对 ISO37302 : 2025 中 23 个二级评价指标的实务评价（1）
发布时间：2025-08-19
作者： 陶光辉
2025年7月18日，国际标准化组织发布ISO 37302:2025《合规管理体系 有效性评价指南》与ISO 37303:2025《合规管理体系 能力管理指南》两项合规管理新标准。
其中，ISO 37302:2025 所设计的合规体系有效性评价指标框架，分为3个一级，23个二级评价指标。
一级评价指标包括：
合规管理体系的策划与建立（包含9个二级指标）
已策划的合规管理体系的实施（包含9个二级指标）
合规管理体系绩效评价和改进（包含5个二级指标）
以下根据企业合规体系评价实务，对于ISO37302:2025中一级指标的具体组成——即二级评价指标进行逐一点评。
指标1. 组织环境分析，包括相关方的需求
对于该评价指标，实务中通过企业合规管理的产业环境、风险状况、监管严厉程度以及内部合规氛围，来自利益相关者的驱动等综合判断。
分析组织环境和相关方需求，本质上是在寻找企业内的合规驱动力。即企业进行合规建设的动力和压力有多大？
如果企业所在行业是强监管行业（如金融业）；如果企业过往发生风险事件（如被处罚）；如果企业的产品属于高科技或拥有战略地位的资源（如面临出口管制等），那么这个企业应当是处于更紧迫、驱动力更大的合规环境之中。
组织环境，如同组织文化，是某一次合规管理活动的起点，同时又是上一轮合规管理活动的结果。
这个指标其实是不容易评价的。其评价方法更多的是借助于访谈和行业分析，夹杂着评价者的主观判断，且评价结果不容易量化。
在实践中，很多评价者往往最后还忘了将这个指标的评价结果与合规管理体系的有效性关联起来。
这是因为，各企业有各自的环境，很难就其产生的影响进行对比。这个问题，也反映在合规体系建设环节。一般说，企业在合规体系建设时也要围绕组织环境分析等展开，但真正设计和执行合规管理活动时，却完全不将其与不同的合规环境关联起来。最后，大家执行的都是差不多的合规管理活动，与环境其实没有多少关联的。
同理，这造成评价时，“组织环境分析”这个指标往往是比较表面的。即是说，它是一个操作性不强的指标。
指标2. 识别和更新合规义务
ISO 37301、ISO 37302将合规义务分为强制性合规义务、自愿性合规义务。
首先这个分法，就与实践操作有很大的不一致。企业事实上是较少关注所谓自愿性合规义务的。绝大多数企业，关注的当然是那些会可能带来实际负面后果的合规义务——强制性合规义务，即便是在社会责任、企业文化建设等职能领域。
对于合规义务的识别与更新，是企业合规体系建设的一个重要前提。这也是合规风险管理区别于内部控制管理、风险管理的一个重要的点。
“合”，是建立在“规”之基础上的。“规”如果不识别清楚，“合”的动作则会丧失边界。
但作为一个组织来说，识别其合规义务的要点并不是去“识别”，而是要“精准地识别”。
因为任何组织或企业所面临的合规义务是非常广泛的，作为管理，都是需要成本的，也是希望产生管理效果的。所以，合规义务的识别，是要判断其精准性、适配性。
从ISO 37302对于该评价指标的评价细则来看，在其最高级别，即5级，给出了“这些（指合规义务）与组织的活动、产品、服务及其运行的相关方面有关”的描述，应当也是想说明合规义务的识别应当精准、适配。
指标3. 确定合规管理体系范围并评估合规风险
这个指标，看上去有点让人困惑。如仅仅说“评估合规风险”，那是非常清楚的，但是，加了一个“确定合规管理体系范围”，且和评估合规风险放在一起，就让人困惑了。
这虽然是整个ISO管理体系表达的一般手法，但个人认为，这个“合并”是不严谨的，逻辑上有一定的混乱，容易产生误解。它其实是想说，根据本次合规管理建设的需要，划定一个合规管理的领域，如是出口管制合规管理，还是反商业贿赂合规管理，或者知识产权合规管理，然后根据这个领域，进行针对性的合规风险评估。
要知道，目前央国企的合规管理体系建设都是“大合规”建设，即包括所有业务流程，所有部门和所有管理环节的，这个范围是不需要先“确定”的。
即便是在专项合规建设中，也不需要特别说明确定一个“合规管理体系范围”，而是进行相应专项事务内的合规风险评估即可。
合规风险评估（合规风险识别、分析与评价），是合规管理体系建设的一大重点。
从工作量和工作难度上来看，合规风险库（合规风险清单）建设也是合规管理体系建设中“量最大”和“运用最难”的一项内容。
合规风险，其实是要结合企业的业务流程和管理现状，在合规义务的基础上“做减法”。
所谓“做减法”，事实上是一个经验判断和经验筛选的过程，它将虽有合规义务，但根据企业真实情况极少发生或即便发生也仅有极轻微后果的风险去除。这是实践中合规管理体系建设的务实操作，也是解决“工作量”和“运用”问题的有效方法。
对合规风险的评估，也是要求“精准”且“易用”，并非仅列一个大的清单。遗憾的是，ISO 37301和ISO 37302对于“合规风险评估工作”自身如何进行，是没有规定或给出借鉴，仅强调了应进行合规风险评估，把一次良好的合规风险评估作为一个前提。这恰恰是实践中做不到，做不好的。
指标4. 治理机构和最高管理者的领导作用和承诺
合规管理体系建设效果的好坏，先要看领导重不重视。这是很多企业内人士常说的一句话。
的确，合规管理是一件需要投入资源，对业务产生约束的事。没有领导的正确推动，合规管理体系建设效果是没有保障的。
实践中，如何判断治理机构和最高管理者在合规管理体系建设中发挥了领导作用，给出了良好承诺呢？
解决这个问题，是这个评价指标应包含的内容。ISO 37302给出了“批准合规方针、沟通合规的重要性、支持管理者和人员对合规文化做出贡献”这三个具体判断标准。
但个人认为，仅仅是这三个具体行为，是不够的，甚至是不准确的。实践中，体现管理层和董事长对合规管理的支持，往往是通过管理层和董事长在日常工作会议中频繁提及合规，在年度工作报告中专门讲述合规，对于合规审查意见进行点评，对于合规部门将合规纳入考核进行支持等更加务实的做法来推动合规体系建设的。
未完待续。
—— 为法务人赋能，助企业家化险
