于2021年4月，国际标准化组织ISO发布了ISO 37301:2021《合规管理体系要求及使用指南》（下称“ISO 37301”）。2021年10月，中国标准化研究院发布国标《合规管理体系要求及使用指南》（征求意见稿），载明该文件等同采用ISO 37301。
本文拟结合ISO 37301的基本框架探讨该国际标准对国内企业合规管理的重要意义。
基本框架
高级合伙人
道可特律师事务所
总体而言，ISO 37301提出了“PDCA”的基本理念，即：Plan（计划）→Do（实施）→Check（检查）→Act（改进）。这一理念全面覆盖合规体系全流程，有效地为组织搭建合规体系、形成合规文化提供方法论层面的可行化支持。具体来看，ISO 37301围绕合规体系的六大核心要素——组织环境、领导作用、风险评估、调查机制、培训沟通、监督审核，提出了明确的要求及指引。
识别组织环境，制定合理的制度及程序。搭建合规体系，首先应明确与本组织相关的内部及外部环境，并系统地识别组织活动、产品和服务产生的具体合规义务，从而制定符合本组织运营发展的合理制度及程序。
强调领导层在合规体系中的作用。领导层的参与及助力对组织合规体系的顺畅运行至关重要。领导层应强化其在合规体系中切实的监管职能，对不合规的行为应持有防止且不容忍的态度，制定合规政策，建立并维护组织自上而下的合规文化。
建立合规风险评估程序。合规风险评估是实施合规管理系统以及分配适当和足够的资源和流程以管理已识别合规风险的基础。合规风险评估应当定期进行，同时还应在组织活动、产品或服务发生变化时启动不定期评估，最终应做到所有确定的合规风险都能受到监控和处理。
建立完备的调查机制。完备的调查机制是合规体系良好运行的另一基础。不仅应确立调查的原则，所应采取的补救措施，更应确保调查机制的公正性和独立性，并建立有关调查的报告机制，从而完成合规系统的整体修正与升级。
组织培训与建立沟通。组织内所有人员均需了解自身的合规责任并切实履行，故组织应当保证其雇员接受有效的培训并建立顺畅的沟通机制，以确保合规体系的实际运行。
审核监督与绩效评价。通过对合规体系进行审核与监督从而对该体系进行评价，对于识别问题、改进漏洞、提升合规体系效率具有重要意义。
积极作用
为企业提供高效完备的合规解决方案。ISO 37301作为覆盖合规全流程的使用指南，为企业建立高效完备的合规体系提供有力的框架性支持，获得认证即意味着企业能够据此自如衍生出应对不同要求的专项合规管理体系，使得企业通过更低成本实现更高效率的运营，优化企业内部管理，服务于企业品质化发展。
有利于展现企业合规能力、传递商业信任、赢得市场尊重。获得ISO认证无疑是对企业合规管理能力的直接认可，有助于对外宣示企业合规文化及价值观、展示合规水平，更能为打破国际贸易壁垒、促进交流合作提供通用规则，助力企业获取交易机会。同时，ISO认证企业可能被纳入ISO国际标准案例库，从而提升国际声誉，赢得市场尊重。
有利于企业向监管部门证明符合合规监管要求。面对日趋严格的监管要求，若企业已获得ISO认证，则实质上储备了应对监管的坚实基础。文首提及的同名国家标准系“等同采用”ISO37301，如该国标得以施行，则获得ISO认证即等于亦已实施国家标准。由是，企业既能向监管部门展示自身良好的合规形象，又能通过已建立的合规体系以更为从容的姿态有效应对监管。
有助于企业向司法机关提供作为定性量刑的正向证明。最高人民检察院自2020年3月起持续开展国内企业的合规改革试点工作，迄今已发布两批共10件企业合规典型案例。如企业涉及刑事司法案件，则ISO合规认证可作为司法机关的重要正向考量依据，从而可能帮助企业获得不批准逮捕或不起诉等有利结果，为企业发展赢得机会。
哪些企业适用？
ISO 37301第1条规定“适用于所有类型的组织，无论活动的类型，规模和性质如何，以及该组织来自公共部门，私营部门还是非营利部门”。可见，ISO认证可适用于几乎所有企业类型。根据公开报道，2022年1至6月，美的集团、中国移动、中国移动香港、百度智能云、白山云科技、中国电信等企业已获得ISO 37301认证。而广东国资委亦在今年5月发布的《省属企业“合规管理强化年”行动方案》中，要求“力争通过三年努力，全部省属企业通过ISO37301贯标认证”。
据此，在现阶段中央企业、国有企业、上市公司以及有跨境业务需求的企业均适宜考虑ISO认证。由此可见，无论企业的性质、规模或所属行业，拥有健全的合规体系将是企业在未来市场竞争中保持竞争活力并实现长期繁荣的核心因素之一。
道可特律师事务所高级合伙人邓勇，律师杨爽对本文亦有贡献。
道可特律师事务所
北京市朝阳区东三环中路5号
财富金融中心56层 邮编: 100020
电话: +86 10 8586 1018
传真: +86 10 8586 3605-8006
电子信箱:
