9.在跨境数据传输合规中，根据中国相关规定，达到一定数量级别的个人信息处理者向境外提供个人信息，应当通过（）。A.口头告知B.企业自行签署协议C.国家网信部门组织的安全评估D.仅需进行个人信息保护影响评估10.企业合规管理体系有效性评价的核心要素是（）。A.合规手册的厚度B.合规部门的规模C.合规目标的达成情况及风险防控能力D.合规培训的次数11.关于商业贿赂的合规红线，下列行为中可能被认定为违规的是（）。A.赠送小额广告礼品B.为促成交易支付回扣给对方单位员工C.正常的商业折扣且如实入账D.赞助公开的体育赛事12.员工举报合规违规行为后，企业应当采取的首要措施是（）。A.立即开除举报人B.严格保密并开展调查C.公开举报内容以示警醒D.通知被举报人进行辩解13.在第三方合规管理中，尽职调查的重点通常不包括（）。A.第三方的经营资质B.第三方的股权结构C.第三方员工的个人爱好D.第三方的合规记录14.根据《中华人民共和国反垄断法》，禁止具有市场支配地位的经营者从事下列哪种行为？（）A.降低商品价格B.改进技术提高效率C.以不公平的高价销售商品D.开发新产品15.合规培训中，针对全员的基础培训频率建议为（）。A.仅入职时培训一次B.每年至少一次C.每三年一次D.仅在发生违规事件后培训16.企业在制定合规政策时，其效力层级最高的是（）。A.合规指引B.合规手册C.合规管理制度D.合规宣言17.关于合规与法律的关系，下列描述错误的是（）。A.合规的外延比法律更广，包括行业准则、道德规范B.合规是法律在企业内部的落地C.合规完全等同于法律遵从D.合规管理具有主动性和预防性18.在ESG（环境、社会和治理）合规中，“G”主要指的是（）。A.气候变化应对B.员工权益保护C.公司治理结构D.社区公益投入19.当法律法规与企业内部合规制度发生冲突时，应当（）。A.优先适用企业内部制度B.优先适用法律法规C.由总经理决定D.视情况而定20.合规审计的主要目的是（）。A.增加企业利润B.评价合规管理体系的设计和运行有效性C.替代业务部门的工作D.处罚违规员工二、多项选择题（共15题，每题2分。每题有两个或两个以上正确选项，多选、少选、错选均不得分，请将正确选项的代码填入括号内）1.建立有效的合规管理体系，通常应具备的要素包括（）。A.合规方针与目标B.合理的组织架构与职责分配C.全面的风险识别与评估机制D.持续的监督与改进机制2.根据《中华人民共和国个人信息保护法》，处理敏感个人信息应当取得个人的（）。A.书面同意B.单独同意C.口头同意D.默认同意3.企业在面临监管机构现场检查时，正确的应对措施包括（）。A.确认执法人员身份及执法证件B.指定专人陪同对接C.如实提供相关文件资料D.隐瞒销毁关键证据4.合规文化建设的关键举措有（）。A.高管层率先垂范B.将合规纳入绩效考核C.建立合规举报机制D.定期开展合规案例警示教育5.下列哪些情形属于违反反洗钱规定的行为？（）A.为身份不明的客户提供服务B.伪造交易记录C.未按规定保存客户身份资料D.及时报告大额交易6.关于数据出境合规，企业可以采取的合规路径包括（）。A.通过国家网信部门的安全评估B.订立标准合同并备案C.通过专业机构进行的个人信息保护认证D.自行评估并记录7.合规风险评估的常用方法包括（）。A.问卷调查法B.流程分析法C.穿行测试法D.头脑风暴法8.企业在采购环节的合规风险点主要集中在（）。A.供应商准入审核不严B.招标过程暗箱操作C.收受商业贿赂D.签订阴阳合同9.下列哪些文件属于企业合规管理的“软法”范畴？（）A.国际商业惯例B.行业自律准则C.商业道德规范D.刑法10.首席合规官（CCO）的主要职责通常包括（）。A.领导合规管理部门B.协调各业务部门合规工作C.对重大合规决策拥有一票否决权D.直接承担所有业务违规的法律责任11.员工在处理利益冲突时，应当采取的行动是（）。A.主动申报利益冲突事项B.回避相关决策C.利用内幕信息谋取私利D.隐瞒关联关系12.关于合规问责，下列说法正确的有（）。A.应坚持违规必究原则B.处罚措施应与违规程度相匹配C.问责程序应公正透明D.仅追究直接责任人员，不追究管理人员责任13.在广告宣传合规中，禁止使用的词汇包括（）。A.国家级B.最高级C.最佳D.专供14.企业进行合规管理体系认证（如ISO37301）的意义在于（）。A.证明企业符合国际标准B.减少监管处罚的可能性C.作为行政和解或量刑合规的依据D.提升品牌声誉15.面对新兴的生成式人工智能应用，企业应重点关注的合规领域包括（）。A.知识产权侵权风险B.生成内容的虚假信息风险C.数据隐私泄露风险D.算法黑箱与伦理风险三、判断题（共15题，每题1分。请判断下列说法的正误，正确的选“A”，错误的选“B”）1.合规管理仅仅是合规管理部门的职责，与其他部门无关。（）2.只要企业行为没有违反法律法规，就不存在合规风险。（）3.企业可以为了商业利益，在内部制度中设定低于法律标准的合规要求。（）4.“实质重于形式”是合规判断的重要原则之一。（）5.企业在进行并购重组时，不需要对目标企业进行合规尽职调查。（）6.员工在工作时间之外的私人行为，如果与职务无关，企业无需承担合规责任。（）7.合规管理应当具有独立性，合规部门不应受业务部门的业绩压力影响。（）8.所有的合规风险都可以通过购买保险完全转移。（）9.企业留存的中国境内个人信息，即使不向境外提供，也不受《数据安全法》约束。（）10.反垄断合规主要关注价格垄断，滥用行政权力排除限制竞争不属于企业合规范畴。（）11.合规培训必须留有记录，以备监管部门检查。（）12.企业的合规口号和宣传语可以替代具体的合规管理制度。（）13.对于已经发现的违规行为，企业应当及时采取补救措施，防止损失扩大。（）14.上市公司合规管理中，内幕信息知情人登记管理是核心环节之一。（）15.合规管理体系一旦建立，就无需再进行修改和调整。（）四、填空题（共10题，每题1分。请将答案写在横线上）1.国际标准化组织发布的《合规管理体系要求及使用指南》的标准编号是________。2.在我国合规管理实践中，通常将________、________和________称为合规管理的“三道防线”。3.《中华人民共和国反不正当竞争法》规定，经营者不得采用财物或者其他手段贿赂下列单位或者个人，以谋取交易机会或者竞争优势：（一）交易相对方的工作人员；（二）受交易相对方委托办理相关事务的单位或者个人；（三）________；（四）利用职权或者影响力影响交易的单位或者个人。4.个人信息处理者处理个人信息，有下列情形之一的，应当向个人告知处理目的、处理方式、处理信息的种类以及保存期限等事项：除订立、履行合同所必需或履行法定职责义务外，________。5.企业合规整改的有效性评估中，________是检验合规制度是否落地的关键环节。6.根据GB/T35770-2022/ISO37301:2021，领导力和承诺是合规管理体系成功的关键，________必须对合规管理体系的开发和实施负责，并确保其持续有效。7.在出口管制合规中，企业需要建立________制度，筛查受控物项和受控用户。8.合规风险评估的维度通常包括________和________。9.企业的合规管理报告通常应报送________，并由其审议。10.针对网络安全等级保护制度，第二级以上网络运营者应当在网络安全等级保护定级、备案、测评整改后，向________备案。五、简答题（共5题，每题5分）1.简述合规管理与企业风险管理（ERM）之间的关系。2.根据《中华人民共和国反垄断法》，企业应如何建立反垄断合规风险识别机制？3.简述在数据合规中，个人信息处理者的主要法定义务。4.什么是“利益冲突”？请列举企业中常见的三种利益冲突类型。5.简述合规管理部门在合规管理体系建设中的核心职能。六、案例分析题（共2题，每题15分）1.【案例背景】A公司是一家大型跨国科技企业，2025年因旗下AI产品在未获得用户明确同意的情况下，违规收集并使用用户面部识别数据训练算法，被当地监管部门处以巨额罚款并责令整改。2026年初，A公司决定全面升级合规管理体系。【问题】(1)根据相关法律法规，A公司主要违反了个人信息保护领域的哪些合规义务？（5分）(2)A公司在进行AI算法合规整改时，应重点关注哪些方面？（5分）(3)如果A公司计划将该AI产品投放至欧盟市场，除了中国法律外，还需考虑哪些合规要求？请简述其核心内容。（5分）2.【案例背景】B公司是一家从事医疗器械生产与销售的企业。为了提高销售额，销售总监张某授手下销售员在参加医院招标过程中，以“科研赞助费”的名义向医院科室主任支付现金，共计50万元。同时，B公司在采购原材料时，采购经理李某未按规定进行三家比价，直接向其亲属控股的公司高价采购低质材料，导致公司损失20万元。后经内部举报，公司合规部介入调查。【问题】(1)张某的行为构成了什么性质的合规风险？请结合《中华人民共和国刑法》及相关商业贿赂法律进行分析。（5分）(2)李某的行为违反了企业内部控制的哪些原则？属于何种类型的违规？（4分）(3)作为B公司的合规官，针对上述暴露出的问题，应提出哪些具体的整改措施？（6分）七、综合应用题（共1题，20分）【场景】C集团是一家综合型企业集团，业务涵盖金融、房地产、进出口贸易及互联网服务。随着业务扩张和监管环境趋严，集团董事会决定在2026年构建符合ISO37301标准且适应中国监管要求的合规管理体系。目前集团合规基础薄弱，各子公司合规政策不一，缺乏统一的合规文化，且近期发生了多起数据泄露和合同纠纷事件。【任务】请你作为C集团聘请的首席合规顾问，起草一份《C集团合规管理体系建设实施方案（纲要）》。方案应至少包含以下内容：1.合理设计合规管理组织架构，明确各层级（董事会、合规委员会、首席合规官、合规部、业务部门）的职责。（6分）2.制定合规管理体系建设的主要实施步骤（至少分四个阶段）。（6分）3.针对集团金融、互联网业务板块，提出专项合规风险管控的重点领域及措施。（4分）4.设计合规文化落地的具体机制。（4分）以下为答案及解析------------------------一、单项选择题答案及解析1.【答案】B【解析】在合规管理“三道防线”模型中，第一道防线是业务部门，他们对业务合规负首要责任；第二道防线是合规、风控等职能部门；第三道防线是内部审计部门。2.【答案】B【解析】根据《个人信息保护法》第五条，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。不得通过误导、欺诈、胁迫等方式处理个人信息。虽然“限于最小范围”也是要求，但法条原文中常概括的核心原则组合中，B选项“诚信原则”常被引用。注：若严格依据《个人信息保护法》第5条原文“必要原则”是核心，但本题考查整体原则体系，通常包括合法、正当、必要和诚信。3.【答案】A【解析】合规风险特指因未遵循法律法规、监管要求、规则、自律性组织制定的准则，以及适用于企业自身行为规范的准则，而可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险。4.【答案】B【解析】根据反洗钱相关规定，对于高风险客户或复杂交易，金融机构必须采取强化尽职调查措施，以核实客户身份和交易目的。5.【答案】C【解析】AI算法合规关注伦理、法律和安全，如透明度、公平性、数据合法性。算法的高效性是技术指标，而非合规风险管控的核心关注点。6.【答案】B【解析】根据《数据安全法》第二十一条，国家建立数据分类分级保护制度，对核心数据实行严格保护，对重要数据实行重点保护。7.【答案】B【解析】合规管理委员会通常隶属于董事会，由董事长担任主任，以保证合规管理的权威性和高层推动力。8.【答案】D【解析】PDCA循环包括Plan（策划）、Do（实施）、Check（检查）、Act（改进/处置）。“处罚”是改进环节中的一种手段，不是PDCA循环本身的环节名称。9.【答案】C【解析】根据《数据出境安全评估办法》，关键信息基础设施运营者（CIIO）或处理100万人以上个人信息的数据处理者向境外提供个人信息，必须通过国家网信部门的安全评估。10.【答案】C【解析】合规管理的有效性不在于形式（如手册厚度、人数），而在于实质效果，即合规目标的达成和风险防控能力的提升。11.【答案】B【解析】支付回账给对方单位员工属于典型的商业贿赂行为，即使是为了促成交易也是违规的。A选项小额礼品若符合商业惯例且未影响公正交易通常允许；C选项如实入账的商业折扣合法；D选项公开赞助通常合法。12.【答案】B【解析】保护举报人是合规举报机制的核心，必须严格保密，并据此开展客观调查，防止打击报复。13.【答案】C【解析】第三方尽职调查关注其商业信誉、合规记录、资质等关联风险，员工个人爱好通常不作为合规尽调的重点，除非涉及特定高风险背景。14.【答案】C【解析】根据《反垄断法》，禁止具有市场支配地位的经营者以不公平的高价销售商品或者以不公平的低价购买商品。15.【答案】B【解析】合规培训应常态化，针对全员的基础合规培训建议每年至少一次，以强化记忆和适应新规。16.【答案】B【解析】合规手册是纲领性文件，效力通常最高。合规宣言是口号，指引和制度是具体操作文件。17.【答案】C【解析】合规不仅包括遵守法律法规（硬合规），还包括遵守行业准则、内部规章、商业道德（软合规），因此合规完全等同于法律遵从是错误的。18.【答案】C【解析】ESG中，E代表环境，S代表社会，G代表治理（Governance），即公司治理结构。19.【答案】B【解析】法律法规是强制性的底线标准，企业内部制度不得与法律法规相抵触。若冲突，必须优先适用法律法规，并立即修订内部制度。20.【答案】B【解析】合规审计的目的是独立评价合规管理体系的设计和运行是否有效，是否能够防范合规风险。二、多项选择题答案及解析1.【答案】ABCD【解析】完整的合规管理体系应包括方针目标、组织架构、风险机制、监督改进等所有基本要素。2.【答案】B【解析】根据《个人信息保护法》，处理敏感个人信息应当取得个人的单独同意。3.【答案】ABC【解析】面对监管检查，企业应配合执法，确认身份、指定专人、如实提供资料。隐瞒销毁证据属于违法阻挠，会加重处罚。4.【答案】ABCD【解析】合规文化建设需要领导带头、考核挂钩、举报保障、案例教育等多管齐下。5.【答案】ABC【解析】为身份不明客户服务、伪造记录、未按规定保存资料均违反反洗钱法。及时报告大额交易是义务，不是违规。6.【答案】ABC【解析】目前中国数据出境合规路径主要有：安全评估、标准合同备案、个人信息保护认证。D选项自行评估不够，需通过上述路径之一。7.【答案】ABCD【解析】问卷调查、流程分析、穿行测试、头脑风暴都是常用的风险识别与评估方法。8.【答案】ABCD【解析】采购环节风险遍布全流程，包括准入、招标、受贿、合同签订等。9.【答案】ABC【解析】“软法”指非强制性的法律规范，如商业惯例、行业准则、道德规范。刑法属于“硬法”。10.【答案】ABC【解析】CCO负责领导合规工作、协调各部门、拥有重大合规否决权。但违规责任应由直接责任人和管理层承担，CCO不承担所有业务违规的直接法律责任。11.【答案】AB【解析】员工应主动申报利益冲突并回避。C和D均属于违规行为。12.【答案】ABC【解析】合规问责应坚持违规必究、过罚相当、程序公正。对于管理失职，也应追究管理人员责任（D错误）。13.【答案】ABC【解析】《广告法》禁止使用“国家级”、“最高级”、“最佳”等绝对化用语。14.【答案】ABCD【解析】合规认证有助于证明合规能力、减少监管风险、作为行政和解依据（如涉案企业合规改革）及提升声誉。15.【答案】ABCD【解析】生成式AI涉及版权侵权、虚假信息、隐私泄露、算法伦理等多重合规挑战。三、判断题答案及解析1.【答案】B【解析】合规管理是全员、全过程的责任，业务部门是第一道防线。2.【答案】B【解析】合规还包括行业准则、道德规范等“软法”，违反这些也会产生合规风险。3.【答案】B【解析】企业内部标准不得低于法律标准，必须严于或等于法律要求。4.【答案】A【解析】合规判断不仅看形式上是否合法，还要看实质上是否规避法律、违背公序良俗。5.【答案】B【解析】并购重组必须进行合规尽职调查，以识别目标企业隐藏的历史违规风险。6.【答案】B【解析】如果私人行为利用了企业资源、内幕信息或对职务廉洁性有影响，企业仍可能承担合规责任。7.【答案】A【解析】独立性是合规管理部门有效履职的前提，必须独立于业务部门。8.【答案】B【解析】保险可以转移部分财务损失风险，但无法转移法律责任（如刑事责任）和声誉损失。9.【答案】B【解析】只要在中国境内收集和处理个人信息，均需遵守中国《数据安全法》和《个人信息保护法》。10.【答案】B【解析】反垄断合规也包括制止滥用行政权力排除限制竞争的行为（虽然针对的是行政机关，但企业需配合，且涉及行政性垄断交易）。11.【答案】A【解析】合规培训留痕是证明企业履行合规教育培训义务的关键证据。12.【答案】B【解析】口号不能替代制度，合规管理需要具体的制度流程支撑。13.【答案】A【解析】及时补救是合规管理中减轻违规后果的重要措施。14.【答案】A【解析】内幕信息管理是上市公司合规的核心内容之一。15.【答案】B【解析】合规管理体系需要动态调整，以适应法律法规变化和业务发展。四、填空题答案及解析1.【答案】ISO373012.【答案】业务部门；合规管理部门；内部审计部门3.【答案】国家机关工作人员4.【答案】未取得个人单独同意5.【答案】合规审计/监督检查6.【答案】最高管理者/董事会7.【答案】黑名单筛查/受控方筛查8.【答案】发生的可能性；影响程度9.【答案】董事会10.【答案】公安机关五、简答题答案及解析1.【答案】合规管理是企业风险管理（ERM）的一个子集，专注于因未遵守法律、规则和标准而产生的风险。(1)合规风险是操作风险的重要组成部分，也是法律风险的核心来源。(2)ERM是一个更广泛的框架，涵盖战略、市场、信用、操作等各类风险，而合规管理侧重于确保企业行为符合外部强制性和内部自愿性规范。(3)有效的合规管理有助于降低企业整体风险水平，是构建全面风险管理体系的基础。2.【答案】企业建立反垄断合规风险识别机制应包括：(1)定期梳理反垄断法律法规及监管动态，更新风险数据库。(2)识别高风险业务场景，如与竞争对手达成垄断协议、滥用市场支配地位、经营者集中申报等。(3)建立事前审查机制，对定价策略、合作协议、并购项目进行反垄断合规审查。(4)关注市场占有率变化，评估是否触发支配地位认定标准。(5)利用信息化手段监测异常交易和沟通记录。3.【答案】个人信息处理者的主要法定义务包括：(1)告知义务：处理前应当真实、准确、完整地告知个人信息处理规则。(2)同意义务：处理个人信息应当取得个人同意，且该同意应当由个人在充分知情的前提下自愿、明确作出。(3)限制处理原则：不得过度收集，采取对个人权益影响最小的方式。(4)保障安全义务：采取必要措施保障个人信息安全，防止泄露、篡改、丢失。(5)合规义务：如进行个人信息保护影响评估（PIA）、合规审计、接受监管等。(6)境外提供义务：符合跨境传输的安全评估、标准合同或认证要求。4.【答案】“利益冲突”是指企业员工的私人利益或外部关系与其对公司的职业义务发生冲突，可能导致员工利益凌驾于公司利益之上的情形。常见的三种类型：(1)交易型利益冲突：员工或其亲属与公司发生交易（如采购、销售）。(2)竞业型利益冲突：员工在职期间兼职于竞争对手或自营同类业务。(3)利用职权型利益冲突：利用公司职务便利为亲友谋取不正当利益（如招聘、提拔）。5.【答案】合规管理部门的核心职能包括：(1)制度建设：起草、修订合规政策和制度。(2)支持决策：为管理层和业务部门提供合规咨询和支持。(3)风险管控：组织开展合规风险识别、评估与预警。(4)监督检查：对业务流程进行合规审查和检查。(5)合规培训：组织全员合规培训。(6)违规处理：牵头组织违规调查，提出处理建议。(7)沟通汇报：与监管机构沟通，向董事会和合规委员会汇报工作。六、案例分析题答案及解析1.【答案】(1)A公司主要违反了：知情同意原则：未获得用户明确同意即收集面部识别信息（敏感个人信息）。目的限制原则：将收集的用户数据用于算法训练，超出了用户授权的范围（除非已明确告知并获得同意）。敏感个人信息处理特别规定：处理面部识别信息需取得单独同意，并进行严格的个人信息保护影响评估。(2)AI算法合规整改重点：数据来源合法性：确保训练数据已获得合法授权，清理无授权数据。算法透明度：向用户公开算法的基本原理和目的。人工干预与复核：建立算法机制审核机制，防止算法决策失控。反歧视与公平性：测试算法是否存在针对特定群体的歧视。用户权利保障：提供拒绝算法推荐、删除相关信息的选项。(3)投放欧盟市场需考虑GDPR（《通用数据保护条例》）及《人工智能法案》：GDPR核心：数据主体权利（访问、删除、携带等）、数据保护官（DPO）设立、数据保护影响评估（DPIA）、跨境传输机制、合法性基础（Consent/LegitimateInterest）。AI法案核心：根据风险等级分类管理（如人脸识别可能属于高风险），进行合规评估、建立高风险AI系统的全生命周期治理、确保技术文档齐全、记录保存。2.【答案】(1)张某的行为构成了商业贿赂风险。分析：张某以“科研赞助费”名义支付现金给医院科室主任，实质是为了谋取交易机会。这违反了《反不正当竞争法》关于商业贿赂的规定。如果金额达到立案标准，可能构成《刑法》中的对非国家工作人员行贿罪（若科室主任为非国家工作人员）或行贿罪（若科室主任为国家工作人员）。该行为属于典型的合规红线违规。(2)李某的行为违反了不相容职务分离和采购流程控制原则。违规类型：属于关联交易违规和利益冲突违规。李某未回避，利用职权向亲属控股公司高价采购，损害了公司利益。(3)整改措施：严肃问责：依据公司制度对张某、李某进行严肃处理（解除劳动合同、追偿损失），涉嫌犯罪的移送司法机关。完善采购制度：强制执行三家比价/招投标制度，引入系统硬控制，防止人为规避。强化利益冲突管理：开