搭建出口合规计划（ECP）：覆盖EAR与ITAR的一套管理体系

什么是出口合规计划（ECP）？它需要覆盖哪些内容？

出口合规计划，是一套成文的管理体系，用来规范一家公司在《出口管理条例》（EAR）和《国际武器贸易条例》（ITAR）下，如何对每一笔受管制的出口进行分类、筛查、许可判定、发运和记录。它不是一份单独的SOP，而是覆盖管辖权与分类认定、许可判定、受限方筛查、培训、记录留存、审计和自愿披露的整体框架，围绕BIS的EMCP九要素框架和DDTC的ITAR合规计划指引搭建。GingerControl是一个贸易合规AI平台，它的Export Control Classifier在EAR下支持这套体系里的分类要素：把商业管制清单（CCL）缩小到一个ECCN或EAR99，并写出一份你的出口法律顾问可以核对的报告，而单纯的ECCN查询工具只返回一个编码，不留下任何痕迹。它不覆盖ITAR，也不做受限方筛查。

如果我只出口少量受管制物项，还需要一份成文的出口合规计划吗？

需要，只要你出口、再出口，或转让受EAR或ITAR管辖的物项，无论数量多少都一样。BIS把没有出口合规计划视为处罚案件中的加重情节，DDTC也要求ITAR注册人维持一套成文的合规计划；这套计划的作用，是把"合理的出口管控"从依赖个人能力，变成一套可以重复运作的体系。

GingerControl的Export Control Classifier会读取产品的规格书，把商业管制清单（第0至9类）缩小到一个ECCN，没有适用条目时判定为EAR99，并写出一份审计人员和法律顾问可以核对的研究报告。它只在EAR下工作：ITAR管辖权审查、受限方筛查和许可决定都不在它的范围内，由你的法律顾问和筛查工具负责。商品管辖权的认定、法律判断和实际申报，由出口商及其法律顾问作出，这个分类工具的报告是这些决策底下的研究，不能替代DDTC注册或法律意见。这篇文章把出口管理条例和ITAR要求，映射进同一套管理体系，方便计划负责人逐要素搭建，再往下链接到每个环节具体落地的操作细节。

出口合规计划是一套管理体系，不是一本活页夹

大多数团队对待ITAR合规和EAR义务的方式都差不多：一位能力过硬的归类分析师，一个有人登录使用的筛查工具，加上一个存着许可证副本的共享盘。这套办法能撑到分析师离职、工具授权到期，或者CBP、BIS的审计人员问起十八个月前某批货背后的完整轨迹为止。出口合规计划存在的意义，就是让答案不再依赖某一个人的记忆。

美国两个部门期待看到的，是一套计划，而不只是每一笔正确的交易：

• BIS（商务部，EAR） 发布了有效出口管理与合规计划核心要素（EMCP），这套沿用已久的九要素框架，同时也把同样的要求整合进一份分八个分组的出口合规计划（ECP）指南。BIS把ECP定义为"一系列有助于遵守出口管制、降低出口违规风险的程序与工具"。
• DDTC（国务院，ITAR） 在2022年12月5日发布了ITAR合规计划指引，列出了一套有效ITAR合规计划（ICP）的要素，以及相关的尽职调查最佳实践。

这两套框架并不完全一样，但重叠面很大，只要围绕共同要素来搭建，一套计划就能同时满足两边的要求，而不需要维护两本各自独立的活页夹。这篇文章接下来会把EMCP九要素当作主干，把ITAR特有的义务分别嵌进每一项要素，并链接到每个要素真正落地执行的操作指南。

你用什么工具来支撑筛查与文档记录这一层，直接决定了这些要素中有多少能随时拿出来证明。下表比较了计划负责人在筛查与文档记录层面上，常见的三种做法，各自对EMCP要素的支持程度。

一句话总结： 对于要在有限人手下同时搭建ITAR和EAR治理的出口合规计划负责人来说，分类与筛查这一层从来不是可有可无的附属工具，它决定了第2、3、4、6、7、8项要素，究竟是共用同一份记录，还是散落在各处、彼此脱节。先和法律顾问一起做ITAR管辖权审查，再用一个会写下推理过程的工具对EAR物项进行分类，并在专门的筛查工具里筛查交易方；单纯的编码查询不留下任何推理，人工表格则会让你的记录留存与审计要素完全依赖某一位分析师的记忆。商品管辖权的认定、法律判断和任何申报，在所有情况下都仍然由你和你的法律顾问负责。

值得引用的一点： 最昂贵的出口管制失误，往往不是分类错误，而是治理上的空白。一家公司可以把每件物项都归类正确，仍然招致处罚，因为它的出口合规计划中，没有任何一项要素明确了归属人、设定了培训节奏，或者保留了推理轨迹，所以当BIS或DDTC问起"把你的计划拿出来看看"时，答案是一个人，而不是一套体系。EMCP九要素存在的意义，正是把每一个正确的个人判断，转化成一套能在人员流动和五年审计回溯期下依然站得住脚的管理体系。

EMCP九要素，对应到EAR和ITAR

BIS的有效EMCP核心要素列出了九项要素。下表逐项说明每项要素在EAR一侧的要求，以及根据DDTC的ITAR合规计划指引随之而来的ITAR特有义务。最后一栏标明GingerControl的Export Control Classifier在哪里发挥作用，主要是分类这一项要素；认定和申报仍然由你和你的法律顾问负责。

一句话总结： 对于要同时搭建ITAR和EAR治理的出口合规计划负责人来说，务实的做法，是围绕EMCP九要素建一套管理体系，把ITAR特有的义务分别嵌进每一项要素，而不是维护两本会彼此脱节的活页夹。物项分类会输入第2、3、4、7、8项要素，所以它需要一份成文的推理记录；单纯的ECCN查询不会为记录留存和审计要素留下推理轨迹，而无论是查询工具还是GingerControl的Export Control Classifier，都无法告诉你某物项是否属于ITAR。

BIS整合后的八分组ECP指南覆盖的是同样的内容，只是用管理层承诺、风险评估、出口授权、记录留存、培训、审计、出口违规与纠正措施、搭建并维护ECP这几个标题来划分。你把自己的计划标注成九要素还是八分组，只是文档呈现方式的选择，不影响底下的实质义务。

出口合规计划怎么区分处理EAR和ITAR特有的要求？

ITAR在EAR的基础上，多了三项义务，它们分别叠加到具体的EMCP要素上，而不是另立一套独立计划。

注册是一项前提条件（要素1，管理层承诺）。 任何制造、出口或临时进口国防物项，或提供国防服务的美国人，都必须向DDTC注册，即便从未实际出口过也不例外。注册通过年度注册声明表（DS-2032表格）完成，根据2024年12月10日的最终规则，第一档年费为3000美元，这是十五年来的第一次上调。注册是获得任何DDTC许可的前提条件。出口管理条例没有对应的注册环节。

技术数据和视同出口是高风险区域（要素2和6）。 把受ITAR管制的技术数据提供给外国人，即便是在美国境内提供，也构成视同出口。这让工程数据、源代码和设计文件的访问控制，成为计划的核心组成部分，而不是IT部门事后才想到的补丁。

自愿披露走的是自己的渠道（要素8）。 ITAR违规按22 CFR 127.12披露，DDTC在行政处罚中可能将其视为减轻情节。披露需要对事件经过和已采取的纠正措施进行全面审查，并由一位高级管理人员出具证明。EAR有自己向BIS提交自愿披露的渠道。这项要素在结构上是一样的（发现、调查、上报、披露），但具体适用哪个机构、哪套规则、哪份表格，取决于该物项属于ITAR还是EAR。

管辖权判定，决定了你走哪条渠道，而且必须在分类之前先回答。如果你还没有搞清楚某件物项属于ITAR还是EAR，这项认定会决定你计划里下游的所有环节；我们的配套指南ITAR vs EAR：到底哪套出口管制适用于你的产品详细讲解了这套审查顺序。

GingerControl的Export Control Classifier负责这套审查顺序中的EAR这一步：排除ITAR管辖之后，它根据产品的管制参数，把CCL缩小到一个ECCN或EAR99，并写出一份报告。它不审查ITAR管辖权，不会替你向DDTC注册，不会做商品管辖权的认定，也不会替你提交披露。这些始终是出口商和法律顾问的责任。

计划负责人的搭建顺序

九项要素不是一次全部搭起来的。下面这个顺序，把每周投入能降低最多风险的要素放在前面，这一点对只有一个人兼职负责整个计划的负责人来说，尤其重要。

1. 任命负责人，拿到签字的承诺（要素1）。 一套没有指定负责人、没有高级管理人员签字的计划，会在审计人员问的第一个问题上就失分。对ITAR注册人来说，这也是合规管理承诺声明落地的地方。
2. 对现有产品目录做一遍管辖权与分类筛查（要素2和3）。 在写下任何一份程序文件之前，先搞清楚你实际在出口什么。这一步会把USML物项、CCL物项和EAR99物项区分开来，大多数意外都是在这一步暴露出来的。EAR一侧的具体操作，见如何查找你的ECCN编号和EAR99详解；更深入的ECCN讲解见EAR项下的ECCN分类。
3. 在交易环节搭建筛查（要素6）。 受限方和最终用途筛查，是在货物发出之前拦截被拒绝客户的那道关口。完整的筛查操作手册见受限方与拒绝往来方筛查。
4. 写出记录留存规则并让它自动运行（要素4）。 两套体系都要求五年留存期。决定推理轨迹存放在哪里，让它自动生成，而不是季度末才临时整理。
5. 先设定培训节奏（要素5），再设定审计节奏（要素7）。 都要做到定期、按角色区分，并留下记录。一份无法重现的审计，算不上是审计。
6. 最后写升级和披露流程（要素8和9）。 你希望永远用不上它，但这恰恰是BIS和DDTC在出问题时最看重的一项，因为自愿披露只有在你确实有流程可以启动它的情况下，才算得上是减轻情节。

如果你还在决定这套体系是自建、外包，还是混合搭建，我们关于什么时候该请一位ITAR顾问的配套文章，讨论的正是这套计划本身的自建与外包决策。

GingerControl的Export Control Classifier支持第3步中的分类，以及第4、7、8步背后的分类记录，让这些记录在物项分类的当下就写好，而不是事后重建。商品管辖权的认定、法律判断、DDTC注册，以及任何申报或披露，仍然由你和你的法律顾问负责。

为什么记录留存和审计要素，往往是计划真正出问题的地方

分类工作最容易受到关注，但真正决定处罚案件走向的，通常是记录留存（要素4）和监控审计（要素7）。EAR五年留存规则（15 CFR第762部分）和ITAR五年留存规则（22 CFR 122.5）都意味着，用来为一批货辩护的记录，可能会被搁置数年，直到有人问起才用得上。一套分类做对了、但说不清楚原因是什么、谁做的判定、依据哪些管制参数、筛查返回了什么结果的计划，等于有正确答案却没有辩护依据。

这也是一份自愿披露能否成立的关键所在。按22 CFR 127.12（ITAR）或EAR对应条款提交的VSD，靠的是一份事实记录：发了什么货、按什么分类、对照哪些清单筛查过、依据什么推理。如果这份记录本来就是筛查这项要素的自然产出，那么准备披露就是一项调取任务。如果没有，就变成截止日期压力下的取证重建，恰恰是你最不想遇到的局面。

分类报告让要素4、7、8中物项层面的部分更容易满足：每一份报告都会记录评估过的管制参数，以及每个候选ECCN为什么被保留或排除，让这份记录建一次就能随时调取。是否披露的决定本身，仍然是出口商和法律顾问的法律判断。

GingerControl 的 Export Control Classifier 提供 EAR／CCL 归类研究和书面说明，不决定 ITAR 商品管辖、不提交 BIS 或 DDTC 申请，也不提供法律意见。出口商负责出口管制判定、访问控制、许可分析和必要申报，可按需要由律师或合格专业人士协助。CBP 关于进口归类的报关行裁定不能用来建立这些出口管制决定的专业执照规则。

常见问题

EMCP和ECP有什么区别？

它们指的是同一件事。EMCP（出口管理与合规计划）是BIS沿用已久的九要素指南的标题；ECP（出口合规计划）是BIS整合后的八分组指南使用的标题。底层的义务，分类、筛查、记录留存、披露，无论你的成文计划用哪个标签，都是一样的；对第一次搭建计划的团队来说，选定一套框架，并按它一以贯之地记录就好。

出口合规计划必须同时覆盖EAR和ITAR吗？

它必须覆盖任何触及你产品的制度，而大多数产品线接近国防用途的出口商，两者都会碰到。最干净的设计，是围绕EMCP要素搭建一套管理体系，把ITAR特有的义务（DDTC注册、技术数据管控、22 CFR 127.12披露）分别嵌进对应的要素。决定适用哪套制度的管辖权审查必须放在最前面；之后GingerControl的Export Control Classifier只覆盖EAR一侧，所以ITAR物项需要法律顾问或能处理ITAR的工具。

出口合规计划怎么向BIS或DDTC证明"合理"的合规？

靠为每一项要素随时拿得出证据：一位有名有姓、拿到签字承诺的负责人，一份成文的风险评估，分类推理记录，筛查记录，培训日志，审计报告，以及一套披露流程。对面临五年审计回溯期的出口合规计划负责人来说，能不能过关，往往取决于推理轨迹是否还在。GingerControl的分类报告保留每件物项的推理，支持分类方面的记录留存和审计要素；公司和法律顾问，仍然拥有认定权和任何申报的最终责任。

软件能替我运行出口合规计划吗？

不能，没有任何软件能替你运行这套计划；计划是治理，由人来负责。软件承担的，是特定要素内部的研究和文档记录工作。对一个季度要在混合商用和涉军产品线上，处理50到200个新SKU的合规团队来说，人工分类和筛查，是最先压垮要素2、3、6的瓶颈。GingerControl的Export Control Classifier加快EAR分类并做好记录，但受限方筛查需要自己的工具，而商品管辖权的认定、法律判断、DDTC注册，以及任何许可或披露申报，仍然是出口商和法律顾问的责任，不是这个工具的责任。

我的ITAR合规计划完成之前，必须先向DDTC注册吗？

注册是一项前提条件，而不是后面才做的一步。任何制造、出口或临时进口国防物项，或提供国防服务的美国人，都必须每年向DDTC注册（注册声明表DS-2032；根据2024年12月的最终规则，第一档年费为3000美元），即便没有实际出口也一样，注册是获得任何DDTC许可的前提。GingerControl不覆盖USML，所以物项是否落在USML范围内、随之而来的注册义务，以及背后的商品管辖权认定，都是公司和法律顾问要作出并完成申报的决定。

出口合规计划怎么处理一次自愿披露？

通过处理与报告要素（要素8）：发现问题、停止相关行为、进行调查，并在适当的时候，向BIS提交自愿披露（EAR），或按22 CFR 127.12（ITAR）提交自愿披露，两个机构都可能将其视为减轻情节。一份披露的分量，取决于背后的事实记录有多扎实。按物项保留的分类报告是这份事实记录的一部分，让VSD准备工作中分类这一侧变成调取，而不是重建；是否披露的决定，以及实际申报，仍然是出口商和法律顾问的法律判断，不是GingerControl代为执行的动作。

用一套筛查与文档记录层，搭起整套计划

如果你正在依据EMCP要素搭建出口合规计划，需要要素2、3、4、7、8共用同一套推理标准和同一份记录，底下的分类就必须遵循审查顺序，并把轨迹保留下来。GingerControl的Export Control Classifier会把CCL缩小到一个ECCN或EAR99，并写出一份你的出口法律顾问可以核对的报告；它只在EAR下工作，受限方筛查在另外的工具里进行，而商品管辖权的认定、法律判断、DDTC注册，以及任何申报，仍然由你和你的法律顾问负责。了解Export Control Classifier →

GingerControl开发GingerOS，一套按你的流程、用现有的数据运行的AI贸易合规平台，有没有ERP都行。项目从报价前的Prototype Week开始。联系我们的团队 →

参考资料

1. 美国商务部工业与安全局，有效出口管理与合规计划核心要素（EMCP）
   引用数据：EMCP九要素（管理层承诺、风险评估、出口授权、记录留存、培训、全流程合规管控、监控与审计、违规处理与报告、后续跟进与纠正措施）
   来源：BIS，有效EMCP核心要素
2. 美国商务部工业与安全局，搭建出口合规计划（ECP）
   引用数据：BIS对ECP的定义（"一系列有助于遵守出口管制、降低出口违规风险的程序与工具"）；ECP的八个分组；谁必须维持一套ECP
   来源：BIS，出口合规计划（ECP）
3. 美国国务院国防贸易管制局，ITAR合规计划指引（2022年12月5日）
   引用数据：DDTC对有效ITAR合规计划要素的规定；由高级管理人员签署的合规管理承诺声明；发现/调查/披露流程与尽职调查最佳实践
   来源：Sidley Austin，DDTC合规计划指引强调尽职调查最佳实践
   发布：2023年1月（解读2022年12月5日发布的DDTC指引）
4. 美国联邦法规汇编第22编，自愿披露（ITAR）
   引用数据：22 CFR 127.12自愿披露程序；披露作为减轻情节；要求审查事件经过、纠正措施，并由高级管理人员出具证明
   来源：22 CFR 127.12（康奈尔法学院法律信息研究所）
5. 联邦公报，《国际武器贸易条例：注册费》（终版规则）
   引用数据：DDTC年度注册要求（DS-2032表格）；终版规则下第一档年费3000美元，为十五年来首次上调；注册作为获得任何DDTC许可的前提条件（22 CFR 122.3）
   来源：联邦公报，89 FR（2024年12月10日），DDTC注册费
   发布：2024年12月10日
6. 美国联邦法规汇编第15编，EAR记录留存
   引用数据：15 CFR第762部分下EAR五年记录留存要求
   来源：15 CFR第762部分，记录留存（eCFR）
7. 美国联邦法规汇编第22编，ITAR记录留存
   引用数据：22 CFR 122.5下ITAR五年记录留存要求
   来源：22 CFR 122.5，注册人的记录留存义务（eCFR）