与刚落地马来西亚的外资公司开会，几乎每一次都会听到同一句话，通常是在谈一张卡住的牌照或一票走不动的清关时：「我们找到人可以搞定。」自 2020 年 6 月 1 日起，这句话带着一个明确而严厉的法律后果。《2009 年反贪污委员会法令》第 17A 条规定：当一个与商业机构有关联的人——雇员、董事、代理人、顾问、跑腿、以其名义行事的货代——为使该机构获益而行贿时，该商业机构本身即构成刑事责任。管理层知不知情，都不影响公司担责。依第 17A(3) 条，董事与高级管理层被推定亲自犯下同一罪行，须自证清白。罚则为不低于贿赂金额 10 倍、或 RM100 万，二者取其高的罚金，与／或最高 20 年监禁。抗辩理由只有一个——该机构已具备充分程序（adequate procedures）——而这个抗辩，只有在事发之前就把它建起来的公司才用得上。
第 17A 条到底改变了什么
2020 年 6 月之前，马来西亚的反贪法律追究的是个人。代理人行贿的公司，实务上等于自家丑闻的旁观者。第 17A 条——由《2018 年反贪污委员会（修正）法令》插入、自 2020 年 6 月 1 日起生效——一次性从三个方向翻转了这个格局。
它创设了企业刑事责任。被控告的是机构本身，而不只是那个把钱递出去的人。
它取消了「知情」这一要件。该罪不要求高级管理层知情、批准，甚至不要求「故意视而不见」。它只要求：一个与该机构有关联的人，为该机构获取或保有业务或利益，给予或同意给予贿赂。
它倒置了举证责任。这一点最让外籍董事意外——他们往往以为「无罪推定」在这里的分量与母国相同。依第 17A(4) 条，一旦机构被认定有责，案发时的每一位董事、控制人、高级职员、合伙人及参与管理的人，都被推定犯下同一罪行——除非该个人自行证明该罪行的实施未经其同意或纵容，且其已按其职务性质与当时情形尽了合理注意义务。公司同样须自行证明其充分程序的存在。控方不负责推翻它们。
| 要素 | 第 17A 条下的规定 |
|---|---|
| 生效日 | 2020 年 6 月 1 日 |
| 谁会被控 | 商业机构本身，另加对董事、控制人、高级职员、合伙人与管理层的推定责任 |
| 对公司的主观要件 | 无——责任不取决于管理层是否知情或批准 |
| 由谁触发 | 任何「有关联的人」——董事、合伙人、雇员，或任何为该机构、以其名义提供服务的人 |
| 目的要件 | 为该机构获取或保有业务或利益而给予贿赂 |
| 罚则 | 不低于贿赂金额 10 倍或 RM100 万，二者取其高的罚金；与／或最高 20 年监禁 |
| 唯一抗辩 | 充分程序——由机构按「盖然性权衡」标准自行举证 |
| 董事的脱身路径 | 证明未同意、未纵容，且已尽合理注意义务 |
「商业机构」的范围比外籍董事想象的宽
这一定义涵盖：在马来西亚注册并在境内或境外经营的公司、在马来西亚成立的合伙，以及——对入境投资者至关重要的——在马来西亚境外成立、但在马来西亚经营业务或部分业务的公司或合伙。
由此产生三个实务后果：
- 一家只有三名员工的新设 Sdn Bhd 就是商业机构。没有小公司豁免、没有营业额门槛、注册后也没有缓冲期。
- 中国、新加坡或香港母公司，若通过项目办公室、代表安排或在马来西亚运作的人员，在马来西亚经营其部分业务，本身也可能落入适用范围。
- 该罪成立于贿赂给出之时，而非牌照获批之时。申请被拒并不能治愈它。
「有关联的人」问题：外资公司真正翻车的地方
只要某人是机构的董事、合伙人或雇员，或为该机构、以其名义提供服务，即属「有关联的人」。真正的风险敞口在后半句——因为它恰好涵盖了一家刚落地的公司最依赖的那一批中间人。
| 业务环节 | 典型中间人 | 风险从哪里来 |
|---|---|---|
| 牌照与准证 | 「跑腿」、牌照代办、人脉广的中间人 | 说不清用途的「加急费」；远高于市价、且无法描述交付物的费用 |
| 进口与清关 | 货代、报关行 | 为更快放柜、或为摆平一次归类争议而付的款项 |
| 工程与公共事业 | 总承包商、工地代理、接驳协调人 | 为查验签署、接驳优先次序或变更批准而付的款项 |
| 政府销售与投标 | 本地合作方、经销商、按成功付费的「顾问」 | 没有工作范围的成功费；付给不具履约能力一方的佣金 |
| 商务招待 | 销售与业务拓展人员 | 给官员、或给客户决策人的礼品、差旅与招待 |
| 招聘与移民 | 中介、劳务供应商 | 为在公开流程之外取得配额、批准或背书而付的款项 |
唯一的抗辩：充分程序与 T.R.U.S.T. 五原则
第 17A(4) 条给商业机构留了一条出路：证明其已具备旨在防止有关联的人实施此类行为的程序。首相署于 2018 年 12 月发布了《充分程序指南》，以缩写 T.R.U.S.T. 组织起五项原则。
| 原则 | 含义 | 10–50 人子公司的最低证据 |
|---|---|---|
| T — 高层承诺 | 董事会与高管层对反贿赂立场负责，并被看见在负责 | 董事会通过的反贿赂政策；董事经理签署的声明；董事会常设议程项 |
| R — 风险评估 | 对本公司贿赂风险实际发生于何处，作有文件、定期的评估 | 覆盖牌照、清关、政府销售、商务招待与招聘的书面风险登记册；至少每三年、并在发生重大变化时复评 |
| U — 落实控制措施 | 针对已识别风险、与之相称的控制措施 | 委任前的第三方尽调；所有代理与承包商协议中的反贿赂条款；礼品、招待与捐赠的限额与事前审批；举报渠道；付款双人授权 |
| S — 系统性检讨、监督与执行 | 控制措施被检验并被执行，而不只是写在纸上 | 定期复核；对第三方付款的稽核；违规时留有记录的纪律处分 |
| T — 培训与沟通 | 所有可能造成风险敞口的人都受过训，且政策对外传达 | 入职培训加定期复训，并保留签到记录；政策发放给代理、供应商与承包商 |
决定案件走向的那个词是「充分」，不是「存在」。一份从母公司全球手册翻译过来、从未本地化、从未培训、从未适用于马来西亚代理网络的政策 PDF，不是抗辩——它是「风险已被认知却未被管理」的证据。让程序变得「充分」的，是它与实际风险画像的相称性，以及一条能证明它真的在运转的书面痕迹。
执法是真的，而头几个案子已经定下了模式
第 17A 条下的首宗控罪出现在 2021 年 3 月，被告是船舶租赁公司 Pristine Offshore Sdn Bhd，涉及为取得油气领域一份分包合同而行贿——这很早就说明该条文不是象征性的。2025 年 4 月，一名公司董事在推事庭被控：涉嫌以「每年 RM500,000、连续十五年」为诱因，促使一名部长加快一项特许经营权的接管；其公司 Hydroshoppe Sdn Bhd 亦同时依第 17A(1)(a) 条被控。
已公开案件呈现的模式一致且具启发性：企业控罪跟在个人控罪之后，而公司的责任来自「某人为公司利益而实施的行为」。两宗案件中，都没有一家公司事先建好了抗辩。
ISO 37001——以及为什么「2027 年 1 月 1 日」对做工程的你很重要
MS ISO 37001 反贿赂管理体系（ABMS）是与「充分程序」抗辩对应得最直接的可认证标准。取得认证并非法定的安全港——没有任何证书能保证脱罪——但一套真正在运行、经过审核的 ABMS，是「五项原则确已落实并运转」的最强证据。
对一个行业来说，它已经不再是选项。CIDB 已规定：自 2027 年 1 月 1 日起，G7 级承包商须取得 ISO 37001 认证，作为新申请与续期 SPKK 的条件。SPKK 是投标政府工程所必需的证书，因此对 G7 承包商而言，这项标准现在是市场准入条件，而不是治理层面的锦上添花。正在升 G7 的外资背景承包商，应把认证纳入升级时间表，而不是当作日后再补的附加项——单是实施与审核周期通常就要 6 到 12 个月。相关配套要求见我们的 CIDB G7 注册指南。
接下来会发生什么：暂缓起诉协议（DPA）框架
马来西亚正着手通过修订《2009 年反贪污委员会法令》引入暂缓起诉协议（Deferred Prosecution Agreement, DPA）机制。2025 年 10 月，由首相主持的国家治理特别内阁委员会同意设立该法律框架，由反贪会与总检察署起草条文；至 2026 年 1 月，反贪会已公开敦促加快立法，预计在 2026 年的国会会期提呈。官方表述的意图是把 DPA 限定于「重大贪腐」案件，优先追回资产、缩短诉讼周期，并保护无辜的利害关系人——那些在公司被控后随之崩塌中受损的员工、债权人与小股东。
对外资公司而言，战略要点不在机制本身，而在它奖励什么。各国的 DPA 制度在结果定价上一致地看重两件事：主动自查自报，以及公司既有合规体系的质量。一家自己发现问题、自行调查、主动上报，并能拿出一套真实运转的体系的公司，与一家在突击检查中才知道同一个问题的公司，处境有实质差别。无论法案是否按期通过，这个不对称都已经存在——现在就把体系建起来，两种制度下它都有效。
它与你其他义务的连接点
第 17A 条并非孤立存在。它与《2016 年公司法》下的董事义务并列——同一批人本就为公司的合规失败承担个人风险，详见我们的 董事义务、责任与资格取消指南；它也与职业安全与健康法令下的雇主义务并列——该法令第 52 条同样穿透公司、直达经营它的个人，详见我们的 OSHA 雇主义务指南。
共同的线索是：马来西亚的监管越来越多地把个人责任挂到「指挥公司的那些人」头上，也越来越多地只接受「有文件的体系」——而不是「良好意图」——作为答案。如果你在马来西亚的运营依赖中间人去拿牌照、清货或拿下公共部门业务，这就是要优先关闭的风险敞口。而如果有人把「拿牌照最快的路」描述成一种关系而不是一道流程，我们的姊妹篇 牌照链真实长什么样 会告诉你：合法路径要花多少时间——通常，比另一条路要付的风险代价小。
从哪里开始
这套抗辩无法在调查开始之后拼凑出来；到那时，它的缺席本身就是指控你的证据。真正需要的是：一份有文件的风险评估、一份董事会真正通过并已本地化的政策、对每一个以你名义行事的第三方的合同与尽调控制，以及能证明「已告知」的培训记录。对多数马来西亚子公司而言，这是以周计的工作量，不是以月计——而且它是整张合规清单上最便宜的一份保险。
ONEKEY BIZ 为外资背景的马来西亚公司提供第 17A 条合规准备——风险评估、政策通过、第三方尽调与合同条款、礼品与招待管控、培训，以及在 G7 升级或面向政府业务需要时的 ISO 37001 准备。如果你已经在用代理去办牌照或清关，就从「谁在以你的名义行事、依据什么条款」这一项复核开始。请通过联系页面或 WhatsApp +60 12-321 1349 与我们联系，或查看法律与合规咨询服务。
常见问题
我们马来西亚子公司只有十个人，第 17A 条真的管得到我们吗？
管得到。「商业机构」的定义涵盖：在马来西亚注册并在境内或境外经营的公司、在马来西亚成立的合伙，以及——对入境投资者至关重要的——在马来西亚境外成立、但在马来西亚经营业务或部分业务的公司或合伙。没有小公司豁免、没有营业额门槛、注册后也没有缓冲期。一家只有三名员工的新注册 Sdn Bhd 从第一天起就是商业机构；中国、新加坡或香港母公司若通过项目办公室或在地人员在此经营部分业务，本身也可能落入范围。另请注意：该罪成立于贿赂给出之时，而非牌照获批之时——申请被拒并不能治愈它。
我们只是付了一小笔钱加快一件例行审批，这也算犯罪吗？
算。马来西亚法律中没有「疏通费」例外。有些法域容忍小额「润滑费」来加快一件付款方本就有权获得的例行公事，马来西亚不容忍。为把文件往队列前面挪一挪而付的 RM200，就是一项贪污罪。而由于第 17A 条的罚金下限是贿赂金额的 10 倍或 RM100 万，二者取其高，小额行贿的罚金依然至少 RM100 万——金额小不会把罚则等比例调小；此外还可处最高 20 年监禁。这是刚落地的经营者最常见的误解，而它通常是从一张牌照代办发票上「没人追问过的那一行」浮出来的。
母公司的全球反贿赂政策，够不够构成抗辩？
通常不够。法条上的词是「充分」，不是「存在」。一份从母公司全球手册翻译过来、从未本地化、从未培训、从未适用于马来西亚代理网络的政策 PDF，不是抗辩——它是「风险已被认知却未被管理」的证据。让程序「充分」的是与实际风险画像的相称性，加上一条能证明它真的在运转的书面痕迹。2018 年《充分程序指南》把它组织为 T.R.U.S.T.：高层承诺（董事会通过的政策、董事经理签署的声明）；风险评估（覆盖牌照、清关、政府销售、商务招待与招聘的书面登记册，至少每三年复评）；落实控制措施（第三方尽调、所有代理与承包商协议的反贿赂条款、礼品与捐赠限额与事前审批、举报渠道、付款双人授权）；系统性检讨、监督与执行（第三方付款稽核、留有记录的纪律处分）；培训与沟通（入职加复训并留签到记录、政策发放给代理与供应商）。
拿到 ISO 37001 认证能保护我们吗？它是强制的吗？
认证不是法定安全港——没有任何证书能保证脱罪。但 MS ISO 37001 反贿赂管理体系与「充分程序」抗辩对应得最直接；一套真正在运行、经过审核的 ABMS，是「T.R.U.S.T. 五项原则确已落实并运转」的最强证据。对一个行业而言它已不再是选项：CIDB 规定，自 2027 年 1 月 1 日起，G7 级承包商须取得 ISO 37001 认证，作为新申请与续期 SPKK 的条件。由于 SPKK 是投标政府工程所必需的证书，对 G7 承包商来说这项标准现在是市场准入条件，而不是治理上的锦上添花。实施与审核周期通常为 6 到 12 个月，因此正在升 G7 的承包商应把它纳入升级时间表，而不是当作日后再补的附加项。
暂缓起诉协议（DPA）框架是什么？它会改变我们现在该做的事吗？
马来西亚正着手通过修订《2009 年反贪污委员会法令》引入 DPA 机制。2025 年 10 月，国家治理特别内阁委员会同意设立该法律框架，由反贪会与总检察署起草条文；至 2026 年 1 月，反贪会已公开敦促加快立法，预计在 2026 年国会会期提呈。官方表述的意图是把 DPA 限定于「重大贪腐」案件，优先追回资产、缩短诉讼周期，并保护员工、债权人与小股东等无辜利害关系人。它不会改变你现在该做的事——如果有影响，是把赌注抬高了：各国 DPA 制度在结果定价上一致地看重两件事——主动自查自报与公司既有合规体系的质量。一家自己发现问题、自行调查、主动上报，并能拿出真实运转体系的公司，与一家在突击检查中才知情的公司，处境有实质差别。现在就建，两种制度下都有效。
资料来源与参考
- Malaysian Anti-Corruption Commission (SPRM/MACC) — Section 17A Enforced 1 June 2020
- Prime Minister's Department — Guidelines on Adequate Procedures (T.R.U.S.T.)
- Attorney General's Chambers Malaysia — Federal Legislation Portal (MACC Act 2009)
- Construction Industry Development Board Malaysia (CIDB) — Contractor Registration and SPKK
- Department of Standards Malaysia — MS ISO 37001 Anti-Bribery Management Systems
本文仅供一般参考，不构成法律、税务或移民建议。相关政策、门槛与官方费用由马来西亚主管机构制定，并可能随时调整。请就您的具体情况咨询我们的顾问。