体系建设：国有企业ISO 37301暨GB/T 35770合规管理体系贯标认证系列问答解读

近年来，随着国企改革深化及国资监管趋严，合规管理成为国有企业高质量发展的核心命是。2021年国务院国资委《关于进一步深化法治央企建设的意见》【国资发法规规〔2021〕80号】提出“到2025年中央企业基本建立全面覆盖、有效运行的合规管理体系”。从地方国资国企来看，基本紧跟中央企业合规管理的改革步伐，从建立年、强化年到提升年，国有企业的合规管理体系已从初步建立，逐步进行到常态化运行的阶段。

目前，国有企业合规管理体系建立的主要依据是国务院国资委2022年制订的《中央企业合规管理办法》（国务院国有资产监督管理委员会令第42号），以及各地的合规管理规定，如《重庆市属国有企业合规管理实施办法》等。在运行阶段，虽现行国资规定中亦有“运行机制”的专门章节，但具体的行动步骤还有待实践探索。

ISO 37301：2021《合规管理体系 要求及使用指南》（）是目前全球公认的合规管理框架，而国家标准GB/T35770-2022《合规管理体系要求及使用指南》也是对标而建立，二者作为的合规管理实践，能为国有企业提供合规管理体系建立后运行阶段的框架。

从国有企业视角出发，以问答形式解析ISO 37301暨GB/T35770合规管理体系贯标认证，以助力国企合规高质量发展。

本文为第三篇，主要讲解ISO 37301暨GB/T 35770合规管理体系贯标认证的路径及流程。

关联链接：

合规78 | 体系建设：国有企业ISO 37301暨GB/T35770合规管理体系贯标认证系列问答解读（基础认知篇）

合规79 | 体系建设：国有企业ISO 37301暨GB/T35770合规管理体系贯标认证系列问答解读（建设要素篇）

Q14：哪些企业适合开展ISO37301暨GB/T 35770合规管理体系贯标认证？ISO 37301（对应中国国家标准GB/T35770-2022）作为全球通用的合规管理体系认证标准，适用于所有类型和规模的组织。以下类型的企业适合开展以上贯标认证：（1）跨国经营或参与国际供应链的企业国际市场竞争中，涉及跨境投资、出口贸易、境外分支机构管理的企业，需通过认证提升国际信任度。在合规要求日益严格的背景下（如反贿赂、数据保护、ESG等），ISO37301认证能帮助企业满足海外客户、监管机构和国际组织的合规要求，降低贸易壁垒。
（2）受强监管行业的企业强监管的典型行业，如金融、能源、医疗、互联网等。示例：广东能源集团作为广东省属国企首家通过认证，强化了其在能源投资、生产等环节的合规能力；通过贯标认证，构建了完善的合规管理体系，提升了合规管理的有效性，促进了金融企业的高质量发展。（3）大型国有企业及政策导向型企业大型国有企业及当地国资委有明确贯标认证的企业。示例：广东省交通集团有限公司、新疆机场集团等，这些企业在国家经济中占据重要地位，但内部管理复杂，需要通过建立合规管理体系来优化管理流程，提升管理效率和风险防控能力。（4）面临高合规风险或曾涉违规的企业ISO37301强调风险评估与改进机制，适合曾因违规被处罚（如反垄断、数据泄露）或处于高风险领域（如矿业、跨境并购）的企业，通过认证修复信用、降低重复违规概率。（5）需提升品牌信誉与客户信任的企业认证能传递企业对合规的承诺，增强客户、投资者和合作伙伴的信心。合规管理体系可减少因违规导致的声誉损失，适用于依赖公众信任的消费品牌、上市公司等。（6）已建立其他管理体系需整合升级的企业ISO 37301采用与ISO 9001（质量管理）、ISO27001（信息安全）等相同的框架（如PDCA循环），适合已通过其他认证的企业低成本整合资源，形成系统化管理。Q15：如何选择合规管理体系的认证机构？根据国家市场监督管理总局《认证机构管理办法》规定，认证机构是指依法取得资质，对产品、服务和管理体系是否符合标准、相关技术规范要求，独立进行合格评定的具有法人资格的证明机构。目前，合规管理体系的认证机构主要包括：国际认证机构：BSI（英国标准协会）、（瑞士通用公证行）、BV（法国必维国际检验集团）、TüV（德国技术监督协会，含德国莱茵集团和南德意志集团）、LRQA（英国劳氏质量认证有限公司）等。国内认证机构：中国质量认证中心、方圆标志认证中心、上海质量体系审核中心、中国船级社质量认证公司等。Q16：合规管理体系贯标认证的主要流程是什么？有哪些关注要点？基于 ISO37301暨GB/T 35770合规管理体系标准，合规管理体系认证遵循“申请-审核-发证-维护”的主线，包括以下主要流程：认证申请与受理、认证审核、认证决定与证书、证书保持。
前述主要流程中，对于国有企业而言，需关注的要点包括：第一阶段：认证申请与受理阶段（1）认证申请的材料提交：企业需向认证机构提交以下主要材料，包括《认证申请书》（含企业基本情况、产品/服务范围、供应商/客户信息等）；法律地位证明文件（多场所需提供各场所证明）；合规领域的行政许可证明、资质证书（如环保许可、数据安全资质等）；合规义务清单及合规管理体系文件（如合规手册、制度文件）。（2）认证机构不予受理的情形：主要包括企业缺乏必要资质或被列入严重违法失信名单；处于停业整顿期间；合规管理体系运行未满3个月或文件与实际不符等。（3）认证合同的签署：认证机构受理申请后，与企业订立具有法律效力的书面认证合同，明确双方的权利、义务、认证范围、费用等。一般要求企业承诺持续运行体系、配合监管检查、规范使用证书、及时通报重大变更或不合规事件等。第二阶段：认证审核阶段（4）审核计划的确认：认证机构会委派审核组开展审核，由审核组长牵头，依据认证规则和企业信息，制定书面审核计划，包括审核目的、范围、准则、日期、场所、时间、组成员分工、日程安排、需要企业配合的事项、公正性声明等，提交企业确认后执行。（5）审核实施的两个阶段：初次认证审核分为两个阶段。第一阶段审核评价企业理解和实施《合规标准》的基本情况，确认是否具备进入第二阶段审核的条件。第二阶段审核重点审核企业合规管理体系的符合性和有效运行情况。（6）审核报告：审核组组长形成书面审核报告，准确、简明和清晰地描述审核活动的主要内容，包括企业名称、地址、活动范围、场所、审核类型、准则、目的、组成员信息、审核实施日期和地点、偏离审核计划情况说明、审核内容及结果、合规目标及绩效评价、不符合项、审核组建议等。认证机构在作出认证决定后30个工作日内将审核报告提交企业。（7）跟踪验证：认证机构会提示企业对审核中发现的不符合项分析原因并提出纠正措施，对于严重不符合项，要求企业在多不超过6个月内采取纠正措施，并验证其有效性。第三阶段：认证决定与证书（8）认证决定：认证机构对企业的合规管理体系进行终评定，确认审核报告等信息是否满足认证决定所需，评审并验证严重不符合项的纠正措施，评审并接受其他一般不符合项的纠正和纠正措施。若企业满足要求，则颁发认证证书。（9）认证证书：包含企业名称、地址、统一社会信用代码、认证范围、符合《合规标准》的表述、证书编号、有效期、认证机构名称及标志、签发者签名、认可标识及注册号、证书查询方式等信息。如：深业集团的以下认证证书
第四阶段：证书保持（10）证书有效期：合规管理体系认证证书的有效期一般为三年。（11）监督审核：初次认证后，企业需在证书有效期内接受定期监督审核，确保合规管理体系持续有效运行。第一次监督审核在证书签发之日起12个月内进行，此后每年至少进行一次，两次间隔不超过15个月。监督审核内容包括体系变更情况、关键控制点运行、不符合项纠正措施有效性、合规义务遵从、举报和投诉处理、内部审核和管理评审规范性及有效性、合规绩效等。企业需在规定时限内完成不符合项的纠正和纠正措施，并向认证机构提供改进有效性证据。认证机构根据监督审核报告等信息，决定是否继续保持、暂停或撤销认证证书。（12）再认证：认证证书期满前，企业可申请再认证审核，认证机构结合历次监督审核情况，制定并实施再认证审核计划。在合规管理体系及企业内外部情境无重大变更时，可省略第一阶段审核，但审核时间不少于初次认证审核的2/3。企业需在规定时限内实施纠正与纠正措施，并在原证书到期前获得认证机构验证。若企业继续满足认证要求并履行合同义务，认证机构将换发新证书，有效期仍为三年。（13）证书暂停或撤销：企业出现特定情形时，认证机构将暂停或撤销其认证证书。暂停情形包括合规管理体系不满足认证要求、不履行合同义务、被责令停业整顿、相关证明文件过期失效、故意或持续不满足法律法规要求、拒绝配合监督检查或提供虚假材料、未按规定时间间隔接受监督、未正确引用或宣传认证信息等。暂停期通常不超过6个月。撤销情形包括被注销或撤销法律地位证明文件、被认定存在严重违法失信行为、暂停期满问题未解决或纠正等。证书撤销后，认证机构收回证书或在媒体和网站上公布撤销决定。