ISO37301認證對企業(yè)有什么好處？

近年來，我國企業(yè)因境外經(jīng)營不符合當?shù)貒暮弦?guī)監(jiān)管要求被“掐脖子”的事例屢見不鮮，“合規(guī)”已成為我國政府工作和企業(yè)經(jīng)營的重要議題。為推動我國企業(yè)合規(guī)經(jīng)營，與國際合規(guī)要求接軌：

（1）中央政府陸續(xù)出臺合規(guī)相關指引，指導企業(yè)開展合規(guī)管理。例如，2018年11月國務院國資委發(fā)布的《中央企業(yè)合規(guī)管理指引（試行）》，2018年12月國家發(fā)改委聯(lián)合七部委發(fā)布的《企業(yè)境外經(jīng)營合規(guī)管理指引》；

（2）地方政府、中國標準化研究院出臺與國際接軌的合規(guī)指引、標準。例如，2021年10月，中國標準化研究院發(fā)布《合規(guī)管理體系 要求及使用指南（征求意見稿）》，計劃將國際標準化組織（International Organization for Standardization, ISO）更新的37301：2021《合規(guī)管理體系 要求及使用指南》本地化；2021年11月，深圳市司法局發(fā)布了《深圳企業(yè)合規(guī)管理體系認證標準（征求意見稿）》，此認證標準的編制借鑒了國際經(jīng)驗并結合了深圳實際情況，旨在促進深圳企業(yè)加快建立合規(guī)管理體系；

（3）地方政府采取有力舉措推動本地企業(yè)依法合規(guī)經(jīng)營。以深圳市為例，深圳市國資委正會同市監(jiān)委、市司法局開展合規(guī)管理體系建設試點、防范廉潔風險工作，同時配合市檢察院建立企業(yè)合規(guī)第三方監(jiān)督評估機制，打造刑事合規(guī)“深圳模式”^[1]。

在國內(nèi)外日趨嚴格的市場監(jiān)管環(huán)境和我國政府推動的背景下，越來越多的企業(yè)致力于通過搭建合規(guī)管理體系，將合規(guī)融入企業(yè)經(jīng)營，以助力企業(yè)業(yè)務增長，創(chuàng)造競爭優(yōu)勢和行穩(wěn)致遠。然而，筆者在作為專家顧問參與政府部門主導的企業(yè)合規(guī)體系建設指引項目，為包括世界500強企業(yè)在內(nèi)的多家上市和擬上市企業(yè)提供搭建合規(guī)體系、合規(guī)案件調(diào)查、合規(guī)常年法律顧問服務、合規(guī)培訓與咨詢、合規(guī)戰(zhàn)略與法律支持等各類合規(guī)法律服務過程中了解到，雖然企業(yè)認識到搭建合規(guī)體系的重要性，但企業(yè)在面對國內(nèi)外層出不窮的合規(guī)標準、指引時，因部分企業(yè)和高管的合規(guī)意識不足、合規(guī)人才匱乏、資金不夠，往往找不到方向和抓手，不知從何做起，也不知如何搭建出適配企業(yè)實際情況并符合國際水準的合規(guī)管理體系。

為幫助企業(yè)解決這一難題，以ISO為代表的多邊組織積極推進合規(guī)管理體系認證標準落地，推出ISO 37301：2021《合規(guī)管理體系要求及使用指南》，擬在全球范圍開展企業(yè)合規(guī)管理體系認證。ISO 37301采用Plan（計劃）-Do（執(zhí)行）-Check（檢查）-Act（改進）（“PDCA”）理念，完整覆蓋了合規(guī)管理體系建設、運行、維護和改進的全流程，基于合規(guī)治理原則，為企業(yè)建立并運行合規(guī)管理體系、傳播積極的合規(guī)文化提供了整套解決方案。同時，ISO 37301的國際可認證性，在企業(yè)合規(guī)治理、傳遞商業(yè)信任、向監(jiān)管機構證明存在合規(guī)管理體系、作為企業(yè)向司法機關提供關于違規(guī)量刑的正面證據(jù)、爭取合規(guī)不起訴等方面提供了重要支持。

為助力企業(yè)開展符合國際標準的合規(guī)管理體系建設，筆者將分別對什么是ISO 37301認證、企業(yè)獲得ISO 37301認證的好處以及企業(yè)如何通過搭建有效的合規(guī)體系來獲得ISO 37301認證等內(nèi)容進行介紹。

ISO 37301: 2021全稱《合規(guī)管理體系 要求及使用指南》，是由ISO/TC309技術委員會編制，由ISO組織在2021年4月發(fā)布和實施，適用于全球任何類型、規(guī)模、性質(zhì)和行業(yè)的組織。

作為A類管理體系標準，ISO 37301：2021《合規(guī)管理體系 要求及使用指南》標準發(fā)布后，替代了ISO 19600: 2014《合規(guī)管理體系 指南》（對應的中國標準為GB/T 35770: 2017）。兩項 ISO 標準均基于相同的原則、以風險導向為基礎的方法，并注重整體的合規(guī)管理系統(tǒng)，但是，只有 ISO 37301 具備官方認證資格。ISO 37301規(guī)定了組織建立、運行、維護和改進合規(guī)管理體系的要求，并提供了使用指南，為各類組織提高自身的合規(guī)管理能力提供系統(tǒng)化方法。它采用的PDCA理念完整覆蓋了合規(guī)管理體系建設、運行、維護和改進的全流程，基于合規(guī)治理原則，為組織建立并運行合規(guī)管理體系、傳播積極的合規(guī)文化提供了整套解決方案。雖然ISO 19600: 2014《合規(guī)管理體系 指南》只是對于企業(yè)有指導性（而不是認證）的作用，但如果企業(yè)已經(jīng)按照ISO 19600: 2014《合規(guī)管理體系 指南》搭建合規(guī)體系，企業(yè)基本可以符合ISO 37301：2021《合規(guī)管理體系 要求及使用指南》標準。

ISO 37301的制定對于各類組織的合規(guī)管理能力建設、政府監(jiān)管活動、國際貿(mào)易交流、溝通合作改善等具有重要的意義。其為企業(yè)治理者提高組織自身的合規(guī)管理能力提供系統(tǒng)化方法，為監(jiān)管機構和司法機關采信企業(yè)組織的合規(guī)管理體系實踐提供參考依據(jù)，為便利全球范圍內(nèi)相關方之間的貿(mào)易、交流和合作提供通用規(guī)則。

英國標準協(xié)會（British Standards Institution, BSI）將“ISO 37301合規(guī)管理體系”形容為一把大傘的傘面，其本質(zhì)是幫助企業(yè)遮風避雨防范風險，降低違規(guī)帶來的成本和聲譽損失。而真實的風險是存在于企業(yè)完整生態(tài)體的各個方面，例如質(zhì)量管理（對應iso 9001標準）、環(huán)境管理（對應ISO 14001標準）、健康安全管理（對應ISO 45001標準）、反商業(yè)賄賂（對應ISO 37001標準）、信息安全管理（對應ISO 27001標準）、隱私信息管理（對應ISO 27701標準）等，這些都是支撐企業(yè)運營的傘骨，傘骨要強韌而牢固，傘面才能應對更大的未來瞬息萬變的生態(tài)環(huán)境，它們構成支撐和融合的關系（如下圖所示）。

圖片為BSI版權所有

對于企業(yè)而言，獲得ISO 37301認證有以下好處：

1. 作為企業(yè)和相關高管設計和運行合規(guī)管理的工具

采用PDCA理念的ISO 37301完整覆蓋了合規(guī)管理體系建設、運行、維護和改進的全流程，其在合規(guī)管理體系設計和運行上，為企業(yè)提供了高度的靈活性，能夠滿足不同規(guī)模、類型、性質(zhì)、行業(yè)的企業(yè)基于自身合規(guī)需求搭建合規(guī)管理體系。同時，如前文所述，ISO 37301與ISO其他組織管理標準之間是支撐和融合的關系，如果企業(yè)已建立起反商業(yè)賄賂、信息安全管理、質(zhì)量管理、環(huán)境管理等體系并取得相應的ISO認證，則企業(yè)以ISO 37301為標準搭建合規(guī)管理體系時，可以實現(xiàn)更高效率、更低成本地融貫企業(yè)既有的專項管理體系，保持企業(yè)合規(guī)管理體系的系統(tǒng)性和協(xié)調(diào)性。

2. 傳遞商業(yè)信任

在海內(nèi)外復雜嚴苛的合規(guī)監(jiān)管環(huán)境背景下，ISO 37301作為企業(yè)獲得第三方認證的依據(jù)，能夠展示企業(yè)符合國際標準的合規(guī)管理能力，較高程度滿足商業(yè)伙伴的合規(guī)管理要求，幫助企業(yè)在客戶合作、多邊合作、政府合作中傳遞商業(yè)信任。除此之外，獲得ISO 37301認證的企業(yè)還能在同類型競標中獲得客戶青睞。例如，深圳市政府類招投標對于持有這類認證的會給予加分。

3. 作為企業(yè)向監(jiān)管機構證明存在合規(guī)管理體系

獲得ISO 37301認證的企業(yè)，在應對監(jiān)管機構的檢查時，一方面，能夠?qū)⒒贗SO 37301確立的合規(guī)管理理念用于行政監(jiān)管活動的反饋；另一方面，能夠通過對企業(yè)合規(guī)管理體系運行情況的評價結果來匹配相應的監(jiān)管手段與措施，實現(xiàn)精準應對監(jiān)管。

4. 作為企業(yè)向司法機關提供關于違規(guī)量刑的正面證據(jù)

《2019-2020企業(yè)家刑事風險分析報告》顯示，在2019年12月1日至2020年11月30日公開的刑事判決案例中，共檢索出企業(yè)家犯罪案例2635件，企業(yè)家犯罪3278次。在3278次企業(yè)家犯罪中，共涉及犯罪企業(yè)家3095人。其中，國有企業(yè)家犯罪數(shù)為234次，約占企業(yè)家犯罪總數(shù)的7.14%；民營企業(yè)家犯罪數(shù)為3011次，約占企業(yè)家犯罪總數(shù)的91.85%；外商及港澳臺企業(yè)家犯罪數(shù)為20次，約占企業(yè)家犯罪總數(shù)的0.61%。^[2]企業(yè)家犯罪往往同時暴露出企業(yè)合規(guī)管理問題，牽涉單位犯罪，嚴重的甚至危及企業(yè)存亡。

自2020年3月至今，最高人民檢察院（下稱“最高檢”）持續(xù)推動我國的企業(yè)合規(guī)改革試點工作。兩年時間內(nèi)，最高檢先后開展了兩期企業(yè)合規(guī)改革試點工作，與九部門聯(lián)合發(fā)布了《<關于建立涉案企業(yè)合規(guī)第三方監(jiān)督評估機制的指導意見（試行）>實施細則》和《涉案企業(yè)合規(guī)第三方監(jiān)督評估機制專業(yè)人員選任管理辦法（試行）》（2021年11月22日），并先后于2021年6月3日和2021年12月8日，發(fā)布兩批共10件企業(yè)合規(guī)典型案例，積極推進企業(yè)合規(guī)改革試點工作。

對于涉嫌刑事犯罪的企業(yè)而言，獲得不起訴的處理具有相當?shù)姆e極作用。一方面，獲得不起訴的處理意味著該企業(yè)不必因其違法犯罪行為而被迫終止運營或破產(chǎn)，同時企業(yè)雇員也免于遭受失業(yè)風險；更為重要的是，合規(guī)不起訴制度為企業(yè)運營創(chuàng)造了一定的激勵制度，促進企業(yè)合規(guī)體系的建立與落實，為企業(yè)后續(xù)的合規(guī)經(jīng)營打下堅實基礎。^[3]

ISO 37301認證可以幫助涉嫌刑事犯罪的企業(yè)向司法機關展示企業(yè)具備良好的合規(guī)管理體系，以及持續(xù)改進企業(yè)合規(guī)管理的誠意。該認證既能作為司法機關對涉嫌刑事犯罪的企業(yè)量刑的考量依據(jù)，也能作為落實依法不捕不訴不提出判實刑建議等司法意見、制定合規(guī)指引、督促企業(yè)合規(guī)整改和第三方監(jiān)管驗收的正面依據(jù)。

5. 有機會納入ISO 國際標準案例庫，提升企業(yè)國際聲譽

取得ISO 37301認證的企業(yè)，有機會將本企業(yè)合規(guī)管理實踐案例提交至國際TC309 “組織治理 技術委員會”秘書處，參選ISO合規(guī)管理的典型案例。如果能被納入ISO國際標準案例庫，對企業(yè)而言，將是極好的國際品牌名片，有助于企業(yè)提升國際商業(yè)聲譽，獲得國際客戶認可，助力業(yè)務增長和國際化發(fā)展。