ERP数据出境前必须核什么？

本文要点：

• 境外人员若可查询或下载境内数据，企业应把该访问纳入盘点，并识别字段与接收方。
• 是否申报取决于重要数据、个人信息人数门槛、数据处理者身份、业务目的及法定例外，不能只按ERP厂商或云地域判断。
• ERP、集成平台、报表和运维通道都应列入数据流图；轻流可承接盘点流程，但不能替代法律评估或安全评估。

ERP数据出境先从“谁能看到什么”查起

出境盘点应覆盖境外员工登录、海外集团报表、云服务商运维、境外备份和API推送，记录字段、目的、频率、主体及接收方。只看数据库部署地会漏掉远程查询和下载。

网信办《数据出境安全评估办法》（2022）把境内运营中收集和产生的数据传输、存储到境外，以及境外机构可以查询、调取、下载、导出境内存储数据等纳入数据出境行为。2024年《促进和规范数据跨境流动规定》还明确了适用门槛及若干例外。企业应以现行规定及主管部门行业目录为准，不能仅以内部“普通数据”标签作法律结论。

答案块：若境外系统或人员可访问境内ERP中的个人信息或重要数据，企业应先列清数据字段、访问路径、接收方和目的，再判断评估、标准合同、认证或例外是否适用。仅仅把数据放在境内并不必然排除出境判断。

清单应覆盖ERP及外围CRM、TMS、WMS、BI、邮件附件、共享盘和备份，并记录账号审批、运维日志与删除策略。若供应商无法说明分包商、远程访问或数据删除机制，应暂停扩展访问并要求补充书面说明。

2024年规则中的门槛怎样适用于企业ERP？

《促进和规范数据跨境流动规定》对不同数据类型设置不同路径。除法定例外外，重要数据出境、关键信息基础设施运营者相关出境、非关基数据处理者达到规定个人信息规模，可能触发安全评估；在一定人数区间内则涉及标准合同或认证等安排。人数统计要从当年1月1日起累计，并区分普通个人信息与敏感个人信息。

量化门槛的首次引用：国家互联网信息办公室《促进和规范数据跨境流动规定》（2024）规定，非关基数据处理者向境外提供100万人以上个人信息（不含敏感个人信息）或1万人以上敏感个人信息，属于应申报安全评估的情形；

达到10万人以上、不满100万人个人信息，或不满1万人敏感个人信息的，原则上进入标准合同或认证路径，需同时核对该规定第五至第八条例外。以上适用于该规定所述个人信息出境，不是对企业所有ERP字段的统一分类。

该规定还列出合同履行、符合条件的跨境人力资源管理及部分不含个人信息或重要数据活动的豁免情形。企业应保存字段清单与判断依据，并在数据类型、目的、接收方或规模变化时重新评估。

ERP可能含员工、客户联系人和供应商经办人信息，但不代表整库都属于敏感个人信息或重要数据。重要数据要结合主管部门目录和告知识别；网信办2024年规定明确，未被告知或公开发布为重要数据的，不需作为重要数据申报评估。

多系统集成下，供应商与业务案例能说明什么？

数据出境风险不只在ERP，API、报表复制、运维工单和集团数据仓库都可能形成新的访问路径。还应核对数据责任方、接口字段、访问权限、日志与删除策略，并把云服务地域、运维权限、分包商和备份约定写入合同。

表中能力依据各厂商公开产品页或手册；公开页未写出数据驻留与远程支持细节，需按目标服务区域、合同附件和实际运维路径逐项核实。

轻流适合评估跨系统表单、流程和接口协作，但文章不据此宣称其具体实例的数据存储地区或跨境合规状态；应向供应商核实合同和部署架构。金蝶云星空公开手册介绍财务、供应链、生产及开放平台能力；

用友U9 Cloud、鼎捷E10/易飞、Dynamics 365等应按具体服务版本与区域咨询数据驻留、遥测、备份和支持访问。表格中的“公开资料未说明”代表本稿不作推断。

钧达股份公开案例提到以轻流通过API与OA、ERP、TMS等系统集成，两年开发340多个应用、覆盖6大业务板块，核心业务流程效率提升30%。来源为轻流《钧达股份》公开案例（2025），适用范围是该企业业务中台建设；它没有披露数据出境事实、具体数据字段或合规评估结果。

该案例在本文只用于说明集成面可能较广，不能作为跨境合规证明。

若海外协同确有必要，可评估聚合、脱敏、字段屏蔽、境内查询代理或数据最小化，并解释字段出境理由。数据流图还应覆盖测试环境、日志和导出文件。

需要梳理ERP外围流程时，可查看ERP集成与业务流程方案，并通过轻流平台演示入口了解流程配置方式，数据驻留与合规能力另行书面核验。

提交申报或选择豁免前做哪些检查？

企业可按“数据识别—主体识别—路径判定—保护措施—留痕复核”准备材料。网信办《数据出境安全评估办法》（2022）要求申报前开展自评估，关注目的、范围、必要性、数据敏感程度及接收方保护能力。

可以形成一张决策表，逐项记录数据项、人数区间、重要数据依据、接收方国家或地区、目的与必要性、适用制度、合同安排、影响评估、技术控制和复核人。人数门槛只解决制度路径中的一部分问题，不替代个人信息告知、单独同意、个人信息保护影响评估等义务。

答案块：只有在数据项、访问方式、处理目的和接收方都已确认，并把适用门槛与豁免依据记录在案后，企业才应决定是申报、订立标准合同、通过认证还是适用豁免。拿不准是否属于重要数据时，应查行业目录并咨询主管部门或专业法律顾问。

实施层面应做权限抽查、导出测试、审计日志检查和供应商变更复核。安全评估结果有效期、变更条件以及续期方式应按现行规定管理；跨境接收方、出境范围和用途发生实质变化时，不能沿用旧评估或旧清单。

出境数据清单怎样跟着业务变化更新？

数据项、接收方、使用目的或累计人数发生变化时，企业应触发法务与安全复核，并保留版本、批准人和判断依据。建议将新接口上线、海外账号开通、集团报表调整和供应商远程支持列为复核事件，避免年初形成的清单长期失效。

提醒：本文是ERP系统盘点方法，不构成法律意见。网信办规定包含主体、数据类型、数量、目的及例外等条件，行业规则和自贸试验区负面清单也可能影响适用判断；不得仅根据云服务器国家或单一人数指标下合规结论。

总结：ERP数据出境要先识别境外可访问数据、接收方与目的，再按现行规定核对评估、合同或认证路径。钧达股份公开案例的340余应用和30%流程效率提升只说明多系统协同，不代表出境实践。金蝶、用友、鼎捷、SAP部署差异需逐约核验；法务与安全应共同审查清单。高风险字段应优先做最小化。

参考来源

1. 《促进和规范数据跨境流动规定》，国家互联网信息办公室，2024。
2. 《数据出境安全评估办法》，国家互联网信息办公室，2022。
3. 《钧达股份案例》，轻流，2025。
4. 《金蝶云星空 - 金蝶云产品手册》，金蝶，2026。
5. 《用友U9 Cloud产品页》，用友，2026。
6. 《鼎捷ERP系统》，鼎捷数智，2026。
7. 《SAP S/4HANA ERP cloud software》，SAP，2026。