出海企业合规：三重防线主场战略下的五步方案——从对外投资、反制裁到产业链供应链安全
2026年上半年，《国务院关于产业链供应链安全的规定》《中华人民共和国反外国不当域外管辖条例》《国务院关于对外投资的规定》接连出台，与此前施行的《中华人民共和国反外国制裁法》《阻断外国法律与措施不当域外适用办法》《中华人民共和国出口管制法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及2025年《实施〈中华人民共和国反外国制裁法〉的规定》等法律工具形成衔接，共同构筑了中国企业出海合规的三重防线。
一、第一道防线：对外投资全流程合规
（一）从“审批驱动”到“全流程穿透”
《国务院关于对外投资的规定》（下称“《对外投资规定》”）是我国对外投资领域首部行政法规层级统一立法，共34条，以“服务、管理、保护”三位一体为逻辑主线,推动从“审批驱动”转向覆盖投资前、中、后的“全流程穿透”。两个维度的“穿透”尤值得关注。第一，主体穿透。第二条将“居民个人”纳入投资者范围，意味着此前借红筹架构、外汇37号文登记的居民个人境外投资将全面纳入监管。第二，行为穿透。第十六条要求投资者“建立健全合规经营、内部控制、安全生产、突发事件处置等制度”，将合规义务从“一次性审批”升级为“持续性义务”。
（二）技术、数据、人员：三个新增合规维度
《对外投资规定》第十三条首次将技术出口管制合规义务“嵌入”对外投资活动，明确了对“人”的穿透，因此合规评估因此需两套并行：既问数据或技术出境要不要申报，也问人员派驻安排有无携带受控内容。《中华人民共和国出口管制法》第二条将“物项相关的技术资料等数据”纳入管制范围；第二十条禁止为出口管制违法行为提供代理、货运、寄递、报关、电商平台和金融等服务。《对外投资规定》第二十二条则规定，企业参与对外投资相关仲裁、诉讼或受境外调查时向境外提供证据材料，须遵守国家秘密、数据安全、个人信息保护、技术出口管理、出口管制、司法协助等法律法规——证据出境是涉及《中华人民共和国保守国家秘密法》和《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国出口管制法》等多部法律和《中华人民共和国国际刑事司法协助法》的系统性合规工程，违规可能触发高额罚款甚至刑事责任。
（三）“禁止—限制—鼓励”清单与外汇红线
《对外投资规定》第十一条授权制定“鼓励、限制、禁止”对外投资政策。新负面清单虽未出台，但目前适用的《关于进一步引导和规范境外投资方向指导意见》第四条、第五条对限制开展的和禁止开展的境外投资领域已作分类引导。资金出境环节，《企业境外投资管理办法》《境外投资管理办法》及国家外汇局外汇管理规定共同构成三部门协同闭环监管，未完成相关ODI备案即申请汇出资金的，将依法不予办理。虽然国家外汇管理局正推进跨境投融资便利化，但在享受便利化的同时，企业须同步完善跨境投资合规架构设计。
二、第二道防线：反制裁与阻断机制
（一）从“口头抗议”到“制度化反制”
有专家将当前的反制裁法律体系概况为由基础授权、专门反制、经贸清单、阻断机制和配套安全制度组成的“五把法律利剑”。这一体系在实践中已经发挥了实质作用。2026年5月，商务部依据《阻断办法》发布公告，对美国以涉伊朗石油交易为由制裁恒力石化等5家中国石化企业的措施，决定不得承认、不得执行、不得遵守——这是首例以法治化方式对冲单边制裁与滥用长臂管辖。
（二）《中华人民共和国反外国不当域外管辖条例》：恶意实体清单与禁执令
《中华人民共和国反外国不当域外管辖条例》建立了两项核心制度。其一，“恶意实体清单”：第八条授权将推动或参与实施外国不当域外管辖措施的外国组织、个人列入清单，采取不予签发签证、冻结境内财产、禁止交易合作、禁止进出口、禁止在华投资、罚款等九类措施，与外交部反制清单、商务部不可靠实体清单互补。其二，“禁执令”：第十三条授权国务院法治部门对执行或协助执行外国不当域外管辖措施的组织、个人作出“禁止执行”决定；第十七条规定违反禁执令可被禁止参与政府采购、限制进出口、禁止数据跨境、罚款等。这些制度提示出海企业在遭遇不当域外管辖时有制度化反制手段可运用，但自身亦不得执行或协助执行此类措施，否则可能面临法律责任。
（三）双重合规困境：企业的实务环境与出路
在全球化从“效率优先”转向“安全优先”的背景下，中国企业面临外国监管要求与中国法律义务的双重约束：拒绝配合美欧监管可能遭罚款、市场禁入；完全配合又可能触及中国数据安全、保密、出口管制和国家安全“红线”。“反制裁侵权诉讼路径”为解决这一困境提供了方案，交易对方以遵守外国制裁为由拒绝履约的，可能构成《中华人民共和国反外国制裁法》第十二条项下“执行或者协助执行外国歧视性限制措施”，受害方可提起侵权诉讼，要求停止侵害、赔偿损失。2024年全国首例反外国制裁侵权诉讼案已表明，中国的反制裁法律工具不仅是“纸面上的法律”，在司法实践中已有可供参照的操作经验。对企业而言，实务中最重要的合规动作包括：1.在涉外合同中嵌入“制裁豁免条款”，明确因配合外国制裁拒绝履约不构成免责事由；2.在30日内向商务部报告遭遇外国法律不当域外适用的情形，并申请禁令；3.建立常态化监测机制，对合作外国实体进行合规审查，一旦发现合作外国实体存在中断交易、歧视性行为迹象，及时向主管部门举报。
三、第三道防线：产业链供应链安全
（一）创设安全调查权
《国务院关于产业链供应链安全的规定》是“填补立法空白”之作，核心创新在于第十四条、第十五条赋予有关部门的产业链供应链安全调查权。商务部随后发布的《产业链供应链安全调查工作办法》进一步细化调查程序，规定国内有关法人、组织可以向商务部提交书面材料申请启动调查。有分析认为，此制度与《中华人民共和国反外国制裁法》及其实施规定形成有效衔接，进一步完善了我国反制裁、反干预、反“长臂管辖”法律制度体系。
同样值得关注的是《国务院关于产业链供应链安全的规定》第十二条、第十三条，其意味着产业链供应链安全不仅是“对外反制”的工具，同时也对企业在数据安全、网络安全方面的内部管理提出了更高要求。
（二）新能源产业链的特殊合规考量
在新能源领域，产业链供应链安全与绿色合规形成叠加效应，企业面临更为复杂的多维合规要求：
一是碳边境调节机制（CBAM）的穿透效应。欧盟已提出立法草案，计划从2028年起将CBAM覆盖范围扩展至包括机械装备、汽车及其零部件、家用电器等约180种钢铝密集型下游产品，这可能导致即使中国光伏组件在东南亚或东欧地区完成最终组装，只要其上游原材料源自碳排放强度较高的中国生产基地，那么整个供应链的碳排放成本仍可能在CBAM框架下被追溯与核算。
二是两套合规体系的并行挑战。一方面要满足东道国（尤其是欧盟）的碳足迹追溯、新电池法规、数据保护等要求；另一方面又需遵守中国出口管制、技术出口许可、数据出境安全评估等要求。有合规指南建议，企业应将合规管理体系的有效性作为ESG表现的核心支撑，并在数据隐私领域建立GDPR与中国《中华人民共和国个人信息保护法》双向合规框架。
三是“绿电+绿证”的制度红利。对于出海企业而言，通过绿电直连、零碳园区建设等方式降低产品碳足迹，不仅是应对CBAM的合规手段，也是提升国际市场竞争力的战略选择。
（三）算力、数据与技术出海的交叉合规
工业和信息化部2026年下半年重点工作提出“深入实施‘人工智能+制造’行动”。AI大模型、算力服务出海面临《中华人民共和国出口管制法》约束——核心算法可能落入《中国禁止出口限制出口技术目录》限制出口范围，需取得出口许可证。在跨境提供算力或AI服务时，企业应通过服务协议约定使用范围限制、数据隔离义务和禁止反向工程条款，并建立技术侧的访问频率控制和异常行为监测机制，防范模型被不当利用的风险。
四、企业合规行动方案：五步构建出海合规体系
（一）第一步：前置合规评估
在投资决策阶段，合规审查必须前置，具体应包括四项评估：1.投资方向评估：拟投资项目是否落入敏感行业或敏感国家（地区）的范畴。如涉及敏感类投资，须经国家发改委核准而非省级备案。2.安全审查评估：拟投资项目是否可能触发境外投资安全审查。人工智能、敏感技术、大量敏感数据跨境的投资最为敏感。3.审批路径评估：发改委、商务部、外汇局三重审批的具体路径和时限。4.出口管制与数据合规评估：拟投入的货物、设备、技术、软件、数据是否属于禁止或限制出口物项；人员跨境派遣是否存在“视同出口”风险。
（二）第二步：合同条款合规
境外投资交易文件应将合规要求嵌入合同条款，重点应关注以下四类：1.先决条件条款：将完成《对外投资规定》项下的各项核准、许可、备案、登记等审批事项作为交割前提，而不仅仅列举传统的发改委备案、商务部备案、外汇登记三项。2.交易退出权条款：如实施或继续交易将导致中国投资者违反境外投资监管规定（例如对方或其实际控制人因中国反制措施被列入管制清单），投资者有权退出交易并终止合同。3.制裁阻断条款：明确约定“禁止执行外国歧视性措施”，要求外方承诺遵守中国法律优先原则。《反外国不当域外管辖条例》第十三条和《阻断办法》第五条为此类条款提供了坚实的国内法依据。4.争议解决条款：在仲裁条款中为中国的阻断和反制法律预留适用空间。
（三）第三步：全要素、流程合规管理
在投资实施和投后管理阶段，建立覆盖四个维度的合规管控机制：1.技术维度：对照《出口管制法》和《中国禁止出口限制出口技术目录》，对每一项跨境的设备、软件、工艺参数、设计图纸进行合规筛查。2.数据维度：评估是否触发《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》项下的数据出境安全评估义务；建立证据出境的内部审批流程。3.人员维度：建立人员跨境活动的合规审查机制，对赴境外提供安装调试、技术指导、联合开发、培训的人员进行“携带受控内容”筛查，禁止携带未获许可的技术资料和数据载体。依据《对外投资规定》第十三条，以人员派遣方式转移受控技术须经许可。4.资金维度：确保ODI备案、外汇登记、资金汇出全链条合规。
（四）第四步：建立制裁风险预警与应对机制
一是开展常态化监测。持续跟踪国际制裁动态，特别是美国SDN清单、欧盟制裁清单、中国反制清单和不可靠实体清单的更新。二是履行30日报告义务。《对外投资规定》第三十一条规定，投资者遭遇外国法律不当域外适用，对投资者合法权益造成损害或限制的，应在30日内向商务部如实报告。三是加强证据储备。系统留存与外国合作方的交易记录、沟通函件、合同履行凭证，为可能的反制裁诉讼建立证据基础。
（五）第五步：产业链供应链安全自评
一是梳理关键物项。梳理企业供应链中对关键原材料、技术、设备、产品的依赖关系，评估受外国限制措施影响的敞口。二是开拓多元化供应渠道。开拓替代供应商，降低对单一国家或地区供应链的依赖。三是加强安全信息保护。建立核心技术及相关信息系统、数据的安全可控机制，防止违规的产业链供应链信息收集活动。
【声明】
1.本文作者为北京德恒（深圳）律师事务所肖黄鹤，因篇幅受限，原文脚注、尾注及参考文献均未收录，转载请联系获取授权并注明作者信息；
2.本期信息仅做分享与交流之用，不构成深圳市司法局的任何法律意见或决策建议，文中所提法规及政策文件均以本期发布时有效版本为准，同时并不保证将会在载明日期后继续对有关内容进行更新；
3.不建议读者仅依赖于本文中的全部或部分内容而进行任何决策，因此造成的后果将由行为人自行负责，如您需要法律意见或者其他专家意见，建议您向具有相关资格的专业人士寻求专业帮助。
附件下载：
粤公网安备 44030402002963号