合规管理师试题及答案2026年全新版

合规管理师试题及答案2026年全新版一、单项选择题（本大题共20小题，每小题1分，共20分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在括号内。）1.在合规管理体系中，依据ISO37301标准，确立合规方针并承诺对合规管理体系负责的主体是（）。A.合规委员会B.最高管理者C.合规总监D.全体员工2.根据《中央企业合规管理办法》，合规管理应当遵循的原则不包括（）。A.坚持独立原则B.坚持全面覆盖原则C.坚持强化导向原则D.坚持实事求是原则3.下列关于“合规”的定义，最准确且被广泛接受的是（）。A.遵守公司内部的所有规章制度B.遵守外部的法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、商业惯例等要求C.仅指不触犯刑法D.企业高管个人的道德操守4.在合规风险识别中，通常采用PESTLE分析法，其中的“L”代表的是（）。A.经济因素B.技术因素C.法律因素D.社会因素5.针对第三方合作伙伴的合规尽职调查，通常适用的原则是（）。A.无论风险高低，调查深度必须一致B.仅调查其财务状况C.基于风险导向的方法，高风险需深度调查D.完全依赖合作伙伴提供的自我声明6.我国《个人信息保护法》规定，处理个人信息应当遵循合法、正当、必要和（）原则。A.公开透明B.诚信原则C.不得误导D.限于最小范围7.某跨国公司在中国境内运营，其美国总部要求向美国传输涉及中国公民的敏感数据。根据中国《数据出境安全评估办法》，下列情形中必须通过国家网信部门组织的安全评估的是（）。A.累计向境外提供10万人非敏感个人信息B.处理10万人以上个人信息的数据处理者向境外提供个人信息C.关键信息基础设施运营者向境外提供个人信息D.自费出国旅游中介向境外提供游客护照信息8.关于合规举报机制的建立，下列说法错误的是（）。A.应建立畅通、便捷的举报渠道B.必须实行实名举报制，拒绝匿名举报C.应保护举报人的隐私和合法权益D.应建立举报调查反馈机制9.在反垄断合规中，具有市场支配地位的经营者没有正当理由，以低于成本的价格销售商品，这种行为属于（）。A.掠夺性定价B.拒绝交易C.搭售D.差别待遇10.根据ISO37301，合规管理体系的核心要素“环境”指的是（）。A.组织的物理办公环境B.组织所处的内部和外部环境C.组织的IT基础设施环境D.组织的地理环境11.商业银行合规风险管理的主要责任人通常是（）。A.董事长B.行长C.合规负责人D.监事长12.下列哪项不属于合规管理体系“三道防线”模型中的职责？（）A.业务部门的第一道防线职责B.合规管理部门的第二道防线职责C.内部审计部门的第三道防线职责D.外部律师事务所的职责13.在出口管制合规中，美国的“实体清单”主要限制的是（）。A.从美国进口特定商品B.向特定国家出口所有商品C.获取美国原产商品、软件或技术D.雇佣特定国籍的员工14.新修订的《中华人民共和国公司法》（2024年施行）强调，国家出资公司应当依法建立健全（）与合规管理有效协同的机制。A.党的领导B.内部控制C.风险管理D.内部审计15.合规审计与财务审计的主要区别在于，合规审计更侧重于（）。A.财务报表的真实性和公允性B.经营活动的效率和效果C.对法律法规、政策及内部规章的遵循情况D.资产的安全完整16.关于合规文化的建设，最高管理者的行为最为关键，以下哪项行为最不利于合规文化的形成？（）A.在高层会议上强调合规优先B.将合规指标纳入绩效考核C.当业务目标与合规要求冲突时，优先选择业务目标D.对违规行为进行公开处理17.某企业为了获取订单，向外国公职人员支付了钱财，但该企业辩称这是当地通行的“加速费”（FacilitationPayment），根据大多数国际反腐败合规标准（如英国《反贿赂法》），这种辩护（）。A.是有效的合规抗辩B.在法律严格的国家通常无效，仍被视为贿赂C.只要金额不大就允许D.只要入账就可以18.GB/T35770-2022《合规管理体系要求及使用指南》等同于国际标准（）。A.ISO19600:2014B.ISO31000:2018C.ISO37301:2021D.ISO27001:201319.在合规培训中，针对全员的基础培训应侧重于（）。A.具体业务流程的操作细节B.合规理念、通用法律法规及公司合规制度概览C.高级管理层的合规责任D.合规调查技巧20.当发现合规违规事件时，合规管理部门首先应当采取的措施是（）。A.立即向媒体披露B.隐瞒不报以保护声誉C.进行调查核实，并根据严重程度上报及采取补救措施D.直接解雇涉事员工二、多项选择题（本大题共15小题，每小题2分，共30分。在每小题列出的五个备选项中有两个至五个是符合题目要求的，请将其代码填在括号内。多选、少选、错选均不得分。）1.建立有效的合规管理体系，通常需要包含的关键要素有（）。A.合规方针与组织环境B.合规风险识别、评价与应对C.领导作用、策划与支持D.运行、绩效评价与改进E.财务预算管理2.根据中国相关法律法规，企业可能面临的刑事合规风险涉及（）。A.单位行贿罪B.非法经营同类营业罪C.提供虚假财会报告罪D.侵犯商业秘密罪E.环境污染罪3.下列属于合规风险应对策略的有（）。A.规避风险：停止产生风险的业务活动B.降低风险：采取控制措施减少可能性或影响C.转移风险：通过保险或合同条款转移D.接受风险：在权衡成本效益后主动接受E.忽略风险：假装不知道风险存在4.在劳动合同合规管理中，企业解除劳动合同，下列情形中属于违法解除的有（）。A.女职工在孕期、产期、哺乳期内，无过错性解除B.从事接触职业病危害作业的劳动者未进行离岗前职业健康检查C.劳动者在本单位患职业病或者因工负伤并被确认丧失或者部分丧失劳动能力D.劳动者严重违反用人单位的规章制度E.劳动者在试用期内被证明不符合录用条件5.关于反洗钱（AML）合规，企业应当履行的义务包括（）。A.客户身份识别B.客户风险等级划分与分类管理C.大额交易和可疑交易报告D.客户身份资料及交易记录保存E.冻结所有客户账户6.合规管理部门在与其他部门的关系中，应当具备的职权包括（）。A.对公司规章制度进行合规审查B.对重大经营决策进行合规支持与审核C.对违规事件进行调查和处理建议权D.直接指挥业务部门的日常经营活动E.否决明显违规的经营决策7.有效的合规考核机制应当包含的内容有（）。A.将合规职责履行情况纳入管理层年度考核B.对合规管理人员的专业能力进行评价C.对发生重大合规风险的部门实行“一票否决”D.仅考核业务指标，不考核合规指标E.建立合规奖励机制，表彰合规模范8.数据合规中，处理个人信息应当取得个人同意的情形包括（）。A.为订立、履行个人作为一方当事人的合同所必需B.为履行法定职责或者法定义务所必需C.为应对突发公共卫生事件所必需D.出于商业营销目的，向用户推送个性化广告E.在公共场所安装图像采集设备，用于维护公共安全9.以下关于合规委员会的描述，正确的有（）。A.通常由董事会成员或高级管理人员组成B.负责审议合规管理体系的重大事项C.负责日常具体的合规调查工作D.协调跨部门的合规资源E.对合规管理的最终有效性承担责任10.企业在制定合规制度时，应当遵循的“落地”原则包括（）。A.制度内容应具有可操作性，避免空洞口号B.制度应与业务流程紧密结合C.制度发布后应进行宣贯和培训D.制度一旦制定，永远不得修改E.制度应符合外部法律法规的最新要求11.属于广告合规中禁止发布的内容有（）。A.使用“国家级”、“最高级”、“最佳”等用语B.涉及麻醉药品、精神药品等特殊药品C.妨碍社会公共秩序或者违背社会良好风尚D.含有虚假或者引人误解的内容E.介绍健康养生知识12.合规信息化建设的主要功能模块通常包括（）。A.合规法律法规库B.合规风险预警系统C.合规审批流程嵌入D.合规培训与考试系统E.合规举报管理系统12.在跨境投资合规中，需要关注的审查制度包括（）。A.国家安全审查B.反垄断审查C.外商投资准入负面清单管理D.出口管制审查E.税务合规审查14.关于ISO37301中的“改进”要素，主要活动包括（）。A.不符合和纠正措施B.持续改进C.事件管理D.投诉管理E.内部审核15.2026年合规管理趋势中，企业越来越重视的非财务风险领域包括（）。A.网络安全与数据隐私B.供应链ESG（环境、社会和治理）风险C.知识产权保护D.税务透明度E.员工心理健康与多元化三、判断题（本大题共15小题，每小题1分，共15分。请判断正确或错误，正确的打“√”，错误的打“×”。）1.合规管理仅仅是合规管理部门的职责，与业务部门无关。（）2.企业只要建立了合规制度，即使员工不执行，也视为已经尽到了合规管理义务，可以免除行政责任。（）3.根据ISO37301，合规管理体系的应用范围可以是整个组织，也可以是组织的特定部分或职能。（）4.“实质重于形式”原则在合规判断中非常重要，即使某项交易在法律文件上看似合规，但如果其商业目的主要是为了规避法律监管，也可能被认定为违规。（）5.律师事务所出具的法律意见书可以完全豁免企业在合规管理上的责任，企业只需听从律师的安排即可。（）6.在反垄断合规中，纵向垄断协议（如转售价格维持）在某些情况下可能具有正当理由，从而不被禁止。（）7.企业合规整改是涉嫌犯罪企业作出不起诉决定的重要考量因素之一，这属于涉案企业合规改革的内容。（）8.只要是为了公司的利益，员工可以采取一些灰色手段进行商业竞争，合规管理应当对此保持默许。（）9.合规管理是一个动态的过程，需要随着外部法律法规的变化和企业业务的发展而持续调整。（）10.个人信息处理者可以在个人明确拒绝的情况下，继续向其发送商业营销信息。（）11.职业健康安全管理体系（ISO45001）与合规管理体系（ISO37301）是相互独立、不能融合的。（）12.所有的合规风险都必须被消除至零，企业不能容忍任何程度的合规风险。（）13.举报人保护机制不仅包括保护举报人的身份信息，还应包括保护举报人免受打击报复（如解雇、降职等）。（）14.合规审计应当定期进行，内部审计部门可以独立于合规管理部门直接向董事会或审计委员会报告。（）15.国有企业的合规管理要求通常比民营企业更为严格，特别是在境外投资和廉洁从业方面。（）四、填空题（本大题共10小题，每小题1分，共10分。请将答案写在空格内。）1.ISO37301:2021的全称是《合规管理体系______及使用指南》。2.在合规风险评价矩阵中，通常从“发生的可能性”和“________”两个维度进行评估。3.《中华人民共和国数据安全法》规定，国家建立数据分类分级保护制度，对数据实行________保护。4.企业在面临监管机构调查时，应遵循配合调查的原则，不得进行________。5.合规管理中的“________”原则，要求企业在追求商业利益时，必须确保遵守法律法规和道德准则。6.根据《反不正当竞争法》，经营者不得采用财物或者其他手段贿赂下列单位或者个人，以谋取交易机会或者竞争优势：（一）交易相对方的工作人员；（二）受交易相对方委托办理相关事务的单位或者个人；（三）________；（四）利用职权或者影响力影响交易的单位或者个人。7.合规管理体系的有效性评价，可以通过内部审核、________和管理评审等方式进行。8.在合同合规审查中，必须关注管辖权条款、法律适用条款以及________条款。9.GB/T35770-2022标准中，PDCA循环是指Plan（策划）、Do（实施）、Check（检查）和________。10.企业合规的“________”防线通常指业务部门，他们负责在日常经营中识别并管理第一手的合规风险。五、简答题（本大题共5小题，每小题6分，共30分。）1.简述合规管理、内部控制与风险管理三者之间的关系。2.根据ISO37301标准，简述建立合规管理体系的典型流程步骤。3.企业在进行第三方合规尽职调查时，应重点关注哪些方面的风险？请列举至少四点。4.简述涉案企业合规改革（刑事合规）中，企业如何通过“合规不起诉”机制实现自我救赎？5.什么是“利益冲突”？请列举企业中常见的三种利益冲突类型。六、案例分析题（本大题共3小题，每小题40分，共120分。）1.【案例背景】A公司是一家知名的中国医疗器械制造企业，计划通过其美国子公司向美国出口一种新型核磁共振成像仪（MRI）。该设备中含有部分从美国进口的敏感电子元器件，同时也集成了A公司中国总部研发的特定软件。为了加快产品上市速度，A公司的销售总监在未经过合规部门审核的情况下，指示物流部门将该产品归类为普通医疗设备，并利用非受控的空运渠道发往美国。随后，A公司收到了美国商务部工业与安全局（BIS）的执法函件，指控其违反了《出口管理条例》（EAR），涉嫌未获得许可证将受控物项出口至美国，并存在虚假报关行为。同时，由于该软件涉及特定加密技术，还可能涉及加密技术出口合规问题。【问题】(1)请分析A公司在此次出口业务中违反了哪些主要的合规义务？（10分）(2)针对BIS的调查，A公司应采取哪些紧急应对措施？（15分）(3)为防止此类事件再次发生，A公司应从哪些方面完善其出口管制与贸易合规管理体系？（15分）2.【案例背景】B集团是一家大型跨国互联网科技公司，旗下拥有社交媒体、电商、云计算等多个业务板块。2025年，B集团爆发了一起严重的数据泄露事件。黑客利用其电商平台某旧版系统的漏洞，窃取了超过5000万用户的个人信息，包括姓名、身份证号、手机号、地址以及部分支付密码的哈希值。事件曝光后，监管部门介入调查。调查发现：1.B集团虽然建立了数据安全管理制度，但该旧版系统未及时进行定级备案和风险评估。2.数据库中的支付密码哈希值使用了已被证明不安全的加密算法。3.内部员工在维护测试环境时，直接将脱敏不彻底的真实生产数据导入测试环境，且测试环境权限管理混乱，导致外部攻击者可通过测试接口获取数据。4.事件发生后，B集团在24小时内未按规定通知监管机构和受影响用户，试图内部修补后再公告。【问题】(1)依据《中华人民共和国个人信息保护法》及《数据安全法》，分析B集团在此次数据泄露事件中存在的违法违规行为。（15分）(2)B集团在事件发生后的应急响应措施存在哪些不当之处？正确的应急处置流程应包括哪些步骤？（10分）(3)结合该案例，请为B集团设计一套完整的数据全生命周期合规管理框架，需涵盖数据收集、存储、使用、加工、传输、提供、公开等环节的关键控制点。（15分）3.【案例背景】C公司是一家在沪深两地上市的高端装备制造企业。2025年底，C公司发布公告称，公司前任董事长张某在任职期间，为了完成集团下达的年度业绩考核指标，授意财务总监虚增收入5亿元，虚构利润1.2亿元。具体手段包括：伪造与关联方D公司的重大销售合同，在未发货的情况下确认收入；通过向E公司（隐蔽关联方）预付巨额采购款，随后通过资金回流虚增销售。此外，内部审计人员在例行审计中发现端倪并向审计委员会报告，但张某利用职权压制了审计报告，并对内审负责人进行威胁和降职处理。直到张某因其他经济犯罪被司法机关立案调查，C公司的财务造假案才浮出水面。目前，C公司股价暴跌，面临投资者的集体诉讼和证监会的行政处罚。【问题】(1)请分析C公司治理结构中存在的重大缺陷，并指出这些缺陷如何导致了合规风险的失控。（12分）(2)针对C公司发生的财务造假及内审受阻事件，请阐述合规管理与内部审计应如何形成有效联动机制？（10分）(3)假设你是C公司新聘任的首席合规官（CCO），公司决定启动全面合规整改。请制定一份详细的合规整改计划书，内容包括：整改目标、重点整改领域（涵盖治理层、管理层、业务层）、实施步骤及预期成效。（18分）参考答案一、单项选择题1.B2.D3.B4.C5.C6.B7.C8.B9.A10.B11.C12.D13.C14.A15.C16.C17.B18.C19.B20.C二、多项选择题1.ABCD2.ABCDE3.ABCD4.ABC5.ABCD6.ABCE7.ABCE8.D9.ABDE10.ABCE11.ABCD12.ABCDE13.ABCDE14.AB15.ABCDE三、判断题1.×2.×3.√4.√5.×6.√7.√8.×9.√10.×11.×12.×13.√14.√15.√四、填空题1.要求2.影响程度（或后果严重性）3.分类分级4.销毁证据（或阻挠调查）5.合规优先（或合规创造价值）6.国家机关工作人员7.管理评审8.争议解决9.Act（处置/改进）10.第一道五、简答题1.【答案要点】(1)合规管理与内部控制：合规管理侧重于遵循外部法律法规及内部准则，是内部控制的目标之一；内部控制则是通过制度、流程、技术手段来控制风险，是实现合规目标的工具和手段。(2)合规管理与风险管理：合规风险是风险的一种特定类型（即因不合规导致的风险）；风险管理是一个更宽泛的概念，涵盖战略、财务、运营、市场等所有风险；合规管理为风险管理提供底线要求。(3)三者关系：三者目标一致（保障企业可持续发展），侧重点不同，相互融合。合规管理是底线，内部控制是手段，风险管理是框架。有效的合规管理体系需要依托内控和风控体系落地。2.【答案要点】(1)确定范围与语境：明确组织边界、利益相关方及合规环境。(2)领导作用与承诺：最高管理者确立方针，任命合规团队。(3)策划：进行风险评估，制定合规目标及应对措施。(4)支持：提供资源、能力、意识、沟通、文件化信息。(5)运行：实施策划的措施，建立控制程序，应对变更。(6)绩效评价：实施监视、测量、分析、评价、内部审核、管理评审。(7)改进：处理不符合，采取纠正措施，持续改进体系。3.【答案要点】(1)反腐败风险：第三方是否为政府官员代理人，是否存在送礼、回扣、不当支付。(2)制裁与出口管制风险：第三方是否位于受制裁国家，是否在黑名单上。(3)数据隐私风险：第三方数据处理能力，跨境传输合规性。(4)财务稳健性风险：第三方是否存在洗钱、欺诈、财务崩溃风险。(5)知识产权风险：第三方是否侵犯他人IP或未保护好本方IP。4.【答案要点】(1)启动合规整改：在检察院等机关监督下，制定合规计划，修补制度漏洞。(2)执行合规计划：建立反舞弊、财务合规等专项体系，开展全员培训。(3)申请第三方监督评估：聘请独立第三方机构（如律师事务所、会计师事务所）对整改效果进行评估。(4)监管验收：检察院根据第三方评估报告，决定是否作出不起诉决定或提出从宽量刑建议。(5)长期合规：企业需承诺持续运行合规体系，实现从“亡羊补牢”到“防患未然”的转变。5.【答案要点】利益冲突是指个人的私人利益（如亲属关系、经济利益）与其对公司的职业义务发生冲突，可能导致判断受损或公司利益受损。常见类型：(1)外部兼职：在公司竞争对手或其他实体兼职。(2)关联交易：与亲属开办的公司进行交易，且未公允定价。(3)利用公司机会：将本属于公司的商业机会转给自己或关联方。六、案例分析题1.【参考答案】(1)违规行为分析：违反出口管制许可义务：未获得许可证将含美国敏感元器件的设备出口至美国（EAR管辖）。虚假报关/虚假陈述：将受控物项伪报为普通设备，违反美国海关及出口申报规定。加密技术违规：未按规定申报加密技术出口（通常需EAR审查或CCP合规）。内部合规程序缺失：销售总监绕过合规审核，物流部门未履行把关职责。(2)紧急应对措施：立即停止涉案产品的所有出口及相关交易。组建应急响应小组（内部法务、外部出口管制专家）。聘请熟悉美国BIS执法的律师团队，代理应对调查。开展内部自查（保存相关文件、邮件），评估违规范围和严重程度。考虑主动披露（视情况而定，以争取减轻处罚）。准备向BIS提交的初步回应报告。(3)完善管理体系建议：组织架构：设立专门的贸易合规官（TCC）和跨部门贸易合规委员会。物项分类：建立产品技术判定（TCD）流程，准确确定ECCN编码和管辖权。许可证管理：建立许可证申请、使用、记录存档流程。筛查机制：建立黑名单筛查（SDN/EntityList）机制，覆盖客户、物流商等。IT管控：在ERP系统中嵌入合规阻断节点。培训与文化：针对管理层、研发、销售、物流开展分级培训，强化“合规是一票否决项”的意识。2.【参考答案】(1)违法违规行为：未履行网络安全保护义务：旧版系统未定级备案、未评估、未及时修补漏洞。数据加密措施不合规：使用不安全算法，未达到“去标识化”或“匿名化”标准。违规处理数据：测试环境使用真实数据且脱敏不彻底，违反数据最小化原则。未履行通知义务：发生泄露后未在72小时内通知监管和用户，试图隐瞒。(2)应急响应不当及正确流程：不当之处：试图隐瞒、未及时上报、未及时通知用户。正确流程：1.启动应急预案，立即阻断攻击，隔离受影响系统。2.评估泄露范围和影响。3.按规定（72小时内）向监管部门（网信办、公安局）报告。4.及时通知受影响用户（告知风险、补救措施）。5.修补漏洞，恢复系统。6.开展内