ISO 37301：2021《合规管理体系要求与使用指南》条款解读与实务运用 | 发现原创

作者：戴薇、宋韵韬

引  言

企业构建合规管理体系，需以国际标准ISO 37301:2021与国家标准GB/T 35770-2022为顶层依据，深度融合《中央企业合规管理办法》等监管要求，结合企业治理结构与业务实际，通过系统化框架设计与全过程方法论支撑，实现“业规融合、风险可控、持续改进”。本文旨在通过对ISO 37301标准的全面解读，介绍合规管理体系的建设路径与方法，帮助各类组织策划、建立、运行、评价、改进自己的合规管理体系。

一、ISO37301概述

（一）ISO37301的主要内容

2021年4月13日，国际标准化组织（ISO）发布ISO 37301:2021《合规管理体系要求及使用指南》。它是ISO 19600的修订替代版，修订后加入了ISO 37000标准族，作为A类管理体系标准，适用于全球任何类型、规模、性质的行业和组织。ISO 37000标准族的部分成员如下表所示：

表1 ISO 37000标准族的部分成员

2022年10月12日，国家市场监督管理总局国家标准化管理委员会发布国家标准GB/T35770-2022《合规管理体系要求及使用指南》（等同于国际标准ISO37301：2021，以下统称“ISO 37301”）。ISO 37301规定了组织建立、运行、保持和改进合规管理体系的要求，并提供了使用指南，为各类组织提高自身的合规管理能力提供系统化方法。它采用的PDCA理念完整覆盖了合规管理体系建立、运行、保持和改进的全流程，基于合规治理原则，为组织建立并运行合规管理体系、传播积极的合规文化提供了整套解决方案。

ISO 37301正文包括七个基本组成部分：组织环境、领导作用、策划、支持、运行、绩效评价和改进，具体如下表所示：

图1 ISO 37301合规管理体系流程图

（二）PDCA循环

PDCA循环是由美国质量管理专家沃特·阿曼德·休哈特（Walter A.Shewhart）博士首先提出的，然后由爱德华兹·戴明（ Edwards Deming）博士采纳、宣传，在日本、美国获得普及。全面质量管理和ISO 9001的思想基础及方法依据就是PDCA循环。PDCA循环的含义是将质量管理分为四个阶段，即Plan（计划）、Do（执行）、Check（检查）和Act（修正），然后把各项工作按照PDCA循环去推进：首先要制订计划，然后按计划去实施，接着要检查实施效果，最后将成功的经验和做法纳入标准，将不成功的留待下一个循环去解决。PDCA循环是质量管理的基本方法，也是企业管理各项工作的一般规律。

图2 PDCA循环示意图

（三）ISO37301的应用场景

ISO 37301的正式发布对各类组织的合规管理能力建设、政府监管活动、国际贸易合作等具有重要意义。作为A类管理体系标准，ISO 37301针对合规管理提供了系统化的方法和过程，它采用PDCA循环理念完整地覆盖了合规管理体系建设、运行、维护和改进的全流程，基于合规治理原则为组织建立并运行合规管理体系、传播积极的合规文化提供了整套解决方案，不仅有益于企业提高自身的合规管理能力，而且可以为监管机构和司法机构采信企业的合规管理实践、合规整改计划等提供参考依据。此外，ISO 37301还为企业间的合作、贸易全球化等提供了通用的合规参考，各类组织可以通过声明符合ISO 37301或获得ISO 37301体系的认证，在利益相关方之间传递合规信任，进而为贸易、交流与合作提供便利。

二、ISO37301合规管理体系模型

ISO发布合规管理体系标准的目的就是帮助组织建立一套有效且能及时响应的合规管理体系，然后加以运行、维护、评价和改进，以保证组织及其员工的行为合法合规。ISO合规管理体系模型可用下图来表示：

图3 ISO推荐的合规管理体系基本要素

（一）组织环境

企业生存在复杂多变的市场环境中，受政府、行业、社区、服务提供商、客户等多方面的约束。因此，在制定企业合规管理体系时，除了要考虑企业内部因素（内部方针、程序、过程和资源）外，还要考虑企业外部因素，尤其是监管、社会、文化、环境、经济形势等因素。

ISO37301第4章组织环境是合规管理体系的输入源头，共6个子条款：4.1理解组织及其环境；4.2理解相关方的需求和期望；4.3确定合规管理体系的范围；4.4合规管理体系；4.5合规义务；4.6合规风险评估。ISO 37301第4章从以下方面规定了识别和分析组织环境的要求：

1.识别影响合规体系达成预期结果的内、外部因素。外部因素包括立法变化、行业政策、区域营商环境、监管执法趋势等；内部因素包括企业内部的业务模式、组织架构、内部方针、资源等。

2.确定相关方并理解其需求和期望。相关方包括监管机构、客户、供应商、员工、股东、债权人等。

3.识别与组织的业务、产品、服务或活动有关的合规义务，并基于合规义务，识别、分析、评价合规风险。

4.确定反映组织价值观和战略的合规管理体系及其边界和适用范围，形成文件化信息。

（二）领导作用

一个组织的合规管理应该由高管层牵头塑造。对企业的合规管理而言，最高管理者的作用和影响力非常巨大。如果企业最高管理者不重视合规管理，即使下层员工每个人都认识到合规的重要性，那也不会有太大的用处。领导是合规管理的旗帜，对于整个组织树立合规意识、建立高效的合规管理体系具有至关重要的作用。

ISO 37301第5章是合规体系顶层动力，共3个子条款：5.1领导作用和承诺；5.2合规方针；5.3岗位、职责和权限。ISO 37301第5章对组织的治理机构、最高管理者等如何发挥领导作用做出了明确规定，具体包括以下五点：

1.治理机构和最高管理者要展现对合规管理体系的领导作用和积极承诺，不能出现 “业绩优先、合规让步” 的决策导向。

2.遵守合规治理原则，合规负责人/合规部门应独立于业务部门，可直接向最高管理者、治理机构汇报。

3.自上而下培育组织合规文化，建立鼓励报告疑虑、保护善意举报、反对报复的组织氛围。

4.制定适配组织战略、价值观的合规方针，方针应由最高管理者签发、治理机构审议，内部全员可查阅。

5.确定治理机构、最高管理者、合规团队、管理层及员工相应的职责和权限。

（三）策划

策划是预测潜在的情形和后果，对确保合规管理体系能实现预期效果、防范并减少负面影响、实现持续改进具有重要作用。在合规管理实践中，合规策划应以合规方针为目标，以合规义务为基础，这样策划出来的合规策略和方案才会具有针对性和可操作性。

ISO 37301第6章策划的核心是把风险清单转化为可落地的管控方案、合规目标、变更管控机制，分为3个子条款：6.1应对风险和机会的措施；6.2合规目标及其实现的策划；6.3针对变更的策划。按照PDCA循环，ISO 37301第6章主要讲的是P（Plan），其核心逻辑为：识别风险机会→制定处置措施→拆解成可考核合规目标→体系/业务变更前置合规评估。该章从以下三个方面规定了策划合规管理体系的要求：

1.针对各部门和各层级建立适宜的合规目标，并策划实现合规目标所需建立的过程。

2.综合考虑组织的内外部环境、合规义务和合规目标，策划合规风险的应对措施，并将这些措施纳入合规管理体系。

3.有计划地对合规管理体系进行修改，评估变更目的、潜在负面影响、体系有效性。

（四）支持

不管做什么事，没有资源作支撑是不行的。在建立和运行合规管理体系时，组织也需要具备或准备相关资源。合规支持是合规管理的重要保障，对合规管理体系在各个层面得到认可并保障合规行为的实施具有重要作用。

ISO 37301第7章支持分为5个子条款：7.1资源；7.2能力；7.3意识；7.4沟通；7.5文件化信息，并从以下几个方面规定了支持措施：

1.确定并提供所需要的资源（如人力资源、财务资源、工作环境与基础设施等），高风险板块（如招投标、采购、对外合作）要配置更强合规资源；低风险板块可适度简化，但不能归零。

2.招聘能胜任且能遵守合规要求的员工，对违反合规要求的员工采取纪律处分等管理措施。

3.提供分层分类的培训，提升员工的合规意识，并保留培训签到、课件、测试、评估记录。

4.开展内部沟通和外部沟通。企业常见的内部沟通方式包括合规培训、合规计划、合规报告、合规例会，以及与员工签订保密协议、反腐败和反贿赂承诺书等。外部沟通包括通过网站、电子邮件、新闻稿、年度报告等向监管机构、客户、投资方等外部相关方进行合规沟通。

5.创建、控制和维护文件化信息，保证文件可获取、版本有效、保密、作废文件妥善处置。

（五）运行

运行立足于执行层面。ISO 37301第8章是合规体系落地执行核心章节，按照PDCA循环，该章主要讲D（Do），分为4个子条款：8.1运行的策划和控制；8.2确立控制和程序；8.3提出疑虑；8.4调查过程。ISO 37301第8章从以下四个方面对“运行”做出规定：

1.实施为满足合规义务和合规目标所需要的过程及需要采取的措施，将合规控制嵌入业务流程；外包不等于转移法定合规责任，应当对承包商、供应商、代理商设置准入合规审查、合同合规条款、履约过程监督、违规追责。

2.建立并实施所需过程的准则和控制措施，同时，定期检查和测试这些控制措施是否有效，并保留记录。

3.建立举报程序，鼓励员工善意报告疑似或已发生的不合规情况；举报渠道必须可访问、保密、接受匿名举报、保护举报人免于打击报复。

4.建立调查程序，对可疑或已发生的违反合规义务的情况进行调查、了解和评估；调查人员应当独立、具备能力、无利益冲突；调查结论应当公平公正，调查结果用于改进体系，并定期向治理机构/最高管理者汇报。

（六）绩效评价

绩效评价是对合规管理体系建立并运行后的绩效、体系有效性评价，对于查找可能存在的问题、后续改进合规管理体系等具有重要意义。按照PDCA循环，ISO37301第9章绩效评价主要讲的是C（Check），包括3个子条款：9.1监视、测量、分析和评价；9.2内部审核；9.3管理评审。ISO 37301第9章体系的“体检诊断章节”，对如何开展合规管理体系绩效评价做出了规定：

1.监视、测量、分析和评价合规管理体系的绩效和有效性；确定监测对象、方法、频次；搭建合规绩效指标体系，建立多渠道绩效反馈。

2.按策划周期开展内部审核，审核员独立无利益冲突，内审结果上报管理层与治理机构。

3.治理机构、最高管理者按计划周期开展管理评审，评估合规管理体系的适宜性、充分性、有效性。

（七）改进

按照PDCA循环，ISO37301第10章改进讲的主要是A（Act），是合规管理体系建设的最后一个环节。“Act”的原意是“行动、处理”，在PDCA循环里，它“处理”的对象是“Check”的结果，比如缺陷、不合格或不合规，通过对这些处理，实现合规管理体系的改进。ISO37301第10章改进包括2个子条款：10.1持续改进；10.2不符合与纠正措施，对如何开展合规管理体系改进作出如下规定：

2.持续改进合规管理体系的适用性、充分性和有效性。

结  语

组织建立合规管理体系的核心目的是防范合规风险，实现持续合规。虽然建立合规管理体系并不能杜绝不合规的发生，但如果组织依据ISO 37301建立并有效运行合规管理体系，满足合规管理体系的各项要求，将可以大大降低不合规发生的可能性或危害程度。合规管理不是一人之力，而是全员之功；不是一时之策，而是长久之计。合规管理贯穿企业经营管理的始终，涉及企业所有业务、所有部门、所有人员，需要最高领导、企业管理层、合规管理牵头部门、专项合规管理部门及业务部门分工协作。只有做到“人人合规、事事合规、时时合规”，才能保证企业持续合规，实现可持续发展。

声 明

本文仅代表作者观点，不得视为发现律师事务所或其律师出具的正式法律意见或建议。如需转载或引用，请注明出处。