PDPA

如果你过去三年搭过马航（Malaysia Airlines），这则新闻和你有关。马航上周末发表声明，指订位系统供应商Amadeus发生网络安全事故，2023年8月至2026年9月期间经Amadeus处理的部分顾客资料可能受到影响。马航强调，自家IT系统没有被入侵，目前也没有证据显示财务资料被取用。 这件事的提醒不只在航空业。很多本地企业都把顾客资料交给外部系统处理，例如会员系统、电商后台、客服软件。系统可以外包，出事时顾客找的却是品牌。 发生了什么：一个供应商出事，多家航空公司受波及 Amadeus是全球主要的航空订位科技供应商之一。据路透社报道，Amadeus表示发现一个旅游订位显示环境存在漏洞，但没有说明受影响人数。 受影响的不只马航。国泰航空在官网说明，约5.3万笔订位受影响，多数涉及乘客姓名、订位编号与航班资料，较少部分可能包括电邮、电话、旅行证件号码或飞行常客号码；国泰称Amadeus在10月28日通知它。另据报道，日本航空约9.2万名顾客、全日空约3.78万名顾客可能受影响。各家统计方式不同，数字不能直接相加。 马航目前没有公布受影响人数与资料类别，只表示正与Amadeus等各方调查，并会再作更新。 为什么这是CRM的事：顾客不会分“你”和“你的供应商” CRM（客户关系管理）用白话说，就是企业怎样记住顾客、服务顾客、留住顾客。顾客愿意把姓名、电话、会员号码交出来，是因为信任这个品牌。 所以资料出事时，新闻标题写的是“马航顾客资料外泄”。马航先讲清楚受影响时段、哪些系统没事、顾客要提防什么，就是在第一时间稳住信任。 还有一个更实际的风险：外泄的姓名、订位和联络资料，会让诈骗讯息看起来更像真的。冒充熟悉的品牌来骗资料，就叫“网络钓鱼”（phishing），例如一封写着你真实航班号码的假“退款通知”。马航也提醒顾客，留意任何要求提供个人或财务资料的可疑或陌生讯息。 法规怎么说：72小时、7天、1,000人 马来西亚《个人资料保护法令》（PDPA）修订后，强制资料外泄通报自2025年6月1日起生效。按个人资料保护专员发出的指南： 资料外泄造成或可能造成“重大伤害”（例如财务损失、敏感资料外泄），或涉及超过1,000名资料当事人，资料控制者须在72小时内通报专员； 可能造成重大伤害的，还须在通报专员后7天内通知受影响的个人； 每宗外泄都要登记在案，记录至少保存2年。 指南也建议企业在合约里要求供应商：一旦外泄，要及时通知企业并协助通报。以上是一般法规说明，本文不评论马航个案的通报情况。 企业可以先做的3件事 第一，画一张“顾客资料去了哪里”的清单。会员系统、电商平台、电邮营销工具、客服软件、外包物流，凡是存有顾客资料的供应商都列出来，写明存了哪些资料、保存多久。用不到的旧资料按政策删除，资料越少，出事时影响越小。 第二，把“出事要多快通知我”写进供应商合约。企业通报专员只有72小时，如果供应商一星期后才通知你，就来不及了。合约要写清楚供应商发现外泄后多久通知、要提供哪些资料、谁是联络人。 第三，事先写好给顾客的说明稿。内容至少包括：发生了什么、影响哪段时间、哪些资料可能受影响、哪些没有、顾客要注意什么、怎样联络客服。同时清楚告诉顾客，品牌不会通过陌生链接索取密码或银行资料。 接下来看什么 后续可以留意三点：马航会否公布受影响人数与资料类别，并逐一通知顾客；Amadeus的调查结果与补救措施；以及其他使用同一系统的航空公司陆续公布的影响范围。对一般企业来说，这次事件提醒的是：顾客资料交给谁处理，都要算进品牌信任的成本里。 资料来源 Malay Mail：Malaysia Airlines warns customers of data exposure in Amadeus cybersecurity breach（2026年11月1日） Media Selangor（转载路透社）：Malaysia Airlines says customers may be affected by Amadeus breach（2026年11月1日） 国泰航空官网：Personal data security incident involving a third-party service provider Aviation A2Z：Cathay Pacific confirms data breach affecting 53,000 bookings（2026年10月31日） DLA Piper Privacy Matters：Malaysia guidelines issued on data breach notification and DPO appointment

CTOS Digital Bhd（CTOS）10月13日向马来西亚交易所披露，9月公布的网络安全事件预计将使公司2026财年营业额减少约RM1,600万，税后及少数股东权益后净利（PATAMI）减少约RM1,200万。这项估算假设部分信用报告服务停摆至10月第三周；若停服每多延长一周，营业额将再少约RM250万、净利再少约RM130万。 从“无重大财务影响”到逐季估算 CTOS在9月23日首次披露，其支援消费者业务的某一系统环境遭未经授权存取，部分含有限消费者资料的档案被读取。公司当时表示已隔离受影响环境、委任独立事故应变团队进行鉴识调查，并已通报相关当局，同时称事件对公司“没有重大财务影响”。 三周后的最新文件给出了具体数字：第三季营业额影响约RM300万、净利影响约RM500万；第四季营业额影响约RM1,300万、净利影响约RM700万。估算已计入预计停服时间与补救、修复成本。目前CTOS Score与CCRIS相关报告仍暂停，公司表示其他服务照常运作；补救措施的独立检视预计10月内完成，服务须在补救与独立验证都获满意后才会恢复。CTOS强调，上述数字属初步估算，会随更多资料出炉而调整。 数字背后：信任中断有了价格 以CTOS 2025财年净利约RM1.0485亿、营业额约RM3.26亿作参照，这次估算的净利影响约相当于前一年全年净利的一成多，营业额影响约5%。 从企业品牌角度看，这份披露的意义不只在于金额。信用报告机构卖的，本质上是“可被信赖的资料”；当核心报告暂停，客户无法照常查询，品牌承诺就直接变成可计算的营收缺口。“每周RM250万营业额”这个敏感度数字，相当于把信任中断的成本按周标价，这在本地上市公司的公开文件中并不常见。 不过，财务估算只覆盖看得见的部分。若停服时间拉长，部分企业客户可能改用其他渠道完成信用审查，续约时的议价态度也可能改变，这些较难量化的影响，要在之后几个季度的业绩里才看得出来。 企业可以从中做什么 检查对单一资料来源的依赖。做批发赊账、分期、租赁或B2B信用审查的企业，可以盘点内部审批流程是否只靠一家信用报告，并预先准备替代方案，例如其他持牌信用报告机构、客户银行往来文件或担保安排。 把资料外泄通报写进预案。《个人资料保护法令》修正后，资料外泄通报义务自2025年6月1日起生效：资料使用者须在知悉外泄后72小时内通报个人资料保护专员；若可能对当事人造成重大伤害，须在7天内通知受影响者。企业宜预先拟好通报流程、对外声明范本与指定发言人。 首次声明留有余地。事故初期往往难以判断全部影响，对外说明时可清楚交代“仍在评估”，并承诺下一次更新的时间点，避免日后数字变化时损及可信度。 算出“停一天要付多少”。把关键系统停摆一天或一周的营收与客户影响量化，纳入风险登记与危机沟通预案，董事会与管理层才有共同的决策基础。 接下来观察什么 独立检视能否如期在10月内完成，CTOS Score与CCRIS相关报告何时恢复。 CTOS下一份季度业绩中的实际影响，是否与初步估算一致。 公司会否进一步披露受影响资料的类型与人数；目前公开文件尚未说明。 资料来源 The Star：CTOS Digital estimates RM12mil in Patami impact from cybersecurity incident（2026年10月13日） BusinessToday：CTOS Warns Of RM16 Million Revenue Impact From Cybersecurity Breach（2026年10月13日） Bernama：CTOS Digital Detects Unauthorised Access To Consumer Data（2026年9月23日） New Straits Times：CTOS FY25 net profit slips to RM104.85mil（2026年1月） ASEAN Briefing：Malaysia Tightens Data Protection from June 2025

（吉隆坡15日讯）很多大马中小企业主对“合规”二字并不陌生，却对自己是否真正符合要求一知半解。有时，一家经营多年、运转正常的企业，可能在不知情的情况下，已在劳工法令、税务申报或数据保护等方面存在违规隐患。 这些违规不一定源于恶意，更多时候是因为老板太忙、资源有限，或者根本不知道有这些要求。但在执法机构看来，不知道并不是免责的理由。 本文用最直白的方式，帮你理清企业合规的核心概念，并点出大马中小企业最容易忽略的五大合规风险。 什么是企业合规？ 企业合规（Corporate Compliance），是指企业在日常经营过程中，遵守所有适用法律、法规、监管要求及内部政策的行为与机制。 合规不只是律师或大企业的事。对于任何在大马注册经营的企业，无论规模大小，都须遵守一套相对完整的法律框架，涵盖劳工关系、税务申报、公司治理、数据保护及特定行业监管等多个领域。 合规失败的代价可能包括：罚款、追缴税款与罚息、暂停营业令、刑事检控，乃至企业声誉的永久损害。 风险一：劳工法令合规——你的雇佣合同是否达标？ 《1955年雇佣法令》是大马规范雇主与雇员关系最核心的法律，近年经历多次修订，对中小企业的要求明显提高。 常见违规情况包括： 雇佣合同不完整或不合规：内陆税收局近日亦就雇佣合同印花税处理发出厘清指引。雇主须确保月薪超过3000令吉的雇员主合同完成盖印及背书，否则文件法律效力存疑。 加班薪酬计算错误：法令规定，普通工作日加班薪酬为时薪的1.5倍；休息日为2倍；公共假日为3倍。许多企业以“基本薪”代替“时薪”计算，可能低付合规金额。 试用期规定混淆：试用期员工并非不受法令保护，雇主不能随意终止合同而不给予相应通知期或代通知金。 未提供法定假期：每年最少11天全国公共假期须予员工休息，不得以其他方式替代。 未在期限内呈报终止雇佣：雇员被裁员或合同终止后，雇主须在规定时限内向PERKESO申报，否则面临罚款。 风险二：税务合规——申报、缴纳与文件保存缺一不可 税务合规是大马企业最密集的合规领域之一，涉及多种税务类型： 企业所得税（Corporate Income Tax）：大马注册公司须每年向内陆税收局（LHDN）提交税务申报表（Form C），并在规定截止日期前完成缴税。延迟申报或缴税将面临罚款及利息。 预扣税（Withholding Tax）：向海外服务提供商（如软件、咨询、专利费等）支付款项时，须在规定期限内代扣并汇缴至内陆税收局。许多企业在对外支付技术服务费时，忽略预扣税义务，一旦被审计将面临追缴及罚款。 薪资预扣（PCB/MTD）：雇主须每月为雇员预扣所得税并汇缴，延迟汇缴将产生10%罚款。 文件保存义务：税务相关文件须保存至少7年。一旦被审计，无法提供相关单据将处于极为不利的处境。 风险三：公司秘书义务——被忽视的法定责任 根据《2016年公司法》，所有大马注册私人有限公司（Sdn Bhd）须委任至少一名持牌公司秘书（Licensed Company Secretary），负责确保公司遵守公司法规定，包括： 每年提交年度申报表（Annual Return）至马来西亚公司委员会（SSM） 维护股东名册、董事名册及法定文件 就任何公司重大变动（如股权转让、更换董事等）及时向SSM申报 许多小型企业将公司秘书视为“走过场”，实际上公司秘书的法律责任极为具体。若公司秘书没有履行职责，或企业未在规定时限内完成申报，可能导致公司被列为不合规公司，严重时可能被强制撤销注册。 风险四：数据保护义务——PDPA的要求你达到了吗？ 《2010年个人数据保护法令（PDPA）》要求任何在大马处理个人数据的商业实体，须遵守一套数据保护原则，包括： 获取同意：收集客户或员工个人数据前，须获得明确同意。 数据安全：须采取合理措施保护所持有的个人数据，防止未经授权的访问、泄露或丢失。 限制用途：个人数据只能用于收集时所申明的目的，不能随意转售或转作其他用途。 保留期限：个人数据不应无限期保留，须在不再需要时妥善销毁。 许多中小企业在收集客户资料时，既没有隐私政策声明，也没有明确的数据保留与销毁流程，已构成PDPA违规。 风险五：特定行业监管合规——你的营业执照还有效吗？ 除了上述通用合规要求，不同行业还有特定的监管许可与牌照要求： 餐饮业：须持有地方政府（MBPJ、DBKL等）颁发的营业执照，并定期更新。食品处理人员须持有食品处理人员证书。 金融与保险业：须持有国家银行（BNM）颁发的相关许可证。 医疗健康业：医疗机构须在卫生部注册，医疗专业人员须持有有效执业证书。 进出口贸易：涉及特定商品的进出口，须持有关税局（Royal Malaysian Customs）核发的相关许可证。 消防安全：商业场所须持有有效的消防安全证书（BOMBA），每年须更新。 企业合规自查清单：五分钟快速评估 序号 合规项目 已完成？ 1 所有员工雇佣合同已签署并符合法令要求 □ 2 加班薪酬按法定倍率计算 □ 3 每月PCB/MTD已准时申报及汇缴 □ 4 税务文件保存至少7年 □ 5 公司秘书已委任，年度申报表按时提交 □ 6 PDPA隐私政策声明已在网站/收集表格公示 □ 7 所有营业执照及专业许可证在有效期内 □ 8 消防安全证书已更新 □ 一句话总结 企业合规不是一次性的任务，而是日常运营的组成部分——它不会因为你忙、资源少或不知情而对你网开一面。 越早建立系统性的合规管理框架，企业未来面对审计、扩张或融资时的代价越低，抵御风险的能力也越强。 SOMO观察｜合规成本是中小企业最容易低估的隐性风险 大马中小企业在创业初期，往往将绝大部分资源集中于产品与市场，而将合规视为“先做大再说”的次要任务。这种心态在短期内看似节省了成本，但一旦遭遇劳工纠纷、税务审计或数据泄露事件，所需付出的应对成本——无论是法律费用、罚款还是商誉损失——往往远超预防性合规所需的投入。 更值得关注的是，大马近年来的监管执法力度正在持续加强，内陆税收局、PDPA监管机构及地方政府对企业合规的审查频率与严格程度均有所提升。同时，随着大马ESG监管框架逐步收紧，上市企业及其供应链中的中小企业，都将面临更高的合规透明度要求。 对商界而言，合规不只是法律义务，更是企业信用与可持续发展能力的核心基础。投资一套完善的合规体系，是每一家有志于长期经营的企业最值得做的基础工程。