OFAC 制裁合规承诺框架

一项关于OFAC合规承诺的框架 美国财政部外国资产控制办公室（OFAC）依据国家安全与外交政策的目标和宗旨，负责管理和执行针对特定外国政府、个人、团体及实体的美国经济与贸易制裁项目。OFAC强烈鼓励受美国司法管辖的各类组织，以及在美境内或与美国、美国公民开展业务，或使用源自美国的商品或服务的外国实体，采用基于风险的制裁合规方法，通过制定、实施并定期更新制裁合规计划（SCP）来实现合规。尽管每个基于风险的SCP会因多种因素而有所不同，包括企业的规模与成熟度、产品与服务、客户与交易对手，以及地理分布等，但每个计划都应以以下五个核心合规要素为基础，并将其纳入其中：(1) 高层管理承诺；(2) 风险评估；(3) 内部控制；(4) 测试与审计；以及 (5) 培训。在完成调查并认定对明显违规行为采取民事罚款（“CMP”）作为适当的行政措施后，合规与执法办公室（OCE）将根据具体情况，在随附的和解协议中决定是否将下列或其他相关要素纳入当事人的SCP。如同所有执法案件一样，OFAC将依据《经济制裁执法指南》（以下简称“指南”）对当事人的SCP进行评估。

在将该指南适用于具体案情时，OFAC将对那些在发生明显违规时已建立有效SCP的当事人予以有利考量。例如，在通用因素E（合规计划）项下，OFAC可考虑SCP的存在性、性质及其充分性，并在适当情况下据此减轻CMP。此外，对于已实施以五大核心合规要素为基础的有效SCP的当事人，若其SCP促使采取了相应的补救措施，还可依据通用因素F（补救响应）进一步获得CMP的减免。最后，美国财政部海外资产控制办公室（OFAC）在适当情况下，可将涉嫌违规行为发生时是否存在有效的制裁合规计划（SCP），作为其判断某一案件是否构成“严重违规”的考量因素之一。本文件旨在为各组织提供一个基于风险的制裁合规计划五大核心要素的框架，并附录列举了若干导致OFAC所管理的制裁项目出现涉嫌违规行为的根本原因。OFAC建议所有受美国司法管辖的组织，适时查阅OFAC公布的和解协议，以在必要时重新评估并完善各自的制裁合规计划。

管理层承诺 高级管理层对组织基于风险的制裁合规计划（SCP）的承诺与支持，是决定该计划能否取得成功的关键因素之一。这种支持对于确保SCP获得充足的资源并充分融入组织的日常运营至关重要，同时也有助于提升该计划的合法性、增强其工作人员的权能，并在整个组织内培育一种合规文化。 制裁合规计划的一般要素：高级管理层的承诺 高级管理层对组织制裁合规计划的支持，是决定该计划成败的关键因素。有效的管理支持包括为合规部门提供充足的资源，并保障合规人员在组织内部的职权与权威。 “高级管理层”这一术语在不同组织中可能有所差异，但通常应涵盖高层领导、高管及/或董事会成员。 I.

高级管理层已审查并批准了本组织的制裁合规计划。

II. 高级管理层确保其合规部门被赋予充分的权限与自主性，以便能够以有效管控本组织OFAC风险的方式实施相关政策与程序。作为此项工作的组成部分，高级管理层还确保制裁合规职能与高级管理层之间存在直接的汇报关系，并定期举行双方之间的例行会议与专题会议。

III. 高级管理层已采取并将继续采取措施，确保本组织的合规部门获得充足的资源——包括人力资本、专业知识、信息技术及其他必要资源——这些资源应与本组织的业务范围、目标市场与次要市场，以及影响其整体风险状况的其他因素相匹配。此类努力通常可依据以下标准予以衡量： A. 本组织已任命一名专职的OFAC制裁合规官1； B. 专职负责制裁合规工作的人员的素质与经验，具体包括： (i) 其对OFAC相关法规、流程及行动的技术知识与专业能力； (ii) 其理解复杂金融与商业活动的能力，将OFAC相关知识应用于上述领域，并识别与OFAC相关的各类问题、风险及禁止性活动；以及 (iii) 为确保从事制裁合规工作的人员具备足够的工作经验、在组织内拥有适当职位，并成为组织成功不可或缺的一部分所作出的努力；以及

此人亦可兼任其他高级合规职务，例如银行保密法合规官或出口管制合规官；许多机构根据自身规模与复杂程度，往往指定一人统筹负责所有金融犯罪或出口管制领域的合规工作。

C. 存在足以支持本组织制裁合规计划（SCP）的充分控制职能，包括但不限于信息技术软件与系统，能够有效应对本组织的OFAC风险评估及其相关等级。IV.

高级管理层在整个组织内倡导“合规文化”。这些努力通常可通过以下标准予以衡量：A. 人员能够在不担心报复的情况下，向高级管理层报告本组织或其员工涉及制裁的不当行为；B. 高级管理层通过发布信息并采取行动，明确反对不当行为及禁止性活动，并强调违反OFAC制裁规定的潜在后果；C. 制裁合规计划具备对整个组织各项活动的监督能力，包括但不限于高级管理层，以确保遵守OFAC制裁规定。

高级管理层认识到明显违反OFAC所管理法律法规的行为，以及本组织及其员工在遵守制裁合规计划政策与程序方面存在的故障、缺陷或失误的严重性，并采取必要措施以减少未来类似违规事件的发生。此类措施应着眼于解决以往明显违规的根本原因，并尽可能采取系统性解决方案。

风险评估 在制裁合规领域，风险是指那些若被忽视或未得到妥善处理，可能导致违反OFAC法规并损害组织声誉与业务的潜在威胁或脆弱性。OFAC建议各组织在设计或更新制裁合规计划时采用基于风险的方法。该方法的核心原则之一是，组织应定期开展——并在必要时持续进行——风险评估，以识别其可能面临的OFAC相关问题。如下文所述，风险评估的结果对于制定和调整制裁合规计划的政策、程序、内部控制及培训内容至关重要，从而有助于降低相关风险。尽管不存在“一刀切”的风险评估模式，但总体而言，该评估应自上而下对组织进行全面审视，并对其与外部世界的接触点进行评估。这一过程使组织能够识别出可能直接或间接与OFAC禁止对象（个人、实体、国家或地区）发生互动的潜在领域。例如，组织的制裁合规计划可针对以下方面开展评估：(i) 客户、供应链、中介机构及交易对手；(ii) 其提供的产品与服务，包括这些产品与服务如何以及在何处与其他金融或商业产品、服务、网络或系统相衔接；以及(iii) 组织本身及其客户、供应链、中介机构和交易对手的地理分布情况。此外，风险评估与制裁相关的尽职调查亦

在并购过程中尤为重要，尤其是在涉及非美国公司或企业的情形下。 SCP的一般性方面：开展制裁风险评估 健全的SCP的一个基本要素是针对特定客户、产品、服务及地理区域进行评估，以确定潜在的OFAC制裁风险。风险评估的目的是识别固有的风险，从而为基于风险的决策与控制措施提供依据。 美国财政部海外资产控制办公室（OFAC）《经济制裁执法指南》附件A附录中的附录提供了OFAC风险矩阵，金融机构或其他实体可据此评估其合规计划：I.

该组织应以适当的方式并按适当的频率开展或即将开展OFAC风险评估，以充分考虑潜在的风险。这些风险可能来自其客户与顾客、产品、服务、供应链、中介机构、交易对手、交易活动以及地理区域，具体取决于组织的性质。在必要时，风险评估应当予以更新，以纳入组织在日常业务活动中发现的任何明显违规行为或系统性缺陷的根本原因。A.在评估其OFAC风险时，组织应当充分利用现有信息来指导评估过程。反过来，风险评估通常会决定在关系或交易的不同阶段所需开展的尽职调查工作的范围与深度。这可能包括： 1.客户准入阶段：组织应根据客户提供的信息（例如通过“了解你的客户”或“客户尽职调查”流程）以及组织在建立客户关系之初所开展的独立研究，为客户、客户群体或账户关系制定相应的制裁风险评级。这些信息将用于指导后续尽职调查工作的时机与范围。有关确定制裁风险评级的重要考量因素，可参见OFAC的风险矩阵。2.并购（M&A）阶段：如前所述，恰当的风险评估应当涵盖各组织的多种因素与数据点。近年来，在OFAC制裁相关问题上屡屡出现诸多挑战的领域之一，便是并购活动。

合规职能也应当被整合进并购及整合流程中。无论以顾问身份还是作为参与方，组织均应开展适当的尽职调查，确保及时识别与上报与制裁相关的各类问题，并在任何交易完成之前予以妥善解决，同时将其纳入组织的风险评估体系之中。在并购交易完成后

完成后，该组织的审计与测试职能将在识别任何其他与制裁相关的问题方面发挥关键作用。II.

该组织已制定一套方法论，用于识别、分析并应对其所认定的特定风险。在适当情况下，风险评估将予以更新，以纳入该组织在日常业务过程中通过测试或审计职能等途径发现的任何明显违规行为或系统性缺陷及其根本原因。

内部控制 有效的SCP应当包含内部控制机制，包括相关政策与程序，以便识别、拦截、上报（视情况而定）并记录可能违反OFAC所管理之法规与法律的活动。内部控制的目的在于明确各项期望，界定与OFAC合规相关的程序与流程（包括报告及升级机制），并最大限度降低组织风险评估所识别的风险。相关政策与程序应当得到严格执行，对存在的薄弱环节应予识别（包括通过对任何合规违规行为进行根本原因分析）并加以整改，同时定期开展内部和/或外部的项目审计与评估。鉴于美国经济与贸易制裁的动态特性，一个成功且有效的SCP应当能够迅速适应OFAC发布的各项变更，其中包括：(i) OFAC特别指定国民及被冻结人员名单（“SDN名单”）、行业制裁识别名单（“SSI名单”）以及其他相关制裁名单的更新；(ii) 通过颁布新立法、发布新的行政命令、规章或OFAC指南及其他OFAC行动，针对特定外国国家、政府、地区或个人实施的新制裁措施、修订内容或更新规定；以及(iii) 一般许可证的颁发。

SCP的一般要素：内部控制 有效的OFAC合规项目通常包含内部控制机制，包括相关政策与程序，旨在识别、拦截、上报（视情况而定）并记录受OFAC制裁项目禁止的各类活动。内部控制的目的是明确各项预期，界定与OFAC合规相关的程序与流程，并尽可能降低实体OFAC风险评估所识别的风险。相关政策与程序应当得到严格执行，对存在的薄弱环节应予识别（包括通过对任何合规违规行为进行根本原因分析）并加以整改，以防止任何可能违反OFAC制裁项目的活动。I.

该组织已制定并实施了书面政策与程序，用以规范SCP。这些政策与程序与本组织密切相关，涵盖了组织的日常运营与操作流程，易于遵循，并旨在防止员工从事不当行为。

二。

该组织已实施内部控制措施，能够充分应对美国财政部海外资产控制办公室（OFAC）风险评估与风险画像的结果。这些内部控制措施应使该组织能够清晰、有效地识别、拦截、升级并报告可能违反OFAC规定的交易及活动，并将其通报至组织内部的相应人员。在信息技术解决方案构成该组织内部控制的一部分时，该组织已根据自身的风险状况与合规需求，合理选择并校准相关技术方案，并定期对这些方案进行测试，以确保其有效性。

三。

该组织通过内部和/或外部审计，对其作为OFAC合规内部控制组成部分所实施的各项政策与程序予以执行与监督。

四。

该组织确保其与OFAC相关的记录保存政策与程序能够充分满足OFAC所管理的各项制裁计划的相关要求。

五。

该组织承诺，在获悉其与OFAC合规相关的内部控制存在薄弱环节时，将在力所能及的范围内立即采取有效措施，识别并实施补偿性控制措施，直至查明该薄弱环节的根本原因并予以纠正。

六。

该组织已明确向所有相关员工传达SCP的政策与程序，包括SCP项目相关人员，以及在高风险领域（如客户获取、支付、销售等）开展业务的相关把关人员和业务部门，同时亦向代表本组织履行SCP职责的外部方予以告知。

七。

该组织已指定专人负责将SCP的政策与程序融入公司或企业的日常运营之中。这一过程包括与相关业务部门的协商，并确保组织员工充分理解相关政策与程序。

测试与审计：审计旨在评估现有流程的有效性，并核查其与日常运营之间是否存在不一致之处。SCP体系内设立全面且客观的测试或审计机制，有助于组织及时发现项目中的薄弱环节与不足之处；同时，组织有责任针对发现的合规缺口，对包括所有相关软件、系统及其他技术在内的项目整体加以改进与完善。此类改进可能涉及更新、优化或重新校准SCP相关要素，以适应不断变化的风险评估与制裁环境。测试与审计既可针对SCP的某一特定环节开展，也可在全企业层面进行。

SCP的一般性方面：测试与审计 SCP内部设立全面、独立且客观的测试或审计职能，确保各实体能够明确其项目在何处以及如何运行，并根据不断变化的风险评估或制裁环境，适时进行更新、强化或重新校准。无论是在合规计划的特定环节还是在整个企业层面开展的测试或审计，都是确保该计划按设计运行并识别其中薄弱环节和不足的重要工具。I.

本组织承诺确保测试或审计职能对高级管理层负责，与被审计的活动和职能保持独立，并在组织内部拥有充分的权限、技能、专业知识、资源及权威。

II. 本组织承诺确保采用与其SCP的层级和复杂程度相适应的测试或审计程序，并且该职能无论是由内部实施还是由外部机构执行，均应体现对本组织OFAC相关风险评估及内部控制的全面、客观评价。

III. 本组织确保在获悉其SCP出现经确认的负面测试结果或审计发现时，将在可能的范围内立即采取有效措施，识别并实施补偿性控制措施，直至查明并纠正导致该薄弱环节的根本原因。

培训 有效的培训计划是成功SCP不可或缺的组成部分。培训计划应定期（至少每年一次）向所有相关员工和人员提供，通常应实现以下目标：(i) 根据实际需求提供岗位特定知识；(ii) 明确每位员工的制裁合规职责；以及(iii) 通过考核等方式使员工对其制裁合规培训承担责任。SCP的一般性方面：培训 针对实体的风险状况及所有相关员工和利益攸关方量身定制的充分培训计划，对于SCP的成功至关重要。I.

本组织承诺确保其OFAC相关培训计划为员工以及必要时的利益攸关方（例如客户、供应商、商业伙伴及交易对手）提供充分的信息与指导，以支持本组织的OFAC合规工作。此类培训还应进一步针对组织内高风险员工予以专门化设计。

二。

本组织承诺提供与OFAC相关的培训，其范围应与其所提供的产品和服务、所维护的客户、委托人及合作伙伴关系，以及其开展业务的地理区域相适应。

三。

本组织承诺根据其OFAC风险评估和风险状况，以适当的频率提供与OFAC相关的培训。

四。

本组织承诺确保在获悉确认的负面测试结果、审计发现或其他与其SCP相关的不足之处时，立即采取有效措施，对相关人员实施培训或采取其他纠正行动。

五。

本组织的培训计划包含易于获取的资源和材料，供所有适用人员使用。

根据对先前OFAC行政措施的评估，导致OFAC制裁合规计划出现漏洞或不足的根本原因如下：自其发布《经济制裁执法指南》（31 C.F.R. 第501部分附录A，“指南”）以来，OFAC已最终确定了多项公开执法行动，在这些行动中，OFAC指出了相关主体的制裁合规计划中存在的缺陷或薄弱环节。以下所列事项并非详尽无遗，旨在提醒受美国管辖的各类主体——包括在美国境内或与美国开展业务的实体、美国个人以及涉及美国原产商品或服务的主体——注意与其所管理法规明显违规相关的若干具体根本原因，以协助其设计、更新和修订各自的制裁合规计划。一。

缺乏正式的OFAC制裁合规计划

OFAC法规并未强制要求制定正式的制裁合规计划；然而，OFAC鼓励所有受美国管辖的组织（包括但不限于那些在美国境内、与美国进行交易或通过美国开展业务，或涉及美国原产商品、服务或技术的实体），尤其是从事国际贸易或交易活动，或拥有位于美国境外的客户或交易对手的组织，制定并实施正式的制裁合规计划。自公布该指南以来，OFAC已作出多项民事罚款决定，其中许多案件均将相关主体缺乏制裁合规计划作为调查过程中发现的制裁违规行为的根本原因之一。此外，OFAC在分析此类行政措施所涉及的一般因素时，也经常将这一要素视为加重处罚的情节。二。

对OFAC法规适用性的误读或未能充分理解

许多组织因误读OFAC法规而违反制裁规定，尤其是在相关主体错误认定其所涉交易、业务或活动既未被禁止，亦不适用于其自身组织或运营的情况下。例如，一些组织未能充分认识或考虑（甚至在某些情况下故意忽视）以下事实：根据其作为美国个人的身份、作为美国所有或控制的子公司（在古巴和伊朗项目中），或因其与美国个人、美国金融体系，或美国原产商品及技术发生交易或往来，OFAC制裁同样适用于其组织。针对这一特定根本原因，OFAC的行政措施通常还会进一步认定其他加重情节，如轻率行为、存在大量表明相关活动可能被禁止的警示信号、组织管理层对相关行为的知情程度，以及相关主体的规模与复杂性等。三。

由非美国个人促成的交易（包括通过海外子公司或关联公司进行的交易）

多个受美国管辖的组织——尤其是那些在海外设有分支机构或子公司、业务遍及多个国家的实体——通过向他人推荐商业机会、批准或……等方式，实施了违反OFAC法规的交易或活动。

签署批准由其组织的非美国分支机构与美国财政部海外资产控制办公室（OFAC）制裁国家、地区或个人之间进行的交易，或以其他方式促成此类交易。在许多情况下，这些违规行为的根本原因在于对OFAC相关规定的误读或误解。对于拥有整合运营体系的公司和企业，尤其是那些涉及或需要其美国总部、分支机构或人员参与的业务，应当确保其所开展的各项活动（如审批、合同、采购等）均符合OFAC的相关规定。IV.

向OFAC制裁对象或制裁国家出口或再出口美国原产货物、技术或服务

非美国人士多次购买美国原产货物，其明确目的在于将该等物品再出口、转让或出售给受OFAC制裁的对象、国家或地区。在若干案例中，尽管已存在警示信号表明美国经济制裁法律禁止此类行为，包括合同条款明确禁止任何此类交易，但上述活动仍得以实施。OFAC在此领域的公开执法行动通常聚焦于规模较大或较为复杂的公司或企业，这些主体往往长期持续从事某种模式或惯例，无视或未能回应大量警示信号，采用非常规商业做法，并且在某些情形下以故意或轻率的方式隐瞒其违法行为。V.

在涉及OFAC制裁对象或制裁国家的商业交易中，利用美国金融体系或通过美国金融机构处理支付款项

许多非美国人士通过在美国金融机构处理金融交易（其中绝大多数以美元计价），从而违反了OFAC的相关规定；这些交易涉及与OFAC制裁的国家、地区或个人相关的商业活动。尽管在基础交易中不得有任何受美国管辖的实体参与——例如从第三国向OFAC制裁国家运输货物——但在与这些交易相关的任何支付过程中引入美国金融机构，往往会导致被禁止的行为发生（例如，将服务从美国出口或再出口至全面制裁国家，或在美国境内从事被冻结财产的交易）。OFAC通常将其执法调查重点放在那些具有故意或轻率行为的人身上，这些人试图隐瞒其活动（例如通过剥离或篡改支付信息，或向其非美国或美国金融机构作出虚假陈述），并在数月甚至数年内持续采取某种特定的行为模式，无视或未考虑大量表明该行为属违法的警示信号，且其组织管理层实际知晓或参与其中，对美国制裁计划的目标造成重大损害，并且属于规模较大或较为复杂的组织。

VI. 制裁筛查软件或过滤器的故障

许多组织对其客户、供应链、中间商、交易对手、商业及金融文件和交易进行筛查，以识别美国财政部海外资产控制办公室（OFAC）所禁止的地点、实体或交易。然而，有时这些组织未能及时更新其制裁筛查软件，以纳入对SDN名单或SSI名单的最新修订；也未将相关标识符（如针对被指定、冻结或受制裁金融机构的SWIFT业务标识码）纳入筛查范围；或者未能充分考虑某些被禁国家或实体的替代拼写形式——尤其是在该组织注册地或开展业务的地区经常使用此类替代拼写的情况下（例如，Habana而非Havana、Kuba而非Cuba、Soudan而非Sudan等）。VII.

对客户/委托人尽职调查不当（例如，所有权、商业往来等方面）

有效的OFAC风险评估与合规计划（SCP）的基本要素之一，是对组织的客户、供应链、中间商及交易对手实施尽职调查。OFAC在多项行政行动中发现，企业或公司对其客户的所有权结构、地理分布、交易对手及其交易活动等方面的尽职调查存在不适当或不完整的情况，同时亦反映出其对OFAC制裁规定的了解与认知不足。VIII. 分散化的合规职能与SCP执行不一致尽管每个组织都应根据自身特点设计、制定并实施基于风险的合规计划，但若干受美国管辖的组织仍因SCP的分散化而出现明显违规现象，往往表现为人员与决策者分散于不同办公室或业务部门。尤其值得注意的是，这种安排导致了对OFAC法规的错误解读与适用、缺乏正式的高风险或潜在涉OFAC客户或交易的上报与审查机制、监督与审计职能效率低下或能力不足，以及组织内部关于制裁相关政策与程序的沟通不畅等问题。IX.

使用非标准支付或商业惯例

受美国管辖的组织最能判断某项交易、活动或行为是否以符合行业规范与惯例的方式提出或处理。然而，在许多情况下，试图规避或绕过OFAC制裁、掩盖其经营活动的组织会采用非常规的商业手段来完成交易。

个人责任

在若干情形中，个别雇员——尤其是担任监督、管理或高管职务的人员——在导致或促成违反美国财政部海外资产控制办公室（OFAC）所管辖之法规的行为方面发挥了关键作用。具体而言，OFAC已发现一些涉及美国所有或受其控制的实体在美国境外开展业务的情形，在这些情形中，相关实体的监督、管理或高管人员尽管该美国实体已建立完善的制裁合规计划，仍实施或协助与OFAC制裁对象（包括个人、地区或国家）进行交易或往来。在部分此类案件中，这些外国实体的员工还试图向公司内部其他人员（包括合规部门人员）以及监管机构或执法机关隐瞒和掩盖其相关活动。在此类情况下，OFAC将考虑行使其执法权力，不仅针对违规实体，亦针对相关个人。