以义务为导向
识别并履行合规义务
“ISO 37301的重点是识别影响组织的各项义务，并评估违反这些义务的风险，而不局限于刑事层面。”
ISO 37301认证
为取得并维持ISO 37301:2021认证提供全面的法律咨询：合规现状诊断、合规管理体系（SGC）设计、认证机构审核准备，以及与UNE 19601、ISO 37001和UNE 19602的整合。
ISO 37301免费咨询
我们将在24小时内回复您
- 可认证的合规标准
- ISO 37301:2021
- 标准发布时间
- 2021年4月
- 高层结构（HLS）
- 10个条款
- 所取代的标准
- ISO 19600:2014
服务
ISO 37301认证服务目录
六大法律与技术工作领域，用于设计、实施并认证符合ISO 37301:2021标准的合规管理体系。
诊断
ISO 37301差距分析
对照标准的10个章节（背景、领导作用、策划、支持、运行、绩效评价和改进），分析组织现状与标准要求之间的差距。
了解更多 →
诊断差距尽职调查风险导向
落地实施
合规管理体系的设计与实施
编制并落实合规管理体系文件：政策、程序、义务与风险矩阵、控制措施、培训和举报渠道。
了解更多 →
政策程序矩阵控制措施
审计
合规管理体系内部审核
制定并执行客观公正的内部审核方案，记录发现项、制定纠正措施，并为认证机构准备审核资料。
了解更多 →
内部发现项
认证
外部审核陪同支持
在认证审核（第一阶段文件审核＋第二阶段现场审核）前后提供准备和支持，认证机构包括AENOR、Bureau Veritas或其他获认可机构。
了解更多 →
AENORBureau Veritas
整合
与其他标准整合
将ISO 37301与UNE 19601（刑事合规）、ISO 37001（反贿赂）、UNE 19602（税务）和ISO 27001统一到一个整合框架中。
了解更多 →
UNE 19601ISO 37001
维护
体系维护与持续改进
合规管理体系的PDCA循环：管理评审、KPI跟踪、更新义务清单，以及应对监管变化的管理。
了解更多 →
KPI评审
核心思路
为什么取得ISO 37301认证具有战略价值
ISO 37301是目前唯一可认证的国际合规管理体系标准。它取代了此前不可认证的ISO 19600，使治理机构能够通过独立第三方证明合规计划行之有效。
可认证
独立第三方验证
“由AENOR、Bureau Veritas或其他获认可机构开展的认证审核，为组织的合规承诺提供公开、透明且可信的证据。”
HLS结构
与ISO 9001、27001、37001整合
“它与各类管理体系标准共用高层结构（HLS），便于与质量、信息安全或反贿赂等体系整合。”
公司治理
治理机构的承诺
“强化合规职能，并为最高管理者提供符合国际良好治理标准的适当控制机制。”
为何重要
为什么要取得ISO 37301认证？
它不只是网站上的一枚标志。对合规管理体系进行认证，可以降低风险、保护董事和高管、提升在客户、监管机构和投资者面前的声誉，并有助于获得要求合规标准的大型客户和公共机构的合同。
全面的合规视角：不局限于刑事层面，涵盖组织承担的法律义务、合同义务和自愿义务。
合规文化：推动员工培训和意识培养，使合规职能成为组织可持续发展的关键一环。
面向监管机构的证据：在受监管行业（CNMV、西班牙银行、SEPBLAC），经认证的合规管理体系是成熟度的有力信号。
UNE-ISO 37301:2021 10个条款
可认证的国际标准，于2021年4月发布，取代了仅供参考的ISO 19600:2014。
商业优势 投标
越来越多的公共招标和企业采购流程对获得认可的合规认证给予加分或将其作为必备条件。
重要提示 不能免除刑事责任
就《刑法典》第31条之二而言，ISO 37301不能替代UNE 19601：要成为减轻或免除刑事责任的理由，需要建立完整的模型。
想要取得ISO 37301认证吗？
我们帮助您建立稳健、务实、可审核的合规管理体系，使其能够顺利通过认证的第一阶段和第二阶段审核，更重要的是对您组织的实际管理真正有用。
常见问题
ISO 37301：常见问题
什么是ISO 37301:2021？
ISO 37301:2021是规定合规管理体系（SGC）要求的国际标准。它由国际标准化组织（ISO）于2021年4月发布，并在西班牙被采用为UNE-ISO 37301:2021。
它取代了此前的ISO 19600:2014，后者只是不可认证的指南。ISO 37301则可以认证，并采用与ISO 9001、ISO 27001和ISO 37001相同的高层结构（HLS）。
ISO 37301与UNE 19601有什么区别？
UNE 19601是西班牙的刑事合规管理体系标准，与《刑法典》第31条之二相衔接，用于争取减轻或免除法人的刑事责任。
ISO 37301的适用范围要广得多（法律义务、合同义务和自愿义务），但仅凭它本身并不足以满足《刑法典》第31条之二的全部要求。两项标准相互补充，可以整合使用。
ISO 37301的10个条款是什么？
该标准遵循ISO的HLS结构：1. 范围，2. 规范性引用文件，3. 术语和定义，4. 组织所处的环境，5. 领导作用，6. 策划，7. 支持，8. 运行，9. 绩效评价，10. 改进。
第4至10条包含可审核的要求。
哪些组织可以申请认证？
任何组织均可：无论是私营、公共、政府还是非营利组织，也不论规模、行业或业务。该标准对以下组织尤其有用：
- 受到严格监管的金融机构和金融科技公司。
- 参与公共招标的企业。
- 跨多个司法辖区、义务各不相同的集团。
- 声誉风险敞口较高的组织。
取得认证需要经过哪些步骤？
一般而言：差距诊断、设计合规管理体系、实施与培训、内部审核、选择获认可的认证机构（AENOR、Bureau Veritas、BSI、TÜV等），以及分两个阶段（文件审核＋现场审核）进行的外部认证审核。
如果审核通过且没有重大不符合项，认证机构将颁发证书，证书通常有效期为三年，并每年进行监督审核。
ISO 37301认证的费用是多少，需要多长时间？
费用取决于组织的规模和复杂程度，应分为：实施咨询服务费、内部团队投入的工时，以及认证机构的收费。
通常从项目启动到颁发证书需要6至12个月，已有成熟管理体系的组织可能会缩短。
认证能带来哪些好处？
已有记录的主要好处包括：预防性的合规思路，降低法律、声誉和处罚风险，在客户、监管机构和投资者面前提升企业形象，以及通过清晰的流程和控制措施优化运营。
此外，在要求认证的公共招标和企业采购流程中，还具有竞争优势。
它能与其他ISO标准顺利整合吗？
可以。得益于高层结构，ISO 37301可以与ISO 9001（质量）、ISO 14001（环境）、ISO 27001（信息安全）、ISO 37001（反贿赂）和UNE 19601（刑事合规）自然整合。
实践中，通常会设计一套整合管理体系，以便开展联合审核并减少文件重复。
实操指南
ISO 37301认证实操指南
取得ISO 37301认证不是“买一枚标志”，而是建立一套真实的管理体系：与组织业务相契合，由上层推动，并长期坚持。本指南总结了如何既不浪费时间也不超出预算地推进这项工作。
参考法规与标准
UNE-ISO 37301:2021（要求）、UNE 19601（刑事合规）、ISO 37001（反贿赂）、UNE 19602（税务）、ISO 27001（安全）、ISO 31000（风险管理）以及《刑法典》第31条之二。
义务＋风险
标准围绕两条主线展开：识别影响组织的义务，评估违规风险，并据此设计与风险相称的控制措施。
有用的审核，而非走过场
只为拿证而建立的合规管理体系通常很脆弱。真正的价值在于体系能够衡量、纠正并改进组织的实际行为。
取得ISO 37301认证的10步清单
- 治理机构和高级管理层作出明确承诺，并正式决定申请ISO 37301认证。
- 对照标准的10个章节开展现状诊断（差距分析），并制定行动计划。
- 界定合规管理体系的范围：涵盖的业务、子公司、司法辖区和义务。
- 编制义务清单和违规风险矩阵，采用统一的评估标准。
- 制定合规政策、程序、举报渠道和各项角色（合规委员会、合规官等）。
- 为治理机构、高级管理层和员工制定培训与意识提升计划。
- 落实与风险相称的控制措施、指标（KPI）和跟踪机制。
- 开展内部审核，分析发现项，并通过纠正措施关闭不符合项。
- 在外部审核之前，由管理层对合规管理体系的绩效进行评审。
- 由获认可机构进行外部认证审核（第一阶段＋第二阶段）并颁发证书。
ISO 37301非常适合作为其他行业义务的统一框架：例如反洗钱机构对FATF名单的遵守、SGIIC的要求、投资服务公司中的独立董事制度、金融监管沙盒中的测试，或MiCA电子货币代币（EMT）发行人制度。如需进一步验证，还可以辅以外部专家报告。
ISO 37301实操
可认证合规管理体系的构成
符合ISO 37301、可认证的合规管理体系建立在四大支柱之上：领导作用、风险与义务、控制措施与文化以及持续评价。每一项都必须形成文件，并以证据加以证明。
1）领导作用治理机构与高级管理层
批准合规政策、配置资源、任命合规职能，并定期监督合规管理体系的绩效。
- 书面政策
- 合规委员会
- 高层表率
2）风险义务与风险
梳理适用于组织的义务清单，评估违规风险，并按客观标准确定控制措施的优先级。
- 法规清单
- 风险矩阵
- 优先级排序
3）控制措施控制措施＋文化
通过程序、运营控制、培训、举报渠道、利益冲突管理和内部沟通，建立真正的合规文化。
- 程序
- 举报渠道
- 培训
4）评价持续评价与改进
KPI、内部审核、管理评审、纠正措施和持续改进：正是PDCA循环，使合规管理体系可审核，并能经得起任何监管机构的检验。
提示：策划得当的内部审核，可以大幅减少外部审核中的不符合项。
整合与其他标准整合
刑事合规
UNE 19601：涵盖《刑法典》第31条之二，用于减轻或免除刑事责任。
反贿赂
ISO 37001：预防并发现贿赂和腐败。
其他
UNE 19602（税务）、ISO 27001（信息安全）、ISO 9001（质量）。
ISO 37301实施手册
各条款在实践中如何落地
4. 组织所处的环境
了解内部和外部因素、相关方，并确定合规管理体系的范围。
SWOT分析、利益相关方图谱、体系范围文件。
5. 领导作用
治理机构的承诺、政策，以及合规的角色与职责。
批准纪要、已签署的政策、组织架构图、合规官/委员会的授权文件。
6. 策划
应对合规管理体系的风险和机遇，确定目标和计划措施。
风险矩阵、年度计划、可衡量的目标及相关KPI。
7. 支持
资源、能力、意识、沟通和成文信息。
培训计划、能力矩阵、受控的文件体系。
8. 运行
运营控制、供应商管理、举报渠道以及对违规行为的应对。
程序、尽职调查记录、运行中的举报渠道、应对计划。
9. 绩效评价
对合规管理体系进行监视、测量、内部审核和管理评审。
KPI报告、内部审核方案和纪要、管理评审纪要。
10. 改进
不符合项、纠正措施和体系的持续改进。
事件登记、根本原因分析、改进计划及跟踪。
审核前的典型预警信号
这些指标通常会在认证审核中导致不符合项。
- 合规政策过于笼统、未经签署，或与组织的实际情况脱节。
- 义务清单不完整，或在适用法规变化时未及时更新。
- 风险矩阵缺乏客观的评估标准，或与控制措施没有关联。
- 举报渠道只在形式上建立，没有实际的处理程序和记录。
- 内部审核由后来负责落实纠正措施的人员执行（缺乏独立性）。
实务词典
使用ISO 37301需要掌握的关键概念
如果您打算申请ISO 37301认证，下列术语会出现在标准文本、审核报告以及与认证机构签订的合同中。
SGC体系
合规管理体系
由相互关联的要素（政策、过程、资源）组成的整体，用于确立并实现合规目标。
ISO 37301的核心对象。
HLS结构
高层结构（High Level Structure）
ISO管理体系标准共用的结构，便于与ISO 9001、14001、27001和37001整合。
10个通用条款。
Compliance概念
合规遵守
组织履行其全部法律、监管、合同及自愿承担的义务。
ISO 37301的定义。
义务核心
合规义务
组织必须遵守的要求，无论是强制性的还是自愿承担的，是ISO 37301思路的基础。
来源于法律或合同。
合规职能角色
合规职能
负责监督合规管理体系的人员或部门，应具备相应的能力、权限和独立性。
可以是合规官或委员会。
UNE 19601刑事
刑事合规
西班牙关于刑事合规管理体系的标准，与《刑法典》第31条之二相衔接。
与ISO 37301互为补充。
ISO 37001反贿赂
反贿赂体系
专门针对贿赂的预防、发现和应对的国际标准。
可与ISO 37301整合。
PDCA循环
计划-执行-检查-改进（Plan-Do-Check-Act）
ISO管理体系所依托的持续改进循环：策划、实施、检查和改进。
第10条的基础。
AENOR认证机构
认证机构
负责审核合规管理体系并颁发ISO 37301证书的获认可机构（AENOR、Bureau Veritas、BSI、TÜV等）。
经ENAC或同等机构认可。
联系我们
预约通话
请告诉我们贵组织的起点，我们将说明如何通过切实可行的计划、无额外成本地取得ISO 37301认证。
ISO 37301认证：标准、适用范围与战略优势
ISO 37301认证是指由独立且获认可的认证机构确认，组织已按照国际标准UNE-ISO 37301:2021的要求建立合规管理体系。它是当今全球合规管理领域的标杆。
标准的由来
ISO 37301:2021由国际标准化组织于2021年4月发布，取代了ISO 19600:2014。关键区别在于：ISO 19600只是不可认证的指南，而ISO 37301是A类标准，具有可审核的要求，因此可由独立第三方进行认证。
结构与内容
该标准采用管理体系标准（ISO 9001、ISO 14001、ISO 27001、ISO 37001）共用的高层结构（HLS），共10个章节，其中第4至10条为可审核条款：组织所处的环境、领导作用、策划、支持、运行、绩效评价和改进。
思路：义务与风险
ISO 37301围绕两条相互关联的主线：识别义务（法律、监管、合同和自愿义务）以及评估违规风险，并据此确定与风险相称的控制措施的优先级。这一思路使其适用于任何组织，不论规模、行业或法律性质。
与UNE 19601、ISO 37001和UNE 19602整合
ISO 37301是一个横向框架，可与各类专项合规方案整合：UNE 19601（刑事合规，用于争取《刑法典》第31条之二规定的减轻/免除责任）、ISO 37001（反贿赂）和UNE 19602（税务）。整合体系可开展联合审核，并减少文件重复。
认证流程
认证通过获认可机构的外部审核取得（AENOR、Bureau Veritas、BSI、TÜV或其他）。审核分两个阶段进行：第一阶段（文件审查和准备）和第二阶段（现场核查体系的实施情况）。如果通过且没有重大不符合项，认证机构将颁发证书，证书通常有效期为三年，并每年进行监督审核。
战略价值
对治理机构而言，ISO 37301认证是向监管机构、投资者、客户和公共招标方证明合规承诺的最可靠方式。它带来预防性思路、声誉提升、风险缓释和运营效率，前提是体系的设计目标是真正运行，而不是装点门面。