ISO 37001 与 ISO 37301 - 与审核员 Hans-Jürgen Fengler 的访谈

Hans-Jürgen Fengler，非常感谢您抽出时间接受我们的采访！我想和您谈谈 ISO 37001 和 ISO 37301 标准之间的区别。能否请您简要解释一下这两个标准分别指的是什么？

汉斯-于尔根-丰勒 非常乐意。这两个标准都涉及管理系统的实施，以确保遵守法律法规。ISO 37001 特别关注反腐败。它为识别、评估和消除腐败风险提供了一个框架，而 ISO 37301 则采取了一种更全面的方法，涵盖了组织的所有合规义务。这包括法律、法规，也包括自愿承诺，如《全球契约》或《B.A.U.M.准则》。

如何引入 ISO 37301 中所述的管理系统？

汉斯-于尔根-丰勒 根据 ISO 37301 标准，企业必须确定一个流程，在这个流程中要识别最大的合规风险。然后进行风险评估，以确定需要采取哪些措施和政策等。ISO 37001 也必须这样做，但只针对腐败问题。对系统进行定期审查和持续改进，以确保其有效性。最后，可以寻求认可机构的认证。然后，像我这样的审核员会对管理系统进行分析，检查优化潜力。关键是要制定一套量身定制的合规管理体系，满足组织的具体要求和风险，并不断加以改进。

换句话说，如果合规管理显示腐败是一个重大问题，那么我就必须采用 ISO 37001 吗？

汉斯-于尔根-丰勒 是的，您可以这样做。ISO 37001 就是针对腐败问题的。这意味着，如果腐败是最相关的合规风险，那么你可以专注于 ISO 37001。但是，如果腐败不是最相关的主题，那么引入合规管理体系则更有意义。此外，还可以利用 ISO 37001 的内容来优化合规管理体系中有关反腐败的内容，从而改进整个管理体系并使之具体化。在决定采用 ISO 37301 还是 ISO 37001 时，总会出现这样的问题：我想向相关方证明什么，他们的要求是什么？什么对我的组织有意义？此外，在一些国家，某些行业的法律也要求建立符合 ISO 37001 标准的反腐败管理系统，例如意大利的建筑行业或法国证券交易所的公共有限公司。在这些情况下，不存在这个问题，ISO 37001 认证是强制性的。

编号 37301 位于 37001 之后。这一名称的意义何在？

Hans-Jürgen Fengler：ISO 37001 已于 2016 年发布，而 ISO 37301 到 2021 年才生效。ISO 37301的前身标准ISO 19600仅作为指导性标准，不包含任何具体要求，也不能颁发认可证书。由于 ISO 37001 的编号已经是 37001，因此新的、更全面的标准选择了 37301。国际标准化组织在合规管理系统领域发布的所有内容都可以在 37000 系列中找到。因此，ISO 37301 也被归入其中。

ISO 37001 和 ISO 37301 对不同规模、行业和地理位置的组织有多大的适用性？

汉斯-于尔根-丰勒 基本上，所有 ISO 管理体系标准都适用于不同规模、行业和地理位置的所有组织。ISO 37001 和 ISO 37301 也不例外。第 4 章 "组织背景 "详细说明了与管理体系相关的公司特定要求以及需要考虑的因素。与小型组织相比，大型组织的要求更多。当然，这对需要特别考虑的合规要求有很大影响。

地理位置方面的一个重要因素是，一些国家的腐败风险高于其他国家。透明国际提供了清廉指数（CPI）。该指数由 13 个单项指数、12 个独立机构和专家访谈组成，显示了全球不同地区的腐败风险。

如果我在一个腐败风险被评为较高的国家工作或与该国合作，那么与腐败风险较低的国家相比，我需要安装更详细的控制机制，我往往需要检查较少。换句话说，地理位置对管理系统的具体设计有影响。

是必须通过标准认证，还是实施适当的管理系统就足够了？

汉斯-于尔根-丰勒 认证当然是可选的。不过，认证可以帮助企业记录其合规义务，并向利益相关者证明。

ISO 37001 和 ISO 37301 标准在多大程度上可以与 ISO 9001 等其他管理体系标准相结合？

汉斯-于尔根-丰勒这两个标准都是基于高级结构（HLS），也就是协调结构（HS），其他 ISO 管理体系标准也使用这种结构。因此，原则上是可以整合的。

不过，整合是否有意义取决于各组织及其具体要求。

是否可以只对标准范围内的某些部分或活动进行认证？

Hans-Jürgen Fengler：原则上可以进行部分认证。但是，在合规性问题上，这就有问题了，因为相关要求通常会影响到整个组织。因此，对个别领域的认证需要人为的划分，而这在实践中几乎是不可能实现的。

非常感谢您的精彩评论！

采访由 Constanze Illner 主持。