免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！推送旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請跟我們聯(lián)系刪除并致歉！

ISO 37301合規(guī)管理體系要求及使用指南

隨著我國全面依法治國戰(zhàn)略以及近年我國企業(yè)因境外經(jīng)營不符合當(dāng)?shù)貒暮弦?guī)監(jiān)管要求被“掐脖子”的事例屢見不鮮，“合規(guī)”已成為我國政府工作和企業(yè)經(jīng)營的重要議題。為推動(dòng)我國企業(yè)合規(guī)經(jīng)營，與國際合規(guī)要求接軌：

?

中央政府陸續(xù)出臺(tái)合規(guī)相關(guān)指引，指導(dǎo)企業(yè)開展合規(guī)管理。例如，2018年11月國務(wù)院國資委發(fā)布的《中央企業(yè)合規(guī)管理指引（試行）》，2018年12月國家發(fā)改委聯(lián)合七部委發(fā)布的《企業(yè)境外經(jīng)營合規(guī)管理指引》；

?

地方政府、中國標(biāo)準(zhǔn)化研究院出臺(tái)與國際接軌的合規(guī)指引、標(biāo)準(zhǔn)。例如，2021年10月，中國標(biāo)準(zhǔn)化研究院發(fā)布《合規(guī)管理體系 要求及使用指南（征求意見稿）》，計(jì)劃將國際標(biāo)準(zhǔn)化組織（International Organization for Standardization, ISO）更新的ISO 37301：2021《合規(guī)管理體系 要求及使用指南》本地化；2021年11月，深圳市司法局發(fā)布了《深圳企業(yè)合規(guī)管理體系認(rèn)證標(biāo)準(zhǔn)（征求意見稿）》，此認(rèn)證標(biāo)準(zhǔn)的編制借鑒了國際經(jīng)驗(yàn)和結(jié)合了深圳實(shí)際情況，旨在促進(jìn)深圳企業(yè)加快建立合規(guī)管理體系；

?

地方政府采取有力舉措推動(dòng)本地企業(yè)依法合規(guī)經(jīng)營。以深圳市為例，深圳市國資委正會(huì)同市監(jiān)委、市司法局開展合規(guī)管理體系建設(shè)試點(diǎn)、防范廉潔風(fēng)險(xiǎn)工作，同時(shí)配合市檢察院建立企業(yè)合規(guī)第三方監(jiān)督評估機(jī)制，打造刑事合規(guī)“深圳模式”。

在國內(nèi)外日趨嚴(yán)格的市場監(jiān)管環(huán)境和我國政府推動(dòng)的背景下，越來越多的企業(yè)致力于通過搭建合規(guī)管理體系，將合規(guī)融入企業(yè)經(jīng)營，以助力企業(yè)業(yè)務(wù)增長，創(chuàng)造競爭優(yōu)勢和行穩(wěn)致遠(yuǎn)。然而，我在作為專家顧問參與政府部門主導(dǎo)的企業(yè)合規(guī)體系建設(shè)指引項(xiàng)目，為包括世界500強(qiáng)企業(yè)在內(nèi)的多家上市和擬上市企業(yè)提供搭建合規(guī)體系、合規(guī)案件調(diào)查、合規(guī)常年法律顧問服務(wù)、合規(guī)培訓(xùn)與咨詢、合規(guī)戰(zhàn)略與法律支持等各類合規(guī)法律服務(wù)過程中了解到，雖然企業(yè)認(rèn)識(shí)到搭建合規(guī)體系的重要性，但企業(yè)在面對國內(nèi)外層出不窮的合規(guī)標(biāo)準(zhǔn)、指引時(shí)，加上部分企業(yè)和高管的合規(guī)意識(shí)不足、合規(guī)人才匱乏、資金不夠，往往找不到方向和抓手，不知從何做起，也不知如何搭建出適配企業(yè)實(shí)際情況并符合國際水準(zhǔn)的合規(guī)管理體系。

為幫助企業(yè)解決這一難題，以ISO為代表的多邊組織積極推進(jìn)合規(guī)管理體系認(rèn)證標(biāo)準(zhǔn)落地，推出ISO 37301：2021《合規(guī)管理體系 要求及使用指南》，擬在全球范圍開展企業(yè)合規(guī)管理體系認(rèn)證。ISO 37301采用Plan（計(jì)劃）-Do（實(shí)施）-Check（檢查）-Act（改進(jìn)）（“PDCA”）理念，完整覆蓋了合規(guī)管理體系建立、運(yùn)行、保持和改進(jìn)的全流程，基于合規(guī)治理原則，為企業(yè)建立并運(yùn)行合規(guī)管理體系、傳播積極的合規(guī)文化提供了整套解決方案。同時(shí)，ISO 37301的國際可認(rèn)證性，在企業(yè)合規(guī)治理、傳遞商業(yè)信任、向監(jiān)管機(jī)構(gòu)證明存在合規(guī)管理體系、作為企業(yè)向司法機(jī)關(guān)提供關(guān)于違規(guī)量刑的正面證據(jù)、爭取合規(guī)不起訴等方面提供了重要支持。

為助力企業(yè)開展符合國際標(biāo)準(zhǔn)的合規(guī)管理體系建設(shè)，本文將對ISO 37301認(rèn)證、企業(yè)獲得ISO 37301認(rèn)證的好處以及企業(yè)如何通過搭建有效的合規(guī)體系來獲得ISO 37301認(rèn)證等方面展開介紹。

 小編轉(zhuǎn)：ISO9001質(zhì)量管理體系認(rèn)證、ISO14001環(huán)境管理體系認(rèn)證、ISO45001職業(yè)健康安全管理體系認(rèn)證、ISO50001能源管理體系認(rèn)證、ISO50001能源管理體系認(rèn)證、HACCP認(rèn)證、ISO22000食品安全管理體系認(rèn)證、ISO22000食品安全管理體系認(rèn)證、ISO27000信息安全管理體系認(rèn)證、信息安全管理體系認(rèn)證、 ISO20000信息技術(shù)服務(wù)管理體系認(rèn)證、信息技術(shù)服務(wù)管理體系認(rèn)證、企業(yè)誠信管理體系認(rèn)證、服務(wù)認(rèn)證、家具綠色產(chǎn)品認(rèn)證。

ISO 37301認(rèn)證簡介

ISO 37301: 2021全稱《合規(guī)管理體系 要求及使用指南》，是由ISO/TC309技術(shù)委員會(huì)編制，由ISO組織在2021年4月發(fā)布和實(shí)施，適用于全球任何類型、規(guī)模、性質(zhì)和行業(yè)的組織。
作為A類管理體系標(biāo)準(zhǔn)，ISO 37301：2021《合規(guī)管理體系 要求及使用指南》標(biāo)準(zhǔn)發(fā)布后，替代了ISO 19600: 2014《合規(guī)管理體系 指南》（對應(yīng)的中國標(biāo)準(zhǔn)為GB/T 35770: 2017）。兩項(xiàng) ISO 標(biāo)準(zhǔn)均基于相同的架構(gòu)、以風(fēng)險(xiǎn)導(dǎo)向?yàn)榛A(chǔ)的方法，并注重整體的合規(guī)管理系統(tǒng)，但是，只有 ISO 37301 可以用作第三方認(rèn)證的準(zhǔn)則。ISO 37301規(guī)定了組織建立、運(yùn)行、保持和改進(jìn)合規(guī)管理體系的要求，并提供了使用指南，為各類組織提高自身的合規(guī)管理能力提供系統(tǒng)化方法。它采用的PDCA理念完整覆蓋了合規(guī)管理體系建立、運(yùn)行、保持和改進(jìn)的全流程，基于合規(guī)治理原則，為組織建立并運(yùn)行合規(guī)管理體系、傳播積極的合規(guī)文化提供了整套解決方案。ISO 37301在ISO 19600的基礎(chǔ)上進(jìn)行了修訂，增加了一些要求（如針對雇傭的具體要求、針對合規(guī)舉報(bào)和調(diào)查的要求等）。如果企業(yè)已經(jīng)按照ISO 19600：2014《合規(guī)管理體系 指南》搭建合規(guī)體系，還需要進(jìn)一步對照ISO 37301：2021《合規(guī)管理體系 要求及使用指南》的要求進(jìn)一步完善合規(guī)體系，方可滿足認(rèn)證要求。
ISO 37301的制定對于各類組織的合規(guī)管理能力建設(shè)、政府監(jiān)管活動(dòng)、國際貿(mào)易交流、溝通合作改善等具有重要的意義。其為企業(yè)治理者提高組織自身的合規(guī)管理能力提供系統(tǒng)化方法，為監(jiān)管機(jī)構(gòu)和司法機(jī)關(guān)采信企業(yè)組織的合規(guī)管理體系實(shí)踐提供參考依據(jù)，為便利全球范圍內(nèi)相關(guān)方之間的貿(mào)易、交流和合作提供通用規(guī)則。

企業(yè)獲得ISO 37301認(rèn)證的好處

英國標(biāo)準(zhǔn)協(xié)會(huì)（British Standards Institution, BSI）將“ISO 37301合規(guī)管理體系”形容為一把大傘的傘面，其本質(zhì)是幫助企業(yè)遮風(fēng)避雨防范風(fēng)險(xiǎn)，降低違規(guī)帶來的成本和聲譽(yù)損失。而真實(shí)的風(fēng)險(xiǎn)是存在于企業(yè)完整生態(tài)體的各個(gè)方面，例如質(zhì)量管理（對應(yīng)ISO 9001標(biāo)準(zhǔn)）、環(huán)境管理（對應(yīng)ISO 14001標(biāo)準(zhǔn)）、健康安全管理（對應(yīng)ISO 45001標(biāo)準(zhǔn)）、反商業(yè)賄賂（對應(yīng)ISO 37001標(biāo)準(zhǔn)）、信息安全管理（對應(yīng)ISO/IEC 27001標(biāo)準(zhǔn)）、隱私信息管理（對應(yīng)ISO/IEC 27701標(biāo)準(zhǔn)）等，這些都是支撐企業(yè)運(yùn)營的傘骨，傘骨要強(qiáng)韌而牢固，傘面才能應(yīng)對更大的未來瞬息萬變的生態(tài)環(huán)境，它們構(gòu)成支撐和融合的關(guān)系（如下圖所示）。
對于企業(yè)而言，獲得ISO 37301認(rèn)證有以下好處：

01

作為企業(yè)和相關(guān)高管設(shè)計(jì)和運(yùn)行合規(guī)管理的工具

采用PDCA理念的ISO 37301完整覆蓋了合規(guī)管理體系建設(shè)、運(yùn)行、維護(hù)和改進(jìn)的全流程，其在合規(guī)管理體系設(shè)計(jì)和運(yùn)行上，為企業(yè)提供了高度的靈活性，能夠滿足不同規(guī)模、類型、性質(zhì)、行業(yè)的企業(yè)基于自身合規(guī)需求搭建合規(guī)管理體系。同時(shí)，如前文所述，ISO 37301與ISO其他組織管理標(biāo)準(zhǔn)之間是支撐和融合的關(guān)系，如果企業(yè)已建立起反商業(yè)賄賂、信息安全管理、質(zhì)量管理、環(huán)境管理等體系并取得相應(yīng)的ISO認(rèn)證，則企業(yè)以ISO 37301為標(biāo)準(zhǔn)搭建合規(guī)管理體系時(shí)，可以實(shí)現(xiàn)更高效率、更低成本地融貫企業(yè)既有的專項(xiàng)管理體系，保持企業(yè)合規(guī)管理體系的系統(tǒng)性和協(xié)調(diào)性。

02

傳遞商業(yè)信任

在海內(nèi)外復(fù)雜嚴(yán)苛的合規(guī)監(jiān)管環(huán)境背景下，ISO 37301作為企業(yè)獲得第三方認(rèn)證的依據(jù)，能夠展示企業(yè)符合國際標(biāo)準(zhǔn)的合規(guī)管理能力，較高程度滿足商業(yè)伙伴的合規(guī)管理要求，幫助企業(yè)在客戶合作、多邊合作、政府合作中傳遞商業(yè)信任。

03

作為企業(yè)向監(jiān)管機(jī)構(gòu)證明存在合規(guī)管理體系

獲得ISO 37301認(rèn)證的企業(yè)，在應(yīng)對監(jiān)管機(jī)構(gòu)的檢查時(shí)，一方面，能夠?qū)⒒贗SO 37301確立的合規(guī)管理理念用于行政監(jiān)管活動(dòng)的反饋；另一方面，能夠通過對企業(yè)合規(guī)管理體系運(yùn)行情況的評價(jià)結(jié)果來匹配相應(yīng)的監(jiān)管手段與措施，實(shí)現(xiàn)精準(zhǔn)應(yīng)對監(jiān)管。

04

作為企業(yè)向司法機(jī)關(guān)提供關(guān)于違規(guī)量刑的正面證據(jù)

《2019-2020企業(yè)家刑事風(fēng)險(xiǎn)分析報(bào)告》顯示，在2019年12月1日至2020年11月30日公開的刑事判決案例中，共檢索出企業(yè)家犯罪案例2635件，企業(yè)家犯罪3278次。在3278次企業(yè)家犯罪中，共涉及犯罪企業(yè)家3095人。其中，國有企業(yè)家犯罪數(shù)為234次，約占企業(yè)家犯罪總數(shù)的7.14%；民營企業(yè)家犯罪數(shù)為3011次，約占企業(yè)家犯罪總數(shù)的91.85%；外商及港澳臺(tái)企業(yè)家犯罪數(shù)為20次，約占企業(yè)家犯罪總數(shù)的0.61%。[1]企業(yè)家犯罪往往同時(shí)暴露出企業(yè)合規(guī)管理問題，牽涉單位犯罪，嚴(yán)重的甚至危及企業(yè)存亡。
自2020年3月至今，最高人民檢察院（下稱“最高檢”）持續(xù)推動(dòng)我國的企業(yè)合規(guī)改革試點(diǎn)工作。兩年時(shí)間內(nèi)，最高檢先后開展了兩期企業(yè)合規(guī)改革試點(diǎn)工作，與九部門聯(lián)合發(fā)布了《<關(guān)于建立涉案企業(yè)合規(guī)第三方監(jiān)督評估機(jī)制的指導(dǎo)意見（試行）>實(shí)施細(xì)則》和《涉案企業(yè)合規(guī)第三方監(jiān)督評估機(jī)制專業(yè)人員選任管理辦法（試行）》（2021年11月22日），并先后于2021年6月3日和2021年12月8日，發(fā)布兩批共10件企業(yè)合規(guī)典型案例，積極推進(jìn)企業(yè)合規(guī)改革試點(diǎn)工作。
對于涉嫌刑事犯罪的企業(yè)而言，獲得不起訴的處理具有相當(dāng)?shù)姆e極作用。一方面，獲得不起訴的處理意味著該企業(yè)不必因其違法犯罪行為而被迫終止運(yùn)營或破產(chǎn)，同時(shí)企業(yè)雇員也免于遭受失業(yè)風(fēng)險(xiǎn)；更為重要的是，合規(guī)不起訴制度為企業(yè)運(yùn)營創(chuàng)造了一定的激勵(lì)制度，促進(jìn)企業(yè)合規(guī)體系的建立與落實(shí)，為企業(yè)后續(xù)的合規(guī)經(jīng)營打下堅(jiān)實(shí)基礎(chǔ)。
ISO 37301認(rèn)證可以幫助涉嫌刑事犯罪的企業(yè)向司法機(jī)關(guān)展示企業(yè)具備良好的合規(guī)管理體系，以及持續(xù)改進(jìn)企業(yè)合規(guī)管理的誠意。該認(rèn)證既能作為司法機(jī)關(guān)對涉嫌刑事犯罪的企業(yè)量刑的考量依據(jù)，也能作為落實(shí)依法不捕不訴不提出判實(shí)刑建議等司法意見、制定合規(guī)指引、督促企業(yè)合規(guī)整改和第三方監(jiān)管驗(yàn)收的正面依據(jù)。

綜上，企業(yè)取得ISO 37301認(rèn)證，對董事會(huì)和員工是證明運(yùn)營風(fēng)險(xiǎn)管理的合格證，對監(jiān)管部門和投資方是企業(yè)的信用證，對顧客和國際供應(yīng)鏈?zhǔn)峭ㄐ凶C。例如，今年年初，美的集團(tuán)便獲得全國首張ISO 37301：2021合規(guī)管理體系國際標(biāo)準(zhǔn)證書，美的集團(tuán)全球法務(wù)總監(jiān)陳敏認(rèn)為：“標(biāo)準(zhǔn)化的合規(guī)實(shí)踐有如一張全球有效的簽證，有利于消減準(zhǔn)入障礙與疑慮。經(jīng)過專家層面的技術(shù)共識(shí)、利益相關(guān)方的協(xié)商一致，得到各界認(rèn)同的合規(guī)管理ISO標(biāo)準(zhǔn)，讓企業(yè)的合規(guī)管理體系更容易被相關(guān)方接受和認(rèn)同。”

企業(yè)如何搭建合規(guī)體系以獲得ISO 37301 認(rèn)證

我們了解到，權(quán)威的第三方認(rèn)證機(jī)構(gòu)在對企業(yè)進(jìn)行ISO 37301認(rèn)證時(shí)，并非機(jī)械地對企業(yè)合規(guī)管理模塊、流程進(jìn)行單點(diǎn)打分，而是基于ISO 37301的要求，依照 ISO19011《管理體系審核指南》以及機(jī)構(gòu)的認(rèn)證管理規(guī)則，以一種系統(tǒng)性的過程評審方式進(jìn)行。這對企業(yè)的啟發(fā)是：要獲得ISO 37301認(rèn)證，企業(yè)需要通過有效的方法論，并結(jié)合企業(yè)實(shí)際情況，實(shí)施ISO 37301，以銜接ISO 37301的標(biāo)準(zhǔn)要求與企業(yè)的合規(guī)體系（如下圖所示），實(shí)現(xiàn)企業(yè)合規(guī)體系與ISO 37301適配。接下來，我將結(jié)合我在世界500強(qiáng)跨國企業(yè)擔(dān)任法律合規(guī)負(fù)責(zé)人期間的合規(guī)實(shí)操經(jīng)驗(yàn)，分享企業(yè)應(yīng)如何搭建出符合ISO 37301國際水準(zhǔn)的合規(guī)管理體系。

一

合規(guī)體系搭建的方法論

企業(yè)合規(guī)經(jīng)營的關(guān)鍵支柱在于合規(guī)體系之搭建。要使合規(guī)管理形成企業(yè)經(jīng)營的“防火墻”，保護(hù)企業(yè)免受因合規(guī)風(fēng)險(xiǎn)所帶來的嚴(yán)重影響或重大損失，企業(yè)應(yīng)當(dāng)根據(jù)其行業(yè)特點(diǎn)和經(jīng)營管理模式搭建針對性的合規(guī)體系。而一個(gè)行之有效的合規(guī)體系搭建，離不開合理的制度和程序、高層參與、風(fēng)險(xiǎn)評估、盡職調(diào)查、培訓(xùn)和溝通、監(jiān)督和審核六大組成部分，這六大組成部分也是ISO 37301合規(guī)管理體系基本要素的要求。具體而言：

01

合理的制度和程序

企業(yè)應(yīng)制定合理的制度和程序，其作為企業(yè)合規(guī)體系的核心，是企業(yè)所有員工履行職責(zé)的基本要求。主要分為以下四方面：（1）企業(yè)行為準(zhǔn)則，這是企業(yè)經(jīng)營管理和文化建設(shè)的綱領(lǐng)性文件，包括企業(yè)愿景、使命、核心價(jià)值觀、合規(guī)方針、社會(huì)責(zé)任等方面；（2）企業(yè)合規(guī)管理制度，這是企業(yè)合規(guī)部門進(jìn)行合規(guī)管理的程序性規(guī)章制度，包括合規(guī)組織制度、合規(guī)風(fēng)險(xiǎn)管理流程、合規(guī)審查流程、違規(guī)舉報(bào)、調(diào)查與處置流程、合規(guī)報(bào)告程序等方面；（3）職能部門管理規(guī)章，企業(yè)不同的職能部門涉及到不同的合規(guī)規(guī)范的執(zhí)行與遵守，例如，管理、財(cái)務(wù)、人事行政、法務(wù)、內(nèi)控等部門均有相對應(yīng)的合規(guī)規(guī)范；（4）業(yè)務(wù)合規(guī)流程，企業(yè)各業(yè)務(wù)領(lǐng)域涉及不同的合規(guī)規(guī)范，例如傳統(tǒng)的業(yè)務(wù)合規(guī)流程、網(wǎng)絡(luò)安全合規(guī)流程、產(chǎn)品合規(guī)流程、跨境電商領(lǐng)域合規(guī)等，具備較強(qiáng)的專業(yè)性，往往需要企業(yè)合規(guī)部門與業(yè)務(wù)部門合作制定和修改相關(guān)的業(yè)務(wù)合規(guī)流程。

02

高層參與

企業(yè)合規(guī)運(yùn)作應(yīng)有高層的參與，形成較為成熟的合規(guī)組織體系。高層參與能夠使企業(yè)形成上下連貫的合規(guī)組織結(jié)構(gòu)，如公司自上而下設(shè)立合規(guī)委員會(huì)、分支機(jī)構(gòu)和職能部門中的合規(guī)部門，合規(guī)部門直接向公司合規(guī)委員會(huì)和首席合規(guī)官匯報(bào)。這樣能夠確保企業(yè)管理層及時(shí)識(shí)別合規(guī)風(fēng)險(xiǎn)并采取應(yīng)對措施。

03

風(fēng)險(xiǎn)評估

定期或不定期地對企業(yè)活動(dòng)中存在的合規(guī)風(fēng)險(xiǎn)進(jìn)行識(shí)別與評估。例如，在投融資或收購項(xiàng)目中，企業(yè)需要對該項(xiàng)目進(jìn)行合規(guī)風(fēng)險(xiǎn)評估，評估結(jié)果作為決策參考，降低企業(yè)風(fēng)險(xiǎn)。

04

盡職調(diào)查

合規(guī)部門針對已存在的合規(guī)風(fēng)險(xiǎn)進(jìn)行調(diào)查和研究，形成合規(guī)風(fēng)險(xiǎn)報(bào)告，并研究制定和實(shí)施降低風(fēng)險(xiǎn)的措施。

05

培訓(xùn)與溝通

企業(yè)需要定期組織培訓(xùn)和溝通，一方面能夠確保員工了解最新的法律法規(guī)、監(jiān)管規(guī)定、企業(yè)內(nèi)部規(guī)章制度等方面內(nèi)容；另一方面也能夠保證企業(yè)高層管理者與其它層級員工維持一種穩(wěn)定的溝通，使企業(yè)高層管理者的合規(guī)理念與態(tài)度能夠順暢傳達(dá)至企業(yè)各層級員工，形成合規(guī)文化。

06

監(jiān)督與審核

企業(yè)應(yīng)建立合規(guī)監(jiān)控體系，包括監(jiān)督與審核。監(jiān)督是指企業(yè)的高層管理者或員工在進(jìn)行業(yè)務(wù)活動(dòng)時(shí)，都應(yīng)在其職責(zé)范圍內(nèi)進(jìn)行可持續(xù)的管理與監(jiān)督，檢查每一項(xiàng)業(yè)務(wù)活動(dòng)是否存在違規(guī)行為。審核是企業(yè)對合規(guī)管理體系運(yùn)行情況的評審，企業(yè)通過審核及時(shí)發(fā)現(xiàn)問題并加以整改，有助于持續(xù)提升合規(guī)管理能力，確保企業(yè)的合規(guī)體系在全球各地得到了良好的貫徹執(zhí)行。

二

實(shí)操示例：數(shù)據(jù)合規(guī)體系的搭建與落地

在了解企業(yè)合規(guī)體系搭建方法論的基礎(chǔ)上，我們以數(shù)據(jù)合規(guī)為例，結(jié)合數(shù)據(jù)合規(guī)應(yīng)用場景，分享企業(yè)數(shù)據(jù)合規(guī)體系搭建和落地的方法論。

01

搭建數(shù)據(jù)合規(guī)體系

企業(yè)的數(shù)據(jù)合規(guī)體系搭建步驟大致可分為以下三個(gè)階段：
第一階段，數(shù)據(jù)核查。從信息安全角度進(jìn)行數(shù)據(jù)核查的常規(guī)做法是使用軟件來“感知”一個(gè)系統(tǒng)內(nèi)的數(shù)據(jù)種類，并給予這些數(shù)據(jù)的敏感程度對該系統(tǒng)提出整體的安全方案。例如，有些比較關(guān)注數(shù)據(jù)合規(guī)的企業(yè)會(huì)通過SERVICE NOW、ONE TRUST、HIPEROS等數(shù)據(jù)合規(guī)工具，在跨境數(shù)據(jù)傳輸、合同審查、產(chǎn)品服務(wù)、隱私監(jiān)管審查、盡職調(diào)查等方面輔助數(shù)據(jù)核查。數(shù)據(jù)核查不僅能夠了解企業(yè)個(gè)人信息的收集和處理的現(xiàn)狀，同時(shí)也是企業(yè)了解現(xiàn)狀、識(shí)別風(fēng)險(xiǎn)和建立數(shù)據(jù)合規(guī)體系的重要基礎(chǔ)。
第二階段，進(jìn)行風(fēng)險(xiǎn)識(shí)別和制定合規(guī)方案。企業(yè)可結(jié)合網(wǎng)絡(luò)安全和數(shù)據(jù)保護(hù)法律法規(guī)規(guī)定的合規(guī)義務(wù)進(jìn)行差距分析和風(fēng)險(xiǎn)識(shí)別，系統(tǒng)梳理和評估企業(yè)面臨的數(shù)據(jù)風(fēng)險(xiǎn)和競爭風(fēng)險(xiǎn)，提前分析預(yù)判可能導(dǎo)致的數(shù)據(jù)合規(guī)風(fēng)險(xiǎn)。例如，如果一家擬上市企業(yè)要選擇香港上市或國外上市，則該企業(yè)需充分考慮是否需要進(jìn)行網(wǎng)絡(luò)安全審查，如需配合國外監(jiān)管機(jī)構(gòu)的信息披露要求，應(yīng)當(dāng)及時(shí)與國內(nèi)監(jiān)管保持溝通并按照程序獲得批準(zhǔn)，優(yōu)先遵循國內(nèi)法律法規(guī)要求，并就企業(yè)的IT系統(tǒng)、用戶界面、用戶注冊流程以及在個(gè)人信息收集、使用以及保護(hù)的透明度等方面，進(jìn)行整體合規(guī)方案規(guī)劃。
第三階段，數(shù)據(jù)合規(guī)規(guī)則建立和落地。企業(yè)可結(jié)合實(shí)際情況建立數(shù)據(jù)合規(guī)規(guī)則，完善相關(guān)的制度和流程。開展員工意識(shí)培訓(xùn)，使員工認(rèn)識(shí)、了解數(shù)據(jù)合規(guī)要求以及如何在業(yè)務(wù)流程中落實(shí)制度要求。在數(shù)據(jù)保護(hù)合規(guī)制度搭建起來后，企業(yè)需要持續(xù)追蹤數(shù)據(jù)保護(hù)合規(guī)制度實(shí)施情況，改善企業(yè)數(shù)據(jù)合規(guī)機(jī)制，確保企業(yè)的數(shù)據(jù)合規(guī)制度能夠持續(xù)符合監(jiān)管要求。

02

單項(xiàng)產(chǎn)品數(shù)據(jù)合規(guī)體系落地

企業(yè)搭建起來的數(shù)據(jù)合規(guī)體系如何落實(shí)到具體的業(yè)務(wù)流程中，以確保涉及數(shù)據(jù)的業(yè)務(wù)經(jīng)營符合監(jiān)管要求？在此，我們以單項(xiàng)產(chǎn)品上線流程為例，簡要描述一個(gè)數(shù)據(jù)合規(guī)體系的落地過程。
（1）在產(chǎn)品醞釀階段，企業(yè)可以邀請隱私保護(hù)專家列席產(chǎn)品開發(fā)的研討，專家提供個(gè)人信息保護(hù)的合規(guī)建議，提示合規(guī)風(fēng)險(xiǎn)與解決方案，此過程應(yīng)通過會(huì)議記錄或郵件的形式留痕。
（2）在初步產(chǎn)品設(shè)計(jì)階段，產(chǎn)品設(shè)計(jì)團(tuán)隊(duì)針對使用的數(shù)據(jù)種類建立控制以及架構(gòu)來處理第一稿的產(chǎn)品設(shè)計(jì)，第一稿的產(chǎn)品設(shè)計(jì)需體現(xiàn)上一階段提出的隱私及個(gè)人信息保護(hù)風(fēng)險(xiǎn)的解決方案。
（3）產(chǎn)品設(shè)計(jì)團(tuán)隊(duì)將完成后的產(chǎn)品設(shè)計(jì)進(jìn)行個(gè)人信息安全影響評估（Data Protection Impact Assessment, DPIA）。滴滴出行受審查一事，除了網(wǎng)絡(luò)安全審查和其他的法律問題，也強(qiáng)有力地證明了企業(yè)對于與數(shù)據(jù)相關(guān)的產(chǎn)品進(jìn)行個(gè)人信息安全評估的必要性和重要性。例如，有些比較關(guān)注數(shù)據(jù)合規(guī)的企業(yè)，其與數(shù)據(jù)相關(guān)的新產(chǎn)品和新服務(wù)，從研發(fā)到上線，都需要數(shù)據(jù)安全和個(gè)人隱私專家提前介入，從法律、商業(yè)、技術(shù)三個(gè)維度對個(gè)人信息安全進(jìn)行綜合評估，并形成個(gè)人信息安全影響評估報(bào)告，防范數(shù)據(jù)安全風(fēng)險(xiǎn)，防止企業(yè)日后因數(shù)據(jù)安全不合規(guī)而遭受重大損失，影響企業(yè)發(fā)展。
（4）最終產(chǎn)品能夠?qū)ο惹安槌龅碾[私和個(gè)人信息保護(hù)風(fēng)險(xiǎn)進(jìn)行處理，以及明確相應(yīng)的技術(shù)手段和控制，通過最終產(chǎn)品展示會(huì)議（包含法務(wù)、風(fēng)控、合規(guī)、安全等部門）以及論證加以證明。
總而言之，ISO 37301的國際可認(rèn)證性，在企業(yè)合規(guī)治理、傳遞商業(yè)信任、向監(jiān)管機(jī)構(gòu)證明存在合規(guī)管理體系、作為企業(yè)向司法機(jī)關(guān)提供關(guān)于違規(guī)量刑的正面證據(jù)、爭取合規(guī)不起訴等方面提供了重要支持。無論企業(yè)要不要取得ISO 37301的認(rèn)證，ISO 37301的標(biāo)準(zhǔn)提供一個(gè)搭建合規(guī)體系的方法論和架構(gòu)，加上有實(shí)操經(jīng)驗(yàn)的專家的指導(dǎo)和協(xié)助，企業(yè)可以有效搭建出適配企業(yè)實(shí)際情況并符合國際水準(zhǔn)的合規(guī)管理體系，賦能企業(yè)業(yè)務(wù)增長，為企業(yè)國內(nèi)外運(yùn)營保駕護(hù)航，保護(hù)企業(yè)和相關(guān)高管，幫助企業(yè)基業(yè)長青。

[1] 《深圳市國資委2021年法治政府建設(shè)年度報(bào)告》，2021年12月21日。

[2] 《2019-2020企業(yè)家刑事風(fēng)險(xiǎn)分析報(bào)告》發(fā)布。

[3] 施俊侃：《合規(guī)不起訴制度初探》，2021年6月15日。

[4]《重磅新聞｜美的集團(tuán)榮獲首張 ISO37301:2021合規(guī)管理國際標(biāo)準(zhǔn)證書》，2022年1月13日。

[5] 施俊侃：《上市公司與擬上市公司合規(guī)指引》，2021年6月22日。

[6] 施俊侃：《強(qiáng)化數(shù)據(jù)治理背景下企業(yè)的數(shù)據(jù)合規(guī)體系建設(shè)》，2021年7月20日。

[7]同上注。