情景背景

某企业在内部合规培训中，法务提出应当按最坏情况测算风险敞口。经营团队认为公司规模不大，即使被处罚也就是几十万元，不必投入太多做合规；法务则认为罚则中营业额百分之五这一口径可能远超预期，双方在预算安排上争执不下，公司年度营业额约数千万元。

争议与处理思路

本条（《个人信息保护法》第六十六条对情节严重的部分设定了两个并行的计算口径：五千万元以下，或者上一年度营业额百分之五以下。实务中通常认为，两个口径需要分别测算并取其中对处理者更不利的可能结果来评估风险，不能只按固定数额上限估计；对营业规模较大的企业，百分比口径的影响可能更为显著。相应地，合规投入的测算应当与此对照。

平台提示

做年度合规预算时同时测算两种口径下的潜在风险，把该数字写进内部汇报材料，让经营团队直观了解风险规模。合规投入按风险敞口与整改成本的对比来安排，优先解决高风险、易整改的问题。测算属于内部风险评估，不构成对处罚结果的预测。

相关阅读：案例情景库 ｜ 实务文章 ｜ 常见问答 ｜ 法条要旨速查