近年來，隨著國企改革深化及國資監(jiān)管趨嚴，合規(guī)管理成為國有企業(yè)高質(zhì)量發(fā)展的核心命是。2021年國務(wù)院國資委《關(guān)于進一步深化法治央企建設(shè)的意見》【國資發(fā)法規(guī)規(guī)〔2021〕80號】提出“到2025年中央企業(yè)基本建立全面覆蓋、有效運行的合規(guī)管理體系”。從地方國資國企來看，基本緊跟中央企業(yè)合規(guī)管理的改革步伐，從建立年、強化年到提升年，國有企業(yè)的合規(guī)管理體系已從初步建立，逐步進行到常態(tài)化運行的階段。

目前，國有企業(yè)合規(guī)管理體系建立的主要依據(jù)是國務(wù)院國資委2022年制訂的《中央企業(yè)合規(guī)管理辦法》（國務(wù)院國有資產(chǎn)監(jiān)督管理委員會令第42號），以及各地的合規(guī)管理規(guī)定，如《重慶市屬國有企業(yè)合規(guī)管理實施辦法》等。在運行階段，雖現(xiàn)行國資規(guī)定中亦有“運行機制”的專門章節(jié)，但具體的行動步驟還有待實踐探索。

ISO 37301：2021《合規(guī)管理體系 要求及使用指南》（）是目前全球公認的合規(guī)管理框架，而國家標準GB/T35770-2022《合規(guī)管理體系要求及使用指南》也是對標而建立，二者作為的合規(guī)管理實踐，能為國有企業(yè)提供合規(guī)管理體系建立后運行階段的框架。

從國有企業(yè)視角出發(fā)，以問答形式解析ISO 37301暨GB/T35770合規(guī)管理體系貫標認證，以助力國企合規(guī)高質(zhì)量發(fā)展。

本文為第三篇，主要講解ISO 37301暨GB/T 35770合規(guī)管理體系貫標認證的路徑及流程。

關(guān)聯(lián)鏈接：

合規(guī)78 | 體系建設(shè)：國有企業(yè)ISO 37301暨GB/T35770合規(guī)管理體系貫標認證系列問答解讀（基礎(chǔ)認知篇）

合規(guī)79 | 體系建設(shè)：國有企業(yè)ISO 37301暨GB/T35770合規(guī)管理體系貫標認證系列問答解讀（建設(shè)要素篇）

Q14：哪些企業(yè)適合開展ISO37301暨GB/T 35770合規(guī)管理體系貫標認證？ISO 37301（對應(yīng)中國國家標準GB/T35770-2022）作為全球通用的合規(guī)管理體系認證標準，適用于所有類型和規(guī)模的組織。以下類型的企業(yè)適合開展以上貫標認證：（1）跨國經(jīng)營或參與國際供應(yīng)鏈的企業(yè)國際市場競爭中，涉及跨境投資、出口貿(mào)易、境外分支機構(gòu)管理的企業(yè)，需通過認證提升國際信任度。在合規(guī)要求日益嚴格的背景下（如反賄賂、數(shù)據(jù)保護、ESG等），ISO37301認證能幫助企業(yè)滿足海外客戶、監(jiān)管機構(gòu)和國際組織的合規(guī)要求，降低貿(mào)易壁壘。
（2）受強監(jiān)管行業(yè)的企業(yè)強監(jiān)管的典型行業(yè)，如金融、能源、醫(yī)療、互聯(lián)網(wǎng)等。示例：廣東能源集團作為廣東省屬國企首家通過認證，強化了其在能源投資、生產(chǎn)等環(huán)節(jié)的合規(guī)能力；通過貫標認證，構(gòu)建了完善的合規(guī)管理體系，提升了合規(guī)管理的有效性，促進了金融企業(yè)的高質(zhì)量發(fā)展。（3）大型國有企業(yè)及政策導(dǎo)向型企業(yè)大型國有企業(yè)及當?shù)貒Y委有明確貫標認證的企業(yè)。示例：廣東省交通集團有限公司、新疆機場集團等，這些企業(yè)在國家經(jīng)濟中占據(jù)重要地位，但內(nèi)部管理復(fù)雜，需要通過建立合規(guī)管理體系來優(yōu)化管理流程，提升管理效率和風險防控能力。（4）面臨高合規(guī)風險或曾涉違規(guī)的企業(yè)ISO37301強調(diào)風險評估與改進機制，適合曾因違規(guī)被處罰（如反壟斷、數(shù)據(jù)泄露）或處于高風險領(lǐng)域（如礦業(yè)、跨境并購）的企業(yè)，通過認證修復(fù)信用、降低重復(fù)違規(guī)概率。（5）需提升品牌信譽與客戶信任的企業(yè)認證能傳遞企業(yè)對合規(guī)的承諾，增強客戶、投資者和合作伙伴的信心。合規(guī)管理體系可減少因違規(guī)導(dǎo)致的聲譽損失，適用于依賴公眾信任的消費品牌、上市公司等。（6）已建立其他管理體系需整合升級的企業(yè)ISO 37301采用與ISO 9001（質(zhì)量管理）、ISO27001（信息安全）等相同的框架（如PDCA循環(huán)），適合已通過其他認證的企業(yè)低成本整合資源，形成系統(tǒng)化管理。Q15：如何選擇合規(guī)管理體系的認證機構(gòu)？根據(jù)國家市場監(jiān)督管理總局《認證機構(gòu)管理辦法》規(guī)定，認證機構(gòu)是指依法取得資質(zhì)，對產(chǎn)品、服務(wù)和管理體系是否符合標準、相關(guān)技術(shù)規(guī)范要求，獨立進行合格評定的具有法人資格的證明機構(gòu)。目前，合規(guī)管理體系的認證機構(gòu)主要包括：國際認證機構(gòu)：BSI（英國標準協(xié)會）、（瑞士通用公證行）、BV（法國必維國際檢驗集團）、TüV（德國技術(shù)監(jiān)督協(xié)會，含德國萊茵集團和南德意志集團）、LRQA（英國勞氏質(zhì)量認證有限公司）等。國內(nèi)認證機構(gòu)：中國質(zhì)量認證中心、方圓標志認證中心、上海質(zhì)量體系審核中心、中國船級社質(zhì)量認證公司等。Q16：合規(guī)管理體系貫標認證的主要流程是什么？有哪些關(guān)注要點？基于 ISO37301暨GB/T 35770合規(guī)管理體系標準，合規(guī)管理體系認證遵循“申請-審核-發(fā)證-維護”的主線，包括以下主要流程：認證申請與受理、認證審核、認證決定與證書、證書保持。
前述主要流程中，對于國有企業(yè)而言，需關(guān)注的要點包括：第一階段：認證申請與受理階段（1）認證申請的材料提交：企業(yè)需向認證機構(gòu)提交以下主要材料，包括《認證申請書》（含企業(yè)基本情況、產(chǎn)品/服務(wù)范圍、供應(yīng)商/客戶信息等）；法律地位證明文件（多場所需提供各場所證明）；合規(guī)領(lǐng)域的行政許可證明、資質(zhì)證書（如環(huán)保許可、數(shù)據(jù)安全資質(zhì)等）；合規(guī)義務(wù)清單及合規(guī)管理體系文件（如合規(guī)手冊、制度文件）。（2）認證機構(gòu)不予受理的情形：主要包括企業(yè)缺乏必要資質(zhì)或被列入嚴重違法失信名單；處于停業(yè)整頓期間；合規(guī)管理體系運行未滿3個月或文件與實際不符等。（3）認證合同的簽署：認證機構(gòu)受理申請后，與企業(yè)訂立具有法律效力的書面認證合同，明確雙方的權(quán)利、義務(wù)、認證范圍、費用等。一般要求企業(yè)承諾持續(xù)運行體系、配合監(jiān)管檢查、規(guī)范使用證書、及時通報重大變更或不合規(guī)事件等。第二階段：認證審核階段（4）審核計劃的確認：認證機構(gòu)會委派審核組開展審核，由審核組長牽頭，依據(jù)認證規(guī)則和企業(yè)信息，制定書面審核計劃，包括審核目的、范圍、準則、日期、場所、時間、組成員分工、日程安排、需要企業(yè)配合的事項、公正性聲明等，提交企業(yè)確認后執(zhí)行。（5）審核實施的兩個階段：初次認證審核分為兩個階段。第一階段審核評價企業(yè)理解和實施《合規(guī)標準》的基本情況，確認是否具備進入第二階段審核的條件。第二階段審核重點審核企業(yè)合規(guī)管理體系的符合性和有效運行情況。（6）審核報告：審核組組長形成書面審核報告，準確、簡明和清晰地描述審核活動的主要內(nèi)容，包括企業(yè)名稱、地址、活動范圍、場所、審核類型、準則、目的、組成員信息、審核實施日期和地點、偏離審核計劃情況說明、審核內(nèi)容及結(jié)果、合規(guī)目標及績效評價、不符合項、審核組建議等。認證機構(gòu)在作出認證決定后30個工作日內(nèi)將審核報告提交企業(yè)。（7）跟蹤驗證：認證機構(gòu)會提示企業(yè)對審核中發(fā)現(xiàn)的不符合項分析原因并提出糾正措施，對于嚴重不符合項，要求企業(yè)在多不超過6個月內(nèi)采取糾正措施，并驗證其有效性。第三階段：認證決定與證書（8）認證決定：認證機構(gòu)對企業(yè)的合規(guī)管理體系進行終評定，確認審核報告等信息是否滿足認證決定所需，評審并驗證嚴重不符合項的糾正措施，評審并接受其他一般不符合項的糾正和糾正措施。若企業(yè)滿足要求，則頒發(fā)認證證書。（9）認證證書：包含企業(yè)名稱、地址、統(tǒng)一社會信用代碼、認證范圍、符合《合規(guī)標準》的表述、證書編號、有效期、認證機構(gòu)名稱及標志、簽發(fā)者簽名、認可標識及注冊號、證書查詢方式等信息。如：深業(yè)集團的以下認證證書
第四階段：證書保持（10）證書有效期：合規(guī)管理體系認證證書的有效期一般為三年。（11）監(jiān)督審核：初次認證后，企業(yè)需在證書有效期內(nèi)接受定期監(jiān)督審核，確保合規(guī)管理體系持續(xù)有效運行。第一次監(jiān)督審核在證書簽發(fā)之日起12個月內(nèi)進行，此后每年至少進行一次，兩次間隔不超過15個月。監(jiān)督審核內(nèi)容包括體系變更情況、關(guān)鍵控制點運行、不符合項糾正措施有效性、合規(guī)義務(wù)遵從、舉報和投訴處理、內(nèi)部審核和管理評審規(guī)范性及有效性、合規(guī)績效等。企業(yè)需在規(guī)定時限內(nèi)完成不符合項的糾正和糾正措施，并向認證機構(gòu)提供改進有效性證據(jù)。認證機構(gòu)根據(jù)監(jiān)督審核報告等信息，決定是否繼續(xù)保持、暫停或撤銷認證證書。（12）再認證：認證證書期滿前，企業(yè)可申請再認證審核，認證機構(gòu)結(jié)合歷次監(jiān)督審核情況，制定并實施再認證審核計劃。在合規(guī)管理體系及企業(yè)內(nèi)外部情境無重大變更時，可省略第一階段審核，但審核時間不少于初次認證審核的2/3。企業(yè)需在規(guī)定時限內(nèi)實施糾正與糾正措施，并在原證書到期前獲得認證機構(gòu)驗證。若企業(yè)繼續(xù)滿足認證要求并履行合同義務(wù)，認證機構(gòu)將換發(fā)新證書，有效期仍為三年。（13）證書暫?；虺蜂N：企業(yè)出現(xiàn)特定情形時，認證機構(gòu)將暫停或撤銷其認證證書。暫停情形包括合規(guī)管理體系不滿足認證要求、不履行合同義務(wù)、被責令停業(yè)整頓、相關(guān)證明文件過期失效、故意或持續(xù)不滿足法律法規(guī)要求、拒絕配合監(jiān)督檢查或提供虛假材料、未按規(guī)定時間間隔接受監(jiān)督、未正確引用或宣傳認證信息等。暫停期通常不超過6個月。撤銷情形包括被注銷或撤銷法律地位證明文件、被認定存在嚴重違法失信行為、暫停期滿問題未解決或糾正等。證書撤銷后，認證機構(gòu)收回證書或在媒體和網(wǎng)站上公布撤銷決定。