合规管理体系认证是什么？客户尽职调查表上那一栏，问的不是有没有被罚过

一家做工业设备的公司，去年收到国企客户发来的供应商尽职调查表。表里有一栏问：是否通过合规管理体系认证。老板把手上的 3 张证拍照发过去，ISO 9001、ISO 14001，还有一张企业诚信管理体系认证。对方回了四个字：这三张不算。

这张证最容易被误会的地方就在这儿。不过误会归误会，客户表上那一栏躲不掉。它查的不是你有没有被罚过，是你有没有一套每天在转的机制，能把合规义务找出来，压到岗位上，出事能查到底。

合规管理体系认证是什么：查的是义务清单，不是运气

国资委 2022 年发布的《中央企业合规管理办法》，把合规讲得很具体：企业经营管理行为和员工履职行为，要符合法律法规与监管规定，也要符合行业准则与国际条约规则，还有公司章程和相关规章制度[3]。注意最后半句，章程和内部制度也算义务的一部分。

所以审核员进门要看的是一份清单。你们这个行业、这个业务，一共有多少条合规义务，每条落在哪个岗位，谁在盯，多久复核一次。可是，三年没出过事，只能说明运气不错，说明不了体系在跑。

国家标准这边也有个时间点值得记。GB/T 35770-2022 是 2022 年 10 月 12 日发布并实施的，替代了 2017 版[1]。新版有个关键变化：2017 版是「指南」型标准，只能参照，2022 版改成了「要求」型，条款全部用要求型表述，技术内容等同采用 ISO 37301:2021，另外加了一个资料性附录讲本土适用[2]。指南变要求，才有得认证。这套国标出来以前，市面上几乎见不到这张证书，现在反而不稀奇了。

三张纸的分工，一张表看完

老板最容易混的，就是这 3 张看着都像「合规」的证。

维度	合规管理体系认证	反贿赂管理体系认证	企业诚信管理体系认证
认证依据	GB/T 35770-2022（等同 ISO 37301:2021）	ISO 37001	GB/T 31950-2023
管哪一块	全部合规义务，按业务领域铺开	只盯贿赂与利益冲突	履约意愿、履约能力、履约行为
谁最常来要	国企央企的供应商准入、上市公司、涉外业务	医药、工程、政府采购、外资客户	招投标里的信用那一栏
证书周期	三年一换，每年监督一次	同上	同上

反贿赂是合规体系里的一个切面，管的是最容易被追刑责的那一块。已经做了合规体系的企业，反贿赂的机制通常都在里面，但要不要单独出证，看客户。至于企业诚信管理体系认证，评的是履约和信用，不碰反腐败机制，两者的底稿几乎不重叠。

哪些企业会被要求交这张证

第 1 类是国有出资企业的上游。新《公司法》第一百七十七条写得很直白：国家出资公司应当依法建立健全内部监督管理和风险控制制度，加强内部合规管理，这条 2024 年 7 月 1 日起执行[4]。央企自己有义务，往下压到供应商，就是准入表上的那一栏。《中央企业合规管理办法》还要求央企推动所属单位建体系，地方国资参照执行[3]。

第 2 类是上市公司和准备上市的企业。监管问询里合规体系是常规题，答不出来，代价比办证大得多。

第 3 类是涉外业务。跨境和出口业务，海外投标，对手方的尽职调查表基本都有这一项，而且他们会去官方平台核证书状态。

第 4 类是政府投资项目和大型工程。总包为了压风险，会把合规要求往分包传，形式各不相同，有的要证书，有的要合规承诺函加内审记录。

反过来讲，如果客户全是本地中小企业，生意靠老关系维持，这张证一年也用不上一次。这种情况先把 ISO 9001 跑顺更划算，只够办一张证的时候，先办哪个可以按这张对照表排顺序。

申请条件与材料清单：6 份里最容易缺两份

门槛不高，卡人的是准备度。执照有效，经营范围能对得上，体系跑满三个月，做过一次内审和一次管理评审，近一年没有重大违法违规记录。这几条齐了才谈得上受理。

材料大致 6 份。申请书，执照和行政许可，组织架构与合规职责，合规义务清单和风险清单，内审与管理评审记录，体系文件与运行记录。

最容易缺的是后面 2 份里的第 1 份。很多企业的合规义务清单，直接把法律法规目录打印出来交上去，一条也没落到岗位。审核员翻 2 页就能看出来，因为清单里没有责任人，没有复核频次，也没有对应的业务环节。

第二份是内审记录。内审要真查，查到问题要留整改证据。形式化的内审，签到表和报告齐全，问题栏空着，这比不做还扎眼。

现场审核那天，审核员顺着 3 条线问

第 1 条线问义务从哪来。清单是照着哪个法规，哪个客户的合同条款，哪个行业准则编的，多久更新一次。要是答不上来源，后面全断。

第 2 条线问义务怎么落到岗。采购拿一份最近签的合同出来，谁做的合规审查，签了哪个字，审查意见有没有留档。《中央企业合规管理办法》第二十一条要求重大决策事项的合规审查意见由首席合规官签字[3]。民营企业没有这个职位，但对应的角色必须有人，而且这个人不能是业务自己。

第 3 条线问出了事怎么办。举报渠道在哪，收到举报谁受理，调查记录放哪，整改有没有闭环。这一条审核员问得最细，因为撒谎成本最高。

访谈通常要走一圈：一把手，合规负责人，还有采购、财务和销售。一把手那场最要紧，问他能不能说出公司前 3 大合规风险，只要这一场含糊，后面就越问越细。

不符合项怎么改，证书几年、每年查什么

不开项的反而少。常见的是轻微不符合，比如记录缺页，清单没更新，培训签到少了几个人，这类一个月内交整改证据就能过。严重不符合一般指向两件事：体系压根没运行，或者文件和现场两张皮。

证书三年一换，每年一次监督审核。监督审核不是走过场，它专挑上次的不符合项和这一年的重大变化，比如新增业务，换了大客户，出过处罚。到期前要提再认证，再认证得整套重审一遍，所以提前半年就该动。

报价单上该看的是 3 个节点，不是总价

同一张证，两家报价差一倍不奇怪，差在人日怎么算，差旅包不包，2 次监督审核怎么计价。问清楚这 3 件，比砍总价有用。范围写多宽也直接影响人日，一旦把不相关的业务写进认证范围，审核天数立刻上一个档。

常见问题

合规管理体系认证和 ISO 37301 是一回事吗？

是一套要求。国标采标过来的，技术内容一致，发证机构通常一次评审出双标证书，证书上两个标准号都印。

手上有诚信体系证书，客户要合规认证，能顶吗？

不能。诚信体系评的是履约和信用，合规体系评的是义务识别与风险控制，2 张证的审核清单几乎不重叠。客户表上分开列 2 栏，就是分开要。

民营企业必须办吗？

法规强制只到国家出资公司那一层[4]。民营企业的情况不一样，没有法定义务，是被客户准入和投标推着走，生意上却有必要。

办下来要多久？

体系先跑满三个月才有资格申请，加上内审、管理评审和审核排期，通常小半年。已经有体系底子的会快一些，因为清单和记录能复用。

证书在哪查？

全国认证认可信息公共服务平台可以按证书编号查状态。查不到，先看编号有没有抄错，不然就是证书还在暂停期。

和 ISO 37001 能一起审吗？

可以合并安排，省一趟差旅，但 2 份标准的审核重点不一样，别指望一次现场把 2 件事都做透，除非两家清单本来就是一套。

参考来源

• GB/T 35770-2022 合规管理体系 要求及使用指南 2022-10-12 发布并实施 代替 GB/T 35770-2017 现行 采标 ｜ https://openstd.samr.gov.cn/bzgk/gb/std_list?p.p1=0&p.p90=circulation_date&p.p91=desc&p.p2=35770 ｜ 2022-10-12
• GB/T 35770-2022 等同采用 ISO 37301:2021 技术内容一致 由指南类改为要求类 增加资料性附录 NA ｜ https://cnis.ac.cn/ynbm/llyzlyjs/zhxw/202210/t20221020_54060.html ｜ 2022-10-20
• 中央企业合规管理办法 国资委令第 42 号 2022-08-23 公布 2022-10-01 施行 第三条 合规定义 第二十一条 首席合规官签字 第三十七条 约谈并责成整改 第四十条 地方国资参照 ｜ https://www.gov.cn/gongbao/content/2022/content_5722382.htm ｜ 2022-09-19
• 中华人民共和国公司法 2023 修订 第一百七十七条 国家出资公司 内部监督管理和风险控制制度 加强内部合规管理 2024-07-01 施行 ｜ https://www.gov.cn/yaowen/liebiao/202312/content_6923395.htm ｜ 2023-12-29