正如本系列风险评估自查指南第一部分所述，我们正在发布一系列自查评估指南，涵盖跨国公司面临的关键监管和合同风险领域。本文提供的是第七部分，即针对开展供应链合同审查的自查评估。 此前发布的风险自查评估指南包括：第一部分（一般合规）、第二部分（买方合同审查）、第三部分（卖方合同审查）、第四部分（供应链诚信合规自查）、第五部分（反抵制自查）以及第六部分（海关合规与关税风险审查）。
对于不属于传统出口管制范畴的企业而言，当一笔看似常规的商业交易涉及被封锁或受限制的实体、受到全面制裁的国家或地区、被禁止的政府关联方、通过中间人进行的间接交易，或存在暗示规避、转用或隐瞒的行为时，往往会产生制裁风险。 风险还可能源于美国人的协助、使用美国金融体系、外国子公司与美国人员或系统的互动，或从受制裁司法管辖区提供服务或访问权限。执法机构不仅越来越关注企业是否制定了书面制裁政策，还关注其是否实施了切实可行、基于风险的控制措施，并确保这些措施在日常业务中有效运行。
本自查清单旨在帮助跨国公司评估其是否建立了有效且与风险相适应的经济制裁合规框架。该清单特别适用于那些风险源于商业运营而非受控货物销售的公司。 以下问题主要涉及治理、筛查、上报机制、第三方管控、财务与支付风险、技术与访问控制以及应对机制。回答“否”并不一定意味着存在违规行为，但可能表明存在合规缺口，需要进一步审查或改进。
一、风险评估与方案设计
- 贵公司是否针对其产品、服务、商业模式、客户、供应商、关联方、市场及业务覆盖范围，开展过有书面记录的经济制裁风险评估？
- 该评估是否认识到，即使公司未销售受管制商品，仍可能产生制裁风险，包括通过以下方式：(1) 提供服务；(2) 软件、SaaS、平台或云服务访问；(3) 付款或应收款；(4) 通过第三方或渠道合作伙伴进行的交易；(5) 采购及供应商关系；以及 (6) 员工、关联方或客户涉及受制裁司法管辖区或被封锁方的活动？
- 该评估是否考虑了相关的制裁风险因素，包括：(1) 向高风险司法管辖区销售或涉及高风险司法管辖区的交易；(2) 所有权结构不透明的客户、供应商或交易对手；(3) 使用分销商、转售商、推荐合作伙伴、货运代理、报关行、银行、支付处理商或其他中介机构； (4) 从受制裁地区远程访问系统、软件、数据或服务；(5) 涉及政府机构、国有企业或与国家有关联的交易对手的交易；以及 (6) 可能表明存在转运、中转、路线问题或规避行为的交易模式？
- 当业务发生变化时，是否会重新评估制裁风险？这些变化包括：(1) 合并、收购或合资；(2) 进入新市场或新渠道；(3) 新产品、服务、平台或交付模式；(4) 财务、IT 或采购职能的集中化；或 (5) 重大的制裁动态或执法行动？
- 贵公司是否已确定哪些制裁制度可能适用于其运营，包括美国制裁，以及在相关情况下，适用于关联公司、人员、交易或交易对手的英国、欧盟或其他当地制裁法律？
二、治理、所有权与问责制
- 是否已明确将遵守制裁规定的责任分配给相关人员或职能部门，例如法律、合规、财务、贸易合规或企业风险管理部门？
- 贵公司是否制定了明确的流程，用于将制裁相关问题上报给具备足够专业知识和权限、能够中止、审查或拒绝交易的人员？
- 制裁合规职责是否已在各业务职能部门之间进行了合理分配，包括销售、客户入职、采购、应付账款、应收账款、资金管理、物流、IT、人力资源和客户支持？
- 高级管理层能否充分了解制裁风险、重大事件、高风险市场以及合规资源需求？
- 制裁管控措施的设计是否旨在确保商业人员在缺乏合规或法律支持的情况下，不会被要求自行作出法律判断？
三、政策与实践指南
- 贵公司是否制定了清晰、易于获取且符合其商业模式和运营环境的经济制裁政策？
- 相关政策是否说明，即使公司不经营受管制货物，制裁限制仍可能适用，且常规交易仍可能导致面临制裁风险？
- 相关政策是否就以下方面提供了切实可行的指导：(1) 对交易对手进行筛查；(2) 识别受制裁的国家、地区、实体、船舶及所有权问题；(3) 针对可能的匹配结果或风险警示的上报程序；(4) 涉及受制裁实体或地区的提供服务、软件访问、支持或支付方面的限制；以及 (5) 何时需要进行法律或合规审查？
- 相关政策是否涵盖了被禁止的间接交易，包括通过分销商、转售商、服务提供商、关联方或其他中间商进行的交易？
- 是否会定期审查和更新相关政策，以反映适用制裁法律、执法趋势及业务运营方面的变化？
四、交易对手筛选与入职流程
- 贵公司是否基于风险对相关方（包括客户、供应商、分销商、服务提供商、推荐合作伙伴、代理商、顾问、交易对手及其他第三方）进行尽职调查？
- 在适当情况下，尽职调查是否应扩展至实际受益人、母公司、关联公司、董事、授权签字人、收货人、最终用户、船舶、金融机构及其他交易参与方？
- 贵公司是否有相关流程，用于核实交易对手方是否直接或间接由一名或多名受限人员持有50%或以上的股权，或是否受其他适用限制的约束？
- 入职和供应商设置流程是否旨在收集足够的信息以供制裁审查之用，包括法定名称、地址、国家/地区、适用的所有权信息以及银行账户信息？
- 在入职或付款之前，是否由受过培训的人员对潜在的筛查匹配结果进行审核并予以处理？
- 是否会定期对交易对手进行重新审查，或者在发生相关变更时（例如所有权变更、地址变更、新的付款指示或拓展至新司法管辖区）进行重新审查？
五、地理、服务及技术访问控制
- 贵公司是否评估过是否向受制裁的国家或地区提供产品、服务、支持、软件、SaaS 访问权限、云服务访问权限、更新、下载或其他福利？
- 是否采取了相关控制措施，以识别和处理来自受制裁司法管辖区的对系统、平台、门户或应用程序的访问，包括通过IP地址审查、地理位置定位工具、账户注册数据，或在适当情况下采用其他技术手段？
- 贵公司是否会评估位于受制裁司法管辖区的员工、承包商、客户或第三方，是否以可能引发制裁风险的方式访问服务、支持或系统？
- 如果公司提供专业、技术、金融、数字化或其他非商品类服务，是否设有相关控制措施来评估这些服务是否可能涉及被封锁方、受制裁地区或被禁止的政府相关交易？
- 是否有相关管控措施，以防止绕过对受制裁国家实施的制裁，例如使用替代开票地点、非当地子公司、虚拟专用网络（VPN）、中转点、替代银行，或虚报最终用户所在地？
六、交易审查、风险警示及上报
- 是否对交易进行了审查，以排查与制裁相关的预警信号，包括：(1) 客户或供应商信息不一致；(2) 异常的转账、运输或支付模式；(3) 不愿披露所有权或最终用途； (4) 要求从文件中删除身份识别信息；(5) 无明确商业目的而使用多个中间人；(6) 目的地、交易对手或银行信息在最后一刻发生变更；或 (7) 提及受制裁的国家、地区或实体？
- 客户服务、财务、采购、物流和销售人员是否接受过培训，能够识别制裁方面的预警信号，并在等待审查期间暂停相关活动？
- 当出现制裁相关问题时，是否有关于扣留货物、阻止新用户注册、暂停服务、停止付款或暂停交易的书面程序？
- 针对上报的问题，是否已将相关决策记录在案，包括已审查的事实、处理结果以及后续处理的任何条件？
- 贵公司是否有相关流程，既能高效处理误报，又能确保对潜在的重要匹配结果进行适当审查？
第七章。 财务、资金及支付管控
- 应付账款、应收账款、资金管理和财务团队是否制定了与其职责相适应的制裁相关审查程序？
- 是否在适当情况下，根据风险情况对支付交易对手、汇出银行、收款银行及其他金融机构进行筛查或审查？
- 是否设有控制措施来识别支付活动中的风险信号，例如向第三方付款的请求、频繁更改银行账户信息、涉及高风险司法管辖区的支付、拆分支付、异常货币或无法解释的中介银行？
- 贵公司是否会评估使用美国金融体系、进行美元支付或涉及美国个人是否可能引发额外的制裁风险？
- 被阻止或被拒绝的交易是否按照适用的法律要求和内部程序进行处理，包括记录和上报？
八、第三方、分销商及供应商风险管理
- 贵公司是否对分销商、经销商、代理商、顾问、货运代理、报关行、物流服务商、支付处理商、外包服务商以及其他可能引发制裁风险的第三方实施基于风险的尽职调查？
- 第三方是否受到适当的合同约束，包括关于遵守制裁规定的声明、不从事禁止性交易的承诺、对禁止性转售或后续交易的限制、合作义务、审计权以及在适当情况下的终止权？
- 贵公司是否评估过，第三方是否可能因向受制裁地区提供服务、与被封锁方进行交易、隐瞒最终用户身份或转道处理交易，从而使贵公司面临制裁风险？
- 采购和供应商管理部门是否接受过培训，能够识别供应商和服务提供商关系中的制裁风险，而不仅仅是客户关系中的风险？
- 在客户入职、续约或继续履约之前，是否有针对第三方制裁问题的上报和解决流程？
第九章 关联公司、共享服务及内部运营
- 贵公司是否评估过因关联公司、共享服务中心以及财务、IT、采购、法务、人力资源和客户支持等集中职能部门而产生的制裁风险？
- 当涉及美国人士时，是否有相关控制措施来识别和应对与外国关联方活动相关的潜在协助风险？
- 是否有相关程序规范涉及受制裁司法管辖区或被封锁方的转介、审批、技术支持、开票、采购协助、客户支持或其他内部操作？
- 内部系统、工作流程和审批流程的设计是否确保在向外部作出承诺之前，能够及时上报与制裁相关的问题？
- 如果贵公司曾收购其他企业或通过分散管理的实体开展业务，那么制裁管控措施是否已在整个组织内得到统一落实？
X. 培训、沟通与测试
- 经济制裁培训是否基于风险评估开展，并特别侧重于销售、客户入职、财务、资金管理、采购、物流、法务、IT、客户支持、人力资源以及高级管理层？
- 该培训是否从与非受管制货物业务相关的实际角度，解释了制裁概念，包括涉及服务、软件访问、供应商、关联方和支付的风险？
- 培训内容是否涵盖与贵公司运营相关的真实场景，例如被封锁方筛查结果呈阳性、供应商入驻问题、涉及受制裁地区的请求、可疑支付路径、来自受禁运地区对软件的访问，或分销商/经销商的货品转售？
- 培训情况是否经过跟踪和记录？
- 贵公司是否会定期测试或审核制裁筛查、地理位置控制、上报流程、新客户入职审查、支付控制以及交易冻结等措施在实际操作中是否有效？
十一、记录保存、调查及事件响应
- 员工是否知道如何识别潜在的制裁问题，并将其上报给合规人员、高级管理层或法律顾问？
- 是否有明确的流程来暂停交易、保留记录、调查潜在的制裁问题并记录决策？
- 是否保留了有关筛查结果、上报、审批、被阻止或被拒绝的交易、入职审查、所有权分析以及整改措施的相关记录？
- 是否会及时审查涉嫌违规行为，并采取适当的补救措施和纠正行动，同时在必要时考虑自愿披露、报告或封锁的义务？
- 调查工作是否在相关职能部门（包括法务、合规、财务、IT和业务领导层）之间进行了协调？
第十二章 持续改进
- 从事件、审计、筛查失误、业务变更、客户投诉、支付中断或执法动态中汲取的经验教训，是否已反馈到风险评估、政策、培训和控制措施中？
- 贵公司是否会定期评估其制裁合规控制措施是否仍与其当前的风险状况和商业模式相称？
- 是否对重大制裁动态进行监控，以便公司能够及时应对影响客户、供应商、关联方、业务线或地区的变化？
- 贵公司是否会定期评估：是否应通过自动化工具来补充人工控制，或者自动化工具是否需要额外的人工监督？
如果您需要帮助分析合规自查的结果，请联系本文作者或您在福里律师事务所的负责律师。
你 您还想获得更多像这样的实用合规建议吗？ 福里 国际贸易与国家安全 团队正在密切关注所有国际贸易、执法及合规方面的最新动态，并会在动态发生时第一时间发布在我们的 《关税与国际贸易资源》 博客上发布。 点击此处注册 订阅我们的邮件列表，以接收后续邮件及实用的国际合规建议，包括我们的每周专栏《Tariff-ied! 本周国际贸易动态》和《跨国企业必知》等文章。
我们关于 《贸易战期间的进口与关税风险管理》 概述了一项12步计划，提供切实可行的措施，帮助进口商在当前的关税和贸易环境中应对关税及国际贸易风险；而配套的白皮书《 《供应链完整性风险管理》 则针对进口至美国的货物所面临的日益加剧的供应链风险——包括海关日益频繁的扣留措施——提供了切实可行的建议。
