作者：戴薇、杨景森
引 言 自2018年中国开启“合规元年”以来，越来越多的中国企业在政府推动下或出于合规风险防控的自我驱动下开始了合规管理体系建设之路。随着合规管理体系建设工作的走深走实，现已逐渐发展到合规体系认证环节。合规认证作为合规管理体系的重要一环，不仅是企业合规管理工作的里程碑，更是促进和证明企业有效运行合规管理体系的重要途径。本团队结合近期为多家企业提供GB/T 35770-2022/ISO 37301:2021合规管理体系认证辅导服务的经验，根据认证规则的普遍要求，详细解读企业如何申请合规管理体系认证。 一、GB/T 35770-2022/ISO 37301:2021合规管理体系认证及其重要意义 合规管理体系认证证书（Compliance Management System Certification），简称CMS认证，是基于相关标准和规范的合规管理体系建设，并由权威第三方机构进行的认证评定，确认企业合规管理体系的成熟度和有效性的认证证书。该认证来源于2021年4月13日国际标准化组织发布的ISO37301:2021《合规管理体系 要求及使用指南》（与国内标准GB/T 35770-2022《合规管理体系 要求及使用指南》等同，以下简称“ISO 37301”）。申请GB/T 35770-2022/ISO 37301: 2021合规认证逐渐成为已搭建合规管理体系企业的目标，具有以下重要意义： 1.为企业和相关高管提供合规管理的工具，营造风清气正的企业内部环境，并进而提升企业经营管理能力。 2.向商业合作伙伴传递商业信任，提升企业的市场竞争力，促进企业业务发展。 3.作为企业向监管机构证明存在合规管理体系的依据，助力企业有效并精准应对监管执法和诉讼抗辩。 4.作为企业向司法机关证明存在合规管理体系的依据，防止企业和高管因供应商、客户、员工的违法犯罪行为而被刑事起诉或承担刑事责任，实现“责任区分”。 5.通过国际标准认证，促进跨国经营企业的国际合作与交流，提高企业的国际化水平。 6.帮助建立以合规为核心的企业文化，形成自我约束、自我监督的良好氛围，为企业的长期稳定发展打下坚实的基础。 二、合规管理体系认证前准备工作 （一）确定认证范围和认证领域 企业应确定合规管理体系的边界和适用性，以确立其范围。认证范围应与组织的合规风险相匹配，可以是整个组织、特定业务领域或特定部门。企业应优先选择对经营影响最深的业务领域，以及承担关键决策职能的主体（如母公司或核心子公司）作为认证对象。 （二）完善企业现有合规管理体系 申请认证前，企业应完善其合规管理制度体系、合规管理组织架构、合规管理运行机制、合规管理保障机制、合规培训与沟通、合规文化建设机制等。ISO 37301认证的核心评估标准包括合规管理体系的符合性、适宜性、充分性和有效性，具体评估内容如下： 1.符合性：体系文件应当完整覆盖ISO 37301 标准条款及适用法律法规要求；体系运行记录与文件规定一致；实现“写所做、做所写”的闭环管理。 2.适宜性：合规管理体系应贴合企业业务特性，并与组织架构及风险特征相匹配；文件条款应具有可操作性（如合规流程应嵌入业务审批系统）；体系对动态监管环境应具有持续适应能力。 3.充分性：体系文件应全面覆盖标准要求的核心要素（如合规目标设定、沟通机制、举报渠道）；体系文件应完整识别企业关键业务过程的合规风险点；企业资源配置（如专职合规人员数量、技术工具投入）应足以支撑体系有效运行。 4.有效性：能通过合规目标达成率、风险控制效果、员工合规意识调研等多维度验证合规管理体系的有效性；体系策划与运行能实现“预防-发现-响应不合规”的预期结果；建立并有效运行合规绩效评价机制；有持续改进的机制和证据。 三、合规管理体系认证的基本程序 认证的基本程序为：自我评估与差距分析→选择认证机构并签订认证服务合同→第一阶段审核→第二阶段审核→认证决定→获得认证证书→年度监督审核→三年再认证 合规管理体系认证证书有效期一般为三年。在这三年中，认证机构每年要对企业进行监督审核，以查看企业的合规管理体系是否持续有效。如果证实其符合规定要求，那么保持其认证资格；如果证实其不符合规定要求，那么将视其不符合的程度，由认证机构决定是暂停使用认证证书和标志，还是撤销认证资格、收回认证证书。 四、认证审核的阶段与审核内容 合规管理体系初次认证审核分为两个阶段实施：第一阶段审核和第二阶段审核。两个阶段审核时间间隔最短不应少于 5 日，最长不应超过 6 个月。如需要更长的时间间隔，应重新实施第一阶段审核。 （一）第一阶段审核 在“PDCA”循环中，第一阶段审核更侧重于“P”（Plan），即管理体系的策划，核心目标在于“确认受审核方对审核的准备程度”，侧重管理体系策划的充分性。第一阶段的审核的关注重点包括：合规管理体系文件的完整性（合规方针、合规管理制度、操作规程等）、合规风险评估的充分性、合规义务识别的全面性、体系设计和策划的合理性等。第一阶段审核的方式主要为审阅体系文件、访谈管理层和合规负责人。第一阶段审核通常发现企业在策划阶段的漏洞与不足（例如：合规风险评估未覆盖全部业务领域、合规义务清单不完整、方针文件未经最高管理者签署等），认证机构在第一阶段审核发现问题，提出关注点后，企业需要在第二阶段审核前完成整改、关闭相关问题。 （二）第二阶段审核 第二阶段审核将完整审核管理体系的运行、检查及处理，核心目标是“评价受审核方管理体系的实施情况，包括有效性”，侧重实施运行的实际成效。第二阶段审核的关注重点包括：体系是否在实际运行中有效实施、控制措施是否嵌入业务流程、员工对合规管理的理解和参与程度、合规监督和举报机制是否有效、不合规事件的发现和纠正情况等。第二阶段的审核方式主要是到企业现场，访谈各级管理人员和员工、查阅运行记录、抽查业务流程。 需要注意的是，审核组的成员构成是影响审核结果的关键变量，不同审核员之间存在显著的个体差异。例如，有的审核员倾向于紧扣合规义务清单与合规风险清单开展逐项核查与比对，而有的审核员则更偏好围绕部门及岗位职责进行发散性询问与追溯；某位审核员认定系“合规”的事项，在另一位审核员看来可能构成不符合项。认证规则一般规定“至少1名实施第一阶段审核的审核员应参加第二阶段审核”。对企业而言，审核人员的一致性实质上即意味着审核口径与评价标准的一致性。因此，建议企业在一阶段审核期间主动熟悉并把握审核组成员的审核风格与评价倾向，以便在二阶段审核中实现更为有效的配合与应对，提升整体审核效率。 五、合规认证的注意事项 （一）信用门槛自查 根据认证要求，申请认证的企业还应当满足两项消极条件：①当前未被行政监管部门责令停产停业整顿；②当前未列入“国家企业信用信息公示系统”和“信用中国”发布的严重违法失信名单。上述两项条件共同构成企业申请认证时的信用门槛，且该等状态须持续至认证决定作出之日。企业在正式启动认证申请前，应首先完成信用状态的全面自查。确认自身及承继主体（如涉及合并、分立、重组等情形）是否被列入相关违法失信名单，以及近一年内是否存在被责令停产停业整顿的行政处罚记录。 （二）审核运行期的计算规则 认证实施规则普遍要求，申请初次认证的组织其合规管理体系应“已实施运行满3个月及以上”。“运行满3个月”通常指体系文件正式发布并进入全面运行之日起算。实务中，通常以合规管理组织、职能的任命文件、合规管理手册、主要合规管理控制程序的发布时间等作为起算时点，且认证机构在受理申请时会重点核查这一节点的真实性。 （三）最高管理者的参与要求 合规管理体系是“自上而下的治理结构”，ISO 37301明确要求最高管理者对合规管理体系的有效性承担最终责任，认证过程中这一原则转化为两项刚性的程序要求： 1.最高管理者应出席首末次会议。企业的最高管理者应参加第一阶段和第二阶段审核的首末次会议，若最高管理者不能参加的，应由获得书面授权的其他高级管理层成员参会，审核组应记录最高管理者缺席的理由。首次会议是审核组与企业管理层就审核目的、范围、准则达成共识的正式场合，末次会议则是通报审核发现、确认不符合项的关键环节。最高管理者的缺席，将被视为对体系重视程度不足的信号。 2.最高管理者应参与面对面访谈。审核组应通过面对面访谈等形式对企业最高管理者在合规管理体系中发挥领导作用的情况进行重点审核，并保留现场图片/音像、审核记录等证明材料。若最高管理者不熟悉体系方针、体系目标，未亲自参与并推动体系实施的，认证审核应不予通过。 最高管理者上述活动的缺席，将直接影响最终认证审核的结果。企业应明确最高管理者参与认证活动的具体安排，将其日程纳入认证计划统筹考虑。 （四）多场所企业的认证范围 对于具有多个经营场所的企业（尤其是集团公司或跨区域经营企业），认证机构将识别企业的“相似场所”和“非相似场所”，并据此设计差异化的审核方案。“相似场所”是指从事相同或相近业务活动、面临类似合规风险且管理体系同质化程度较高的场所。对于“相似场所”，认证机构可以根据规定的计算公式进行抽样审核。“非相似场所”是指业务性质差异较大、合规风险类型不同的场所。对多个“非相似场所”不应抽样，初审和再认证审核应当逐一到各场所进行审核。例如，某企业同时从事生产制造和资产管理两类业务，其工厂与资产管理子公司即构成非相似活动场所，认证机构在审核时会分别覆盖，逐一审核。 对于具有多个经营场所的企业，企业可结合认证规则中的抽样逻辑，在认证范围规划阶段与认证机构充分沟通，合理确定纳入审核的经营场所规模。但需注意的是，多场所抽样规则本质上是审核成本与认证完整性之间的平衡结果，未被抽中的场所不等于不需要进行合规管理体系建设，若企业忽视了未被抽样的场所的合规建设，可能会影响最终认证审核的结果。 结 语 企业合规管理体系认证过程是一个系统性的评估和改进过程，它通过与国际标准、国家标准的对标，帮助企业发现潜在的不足和改进空间，从而推动企业合规管理体系的持续优化和发展。通过认证，企业不仅能够提升自身的合规管理水平，还能够在激烈的市场竞争中获得优势，实现长期稳定发展。“以认证促建设”已成为许多大型企业进行合规管理体系优化建设的正向选择。 往期回顾 企业合规管理体系建设内容与实践路径作者：戴薇、宋韵韬 ISO 37301：2021《合规管理体系要求与使用指南》条款解读与实务运用 作者：戴薇、宋韵韬
蜀ICP备：17000577号-1