捷克企业经营安全合规指南
摘要
本指南分析了中国企业在捷克经营所面临的安全合规环境,指出其由欧盟安全治理规则、捷克本地执行制度和企业内部风险控制机制共同构成。企业需遵循欧盟和捷克本地的制裁措施、出口管制、网络安全、数据保护和职业健康安全等规则,根据自身情况安全合规经营。
一、欧盟规则:综合性安全合规
- 欧盟限制性措施:企业需确认交易对象、最终用户、最终用途和货物流向是否涉及欧盟制裁或限制性措施。
- 两用物项出口管制:企业需判断产品是否属于既可用于民事目的,也可用于军事目的的两用物项,如机械设备、自动化系统、传感器、无人机、工业软件、半导体等。
- 网络安全:企业需遵守网络与信息安全第2号指令,加强关键重要服务提供者的网络安全监管,涵盖能源、交通、金融、医疗等传统企业。
- 欧盟跨境数据安全:企业需遵守通用数据保护条例,处理员工信息、客户数据等均需纳入安全合规体系。
- 职业健康安全和现场安全:企业需遵守职业健康安全要求,包括风险评估、员工培训、工伤事故报告等。
二、捷克本地制度:落实欧盟规则
- 国际制裁执行:捷克金融分析办公室负责协调国际制裁措施的实施,企业需关注与受制裁国家相关的交易、货物转售风险、客户关联等。
- 两用物项出口管制:捷克工业和贸易部负责授权程序,企业需关注从捷克向第三国提供设备、软件或技术等受控场景。
- 反洗钱和客户尽调:捷克金融分析办公室负责反洗钱制度,企业需清晰说明股权结构、保存资金来源文件、审查客户背景等。
- 网络安全:国家网络与信息安全局负责网络安全监管,企业需关注是否属于受监管实体、供应商安全审查等。
- 关键基础设施:企业进入能源、水务、交通等领域需关注关键基础设施保护要求,提交更详细的供应商信息、应急预案等。
- 数据保护:捷克个人数据保护办公室负责数据保护监管,企业需关注跨境数据传输问题,采用标准合同条款或补充安全措施。
- 职业健康与劳动监察:企业需遵守职业安全合规和劳动监察要求,包括安全培训、风险评估、个人防护等。
- 危机管理与应急制度:企业需建立自身业务连续性和应急处置机制,准备火灾、网络攻击、停电等场景的应急预案。
三、企业适用场景:不同的合规要求
- 贸易型和供应链企业:重点在于制裁筛查、最终用户审查、物流路线审查和供应链文件留存。
- 工程承包和项目型企业:重点建立现场安全管理制度,关注制裁条款、合同保函和事故责任。
- 制造业和工业投资企业:重点在生产安全、职业健康、机械设备安全、网络安全和供应链稳定。
- 并购型企业:重点在并购前尽调和并购后整合,建立与捷克本地制度相匹配的集团合规控制体系。
- 科技、数据和关键供应商企业:重点关注网络与信息安全第2号指令、关键基础设施供应商审查、数据传输和远程访问安全。
四、安全合规重要事项提示
- 查明最终受益人和最终用途:需识别客户背后的实际控制人、最终受益所有人等。
- 并非军品才受管制:工业设备、软件、芯片等可能具有两用属性。
- 重视技术服务的出口管制:图纸、软件、源代码等也可能构成受控技术转移。
- 备齐合规文件:需准备股权结构、制裁筛查、供应商声明等文件。
- 网络安全重在平时:网络安全已成为企业治理问题,需管理层负责、风险评估等。
- 安全要求不匹配:需严格遵守工时、休息、劳动合同、职业安全等要求。
- 重视分包商风险:总包仍可能承担监督、协调和连带风险。
- 建立内部举报机制:需建立内部举报渠道,提前发现风险、降低声誉损害。
五、建议
- 进入捷克前:安全风险预评估:评估业务涉及受制裁国家、两用物项、关键行业等风险。
- 交易前:制裁和出口管制筛查:执行制裁筛查、核实最终受益所有人、判断货物是否属于两用物项等。
- 项目启动前:现场安全和用工合规准备:完成现场风险评估、安全管理计划、员工安全培训等。
- 运营期间:网络安全和供应链安全管理:建立持续安全管理制度,识别关键系统、建立访问权限管理、制定网络安全事件报告流程等。
- 风险事件发生后:响应和报告:暂停交易或作业、保存证据、通知内部合规负责人、按法律要求向主管机关报告等。
六、安全合规所需材料
- 制裁和出口管制文件:客户尽调表、供应商尽调表、最终用户声明、制裁名单筛查记录等。
- 反洗钱和银行客户尽职调查文件:公司股权结构图、最终受益所有人说明、资金来源说明等。
- 网络安全文件:IT资产清单、关键系统清单、网络安全风险评估、访问权限管理制度等。
- 职业健康安全文件:工作场所风险评估、HSE管理计划、安全培训记录、个人防护用品发放记录等。
结语
捷克营商安全合规的核心是建立跨越交易、资金、技术、人员、数据、供应链和现场管理的复合风险管理体系。企业应建立交易前筛查、合同中控制、执行中记录、事件后可追溯的安全合规体系,将欧盟规则、捷克本地制度和企业内部流程有效衔接,降低境外经营中的法律、安全和声誉风险。