对 ISO37302 : 2025 中 23 个二级评价指标的实务评价（4）
发布时间：2025-08-28
作者： 陶光辉
接上文：
陶光辉：对 ISO37302 : 2025 中 23 个二级评价指标的实务评价（3）
陶光辉：对 ISO37302 : 2025 中 23 个二级评价指标的实务评价（2）
陶光辉：对 ISO37302 : 2025 中 23 个二级评价指标的实务评价（1）
指标13. 聘用过程、奖励和纪律处分
这个指标看上去很拗口，也不易理解。这也算得上是ISO特有的表述方式，但并不适合中国企业。
遗憾的是，在ISO 37302对应的国内标准《合规管理体系有效性评价》（征求意见稿）中也是同样表述。
但事实上，这种表述，指向根本不清楚，造成评价难度增加，无法对应到相关的“文件化信息”。
如，到底什么是聘用过程？是对合规人员的聘用，还是任何人的聘用？这个指标到底是想说明聘用过程的合规操作，还是所聘用人员的合规性？
奖励和纪律处分，同样不清楚。特别是什么是纪律处分？在现代企业内，这个纪律是指什么？这是翻译的问题，还是有什么其他所指？
如果是指企业内的奖惩，是可以理解。但奖惩与聘用过程放在一起，又不知道其在说什么了？
总之，这个评价指标本身设计上是有一点模糊的，在实际评价中可能会遭遇操作上的难题。
指标14. 培训
培训，在合规管理体系的建设和运行中非常重要。合规意识的强化、合规能力的提升，合规文化的塑造，都离不开培训。
培训，作为一个评价指标，应关注哪些方面呢？ISO 37302 提示培训首先应建立全面的人员培训程序。这里的培训，应当是指为强化合规意识、提高合规能力等相关的培训，而不是其他方面的培训。
其次要关注培训的内容和培训的领域、培训时间、频率、形式等，最后要关注培训记录、培训效果反馈等。
这些都应以“合规”为主题的培训，包括对业务人员的合规培训，对合规人员的业务（专业）培训等，对这一点，ISO 37302并不明确，因此给人的感觉就是其提出的“培训”评价指标相对只是“泛泛”而言，这最终可能导致自身效果不明显的后果。
指标15. 内部和外部沟通
内、外部沟通在内部控制、合规管理、风险管理都是一个重要的要素。财政部《企业内部控制基本规范》等文件均将信息与沟通作为一个独立的要素进行强调。
评价内外沟通情况，主要是评价信息收集和传递的机制、合规报告与通报机制、合规风险披露和共享机制、合规理念的传递等。
体现的文件包括合规工作报告、合规年度报告、合规风险预警函、不合规处理案例披露、合规手册分享等。
ISO 37302关注的是沟通程序的建立、相关方了解组织的合规期望、组织内人员了解其合规职责、合规风险和合规报告渠道等。
这有一些内容，其实应归属于组织职责、风险评估等要素，信息与沟通是这些要素实现的一个组成，非独立的要素。作为独立的内外部沟通，应聚焦于沟通的目的、沟通的功能等展开。相关用于评价的“文件化信息”也应聚焦于合规报告、合规风险提示、不合规通报等。
指标16. 提出疑虑机制的建立
合规疑虑机制一直是难懂的术语。在国内企业合规管理实践，其实很少有使用“合规疑虑”这个词的。
如果“合规举报机制”（本质是“对不合规的举报”），作为与所谓“合规疑虑机制”相近的说法，那么个人建议不如就用“合规举报机制”。这样国内企业也容易理解。
当然，有人会说，“合规疑虑”是比“合规举报”具有更广的涵义，合规疑虑=合规举报+其他。这里的其他，可能包括合规咨询。
ISO 37302 认为评价“提出疑虑机制”，应评价提出疑虑机制的范围、接收报告渠道、提出疑虑人员的信息处理、对提出疑虑人员的保护等内容。
从这一点看，与合规举报机制的设置内容非常像。这也是为什么个人认为这里的”提出疑虑机制“可以用“合规举报机制”替代的原因。
实践中，合规举报机制的设置与实施，的确很重要。它能起到很好的威慑作用，对于强化合规意识，倡导合规文化很有必要。
但是，鉴于国内企业的管理习惯，事实上的举报机制，在本企业内设置，执行是有困难的。反而是上级单位设置举报机制，然后由下级单位人员执行上级单位的举报机制，更是有落地的可能性的。
大多数已开展合规管理体系建设的企业，均设置了合规举报热线和举报邮箱，但从结果上看，是没有多少线索的。原因在于前文所述管理习惯，还有一个就是信息不共享，除非是团队或项目内部核心人员，否则一般员工对其他人的“工作内幕”是无法了解的。如果不掌握基本的信息，何来合规举报？
未完待续。
—— 为法务人赋能，助企业家化险
