2. 合规风险识别与评估的法规与标准依据

合规风险识别与评估机制不是凭空设计的内部管理动作，它必须建立在可被外部检验的法规与标准依据之上。企业若只凭经验列风险清单，往往会出现“该识别的没识别、识别出的无法评估、评估结果无法追责”三类问题。ISO 37301、GB/T 35770 与《中央企业合规管理办法》分别从国际管理体系、国家标准转化和央企监管要求三个层面，给出了机制建设的共同骨架：治理与领导、风险识别、风险分析、风险评价、应对与控制、监测与改进。理解这三套依据的差异与衔接，是设计合规风险评估机制的第一步。

一、三套依据的定位与核心要求

ISO 37301:2021《合规管理体系 要求及使用指南》是国际通用的可认证管理体系标准，采用与 ISO 9001、ISO 14001 一致的高阶结构（HLS），核心章节包括组织环境、领导作用、策划、支持、运行、绩效评价和改进。它对风险识别与评估的要求集中在“策划”环节：组织应识别合规义务、评估合规风险，并确定应对措施。其关键贡献在于把合规风险纳入组织环境与相关方需求的框架中，要求企业先明确“我们受哪些合规义务约束”，再谈风险等级。

GB/T 35770—2022《合规管理体系 要求及使用指南》是 ISO 37301 的等同采用国家标准（IDT），条款编号与 ISO 37301 基本一致，但更贴合中国法律环境与监管实践。它同样要求组织建立合规义务清单、开展合规风险评估，并强调合规文化、合规培训与举报机制。对国内企业而言，GB/T 35770 是可直接用于体系建设、内部审核和第三方认证的依据，也是把国际标准“落地”为中文管理语言的桥梁。

《中央企业合规管理办法》（国务院国资委令第42号，2022年10月1日起施行）则从出资人监管角度提出更具体的要求。它明确中央企业应设立合规委员会、明确首席合规官、建立合规风险识别评估预警机制，并要求将合规审查嵌入经营管理流程。与两套标准相比，它的约束对象更聚焦、要求更刚性，尤其强调“重大决策、重要合同、重大项目”的合规审查前置，以及违规行为的责任追究。

二、三套依据对机制建设的共同指导

把三套依据放在一起看，它们对合规风险识别与评估机制提出了五个共同要求：

• 合规义务是起点。必须先建立法律法规、监管规定、行业准则、国际条约、公司章程及内部制度等合规义务清单，再据此识别风险，而不是先列风险再找依据。
• 风险评估要有维度。通常从“发生可能性”和“影响程度”两个维度评价，影响可进一步细分为法律处罚、经济损失、声誉损害、运营中断等。
• 风险要分级。按高、中、低或重大、较大、一般、低分级，并对应不同的审批层级与应对策略。
• 评估要动态更新。法律法规变化、业务拓展、组织调整、外部事件发生后，应及时重新识别与评估。
• 结果要可追溯。识别过程、评估依据、评价结论、应对措施和责任人应形成记录，支撑内部审核与监管检查。

三、从依据到机制：一个可操作的评估流程

下面以某央企二级公司为例，说明如何依据上述要求建立年度合规风险评估流程。示例中的参数与结果均为教学假设，用于说明方法，不代表任何企业的实际数据。

第一步，建立合规义务清单。由法律合规部牵头，各业务部门按“业务活动—适用法规—具体条款—义务描述—责任部门”五列填报。例如“采购活动”对应《招标投标法》《中央企业采购管理暂行办法》等，义务描述为“依法必须招标的项目应公开招标”。

第二步，识别合规风险。针对每项义务，识别可能发生的偏离情形。例如“应公开招标而未公开招标”“评标专家选取不合规”“合同签订未经合规审查”等。

第三步，评估风险等级。采用 5×5 矩阵：可能性分为 1～5 分，影响程度分为 1～5 分，两者相乘得到风险值。风险值 1～4 为低风险，5～9 为中风险，10～16 为高风险，17～25 为重大风险。示例：某采购项目“未公开招标”可能性评为 3，影响评为 5，风险值 15，属于高风险，应报首席合规官审批并制定专项应对方案。

第四步，制定应对措施。高风险事项通常采取“规避、降低、转移、接受”四类策略。上例中可采取降低策略：完善招标审批流程、增加合规审查节点、开展采购专项培训。

第五步，动态监测与更新。每季度复核一次风险清单，法规变化或发生重大违规事件时即时更新。年度评估结果应形成报告，提交合规委员会审议。

四、机制建设中的关键控制点

依据三套文件的要求，企业在设计机制时应重点把握以下控制点。第一，合规义务清单的完整性。清单应覆盖公司全部业务活动和所有适用层级，包括国家法律、行政法规、部门规章、地方性法规、行业规范、国际规则及内部制度。第二，评估维度的可操作性。可能性和影响程度应有明确的评分标准，避免“拍脑袋”打分。例如可能性可定义为：1=极少发生（5年以上一次），3=偶尔发生（1～3年一次），5=频繁发生（每年多次）。第三，风险等级的审批权限。重大风险应由合规委员会审议，高风险由首席合规官审批，中低风险由业务部门负责人确认。第四，与现有管理体系的融合。合规风险评估不应独立于内控、法务、审计等体系，而应共享风险信息、共用评估工具、协同整改跟踪。

五、可直接参考的评估记录表结构

为便于落地，下面给出一份合规风险评估记录表的字段示例，企业可根据自身业务调整。该表结构同时满足 ISO 37301 对“成文信息”的要求和中央企业合规管理办法对“可追溯”的要求。

需要强调的是，ISO 37301 与 GB/T 35770 提供的是管理框架，中央企业合规管理办法提供的是监管底线，两者并不冲突。企业在实际操作中，可以以 GB/T 35770 的条款为体系骨架，以中央企业合规管理办法的具体要求为责任约束，再以 ISO 37301 的持续改进理念推动机制迭代。这样形成的合规风险识别与评估机制，既能通过外部认证，也能经得起监管检查，更能真正服务于业务决策。