T/CEEAS 009-2024 医药企业营销合规服务指南

ICS03.100.99
CCS C00
团体标准
T/CEEAS009—2024
医药企业营销合规服务指南
Guidelinesformarketingcomplianceservicesforpharmaceuticalandmedicaldeviceenterprise
2024-04-16发布2024-04-16实施
中国企业评价协会发布

目 次
前言………………………………………………………………………………………………………… Ⅲ
引言………………………………………………………………………………………………………… Ⅳ
1 范围……………………………………………………………………………………………………… 1
2 规范性引用文件………………………………………………………………………………………… 1
3 术语和定义……………………………………………………………………………………………… 1
4 医药企业营销合规环境………………………………………………………………………………… 2
5 医药企业营销合规治理………………………………………………………………………………… 2
6 医药企业对营销服务提供者的要求…………………………………………………………………… 5
7 医药企业委托服务提供者提供的服务项目…………………………………………………………… 7
8 医药企业营销合规流程………………………………………………………………………………… 9
9 医药企业对服务提供者的服务保障要求……………………………………………………………… 10
附录A (规范性) 医药营销服务平台信息化系统技术要求…………………………………………… 12
参考文献…………………………………………………………………………………………………… 16
Ⅰ
T/CEEAS009—2024
前 言
本文件按照GB/T1.1—2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定
起草。
请 注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由中国企业评价协会提出并归口。
本文件起草单位:中国企业评价协会、北京知行同德信息科技有限公司、北京同仁堂科技发展股份
有限公司营销分公司医学事业部、北京国际贸易有限公司、北京市安理律师事务所。
本文件主要起草人:李春伟、刘李佳、于越、周小钰、刘顺利、雷晓亚、张京虎、刘越之、王彦、郭海涛、
宋健、许旭亮。
Ⅲ
T/CEEAS009—2024
引 言
当前医药行业监管趋严,医药企业开展医药营销推广活动面临更加严格的监管。随着2017年医药
行业“两票制”的推行和2020年《医药代表备案管理办法(试行)》的发布,医药行业营销推广活动进行合
规改革已成为医药企业开拓市场、稳健发展的唯一道路,医药行业已经处在营销推广合规转型的关键
阶段。
在 此背景下,由于医药企业营销推广活动的复杂性、差异性和易逝性,医药企业普遍缺乏合规开展
医药营销推广活动的参考标准。医药企业各自为战,试图在复杂的营销活动和政策环境中摸索出一条
合规之路已成为阻碍医药行业开展合规营销的最大痛点。同时,在当前监管环境下,监管部门普遍从销
售费用的角度切入,主要审查医药企业销售费用的真实性、合法性与合理性。由于医药企业在开展营销
推广活动时,对营销推广活动中涉及的各角色界定不明确、对营销活动全过程中的合规要求认识不充
分、对各类营销活动中服务提供者的要求参差不齐,导致各服务提供者向医药企业提供营销服务时无所
适从,使得医药企业销售费用的处理无法满足监管部门的要求。因此,无论从医药企业的角度,亦或是
监管部门的角度,医药行业都亟需一部能够指导医药企业进行营销合规治理、定义各类营销推广服务提
供者、明确各角色合规要求的指南。
为贯彻落实《国务院关于深化标准化工作改革方案》的相关要求,制定满足市场和创新需要的团体
标准,满足医药企业对合规营销标准的迫切需求,本文件规范了医药企业开展医药营销推广活动时的合
规环境、合规治理、合规流程和医药企业对参与营销推广活动相关服务提供者的一般标准。本文件从医
药企业视角,阐述了医药企业自身营销合规的要求,以及在开展营销推广活动全流程中对药品/医疗器
械合同销售组织、共享经济灵活用工服务机构、医药营销服务平台和营销人员的要求,为医药企业合规
开展营销活动提供明确的指导。
Ⅳ
T/CEEAS009—2024
医药企业营销合规服务指南
1 范围
本文件规定了医药企业营销合规环境、营销合规治理、对营销服务提供者的要求、委托服务提供者
提供的服务项目、营销合规流程以及对服务提供者的服务保障要求。
本文件适用于医药企业营销合规服务1)活动的开展。
1) 为医药企业在营销活动中提供营销策略、合规解决方案、组织营销推广活动等符合相关法律法规、政策和标准
的服务,避免因可能存在的营销合规风险和违规行为带来的各项损失。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文
件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于
本文件。
GB/T22239—2019 信息安全技术 网络安全等级保护基本要求
3 术语和定义
下列术语和定义适用于本文件。
3.1
医药企业 pharmaceuticalandmedicaldeviceenterprise
生产和制造医药产品的专营企业或者兼营企业。
3.2
营销合规环境 marketingcomplianceenvironment
企业在营销活动中遵守的法律法规、行业规范以及企业内部规范的总和,以确保企业营销活动合法
合规、符合行业标准和道德要求。
3.3
营销合规治理 marketingcompliancegovernance
医药企业在进行营销活动时,通过梳理企业内部管理者的需要和期望、合规管理体系、营销合规组
织等要素对营销活动进行的合规治理。
3.4
药品/医疗器械合同销售组织 contractsalesorganization;CSO
与医药企业签订推广合同取得药品或医疗器械推广权的销售推广组织,其组织雇用医药代表进行
推广行为,取得药品或医疗器械上市许可持有人的授权。
3.5
共享经济灵活用工服务机构 serviceinstitutionofthesharingeconomyandflexibleemployment
基于互联网现代信息技术,为企业和灵活用工人员提供服务项目众包、交易处理、智能报税、灵工保
障等共享经济综合服务的平台化组织。
1
T/CEEAS009—2024
3.6
医药营销服务平台 pharmaceuticalmarketingserviceplatform
为医药企业、药品/医疗器械合同销售组织、共享经济灵活用工服务机构、营销人员提供医药营销服
务接洽及相关审核服务的第三方机构组织。
3.7
服务提供者 serviceproviders
为医药企业提供营销服务的药品/医疗器械合同销售组织、共享经济灵活用工服务机构、医药营销
服务平台、营销人员等的集合。
3.8
营销合规风险 marketingcompliancerisk
医药企业在产品推广和营销活动时,可能涉及的违反法律法规、行业标准及相关规范等方面的违规
行为和失误所导致的潜在合规风险,这些风险可能会对医药企业造成法律风险、行政监管风险、财务损
失、商业信誉等负面的影响。
4 医药企业营销合规环境
4.1 遵守法律法规
医药企业在营销活动中应严格遵守法律法规,包括但不限于《中华人民共和国广告法》《中华人民共
和国反不正当竞争法》《中华人民共和国药品管理法》《中华人民共和国个人信息保护法》《中华人民共和
国数据安全法》等,确保所有营销活动合法合规。
4.2 遵循行业规范及标准
医药企业应遵循行业规范及标准,如医药行业协会制定的行业准则、行业自律公约及相关标准
等,确保企业在行业内的行为符合行业标准和道德要求。
4.3 政策追踪与分析
医药企业应对政策进行追踪和分析,关注政策变化对营销活动的影响,及时调整营销策略和推广重
点,确保企业营销活动与政策环境保持同步。
5 医药企业营销合规治理
5.1 管理者的需要和期望
企业实际控制人、法定代表人、财务负责人、业务负责人及必要的企业合规管理负责人等管理者应
以风险与效益相平衡原则指导营销合规工作向前推进,制定医药营销战略时应确保其与企业经营战略
相一致。在企业经营过程中,管理者应正确评估企业及个人的合规风险,统一合规理念,达成营销成果
与合规风险相平衡,实现效益最大化的总体目标。
5.2 合规管理体系
5.2.1 营销合规管理制度
5.2.1.1 服务准入
企业可通过组建直营营销团队或选择外部来源开展营销活动。企业选择外部来源开展营销服务
2
T/CEEAS009—2024
的,对服务提供者进行服务准入评审:
a) 企业应建立营销服务提供者尽职调查准入评审制度,选取符合准入条件的主体承接服务,央
企、国企等大中型企业应按照相关法律法规的要求对服务提供者进行询价、竞争性谈判或招投
标,对已通过评审符合准入条件的服务提供者宜设置评审有效期,临近评审期限的,应重新组
织人员对其开展尽职调查和评审,确保已准入企业在其服务期内持续满足要求;
b) 企业通过使用第三方机构以信息化系统进行医药营销活动审核服务的,应建立技术及功能准
入条件,确保其功能及安全性满足营销活动开展以及信息安全保护要求。
5.2.1.2 营销人员
企业开展营销活动应组建由营销人员构成的营销团队,可选择直营营销团队的专职人员开展营销
活动,或采用外部灵活就业人员开展营销活动:
a) 营销人员是专职人员的,企业应根据其计划开展的营销服务类型对专职服务人员进行资格审
查,保证其从业资质满足相关法律法规要求;
b) 营销人员是灵活就业人员的,除a)要求外,还应根据灵活用工的相关法律法规,建立灵活就业
人员资格审查内容,确保人员资格合法合规;
c) 制定营销人员行为准则,明确其禁止行为,宜签订营销人员行为承诺书。
5.2.1.3 营销活动
医药企业应对各类营销活动进行标准化管理,制定统一管理的营销方式,针对不同营销活动限定不
同的营销价格。医药企业在开展营销活动过程中应采用合法合规的营销手段,如通过专业平台推广、利
用社交媒体建立品牌形象、使用医药营销服务平台真实完整记录营销活动等,不应采用虚假宣传、夸大
疗效、违反国家对药品分级分类的管理要求、虚构营销活动等违法违规手段。医药企业营销活动包含但
不限于以下内容:
a) 产品介绍:向临床医生、药店店员或患者进行产品的介绍和说明;
b) 联系和沟通:与临床医生、药师、医院科室、基层医疗渠道、零售渠道、商业渠道或其他相关人员
保持良好的联系和沟通,以便其及时了解市场信息并传递产品信息;
c) 学术活动:通过不同的推广培训活动、科室会活动、患者教育活动,以会议、讲座、培训等方式对
医疗机构客户、患者开展学术活动、传递学术观点、指导安全用药,提高产品的知名度;
d) 数据分析和报告:定期收集并分析市场数据,如销售量、市场占有率、竞争对手情况、库存数据
收集等,并形成相关的报告和分析,制定对应的营销策略和计划。
5.2.1.4 营销费用支付
医药企业应建立健全资金支付制度和审批流程,根据取得的营销服务原始凭据依法依规的支付营
销费用,其中原始凭据应至少满足“合同流、服务主体、业务流、票据流、资金流”五流合一。
5.2.1.5 风险管理
医药企业应建立风险管理体系,确保在每个阶段都能够有效地识别、评估、应对和控制风险,从而保
证营销推广活动的顺利进行和企业的持续发展。医药企业宜按如下方法对营销活动进行风险控制:
a) 医药企业宜在营销活动的事前、事中和事后3个阶段制定风险管理内容,涵盖策略制定与审
查、资源分配与预算控制、合作伙伴选择与审查、实时监控与调整、危机应对与公关处理、合规
执行与监督、效果评估与总结、反馈收集与改进以及资料归档与风险记录等方面;
b) 医药企业宜通过建立“风险识别清单”“岗位合规职责清单”“流程管控清单”,建立和更新风险
3
T/CEEAS009—2024
识别库,实施动态的风险管理措施。
5.2.2 营销计划及预算
医药企业应对某一周期内的营销活动制定营销计划,根据企业总体经营目标确定开展营销活动的
营销目标、明确各类型营销活动的合规要求、确定营销活动的预算。医药企业应按如下要求制定营销
预算。
a) 根据统一制定的销售指标,应划分不同品类医药营销份额,根据不同品类的营销合规要求、市
场监管要求、营销团队构成制定合规策略,分配合规资源。为计划营销的医药产品制定区别化
的营销策略,以合规监管结合营销预算情况开展营销活动。
b) 企业委托营销人员对外开展医药营销活动时,应遵守相关法律法规,组织企业内医药营销合规
团队对一线营销活动推广人员开展合规培训,充分评估从事营销活动可能存在的法律风险。
c) 制定预算时,应根据不同品类的营销策略分配预算,符合同行业销售费用占比规律,同时结合
不同品类的合规情况给予不同程度的预算倾斜,以应对不同品类、不同营销方式下可能给企业
造成风险的因素。
5.3 营销合规组织
5.3.1 通用要求
医药企业应以企业经营战略为基础,制定统一的营销合规方针,指定专门的营销合规负责人员或组
建合规团队开展合规治理。同时,保障营销合规体系能够获取足够的资源,指导和支持营销合规人员开
展合规工作,保证企业营销合规体系实现预期结果。
5.3.2 营销合规方针
医药企业应制定统一的营销合规方针,开展合规治理。主要内容如下:
a) 营销合规方针应与企业的价值观、目标和经营战略保持一致;
b) 合规方针的制定应符合医药企业经营的相关法律法规规定;
c) 明确企业管理者与营销合规团队的合规职能;
d) 明确不遵守企业的合规规定、流程和程序的后果。
5.3.3 营销合规组织及职责
医药企业应指定营销合规负责人。营销合规负责人宜具备企业合规师(中级)或以上能力,可参见
T/CEEAS004—2021,统筹管理营销合规工作,监督落实国家行政部门对医药企业营销合规的监管要
求。营销合规负责人主要职责如下:
a) 组织制定各项医药企业合规管理制度和流程;
b) 明确界定各部门与营销合规相关的管理职责;
c) 监督营销合规制度和流程的执行落实情况;
d) 建立营销合规风险评估机制,完善风险评估流程;
e) 审阅由营销合规执行部门提交的风险评估报告;
f) 组织拟定和实施营销合规教育培训计划。
医药企业宜建立营销合规团队,其中核心人员宜具备企业合规师(初级)或以上能力,可参见
T/CEEAS004—2021,根据营销合规方针及营销合规负责人的工作安排具体开展营销合规工作。营
销合规团队主要职责如下:
4
T/CEEAS009—2024
a) 执行并指导相关部门各项合规管理制度和流程;
b) 定期按一定比例抽查营销推广活动的合规性及合理性;
c) 开展营销合规风险评估,推进识别营销合规风险,出具风险评估报告;
d) 分析和评价经风险评估后识别出的风险,确认是否需要采取整改措施;
e) 定期对服务提供者的服务合规情况评级评分,出具评定结果;
f) 对业务部门开展营销合规培训,提升整体组织的合规意识;
g) 定期向企业管理者进行营销合规风险汇报。
6 医药企业对营销服务提供者的要求
6.1 药品/医疗器械合同销售组织
6.1.1 基础要求
医药企业应对药品/医疗器械合同销售组织提出以下合规基础要求,以应对潜在的服务中断风险、
法律风险:
a) 药品/医疗器械合同销售组织应为法人或其他组织;
b) 应具备实际办公的经营场所;
c) 药品/医疗器械合同销售组织及其实际控制人未被列入“严重违法失信名单”、不存在“经营异
常”2);
d) 药品/医疗器械合同销售组织及其实际控制人未被列入“失信被执行人名单”3):
e) 药品/医疗器械合同销售组织及其实际控制人未被列入“重大税收违法失信主体名单”4);
f) 药品/医疗器械合同销售组织应具备健全的企业管理制度、营销合规管理制度和会计制度,并
可按照税务机关要求出具第三方机构审计报告。
2) 通过国家企业信用信息公示系统www.gsxt.gov.cn进行检索。
3) 通过中国执行信息公开网zxgk.court.gov.cn进行检索。
4) 通过信用中国www.creditchina.gov.cn进行检索。
6.1.2 推荐要求
医药企业对药品/医疗器械合同销售组织的要求除满足6.1.1的要求外,还应满足以下要求:
a) 具备医药行业营销推广服务的经验或能力,由药品/医疗器械合同销售组织专职人员、合作人
员或第三方服务合作者根据医药企业实际情况,设计符合医药企业营销特点的营销方案;
b) 药品/医疗器械合同销售组织应具备管理团队,配备与经营规模相适应的合理人数,最低不少
于3个专职人员并具有合法存续的纳税社保记录,岗位设置不限于营销策划人员、风控人员、
财务人员等;
c) 应配合医药企业的准入考察、尽职调查等合规审核。
6.2 共享经济灵活用工服务机构
共享经济灵活用工服务机构除应符合6.1.1的要求外,还应满足如下要求:
a) 具有专业经验的专职财税服务人员;
b) 具备提供财务、税务服务应取得的相应资质;
c) 具有业务风险管理制度,具备识别、防范、管控和应对业务风险的措施和能力;
5
T/CEEAS009—2024
d) 具备支付业务许可证或与具备结算支付能力的平台合作;
e) 提供信息化服务系统的共享经济灵活用工服务机构,具备信息和数据安全管理能力;
f) 风控人员应定期对灵活就业人员进行抽检回访,核实任务执行过程真实、合规;
g) 共享经济灵活用工服务机构向自由职业者支付费用,应为其进行税务申报并缴纳税款。
6.3 医药营销服务平台
6.3.1 基础要求
医药营销服务平台除应符合6.1.1的要求外,还应满足如下条件,以应对复杂的营销场景:
a) 核心团队具有医药行业营销推广经验,深度了解医药行业营销业务模式的历史沿革和现状,根
据不同医药企业在营销推广业务上的需求设计和实施审核方案;
b) 拥有商务及运营团队,为医药企业的全流程数字化营销推广业务服务提供咨询、协助和审核;
c) 拥有对医药企业在营销活动过程中形成证据的统一审核标准;
d) 具备对医药企业、共享经济灵活用工服务机构及服务人员进行风险识别、评估和风险管理的
能力。
6.3.2 推荐要求
医药营销服务平台除应符合6.3.1的要求外,还满足以下要求:
a) 医药营销服务平台宜采用信息化系统,自有产品设计和研发团队,业务流程设计应符合医药行
业营销推广业务的真实场景,符合所服务医药企业的营销规范;
b) 信息化系统功能包括但不限于实名认证、权限管理、电子签约、任务工单流转、税收票证管理、
结算支付管理、数据统计或分析、记录存证等功能,同时拥有医院及其医生的公开基础信息数
据库,能够为医药企业提供营销标准化服务交易流程、闭环服务交易结构、服务过程全面留痕
可追溯以及结算支付管控的合规信息化功能;
c) 在信息化系统中实现按照医药营销活动的规则,通过对交易价格、频次、业务逻辑、敏感词等多
种不同维度进行智能化的自动任务工单初筛审核,可降低医药企业在开展营销活动中的验收
及合规成本;
d) 医药营销服务平台信息化系统应满足附录A 的规定。
6.4 服务人员
6.4.1 全职专业人员
全职专业人员应具备相应的经验或技能,了解专业人员相关的行业知识或法律法规,具体要求为:
a) 医药企业开展营销活动应至少配置一名能够根据医药企业的产品和营销体系设计匹配营销场
景的专业服务人员;
b) 风控人员应掌握医药行业营销推广专业知识,并能够识别营销活动中存在的风险点;
c) 财务人员应具备专业岗位的职业技能,熟悉医药行业涉税管理的相关规定;
d) 具备相适应的医药知识和营销技能,鼓励一线全职营销推广人员完成医药代表备案。
6.4.2 自由职业者
医药企业采用外部来源提供营销服务的,营销人员为自由职业者时,应满足以下要求:
a) 年满18周岁且未满65周岁,具有完全民事行为能力的中华人民共和国公民;
b) 使用信息化系统实施营销活动的自由职业者应通过权威性的实名认证;
6
T/CEEAS009—2024
c) 营销任务需求企业及其关联方的雇员、董事、监事、高级管理人员或政府公职人员、事业单位在
编工作人员不应作为自由职业者实施营销任务;
d) 自由职业者应具备良好的个人信用记录,无违法违规行为,未被列入行业黑名单;
e) 自由职业者应具备足够匹配实施服务任务的经验或营销技能,或具备医学、药学相关教育背
景,鼓励完成医药代表备案;
f) 自由职业者应自愿通过线下签约或线上电子签章签署相关协议。
7 医药企业委托服务提供者提供的服务项目
7.1 营销方案设计
7.1.1 设计要求
服务提供者应根据医药企业的真实营销业务场景,为医药企业设计符合其营销现状和产品推广真
实逻辑的营销方案。
7.1.2 方案内容
营销方案应至少包括任务场景、任务内容说明、任务数量、实施人员、任务区域、任务周期、任务费
用、任务规则,服务人员对任务的实施过程应有记录,任务结束后,服务提供者应提供完整的汇总材料或
任务报告,材料可为纸质材料或不可篡改的电子格式,包括但不限于统计分析说明、照片、音视频、文书、
表单、工作轨迹等。
7.2 营销推广任务的承接
药品/医疗器械合同销售组织及共享经济灵活用工服务机构总包或分包承接任务,应包括掌握各自
的审核内容或标准,向服务人员传递和培训相关任务信息及规则,组织服务人员实施完成任务,同时审
核、验收任务。
7.3 风险管理
7.3.1 风险识别
医药企业开展营销活动时应在事前对潜在风险进行识别,风险识别要求如下。
a) 风险识别范围包括服务提供者风险识别、营销方案风险识别、其他营销合规的相关风险。
b) 风险识别程序应包括初次识别时建立服务提供者的信息识别机制,登记并审核验证其基本信
息;在业务关系存续期间,对其发生重大变化下持续进行风险跟踪识别,设立并完善其风控档
案;当其重要信息发生变更和交易业务内容情况出现异常时,应对其进行重新评估。
c) 风险识别方法包括但不限于实地调查、背景调查、访谈、公开信息查询、随机抽样检查、第三方
调查询证等。
d) 信息数据来源包括但不限于监管机构和司法机构公开的信息数据、社会媒体公开的信息数据、
收集的医药企业提供的信息数据等。
7.3.2 风险分析
7.3.2.1 自由职业者风险
对自由职业者信息进行风险分析,包括但不限于以下方面:
a) 自由职业者姓名、身份证号码,或者个人用户生物特征等表明用户身份的要素;
7
T/CEEAS009—2024
b) 银行卡号或第三方支付收款账户是否与自由职业者身份一致;
c) 自由职业者是否为所服务的企业用户的董监高5)员工;
5) “董”指公司董事,包括董事长、执行董事等;“监”指监事;“高”指高级管理人员,包括公司的经理、副经理、财务
负责人、董事会秘书等。
d) 自由职业者是否为涉案违法人员;
e) 自由职业者是否为军人、政府公职人员、事业单位在编人员;
f) 自由职业者是否具备提供服务所需的专业资质;
g) 抽查回访自由职业者是否真实实施相关任务。
7.3.2.2 药品/医疗器械合同销售组织及共享经济灵活用工服务机构风险
对药品/医疗器械合同销售组织或共享经济灵活用工服务机构信息进行风险分析,包括但不限于以
下方面:
a) 企业资质、经营范围、营业执照有效期、股权信息、实际控制人等基本信息;
b) 税收违法、欠税公告、行政处罚、经营异常等经营风险信息;
c) 司法案件、裁判文书、股权冻结、立案信息等法律风险信息;
d) 财务预警、监管预警等其他负面舆情信息;
e) 对企业用户(任务企业及供应商)定期进行回访、评级并结合评级情况适时调整业务;
f) 业务流程中对合同及法律文书的重要条款内容;
g) 资金支付流转的合理性及结算通道的安全性。
7.3.2.3 营销方案风险
服务提供者应按照政府监管部门的要求、指引和风险提示,从业务性质、交易金额、时间、频率等多
维度分析并建立异常交易监测指标,用于监测异常交易,包括但不限于以下方面。
a) 业务场景与自由职业者信息及行为逻辑是否相符。应根据不同业务场景特征,设置相应风控
阈值规则,判断业务场景与人群年龄、性别、收入等信息是否匹配。
b) 交易金额与实际生产经营场景是否相符。应通过大数据分析得出每类个人用户人群单位时长
的收入区间及平均收入的实际情况,判断交易单笔金额或总金额是否明显偏离公允金额或实
际情况。
c) 交易时间与实际生产经营场景是否相符。应关注自由职业者交易的时间,如实际交易时间不
在通常的业务场景时段,存在业务不真实风险。
d) 交易频次与实际生产经营场景是否相符。应关注自由职业者交易的频次,如实际交易频次不
符合通常的业务场景交易频次,存在业务不真实风险。
7.4 财税与支付
7.4.1 服务要求
医药企业验收通过后,服务提供者应向其分别收取相应的服务费用。为保障资金的安全与合规,医
药企业和服务提供者应采用至少两个第三方具有支付业务许可证的结算通道和产品,以7×24小时实
时到账方式规避各方在支付和收取服务费用时的资金风险。
8
T/CEEAS009—2024
7.4.2 费用支付
服务提供者向服务人员支付的服务费用,应根据医药企业最终验收合格的服务按实际金额支付,并
依法依规纳税。
7.4.3 财税要求
合同流、服务主体、业务流、票据流及资金流应保持一致,五流合一。
7.4.4 发票要求
根据《中华人民共和国发票管理办法》,任何服务提供者不应开具与实际业务情况不符的发票。
8 医药企业营销合规流程
8.1 营销合规流程
医药企业应设立营销流程,在开展营销活动的过程中保留各阶段的相关业务证据,确保营销活动中
各环节可追溯的总体合规目标。营销合规流程见图1。
图1 营销合规流程
8.2 推荐营销合规流程
医药企业开展营销活动宜选取专业的医药营销服务平台,通过医药营销服务平台所建立的信息化
系统对接医药企业所制定的营销需求、设计营销方案、发布营销推广任务,并在营销推广人员完成服务
后,通过信息系统预先设定的自动化预审规则进行服务审核筛查,以满足业务合规、行为合规及财税合
规,有效降低医药企业在营销活动开展过程中所带来的合规风险。推荐营销合规流程见图2。
9
T/CEEAS009—2024
图2 推荐营销合规流程
9 医药企业对服务提供者的服务保障要求
9.1 合规保障
9.1.1 总体要求
医药企业应建立对服务提供者进行评估、筛选、监督、沟通和改进的闭环合规机制,确保与合规性较
高的服务提供者建立长期稳定的合作关系,共同推动行业的合规发展和可持续发展。
9.1.2 合规性评估与筛选
营销推广服务提供者应接受医药企业对其持续进行合规性评估。评估内容包括服务提供者的资
质、信誉、业务合规记录等方面,评估结果作为与医药企业合作的重要依据,确保医药企业与合规性较高
的服务提供者建立合作关系。
9.1.3 合规约束
营销推广服务提供者需遵守营销合规环境的约束。宜与医药企业签订合规条款,明确双方合规责
任和义务,并定期提交合规报告,以便医药企业及时了解其合规情况。
10
T/CEEAS009—2024
9.1.4 合规监督
营销推广服务提供者应接受医药企业的合规监督,定期配合医药企业的评级评分,确保其遵守营销
合规环境下的相关要求。如被医药企业发现服务提供者存在违法违规行为,医药企业应及时采取措施
进行纠正,甚至终止合作关系。
9.1.5 信息共享与沟通
营销推广服务提供者与医药企业之间应积极建立有效的信息共享和沟通机制,以便及时获取医药
企业合规方面的信息和要求,以确保双方对合规要求的理解和执行保持一致,提高合作效率和合规
水平。
9.1.6 持续改进与优化
营销推广服务提供者应根据医药企业合规评估结果,不断调整和优化合作策略,以满足合规要求并
提高自身的合规水平。同时,医药企业还应持续关注并收集营销合规环境的变化,及时调整对服务提供
者的合规要求,以促进服务提供者与医药企业的合作始终合规并与时俱进。
9.2 服务保障
医药企业应持续关注服务提供者所提供服务的质量,在与其合作的有效期内发生重大风险事件或
涉嫌严重违规事件的,应及时查明情况,及时采取措施防控风险。医药企业应要求服务提供者建立售后
服务体系,设置专门的售后服务部门和人员提供专业服务,为医药企业提供完善、周到的维护和支持服
务。售后服务内容包括但不限于:服务类型、维护和应急措施、培训服务、升级服务、回访及跟踪服务以
及后续服务等。
11
T/CEEAS009—2024
附 录 A
(规范性)
医药营销服务平台信息化系统技术要求
A.1 信息系统运行维护
A.1.1 系统运行维护
A.1.1.1 运行维护环境
运行维护环境要求如下:
a) 机房管理:信息系统基础设施应满足GB/T22239—2019中8.1.1的要求;
b) 网络管理:应保证网络设备、网络带宽、网络区域划分满足业务需要;
c) 安全区域边界设置:应建立边界防护,保证网络通过受控边界设备接入内部网络;
d) 审计管理:信息系统应建立审计日志记录机制,记录系统和应用程序的关键操作、事件和异常
行为。
A.1.1.2 云计算环境
使用云服务搭建信息系统的,云计算服务提供商应满足GB/T22239—2019中云计算安全扩展要
求,云计算基础设施应位于中国境内。
A.1.2 访问控制
信息系统应设置严格的访问控制措施,确保只有经过授权的人员方可访问系统和敏感数据,具体做
法包括:
a) 对登陆的用户分配账户的权限,严格控制管理员账号,建立权限分配策略;
b) 配置访问控制策略,规定对登陆用户的访问控制规则;
c) 授予管理用户所需的最小权限,实现管理用户的权限分离;
d) 以非本地化方式搭建信息系统的,应在虚拟化网络边界部署访问控制机制,设置访问控制
规则。
A.1.3 数据备份及恢复
所有业务数据应拥有可靠备份,应支持在业务中断后,最长恢复时间小于或等于8h,业务数据不
丢失。业务可用性排除外力因素(即非本企业可控因素),业务可用性应达到99.99%,数据备份及恢复
的技术要求方面要求如下。
a) 应至少每月1次对数据库数据进行备份。
b) 采取严格的存取访问控制机制。
c) 数据库软件应具备从各种人为故障、软件故障和硬件故障中进行恢复的能力;数据库均应配置
操作日志记录功能,并保留操作记录,以备安全审计使用。
A.2 信息安全
A.2.1 数据加密
当信息系统存在相互之间的对接,或存储、传输敏感数据时,应采取以下2个措施对数据进行加密
12
T/CEEAS009—2024
处理,确保数据在传输和存储过程中的保密性:
a) 加密算法方面,应至少采用非对称算法,如AES、RSA 或国密算法SM2等,密码长度应不低于
128位;
b) 网络传输层方面,通过使用安全套接层(SSL)或传输层安全协议(TLS)协议,对数据在网络传
输过程中进行加密保护。
A.2.2 隐私保护和数据合规
医药企业营销活动中使用信息系统涉及收集、传输、存储、使用、委托处理、共享个人信息时,应采取
以下相应的个人信息保护措施,以满足数据合规的总体要求:
a) 收集个人信息方面,个人信息的收集者应以“最小范围,必须收集”为原则,主动向个人信息主
体告知收集、使用个人信息的目的、方式和范围,获取个人信息主体单独同意方可收集;
b) 存储个人信息方面,个人信息控制者应对存储的个人信息进行去标识化处理,对于敏感的个人
信息,应采用加密等安全措施;
c) 使用个人信息方面,个人信息控制者不应超出与收集个人信息时所声称的目的使用个人信
息,确需超出范围的,应再次征得个人信息主体的明示同意;
d) 个人信息主体权利实现方面,个人信息控制者应为个人信息主体提供响应其行使查询、更正、
删除、撤回授权同意、注销账户、获取个人信息副本、投诉请求的方式;
e) 个人信息委托处理及共享方面,个人信息控制者应向个人信息主体告知其委托处理、共享个人
信息的目的和接受方的类型。
A.2.3 去标识化
信息系统应至少从以下方面对敏感数据进行去标识化处理:
a) 姓名的去标识化;
b) 身份证号的去标识化;
c) 银行卡号的去标识化;
d) 电话号码的去标识化;
e) 地址信息的去标识化。
A.2.4 安全漏洞管理
安全漏洞管理是信息系统安全的重要组成部分,信息系统上线应定期进行漏洞扫描,具备完善的安
全漏洞管理机制,明确漏洞发现和报告、漏洞接收、漏洞验证、漏洞处置、漏洞跟踪。
A.2.5 恶意代码防范
应针对网络安全、应用安全、主机安全方面建立恶意代码防范机制,对系统开发中的代码规范进行
明确规定、在关键网络节点处对恶意代码进行检测和清除、及时识别入侵和病毒行为并将其有效阻断。
A.3 信息系统功能要求
A.3.1 支付
信息系统应支持医药企业与服务提供者进行资金往来,至少接入银行或第三方支付机构用于三者
间的资金支付。信息系统应按照如下要求实现支付结算、账户管理、订单批量导出、订单查询等功能,便
于医药企业对已发生、计划发生的服务费用进行支付结算、资金管理、账务核对:
13
T/CEEAS009—2024
a) 支付结算:应实现医药企业发放服务费用的结算、费用校验、费用审核及统一下发功能;
b) 账户管理:应实现实时余额查询、自动对账、人工调账功能,可对资金流水与交易系统资金流水
进行自动比对,对自动比对出现差错的资金流水进行人工调账;
c) 订单管理:应实现医药企业发布订单、服务提供者承接订单、服务人员实施订单的全域查询,可
根据权限批量导出订单的功能。
A.3.2 签约
信息系统应支持医药企业根据营销业务流程与服务提供者进行签约,并按如下要求具备实名认证、
签约管理功能:
a) 实名认证:组织机构实名认证方面,应对在信息系统中的各方进行组织认证,实名认证服务至
少应接入有认证资质的认证服务商;
b) 签约管理:系统功能中应配置用于实现各方签约的电子签章功能,签约内容应供所有相关方随
时查看、查询。
A.3.3 服务管理
信息系统应支持医药企业发布服务订单、服务成果审核、服务订单承接、服务验收管理功能。
A.3.4 票据管理
信息系统应支持各相关方进行申请发票开具、发票审核、票据信息管理功能,自由职业者/个体户提
供营销服务的,信息系统应支持相关方上传、查询完税证明。
A.4 数据治理
医药营销服务平台进行数据收集、数据处理和数据传输等活动时满足以下要求:
a) 医药营销服务平台信息化系统宜建立数据分类分级管理体系,对来源于医药企业开展营销活
动过程中的数据进行分类,推进数据要素协同优化,对医药企业营销需求进行持续改进和复用
增效;
b) 医药企业营销活动应用场景为复杂的业务场景,其分类是挖掘典型数据要素应用场景的基
础,医药营销服务平台宜对不同营销场景下的数据进行沉淀,驱动医药企业营销计划的合理
制定;
c) 医药营销服务平台信息化系统应基于隐私协议进行自动化决策,妥善保管医药营销活动相关
的数据信息,形成数据安全保护的闭环管理;
d) 医药营销服务平台信息化系统所收集的医药企业营销活动数据应满足可穿透及可追溯,破除
合规监管中的数据流通障碍。
A.5 风险控制
A.5.1 风控要求
信息系统应在企业准入、不同服务任务的工单控制规则、服务人员的筛查环节配置灵活的风控规
则,以满足不同业务阶段下风险控制的总体要求。
A.5.2 风控节点
信息系统应按如下要求具备事前、事中、事后全流程的风险控制能力,以降低人为审核的失误风险
14
T/CEEAS009—2024
并提高营销活动的合规效率:
a) 事前风控管理:在医药企业及服务提供者的入驻环节应对其资质、经营风险情况进行综合评
估,拒绝经营风险较高企业或服务人员入驻;
b) 事中风控管理:在服务提供者开展服务的过程中,信息系统应设置控制规则,对于信息匹配不
符、不符合工单规则、验收未通过的服务成果应及时发现并拦截,以免造成风险事件的发生;
c) 事后风控管理:设计评估规则,针对不同服务提供者提供的服务进行筛查和评估,持续降低
风险。
15
T/CEEAS009—2024
参 考 文 献
[1] GB/T35273—2020 信息安全技术 个人信息安全规范
[2] GB/T35770—2022 合规管理体系 要求及使用指南
[3] GB/T37964—2019 信息安全技术 个人信息去标识化指南
[4] DB43/T2286—2022 共享经济灵活用工服务平台服务规范
[5] DB43/T2287—2022 共享经济灵活用工服务平台管理规范
[6] T/CEEAS004—2021 企业合规师职业技能评价标准
[7] T/PIAC00001—2020 医药行业合规管理规范
[8] 中华人民共和国药品管理法
[9] RDPAC行业行为准则(2022年修订版)