2026年合规师考试题目及答案

2026年合规师考试题目及答案第一部分单项选择题（本部分共20题，每题1分，共20分。每题只有一个最符合题意的选项。）1.根据《中央企业合规管理办法》的规定，下列选项中，关于首席合规官职责表述最准确的是（）。A.负责对企业重大决策事项进行合规审查并出具书面审查意见B.直接负责公司所有业务线的日常经营管理工作C.仅负责组织搭建合规管理信息系统，不参与具体业务审核D.负责代替董事会决定企业所有重大投资事项2.在企业合规管理体系中，合规风险评估的发起频率通常应当（）。A.至少每年进行一次全面评估，且在发生重大合规风险事件或内外部环境发生重大变化时及时开展专项评估B.仅在公司上市或并购时评估一次C.每五年进行一次全面评估即可D.无需定期评估，仅在监管机构检查时临时开展3.根据《中华人民共和国反不正当竞争法》的规定，下列行为中，属于商业贿赂的是（）。A.经营者以明示方式向交易相对方支付折扣并如实入账B.经营者向中间人支付合法的佣金并如实入账C.经营者向交易相对方的工作人员提供财物以谋取交易机会D.经营者按照合同约定向客户支付违约金4.在反垄断合规领域，下列行为中，构成《反垄断法》所禁止的“轴辐协议”的是（）。A.具有竞争关系的经营者之间达成的固定商品价格的协议B.经营者与交易相对人达成限定向第三人转售商品最低价格的协议C.组织其他经营者达成垄断协议，或者为其他经营者达成垄断协议提供实质性帮助的行为D.经营者因经济不景气，为缓解销售量严重下降而共同降价的协议5.关于企业数据合规中的“告知-同意”规则，下列表述正确的是（）。A.处理者可以默认勾选方式获得用户同意B.处理者必须向用户告知处理目的、方式、种类、期限等，并取得其自愿、明确、充分的同意C.用户撤回同意后，处理者可以继续处理其已收集的全部历史数据D.对于敏感个人信息，处理者只需获得用户口头同意即可6.根据《中华人民共和国个人信息保护法》，处理不满十四周岁未成年人个人信息的，应当（）。A.取得未成年人的单独同意即可B.取得未成年人的父母或者其他监护人的同意，并制定专门的个人信息处理规则C.无需取得同意，但需进行匿名化处理D.只需在隐私政策中说明，无需单独取得同意7.企业合规管理体系中的“三道防线”架构中，属于“第二道防线”的职能部门是（）。A.业务部门B.内部审计部门C.合规管理部门D.纪检监察部门8.根据《中华人民共和国出口管制法》，出口经营者未取得相关管制物项出口经营资格擅自从事出口经营的，由海关责令停止违法行为，没收违法所得，并处（）罚款。A.违法所得一倍以上三倍以下B.违法所得一倍以上五倍以下C.违法所得一倍以上十倍以下D.违法所得一倍以上十五倍以下9.在合规管理体系的持续改进环节，企业建立合规举报机制的核心目的是（）。A.降低企业内部沟通成本B.及时发现和纠正违规行为，防范合规风险C.用于收集员工对薪酬制度的意见D.替代内部审计部门的所有职能10.关于企业刑事合规不起诉制度，下列说法正确的是（）。A.该制度适用于所有类型的犯罪，不受罪名限制B.涉案企业需要承诺建立或完善合规管理体系，并在考验期内接受监督考察C.适用该制度后，企业相关责任人必然免于刑事处罚D.该制度由人民法院直接决定是否适用，检察院无权提出建议11.根据《中华人民共和国劳动法》及相关规定，企业在制定涉及劳动者切身利益的规章制度时，应当（）。A.由企业法定代表人单方面直接签发生效B.经职工代表大会或者全体职工讨论，提出方案和意见，与工会或者职工代表平等协商确定C.仅需在企业内部网站公示，无需征求员工意见D.报劳动行政部门审批后方可生效12.下列情形中，企业面临“重大合规风险”可能性最高的是（）。A.某制造业企业未及时更新内部员工通讯录B.某跨国药企在境外投资时未建立反商业贿赂专项合规制度C.某零售企业更换了办公大楼的保洁服务供应商D.某互联网公司调整了前端页面的字体样式13.根据《中华人民共和国反洗钱法》，金融机构在与客户建立业务关系时，应当（）。A.仅对单笔交易金额超过100万元的客户进行身份识别B.对客户进行身份识别，但无需了解客户的职业或经营状况C.采取合理方式确认并记录客户身份资料，并了解客户的交易目的和性质D.委托第三方全权代理客户身份识别工作，无需承担任何审核责任14.合规风险的“固有风险”与“剩余风险”之间的关系是（）。A.剩余风险等于固有风险减去控制措施有效覆盖后的风险B.固有风险等于剩余风险减去控制措施有效覆盖后的风险C.两者是等同概念，没有区别D.固有风险与剩余风险之间不存在数学关系15.根据《中华人民共和国招标投标法》，下列属于串通投标行为的是（）。A.投标人根据自身实力自主报价B.不同投标人的投标文件由同一单位或者个人编制C.投标人在开标前向招标人询问项目概况D.中标人按照合同约定将部分非主体工作分包给有资质的单位16.关于企业反腐败合规体系中的“高风险岗位”识别，下列岗位通常被列为高风险岗位的是（）。A.前台行政助理B.内部报刊编辑C.采购经理D.档案管理员17.根据《中华人民共和国网络安全法》，关键信息基础设施的运营者在中国境内运营中收集和产生的个人信息和重要数据应当在（）。A.境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估B.任意选择全球任意地点存储，无需申报C.必须存储于境外，以提升数据安全性D.仅存储于企业自建机房，无需遵守任何出境规则18.下列选项中，属于合规管理“有效性评价”中“过程评价”指标的是（）。A.因违规导致的行政处罚金额下降比例B.合规培训覆盖率C.商业伙伴因腐败被制裁的次数D.合规风险事件造成的资产损失总额19.关于“合规尽职调查”在投资并购中的应用，下列说法正确的是（）。A.仅需调查目标公司的财务报表数据，无需关注合规记录B.无需调查目标公司历史合规风险，因其已发生过的风险不影响交易C.应重点审查目标公司的合规管理体系、行政处罚记录、诉讼仲裁以及潜在的合规债务D.尽职调查只需由外部律所单独完成，企业内部合规部门不参与20.根据《中华人民共和国行政处罚法》，违法行为在（）年内未被发现的，不再给予行政处罚；涉及公民生命健康安全、金融安全且有危害后果的，上述期限延长至（）年。A.一；三B.二；五C.三；十D.五；二十第二部分多项选择题（本部分共10题，每题2分，共20分。每题有两个或两个以上符合题意的选项，多选、少选、错选均不得分。）21.下列属于企业合规管理体系核心要素的有（）。A.合规方针与合规目标B.合规风险的识别、分析与评价C.合规举报与查处机制D.合规绩效考核与结果应用E.持续改进与合规审计22.根据《中华人民共和国数据安全法》，开展数据处理活动应当遵循的原则包括（）。A.合法、正当、必要原则B.以数据集中统一管理为唯一导向C.数据安全与数字经济发展相协调D.分类分级保护原则E.仅以企业经济效益最大化为优先目标23.在出口管制合规领域，企业建立内部合规制度的要素通常包括（）。A.出口物项识别与筛查程序B.最终用户和最终用途承诺书管理C.出口管制培训与宣传D.内部审计与记录保存E.将产品销往任何国家且不需审查24.下列行为中，可能构成不正当竞争行为的有（）。A.擅自使用他人有一定影响的企业名称，引人误认为是他人商品B.经营者对其商品的销售状况、用户评价作虚假或者引人误解的商业宣传C.经营者利用技术手段，恶意对其他经营者合法提供的网络产品实施不兼容D.经营者以低于成本的价格销售鲜活商品E.经营者通过组织虚假交易等方式，帮助其他经营者进行虚假宣传25.关于企业合规委员会的职责，下列表述正确的有（）。A.统筹协调企业合规管理工作B.研究决定合规管理重大事项C.直接负责具体业务的操作执行D.听取合规管理负责人工作报告E.审批下属所有子公司的每一笔报销单据26.根据《中华人民共和国反垄断法》，下列属于经营者集中申报标准考量因素的有（）。A.参与集中的经营者在相关市场的市场份额及其对市场的控制力B.相关市场的市场集中度C.经营者集中对市场进入、技术进步的影响D.经营者集中对消费者和其他有关经营者的影响E.经营者集中对国民经济发展的影响27.在合规管理体系认证（如ISO37301）中，组织需要向最高管理者（董事会或高层）汇报的合规绩效信息通常包括（）。A.合规目标的实现程度B.不合规情况及纠正措施的实施效果C.合规风险评价的结果及潜在变化趋势D.员工对食堂满意度调查问卷的详细统计数据E.合规培训的完成率及有效性评价结果28.关于第三方商业伙伴合规管理，下列做法正确的有（）。A.对所有商业伙伴均采用无差别的统一审查标准，不区分风险等级B.对高风险商业伙伴进行强化尽职调查，包括背景调查、受益所有人识别C.在合同中明确约定反腐败、反垄断、数据保护等合规条款D.定期对重要商业伙伴进行合规履约评价与现场审计E.仅对国外商业伙伴进行合规审查，国内商业伙伴无需管理29.根据《中华人民共和国刑法》关于单位犯罪的规定，下列表述正确的有（）。A.单位犯罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员判处刑罚B.单位犯罪以法律规定为前提，法律未规定的，不构成单位犯罪C.个人为进行违法犯罪活动而设立公司实施犯罪的，按个人犯罪论处D.公司设立后以实施犯罪为主要活动的，按单位犯罪论处E.盗用单位名义实施犯罪，违法所得由实施犯罪的个人私分的，依照自然人犯罪定罪处罚30.企业建立有效的合规举报机制，应当包含的要素有（）。A.设立举报热线、邮箱等多种便捷举报渠道B.对举报人身份信息严格保密，严禁打击报复C.设立专门的调查小组或委托独立第三方开展调查D.对查证属实的举报，可给予举报人适当奖励E.举报受理范围仅限于贪污受贿，其他合规问题不予受理第三部分判断题（本部分共10题，每题1分，共10分。正确的涂“A”，错误的涂“B”。）31.合规管理仅仅是法律部门或合规部门的工作，业务部门在开展业务时无需主动识别与报告合规风险。（）32.企业合规管理体系一旦建立并发布相关制度文件，即代表合规管理体系是持续有效的，无需根据内外部环境变化进行动态调整。（）33.根据《中华人民共和国个人信息保护法》，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。（）34.在反垄断合规中，行业协会组织本行业经营者达成统一涨价协议，因是行业自律行为，不属于违法行为。（）35.企业因违反合规规定被追究刑事责任，仅影响企业声誉，不会对企业的经营资质、投标资格或融资能力产生任何负面影响。（）36.合规风险识别的范围应覆盖企业的业务流程、产品服务、管理活动以及外部商业伙伴关系等各个方面。（）37.根据我国现行法律规定，企业实施商业贿赂行为的，仅追究直接责任人员的行政责任或刑事责任，企业本身不承担任何责任。（）38.合规培训的对象应当包括企业全体员工，但针对不同岗位和不同风险暴露程度的员工，培训内容的侧重点可以有所不同。（）39.在数据出境合规中，只要数据接收方所在国家的法律未明确禁止数据出境，即可自由传输，无需进行任何风险评估或申报。（）40.合规管理“独立性”原则要求合规部门及其人员不受其他部门利益干扰，能够客观公正地履行合规审查、监督与报告职责。（）第四部分简答题（本部分共3题，每题10分，共30分。）41.请简述企业合规风险识别的基本步骤，并列举至少四种常用的合规风险识别方法。42.根据《中华人民共和国个人信息保护法》，简述个人信息处理者应当履行哪些主要义务？43.在企业反腐败合规管理中，针对第三方商业伙伴，通常应包含哪些合规管控措施？第五部分案例分析题（本部分共2题，每题20分，共40分。）44.案例背景：某大型跨国制造企业A公司，主要业务为精密仪器生产与出口。2025年，A公司计划向某敏感地区B国出口一批高端数控机床。该机床包含多种受中国出口管制清单管制的物项。A公司销售部在未咨询合规部门的情况下，擅自与B国进口商C公司签订了销售合同，并准备委托货运代理D公司安排运输。在合规部门例行审查出口单证时，发现该笔交易存在重大合规疑点。经初步调查发现，C公司的最终用户证明文件存在伪造痕迹，且C公司疑似与B国军事研究所有关联。问题：（1）请根据《中华人民共和国出口管制法》及相关规定，分析A公司在出口该批机床前，应当履行的合规审查义务有哪些？（8分）（2）若A公司未履行合规审查义务，擅自出口管制物项，可能面临哪些法律责任？（6分）（3）请从合规管理体系建设的角度，指出A公司在此次事件中暴露出的合规管理缺陷，并提出至少四项整改建议。（6分）45.案例背景：Y公司是一家互联网平台企业，拥有大量用户个人信息数据。2025年3月，Y公司为了提升广告精准投放效果，在未向用户进行显著告知且未取得用户单独同意的情况下，将其收集的用户浏览记录、购物记录、地理位置等个人信息，通过API接口传输给其关联公司Z广告技术公司。Z公司利用这些数据构建用户画像，并向用户推送个性化广告。某网络安全监管部门接到群众举报后对Y公司进行调查，发现Y公司的隐私政策中虽有提及“可能与关联公司共享信息”，但并未明确告知共享的目的、数据类型以及接收方信息，也未设置单独的同意选项。问题：（1）请根据《中华人民共和国个人信息保护法》及《中华人民共和国数据安全法》，分析Y公司将用户个人信息传输给Z公司的行为存在哪些违法违规之处？（10分）（2）针对该违法行为，监管部门可以依据相关法律对Y公司采取哪些处罚措施？（6分）（3）Y公司应当如何完善其数据合规管理体系，以避免此类事件再次发生？（4分）第六部分综合应用题（本部分共1题，30分。）46.材料背景：W集团是一家大型综合型企业集团，业务涵盖房地产开发、建筑施工、物业管理、商业运营和金融投资五大板块，拥有员工2万余人，分子公司80余家。近年来，W集团业务快速发展，但内部合规管理体系建设相对滞后。2024年至2025年间，集团内部及外部监管中陆续暴露出以下问题：事件1：集团下属某房地产子公司为加快项目审批进度，向当地规划局个别工作人员赠送购物卡及现金共计人民币20万元，被纪检监察机关立案调查。事件2：集团下属某建筑公司在投标某政府安置房项目时，与另一家投标企业串通投标报价，中标后被竞争对手举报，项目被废标，并被列入当地建筑市场“黑名单”六个月。事件3：集团金融投资板块在未取得相关金融业务许可的情况下，通过互联网平台向公众销售所谓“理财产品”，涉及金额巨大，被地方金融监督管理局认定为非法金融活动。事件4：集团人力资源部门在2025年年度考核中，仅以业绩指标为唯一考核标准，未将合规经营指标纳入考核体系，导致部分业务人员为冲业绩而忽视合规要求。事件5：集团总部虽设有法律事务部，但法律事务部仅负责合同审核和诉讼案件处理，未建立系统性的合规风险评估、合规培训、举报查处等机制。问题：（1）请结合上述事件，全面梳理W集团当前存在的主要合规风险类型，并分析每一类风险的具体表现与可能引发的法律后果。（10分）（2）针对W集团的现状，请为其设计一套完整的合规管理体系建设方案，包括组织架构设计、制度体系搭建、运行机制（如风险评估、举报查处、考核问责）以及保障机制（如合规文化、信息化建设、人员配置）等。要求方案具有可操作性和系统性。（15分）（3）请从“三道防线”协同运作的角度，阐述W集团各道防线应分别承担哪些合规管理职责，以及如何实现有效协同。（5分）2026年企业合规师职业能力（中级）统一考试试卷答案及评分参考第一部分单项选择题（每题1分，共20分）1.A解析：《中央企业合规管理办法》规定，首席合规官对企业重大决策事项进行合规审查并出具书面审查意见。B、D明显越权，C过于片面。2.A解析：合规风险评估应定期（至少每年一次）全面开展，并在重大变化时专项评估。B、C、D频率均不符合监管要求及最佳实践。3.C解析：商业贿赂是指向交易相对方工作人员等给予财物以谋取交易机会或竞争优势。A、B为明示且如实入账的折扣佣金，D为合同约定。4.C解析：轴辐协议是指组织其他经营者达成垄断协议或提供实质性帮助的行为。A为横向垄断协议，B为纵向垄断协议，D为豁免情形。5.B解析：告知-同意规则要求告知内容全面、取得自愿明确同意。A默认勾选无效，C撤回同意后不得继续处理，D敏感个人信息需书面单独同意。6.B解析：处理不满十四周岁未成年人个人信息，应取得父母或监护人同意，并制定专门处理规则。7.C解析：第一道防线为业务部门，第二道防线为合规管理职能部门，第三道防线为内部审计部门。8.C解析：根据《出口管制法》第三十四条，未经许可擅自出口管制物项的，处违法所得一倍以上十倍以下罚款。9.B解析：合规举报机制的核心目的是及时发现和纠正违规行为，防范合规风险。10.B解析：刑事合规不起诉制度是指检察院对符合条件的企业，要求其承诺建立合规体系并接受考察，期满后视考察结果决定是否起诉。A错误，有罪名及条件限制；C错误，责任人并非必然免罚；D错误，由检察院启动。11.B解析：根据《劳动合同法》第四条，涉及劳动者切身利益的规章制度或重大事项，应经职工代表大会或全体职工讨论，与工会或职工代表平等协商确定。12.B解析：跨国经营涉及海外反腐败法律风险（如FCPA），属于高风险。A、C、D均属于低风险日常事务。13.C解析：根据《反洗钱法》，金融机构应建立客户身份识别制度，了解客户交易目的和性质。A、B有误，D委托第三方仍需承担最终责任。14.A解析：剩余风险=固有风险-内部控制措施降低后的风险。即固有风险减去控制措施有效覆盖后的风险。15.B解析：不同投标人的投标文件由同一单位或个人编制，属于典型的串通投标行为。A为正常报价，C、D为合规操作。16.C解析：采购经理涉及供应商选择、定价等，是商业贿赂高风险岗位。17.A解析：根据《网络安全法》第三十七条，关键信息基础设施运营者在中国境内收集的个人信息和重要数据应在境内存储，确需出境的需安全评估。18.B解析：过程评价关注合规管理活动的执行情况，如培训覆盖率、风险评估完成率。A、C、D属于结果评价。19.C解析：合规尽职调查应全面审查目标公司的合规记录、潜在负债等。A、B、D均不完整。20.B解析：根据《行政处罚法》第三十六条，违法行为在二年内未被发现的不再处罚；涉及公民生命健康安全、金融安全且有危害后果的，期限为五年。第二部分多项选择题（每题2分，共20分。多选、少选、错选均不得分）21.ABCDE解析：合规方针目标、风险评估、举报查处、考核、审计改进均为合规管理体系核心要素。22.ACD解析：数据安全法强调合法正当必要、分类分级保护、与数字经济发展协调。B、E表述不正确。23.ABCD解析：出口管制合规制度包括物项识别、最终用户审查、培训、记录保存等。E明显错误。24.ABCE解析：A混淆行为，B虚假宣传，C恶意不兼容，E帮助虚假宣传均属于不正当竞争。D为低价销售鲜活商品，属于正当经营（反垄断法豁免情形）。25.ABD解析：合规委员会统筹协调、研究重大事项、听取工作报告。C和E不属于委员会职责。26.ABCDE解析：均为经营者集中审查应当考量的因素。27.ABCE解析：合规绩效汇报包括目标实现程度、不合规情况、风险评价结果、培训有效性。D与合规绩效无关。28.BCD解析：应基于风险分级对不同风险等级伙伴采取差异化措施，A错误；无论国内外商业伙伴均应纳入管理，E错误。29.ABCE解析：根据刑法及司法解释，个人为犯罪设立公司按个人犯罪论处，D错误。单位犯罪实行双罚制，A正确；单位犯罪需法定，B正确；盗用名义私分违法所得的按自然人犯罪论处，E正确。30.ABCD解析：有效举报机制应涵盖多种渠道、保密保护、独立调查、适当奖励。E错误，举报范围应覆盖所有合规风险领域。第三部分判断题（每题1分，共10分）31.B（错误）解析：合规管理是全员责任，业务部门是第一道防线，负有主动识别和报告合规风险的职责。32.B（错误）解析：合规管理体系需要根据法律法规变化、监管要求、业务发展及风险评估结果进行持续动态调整。33.A（正确）解析：《个人信息保护法》第五十四条规定，个人信息处理者应当定期对其处理个人信息遵守法律、行政法规的情况进行合规审计。34.B（错误）解析：行业协会组织本行业经营者达成垄断协议，同样构成垄断行为，需承担法律责任。35.B（错误）解析：刑事责任可能剥夺企业特许经营资格、限制投标、影响融资等，后果极为严重。36.A（正确）解析：合规风险识别应全面覆盖各项业务、产品、管理活动及外部关系。37.B（错误）解析：企业实施商业贿赂的，对企业本身可处罚金，并可能吊销营业执照等。38.A（正确）解析：合规培训应全员覆盖，但需分层分类，针对不同岗位设定差异化内容。39.B（错误）解析：数据出境需履行安全评估、标准合同或认证等合规义务，不能仅以接收国法律未禁止为依据。40.A（正确）解析：独立性是合规管理的重要原则，要求合规部门独立客观履职。第四部分简答题（每题10分，共30分）41.答题要点（共10分）：（1）合规风险识别的基本步骤（每点1.5分，共6分）：①明确识别范围与目标：确定识别的业务领域、地域、流程等；②系统梳理合规义务：全面识别适用的法律法规、监管规定、行业准则、企业内部制度及国际规则；③识别合规风险事件：基于合规义务，通过多种方法分析可能发生的不合规情形、发生原因及后果；④形成风险清单：对识别出的风险进行分类、描述、归集，形成风险库/风险清单，并进行初步排序。（2）常用合规风险识别方法（每点1分，共4分，任答四点）：①问卷调查法；②访谈交流法；③业务流程分析法；④案例分析法（含内部违规案例与外部监管处罚案例）；⑤合规义务梳理法（对照法律法规清单）；⑥穿行测试法；⑦数据分析法（利用内部审计、举报、诉讼数据）。42.答题要点（共10分）：根据《个人信息保护法》，个人信息处理者应当履行的主要义务包括（每点2分，答出5点即可得满分）：①遵循合法、正当、必要和诚信原则，明确处理目的、方式，并公开个人信息处理规则；②取得个人同意（或具备其他合法性基础），并在处理敏感个人信息等情形下取得单独同意；③履行告知义务，向个人告知处理者信息、处理目的、方式、种类、保存期限及行使权利的方式等；④落实最小必要原则，不得过度收集个人信息，保存期限为实现目的所必需的最短时间；⑤采取技术和管理措施保障个人信息安全，包括加密、去标识化、访问控制、安全事件应急响应等；⑥定期开展合规审计，并对处理敏感个人信息、委托处理、向第三方提供、公开、出境等高风险活动进行个人信息保护影响评估；⑦提供个人行使权利（查阅、复制、更正、删除、撤回同意、注销账号等）的渠道和机制；⑧发生个人信息安全事件时，及时采取补救措施，并按规定向主管部门报告及通知个人。43.答题要点（共10分）：针对第三方商业伙伴的反腐败合规管控措施应包括（每点2分，答出5点即可得满分）：①准入审查：对商业伙伴进行反腐败合规尽职调查，包括股权结构、实际控制人、过往违规记录、与政府官员的关系等；②风险分级：根据业务类型、地域风险、涉政府程度等因素对商业伙伴进行风险分类，高风险者强化审查频率和深度；③合同约束：在合同中加入反腐败条款、合规承诺书、审计权条款、违约解除权条款，明确商业伙伴的合规义务；④事中监控：建立异常交易监控机制，关注涉及政府官员的高额礼品、差旅费、佣金等异常支付；⑤培训与沟通：对高风险商业伙伴进行反腐败合规培训与宣传，传递公司合规政策与零容忍态度；⑥定期复审与审计：对重要商业伙伴进行定期合规复审，必要时开展现场审计或委托第三方审计；⑦退出机制：对违反反腐败承诺的商业伙伴，及时采取警告、暂停合作、解除合同、列入黑名单等措施。第五部分案例分析题（每题20分，共40分）44.答题要点：（1）出口管制合规审查义务（8分）：①物项识别义务（2分）：A公司应当依据《出口管制法》及《出口管制清单》，对拟出口的数控机床进行物项归类，确认其是否属于管制物项、属于哪一类管制物项（2分）。②最终用户和最终用途审查义务（2分）：应当严格审查进口商C公司提供的最终用户证明和最终用途证明文件，核实文件真实性，排除其将物项用于军事目的或转售给第三国的可能（2分）。③许可申请义务（2分）：对于列入管制清单的物项，出口经营者应当向国家出口管制管理部门申请许可，未经许可不得出口（2分）。④出口经营者应当建立出口管制内部合规制度，对出口业务进行全流程合规管控，并关注相关国家和地区的管制动态（2分）。（2）法律责任（6分）：①行政责任（3分）：根据《出口管制法》第三十四条，出口经营者未经许可擅自出口管制物项的，由海关责令停止违法行为，没收违法所得，并处违法所得一倍以上五倍以下罚款；没有违法所得或者违法所得不足五十万元的，处五十万元以上五百万元以下罚款。同时可暂扣或吊销相关许可证照。②刑事责任（3分）：如果情节严重，构成犯罪的，依照《刑法》关于走私国家禁止进出口的货物、物品罪等罪名追究刑事责任，对单位判处罚金，对直接负责的主管人员和其他直接责任人员判处有期徒刑等刑罚。（3）合规管理缺陷及整改建议（6分）：管理缺陷（至少指出2项，每项1分，共2分）：①销售部门未将出口业务提交合规部门审查，业务流程缺乏合规审查环节；②合规部门未能提前介入高风险交易，未建立有效的出口管制风险预警机制；③销售部门人员缺乏出口管制合规意识，合规培训不足。整改建议（至少提出4项，每项1分，共4分）：①建立出口管制物项筛查和内部合规审查制度，将合规审查嵌入销售全流程；②完善最终用户和最终用途证明文件的真实性核查程序，必要时通过官方渠道或境外机构核实；③对涉及敏感地区、敏感用户的交易实施“一票否决制”，合规部门具有否决权；④加强全员出口管制合规培训，特别是销售、物流及关务人员；⑤建立出口管制合规专项审计，定期检查高风险业务执行情况；⑥制定违规出口的应急补救预案，发现可疑交易立即停止发货并向主管部门报告。45.答题要点：（1）违法违规之处（10分）：①未履行显著告知义务（2分）：Y公司仅在其隐私政策中笼统提及“可能与关联公司共享信息”，未向用户明确告知共享的具体目的、数据类型、接收方身份信息，不符合《个人信息保护法》第十七条关于告知应当真实、准确、完整、显著的要求。②未取得用户的单独同意（2分）：将个人信息提供给关联公司用于广告精准投放，属于向第三方提供个人信息，依据《个人信息保护法》第二十三条，应当取得用户的单独同意，Y公司未设置单独同意选项。③未履行个人信息保护影响评估义务（2分）：向第三方提供个人信息属于高风险处理活动，依据《个人信息保护法》第五十五条，应当事前进行个人信息保护影响评估，并留存评估报告。④超出授权范围使用个人信息（2分）：Y公司收集个人信息的初始目的未包含向关联公司传输用于广告投放，后续处理超出了用户授权的目的范围，违反了“目的限制”原则。⑤违反数据安全法相关规定（2分）：Y公司未采取有效技术和管理措施保障数据安全，未对数据传输行为进行合规管控，违反了《数据安全法》第二十七条规定的数据安全保护义务。（2）处罚措施（6分）：①责令改正、警告、没收违法所得（2分）：监管部门可依据《个人信息保护法》第六十六条，责令Y公司改正，给予警告，没收违法所得。②罚款（2分）：对Y公司可处五千万元以下或者上一年度营业额百分之五以下罚款；情节严重的，可责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照。对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。③信用惩戒与公益诉讼风险（2分）：监管部门可将违法行为记入信用档案并予以公示。此外，Y公司还可能面临人民检察院提起的个人信息保护公益诉讼或用户提起的民事索赔。（3）数据合规管理体系完善建议（4分，每点1分，答出4点即可）：①建立个人信息保护合规制度体系：制定专门的数据共享与对外提供管理制度，明确审批流程与责任部门。②完善“告知-同意”机制：针对不同数据处理场景（如共享、传输、出境）设计独立的、明确的同意选项，确保用户知情与自愿。③建立个人信息保护影响评估制度：对高风险处理活动（如向第三方提供、委托处理）在事前开展影响评估并留存记录。④强化数据安全技术措施：对数据传输采用加密、脱敏等技术手段，并建立数据流转日志审计机制。⑤开展合规培训与考核：对产品、技术、运营等岗位人员定期进行数据合规培训，将数据合规纳入绩效考核。⑥设立个人信息保护负责人：定期向监管机构报告合规情况，并建立与监管部门的主动沟通机制。第六部分综合应用题（共30分）46.答题要点：（1）主要合规风险类型及法律后果（10分）①反腐败合规风险（事件1）（2.5分）风险表现：向国家工作人员赠送购物卡及现金，构成商业贿赂，可能涉嫌行贿罪。法律后果：对子公司处以罚金，对直接责任人员追究刑事责任；企业被列入行贿犯罪档案，影响参与招投标及获取政府项目；依据《反不正当竞争法》可被没收违法所得并处罚款。②反垄断与招投标合规风险（事件2）（2.5分）风险表现：与竞争对手串通投标报价，构成串通投标及横向垄断协议。法律后果：中标无效，被处以罚款（按项目金额比例），列入失信名单；情节严重的，可构成串通投标罪，追究刑责；同时面临竞争对手的民事诉讼索赔。③金融合规风险（事件3）（2.5分）风险表现：未取得金融业务许可擅自向公众销售理财产品，构成非法金融活动，可能涉嫌非法吸收公众存款罪或擅自设立金融机构罪。法律后果：行政处罚（没收违法所得、罚款、取缔）；构成犯罪的，追究刑责；投资者资金损失可能引发大规模群体性事件及民事索赔。④合规管理机制缺失风险（事件4、5）（2.5分）风险表现：绩效考核未纳入合规指标，合规部门职能单一，缺乏系统性合规风险评估、培训、举报查处机制。法律后果：合规风险无法被及时识别和阻断，上述各类违规事件将持续发生，导致集团整体面临监管处罚、声誉受损、资产损失及刑事责任风险，甚至影响集团上市、融资等重大战略。（2）合规管理体系建设方案（15分）一、组织架构设计（3分）①集团层面设立合规委员会（1分）：由集团董事长或总裁担任主任，首席合规官及主要业务板块负责人任委员，负责统筹规划、重大事项决