ISO 37301合规管理体系认证的相关要求介绍

-- ISO 37301认证简介 --

ISO 37301: 2021全称《合规管理体系 要求及使用指南》，是由ISO/TC309技术委员会编制，由ISO组织在2021年4月发布和实施，适用于全球任何类型、规模、性质和行业的组织。

ISO 37301：2021《合规管理体系 要求及使用指南》标准发布后，替代了ISO 19600: 2014《合规管理体系 指南》（对应的中国标准为GB/T 35770: 2017）。

ISO 37301的制定对于各类组织的合规管理能力建设、政府监管活动、国际贸易交流、沟通合作改善等具有重要的意义。其为企业治理者提高组织自身的合规管理能力提供系统化方法，为监管机构和司法机关采信企业组织的合规管理体系实践提供参考依据，为便利全球范围内相关方之间的贸易、交流和合作提供通用规则。

-- 企业获得ISO 37301认证的好处 --

帮助企业遮风避雨防范风险，降低违规带来的成本和声誉损失

对于企业而言，获得ISO 37301认证有以下好处：

· 作为企业和相关高管设计和运行合规管理的工具：为企业提供了高度的灵活性，能够满足不同规模、类型、性质、行业的企业基于自身合规需求搭建合规管理体系。实现更高效率、更低成本地融贯企业既有的专项管理体系，保持企业合规管理体系的系统性和协调性。

· 传递商业信任：帮助企业在客户合作、多边合作、政府合作中传递商业信任。

· 作为企业向监管机构证明存在合规管理体系：一方面，能够将基于ISO 37301确立的合规管理理念用于行政监管活动的反馈；另一方面，能够通过对企业合规管理体系运行情况的评价结果来匹配相应的监管手段与措施，实现精准应对监管。

· 作为企业向司法机关提供关于违规量刑的正面证据：帮助涉嫌刑事犯罪的企业向司法机关展示企业具备良好的合规管理体系，以及持续改进企业合规管理的诚意。

企业取得ISO 37301认证：是对董事会和员工是证明运营风险管理的合格证，对监管部门和投资方是企业的信用证，对顾客和国际供应链是通行证。

-- 企业如何搭建合规体系 --

quanwei的第三方认证机构在对企业进行ISO 37301认证时，并非机械地对企业合规管理模块、流程进行单点打分，而是基于ISO 37301的要求，依照 ISO19011《管理体系审核指南》以及机构的认证管理规则，以一种系统性的过程评审方式进行。    

一、合规体系搭建的方法论企业合规经营的关键支柱在于合规体系之搭建。要使合规管理形成企业经营的“防火墙”，保护企业免受因合规风险所带来的严重影响或重大损失，企业应当根据其行业特点和经营管理模式搭建针对性的合规体系。而一个行之有效的合规体系搭建，离不开合理的制度和程序、高层参与、风险评估、尽职调查、培训和沟通、监督和审核六大组成部分，这六大组成部分也是ISO 37301合规管理体系基本要素的要求。二、实操示例：数据合规体系的搭建与落地1.搭建数据合规体系企业的数据合规体系搭建步骤大致可分为以下三个阶段：

第一阶段，数据核查。从信息安全角度进行数据核查的常规做法是使用软件来“感知”一个系统内的数据种类，并给予这些数据的敏感程度对该系统提出整体的安全方案。

第二阶段，进行风险识别和制定合规方案。

第三阶段，数据合规规则建立和落地。企业可结合实际情况建立数据合规规则，完善相关的制度和流程。

2.单项产品数据合规体系落地在产品酝酿阶段，企业可以邀请隐私保护专家列席产品开发的研讨，专家提供个人信息保护的合规建议，提示合规风险与解决方案，此过程应通过会议记录或邮件的形式留痕。在初步产品设计阶段，产品设计团队针对使用的数据种类建立控制以及架构来处理第一稿的产品设计，第一稿的产品设计需体现上一阶段提出的隐私及个人信息保护风险的解决方案。产品设计团队将完成后的产品设计进行个人信息安全影响评估（Data Protection Impact Assessment, DPIA）。Zui终产品能够对先前查出的隐私和个人信息保护风险进行处理，以及明确相应的技术手段和控制，通过Zui终产品展示会议（包含法务、风控、合规、安全等部门）以及论证加以证明。ISO 37301的国际可认证性，在企业合规治理、传递商业信任、向监管机构证明存在合规管理体系、作为企业向司法机关提供关于违规量刑的正面证据、争取合规不起诉等方面提供了重要支持。无论企业要不要取得ISO 37301的认证，ISO 37301的标准提供一个搭建合规体系的方法论和架构，加上有实操经验的专家的指导和协助，企业可以有效搭建出适配企业实际情况并符合国际水准的合规管理体系，赋能企业业务增长，为企业国内外运营保驾护航，保护企业和相关高管，帮助企业基业长青。-- 适用范围 --

规定了组织建立、运行、维护和改进合规管理体系的要求，并提供了使用指南

适用于全球任何类型、规模性质和行业的组织