2026年春季企业合规与风险管理实战培训试卷及答案

2026年春季企业合规与风险管理实战培训试卷及答案一、单项选择题（本大题共20小题，每小题1分，共20分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在题后的括号内。）1.根据ISO37301:2021《合规管理体系要求及使用指南》，合规管理体系的核心价值观是（）。A.利润最大化与股东至上B.诚信、透明、负责和合规文化C.严格管控与零风险容忍D.快速扩张与市场占有率优先2.在COSOERM（2017版）框架中，风险被定义为（）。A.可能对目标的实现产生负面影响的事件B.损失发生的可能性和影响程度C.事项发生并影响目标实现的可能性D.无法确定的未来波动3.根据中国《个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这被称为（）原则。A.公开透明原则B.确有必要原则C.最小必要原则D.知情同意原则4.某跨国企业在中国境内设立子公司，该子公司在面临反垄断审查时，其主要依据的法律是（）。A.《中华人民共和国反不正当竞争法》B.《中华人民共和国反垄断法》C.《禁止垄断协议暂行规定》D.《经营者集中审查暂行规定》5.在企业合规管理的“三道防线”模型中，负责制定合规政策、管理合规风险并作为第一道防线的业务部门是（）。A.内部审计部门B.董事会及审计委员会C.业务及职能部门D.合规与风控管理部门6.美国反海外腐败法（FCPA）主要管辖两大类行为，其中关于“会计条款”的要求主要是（）。A.禁止向外国官员行贿B.要求企业建立并保持内部会计控制，并制作和保存准确账簿和记录C.禁止企业进行政治捐赠D.禁止企业参与洗钱活动7.关于出口管制与经济制裁，下列哪项描述是错误的？（）A.企业违反出口管制规定可能面临巨额罚款甚至被列入实体清单B.美国的EAR（出口管理条例）不仅管辖美国产品，也管辖含有美国成分的外国产品C.经济制裁通常针对特定国家、个人或实体，限制特定类型的交易D.企业只要不在本国境内，就可以完全无视美国的出口管制法规8.风险评估矩阵中，通常将“风险可能性”和“风险影响程度”作为两个维度。如果一个风险发生的可能性为“极低”，但影响程度为“灾难性”，通常应采取的策略是（）。A.忽略不计B.降低可能性C.转移风险（如购买保险）D.无论如何都需立即停止相关业务9.根据中国《数据安全法》，国家建立数据分类分级保护制度。关于数据分类分级，下列说法正确的是（）。A.由各企业自行随意决定，无需参考国家标准B.核心数据仅适用于国家安全领域，企业不涉及C.重要数据一旦泄露、篡改、丢失，可能对国家安全造成危害D.一般数据不需要任何安全保护措施10.在合规调查中，关于“律师-客户特权”的适用范围，下列说法正确的是（）。A.企业内部员工之间的所有沟通都享有特权B.只有为了寻求或提供法律建议而进行的沟通才享有特权C.涉及犯罪的沟通一律不享有特权D.外部律师与企业的所有沟通记录都必须提交给监管机构11.某企业在进行供应商准入审核时，发现该供应商存在严重的环境违规记录。从ESG（环境、社会和治理）合规角度看，该企业应采取的最优措施是（）。A.只要价格低，依然合作B.要求供应商整改，整改合格前不予准入C.隐瞒记录，直接准入D.仅在媒体曝光时才终止合作12.中国《反不正当竞争法》修订后，对于经营者实施商业混淆行为（俗称“搭便车”），监督检查部门可以采取的措施不包括（）。A.责令停止违法行为B.没收违法商品C.处以违法经营额五倍以上十倍以下的罚款D.吊销营业执照13.合规管理体系有效性评价的关键指标之一是“whistle-blowing”（举报）机制的运行情况。下列哪项不属于有效举报机制的特征？（）A.渠道畅通且保护举报人免受报复B.鼓励实名举报并提供反馈C.仅允许高管层知晓举报内容D.对举报案件进行独立调查和跟踪14.在合同合规审查中，关于控制权变更条款，合规官最应关注的是（）。A.控制权变更是否需要经过股东会决议B.控制权变更后，原合同是否自动终止或触发重新审查义务C.控制权变更的价格计算方式D.控制权变更后的管理层任命15.关于GDPR（通用数据保护条例）中的“数据主体权利”，下列哪项权利是GDPR特有的，且要求企业在特定时间内必须响应？（）A.知情权B.访问权C.被遗忘权（删除权）D.反对权16.企业在建立反洗钱（AML）合规体系时，核心的“了解你的客户”（KYC）流程不包括（）。A.识别客户身份B.了解受益所有人信息C.评估客户的洗钱风险等级D.调查客户的个人消费习惯（非金融相关）17.供应链合规管理中，对于“冲突矿产”（如钽、锡、钨、金）的合规要求主要源于（）。A.欧盟CSDDD指令B.美国多德-弗兰克法案第1502条C.中国《固体废物污染环境防治法》D.ISO14001标准18.某公司合规官发现CEO暗示下属进行财务造假以美化报表。此时合规官的首先正确做法是（）。A.配合CEO指令，因为CEO是最高决策者B.默不作声，等待事态发展C.坚决反对，记录在案，并按程序向董事会或审计委员会报告D.立即向媒体爆料19.关于网络安全等级保护制度（等保2.0），下列说法正确的是（）。A.所有企业系统都必须通过等保三级测评B.等保二级以上系统每年至少进行一次测评C.等保测评是自愿性的，非强制性D.只有政府机关需要落实等保制度20.在合规培训中，为了确保培训效果，企业通常采用ADDIE模型。其中“D”代表的是（）。A.Analysis（分析）B.Design（设计）C.Development（开发）D.Implementation（实施）二、多项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填在题后的括号内。多选、少选、错选均不得分。）1.建立有效的合规管理体系，通常需要具备的关键要素包括（）。A.高层承诺与合规方针B.风险识别、评估与应对流程C.合规组织架构与职责分工D.持续的培训与沟通机制E.独立的监督、审计与举报机制2.根据中国《网络安全法》、《数据安全法》和《个人信息保护法》，向境外提供数据可能需要通过的安全评估情形包括（）。A.关键信息基础设施运营者（CIIO）向境外提供数据B.处理100万人以上个人信息的数据处理者向境外提供个人信息C.累计向境外提供10万人以上个人信息的数据处理者D.自网信部门或者有关部门自上年1月1日起累计向境外提供个人信息未达到国家网信部门规定条件E.所有企业的普通员工信息向境外总部传输3.企业在进行反垄断合规时，需要重点警惕的垄断协议行为包括（）。A.固定或者变更商品价格B.限制商品的生产数量或者销售数量C.分割销售市场或者原材料采购市场D.限制购买新技术、新设备或者限制开发新技术、新产品E.联合抵制交易4.关于商业贿赂与正当商业馈赠的界限，判断标准通常包括（）。A.交易金额是否超出了正常的商业惯例范围B.是否附带了特定的交易条件或排他性要求C.是否发生在节假日或个人庆典期间D.是否入账且财务记录真实准确E.接受方是否为公职人员5.ESG合规中的“S”（社会）维度，主要关注的企业议题包括（）。A.劳工标准与员工权益（如禁止强迫劳动、反歧视）B.产品安全与质量责任C.社区关系与公益投入D.供应链中的道德采购E.企业的碳排放强度6.当企业面临监管机构调查时，合规部门应采取的应对措施包括（）。A.立即启动内部应急响应小组B.立即销毁相关不利证据以规避风险C.确保数据留存，防止证据篡改或丢失D.与外部律师沟通，评估法律风险与配合策略E.对外统一口径，严禁员工私自对外发布信息7.合规风险评估的常用方法包括（）。A.头脑风暴法B.问卷调查法C.流程分析法D.穿行测试法E.SWOT分析法8.根据《中央企业合规管理办法》，合规管理运行机制主要包括（）。A.合规风险识别预警机制B.合规审查机制C.合规风险应对机制D.合规违规问责机制E.合规管理评价机制9.在跨境投资并购交易中，买方进行的尽职调查通常涵盖（）。A.财务尽职调查B.法律合规尽职调查（包括反垄断、数据、环保等）C.业务与技术尽职调查D.人力资源尽职调查E.仅仅是目标公司的市场前景分析10.有效的合规考核机制应当将考核结果与（）挂钩。A.员工薪酬奖金B.职务晋升C.评优评先D.合规培训频次E.部门预算分配三、判断题（本大题共15小题，每小题1分，共15分。请判断下列各题的正误，正确的打“√”，错误的打“×”。）1.合规管理仅仅是法律部门或合规部门的职责，与其他业务部门无关。（）2.ISO37301标准采用了PDCA（策划-实施-检查-改进）循环模型，强调体系的持续改进。（）3.只要企业没有发生实质性的违规罚款，就说明其合规管理体系是有效的。（）4.在中国，对于企业的违法行为，实行“双罚制”，即既处罚单位，也处罚直接负责的主管人员和其他直接责任人员。（）5.个人信息保护中的“同意”，必须由个人在充分知情的前提下自愿、明确作出，不能通过默认勾选的方式获得。（）6.竞业限制协议只能针对高级管理人员，普通员工不适用竞业限制。（）7.企业可以通过制定完善的内部规章制度来完全规避所有的外部法律风险。（）8.软件供应链安全也是网络安全合规的重要组成部分，企业采购软件时应审查供应商的安全性。（）9.美国长臂管辖权意味着美国法律可以适用于发生在美国境外的任何行为，只要涉及美国企业。（）10.合规官在履行职责时，应当保持独立性，不应受制于业务部门的业绩压力。（）11.企业合规整改在行政监管中可以作为从轻、减轻行政处罚的考量因素。（）12.所有的业务合同在签署前都必须经过合规部门的实质性审查，无论金额大小。（）13.只有上市公司才需要建立内部控制和合规体系，非上市公司不需要。（）14.在应对网络攻击时，及时向公安机关报案并告知受影响用户是法定义务。（）15.合规文化建设的核心是让“合规创造价值”的理念深入人心，而不仅仅是“合规限制业务”。（）四、填空题（本大题共10小题，每小题1分，共10分。请在每小题的空格中填上正确答案。）1.企业合规管理的基本原则通常包括独立性原则、适用性原则、全面性原则和________原则。2.根据中国《公司法》，公司从事经营活动，必须遵守法律、行政法规，遵守社会公德、商业道德，诚实守信，接受政府和社会公众的监督，承担________。3.在风险应对策略中，通过购买保险将风险后果转移给第三方的策略被称为________。4.GDPR规定的数据保护角色中，负责代表数据处理者与监管机构沟通的角色是________（DPO）。5.反垄断法中，经营者集中达到国务院规定的申报标准的，经营者应当事先向国务院反垄断执法机构申报，未申报的不得实施集中。这被称为________审查。6.合规管理的“三道防线”中，________部门负责对风险管理和内部控制进行独立评价和监督。7.《个人信息保护法》规定，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下________、明确作出。8.企业在广告宣传中，不得使用“国家级”、“最高级”、“最佳”等用语，这属于________。9.供应链合规中，确保供应商不涉及童工、强迫劳动等问题的审核通常被称为________尽职调查。10.2024年施行的《公司法》修订案，进一步强化了董事、监事、高级管理人员的________责任，明确了其在执行职务时给公司造成损失的赔偿责任。五、简答题（本大题共5小题，每小题6分，共30分。）1.简述合规管理体系建设的“三道防线”模型中，各道防线的主要职责是什么？2.请列举企业进行反商业贿赂合规审查时，应重点关注的“高风险红旗”信号（至少列举4项）。3.简述ISO37301:2021标准中，合规管理体系“环境”要素的理解要点。4.根据《个人信息保护法》，企业在向第三方提供个人信息时，应当履行哪些法律义务？5.简述企业合规官在面对业务部门提出的“合规阻碍业务”的质疑时，应如何进行有效沟通与应对？六、综合应用题（本大题共3小题，每小题25分，共75分。）1.案例背景：某中国知名新能源汽车企业A公司，计划在2026年大力拓展欧洲市场。A公司计划在德国设立研发中心，并在法国、西班牙开展销售业务。为此，A公司需要将大量中国用户的车辆运行数据（包含地理位置、驾驶习惯等）传输回中国总部进行算法训练，同时也需要将部分欧洲员工及客户的个人信息传输至中国HR及CRM系统。此外，A公司拟收购一家德国拥有核心电池技术的B公司，B公司曾接受过欧盟的补贴，且部分产品含有美国受控的芯片技术。问题：(1)请从数据跨境合规角度，分析A公司将中国用户数据传回中国、以及将欧洲数据传至中国面临的主要法律风险及合规应对路径。（10分）(2)请从反垄断及外商投资审查角度，分析A公司收购德国B公司需要注意的合规事项。（8分）(3)请从供应链与出口管制角度，分析A公司收购B公司后，在技术跨境转移和产品出口方面可能存在的合规风险。（7分）2.案例背景：某大型医药制造企业C公司，近期内部审计发现，其某省区的销售团队为了完成季度业绩指标，通过第三方咨询公司D向某公立医院的科室主任组织了多次“学术会议”，会议实质上为旅游活动，且D公司向该主任支付了高额的“讲课费”。C公司此前有明确的反商业贿赂政策，禁止通过第三方进行不当利益输送。事发后，该省区销售总监试图隐瞒此事，并要求员工销毁相关票据。问题：(1)请依据中国《反不正当竞争法》及刑法相关规定，分析C公司及相关人员可能面临的法律责任。（10分）(2)针对此事件，C公司应启动怎样的内部调查程序？请列出关键步骤。（8分）(3)为防止此类事件再次发生，C公司应从哪些方面强化其第三方风险管理机制？（7分）3.案例背景：D公司是一家大型互联网平台企业，拥有超过2亿活跃用户。近期，D公司上线了一款基于生成式AI的聊天机器人服务。在测试阶段，有用户发现该机器人会输出带有歧视性的言论，且偶尔会泄露其他用户的非公开订单信息。同时，D公司为了训练该AI模型，在未告知用户的情况下，抓取了大量互联网公开数据，其中包含部分受版权保护的作品。问题：(1)请结合《生成式人工智能服务管理暂行办法》及《网络安全法》，分析D公司该AI服务在算法安全、内容合规方面存在的违规风险。（10分）(2)针对机器人泄露用户订单信息的问题，D公司在数据安全技术与制度上可能存在哪些漏洞？应如何整改？（8分）(3)关于AI训练数据的知识产权合规问题，D公司应采取哪些策略以降低侵权风险？（7分）以下是参考答案------------------------一、单项选择题1.B2.C3.C4.B5.C6.B7.D8.C9.C10.B11.B12.C13.C14.B15.C16.D17.B18.C19.B20.B二、多项选择题1.ABCDE2.ABC3.ABCDE4.ABDE5.ABCD6.ACDE7.ABCD8.ABCDE9.ABCD10.ABCE三、判断题1.×2.√3.×4.√5.√6.×7.×8.√9.×10.√11.√12.×13.×14.√15.√四、填空题1.协同性（或协同）2.社会责任3.风险转移4.数据保护官5.经营者集中6.内部审计7.自愿8.绝对化宣传（或广告违法行为）9.道德/人权10.忠实勤勉（或赔偿）五、简答题1.简述合规管理体系建设的“三道防线”模型中，各道防线的主要职责是什么？答：(1)第一道防线：业务及职能部门。他们是风险的直接承担者和管理者，负责在其日常业务活动中识别、评估、控制并报告风险，确保业务操作符合合规要求。(2)第二道防线：合规与风控管理部门。他们负责制定合规政策和制度，提供合规咨询和指导，协助业务部门进行风险评估，监测合规风险运行情况，并拥有独立的调查和报告权。(3)第三道防线：内部审计部门。他们负责对整个风险管理和内部控制流程的独立性和有效性进行客观评价和审计，直接向董事会或审计委员会报告，确保前两道防线有效运作。2.请列举企业进行反商业贿赂合规审查时，应重点关注的“高风险红旗”信号（至少列举4项）。答：(1)涉及政府官员或国有企事业单位管理人员的交易。(2)第三方代理商或咨询公司的佣金比例明显高于行业平均水平。(3)合同金额或服务费用与实际提供的服务内容不匹配。(4)付款理由模糊，如咨询费、服务费、杂项费用等。(5)交易涉及通过离岸账户或现金进行支付。(6)缺乏详细的背景调查或尽职调查记录的合作伙伴。(7)在敏感时间节点（如招投标前、合同签署前）发生的大额支出。3.简述ISO37301:2021标准中，合规管理体系“环境”要素的理解要点。答：(1)理解组织及其环境：组织应确定与其目标相关并影响其实现合规管理体系预期结果能力的内部和外部问题。(2)理解相关方的需求和期望：组织应确定与合规管理体系相关的、来自相关方的需求和期望，特别是法律法规及监管机构的要求。(3)确定合规管理体系的范围：组织应界定合规管理体系的边界和适用性，考虑上述环境和相关方因素。(4)建立合规管理体系：组织应按照本标准的要求建立、实施、保持、持续改进合规管理体系，包括所需的过程及其相互作用。4.根据《个人信息保护法》，企业在向第三方提供个人信息时，应当履行哪些法律义务？答：(1)告知义务：应当向个人告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。(2)安全评估义务：若向境外提供，需通过国家网信部门的安全评估或进行标准合同备案；若向境内第三方提供，需确保第三方具备相应的保护能力。(3)合同义务：与接收方签订合同，约定双方的权利义务，并确保接收方按照约定的目的和方式处理个人信息。(4)监督义务：对第三方的处理活动进行监督，确保第三方在发生违规时能及时采取补救措施。(5)记录义务：记录向第三方提供个人信息的情况，并保存至少三年。5.简述企业合规官在面对业务部门提出的“合规阻碍业务”的质疑时，应如何进行有效沟通与应对？答：(1)树立伙伴意识：强调合规部门是业务部门的合作伙伴，目标是共同实现企业可持续、安全的发展，而非单纯为了否决。(2)阐明风险后果：客观分析不合规可能带来的法律制裁、财务损失、声誉损害等后果，量化风险成本，使其意识到“合规是最低成本的运营方式”。(3)提供解决方案：不应只说“不”，而应提供“如何做”。在法律允许的框架内，寻找替代方案或调整交易结构，以在满足合规要求的同时促成业务。(4)引入高层沟通：对于重大战略分歧，及时寻求董事会或最高管理层的裁决，确保合规风险与商业利益的权衡在高层知晓并决策。(5)加强培训赋能：通过针对性培训，提升业务人员的合规意识和识别风险的能力，从源头减少冲突。六、综合应用题1.案例分析（新能源汽车企业出海）(1)数据跨境合规分析：风险：中国数据出境：可能涉及《数据安全法》、《个人信息保护法》及汽车行业数据安全管理规定。车辆运行数据可能涉及国家秘密或敏感地理信息，出境需通过严格的安全评估。欧洲数据出境：欧盟GDPR对个人数据保护极为严格。向中国传输需满足GDPR第五章要求，如通过adequacy认定（目前中国尚不具备）或签署标准合同条款并采取补充措施。应对：进行数据分类分级，识别核心数据、重要数据和个人信息。中国端：申报国家网信办数据出境安全评估，或通过个人信息保护认证。欧洲端：签署欧盟标准合同条款，进行TIA（传输影响评估），实施数据本地化存储策略，尽量减少跨境传输量，采用加密等技术手段。(2)反垄断及外商投资审查：申报经营者集中：若A公司和B公司营业额达到申报门槛，必须向中国市场监管总局和欧盟委员会进行反垄断申报，获得批准后方可交割。外商投资安全审查：德国设有外商投资审查机制，特别是涉及关键技术（如电池）和军工背景时。A公司需主动申报或通过德国政府进行安全审查，防范交易被否决或剥离资产的风险。补贴审查：由于B公司接受过欧盟补贴，需审查收购是否触发欧盟的“外国补贴条例”（FSR）审查，防止扭曲市场竞争。(3)供应链与出口管制：风险：B公司产品含美国受控芯片，受美国EAR管辖。A公司收购后，将B公司技术并入中国可能涉及将受控技术“出口”或“再出口”到中国，需申请许可证。产品出口风险：整合后的产品若含美国成分，向特定国家（如伊朗、朝鲜等）出口可能受限。应对：在交割前进行详尽的出口管制尽职调查；申请相关许可证；建立物项隔离机制，实施技术封锁，确保合规流动。2.案例分析（医药企业商业贿赂）(1)法律责任：行政责任：C公司可能面临《反不正当竞争法》下的罚款（没收违法所得、罚款），甚至被吊销营业执照。相关责任人可能被罚款。刑事责任：若金额达到立案标准，可能构成对非国家工作人员行贿罪或行贿罪。销售总监及直接责任人员面临刑事处罚。合规信用风险：可能被列入医药商业贿赂黑名单，失去参与公立医院采购的资格。(2)内部调查步骤：成立调查