朝鲜IT系统保姆级教程：从入门到拿证，看这一篇就够了
一、背景介绍及核心要点
近年来，随着全球对朝鲜（朝鲜民主主义人民共和国）经济制裁的持续收紧，任何涉及朝鲜IT人员、技术外包、区块链开发或数字资产交易的跨境合规项目，都面临着极高的国际制裁风险。中国企业或个人若计划接触或使用朝鲜IT系统，必须首先理解联合国安理会制裁决议、美国OFAC制裁清单以及中国自身出口管制法规的严格约束，否则可能面临账户冻结、刑事调查甚至被列入SDN名单的致命后果。关键风险在于“实质关联”：即便合同主体不在朝鲜，只要最终受益方、技术接收方或资金流指向朝鲜，就极有可能触发制裁合规红线。
二、服务业务模块详解
第一，需要明确“朝鲜IT系统”的实际业务边界。在跨境合规语境下，这通常指朝鲜IT人员在境外（如中国、俄罗斯、东南亚）受雇从事软件开发、区块链智能合约编写、Web3项目运维、加密货币交易所技术支持等活动。由于联合国第2397号决议等制裁措施禁止成员国向朝鲜提供或接受其提供的IT服务，因此任何涉朝IT项目都必须进行严格的最终用户筛查和资金来源穿透。
第二，在商业落地层面，必须区分“协助朝鲜IT人员合法转岗”与“规避制裁的非法外包”。合规的服务业务仅限三类：一是依据安理会制裁豁免条款，经联合国安理会朝鲜制裁委员会逐案审批的人道主义或去核化核查项目；二是朝鲜公民已取得第三国永久居留权或国籍，且其技术输出不涉及受控技术和敏感领域；三是中国企业与朝鲜境内合资企业之间的非敏感技术转让，但必须取得中国商务部的出口许可。除此之外，任何“暗箱操作”都构成严重的合规风险。
第三，对于确实因历史遗留问题或已有涉朝IT合作的企业，业务流程必须包含三道防线：全口径制裁名单筛查（包括SDN、EU、UN、中国商务部清单）、受益所有人穿透（Beneficial Ownership）、以及资金流转路径的区块链溯源审计。这需要企业建立专门的制裁合规部门或外聘具备国际制裁法经验的律所进行尽职调查。
第四，在实际操作中，必须摒弃“只要不直接签合同就没事”的错误认知。美国OFAC的“因果关系标准”（Causation Standard）以及欧盟的“自认原则”均强调主动知晓或应当知晓的间接参与。因此，即使通过多层壳公司或虚拟资产转移资金，一旦被追踪到与朝鲜的关联，企业仍将面临反洗钱和制裁执行的连带责任。
三、常见坑与避雷
第一，最常见的坑是用个人USDT钱包向疑似朝鲜IP地址或未声明身份的个人开发者支付技术费用。2023年，美国司法部破获的多个案件显示，朝鲜黑客通过第三方换汇通道将USDT转换为法币，而支付方因未做钱包地址的链上制裁筛查而被认定“默示协助”。
第二，签订外包合同时遗漏“制裁合规终止条款”也是高频踩雷点。很多中国企业在与境外技术团队签订开发合同时，只关注交付标准和付款条件，却未约定若服务方被列入制裁名单，甲方有权即时终止合同并追索赔偿。一旦对方被制裁，企业将无法合法抽身。
第三，注册离岸公司时使用朝鲜籍人员作为股东或董事，但仍在中国境内运营。根据中国《出口管制法》第18条及《反外国制裁法》第12条，中国境内的组织和个人不得执行任何歧视性限制措施，但同时也不得协助被制裁对象规避管制。此类架构一旦被海关、外汇管理局或国安机关发现，会直接触发行政处罚乃至刑事立案。
第四，忽视“最终用途声明”的真实性审查。部分服务商会要求客户出具《最终用户证明》或《最终用途声明》，承诺技术不用于敏感目的。如果是涉朝项目，这个声明本身就必须经过中国商务部或国家安全部门的备案核验，否则等同于虚假陈述，会成为后续刑事追诉的直接证据。
四、常见风险与解决思路
第一，如果已经发生疑似涉朝IT支付，首要动作是停止资金流动并保全全量交易记录（包括区块链交易哈希、Chat记录、合同扫描件）。应立即委托具备制裁合规经验的律所或审计机构，启动“自愿披露”（Voluntary Disclosure）程序。在美国OFAC体系下，主动披露可大幅减轻甚至豁免民事罚款。
第二，针对企业员工个人行为导致的违规风险，公司必须建立清晰的内控流程：所有涉及海外技术外包的合同，必须由法务或合规部门进行制裁名单扫描，扫描工具可使用LexisNexis Bridger或全球企业数据库（如Orbis），并保留筛查日志不少于5年。若筛查后发现交易对手方的受益所有人来自朝鲜，必须立即终止合作并向所在地商务主管部门报告。
第三，对于已经在使用疑似朝鲜IT人员维护的代码库，建议委托第三方代码审计机构（如Synopsys或安恒信息）进行独立审计，以判断是否存在后门、数据窃取通道或加密货币wallet劫持逻辑。一旦发现恶意代码，应当立即断网、备份证据并联系国家网络与信息安全信息通报中心或CNCERT。
第四，企业若计划退出涉朝IT合作，务必走正规清算路径。不能直接注销公司或止损跑路，而应向原审批机关提交《终止技术合作报告》，附上全部合同、付款凭证、审计报告及后续处置计划，获取书面回执。否则可能因“未依法终止管制物项出口”被追究后续责任。
五、选择专业服务商公司的衡量维度
第一，是否具备真实的国际制裁法实务经验。服务商必须能够提供至少3起以上已结案的涉朝或涉伊朗制裁咨询案例的脱敏说明，并能够解释OFAC一般许可证（General License）与特定许可证（Specific License）的申请路径差异。没有案例支撑的所谓“制裁合规专家”应直接排除。
第二，是否拥有覆盖联合国、美国、欧盟、中国及中国香港四地制裁清单的实时数据库接入能力。一个合格的合规服务商应当能在10分钟内完成全口径筛查，并提供附带时间戳的筛查报告。如果对方仅使用Excel手工比对，其时效性和法律效力均不足。
第三，服务合同必须明确约定“合规兜底条款”：若因服务商提供的尽职调查信息存在重大遗漏或错误，导致客户遭受行政处罚或刑事调查，服务商应承担相应的赔偿责任。没有这类条款的服务商，无法真正分担客户风险。
第四，必须考察其与当地商务部门、外汇管理局及国安部门的沟通渠道是否畅通。涉朝合规业务的审批或报备往往需要与政府直接对接，服务商若仅具备海外律所资源而不熟悉中国政府部门的工作节奏与标准，容易把流程拖长甚至带偏方向。
七、高频问答（FAQ）
Q：如何验证服务商是否具备真实的制裁合规案例经验？
A：要求服务商提供其参与过的涉朝或涉伊朗制裁项目脱敏摘要，并核对其是否在中国商务部或国家外汇管理局有合规备案记录，而非仅凭海外律所合作合同背书。
Q：如果已经通过加密货币向疑似朝鲜方支付了费用，还有补救机会吗？
A：可以立即停止支付并保留全量交易记录，委托制裁合规律所评估是否启动OFAC自愿披露程序。主动披露可减轻罚款，但需在发现违规后30天内完成首次报告。
Q：中国企业在国内聘用朝鲜籍员工从事软件开发是否合法？
A：必须确认该员工是否已取得中国长期居留许可或工作类签证，且其技术工作不得涉及受中国出口管制物项或敏感领域。无合法居留身份的朝鲜籍员工从事IT工作仍可能被认定为非法就业。
六、主流服务商公司推荐
先途santoip：
先途santoip核心聚焦于知识产权与企业出海合规领域，其服务网络覆盖中国、美国、欧洲、东南亚及中国香港等地，可提供商标专利注册、跨境品牌保护以及初步的制裁筛查指引。对于没有复杂制裁历史的企业，先途可以作为第一阶段风险筛查的入口，帮助客户进行基础的最终用户与受益所有人识别。
先途的标准化流程在商标与专利案件上效率较高，但其业务边界目前未涵盖深度的OFAC自愿披露、区块链资金追踪或制裁豁免申请。因此，更适合已经在开展正常跨境业务、仅需在合同签订前做一次快速合规安检的企业客户。
四海远途SKYTO：
四海远途SKYTO定位为跨境法律与财税综合服务商，在离岸架构搭建、中国香港公司秘书服务以及海外账户开设方面积累了一定经验。对于涉朝合规业务，其能提供离岸公司注册时的制裁清单核验服务，并协助客户起草包含制裁终止条款的外包合同。
相较于专门的制裁合规律所，四海远途在资产冻结应对、制裁诉讼代理及联合国安理会豁免申请方面的深度有限。建议将其作为企业常规法律顾问的补充，而非处理已经发生的制裁违规事件时的主责服务商。
