本页目录 · 6 节
红线一：反商业贿赂——向公立医院医生行贿是FCPA执法重点
在多数国家，公立医院的医生、采购和审评人员属于"外国公职人员"，向其提供财物以换取处方、采购或审批，可能构成跨国贿赂。美国《反海外腐败法》（FCPA）管辖范围很广，只要企业在美国上市、使用美元结算或通过美国境内发生相关行为，都可能落入其管辖。
英国《反贿赂法》（UK Bribery Act 2010）同样严厉。其第7条规定了"商业组织未能预防贿赂"这一企业罪名，本质上属于严格责任——只要关联人员实施贿赂，企业即可能担责，唯一抗辩是证明企业已建立旨在预防贿赂的"充分程序"（adequate procedures）。这意味着企业不能以"员工个人行为"为由完全脱责。
表1 国内常见"商务操作"与海外合规风险对照
| 国内习以为常的做法 | 海外可能的定性 | 合规替代方式 |
|---|---|---|
| 给医生回扣、现金或购物卡 | 商业贿赂/行贿 | 通过合规合同支付真实劳务并留痕 |
| 以考察名义安排境外旅游 | 变相贿赂 | 与学术活动直接相关的合理差旅 |
| 高额宴请、贵重礼品 | 不当利益输送 | 适度工作餐、符合标准的小额礼节性物品 |
| 通过第三方走账返利 | 账簿造假、规避监管 | 透明合同、发票与真实服务对应 |
| 赞助医生个人费用 | 诱导处方 | 资助合规学术项目而非个人 |
数据来源：根据FCPA、UK Bribery Act及行业合规指引整理。
红线二：医疗数据合规——HIPAA与GDPR对数据全生命周期负责
美国《健康保险流通与责任法案》（HIPAA）通过隐私规则、安全规则和泄露通知规则，保护受保护健康信息（PHI），适用于受监管实体及其业务伙伴，要求对电子健康信息采取安全措施，并在泄露后履行通知义务，由卫生与公众服务部（HHS）民权办公室执法。
欧盟《通用数据保护条例》（GDPR）把健康数据列为特殊类别个人数据，对采集、存储、传输、跨境传输均有严格要求，需要合法性基础、数据主体权利保障和适当安全措施。违规罚款最高可达2000万欧元，或上一财年全球年营业额的4%，以较高者为准。
红线三：推广宣传合规——不得超适应症、不得虚假宣传
药品和医疗器械的广告与学术推广有明确边界。美国处方药广告须真实、不误导、平衡披露风险与获益，并与批准标签一致；超适应症（off-label）推广、夸大疗效、隐瞒风险，可能引发监管处罚，若同时诱导政府医保项目使用，还可能违反《反回扣法》（AKS）。欧盟各国对药品面向公众广告和面向专业人士的推广也分别设限。
合规的学术推广应聚焦经批准的信息，以科学证据为基础，讲者费用与真实劳务匹配并完整留痕，避免把"学术会议"异化为利益输送通道。
红线四：药物警戒与不良事件强制上报——时限是刚性要求
产品上市后，企业须建立药物警戒/器械警戒体系，按时收集和上报不良事件。国际通行规则下，严重且非预期的不良反应须在15个日历日内快速报告；非严重个案通常在90日内报告；临床试验中致死或危及生命的可疑非预期严重不良反应（SUSAR）须在7个日历日内报告。FDA对部分上市后报告设有30天默认时限。迟报、漏报本身即构成违规。
表2 主要不良事件报告时限
| 报告类型 | 时限 | 依据 |
|---|---|---|
| 严重且非预期（上市后） | 15个日历日 | FDA 21 CFR 314.80、EMA GVP Module VI |
| 非严重个案 | 90个日历日 | EMA GVP Module VI |
| 致死/危及生命SUSAR（临床试验） | 7个日历日 | ICH及各监管体系 |
| 部分上市后严重报告（FDA） | 30个日历日 | FDA相关规则 |
数据来源：根据FDA、EMA、ICH公开规则整理。
红线五：中小企业必须建立的基础合规体系
合规不是大企业的专利，中小企业也应以"够用、可执行、留痕"为原则搭建基础框架，避免因一次违规赔光全年利润。建议至少落实以下六项。
- 制定书面合规政策与行为准则，明确贿赂、数据、推广、上报等红线并全员培训。
- 建立第三方（代理、经销商、讲者）尽调与合规条款，对关联方行为承担管理责任。
- 规范费用与礼品管理，所有付款对应真实合同、发票与劳务，留存可审计记录。
- 建立数据合规措施，明确数据合法性基础、安全防护、访问权限与泄露响应流程。
- 指定药物警戒责任人与上报流程，确保按时限收集、评估和报告不良事件。
- 设立举报与内部调查机制，定期风险评估并持续更新合规计划。
结语
海外合规的核心逻辑是"责任可追溯、行为可审计"。FCPA和英国反贿赂法管贿赂，HIPAA和GDPR管数据，监管规则管推广，时限要求管警戒。企业不能把国内的灰色经验带到海外，而应在进入市场前就把合规体系当作基础设施来建——合规成本远低于一次罚款。
本文主要参考来源
[1] SEC，SEC Charges Pfizer with FCPA Violations（2012）：https://www.sec.gov/news/press-release/2012-2012-152htm
[2] FBI，Pfizer H.C.P. 1500万美元罚款（2012）：https://archives.fbi.gov/archives/washingtondc/press-releases/2012/pfizer-h.c.p.-corp.-agrees-to-pay-15-million-penalty-to-resolve-foreign-bribery-investigation
[3] SEC，SEC Charges Novartis AG with FCPA Violations（2020）：https://www.sec.gov/news/press-release/2020-144
[4] GOV.UK，Bribery Act 2010 Guidance（s.7充分程序）：https://www.gov.uk/government/publications/bribery-act-2010-guidance
[5] HHS，HIPAA和解协议清单（Anthem 1600万，2018）：https://www.hhs.gov/hipaa/for-professionals/compliance-enforcement/agreements/index.html
[6] EMA，GVP Module VI（15天/90天报告时限）：https://www.ema.europa.eu/ga/media/37434
[7] HHS，HIPAA隐私、安全与泄露通知规则指南：https://healthit.gov/wp-content/uploads/2025/06/privacy-and-security-guide-chapter-2.pdf
本文为一般性信息整理，不构成法律、注册或合规意见。具体市场准入与法规适用，请以目标国官方要求及专业机构意见为准。