出海企业的廉洁合规必修课——从反跨境腐败法草案二审看企业涉外合规与数据出境的义务边界

一家在海外做工程、做贸易的中国企业，能不能给当地官员“打点打点”？公司服务器里存着员工和客户的数据，能不能随手传给境外的合作方？这些看似“生意经”的问题，正在被一部新的法律一一收紧。

2026年11月2日，反跨境腐败法草案二次审议稿提请十四届全国人大常委会第二十五次会议审议。这部法律专门针对跨境腐败，条文直指两个方向：一是把向境外公职人员行贿纳入规制，二是给境内企业向境外输送资金、数据、证据设下闸门。对主营出口、工程、贸易、投资等跨境业务的企业来说，这很可能成为继反腐败法、数据安全法之后又一条必须看懂的红线。本文结合草案二审稿的主要内容和现行有效法条，把这部“新法”的轮廓讲清楚，也谈谈企业可以提前做哪些合规功课。

一、为什么需要一部专门的反跨境腐败法

跨境腐败之所以被单独立法，是因为传统的国内反腐败框架很难覆盖“钱在境外、人在境外、证据在境外”的情形。一个直观的例子是：中国海洋石油集团有限公司原党组副书记、总经理李勇案，据反腐败学者分析，其犯罪所得超过83%来自境外，利用离岸公司和离岸账户将赃款流经多国银行账户后存入境外银行。传统的国内追赃、证据调取手段，在跨境场景下往往力不从心。

与此同时，随着中国企业大踏步出海，向境外公职人员行贿、在境外规避监管、把境内数据和证据擅自带出境等问题逐步凸显。立法机关因此专门推动制定反跨境腐败法，把反腐败的链条延伸到国境之外，既是对内反腐的延伸，也是对“一带一路”建设中企业合规的规范。

二、二审稿的总体定位：从“依法”到“严格依法”，注入总体国家安全观

草案二审稿在立法目的和原则上作了明显强化。一是进一步丰富完善立法目的，充实反跨境腐败工作的原则，在草案中增加规定“推动构建公正合理的反腐败全球治理体系”“坚持总体国家安全观”。二是在程序要求上，将草案中的“反跨境腐败工作应当依法进行”修改为“反跨境腐败工作应当严格依照宪法和法律，遵守法定程序，尊重和保障人权”。

这两处修改值得细读。“严格依照宪法和法律、遵守法定程序、尊重和保障人权”，是把跨境反腐本身也放进程序正义的框子里——既要打击跨境腐败，也不能以反腐为名损害公民和企业的合法权利。对企业而言，这意味着立法在“监管”与“权利”之间寻求平衡。

三、给境外公职人员“塞钱”：刑法第一百六十四条的现实适用

跨境腐败最典型的形态，是向外国公职人员、国际公共组织官员行贿以换取订单、许可或便利，我国刑法对此早有规制。现行《中华人民共和国刑法》第一百六十四条第二款规定：“为谋取不正当商业利益，给予外国公职人员或者国际公共组织官员以财物的，依照前款的规定处罚”，即构成对外国公职人员、国际公共组织官员行贿罪，处三年以下有期徒刑或者拘役，并处罚金；数额巨大的，处三年以上十年以下有期徒刑，并处罚金。单位犯该罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员处罚。

这一罪名已有判决先例。2023年10月24日，广州市中级人民法院一审宣判中铁隧道局集团奚正兵、周仲贺对外国公职人员行贿、奚正兵受贿一案：二人在海外项目经营中为谋取不正当商业利益向外国公职人员行贿，奚正兵并利用职务便利受贿，法院认定构成对外国公职人员行贿罪，奚正兵另构成受贿罪，数罪并罚执行有期徒刑五年、罚金三十万元，周仲贺获刑二年、罚金十万元。

这说明，向境外公职人员行贿不是“够不着”的境外事，只要与我国有管辖连接，完全可能被追刑责。反跨境腐败法草案二审稿明确“向境外公职人员行贿也将被规制”，正是要把这一打击体系化、常态化。出海企业必须把“境外行贿也是行贿”写进商务红线，别把境外项目当成法外之地。

四、商业贿赂的行政与合规边界：反不正当竞争法怎么说

除了向境外公职人员行贿的刑事风险，跨境经营中的商业贿赂还可能在行政与民事层面触发责任。2025年修订后的《中华人民共和国反不正当竞争法》第八条规定，经营者不得采用给予财物或者其他手段贿赂交易相对方的工作人员、受交易相对方委托办理相关事务的单位或者个人、以及利用职权或者影响力影响交易的单位或者个人，以谋取交易机会或者竞争优势；同时，经营者在交易活动中可以以明示方式向交易相对方支付折扣，或者向中间人支付佣金，但应当如实入账，接受折扣、佣金的也应当如实入账。

这条规定的实践意义在于划出了“合法折扣”与“商业贿赂”的界线：明示、如实入账的折扣和佣金是允许的，账外暗中给予或收受的财物则可能构成商业贿赂。一旦违反，反不正当竞争法第二十四条规定，由监督检查部门没收违法所得，处十万元以上一百万元以下罚款；情节严重的，处一百万元以上五百万元以下罚款，可以并处吊销营业执照。

国内曾有一起影响极大的案件：2014年9月，长沙市中级人民法院对葛兰素史克（中国）投资有限公司商业贿赂案一审宣判，以对非国家工作人员行贿罪判处被告单位罚金人民币三十亿元，相关被告人被判处刑罚，这是中国司法机关开出过的金额最大的罚单之一。其警示逻辑至今有效：销售提成、回扣若不入账、不透明，一旦被认定商业贿赂，企业面临的不仅是罚款，还有刑事风险。

五、数据出境的“闸门”：个保法、数据安全法与不得擅自向境外提供数据

反跨境腐败法草案二审稿的一个新亮点，是把“数据信息”与“证据材料”并列纳入不得擅自向境外提供的范围。草案规定，非经我国有关机关同意，境内机构、组织和个人不得向境外提供“证据材料和其他相关协助”，二审稿进一步明确不得提供“数据信息”。与此同时，草案强化有关机关及其工作人员对知悉的国家秘密、工作秘密、商业秘密、个人隐私和个人信息的保密义务。

数据出境在我国已有整套现行框架。《中华人民共和国个人信息保护法》第三十八条规定，个人信息处理者确需向境外提供个人信息的，应当具备下列条件之一：依照第四十条规定通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、按照国家网信部门制定的标准合同与境外接收方订立合同、或者符合法律行政法规及网信部门规定的其他条件。第四十条进一步要求，关键信息基础设施运营者和处理个人信息达到规定数量的处理者，应将境内收集和产生的个人信息存储在境内，确需向境外提供的应当通过安全评估。

《中华人民共和国数据安全法》第三十六条则从另一角度设了红线：未经主管机关批准向外国司法或者执法机构提供数据的，由有关主管部门给予警告，可以并处十万元以上一百万元以下罚款；造成严重后果的，处一百万元以上五百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照。这与反跨境腐败法草案“非经我国有关机关同意不得向境外提供证据材料、数据信息”一脉相承。

实务中，数据出境不合规的代价已经显现。2026年6月，上海市网信办针对上海携程商务有限公司未落实数据出境安全评估要求、违法出境个人信息等行为，依个人信息保护法予以罚款一千万元并责令限期改正；国家网信办发布的执法典型案例中，亦有企业因超范围收集用户个人信息、未申报数据出境安全评估即向境外传输而被责令改正并罚款。这些案例提示：向境外传数据不是企业“顺手”的内部事，而是一道必须依法履行的程序闸门。

六、廉洁合规部门：从“倡导”走向“法定义务”

草案二审稿对企业最直接的“新增动作”，是廉洁合规机制义务的明确化。草案规定，从事跨境经营业务的境内企业应当根据企业规模、业务范围、风险防控等因素，合理设置廉洁合规管理部门或者人员。与一审稿较为笼统的“应当合理设置”相比，二审稿把“合理”的判断标准明确为企业规模、业务范围、风险防控等因素，使其转化为一项具有可操作性的法定义务。

对企业来说，这意味着：不是“要不要设”，而是“按什么标准设、设到什么程度”。规模越大、跨境业务越复杂、风险敞口越高的企业，越需要实质性的廉洁合规机制——包括反贿赂政策、员工行为准则、交易对手尽调、财务入账审查与内部调查渠道。那些把“合规部”当作挂牌空转的做法，在立法落地后将很难“过关”。

七、启示：跨境企业的合规清单与律师的新机遇

把以上内容落到实操，跨境企业至少可以先做六件事。其一，把“境外行贿也是行贿”写进制度，商务、投标环节的礼品、招待、好处费一律明示入账，对照反不正当竞争法第八条划清折扣与贿赂界线。其二，梳理境外交易对手，建立公职人员关联与利益冲突排查机制。其三，全面盘点数据出境场景，对照个保法第三十八、四十条逐项整改，补安全评估或标准合同备案。其四，遇到境外司法或执法机构索取数据、证据，一律先向我国有关机关报告并取得同意，守住数据安全法第三十六条的红线。其五，按企业规模、业务范围、风险防控因素设立或升级廉洁合规部门，让合规“有人、有责、有流程”。其六，把境外项目纳入集团合规审计，防止境内合规、境外失守的“两张皮”。

对律师而言，这部法律的推进意味着涉外合规与反腐败专项法律服务的空间持续扩大：为企业做跨境合规体系建设、数据出境合规审查、境外商业贿赂风险排查、应对涉外调查，都是潜在的新业务增长点。需要提醒的是，反跨境腐败法目前仍处审议阶段，尚未生效，最终条文以全国人大常委会通过并公布为准；在具体经营与个案处理中，仍以现行有效的刑法、反不正当竞争法、个人信息保护法、数据安全法及其配套规定为准，同时持续跟进立法进展，为落地后的实务变化早做准备。

结语

一部反跨境腐败法，把反腐的触角伸向国境之外，也把合规的责任压实到每一家出海企业。向境外公职人员行贿要担刑责，向境外送数据要过审批，设置廉洁合规部门要从“倡导”变成“义务”——这些变化指向同一个方向：中国企业走出去，业务可以做得大，规矩不能踩得破。对经营者和法务，早一步看清红线，就少一分跨境风险；对律师，这正是把专业能力转化为合规服务的窗口期。法律还在审议，合规已经可以开始。