申楠

中兴通讯首席法务官

恪守商业道德、遵守业务开展所在国的法律法规是中兴通讯在全球合规经营的基本原则。作为深港两地的上市公司，合规经营是中兴通讯的必由之路，也是中兴通讯30多年经营的经验总结。中兴通讯致力于形成高效并有组织的合规运作，将合规制度嵌入到全业务流程，创立合规和业务的融合，致力于实现建立在中兴通讯业务实践基础上的业界一流合规管理体系的目标，使合规成为中兴通讯在商业竞争中的优势。

合规的核心价值在于商业可持续。商业自由度是实现业务量级增长的天然温床，商业可持续则是实现业务的有质增长和成就企业百年老店的前提要件。从当前严监管及企业治理的内外驱动力来说，在商业自由度和商业可持续之间，中兴通讯选择商业可持续。这就决定了中兴通讯所有的规则都以商业可持续作为最优先保障，在安全经营前提下实现管理成本最低和效率最高，以更好地守护中兴通讯客户、合作伙伴、股东、员工及利益相关方的利益。

合规通过与业务与管理的双循环实现规则在具体业务中的落地。合规是企业治理的一部分，合规的内涵及外延很广，包括出口管制、反贿赂、数据保护、海关遵从、劳动用工合规等。中兴通讯加强法律合规专业化团队建设，对重要风险领域进行了细分，并补充专家力量。中兴通讯加大合规资金投入，不断完善出口管制合规体系建设并履行中兴通讯的合规承诺。中兴通讯探索了一套与中兴业务实践相结合的方法，构成了中兴通讯当前整个合规管理体系的核心要素，也即合理规则的制定、全面无死角的培训、坚决的执行和有效稽查。同时中兴通讯也将PDCA循环的模式引入合规业务工作中，创设了业务和管理的双循环模式，从而使得中兴通讯的合规管理成为一套可以被追踪、执行、落地和改进的方法。

三年合规战略，助力合规经营。中兴通讯战略路径分为恢复期、发展期和超越期，中兴通讯坚守合规经营、合规创造价值，秉承“敬畏规则、开放心态、专业做事”。具体说来：

• 恢复期：守护价值，设定公司合规红线，并将合规嵌入业务流程，实现子公司穿透管理；
• 发展期：协同发展，完善合规规则，有效宣贯，营造合规文化，促进执行落地，强化合规稽查，实现闭环管控；
• 超越期：带来增值，树立合规标杆，创建合规品牌，致力于构建与公司业务实践相一致的一流合规管理体系。

迎接5G时代产业链的商业可持续。契约精神是人类社会分工精细化和产业链化得以实现的可能，也是当前全球公司得以汇集百家之长的可能。因此，中兴通讯坚守信用体系，不去损坏产业链中与任一合作伙伴之间的契约关系。中兴通讯追求的不仅仅是自我的商业可持续，也追求客户、供应商等商业伙伴的商业可持续，确保其在与中兴通讯的合作过程中是安全的，双方的商业关系和商业利益可以得到持续性的有效保护。

中兴通讯致力于在安全前提下能够实现商业效率最大化和管理成本最优化，让合规成为员工和合作伙伴的安全带，护航企业的远航。中兴通讯与各合作伙伴携手共创未来，一起赢！

问题一：2018年拒绝令事件之后，中兴通讯在合规体系建设上做了哪些改变？

回答：中兴通讯从合规文化建设、合规资源投入、流程制度建设和专业能力提升四个维度进行了变革或加强。

• 合规文化建设：进一步明确合规是中兴通讯的战略基石，确定中兴通讯所有的规则都以商业可持续作为最优先保障，在安全经营前提下实现管理成本最低和效率最高；对违规事件秉持零容忍的态度，以更好地守护中兴通讯客户、合作伙伴、股东、员工及利益相关方的利益。董事长和总裁发表全员声明，表达合规建设决心；公司高管作为各自领域合规性的第一责任人签署合规责任状，在各种场合通过内部会议、视频、书面、内部大讲堂等形式进行合规承诺，向全员传递公司建设合规的决心和信心；同时通过持续开展全员合规培训，积极倡导全员监督、内部举报文化以及多方位的外部合作等方式强化合规文化落地。
• 合规资源投入：中兴通讯继续加大合规资金投入，支持监察团队需求，加强与外部律所及咨询机构顾问的合作，优化GTS（Global Trade System，全球贸易系统）、BPS（Business Partner Screening，商业伙伴扫描系统）、LCM（Legal & Compliance Management system，法律及合规管理系统）等IT工具，加大合规风险评估，推进子公司合规治理等，不断完善合规体系建设并履行中兴通讯的合规承诺。同时中兴通讯对合规领域的人力资源进行了补强，对组织架构进行了优化：

 建立了在合规管理委员会领导下的穿透式合规管理制度：

 *加强法律合规COE（Center of Expertise，专家中心）专业化团队建设，对重要风险领域进行了细分，并补充专家力量，设置合理的规则。

 *扩充专职BU合规团队，通过专职BU合规团队全面覆盖，搭建COE部门与业务部门的桥梁。

 *在业务部门设置合规POC(Point of Contact，联系人)，通过专职BU合规团队与POC相结合的方式实现子公司穿透式合规管理，将合规理念和政策传递到营销、业务一线。

 *目前中兴通讯法律合规专职人员超过400人，约占中兴通讯员工总数的6‰，业务合规POC约400人。

• 流程制度建设：中兴通讯对重大合规事项的审议、决策，业务规则的梳理、场景化等方面进行了加强。根据中兴通讯最新人事安排更新合规管理委员会成员，确保中兴通讯高层参与合规决策，业务领导直接对其所管辖业务的合规性负责。将公司级合规制度制定以及其他可能对公司持续经营产生严重影响的重大合规事项的审议与决策纳入合规管理委员会工作界面。 中兴通讯更新涉及业务域合规流程和制度，建立了政策->制度->工作指南三级合规规则金字塔体系，将合规检查点内嵌到具体业务流程中；同时通过IT系统的设置，包括不限于LCM、GTS、ECCN（Export Control Classification Number，出口管制分类编码）上线、BPS、Forensics Master（审查大师）等的使用和优化，将合规检查点进行上线IT处理，减少或消除线下人工检查。
• 专业能力提升：中兴通讯积极与外部顶尖机构，包括Hogan Lovells（霍金路伟律师事务所）、Price Waterhouse Coopers（普华永道会计师事务所）、Deloitte（德勤会计师事务所）等展开广泛合作，协同处理相关合规领域的各项工作开展；同时中兴通讯积极进行能力内化，提升合规规则制定、执行能力，致力于建立符合中兴通讯业务实践相符合的一流合规体系。

问题二：中兴通讯出口管制合规工作的开展情况？

回答：出口管制合规是中兴通讯全体员工的责任，中兴通讯正在采取多项措施提升其出口合规项目，为中兴通讯及业务合作伙伴创造价值。

• 高层出口管制合规承诺

中兴通讯高层致力于在公司推进全面的出口管制合规。2018年7月26日，李自学董事长和徐子阳总裁向员工发表声明，继续表达了公司高层的出口管制合规决心。与此同时，他们还公布了我们最新的2018年年度出口管制合规政策，并要求员工签署证明以确认其对所有可适用的出口管制的遵守情况。

• 为出口管制合规增投资源

中兴通讯为出口管制合规领域投入了大量的资源。目前出口管制合规部包括一名首席出口合规官、数名区域出口管制合规总监（任职于中国、欧洲、美洲和中东）以及其他工作于中国和其他国家的总监、经理、主管和支持人员。同时，中兴通讯与外部建立了畅通的沟通渠道并得到了高质量的外部律师团队和咨询团队的广泛支持和指导。中兴通讯计划继续增加该等资源的投入以确保出口管制合规。

• 发布出口管制分类信息

中兴通讯及其子公司已发布受美国出口管制限制的中兴通讯产品的ECCN，该ECCN列表目前以中文和英文发布在中兴通讯公司网站上。中兴通讯继续与其业务合作伙伴收集ECCN及有关分类信息，以确保公司供应链和分销渠道的出口合规。

• 更新后的出口合规手册

中兴通讯发布了一份更新且增强后的出口合规手册。手册适用于中兴通讯及其子公司。中兴通讯将继续扩充和更新该手册，并将根据其业务惯例提升出口合规项目。

• 中兴通讯子公司的出口合规流程

中兴通讯的合规团队，在外部律师和顾问的协助下，已经对中国乃至全球的子公司出口管制流程进行审查和完善。

• 出口合规培训

中兴通讯及其子公司开展了覆盖全员的出口合规培训，包括全员出口合规意识培训及根据职能进行的有针对性的培训。中兴通讯的合规团队及外聘顾问现正在开发额外的出口合规培训课程，包括线上培训模块。

中兴通讯将继续致力于出口合规，制定和提升其出口合规项目，并与特别合规协调员和监察官进行配合以达成目标。

问题三：中兴通讯反商业贿赂合规工作的开展情况？

回答：中兴通讯始终致力于在全球的商业行为中恪守高标准的道德与诚信；坚决遵守业务所在国适用的反腐败和反贿赂法律，杜绝任何形式的腐败与贿赂。在高层重视和资源的持续投入下，中兴通讯紧密结合业务实际，不断提升与优化反贿赂合规管理体系，定期开展相关业务的风险评估，持续完善风险评估机制，确保公司贿赂风险得到全面、准确的识别与管控。中兴通讯持续优化流程设计，不断加强IT化建设，逐步实现全流程、一体化管控。中兴通讯面向公司全员、关键岗位开发有针对性的反贿赂合规课程，以提高员工的反贿赂合规意识。中兴通讯每年都会定期对反贿赂合规管理体系进行审计和检查，以监督和评估反腐败相关的政策的实施。

问题四：中兴通讯数据保护合规工作的开展情况？

回答： 中兴通讯遵从全球适用的数据保护法律法规，特别是GDPR（General Data Protection Regulation, 通用数据保护条例）, 并将数据保护的要求嵌入各项业务活动的流程中。合规管理委员会是公司数据保护合规的最高管理机构。为了确保有效的落实数据保护各项要求，中兴通讯设置了三道管控防线：业务单位、合规部门、监督单位。根据GDPR的要求，中兴通讯任命了欧洲经济区的数据保护官。中兴通讯引入了数据保护影响评估方法来评估我们的部分产品和服务。在GDPR适用的业务场景中：

 *初步建立了个人数据字典记录个人数据流；

 *颁布了一系列数据保护管理规范，覆盖营销、工程服务、IT、供应链、研发、人事等各业务领域，确保全流程有规可依;

 *建立了个人数据泄露应急响应流程；

 *建立了数据主体权利响应流程；

 *建立了数据留存与销毁制度，并逐步嵌入IT流程中；

 *对适用于GDPR的供应商，规范和优化了其个人数据处理活动的数据保护要求并在管理流程中嵌入了遵从要求。