自ISO 37301和GB/T 35770分别在2021年和2022年发布后，国内很多企业纷纷响应，通过认证机构获取认证，以证明企业的合规管控符合国际标准。这几年来，笔者为多家央国企、大型民营企业提供体系认证咨询辅导，协助企业完成认证筹备工作，也曾接到很多企业关于获取认证的咨询电话，其中大家比较关注的问题之一就是“这个证书含金量如何”，笔者想对企业说的是——决定证书含金量多少的，恰恰是企业自身，而不是证书本身。
笔者结合近年来从事企业合规管理咨询工作的感受，来和大家交流一下，企业获取认证，可以从哪些方面彰显证书的含金量。
01 企业合规管理体系建设是否自上而下？
合规体系建设的倡导从哪个层级发起，这一点至关重要，也在某种程度上决定了体系建设的效果。ISO标准把“领导作用”放到了靠前的第5章，足以说明，领导作用与承诺情况是合规体系评价的重要因素。
合规体系最初的建设立项，是管理层主动提出的，还是仅仅是法务合规部门内部立项后得到审批，这个细节对后续体系建设有很大的影响。前者会引起全公司的重视，例如最高领导者可在公司重要会议上公开宣布授权合规部门开展体系建设、在各种场合反复强调合规重要性、在年度会议上将合规工作报告作为必要议程、亲自主持并参加重要合规培训、带头签署合规承诺书等等，这些举措都能彰显高层领导的支持和承诺，体系建设过程也会得到全员的响应。而如果体系仅仅由合规部层面立项开展，员工听不到高层的声音，往往其他部门会认为这仅仅是合规部门内部的一个项目，和自己关系不大，甚至可能期间都不会配合，这样的项目最终效果就很难讲。试想如果在认证审核现场，公司领导者在面对审核人员的访谈时，对于公司的合规目标、方针、高管对合规支持等内容张口结舌，场面是何等尴尬！
02 企业体系认证中所要求的各类策划文件编制，企业是否亲自参与并审核？
既然是ISO国际标准的认证，必然有一系列的标准化文件输出的要求，这些标准化文件使得认证评估可以更加直观、便捷，比如合规管理手册、各类合规管理控制程序、合规方针与目标、合规绩效指标、内审检查单、内审与管审报告等等。虽然文件是“标准”的，但绝不意味着内容是“标准”的。照抄照搬模板化文件来应对认证，是没有任何意义的行为。这些文件的体例上有标准，但是内容上一定是符合认证企业自身情况的，一个合规方针不可能适用于所有的企业，也没有一套合规目标与绩效指标可以“放之四海而皆准”，也没有一套内部评审检查的文件可以通用。
上述所有的文件，都要企业自身深度参与编制并经过管理层的审核。这些年笔者作为咨询机构，在项目启动之初就要和客户强调，认证准备的过程也是企业梳理体系建设过程和成果的过程，所有的输出物必须是企业和咨询专家共同来完成，并且必须经过公司领导的审核确认，确保其内容必须是符合企业自身情况的，而绝不能“Copy & Paste”。
比如合规手册中的领导责任、部门职能、内外部环境识别、利益相关方期望、合规方针等等，必须要和企业组织架构、企业文化、所在行业、供应链上下游情况、监管环境相匹配，合规方针和目标一定要得到公司管理层的认可等等。相关内容一定要在公司正式发布，并做到全员同步知晓，信息对称，而不能仅仅留在合规部门。
03 对于合规风险的识别与评估过程，全员参与程度如何，重点风险评估结果是否符合公司实际运营状况？
合规义务清单、合规风险库及重点风险清单是合规体系运行中重要的前导性文件，对外部法律法规清单的梳理、合规风险动态识别也是合规体系运行中每年都要做的重点工作，但这不是法务合规部门的单一职责，而是各部门都应该参与的工作。在项目执行中，笔者帮助客户共同梳理法律法规清单，并根据公司主业情况和各部门职责分工，梳理合规风险库，同时也向公司强调，对于不同管理领域的合规风险，必须要由对应的职能部门进行确认。
可能有人会说，“风险库不是也可以通用吗，比如人力资源、财税管理的风险，每个公司都差不多啊”，这话一定程度上有些道理，但这只是表面。即使风险大类相同，但是不同企业对于风险的认知和管控细节是有区别的，行业的不同也可能产生差异。风险库中重要的一列是“管控措施”，但就这部分内容而言，每家企业对于同一个风险项的管控力度和措施肯定是不同的；而“制度要求”一栏的差异化就更大了。因此，组织各个部门一起确认风险库，不仅能让企业员工切身认知本职工作涉及的风险，更能通过梳理当前的管控措施，找到目前管控的漏洞、弱点，这比给企业单独做一场风险管理的培训效果要强百倍，因为问题都是企业员工自己发现的。
提到重点风险评估，更是要切合企业自身情况。可能这时又有人会“抬杠”，风险评估的标准不是早就有了吗，只要给“可能性”和“影响力”打分就可以了。但是实际不是这样，每一家企业状况不同，打分的“尺子”也不能通用，比如对于资金损失，多少算是重大？对于不同规模的企业是不同的，有的可能1000万以上可以定位为重大，有的企业可能200万元的损失就算重大，所以在评估前，一定要根据企业的具体情况设置好尺子的“刻度”，这样评出来的重点风险才是贴合企业自身的。最终评估的重点风险清单也一定要管理层、甚至是风控或审计委员会进行审核确认。
笔者在近期完成的一个项目中，联合企业各部门协作完成的风险库和重点风险清单，就提交并通过了最高管理层会议的专项审议。各个部门对本职能涉及的风险非常清晰，在认证现场从容地描述合规风险及管控措施，得到了审核组的高度认可，审核组老师评价这是企业自己的风险库，是真正能“用起来”的重点风险清单，而不是应对认证审核的“答卷”。
04 合规体系的内部评审和管理评审是否由企业主导完成？
合规体系认证前，企业必须完成一次内部评审以及管理评审，这是ISO体系认证的一个“刚性要求”，内部评审是对企业合规管理体系运行情况进行自我评估，这项工作要求全员参与，不能仅由合规部门自评，更不能仅由咨询机构代替进行。从2021年开始做咨询辅导以来，笔者在每个项目中都会同企业合规部门，以部门为单位，通过部门负责人访谈、文件审核等工作共同完成内部评审，从而编制各部门的内审检查单，在内审过程中会就发现的问题与各部门共同探讨，初步形成完善与优化建议，并在内审报告中如实记录，向管理层进行反馈。内审的过程相当于再次面向各部门进行“一对一”的合规培训。而管理评审报告，则应当体现公司领导在审阅了内审报告后，对于本企业合规体系运行的总结与期望。尤其是建议与期望部分，需要确保是管理层在详细了解了内审过程、内审结论、问题发现及整改建议后，亲自提出的、具有一定落地性的相关建议要求。这部分内容将成为合规部门下一年度的合规工作计划的重要参考。
一份内审报告和管审报告的内容是“务虚”还是“务实”，可以甄别出企业是否自主完成的这两项重要工作。后续内审与管理评审文件的真实性与实用价值，也是监管部门到企业进行抽查的重点内容。
05 企业能否独立完成认证后的两次监督审核？
合规管理体系证书有效期三年，在第一年完成审核后，认证机构会在第二、三年度开展“再监督审核”，目的在于检验企业的合规管理体系是否在持续、有效运行，上一年度审核发现的问题，是否得到了整改和提升。企业如果在第一年度认证阶段，实实在在地开展了体系建设，那么在第二、三年度完全可以充满信心地迎接认证机构的再监督审核；相反，那些第一年只想通过咨询机构帮助拿证的企业，往往在第二次监督审核时，依然手忙脚乱，甚至要从零开始，还要再去找机构协助通过，这样的认证其实含金量已经大打折扣。我们的团队一般会在第二、三年监督审核前2-3个月提示客户开展相应准备工作。有了第一年与我们共同完成体系认证的经历后，客户基本可以自主完成迎审工作，充分彰显了体系建设的成本效益。
点击下图了解企业合规体系认证咨询服务
06 企业与咨询辅导公司在认证过程中是什么关系？
现如今，仍然有不少企业对获得体系认证和咨询机构的作用存在误区，认为就是“花钱买证”，咨询机构就是“代办”的角色，企业花钱给咨询机构就是图个省心，最多就是和合规部门对接，整个过程不要牵扯其他部门过多精力，领导只要结果不看过程，这都是让证书变得“白纸化”的错误行为。
笔者始终强调，无论是合规管理体系建设项目，还是体系认证咨询项目，对于企业而言，都没有“交钥匙”工程这种模式，企业领导不重视、全员不参与而获得的认证，就是一张形式上的纸质文档而已。咨询机构在这类项目中充当的是“体系解读者”、“引导者”及“教练”的角色，合规部门是牵头组织者，全员是参与者，领导是监督者。在这样的协作下，项目才能“做深做实”，最终的证书才会具有绝对的含金量。
事实证明，随着认证审核监管要求的增强，认证机构在对企业进行合规管理体系审核时，已经逐步从最初的偏形式性、鼓励性认证审核过渡到了对企业合规管理过程进行实质性、严格审核的阶段。“花钱买证”已经是一种不切实际的想法，只会帮企业“做认证文件”的咨询公司，市场也会越来越小，而企业的相关方也会越来越看重证书的含金量。
其实从上面的分析中就可以体会到，合规管理体系证书含金量的核心标准，说到底就是要看企业自身能否把合规管理实实在在嵌入企业的管理过程以及重点合规风险领域的每一个环节，也就是把合规管理“做深做实”。企业合规管理的核心价值，从来不在于一纸合规证书的加持，证书可以是企业合规体系建设成果的佐证，其之所以能彰显含金量，本质是其背后一套规范、严谨、长效的合规运营体系，企业取得合规管理证书不是体系建设的终点，而是鞭策自身持续主动完善制度、防范风险、规范行为，打磨稳健经营核心内功的起点！