对 ISO37302 : 2025 中 23 个二级评价指标的实务评价（3）
发布时间：2025-08-28
作者： 陶光辉
接上文：
陶光辉：对 ISO37302 : 2025 中 23 个二级评价指标的实务评价（2）
陶光辉：对 ISO37302 : 2025 中 23 个二级评价指标的实务评价（1）
指标9. 应对风险和机会以及所需资源的行动策划
应对风险和机会的行动策划，其实就是指风险管理的方案设计。所需资源是指与建设实施方案配套的资源。
这个评价指标基本上是参考ISO 31000关于风险管理体系的指标设计。之所以这样说，是因为这里将“机会”与“风险”统筹考量。这正是风险管理中对风险的定义——风险是中性的，既是一种威胁，也是一种机会。
但是，合规风险，很难说是一种机会。合规风险，是组织不应该以“风险承受”策略去应对的风险，即所有的合规风险，原则上都应规避、降低、控制，而非“接受”。
“接受合规风险”意味着可以容忍不合规的情况，以不合规换取对一些业务的选择性支持。在这“违规零容忍”的合规文化里是不应存在的现象。
策划，是PDCA循环的起点。 验证是否做了比较完整的策划，最好的办法就是看是否制定了相关的工作方案，各部门是否对此工作方案进行了细化并纳入到该部门和岗位的工作计划中。
因此，相关的文件化信息的建立与更新、维护就比较重要。
指标10. 应对风险和机会的实施行动
从第10个指标开始，进入第二类指标。
本指标，在实践中是最为重要的，但因为其“文件化”程度不高，因此，在评价中反而不好体现。
这个指标就是评价PDCA中的“D”之效果。评价“实施”一般看三方面。一是与设计的符合性。是否与P一致。二是看实施的实际效果，即从后果角度进行评价。三是看实施的适应性，如外界变化了，是否适应了外部环境的变化。
尽管文件化信息的程度不高，但仍有一些文件可体现这个指标的有效程度。
例如，合规审查和合规检查这类工作的记录。有一些“行动”是在沟通中完成的，有一些“行动”留下了痕迹，包括合规审查记录、合规检查记录。
但对于类似于“合规风险识别清单”这种文件，事实上除了这个清单本身以外，很少有能反映其“行动”的内容。对合规风险的真正判断，是发生在合规审查或合规检查等工作中，而不是在合规风险识别清单之中。
因此，评价“应对风险的实施行动”，要注意与实践的体现形式结合起来。
指标11. 资源配置
这个指标看上去很“普通”，但对于合规有效性评价来说，也是一个非常重要的指标。关键在于如何理解资源。
“资源”是广泛的，不仅是人力、物力等有形的资源，更包括像信息、管理资源、信息技术以及信息沟通渠道等无形的资源。可能管理资源、信息系统等的投入与使用，能对合规体现有效性产生根本性影响。
对于“资源配置”这个指标，评价难度在于如何把握资源投入的合理性。资源当然是越多越好，如设置专门的合规官，各部门配置专门的合规联络员，甚至合规BP，这是专业人力资源的投入。
但现实是任何企业的总体管理资源都是非常有限的。在当前人少事多的大环境下，更是如此。企业应重视投入合规管理资源的投入，但也要密切关注这个资源的投入产出比。
指标12. 能力、能力建设和提高意识
这个指标，与指标11非常类似，很普通，但很重要。
能力，是任何管理体系发挥效果的根本。很多时候，合规管理体系未取得效果，本质是因为能力的问题，而不是大多数人所认为的是环境问题或领导问题。
对合规管理的专业掌握不够，认识不深是很多纸面合规或无效合规的主要原因。
为提高相关人员的合规管理专业能力，ISO 专门制定ISO 37303:2025《合规管理体系 能力管理指南》，帮助组织建立、评价和优化合规管理体系，以及增强监管机构信任等。
能力，是有效合规建设的前提，也是合规管理提升的结果。对能力本身的高低判断，有一些工具可借助。如专业资质、专业合规培训证书，合规审查意见水平等。
能力建设和提高意识，是一个过程指标，只能通过工作的持续、稳定开展以及间接的反馈来体现。
“能力”的文件化信息既是有形的，也是无形的。有形的，如前述各类证书，无形的，是体现相关人员对合规管理本质的认识，对合规义务的了解，对合规风险的判断，这些内容需要仔细收集材料来判断。
能力建设和提高意识，作为过程管理，其文件化信息相对容易取得，也相对可客观评价。
未完待续。
—— 为法务人赋能，助企业家化险
