财务数据出境三条路：安全评估、标准合同与认证各管哪一段

一、先确认是否构成「出境」：境外能看，也算出境

很多财务负责人对「出境」的理解停留在把数据传到境外服务器。实际上，依据《数据出境安全评估办法》（国家互联网信息办公室令第 11 号，2022 年 7 月 7 日公布、2022 年 9 月 1 日施行）的官方解读，数据出境活动包括两类：一是将境内运营中收集和产生的数据传输、存储至境外；二是数据存储在境内，但境外的机构、组织或者个人可以访问或者调用。

按这个口径，境外总部的财务人员直接登录境内公司的报销系统查询明细，或者境外审计机构远程接入查看凭证影像，都属于数据出境，而不是「数据没出去就没事」。跨国集团在梳理出境场景时，最容易漏掉的正是这类「只看不传」的远程访问。

二、三条路径的适用边界：用人数和敏感属性划线

《促进和规范数据跨境流动规定》（国家互联网信息办公室令第 16 号，2024 年 3 月 22 日公布并施行）对三条制度做了优化调整，企业可以按下面的判定表对号入座。

对财务场景而言，表中最后一行值得特别注意：向境外总部报送员工薪酬、报销等人力资源相关数据，如果符合「按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理」这一条件，可以免予三项程序。但豁免不等于免义务——第十条仍然要求履行告知、取得个人单独同意、开展个人信息保护影响评估。多数集团的问题不是走不走程序，而是连这些基础义务的留痕都没有。

三、财务数据里藏着多少敏感个人信息

《个人信息保护法》将行踪轨迹、金融账户等列为敏感个人信息。差旅报销单恰恰是这两类信息的高密度载体：机票行程单记录了员工的具体行程，报销打款记录了银行账号。一家员工规模上千人的企业，只要境外系统在一年内接入过全员费用数据，就很可能越过「1 万人以上敏感个人信息」这条线，进入强制申报安全评估的范围。

另一个容易误判的是「重要数据」。按 16 号令第二条，未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。财务报表本身通常不会被认定为重要数据，但部分行业（如大型金融、能源企业）若已被主管部门告知某类数据属于重要数据，出境就不能用标准合同绕行，必须走评估。

四、程序怎么走：评估、备案与有效期

1. 开展数据出境风险自评估，重点覆盖出境目的合法性、境外接收方保护能力、合同责任约定是否充分
2. 通过所在地省级网信部门向国家网信部门申报，省级部门 5 个工作日内完成材料完备性查验，国家网信部门 7 个工作日内决定是否受理
3. 受理后 45 个工作日内完成评估；情况复杂的可以延长并告知预计时间
4. 通过评估的结果有效期 3 年，届满前 60 个工作日内可申请延长 3 年；出境目的、方式、范围、境外接收方处理方式发生变化影响安全的，须重新申报

达不到评估门槛、走标准合同或认证路径的企业，程序成本明显更低：与境外接收方订立网信部门制定的标准合同后向省级网信部门备案即可，认证则由专业机构按既定规则实施。三条路径不可互替——属于强制评估情形的，不能自行降级为签合同。

五、财务系统侧的四个落地动作

• 建出境字段清单：明确哪些字段（行程、账号、证件号）可能出境，逐字段标注是否含敏感个人信息，避免「整库同步」把无关字段带出去
• 建去重人数台账：按自然人去重统计当年累计出境人数，这是判定走哪条路径的直接依据，手工口径无法应对审计追问
• 用聚合替代明细：境外总部需要的往往是合并口径的预算执行、费用分析，把明细查询权限留在境内系统、只输出指标，可以从源头压低出境规模
• 把告知与单独同意做进流程：涉及员工个人信息出境的，在制度文件与系统授权环节同时留痕，这一步即使适用豁免也不能省

对于把核心财务系统放在本地、仅向境外输出分析结果的企业，上述动作基本可以把出境规模控制在标准合同甚至豁免区间内；反之，若境外共享服务中心要逐单处理境内费用明细，就应尽早启动自评估，不要等到累计人数越线后再补程序。

资料来源：《促进和规范数据跨境流动规定》（国家互联网信息办公室令第 16 号，2024 年 3 月 22 日施行）、《数据出境安全评估办法》（国家互联网信息办公室令第 11 号）、《个人信息出境标准合同办法》（国家互联网信息办公室令第 13 号）、《中华人民共和国个人信息保护法》