2026年合规考试网络测试题及答案

2026年合规考试网络测试题及答案一、单项选择题（本大题共20小题，每小题1.5分，共30分。在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填在括号内）1.根据《中华人民共和国个人信息保护法》，处理个人信息应当遵循合法、正当、必要和诚信原则，且不得通过误导、欺诈、胁迫等方式处理个人信息。以下哪种情形属于“误导”处理个人信息的行为？（）A.某APP在用户注册时，强制要求用户同意接收商业推广信息，否则无法注册B.某购物平台在结账页面默认勾选“同意共享个人信息给第三方合作伙伴”，且字体颜色极淡，难以察觉C.某银行在办理信用卡时，明确告知客户将查询征信记录，客户签字确认D.某社交软件在用户注销账号时，设置繁琐的流程阻碍用户注销2.2026年合规趋势中，关于数据跨境传输的安全评估，依据《数据出境安全评估办法》，向境外提供数据达到一定情形的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。以下哪种情形必须申报安全评估？（）A.处理10万人以上个人信息的重要数据处理者，向境外提供个人信息B.累计向境外提供非敏感个人信息1万人C.跨国公司内部进行员工人力资源数据传输，涉及人数不足1万人D.向境外提供不包含个人信息的重要行业统计数据3.根据《中华人民共和国反不正当竞争法》（2024修订版精神），经营者不得利用数据、算法、技术、资本优势以及平台规则等从事不正当竞争行为。关于“大数据杀熟”行为的描述，下列哪项是准确的？（）A.根据消费者的消费习惯，提供不同的折扣优惠，属于正常的商业营销行为B.在条件相同的情况下，对不同的消费者实施不同的交易价格，且无正当理由，属于不正当竞争C.只要价格差异在10%以内，就不构成不正当竞争D.仅针对新用户提供优惠，属于违法行为4.在企业合规管理体系建设中，依据ISO37301标准，合规管理的“三道防线”模型中，负责制定合规政策、进行合规风险识别与评估的是（）。A.业务部门B.合规管理部门C.内部审计部门D.外部法律顾问5.根据《中华人民共和国网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。对于关键信息基础设施的运营者，除了履行一般安全保护义务外，还应当履行的特殊义务不包括（）。A.对其重要系统和数据库进行容灾备份B.制定网络安全事件应急预案并定期进行演练C.采购网络产品和服务，应当按照规定通过国家网络安全审查D.每日向公安机关报告网络运行状况6.关于敏感个人信息的处理，根据《个人信息保护法》，处理敏感个人信息应当取得个人的单独同意。下列哪项信息不属于敏感个人信息？（）A.生物识别信息B.宗教信仰C.特定身份信息（如医疗健康、金融账户）D.用户的浏览记录和搜索日志7.某跨国企业在中国设立子公司，该子公司计划将中国境内的用户数据传输至位于欧洲的总部的服务器。根据《个人信息保护法》及相关规定，该企业应当确保具备的条件不包括（）。A.通过国家网信部门组织的安全评估B.经专业机构进行个人信息保护认证C.与境外接收方订立标准合同，并备案D.仅需获得欧盟方面的GDPR同意，无需中国监管机构审批8.在合规风险识别中，“合规义务”是基础。以下哪项不属于企业面临的“合规义务”来源？（）A.具有法律约束力的法律法规及监管要求B.法院判决或行政处罚决定书C.企业自行制定的内部规章制度D.社会舆论的道德期望（未转化为法律或合同义务）9.根据《中华人民共和国公司法》（2023修订版），公司董事、监事、高级管理人员执行公司职务时违反法律、行政法规或者公司章程的规定，给公司造成损失的，应当承担赔偿责任。这体现了合规管理中的（）。A.严格责任原则B.过错责任原则C.双重负责原则D.有限责任原则10.关于软件供应链安全，2026年合规考试重点考察开源代码管理。企业在使用开源软件时，以下哪项做法不符合合规要求？（）A.建立开源软件引入审批流程B.对开源代码进行安全漏洞扫描和许可证合规性审查C.将所有开源代码直接嵌入商业闭源软件中，且不保留任何许可证声明D.定期更新开源组件以修复已知漏洞11.根据《生成式人工智能服务管理暂行办法》，提供生成式人工智能服务应当遵守法律法规的要求，尊重社会公德和公序良俗。以下关于生成式AI服务提供者的义务，说法错误的是（）。A.应当采取有效措施防止生成虚假信息B.应当在生成内容的显著位置进行标识C.可以完全免除对用户输入信息的合法性审核责任D.应当建立投诉举报机制12.在反垄断合规中，关于“轴辐协议”的认定，下列说法正确的是（）。A.轴辐协议是指处于同一产业链环节的竞争者之间达成的横向垄断协议B.轴辐协议必须由轴心企业（如上游供应商）直接组织下游竞争者达成C.轴辐协议中，轴心企业虽未直接参与竞争者之间的合谋，但若促成了合谋，仍可能承担法律责任D.轴辐协议仅限于价格固定，不涉及市场划分13.员工合规举报是发现违规行为的重要渠道。为了保护举报人，企业应当采取的措施不包括（）。A.建立匿名举报渠道B.对举报人的身份信息严格保密C.对举报内容进行实名调查时，向被举报人透露举报人姓名D.禁止对举报人进行打击报复14.根据《网络数据安全管理条例（征求意见稿）》的相关精神，数据处理者发现数据泄露时，应当立即采取补救措施，并通知履行个人信息保护职责的部门。通知的时限要求是（）。A.立即B.12小时内C.24小时内D.72小时内15.关于广告合规，依据《广告法》，广告中涉及专利产品或者专利方法的，应当标明专利号和专利种类。未取得专利权谎称取得专利的，属于（）。A.虚假广告B.误导性宣传C.专利侵权D.不正当竞争16.在金融行业合规中，关于“了解你的客户”（KYC）原则，下列哪项不是其核心目的？（）A.防止洗钱活动B.防止恐怖融资C.防止逃税D.增加客户贷款难度17.某互联网平台企业通过算法分析用户的兴趣爱好，向其精准推送商品广告。根据《互联网信息服务算法推荐管理规定》，该企业应当履行的义务不包括（）。A.算法备案B.保障用户的算法选择权C.向用户提供不针对其个人特征的选项D.公开算法源代码以供公众审查18.根据《中华人民共和国数据安全法》，国家建立数据分类分级保护制度。以下哪项不是数据分类分级的依据？（）A.数据在经济社会发展中的重要程度B.数据遭到篡改、破坏、泄露或者非法获取、非法利用后对国家安全造成的危害程度C.数据遭到篡改、破坏、泄露或者非法获取、非法利用后对公共利益或者个人、组织合法权益的危害程度D.数据的商业价值大小19.关于合规管理体系的有效性评价，重点关注的要素是（“P-D-C-A”循环中的“C”是指（）。A.Plan（策划）B.Do（实施）C.Check（检查）D.Act（改进）20.在劳动用工合规中，关于竞业限制，下列说法正确的是（）。A.所有员工入职时都可以签署竞业限制协议B.竞业限制的人员限于用人单位的高级管理人员、高级技术人员和其他负有保密义务的人员C.竞业限制期限可以约定为永久D.竞业限制经济补偿金可以由双方协商，如果不约定则视为无补偿二、多项选择题（本大题共15小题，每小题2分，共30分。在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填在括号内。错选、多选、少选均不得分）21.2026年企业合规建设重点关注的“ESG”合规中，E代表Environment（环境），S代表Social（社会），G代表Governance（治理）。下列属于“G”（治理）范畴的合规议题包括（）。A.董事会结构与独立性B.反腐败与反贿赂政策C.知识产权保护D.碳排放管理E.员工多元化与权益保护22.根据《个人信息保护法》，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项（）。A.个人信息处理者的名称或者姓名和联系方式B.个人信息处理目的、处理方式，处理的个人信息种类、保存期限C.个人信息处理者的权利行使方式D.其他个人联系方式E.向境外提供个人信息的，应当告知境外接收方的名称、联系方式、处理目的、处理方式等23.企业在开展合规尽职调查时，针对第三方的合规风险，通常需要审查的内容包括（）。A.第三方的股权结构和实际控制人B.第三方是否被列入制裁名单或黑名单C.第三方的内部控制和合规政策D.第三方的商业信誉和过往违规记录E.第三方员工的家庭背景24.关于《网络安全法》中的“关键信息基础设施”，下列说法正确的有（）。A.公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络，都属于关键信息基础设施B.关键信息基础设施的具体范围和安全保护办法由国务院制定C.关键信息基础设施的运营者应当设置专门安全管理机构和安全管理负责人D.关键信息基础设施的运营者采购的网络产品和服务，可能影响国家安全的，应当通过国家网络安全审查E.所有的大型互联网公司都是关键信息基础设施运营者25.根据《反垄断法》，禁止具有市场支配地位的经营者从事下列滥用市场支配地位的行为（）。A.以不公平的高价销售商品或者以不公平的低价购买商品B.没有正当理由，以低于成本的价格销售商品C.没有正当理由，拒绝与交易相对人进行交易D.没有正当理由，限定交易相对人只能与其进行交易E.没有正当理由搭售商品或者在交易时附加不合理的交易条件26.合规管理体系中的“风险导向”原则要求企业优先处理高风险领域。判断合规风险等级高低的因素通常包括（）。A.违规行为发生的可能性B.违规行为发生后可能造成的后果严重程度（如罚款金额、刑事责任、声誉损失）C.监管机构的关注度D.业务部门的盈利需求E.合规整改的成本27.根据《数据安全法》，国家建立数据安全审查制度，对影响或者可能影响国家安全的数据处理活动进行安全审查。下列属于应当进行数据安全审查的情形有（）。A.影响或者可能影响国家安全的B.关键信息基础设施运营者采购网络产品和服务C.开展数据处理活动，影响或可能影响国家安全的D.涉及国家秘密的数据处理活动E.普通企业内部的员工薪资数据处理28.关于商业秘密保护合规，下列属于商业秘密法定构成要件的是（）。A.不为公众所知悉B.具有商业价值C.经权利人采取相应保密措施D.必须申请专利保护E.必须是技术信息29.在合同合规管理中，为了防范法律风险，企业对外签订合同时，应当重点审查的条款包括（）。A.主体资格及履约能力B.违约责任条款C.争议解决条款（管辖法院/仲裁机构）D.保密条款E.合同的排版格式30.根据《刑法》及相关司法解释，关于商业贿赂犯罪，下列说法正确的有（）。A.经营者为销售或者购买商品，采用财物或者其他手段贿赂对方单位或者个人的，构成行贿或受贿B.在账外暗中给予对方单位或者个人回扣的，以行贿论处C.对方单位或者个人在账外暗中收受回扣的，以受贿论处D.经营者可以在明示入账的方式下给予中间人佣金E.仅有给予回扣的意图但未实施，不构成犯罪31.企业在应对网络安全应急响应时，应遵循的标准流程通常包括（）。A.准备阶段：制定预案，组建团队B.检测与分析阶段：发现事件，确定性质C.遏制、根除与恢复阶段：采取措施控制影响，恢复系统D.事后活动阶段：总结经验，教训，改进制度E.隐瞒不报阶段：避免媒体曝光32.关于未成年人网络保护，依据《未成年人保护法》及相关规定，网络产品和服务提供者不得向未成年人提供的信息包括（）。A.诱导未成年人沉迷的内容B.可能引发未成年人模仿不安全行为的内容C.妨碍未成年人身心健康的内容D.针对未成年人的烟草（含电子烟）广告E.所有的网络游戏33.在出口管制合规中，企业向境外提供受控物项（如两用物项）时，需要关注的合规环节包括（）。A.确认物项是否在《出口管制法》及相关清单内B.确认最终用户和最终用途C.申请出口许可证D.进行尽职调查，警惕“红旗”信号E.仅关注国内法律，无需遵守外国法律34.合规培训是合规管理体系的重要组成部分。有效的合规培训应当具备的特征包括（）。A.针对性（针对不同岗位、不同风险等级）B.时效性（内容更新及时）C.强制性（关键岗位必须参加）D.可考核性（有测试或效果评估）E.形式单一（仅限线上视频）35.关于云计算服务的合规责任，依据《网络安全法》及“责任共担”模型，下列说法正确的有（）。A.云服务商负责物理环境、网络基础设施的安全B.云租户负责部署在云上的业务系统、数据及应用的安全C.云服务商可以完全免除对租户数据的保护责任D.租户将业务上云后，数据安全责任完全转移给云服务商E.双方应当通过服务水平协议（SLA）明确安全责任边界三、判断题（本大题共20小题，每小题1分，共20分。请判断下列说法的正误，正确的选“A”，错误的选“B”）36.根据《个人信息保护法》，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。因此，企业不得通过捆绑产品或服务的方式，强迫个人同意处理其个人信息。（）37.只要企业制定了完善的合规制度，即使发生了违规行为，也可以完全免除企业的行政责任和刑事责任。（）38.关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当进行安全评估。（）39.反垄断合规中的“相关市场”界定，只需要考虑商品因素，不需要考虑地域因素。（）40.企业在进行合规风险排查时，如果发现员工存在轻微违规行为，可以直接予以开除，无需经过调查程序。（）41.《数据安全法》规定，各地区、各部门对本地区、本部门工作中收集和产生的数据及数据安全负责。（）42.在合规管理体系中，合规官应当拥有独立报告的权力，能够直接向董事会或审计委员会报告，不受业务部门干预。（）43.根据中国法律，企业不得制定针对不同交易相对人的交易条件，即使该条件具有正当理由。（）44.网络运营者收集、使用个人信息，应当遵循公开、透明的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围。（）45.企业的合规文化建设仅仅是合规部门的职责，与业务部门无关。（）46.对于涉及国家秘密的信息，严禁在互联网及其他公共信息网络或者未采取保密措施的有线和无线通信中处理、传递。（）47.某公司为了提升合规意识，将所有员工的个人上网行为进行监控，并详细记录其浏览的所有网页内容，该做法完全符合网络安全合规要求。（）48.根据《电子商务法》，电子商务平台经营者知道或者应当知道平台内经营者销售的商品或者提供的服务不符合保障人身、财产安全的要求，或者其他侵害消费者合法权益行为，未采取必要措施的，依法与该平台内经营者承担连带责任。（）49.合规免责机制意味着，如果企业建立了有效的合规计划，在面临刑事指控时，可以作为无罪辩护的理由，或者作为减免刑罚的情节。（）50.个人信息处理者处理个人信息，有法律、行政法规规定应当保密或者不需要告知的情形的，可以不告知个人。（）51.企业在面临行政执法检查时，为了维护公司利益，可以销毁部分敏感的内部邮件记录。（）52.算法推荐服务提供者提供具有舆论属性或者社会动员能力的算法推荐服务的，应当在提供服务之日起十个工作日内向网信部门备案。（）53.竞业限制协议中约定了经济补偿，但未明确具体金额的，劳动者履行了竞业限制义务后，可以要求用人单位按照劳动合同解除或者终止前十二个月平均工资的30%按月支付经济补偿。（）54.数据本地化存储要求意味着数据绝对不能出境，任何形式的传输都是违法的。（）55.ISO37301合规管理体系标准适用于任何类型、规模和性质的组织。（）四、填空题（本大题共10小题，每小题1.5分，共15分。请在横线上填写恰当的词语或短语）56.《中华人民共和国民法典》规定，自然人的个人信息受法律保护。个人信息是以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、__________等信息。57.根据《网络安全法》，网络运营者应当制定__________，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险。58.在反垄断合规中，经营者集中达到国务院规定的申报标准的，经营者应当事先向__________申报，未申报的不得实施集中。59.企业合规中的“__________”原则，要求企业在追求商业利益的同时，必须遵守法律法规、行业准则和商业伦理。60.《个人信息保护法》规定，个人信息处理者处理敏感个人信息的，应当取得个人的__________同意。61.网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者__________合格后，方可销售或者提供。62.数据处理者委托第三方处理个人信息的，应当对第三方的数据处理活动进行__________，确保第三方的数据处理活动符合法律规定。63.依据《反不正当竞争法》，经营者不得编造、传播虚假信息或者误导性信息，损害竞争对手的商业信誉、商品声誉。这种行为通常被称为__________。64.合规管理体系中的“红线”是指企业绝对禁止触碰的严重违规行为，通常涉及__________、重大环境污染、重大产品质量安全等。65.在劳动法领域，用人单位自用工之日起超过一个月不满一年未与劳动者订立书面劳动合同的，应当向劳动者每月支付__________倍的工资。五、简答题（本大题共4小题，每小题5分，共20分。请简要回答下列问题）66.简述企业建立合规管理体系的主要步骤（参考ISO37301框架）。67.根据《个人信息保护法》，企业在处理个人信息时，哪些情形下可以不经个人同意处理个人信息？（请列举至少四种情形）68.什么是商业秘密？企业在商业秘密保护合规中应采取哪些合理措施？69.简述“关键信息基础设施”在网络安全合规中的特殊保护要求。六、案例分析题（本大题共2小题，每小题35分，共70分。请结合所学知识，对下列案例进行详细分析）70.案例一：某知名互联网科技公司A（以下简称A公司）开发了一款面向青少年的在线教育APP。为了扩大市场份额，A公司在APP中集成了第三方SDK，用于收集用户的设备信息、位置信息和社交关系链。同时，A公司推出了“免费领学习资料”活动，用户在注册时必须勾选“同意《用户协议》及《隐私政策》”，其中《隐私政策》规定：“我们将收集您的各类信息用于优化服务，并可能与我们的关联公司及合作伙伴共享。”2025年，有家长投诉发现，该APP在后台频繁启动录音，且收集了孩子的精准位置信息，并未向家长明确告知。经调查，A公司将收集到的部分用户数据（包含部分青少年数据）存储在境外的云服务器上，未通过安全评估。此外，A公司利用收集到的数据，向家长精准推送高价辅导班广告，不同家长看到的课程价格存在明显差异（“大数据杀熟”）。请结合《网络安全法》、《个人信息保护法》、《数据出境安全评估办法》及《反不正当竞争法》等相关法律法规，分析A公司存在的合规风险点，并提出整改建议。71.案例二：B公司是一家大型跨国制造企业，在中国设有生产基地。2026年初，B公司中国分公司的采购总监李某，在采购一批原材料时，与供应商C公司达成私下协议：C公司将采购单价提高10%，多出的部分以“咨询费”的名义汇入李某个人控制的空壳公司账户。作为回报，李某保证C公司在未来三年内获得B公司60%的该类原材料订单。事后，C公司为了表示感谢，邀请李某前往欧洲旅游，费用由C公司全额承担。李某向公司谎称是参加行业技术研讨会。半年后，B公司内部合规热线收到匿名举报，称李某存在受贿行为。B公司合规部随即启动内部调查。请结合《刑法》、《反不正当竞争法》及企业合规管理相关知识，回答以下问题：（1）李某的行为构成了何种性质的法律风险？请具体分析。（2）B公司在内部调查中应注意哪些程序合规事项？（3）为了预防此类事件再次发生，B公司应在采购环节加强哪些合规管控措施？参考答案及解析一、单项选择题1.【答案】B【解析】A选项属于强制同意，违反必要性原则；C选项属于明确告知并获得同意，合法；D选项属于阻碍注销，违反个人信息保护法关于注销权的规定，但属于“阻碍”而非“误导”。B选项中默认勾选且字体极淡，属于典型的通过误导方式诱导用户同意，符合题意。2.【答案】A【解析】根据《数据出境安全评估办法》，数据处理者向境外提供数据，有下列情形之一的，应当申报数据出境安全评估：（一）处理100万人以上个人信息的数据处理者向境外提供个人信息；（二）累计向境外提供10万人以上个人信息或者1万人以上敏感个人信息；（三）关键信息基础设施运营者……A选项符合第一条。3.【答案】B【解析】“大数据杀熟”在反不正当竞争法语境下，指经营者利用大数据分析，对条件相同的消费者实施不合理的差异化交易价格。B选项准确描述了该行为特征。A选项若基于会员等级等正当理由则合法；C选项法律无此比例规定；D选项新用户优惠是常见营销手段，非杀熟。4.【答案】B【解析】合规管理的“三道防线”中，第一道防线是业务部门（负主体责任），第二道防线是合规管理部门（负责制定政策、监控风险），第三道防线是内部审计部门（独立评估）。5.【答案】D【解析】D选项“每日报告”不属于法定义务，且不具备可操作性，属于干扰项。A、B、C均为关键信息基础设施运营者的特殊法定义务。6.【答案】D【解析】根据《个人信息保护法》，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。浏览记录和搜索日志属于一般个人信息，敏感程度较低。7.【答案】D【解析】根据《个人信息保护法》第三十八条，向境外提供个人信息必须具备安全评估、专业认证或订立标准合同之一。D选项仅满足GDPR要求而忽略中国法律，明显错误。8.【答案】D【解析】合规义务主要来源于法律法规、监管要求、行业准则、国际条约、合同承诺以及内部规章制度。社会舆论的道德期望在未转化为法律或合同义务前，属于道德范畴，非强制合规义务。9.【答案】B【解析】公司法规定董监高违反法律法规给公司造成损失应承担赔偿责任，这体现了过错责任原则（即因过错导致损失才赔偿）。10.【答案】C【解析】开源软件合规要求遵守开源许可证，许多许可证要求保留版权声明和许可证文本。C选项不保留任何许可证声明，违反了开源协议要求，存在侵权风险。11.【答案】C【解析】《生成式人工智能服务管理暂行办法》规定，提供者应当对用户输入信息和使用记录进行保护，且发现违法内容时应当采取措施，不能免除审核责任。12.【答案】C【解析】轴辐协议是指竞争者通过一个共同的中介方（轴心）交换敏感信息并达成协调一致的行为。轴心企业虽未直接参与横向合谋，但若促成了合谋，需承担法律责任。13.【答案】C【解析】保护举报人必须严格保密，严禁向被举报人透露举报人信息，以防打击报复。C选项严重违规。14.【答案】D【解析】根据《网络安全法》及数据安全相关法规，发生数据泄露应当立即启动应急预案并告知监管部门，通常要求在“立即”或合理时间内（实践中常参照GDPR的72小时及国内规定的及时性原则，国内法规多表述为“立即”或“及时”，但题干考察具体时限时，参考《网络数据安全管理条例（征求意见稿）》精神，通常为72小时内）。注：现行《网络安全法》要求“立即”，但《个人信息保护法》要求“及时”。在考试模拟中，72小时是国际通行的严格标准，且常被国内细化规定采纳。15.【答案】A【解析】谎称取得专利属于虚假广告，违反《广告法》关于真实性原则的规定。16.【答案】D【解析】KYC的核心目的是反洗钱（AML）、反恐怖融资（CFT）和了解客户背景。D选项“增加贷款难度”不是KYC的目的。17.【答案】D【解析】《互联网信息服务算法推荐管理规定》要求算法备案、保障用户选择权、提供不针对个人特征的选项，但并未要求企业公开算法源代码（这是商业秘密）。18.【答案】D【解析】数据分类分级主要依据数据的重要程度、一旦受损对国家安全、公共利益及个人权益的危害程度，而非单纯依据商业价值。19.【答案】C【解析】PDCA循环中，C代表Check（检查），即监控和测量合规管理体系的过程和绩效。20.【答案】B【解析】《劳动合同法》规定，竞业限制的人员限于知悉商业秘密的高级管理人员、高级技术人员和其他负有保密义务的人员。A选项扩大了范围；C选项期限不得超过两年；D选项未约定补偿金不影响协议效力，但劳动者履行后有权要求补偿。二、多项选择题21.【答案】ABC【解析】ESG中的G（治理）关注公司治理结构、风险控制、合规体系、反腐败等。D属于E（环境），E属于S（社会）。22.【答案】ABCE【解析】依据《个人信息保护法》第十七条，应当告知处理者身份、联系方式、处理目的方式种类保存期限、权利行使方式等。D选项“其他个人联系方式”不是必须告知的法定事项。23.【答案】ABCD【解析】第三方合规尽调重点关注主体资格、制裁风险、内控体系、商业信誉。E选项员工家庭背景通常涉及隐私，非必要尽调内容。24.【答案】ABCD【解析】CII的认定基于行业重要性和一旦受损的危害程度，并非所有大公司都是CII（E错误）。A、B、C、D均符合法律规定。25.【答案】ABCDE【解析】《反垄断法》第二十二条明确禁止了上述所有滥用市场支配地位的行为。26.【答案】ABC【解析】风险等级=可能性×影响程度。监管关注度也是重要考量因素。D、E不应作为优先处理高风险的依据。27.【答案】ABC【解析】根据《网络安全法》和《数据安全法》，影响或可能影响国家安全的数据处理活动需进行安全审查。D属于国家秘密保护，按保密法管理，不完全等同于数据安全审查的启动条件（虽然实质要求更高）。E明显错误。28.【答案】ABC【解析】商业秘密的构成要件：秘密性、价值性、保密性。D、E错误，商业秘密不限于技术信息，也不必申请专利。29.【答案】ABCD【解析】合同合规审查重点在于主体、条款（违约、争议、保密）等法律效力问题。E选项排版格式非法律合规核心。30.【答案】ABCD【解析】商业贿赂包括行贿和受贿。账外暗中给予/收受回扣分别构成行贿/受贿。明示入账的佣金是合法的。E选项，仅有意图未实施，不构成犯罪（除非有预备行为但通常不罚），且题目问的是“商业贿赂犯罪”，未实施不构成既遂。31.【答案】ABCD【解析】应急响应包括PDCR模型：准备、检测分析、遏制根除恢复、事后活动。E隐瞒不报违反合规要求。32.【答案】ABCD【解析】《未成年人保护法》禁止提供诱导沉迷、不安全行为、妨害身心健康的内容及烟草广告。E选项所有网络游戏被禁止过于绝对，适龄游戏是允许的。33.【答案】ABCD【解析】出口管制合规需关注物项识别、最终用户/用途、许可证申请及红旗信号调查。E错误，跨国企业需遵守长臂管辖等外国法律。34.【答案】ABCD【解析】有效的培训应具备针对性、时效性、强制性、可考核性。E选项形式应多样化。35.【答案】ABE【解析】责任共担模型：云服务商负责底层设施安全，租户负责上层应用及数据安全。C、D错误。三、判断题36.【答案】A37.【答案】B【解析】有效的合规计划可以减轻责任，但不能完全免除责任，特别是如果违规行为已经造成实质损害。38.【答案】A39.【答案】B【解析】相关市场界定包括相关商品市场和相关地域市场。40.【答案】B【解析】必须经过客观公正的调查程序，依据证据和规章制度处理，不得随意开除。41.【答案】A42.【答案】A43.【答案】B【解析】如果有正当理由（如针对不同交易条件的不同成本、促销期等），可以制定不同的交易条件。44.【答案】A45.【答案】B【解析】合规文化建设是全员责任，业务部门是第一道防线。46.【答案】A47.【答案】B【解析】监控员工上网行为需遵循必要性原则，且必须告知员工，不得侵犯个人隐私权益，详细记录所有网页内容通常过度收集。48.【答案】A49.【答案】A【解析】合规不起诉及量刑指导意见均承认有效合规计划的免责或减刑价值。50.【答案】A51.【答案】B【解析】销毁记录属于妨碍调查，可能构成严重的违法犯罪行为。52.【答案】A53.【答案】A54.【答案】B【解析】经过安全评估或认证的合规数据可以出境，并非绝对禁止。55.【答案】A四、填空题56.【答案】行踪轨迹57.【答案】网络安全事件应急预案58.【答案】国务院反垄断执法机构59.【答案】合规优先/诚信合规60.【答案】单独61.【答案】安全检测62.【答案】监督63.【答案】商业诋毁64.【答案】刑事犯罪65.【答案】二五、简答题66.【答案】企业建立合规管理体系的主要步骤包括：（1）确立合规方针与目标：明确高层承诺和合规方向。（2）进行合规环境分析：识别内外部环境、利益相关方需求。（3）识别与评价合规风险：系统梳理法律法规，评估风险等级。（4）策划应对措施：针对风险制定控制程序、制度及指引。（5）支持与运行：提供资源、培训、意识教育，建立沟通与举报机制。（6）绩效评价：实施监控、检查、内部审计和管理评审。（7）改进：处理不符合项，持续改进体系有效性。67.【答案】根据《个人信息保护法》第十三条，下列情形处理个人信息不需取得个人同意：（1）为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；（2）为履行法定职责或者法定义务所必需；（3）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；（4）为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；（5）在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（6）法律、行政法规规定的其他情形。68.【答案】商业秘密是指不为公众所知悉悉、具有商业价值并经权利人采取相应保密措施的技术信息、经营信息等商业信息。企业应采取的合理措施包括：（1）制度措施：制定保密管理制度，明确商业秘密范围及涉密人员职责。（2）物理措施：对涉密区域实行门禁、监控，限制文件复制。（3）技术措施：对电子文档加密，设置访问权限，使用防泄露系统（DLP）。（4）法律措施：与员工及合作伙伴签署保密协议（NDA）及竞业限制协议。（5）培训措施：定期开展保密意识培训。