1. 课程导入

合规管理在过去的二十年中，从一项法律风险防范的辅助工具，逐步演变为组织治理与战略决策的核心支柱。随着全球贸易摩擦加剧、监管环境趋严、供应链审查常态化以及ESG（环境、社会与治理）理念的普及，组织面临的合规义务已远超传统的“合法经营”范畴。在此背景下，国际标准化组织（ISO）于2021年4月正式发布了ISO 37301:2021《合规管理体系 要求及使用指南》，取代了此前的ISO 19600:2014《合规管理体系 指南》。这一转变标志着全球合规管理从“最佳实践建议”迈入“可认证要求”的新纪元。本章作为整个课程的导入，将系统梳理ISO 37301的诞生背景、演进脉络、与国内标准GB/T 35770的衔接关系，并明确本课程的学习目标与适用对象，为后续三十章的深度解读奠定认知基础。

一、ISO 37301的制定背景：从“被动应对”到“主动治理”的必然选择

1. 核心原理：合规管理范式的根本转变

ISO 37301的制定并非偶然，它是全球合规管理实践数十年演进的结晶。其核心原理在于将合规管理从“法律部门的孤立职能”提升为“组织治理的有机组成部分”。传统模式下，合规工作往往聚焦于事后应对——监管处罚后的整改、诉讼发生后的补救。而ISO 37301所倡导的，是基于风险的、全流程的、持续改进的主动治理模式。该标准将合规管理体系的运行逻辑与ISO高层结构（HLS）对齐，使得合规体系能够与质量、环境、信息安全等管理体系实现无缝集成，这大大降低了组织多体系并行运行的管理成本。

2. 判断方法：识别组织合规管理的成熟度差距

在引入ISO 37301之前，组织可以通过以下三个维度进行自我诊断，判断现有合规管理状态与标准要求之间的差距：

• 体系完整性：是否建立了覆盖合规方针、合规目标、合规风险识别、合规运行控制、合规绩效评价的闭环流程？还是仅有零散的规章制度和举报邮箱？
• 领导参与度：最高管理者是否将合规视为核心职责之一，而非仅仅授权给法务部门？是否定期听取合规工作报告并亲自参与合规文化建设？
• 风险导向性：合规资源的配置是否基于风险评估结果？是否对高风险领域（如反腐败、反垄断、数据保护）投入了足够的关注和控制措施？

如果上述三个维度的答案均偏向消极，则说明组织亟需按照ISO 37301的系统方法论进行合规管理体系的建设或重构。

3. 案例拆解：某跨国制造企业的合规转型动因

以一家在东南亚设有多个工厂的电子制造企业为例，该企业曾因供应商使用童工而遭到国际客户集体解约，损失超过2亿美元订单。事后调查发现，企业虽然制定了《供应商行为准则》，但并未将其纳入合规管理体系进行统一管理——采购部门仅关注价格和交期，合规部门未参与供应商准入评估，内部审计也未覆盖供应链社会责任环节。这一事件直接促使企业决策层启动ISO 37301合规管理体系建设。在建设过程中，企业重新梳理了合规义务清单，将客户要求、行业准则、国际公约纳入合规义务范围；建立了供应商分级合规审查机制；并将合规绩效纳入采购部门KPI。两年后，该企业不仅恢复了客户信任，还因合规管理出色获得了新客户的长期框架协议。

4. 常见误区与总结复盘

误区	表现	ISO 37301的正确导向
合规=法务部门的事	合规职责全部归于法务，业务部门被动配合	合规是全员责任，业务部门是合规风险的第一道防线
体系文件“两张皮”	制度文件完备但执行流于形式	强调运行证据和持续改进，文件只是起点
一次性通过认证即结束	认证后体系运行松懈，无人维护	PDCA循环是体系的生命线，认证只是体检报告

二、发展历程：从澳大利亚标准到国际通用规范的演进路径

1. 核心原理：标准迭代背后的治理逻辑升级

ISO 37301的发展脉络清晰反映了全球合规治理理念的升级。最早的合规管理标准雏形可追溯至2005年澳大利亚标准AS 3806，该标准首次提出了合规管理体系的框架性概念。2014年，ISO基于AS 3806和英国BS 13500等区域标准，发布了ISO 19600《合规管理体系——指南》，其性质是“指南”（Guidelines），不适用于认证目的。ISO 19600为组织提供了建立、实施、维护和改进合规管理体系的建议，但缺乏强制性的“要求”表述。随着全球范围内合规丑闻频发（如大众排放门、西门子贿赂案等），监管机构和商业伙伴对合规管理的“可验证性”需求日益迫切。ISO 37301:2021的发布，将标准性质从“指南”升级为“要求”（Requirements），并明确可用于认证和自我声明。

2. 判断方法：理解ISO 37301与ISO 19600的关键差异

对于已经依据ISO 19600建立了合规管理体系的组织，需要重点关注以下升级要点：

1. 条款结构变化：ISO 37301采用ISO高层结构（HLS），章节从10个扩展至10个但内容重新编排，与ISO 9001、ISO 14001等标准结构完全兼容。
2. 新增“合规文化”要求：标准在“领导作用”章节中明确要求最高管理者应促进合规文化，这不仅是口号，更要求有具体的文化培育机制和衡量指标。
3. 强化“合规义务”的持续评估：标准要求组织建立持续识别合规义务变化的过程，而非一次性梳理。
4. 增加“报告与举报”的细化要求：对举报渠道的保密性、非报复性保护措施提出了更具体的要求。

3. 实战场景：从ISO 19600过渡到ISO 37301的差距分析

某国有金融企业于2018年依据ISO 19600建立了合规管理体系，2022年决定对标ISO 37301进行升级。差距分析发现：原有体系虽然覆盖了合规风险评估和合规培训，但在“合规文化”维度缺乏可量化的评估指标；内部举报机制虽然存在，但未明确禁止对善意举报人的报复行为；管理评审的输入未包含“合规绩效的监视和测量结果”的详细分析。针对这些差距，企业制定了为期六个月的升级计划，重点修订了《合规文化培育管理办法》，增设了“合规文化渗透率”指标（通过员工调研和合规事件发生率综合计算）；修订了《举报与保护制度》，增加了反报复条款和调查程序时限要求。该企业于2023年顺利通过ISO 37301认证审核。

4. 常见误区与总结复盘

• 误区一：认为ISO 37301只是ISO 19600的简单换版，仅需修改文件编号和日期。实际上，标准性质从“指南”变为“要求”，意味着所有“宜”（should）条款需评估是否转化为“应”（shall）执行。
• 误区二：忽视“合规文化”的实质性建设。审核员会通过员工访谈、现场观察等方式验证文化是否真正落地，而非仅检查培训记录。
• 误区三：未将合规管理体系与其他管理体系（如质量、环境）进行整合，导致多套体系并行、资源浪费、接口混乱。

三、ISO 37301与GB/T 35770的关系：国际标准与中国实践的融合

1. 核心原理：等同采用与本土化微调

GB/T 35770-2022《合规管理体系 要求及使用指南》是我国国家标准化管理委员会发布的推荐性国家标准，其技术内容与ISO 37301:2021完全等同（IDT）。这意味着采用GB/T 35770的组织，其合规管理体系同样符合国际标准的要求。然而，等同采用并非简单翻译，国家标准在编制过程中结合了中国法治环境和企业合规实践的特点，在部分条款的“注”或“附录”中增加了符合中国国情的说明。例如，在合规义务识别方面，GB/T 35770特别强调了“党内法规”对于国有企业的合规义务属性；在合规风险评估方面，增加了对“合规风险清单”动态管理的操作指引。

2. 判断方法：选择认证标准时的考量因素

考量维度	选择ISO 37301认证	选择GB/T 35770认证
国际业务需求	海外客户、跨国合作方认可度更高	国内监管机构、央企考核认可度较高
认证机构资源	国际知名认证机构均可颁发	国内认证机构为主，部分国际机构也可颁发
标准文本获取	需购买ISO官方版本或采用翻译件	国家标准文本公开，获取便捷
审核侧重点	强调国际合规最佳实践	结合中国监管要求和合规管理指引

实际上，由于GB/T 35770等同采用ISO 37301，两者在核心要求上并无实质差异。组织可以根据自身业务布局和客户需求选择认证标准，甚至可以通过一次审核同时获得双证书。

3. 案例拆解：央企合规管理体系建设中的标准应用

某中央企业集团在推进合规管理体系建设时，面临一个现实问题：集团下属多家上市公司需要满足境内外监管要求，而集团总部需要对接国资委的合规管理指引。该集团最终采取了“一套体系、双标融合”的策略：以ISO 37301/GB/T 35770为框架基础，将国资委《中央企业合规管理办法》的具体要求（如首席合规官设置、合规审查嵌入流程、违规追责机制）作为体系运行的细化输入。在体系文件层面，集团编制了《合规管理手册》，明确引用GB/T 35770作为体系建设的依据标准，同时在国际业务板块的子公司中，额外申请ISO 37301认证以满足海外合作伙伴的尽调要求。这一策略既避免了重复建设，又实现了不同监管语境下的合规要求全覆盖。

4. 常见误区与总结复盘

• 误区一：认为GB/T 35770比ISO 37301要求更低。实际上两者等同采用，要求完全一致。
• 误区二：在体系文件中混用两个标准条款编号，导致审核时无法清晰对应。建议明确选择一个标准作为主依据，另一个作为参考。
• 误区三：忽视标准中“注”和“附录”的价值。GB/T 35770的附录提供了合规管理体系建立的实用指南，包括合规义务识别清单示例、合规风险评估矩阵模板等，对体系落地极具参考价值。

四、本课程的学习目标与适用对象

1. 核心原理：课程设计的逻辑框架

本课程共三十章，旨在为学员提供从理论认知到实践操作的全链条知识赋能。课程设计遵循“认知→构建→运行→优化”的进阶路径，前五章聚焦标准解读与体系框架搭建，中间十五章深入剖析各核心要素的实施方法，最后十章聚焦体系运行中的难点问题（如合规数字化、合规审计、合规文化评估）和行业实践案例。每一章均包含核心原理、操作流程、案例拆解和常见误区四个模块，确保学员既能理解“为什么”，也能掌握“怎么做”。

2. 学习目标：学完本课程后应具备的能力

• 能力一：能够独立解读ISO 37301/GB/T 35770的全部条款要求，并准确区分“应”（shall）与“宜”（should）的强制程度。
• 能力二：能够运用合规风险评估方法论（如合规风险矩阵、合规义务清单）对组织面临的合规风险进行系统识别、分析和评价。
• 能力三：能够设计合规管理体系的组织架构、文件架构和运行流程，包括合规方针制定、合规委员会运作、合规举报与调查机制。
• 能力四：能够策划和实施合规管理体系内部审核和管理评审，识别体系改进机会并推动持续改进。
• 能力五：能够结合行业特点（如金融、医药、制造、互联网）进行合规管理体系的定制化设计。

3. 适用对象：谁应该学习本课程

角色	学习重点	预期收益
企业合规管理人员	体系构建、运行维护、合规风险评估	提升合规管理专业能力，掌握国际标准方法论
法务人员	合规义务识别、法律风险与合规风险衔接	拓展职业边界，从法律支持走向合规治理
内审人员	合规内审技巧、管理评审实施	掌握合规内审的特殊方法论，提升审计价值
企业高管/董事会成员	领导作用、合规治理、合规文化	理解合规管理的战略价值，有效履行监督职责
管理咨询顾问	全流程方法论、行业解决方案	获得合规咨询项目的系统工具和实战经验
监管机构/行业协会人员	标准要求、评估方法	掌握国际通行的合规评估框架，提升监管科学性

4. 学习建议与总结复盘

总结而言，ISO 37301不仅是一份标准文本，更是一套关于组织治理的哲学和方法论。它要求组织将合规内化为基因，而非外挂于业务。本课程将陪伴学员系统掌握这套方法论，并转化为可落地的管理能力。在接下来的二十九章中，我们将逐一深入标准的每一个核心要素，从组织环境分析到合规风险评估，从合规方针制定到合规培训实施，从合规举报机制到合规审计改进，构建完整的知识体系。