3、标准全景图谱：梳理ISO 37301、GB/T 35770、COSO ERM、OECD指南等主要标准与框架的定位、结构及相互关系
合规管理体系建设的首要难题，不是“不知道要合规”，而是“面对一堆标准不知道从何下手”。ISO 37301、GB/T 35770、COSO ERM、OECD指南、国资委《中央企业合规管理办法》等文件频繁出现在企业文件、招标要求和监管检查中，但它们各自的定位、约束力、结构逻辑和适用场景差异极大。如果企业不加辨析地“眉毛胡子一把抓”，轻则造成体系文件冗余、职责重叠，重则导致合规管理与业务风险脱节，陷入“为认证而认证”的形式主义。本章旨在绘制一张标准全景图谱，厘清主要标准与框架的“坐标位置”，帮助合规管理者建立全局视野，并据此选择适合自身需求的组合路径。
上图展示了各标准与框架在合规管理体系中的“生态位”。ISO 37301与GB/T 35770属于可认证的管理体系标准，提供了一套完整的PDCA闭环方法论；COSO ERM从企业整体风险治理视角出发，为合规管理提供了风险偏好、治理结构和绩效评价的底层逻辑；OECD指南则聚焦跨国经营中的尽责管理，是供应链合规和ESG治理的重要参考。三者并非相互替代，而是分别从“管理体系建设”“风险治理整合”“外部行为准则”三个维度切入，共同构成现代企业合规管理的立体框架。
3.1 核心原理：三类标准的定位与互补逻辑
理解标准全景图谱的关键，在于把握“认证标准—风险框架—行为准则”的三层结构。ISO 37301:2021《合规管理体系 要求及使用指南》是国际标准化组织发布的A类管理体系标准，其前身是ISO 19600（B类指南），升级为A类后意味着企业可以据此申请第三方认证。GB/T 35770-2022《合规管理体系 要求及使用指南》是等同采用ISO 37301的中国国家标准，两者在条款结构上完全一致，差异仅在于翻译和少量国内法规引用。这类标准的核心价值在于提供了一套“可审计、可认证、可比较”的体系化要求，覆盖合规方针、合规风险评估、合规义务管理、运行控制、绩效评价、管理评审等全流程。
COSO ERM（企业风险管理整合框架）由美国反虚假财务报告委员会发起组织发布，2017年更新版将风险管理工作从“控制导向”转向“价值创造导向”。其五大要素——治理与文化、战略与目标设定、绩效、审阅与修订、信息沟通与报告——为合规管理提供了更宏观的风险治理语境。例如，COSO强调“风险偏好”与“战略制定”的联动，这直接影响到企业合规风险的容忍度和资源分配优先级。OECD《跨国企业准则》则属于软法范畴，虽无强制约束力，但通过国家联络点（NCP）机制和供应链尽责管理指南，对跨国企业的合规实践产生实质性影响，尤其在人权、劳工、环境、反腐败等领域。
3.2 判断方法：如何选择适合企业的标准组合
面对多套标准，企业需要根据自身规模、业务性质、监管环境和战略目标进行组合选择。以下是判断路径的四个核心维度：
- 认证需求驱动：如果企业需要向客户、监管机构或资本市场证明合规管理能力，应优先选择ISO 37301/GB/T 35770认证。例如，央企合规管理办法明确要求建立合规管理体系，而通过GB/T 35770认证是常见的外部验证方式。
- 风险治理整合需求：如果企业已经建立了全面风险管理体系（如金融行业），应将合规管理嵌入COSO ERM框架，避免“合规”与“风险”两张皮。此时，合规风险评估应纳入企业整体风险偏好和风险容忍度体系。
- 国际化经营需求：如果企业有海外子公司、供应链或跨境投资，必须关注OECD指南及联合国商业与人权指导原则，建立供应链尽责管理体系，覆盖供应商行为准则、人权影响评估和申诉机制。
- 监管强制要求：国内企业还需关注国资委《中央企业合规管理办法》、最高检涉案企业合规改革等国内监管要求。这些要求虽未形成独立标准，但在合规组织架构、合规官设置、合规报告路径等方面有明确指令性规定。
| 维度 | ISO 37301 / GB/T 35770 | COSO ERM | OECD指南 |
|---|---|---|---|
| 标准性质 | 可认证的管理体系标准 | 风险管理框架（非认证） | 政府间软法（非认证） |
| 核心结构 | PDCA：策划-支持-运行-绩效评价-改进 | 五大要素：治理与文化、战略与目标、绩效、审阅、信息沟通 | 一般政策+具体领域（人权、劳工、环境、反腐败等） |
| 适用场景 | 建立完整合规体系、申请认证 | 整合企业风险管理与合规治理 | 跨国经营、供应链尽责管理 |
| 强制力 | 自愿认证（但监管可能采信） | 自愿采纳 | 无强制力，但通过NCP机制施加压力 |
| 典型输出 | 合规手册、程序文件、记录 | 风险偏好声明、风险矩阵、绩效指标 | 尽责管理政策、供应商行为准则、申诉机制 |
3.3 案例拆解：某跨国制造企业的标准融合实践
以一家拥有海外工厂和全球供应链的汽车零部件企业为例，该企业面临三重合规压力：国内母公司受国资委合规管理办法约束，海外子公司需满足欧盟供应链尽责管理要求，同时客户要求其通过ISO 37301认证。企业最初试图分别应对，导致体系文件重复、职责交叉、审计成本高企。
企业最终采取了“一个体系、三层映射”的融合方案。首先，以ISO 37301为骨架建立统一的合规管理体系，覆盖所有境内外国公司；其次，将COSO ERM的“风险偏好”和“绩效”要素嵌入合规风险评估流程，明确不同业务线的合规风险容忍度；最后，针对欧盟客户和OECD指南要求，在采购流程中增加供应链尽责管理模块，包括供应商风险分级、现场审核和纠正行动计划。在实施过程中，企业建立了统一的合规义务库，将国内法规、欧盟指令、客户行为准则等映射到同一套控制措施中。
实施结果：认证审核一次通过，供应链合规审计发现的问题数量下降40%，且由于消除了重复控制，合规管理成本反而降低了约15%。关键经验在于：标准融合不是简单叠加，而是找到各标准之间的“接口”——ISO 37301的“合规风险评估”条款与COSO ERM的“风险识别与评估”要素可以共用一套方法论；OECD指南的“尽责管理”要求可以嵌入ISO 37301的“运行控制”和“外部沟通”条款中。
3.4 常见误区与总结复盘
在标准应用实践中，企业常陷入以下误区：一是“重认证、轻运行”，将ISO 37301认证视为终点，认证通过后体系束之高阁；二是“重框架、轻落地”，照搬COSO ERM的要素名称，但未转化为具体的合规风险评估工具和岗位职责；三是“重总部、轻海外”，OECD指南的尽责管理仅停留在总部政策层面，未穿透到海外工厂和一级供应商；四是“重制度、轻文化”，忽视了合规文化这一底座，导致制度执行流于形式。
总结复盘时，企业应关注三个关键成功要素：第一，高层领导的实质性参与，不仅是签署合规承诺书，更要定期审阅合规风险报告并做出资源分配决策；第二，合规管理体系的“可操作性”，所有控制措施必须落实到具体流程、系统和岗位，避免“制度上墙、执行走样”；第三，持续改进机制，通过内部审计、管理评审和外部监督发现体系缺陷，形成闭环。