2026合规试题及答案

2026合规试题及答案一、单项选择题（共20题，每题1分，共20分。每题只有一个正确选项，请将正确选项的字母填入括号内。）1.根据ISO37301《合规管理体系要求及使用指南》，合规管理的核心原则不包括以下哪一项？（）A.独立性B.包容性C.诚信D.透明度2.依据《中华人民共和国个人信息保护法》，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这被称为（）。A.目的限制原则B.最小必要原则C.知情同意原则D.公开透明原则3.在反洗钱（AML）合规体系中，金融机构在建立客户关系时，必须进行的识别程序被称为（）。A.客户尽职调查（CDD）B.增强尽职调查（EDD）C.简化尽职调查（SDD）D.持续尽职调查（ODD）4.美国反海外腐败法FCPA中，关于“会计条款”的规定，主要要求企业（）。A.仅需保持准确的账簿记录B.仅需建立内部控制系统C.必须保持准确的账簿记录并建立内部控制系统D.无需特别要求，遵循当地GAAP即可5.中国出口管制法规定，国家对两用物项、军品以及其他与维护国家安全和利益、履行防扩散等国际义务相关的货物、技术和服务等实施管制。违反本法规定，出口经营者未取得相关管制物项的出口经营资格，擅自出口管制物项的，其处罚金额最高可达（）。A.违法所得的1倍以上5倍以下B.违法所得的2倍以上5倍以下C.100万元以上500万元以下D.200万元以上500万元以下6.欧盟《通用数据保护条例》（GDPR）中，对于严重的违法行为，监管机构可处以的最高罚款额度是（）。A.1000万欧元或全球年营业额的2%（取较高者）B.2000万欧元或全球年营业额的4%（取较高者）C.5000万欧元或全球年营业额的5%（取较高者）D.没有上限的罚款7.企业合规管理体系中，通常被称为“三道防线”模型，其中第二道防线是指（）。A.业务部门及一线员工B.合规、风控、法务职能部门C.内部审计部门D.外部审计机构8.根据《中央企业合规管理办法》，中央企业应当配备（）。A.首席合规官B.总法律顾问C.合规委员会D.监事会9.在合规风险识别中，PESTEL分析模型主要用于分析（）。A.企业内部财务状况B.企业外部宏观环境C.员工个人行为风险D.供应链特定风险10.关于商业贿赂，以下哪项行为通常不被视为合规的“疏通费”例外？（）A.为加速常规政府行为而向低级别官员支付的小额款项B.在某些允许“疏通费”的国家为加快海关清关而支付的费用C.任何形式的支付以获得不正当优势D.在英国《反贿赂法》下，严格禁止所有疏通费11.GB/T35770-2022/ISO37301:2021标准中，PDCA循环指的是（）。A.计划、执行、检查、改进B.计划、设计、沟通、行动C.组织、领导、控制、协调D.评估、分析、决策、执行12.根据《网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。其中，对于关键信息基础设施的运营者，还应当（）。A.仅存储境内用户数据B.定期进行网络安全检测C.建立专门安全管理机构和主要负责人D.以上都是13.在劳动用工合规中，关于“竞业限制”的规定，竞业限制的期限不得超过（）。A.六个月B.一年C.两年D.三年14.合规审计的重点在于检查（）。A.企业的财务报表是否真实B.企业的经营活动是否遵守了法律法规、准则及内部规章制度C.企业的营销策略是否有效D.企业的生产流程是否高效15.关于数据跨境传输，根据中国相关规定，数据处理者向境外提供数据，必须通过（）。A.国家网信部门组织的安全评估B.专业机构进行个人信息保护认证C.订立标准合同D.以上任一方式皆可，视具体条件而定16.以下哪项不属于有效的合规计划应具备的要素（依据美国司法部企业执法指南）？（）A.制定合理的标准与程序B.高层人员的承诺与监督C.仅针对高层管理人员的培训D.建立举报与调查机制17.广告法中，除医疗、药品、医疗器械广告外，禁止其他广告涉及疾病治疗功能，并不得使用医疗用语或者易使推销的商品与（）相混淆的用语。A.保健食品B.药品C.特殊医学用途配方食品D.医疗器械18.合规管理体系的有效性评价应当基于（）。A.外部审计师的报告B.CEO的个人意愿C.预先设定的绩效指标和合规目标D.往年的合规违规记录19.在合同合规管理中，对于“控制权变更”条款，其主要目的是（）。A.保护买方在并购后的利益B.允许供应商在所有权变更时终止合同C.防止因交易对手被不合规实体收购而带来的关联风险D.增加合同的法律效力20.ESG合规中的“G”主要指的是（）。A.绿色环保B.公司治理C.社会责任D.可持续增长二、多项选择题（共10题，每题2分，共20分。每题有两个或两个以上正确选项，错选、多选、漏选均不得分。）1.建立有效的合规管理体系，通常需要关注以下哪些关键要素？（）A.合方方针与目标B.组织架构与职责分配C.风险识别、评估与应对D.培训与意识提升E.监控、审核与改进2.根据《中华人民共和国反垄断法》，具有市场支配地位的经营者不得从事下列哪些滥用市场支配地位的行为？（）A.以不公平的高价销售商品B.以低于成本的价格销售商品（无正当理由）C.拒绝与交易相对人进行交易（无正当理由）D.限定交易相对人只能与其进行交易E.搭售商品或者在交易时附加不合理的交易条件3.企业在面临监管调查时，正确的应对措施包括（）。A.立即销毁相关内部邮件和文件B.启动内部调查程序C.评估是否需要适用行政和解或暂缓起诉协议D.确保与监管机构的沟通渠道畅通且诚实E.行使律师-客户特权保护敏感法律意见4.以下哪些情形属于《个人信息保护法》中规定的“敏感个人信息”？（）A.生物识别信息B.宗教信仰C.特定身份信息D.医疗健康信息E.行程轨迹5.合规培训的内容应当根据受众的不同进行差异化设计，针对管理层，培训重点应包括（）。A.合规文化的重要性B.具体业务操作流程C.合规违规的法律后果及个人责任D.合规风险的识别与管控E.如何填写报销单据6.关于反洗钱制裁名单筛查，以下说法正确的有（）。A.应当包括联合国安理会决议名单B.应当包括美国OFACSDN名单C.应当包括中国外交部发布的制裁名单D.只需筛查客户本人，无需筛查受益所有人E.需建立定期更新名单的机制7.根据《数据安全法》，国家建立数据分类分级保护制度。以下关于数据分级的描述，正确的有（）。A.根据数据在经济社会发展中的重要程度B.根据数据遭到篡改、破坏、泄露或者非法获取后对国家安全造成的危害程度C.分为核心数据、重要数据、一般数据D.一旦企业数据泄露都属于核心数据E.核心数据严格受到国家管控8.企业进行第三方合规尽职调查时，应重点关注第三方（）。A.是否有不良商业信誉或违法违规记录B.是否具备相应的业务资质C.与我方员工是否存在亲属或不当利益关系D.其合规管理体系的完善程度E.员工的薪酬水平9.有效的举报机制应具备哪些特征？（）A.举报渠道的多样性（电话、邮件、信箱等）B.举报人的严格保密与保护机制C.对举报信息的及时调查与反馈D.允许实名和匿名举报E.对恶意举报进行惩戒10.在供应链合规管理中，企业要求供应商遵守的行为准则通常涵盖（）。A.禁止使用童工和强迫劳动B.环境保护与节能减排C.职业健康与安全D.知识产权保护E.商业贿赂禁止三、判断题（共15题，每题1分，共15分。请判断下列说法的正误，正确的打“√”，错误的打“×”。）1.合规管理的责任仅限于合规部门，业务部门只要完成业绩指标即可，无需承担合规责任。（）2.ISO37301标准取消了“合规管理体系”必须由最高管理者任命“合规管理者代表”的强制性要求，而是强调“治理机构和最高管理者”的领导作用。（）3.中国的《反不正当竞争法》禁止经营者进行商业贿赂，但为促进销售而给予对方中间人（如代理商、经纪人）佣金的行为，只要如实入账就是合法的。（）4.企业只要制定了完善的合规制度，即使没有实际执行，也能在监管处罚时作为免责的抗辩理由。（）5.根据GDPR，数据处理者（DataProcessor）直接对数据主体（DataSubject）负责，并需在发生数据泄露时直接通知监管机构。（）6.“实质重于形式”原则在合规判断中非常重要，即即使某项交易在法律文件上看似合规，但如果其商业目的是规避法律监管，仍可能被认定为违规。（）7.美国FCPA不仅禁止美国本国公司行贿，也禁止在美国上市的外国公司或利用美国邮件系统等进行通信的外国公司行贿。（）8.在进行关联交易合规审查时，只要交易价格是公允的，就不需要进行特别的披露和审批。（）9.合规风险与法律风险是完全相同的概念，可以互换使用。（）10.企业合规管理应当具有适应性，随着外部法律法规的变化和内部业务的发展，及时进行动态调整。（）11.对于关键信息基础设施运营者，其采购的网络产品和服务，应当通过网络安全审查。（）12.只有上市公司才需要建立反舞弊和举报机制，非上市公司无需设立。（）13.在跨境投资合规中，仅仅关注东道国的法律即可，无需考虑母国（如中国）的长臂管辖法律。（）14.银行业金融机构对于洗钱风险较高的客户，应当采取与其风险状况相称的强化控制措施，即增强尽职调查。（）15.合规文化建设的最高境界是“全员合规”，即合规成为每一位员工的自觉行为习惯。（）四、填空题（共10题，每题1分，共10分。请将答案填写在横线上。）1.合规是指企业及其员工的经营管理行为符合__________、行业准则以及企业内部规章制度。2.2022年发布的中国国家标准GB/T35770-2022等同于国际标准__________。3.在合规风险应对策略中，针对发生频率低但影响巨大的风险，通常采取__________策略（如购买保险）。4.《中华人民共和国反垄断法》规定，经营者集中达到国务院规定的申报标准的，经营者应当事先向__________申报，未申报的不得实施集中。5.根据中国《数据出境安全评估办法》，数据处理者向境外提供数据，符合下列情形之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：一是处理100万人以上个人信息的数据处理者向境外提供个人信息；二是累计向境外提供__________万人以上个人信息或1万人以上敏感个人信息。6.合规管理中的“__________”原则，要求企业在面临商业利益与合规要求冲突时，优先选择遵守合规要求。7.FCPA禁止向外国官员、政党官员或__________行贿以获取不正当商业利益。8.企业在采购环节的合规风险主要包括供应商资质审核不严、收受回扣、__________以及围标串标等。9.合规管理体系文件通常分为四个层级：手册、程序文件、__________和记录表单。10.根据欧盟《企业可持续发展尽职调查指令》（CSDDD），大型企业有义务识别和终止、预防、减轻其自身运营以及__________和业务伙伴对人权和环境的负面影响。五、简答题（共5题，每题5分，共25分。）1.请简述合规管理中“三道防线”模型的具体构成及其主要职责。2.根据《中央企业合规管理办法》，合规委员会的主要职责是什么？3.简述企业在进行第三方合规尽职调查时，应采取的主要步骤。4.什么是“数据最小化”原则？企业在日常运营中如何落实该原则？5.简述ISO37301合规管理体系中“环境”这一要素的理解，以及企业在分析环境时应考虑哪些因素。六、案例分析题（共2题，每题15分，共30分。）案例一：A公司是一家中国知名的消费电子制造企业，计划拓展海外市场，并在东南亚某国B国设立了全资子公司。为了快速获得当地的基础设施建设项目订单，A公司管理层指示子公司负责人C与当地某政府部长D进行接触。部长D暗示，若A公司能资助其竞选连任的“政治献金”100万美元，将有助于A公司获得项目。C认为这是当地“潜规则”，为了公司业绩，便以“咨询费”的名义将款项汇入D指定的海外账户。随后，A公司顺利中标。一年后，该国发生政变，新政府成立反腐委员会，此事被曝光。同时，A公司作为一家在美上市的中概股，也引起了美国SEC的关注。问题：1.A公司的行为违反了哪些国际合规义务及中国相关法律？（5分）2.针对此事，A公司总部应立即采取哪些合规应对措施？（5分）3.为了防止未来类似事件发生，A公司应从哪些方面完善其海外投资合规管理体系？（5分）案例二：E公司是一家大型互联网平台公司，拥有超过2亿的活跃用户。近期，E公司推出了一款新的健康管理APP，该APP需要收集用户的身份证号、人脸识别信息、病史记录以及实时地理位置。为了推广该APP，E公司与一家第三方营销公司F签署了合作协议，将所有用户的上述数据打包传输给F公司，以便F公司进行精准广告投放。双方在合同中约定了保密义务，但未签订任何关于数据出境或个人信息处理的标准合同。不久后，F公司遭到黑客攻击，导致上述大量用户数据在暗网被公开售卖，引发了严重的社会恐慌和大量用户投诉。当地监管部门介入调查。问题：1.请结合《个人信息保护法》及相关数据合规法规，分析E公司在数据处理活动中存在的违规行为。（8分）2.假设你是E公司的首席合规官，针对此次数据泄露事件，请列出一份详细的整改与补救方案。（7分）七、综合论述题（共1题，共30分。）题目：随着全球经济形势的复杂化和监管科技的快速发展，企业面临的合规挑战日益严峻。请结合“合规不起诉”制度在中国的司法实践、ESG（环境、社会和治理）合规的全球趋势，以及数字化手段在合规管理中的应用，论述一家跨国经营的中国企业应如何构建具有“适应性”和“预防性”的现代化合规管理体系。要求：逻辑清晰，论点明确，结合实际案例或法规进行阐述。参考答案一、单项选择题1.B2.B3.A4.C5.A6.B7.B8.A9.B10.C11.A12.D13.C14.B15.D16.C（解析：有效的合规计划要求全员培训，而非仅针对高层。）17.B18.C19.C20.B二、多项选择题1.ABCDE2.ABCDE3.BCDE4.ABCDE5.ACD6.ABCE（解析：筛查范围应覆盖客户及其受益所有人BO。）7.ABCE（解析：数据分级是根据危害程度，并非所有泄露都是核心数据。）8.ABCD9.ABCDE10.ABCDE三、判断题1.×（解析：业务部门是合规的第一道防线，承担主体责任。）2.√3.√4.×（解析：制度的落地执行是合规有效性的关键，仅有制度而无执行不能免责。）5.×（解析：数据控制者Controller负责通知，处理者Processor需配合控制者。）6.√7.√8.×（解析：关联交易无论价格是否公允，均需履行披露和审批程序以防范利益冲突。）9.×（解析：合规风险范围更广，包含监管处罚、声誉损失等；法律风险侧重违反法律法规的后果。）10.√11.√12.×（解析：所有企业都应建立反舞弊机制。）13.×（解析：必须考虑母国的长臂管辖，如中国《反海外腐败法》草案及《出口管制法》。）14.√15.√四、填空题1.法律法规2.ISO37301:20213.风险降低（或风险缓释/转移）4.国务院反垄断执法机构5.106.合规优先7.国际公共组织官员8.虚假报销9.作业指导书（或操作指引）10.价值链五、简答题1.答：第一道防线：业务部门及全体员工。职责：在业务开展过程中直接识别、评估和应对合规风险，确保业务操作符合合规要求，是合规管理的源头。第二道防线：合规、风控、法务等职能部门。职责：制定合规政策和制度，提供合规咨询，对业务部门进行指导、监督和检查，协助管理层搭建合规框架。第三道防线：内部审计部门。职责：对合规管理体系的有效性进行独立评估和审计，直接向董事会或审计委员会报告，确保前两道防线正常运转。2.答：根据《中央企业合规管理办法》，合规委员会主要职责包括：（1）统筹协调企业合规管理工作，研究决定重大合规管理事项；（2）审议批准合规管理基本制度、年度报告及重大合规风险事件应对方案；（3）指导监督各部门和所属单位合规管理工作；（4）研究提出合规管理体系建设重大决策部署建议。3.答：主要步骤包括：（1）风险筛查：确定第三方所处的风险等级（如国家风险、行业风险），确定尽职调查的深度。（2）信息收集：收集第三方的营业执照、股权结构、受益所有人信息、资信证明、违法违规记录等。（3）背景调查：通过公开数据库、媒体检索、国际制裁名单筛查等渠道核实第三方声誉。（4）合同约束：在合作协议中嵌入合规条款，要求第三方承诺遵守法律法规及企业合规准则。（5）持续监控：在合作期间定期对第三方进行复审，特别是在发生控制权变更或出现负面舆情时。4.答：定义：数据最小化原则是指处理个人信息应当限于实现处理目的的最小范围，不得进行与处理目的无关的个人信息处理。落实方式：（1）收集阶段：仅收集业务功能所必需的最少信息，不强制收集非必要信息（如APP不应强制读取通讯录）。（2）存储阶段：缩短存储期限，超过期限后删除或匿名化处理。（3）使用阶段：限制访问权限，仅授权必须处理该数据的人员。（4）共享阶段：共享数据时进行去标识化处理，仅提供必要的字段。5.答：理解：“环境”是指对合规管理体系目标实现产生影响或受其影响的内部和外部因素的总和。它是建立合规管理体系的基础和出发点。考虑因素：（1）外部环境：法律法规的变化（如PIPL生效）、监管机构的执法重点、行业准则、国际条约、政治经济形势、竞争对手合规状况、客户及合作伙伴的合规要求。（2）内部环境：企业的战略目标、组织架构、业务流程、企业文化、员工的合规意识、现有的IT系统、资源能力等。六、案例分析题案例一：1.答：违反国际合规义务：违反了美国《反海外腐败法》（FCPA），因为A公司作为在美上市企业，通过贿赂外国官员（B国部长）获取业务，且利用了国际商业手段（汇款）。违反中国法律：违反了中国《刑法》关于对非国家工作人员行贿罪（若部长D被认定为非国家工作人员）或行贿罪（若涉及国有资产管理或特定解释）的相关规定；同时违反了中国《反不正当竞争法》关于禁止商业贿赂的规定。若涉及跨境资金违规转移，还违反了外汇管理规定。2.答：立即停止违规行为：暂停在B国的相关业务，冻结相关资金。启动内部调查：组建独立的内部调查小组（必要时聘请外部律所），查清事实真相、资金流向、涉及人员及管理层知情程度。报告与配合：根据上市地规则（SEC）和中国法律要求，评估是否需要进行自我披露，并配合监管机构的调查。问责与整改：对涉事人员（包括子公司负责人C及批准此事的高管）进行严肃处理（停职、辞退）；追缴违规所得。危机公关：制定统一的对外口径，管理声誉风险。3.答：完善反腐败政策：明确禁止任何形式的政治献金、疏通费和招待费，制定严格的礼品与招待指引。加强第三方管理：建立严格的代理商和合作伙伴尽职调查流程，在合同中明确反腐败合规条款，保留审计权。强化财务控制：加强对海外大额资金支付的审批流程，要求必须提供充分的商业依据和合规凭证。提升合规文化：开展针对全员，特别是海外管理层的FCPA及中国反商业贿赂法专项培训，确立“合规一票否决”的业绩考核导向。案例二：1.答：违反“告知-同意”原则：收集身份证号、人脸、病史等敏感信息，未获得用户的单独同意。违反“目的限制”原则：收集健康和位置信息用于健康管理，却提供给营销公司用于广告投放，超出了原始处理目的。违反数据提供安全规范：向第三方提供数据未进行安全评估（如涉及数量巨大），未签订标准合同（SCC），未确保第三方具备足够的数据安全能力。违反数据安全技术义务：未采取加密、去标识化等必要的安全措施保护数据，导致泄露。违反个人信息保护影响评估（PIA）义务：处理敏感个人信息及向境外提供数据前，未进行个人信息保护影响评估。2.答：整改与补救方案：应急响应：立即断开受影响系统与网络的连接，修补漏洞；通知F公司删除或控制数据泄露源。通知义务：按照《个人信息保护法》要求，立即通知监管部门（网信办、公安等），并通知受影响的用户（告知泄露事项、影响及建议措施）。全面排查：聘请专业数据安全机构对全平台进行安全审计，查找其他潜在漏洞。法律追偿：起诉F公司违反保密协议，追究其法律责任，并索赔损失。业务整改：暂停APP新用户注册或相关敏感功能，直至整改合格。重新设计隐私政策，实施弹窗单独同意机制。停止与F公司的合作，对所有第三方数据合作进行重新审查。实施数据分类分级管理，对敏感数据进行加密存储和传输。组织问责：对相关责任部门负责人及直接责任人进行处罚。七、综合论述题答：构建具有“适应性”和“预防性”的现代化合规管理体系，是跨国经营的中国企业应对全球复杂监管环境、保障基业长青的关键。以下结合合规不起诉、ESG趋势及数字化应用进行论述。一、顶层设计：确立“合规优先”的战略定位与治理架构现代化合规体系必须超越传统的“条条框框”管理，上升至公司战略层面。1.治理结构完善：董事会和最高管理者必须承担合规最终责任。设立首席合规官（CCO），并确保其拥有独立性和向董事会汇报的渠道，避免业务部门对合规工作的干预。2.资源保障：投入充足的预算和人力资源，特别是配备懂法律、懂业务、懂外语的复合型合规人才。二、机制建设：利用“合规不起诉”制度强化“预防性”功能中国检察机关正在推行的涉案企业合规改革（合