2、合规检查框架：COSO框架、ISO 37301标准、国内合规管理体系标准（GB/T 35770）

好，咱们进入第二章。这一章我打算聊聊合规检查的“骨架”——也就是框架。

你想想看，做合规检查最怕什么？最怕东一榔头西一棒子。今天查查合同，明天翻翻发票，后天看看员工手册。查完了一堆问题，但老板问你“整体风险有多大”，你答不上来。为什么？因为没有框架。

我个人习惯，做任何合规项目之前，先搭框架。框架就像房子的承重墙，墙立起来了，后面往里面填什么砖都稳当。今天咱们就掰扯三个最主流的框架：COSO、ISO 37301，还有咱们国内的GB/T 35770。

2.1 COSO框架：老牌劲旅，内控的“圣经”

先说说COSO。全称是“Committee of Sponsoring Organizations of the Treadway Commission”，名字挺长，你记不住没关系。你只要知道，这玩意儿是1992年美国人搞出来的，后来2013年更新了一版，现在用的是2013版。

COSO框架的核心是什么？

说白了，它把内部控制分成了五个要素：

• 控制环境——公司的“文化氛围”。老板重不重视合规？有没有“一言堂”？
• 风险评估——识别和分析实现目标过程中可能遇到的风险。
• 控制活动——具体的政策和程序，比如审批流程、职责分离。
• 信息与沟通——信息能不能传达到位？员工知不知道有问题该找谁？
• 监控活动——日常监督和定期评估。

我记得有一次帮一家制造企业做合规检查。他们财务部有个老会计，干了二十年，所有付款都是他一个人批。我说这不行，这叫“不相容职务未分离”。老板说“他我信得过”。我说“这不是信不信得过的问题，这是控制活动缺失”。后来我拿COSO的框架给他一讲，他立马明白了。嗯，这就是框架的力量——它让你从“凭感觉”变成“凭标准”。

2.2 ISO 37301：国际标准，合规管理的“说明书”

接下来是ISO 37301。这个标准是2021年发布的，取代了之前的ISO 19600。它跟COSO最大的区别是什么？COSO是“框架”，给你一个思路；ISO 37301是“标准”，给你一套可认证的要求。

ISO 37301的核心逻辑：PDCA循环

说白了就是“计划-执行-检查-改进”。

阶段	内容	我的经验
P（计划）	识别合规义务，评估风险，制定方针	很多公司这一步就偷懒，直接抄同行的制度
D（执行）	建立流程、培训、沟通	培训别只做PPT，要搞案例演练
C（检查）	监控、测量、审计	我见过最离谱的是审计部自己审自己
A（改进）	纠正措施、持续改进	发现问题不改，等于没查

我曾经帮一家外贸公司做ISO 37301的认证辅导。他们老板说“我们制度很全，肯定能过”。结果我一查，制度是2018年写的，里面引用的法规都废止了。这就是典型的“只计划不检查”。

2.3 GB/T 35770：国内标准，更接地气

最后说说咱们自己的标准——GB/T 35770。这个标准其实跟ISO 37301高度兼容，但更贴合国内的法律环境和监管要求。

GB/T 35770的几个特点：

• 强调“合规义务”——不只是法律法规，还包括行业准则、道德规范、甚至公司内部规章制度。
• 注重“领导作用”——明确要求最高管理者要亲自抓合规。这一点我特别认同。你想想看，如果老板都不参加合规会议，下面的人会当回事吗？
• 要求“合规文化”——不是贴几张海报就完事了，要真正融入日常运营。

我记得有一次给一家国企做培训，他们合规部的同事问我：“老师，我们已经有ISO 37301了，还需要GB/T 35770吗？”我说：“你想想看，ISO是国际标准，GB是国标。如果你只做出口业务，ISO够了。但如果你在国内经营，GB/T 35770更贴近监管的口味。说白了，两个都做，不冲突。”

2.4 三个框架怎么选？我的建议

好，三个框架都讲完了。你可能会问：“那我到底用哪个？”

我的建议是这样的：

1. 如果你是做内控审计的——优先用COSO。它最成熟，也最灵活。
2. 如果你要拿认证——走ISO 37301。它是国际通行证。
3. 如果你主要在国内经营——用GB/T 35770。它最接地气，也最容易被监管认可。

当然，最理想的状态是三个框架融合使用。我个人的习惯是：用COSO搭骨架，用ISO 37301定流程，用GB/T 35770做本地化适配。这样既有高度，又有深度，还能落地。

嗯，这一章就到这里。下一章咱们聊聊具体的检查方法——怎么查、查什么、查出来怎么办。到时候见。