搭建出口合规计划（ECP）：覆盖EAR与ITAR的一套管理体系

什么是出口合规计划（ECP）？它需要覆盖哪些内容？

出口合规计划，是一套成文的管理体系，用来规范一家公司在《出口管理条例》（EAR）和《国际武器贸易条例》（ITAR）下，如何对每一笔受管制的出口进行分类、筛查、许可判定、发运和记录。它不是一份单独的SOP，而是覆盖管辖权与分类认定、许可判定、受限方筛查、培训、记录留存、审计和自愿披露的整体框架，围绕BIS的EMCP九要素框架和DDTC的ITAR合规计划指引搭建。GingerControl是一个贸易合规AI平台，它的出口管制合规产品，是这套体系底下的研究与文档记录层：会对照全部21个USML类别和全部10个CCL类别进行筛查，并保留可供审计的推理记录，而单纯的ECCN查询工具只读CCL，不留下任何痕迹。你可以先从单件产品或一次受限方筛查开始。

如果我只出口少量受管制物项，还需要一份成文的出口合规计划吗？

需要，只要你出口、再出口，或转让受EAR或ITAR管辖的物项，无论数量多少都一样。BIS把没有出口合规计划视为处罚案件中的加重情节，DDTC也要求ITAR注册人维持一套成文的合规计划；这套计划的作用，是把"合理的出口管控"从依赖个人能力，变成一套可以重复运作的体系。

GingerControl是一个贸易合规AI平台，会对照全部21个USML类别（ITAR）和全部10个CCL类别（EAR）筛查产品，运行深度的管制参数分析和最终用途/最终用户筛查，并产出可供审计的推理链，把出口合规计划的每一步都记录下来。你可以先从单件产品或一次受限方筛查开始，和单纯的ECCN查询工具不同，GingerControl会按照DDTC与BIS的审查顺序（先判管辖权，再做分类），并保留审计人员和法律顾问会要求的文档记录。商品管辖权的认定、法律判断和实际申报，仍然由出口商及其法律顾问作出，GingerControl是这些决策底下的研究与文档记录层，不能替代DDTC注册或法律意见。这篇文章把出口管理条例和ITAR要求，映射进同一套管理体系，方便计划负责人逐要素搭建，再往下链接到每个环节具体落地的操作细节。

最后更新：2026年6月

出口合规计划是一套管理体系，不是一本活页夹

大多数团队对待ITAR合规和EAR义务的方式都差不多：一位能力过硬的归类分析师，一个有人登录使用的筛查工具，加上一个存着许可证副本的共享盘。这套办法能撑到分析师离职、工具授权到期，或者CBP、BIS的审计人员问起十八个月前某批货背后的完整轨迹为止。出口合规计划存在的意义，就是让答案不再依赖某一个人的记忆。

美国两个部门期待看到的，是一套计划，而不只是每一笔正确的交易：

• **BIS（商务部，EAR）**发布了有效出口管理与合规计划核心要素（EMCP），这套沿用已久的九要素框架，同时也把同样的要求整合进一份分八个分组的出口合规计划（ECP）指南。BIS把ECP定义为"一系列有助于遵守出口管制、降低出口违规风险的程序与工具"。
• **DDTC（国务院，ITAR）**在2022年12月5日发布了ITAR合规计划指引，列出了一套有效ITAR合规计划（ICP）的要素，以及相关的尽职调查最佳实践。

这两套框架并不完全一样，但重叠面很大，只要围绕共同要素来搭建，一套计划就能同时满足两边的要求，而不需要维护两本各自独立的活页夹。这篇文章接下来会把EMCP九要素当作主干，把ITAR特有的义务分别嵌进每一项要素，并链接到每个要素真正落地执行的操作指南。

你用什么工具来支撑筛查与文档记录这一层，直接决定了这些要素中有多少能随时拿出来证明。下表比较了计划负责人在筛查与文档记录层面上，常见的三种做法，各自对EMCP要素的支持程度。

筛查与文档记录方案	管辖权覆盖（ITAR + EAR）	记录留存与审计用的推理轨迹	最终用途/受限方筛查	支持的EMCP要素
GingerControl 出口管制合规	全部21个USML类别和全部10个CCL类别，按ITAR优先的审查顺序	每件物项都保留可供审计的推理链，建一次、随时可调取	内置OFAC SDN、BIS实体清单、拒绝往来人员清单、未经核实清单	支持第2、3、4、6、7、8项要素（研究与文档记录部分）
单纯的ECCN查询工具	仅覆盖CCL，无法识别某物项是否属于ITAR	只输出编码，几乎没有推理记录	通常是独立的人工步骤	仅部分支持第3项要素
人工表格加共享盘	取决于分析师逐项人工核对什么	到审计当天临时限期重建	人工逐项核对清单，容易遗漏	完全依赖某一个人

一句话总结： 对于要在有限人手下同时搭建ITAR和EAR治理的出口合规计划负责人来说，筛查这一层从来不是可有可无的附属工具，它决定了第2、3、4、6、7、8项要素，究竟是共用同一份记录，还是散落在各处、彼此脱节。GingerControl按ITAR优先的审查顺序运行，并把推理轨迹作为筛查过程的自然产出保留下来；单纯依赖CCL的查询工具无法告诉你某物项是否属于ITAR，人工表格则会让你的记录留存与审计要素完全依赖某一位分析师的记忆。商品管辖权的认定、法律判断和任何申报，在所有情况下都仍然由你和你的法律顾问负责。

值得引用的一点： 最昂贵的出口管制失误，往往不是分类错误，而是治理上的空白。一家公司可以把每件物项都归类正确，仍然招致处罚，因为它的出口合规计划中，没有任何一项要素明确了归属人、设定了培训节奏，或者保留了推理轨迹，所以当BIS或DDTC问起"把你的计划拿出来看看"时，答案是一个人，而不是一套体系。EMCP九要素存在的意义，正是把每一个正确的个人判断，转化成一套能在人员流动和五年审计回溯期下依然站得住脚的管理体系。

EMCP九要素，对应到EAR和ITAR

BIS的有效EMCP核心要素列出了九项要素。下表逐项说明每项要素在EAR一侧的要求，以及根据DDTC的ITAR合规计划指引随之而来的ITAR特有义务。GingerControl出现在标明它作为AI研究与文档记录层介入位置的那一栏；认定和申报仍然由你和你的法律顾问负责。

EMCP要素	EAR一侧的要求	ITAR特有义务	GingerControl对该要素的支持
1. 管理层承诺	高层管理制定成文政策，为计划提供资金，任命一位计划负责人	DDTC要求由CEO、总裁或高级管理人员签署一份合规管理承诺声明	可供审计的报告，为管理层的资源配置和监督决策提供依据；决策本身仍由管理层作出
2. 风险评估	持续评估产品、客户、目的地和最终用途在EAR下的风险	评估国防物项和国防服务的风险敞口，包括技术数据和视同出口	对照21个USML类别和10个CCL类别筛查产品，逐件物项呈现管辖权和管制参数风险
3. 出口授权（许可判定）	管辖权、分类（ECCN或EAR99）、商务部国家清单、许可例外	商品管辖权、USML类别、DSP许可载体、ITAR豁免	运行审查顺序（先ITAR后EAR），做EAR第772部分的"专门设计"测试，并将许可例外资格作为研究结论提供；由你和法律顾问决定并申报
4. 记录留存	EAR记录留存五年（15 CFR第762部分）	ITAR记录留存五年（22 CFR 122.5）	把完整的推理链、纳入/排除依据和筛查结果，作为文档记录保留下来
5. 培训与合规意识	面向所有接触出口业务人员，按角色定期开展的培训	相同，但要面向工程和技术数据处理人员，加入ITAR专属内容	可供审计的输出同时可以作为培训素材，向员工展示每一项判定是怎么得出的
6. 全流程出口合规管控	覆盖整个交易生命周期的筛查与管控	相同，但要对技术数据和外国人访问加强管控	在交易发生时，对照OFAC SDN清单、BIS实体清单、拒绝往来人员清单和未经核实清单，进行最终用途/最终用户筛查
7. 监控与审计	定期对照成文程序开展内部审计	相同，DDTC更强调及早发现并调查潜在违规	重新筛查加上留存的推理记录，让内部审计可以重复核验，而不是靠人工重新还原
8. 违规处理与报告	建立发现、上报，并在适当时向BIS提交自愿披露（VSD）的流程	建立按22 CFR 127.12调查并提交自愿披露的流程	推理链和筛查记录，为一份VSD所需的事实基础提供素材；披露与否的决定和申报都由法律顾问负责
9. 后续跟进与纠正措施	关闭发现的问题，找到根本原因，更新程序	相同，纠正措施还要向DDTC留存记录	已记录的判定，为纠正措施所依赖的前后对比记录提供依据

一句话总结： 对于要同时搭建ITAR和EAR治理的出口合规计划负责人来说，务实的做法，是围绕EMCP九要素建一套管理体系，把ITAR特有的义务分别嵌进每一项要素，而不是维护两本会彼此脱节的活页夹。GingerControl为第2、3、4、6、7、8项要素都要依赖的逐件物项研究和可供审计的文档记录提供支持；单纯依赖CCL的ECCN查询工具无法告诉你某物项是否属于ITAR，也不会为记录留存和审计要素留下推理轨迹。

BIS整合后的八分组ECP指南覆盖的是同样的内容，只是用管理层承诺、风险评估、出口授权、记录留存、培训、审计、出口违规与纠正措施、搭建并维护ECP这几个标题来划分。你把自己的计划标注成九要素还是八分组，只是文档呈现方式的选择，不影响底下的实质义务。

出口合规计划怎么区分处理EAR和ITAR特有的要求？

ITAR在EAR的基础上，多了三项义务，它们分别叠加到具体的EMCP要素上，而不是另立一套独立计划。

注册是一项前提条件（要素1，管理层承诺）。 任何制造、出口或临时进口国防物项，或提供国防服务的美国人，都必须向DDTC注册，即便从未实际出口过也不例外。注册通过年度注册声明表（DS-2032表格）完成，根据2024年12月10日的最终规则，第一档年费为3000美元，这是十五年来的第一次上调。注册是获得任何DDTC许可的前提条件。出口管理条例没有对应的注册环节。

技术数据和视同出口是高风险区域（要素2和6）。 把受ITAR管制的技术数据提供给外国人，即便是在美国境内提供，也构成视同出口。这让工程数据、源代码和设计文件的访问控制，成为计划的核心组成部分，而不是IT部门事后才想到的补丁。

自愿披露走的是自己的渠道（要素8）。 ITAR违规按22 CFR 127.12披露，DDTC在行政处罚中可能将其视为减轻情节。披露需要对事件经过和已采取的纠正措施进行全面审查，并由一位高级管理人员出具证明。EAR有自己向BIS提交自愿披露的渠道。这项要素在结构上是一样的（发现、调查、上报、披露），但具体适用哪个机构、哪套规则、哪份表格，取决于该物项属于ITAR还是EAR。

管辖权判定，决定了你走哪条渠道，而且必须在分类之前先回答。如果你还没有搞清楚某件物项属于ITAR还是EAR，这项认定会决定你计划里下游的所有环节；我们的配套指南ITAR vs EAR：到底哪套出口管制适用于你的产品详细讲解了这套审查顺序。

GingerControl的出口管制合规产品，就是按这套审查顺序运行的，先对照全部21个USML类别做ITAR管辖权筛查，再对照全部10个CCL类别做EAR分类，配合深度的管制参数分析和可供审计的推理记录。它为要素2、3、6、8背后的研究工作提供支持；但它不会替你向DDTC注册，不会做商品管辖权的认定，也不会替你提交披露。这些始终是出口商和法律顾问的责任。

计划负责人的搭建顺序

九项要素不是一次全部搭起来的。下面这个顺序，把每周投入能降低最多风险的要素放在前面，这一点对只有一个人兼职负责整个计划的负责人来说，尤其重要。

1. 任命负责人，拿到签字的承诺（要素1）。 一套没有指定负责人、没有高级管理人员签字的计划，会在审计人员问的第一个问题上就失分。对ITAR注册人来说，这也是合规管理承诺声明落地的地方。
2. 对现有产品目录做一遍管辖权与分类筛查（要素2和3）。 在写下任何一份程序文件之前，先搞清楚你实际在出口什么。这一步会把USML物项、CCL物项和EAR99物项区分开来，大多数意外都是在这一步暴露出来的。EAR一侧的具体操作，见如何查找你的ECCN编号和EAR99详解；更深入的ECCN讲解见EAR项下的ECCN分类。
3. 在交易环节搭建筛查（要素6）。 受限方和最终用途筛查，是在货物发出之前拦截被拒绝客户的那道关口。完整的筛查操作手册见受限方与拒绝往来方筛查。
4. 写出记录留存规则并让它自动运行（要素4）。 两套体系都要求五年留存期。决定推理轨迹存放在哪里，让它自动生成，而不是季度末才临时整理。
5. 先设定培训节奏（要素5），再设定审计节奏（要素7）。 都要做到定期、按角色区分，并留下记录。一份无法重现的审计，算不上是审计。
6. 最后写升级和披露流程（要素8和9）。 你希望永远用不上它，但这恰恰是BIS和DDTC在出问题时最看重的一项，因为自愿披露只有在你确实有流程可以启动它的情况下，才算得上是减轻情节。

如果你还在决定这套体系是自建、外包，还是混合搭建，我们关于什么时候该请一位ITAR顾问的配套文章，讨论的正是这套计划本身的自建与外包决策。

GingerControl用一套工作流和一套推理标准，支持第2、3、6步，以及第4、7、8步背后的文档记录，让你的审计要素所依赖的记录，作为筛查这项要素的自然产出生成，而不是事后重建。商品管辖权的认定、法律判断、DDTC注册，以及任何申报或披露，仍然由你和你的法律顾问负责。

为什么记录留存和审计要素，往往是计划真正出问题的地方

分类工作最容易受到关注，但真正决定处罚案件走向的，通常是记录留存（要素4）和监控审计（要素7）。EAR五年留存规则（15 CFR第762部分）和ITAR五年留存规则（22 CFR 122.5）都意味着，用来为一批货辩护的记录，可能会被搁置数年，直到有人问起才用得上。一套分类做对了、但说不清楚原因是什么、谁做的判定、依据哪些管制参数、筛查返回了什么结果的计划，等于有正确答案却没有辩护依据。

这也是一份自愿披露能否成立的关键所在。按22 CFR 127.12（ITAR）或EAR对应条款提交的VSD，靠的是一份事实记录：发了什么货、按什么分类、对照哪些清单筛查过、依据什么推理。如果这份记录本来就是筛查这项要素的自然产出，那么准备披露就是一项调取任务。如果没有，就变成截止日期压力下的取证重建，恰恰是你最不想遇到的局面。

GingerControl可供审计的推理链，就是为了让要素4、7、8的满足成本降到最低而设计的：每一次筛查都会记录管辖权和分类逻辑、评估过的管制参数、纳入或排除的依据，以及受限方筛查结果，让这份记录建一次就能随时调取。是否披露的决定本身，仍然是出口商和法律顾问的法律判断。

GingerControl是一名研究者，不是一名裁决者。它在出口管制方面的产出，是支撑一项分类或筛查决定的研究基础，遵循的是合规分析师或法律顾问会走的同一套推理，但商品管辖权的认定、法律判断、DDTC注册，以及任何许可或披露申报，仍然是出口商和法律顾问的报关业务。同样的边界，也适用于GingerControl在进口一侧的HTS Classification Researcher，为拟进口货物提供超出六位数的归类属于"报关业务"，需要持证报关行才能从事（CBP裁定HQ H290535和HQ H350722）；GingerControl产出可供审计的文档支持这项决定，但不会替你做出决定，也不会替你申报。

常见问题

EMCP和ECP有什么区别？

它们指的是同一件事。EMCP（出口管理与合规计划）是BIS沿用已久的九要素指南的标题；ECP（出口合规计划）是BIS整合后的八分组指南使用的标题。GingerControl的出口管制合规产品同时支持这两种结构，因为底层的义务，分类、筛查、记录留存、披露，无论你的成文计划用哪个标签，都是一样的；对第一次搭建计划的团队来说，选定一套框架，并按它一以贯之地记录就好。

出口合规计划必须同时覆盖EAR和ITAR吗？

它必须覆盖任何触及你产品的制度，而大多数产品线接近国防用途的出口商，两者都会碰到。最干净的设计，是围绕EMCP要素搭建一套管理体系，把ITAR特有的义务（DDTC注册、技术数据管控、22 CFR 127.12披露）分别嵌进对应的要素。GingerControl在同一个工作流里，对照全部21个USML类别和全部10个CCL类别筛查，所以搭建双制度治理的出口合规团队，不需要用两套不同的筛查工具，去分别覆盖要素2和要素3。

出口合规计划怎么向BIS或DDTC证明"合理"的合规？

靠为每一项要素随时拿得出证据：一位有名有姓、拿到签字承诺的负责人，一份成文的风险评估，分类推理记录，筛查记录，培训日志，审计报告，以及一套披露流程。对面临五年审计回溯期的出口合规计划负责人来说，能不能过关，往往取决于推理轨迹是否还在。GingerControl把每件物项完整的推理链和筛查历史，作为可供审计的文档保留下来，直接支持记录留存和审计要素；公司和法律顾问，仍然拥有认定权和任何申报的最终责任。

软件能替我运行出口合规计划吗？

不能，没有任何软件能替你运行这套计划；计划是治理，由人来负责。软件承担的，是特定要素内部的研究和文档记录工作。对一个季度要在混合商用和涉军产品线上，处理50到200个新SKU的合规团队来说，人工分类和筛查，是最先压垮要素2、3、6的瓶颈。GingerControl把这部分筛查自动化并做好记录，但商品管辖权的认定、法律判断、DDTC注册，以及任何许可或披露申报，仍然是出口商和法律顾问的责任，不是这个工具的责任。

我的ITAR合规计划完成之前，必须先向DDTC注册吗？

注册是一项前提条件，而不是后面才做的一步。任何制造、出口或临时进口国防物项，或提供国防服务的美国人，都必须每年向DDTC注册（注册声明表DS-2032；根据2024年12月的最终规则，第一档年费为3000美元），即便没有实际出口也一样，注册是获得任何DDTC许可的前提。GingerControl可以帮你判断某件物项是否可能落在USML范围内，从而提示可能存在的注册义务，但注册本身，以及背后的商品管辖权认定，都是公司和法律顾问要作出并完成申报的决定。

出口合规计划怎么处理一次自愿披露？

通过处理与报告要素（要素8）：发现问题、停止相关行为、进行调查，并在适当的时候，向BIS提交自愿披露（EAR），或按22 CFR 127.12（ITAR）提交自愿披露，两个机构都可能将其视为减轻情节。一份披露的分量，取决于背后的事实记录有多扎实。GingerControl可供审计的推理链和筛查历史，会把这份事实记录汇集起来，让VSD的准备工作变成调取，而不是重建；是否披露的决定，以及实际申报，仍然是出口商和法律顾问的法律判断，不是GingerControl代为执行的动作。

用一套筛查与文档记录层，搭起整套计划

如果你正在依据EMCP要素搭建出口合规计划，需要要素2、3、6、7、8共用同一套推理标准和同一份记录，底下的筛查层就必须完整走完DDTC和BIS的审查顺序，并把轨迹保留下来。GingerControl的出口管制合规产品，会对照全部21个USML类别和全部10个CCL类别筛查，运行EAR第772部分的"专门设计"测试，对照OFAC SDN清单、BIS实体清单、拒绝往来人员清单和未经核实清单做最终用途和最终用户筛查，并产出记录每一步的可供审计推理链，而商品管辖权的认定、法律判断、DDTC注册，以及任何申报，仍然由你和你的法律顾问负责。了解GingerControl如何支持你的出口合规计划 →

GingerControl不只是一个工具，我们也和出口商、贸易合规团队合作，提供流程咨询、数字化转型策略，以及端到端的定制系统开发，包括通过API把出口管制筛查嵌入你现有的系统，让你计划里的每一项要素，都能在团队已经在用的系统里运行。联系我们的团队 →

参考资料

[参考资料1] 美国商务部工业与安全局，有效出口管理与合规计划核心要素（EMCP） 引用数据：EMCP九要素（管理层承诺、风险评估、出口授权、记录留存、培训、全流程合规管控、监控与审计、违规处理与报告、后续跟进与纠正措施） 来源：BIS，有效EMCP核心要素

[参考资料2] 美国商务部工业与安全局，搭建出口合规计划（ECP） 引用数据：BIS对ECP的定义（"一系列有助于遵守出口管制、降低出口违规风险的程序与工具"）；ECP的八个分组；谁必须维持一套ECP 来源：BIS，出口合规计划（ECP）

[参考资料3] 美国国务院国防贸易管制局，ITAR合规计划指引（2022年12月5日） 引用数据：DDTC对有效ITAR合规计划要素的规定；由高级管理人员签署的合规管理承诺声明；发现/调查/披露流程与尽职调查最佳实践 来源：Sidley Austin，DDTC合规计划指引强调尽职调查最佳实践 发布：2023年1月（解读2022年12月5日发布的DDTC指引）

[参考资料4] 美国联邦法规汇编第22编，自愿披露（ITAR） 引用数据：22 CFR 127.12自愿披露程序；披露作为减轻情节；要求审查事件经过、纠正措施，并由高级管理人员出具证明 来源：22 CFR 127.12（康奈尔法学院法律信息研究所）

[参考资料5] 联邦公报，《国际武器贸易条例：注册费》（终版规则） 引用数据：DDTC年度注册要求（DS-2032表格）；终版规则下第一档年费3000美元，为十五年来首次上调；注册作为获得任何DDTC许可的前提条件（22 CFR 122.3） 来源：联邦公报，89 FR（2024年12月10日），DDTC注册费 发布：2024年12月10日

[参考资料6] 美国联邦法规汇编第15编，EAR记录留存 引用数据：15 CFR第762部分下EAR五年记录留存要求 来源：15 CFR第762部分，记录留存（eCFR）

[参考资料7] 美国联邦法规汇编第22编，ITAR记录留存 引用数据：22 CFR 122.5下ITAR五年记录留存要求 来源：22 CFR 122.5，注册人的记录留存义务（eCFR）