泰和泰研析 | 合规不容拒绝，国际新标准出台——ISO 37301:2021标准解读

2021年4月13日，企业合规领域国际层面的重磅文件ISO 37301：2021《合规管理体系要求及使用指南》（Compliance management systems — Requirements with guidance for use）正式发布实施。

从2018年11月启动合规新标准的制定工作以来，历时3年多，五个阶段，ISO 37301终于问世，它将取代ISO 19600：2014《合规管理体系指南》，这也标志着合规标准的性质由管理体系B型标准变成A型标准，从推荐性标准正式变成可认证性标准。

一、ISO 37301：2021标准概况

2014年12月，国际标准化组织发布了ISO 19600《合规管理体系指南》，标志着合规管理实施者有标准可依。ISO 37301标准是以ISO-19600:2014标准为基础制定的，以良好治理、恰当性、透明性和可持续性等作为原则，适用于所有组织，规定了合规管理体系的相关要求并提供了全面、科学、可操作性的指导。正如ISO 37301开篇所描述的，组织越来越坚信应当遵从有约束的价值及适用合规管理，最大程度地避免或降低违反组织合规义务，以保障组织的安全和可持续性。ISO 37301作为通用标准，对于提升各类组织的合规管理能力，规范政府监管活动，促进国际交流，改善沟通合作等都具有重要的意义。对于企业的商业伙伴来说，符合ISO 37301标准可以更便捷地获得与外部合作方的合作机会，获取在合规管理方面的认可。

二、ISO 37301对合规管理体系要素的要求

ISO 37301 标准的最重要优势就是它的整体方法跨越所有行业、企业和部门；包含实践相关性、以及适用于所有机构。ISO 37301 标准遵循连续提升模型，即：开发-实施-评价-保持（这就是所谓的“PDCA 循环”——计划、执行、核查、行动——由质量管理开始）。

ISO 37301将建立、制定、实施、维护、评估和改进作为合规管理体系的六大行动。合规管理体系的建设遵循PDCA循环逻辑，以持续改进原则为基础，在领导力和合规文化的内核驱动下，结合组织的合规目标、原则及内外部环境，建立合规管理体系，制定符合组织文化和目标的相关流程并在组织内有效地运行实施，并通过定期、不定期地维护和评估，纠正和改进合规管理体系的漏洞。

三、ISO 37301对合规体系建设升级亮点

1.增加管理者责任，强化领导作用

ISO 37301在合规文化方面增加了最高管理者对合规行为的促进作用和对不合规行为的遏制及零容忍态度。在治理机构和最高管理者中增加了对治理机构实质性的责任义务，要求治理机构确保最高管理者达到合规目标，同时要求对最高管理者进行合规管理体系运行情况的监督。

在我们为国企进行合规体系建设过程中，非常大的困难就是公司领导对于合规定位认识不清晰，将合规认为是公司经营的“绊脚石”。决策层一旦将合规体系建设仅仅当作完成任务，则极易将整个工作推向“不求实效、贪大求全”的书面合规体系。

2.更加注重合规文化在企业管理上的作用

合规对于企业的可持续性发展非常重要，因此ISO37301标准也将可持续性作为关注的焦点，特别是关于将合规融入至企业文化中。合规文化建设在整个合规体系建设中具有举足轻重的作用，企业自上而下建设一种普遍意识、道德标准及价值取向，从精神层面确保各项经营管理活动始终符合合规要求。

ISO 37301较之ISO 19600在结构上，将合规文化从支持（第7章）调整到领导作用（第5章）章节。从对合规文化的要求及结构上的调整不难看出，新版标准强调了建立合规文化在合规管理体系建设中发挥的重要作用。

3.新增“雇佣”程序内容，强调人是合规经营的关键要素

ISO 37301较之ISO 19600，在对合规管理体系所管控的“人”的范围从原有法律认可的雇佣“员工”延伸到了与组织存在合同关系的所有“职员”，并增加了对雇佣程序（7.2.2条款）的内容。

新增雇佣程序的内容涉及：雇佣条件中要求职员须遵守组织的合规义务、政策、流程和程序；在开始雇用的合理期间内向职员发放或提供获取合规方针及合规方针相关的培训；对违反组织合规义务、政策、流程和程序的职员，应采取适当的纪律处分；要求企业考虑因岗位和人事安排造成的合规风险；在职员聘用、转岗或晋升之前，需按照要求进行尽职调查，并要求组织定期对绩效目标、绩效奖金和其他激励措施进行审核，以确保有合理的措施防止违规行为。

4.新增合规疑虑的汇报机制

畅通合规疑虑的汇报渠道和建立合理的调查程序是组织识别和预防合规风险，改进合规管理体系行之有效的方法。新版标准在合规方针中要求组织倡导提出合规疑虑的行为，并禁止任何形式的报复；同时在沟通条款中增加了员工提出合规疑虑的沟通流程要求；在意识（7.3条款）中提出了合规疑虑汇报的方法和程序；最后，在“第8章 运行”中专门增加了对合规疑虑的汇报（8.3条款）程序，以鼓励和帮助职员能够对可疑或实际违反合规方针或合规义务的不合规情况进行汇报，同时要求保障该程序的保密性，保护提出合规疑虑者免遭报复。

5.增加了运行过程中的调查程序

运行是立足于执行层面，ISO 37301对评价、评估、调查和处理可疑或实际违规事件的报告辅以相应的调查程序。调查程序以公平公正的原则，由无利益冲突且有能力胜任该项工作的人员独立开展。组织应将调查结果用于改进合规管理体系。实践中，合规调查通常由合规职能团队组织执行，若涉及跨国、跨领域、跨部门等，调查过程则应由合规职能团队、内部审计部门或法律部门的最高级别进行协调。

6.其他

ISO 37301合规目标和策划的基础上增加了“策划变更”的内容，将合规培训范围扩大到第三方，绩效考核部门的审核结果上报范围扩大，增加管理评审的内容，增加持续改进的考虑因素等。这些都在不同方面和角度对ISO 19600进行了补充、完善和升级。

四、合规正当时，新标准不容拒绝

ISO 37301规定了组织建立、运行、维护和改进合规管理体系的要求，在内容上对ISO 19600全面更新与升级，在标准等级上也意味着ISO 37301能够用于各类组织自我声明符合的内部审核、组织对其外部供方和其他外部相关方、审核、第三方认证与其他目的的外部审核认证等活动。

我国的企业合规始于2018年年底出台的《中央企业合规管理指引（试行）》和《企业境外经营合规管理指引》。2021年必然成为合规加冕之年，2月，国资委发布《国资监管责任约谈工作规则》，明确出现合规问题的企业将被作为约谈对象。3月8日，《最高人民检察院工作报告（2020年）》也强调“督促涉案企业合规”，3月11日，十三届全国人大四次会议表决通过的“十四五”规划明确要求企业要加强合规管理。

配合ISO 37301实施，今年还将会有ISO 37002《举报管理体系指南》公布，国际标准化组织已经建立起基于合规的一整套标准体系。合规风险管理旨在揭示企业运营中的法律红线，这些红线往往也是企业发展的生命线和基石。企业建立合规管理体系乃大势所趋，随着国际通用标准的推行，越来越多的企业将会把“是否具有健全的合规体系”作为选择合作伙伴的重要标准。因此，企业应当将合规体系建设作为企业持续性发展的重要事项，确立“正面有规定、负面有禁止、违规有惩罚”的合规管理体系，从而实现合规创造价值。

 作 者 简 介 

向飞  律师

国际注册合规师

成都办公室 高级合伙人

业务领域：私募股权、金融证券、企业投融资、企业内控等

张婧 律师

成都办公室

业务领域：企业合规、私募股权、投融资争议解决等