ISO 37001:2016是国际标准化组织(ISO)于2016年10月15日正式发布的反贿赂管理体系标准,其诞生源于全球反贿赂合规需求的提升,基于美国《反海外腐败法》(FCPA)和英国BS 10500:2011标准的基础上制定,为各类组织提供了系统化、结构化的反贿赂管理框架。该标准适用于所有规模、类型和行业的组织,包括上市公司、中小企业、跨国公司及非政府组织等,覆盖组织自身业务及整个全球价值链。标准核心要求包括建立明确且符合国际国内反贿赂法律的政策程序、强化领导层承诺与资源支持、开展贿赂风险评估与管理、对项目和业务伙伴实施尽职调查、加强财务及合同等环节控制、开展全员反贿赂培训、建立举报与调查机制,以及持续改进体系有效性。实施该标准可帮助组织缓释法律风险,满足多国合规要求,提升商业竞争力,优化运营成本,增值品牌资产,同时驱动组织形成“零容忍”的廉洁文化,是组织应对贿赂风险、彰显合规诚信的重要依据。
ISO 37001:2025 反贿赂管理体系
ISO 37001:2016是国际标准化组织(ISO)于2016年10月15日正式发布的反贿赂管理体系标准,其诞生源于全球反贿赂合规需求的提升,基于美国《反海外腐败法》(FCPA)和英国BS 10500:2011标准的基础上制定,为各类组织提供了系统化、结构化的反贿赂管理框架。
标准信息
标准简介
标准目的
- 防范贿赂风险建立系统化的反贿赂管理机制,识别并管控组织经营全流程中的贿赂风险(如商业贿赂、利益输送),杜绝贿赂行为发生
- 确保合规经营确保组织的经营活动符合国家反贿赂相关法律法规及国际反贿赂标准,规避反贿赂合规风险
- 提升企业信誉通过体系认证彰显组织反贿赂管理能力,提升品牌公信力与市场认可度,增强客户、合作伙伴的信任度
- 规范经营行为明确各部门、各岗位反贿赂职责,开展反贿赂培训,提升全员反贿赂意识,规范组织经营行为
- 保护组织利益避免因贿赂行为造成的法律制裁、经济损失、品牌受损等风险,保护组织合法权益与长远发展
适用范围
- 行业覆盖适用于所有类型和规模的组织,涵盖金融、贸易、制造业、服务业、政府机构等可能存在贿赂风险的全行业
- 规模覆盖适配小微企业、中小企业、大型集团、跨国企业等不同规模组织,可根据贿赂风险等级灵活调整管控措施
- 场景覆盖涵盖采购、销售、招投标、对外合作、人力资源、财务管理等全经营场景的反贿赂管控
- 管理覆盖覆盖反贿赂方针制定、风险评估、控制措施实施、监督检查、举报处理、持续改进等全管理环节
- 认证覆盖支持单一站点、多站点、集团化、跨国经营等不同组织架构的认证模式,满足一体化反贿赂管理需求
核心要素
管理控制
核心维度覆盖占比
人工智能(AI)定义
人工智能(AI)定义
人工智能的三大核心要素
三大要素能力图
信息安全核心:CIA 三要素
核心概念定义
IT服务管理三要素
IT服务管理过程
CS能力评估等级体系
服务类型细分
部署模式细分
全等级综合对比
能力维度雷达对比
ITSS咨询设计核心说明
标准内容
- 1 范围
- 2 规范性引用
- 3 术语与定义
-
- 4.1 理解组织及其环境
- 4.2 理解相关方的需求和期望
- 4.3 确定反贿赂管理体系的范围
- 4.4 反贿赂管理体系
-
- 4.5.1 贿赂风险评估的要求
- 4.5.2 评估标准
- 4.5.3 审查机制
- 4.5.4 成文信息
-
-
- 5.1.1 治理机构
- 5.1.2 最高管理者
- 5.1.3 反贿赂文化
- 5.2 反贿赂方针
-
- 5.3.1 总则
- 5.3.2 反贿赂职能
- 5.3.3 授权决策
-
-
- 6.1 应对风险和机会的行动
- 6.2 反贿赂目标及实现策划
- 6.3 变更策划
-
- 7.1 资源
-
- 7.2.1 总则
- 7.2.2 聘用过程
-
- 7.3.1 人员意识
- 7.3.2 人员培训
- 7.3.3 商业伙伴培训
- 7.3.4 意识和培训计划
- 7.4 沟通
-
- 7.5.1 总则
- 7.5.2 创建和更新成文信息
- 7.5.3 成文信息的控制
-
- 8.1 运行策划和控制
- 8.2 尽职调查
- 8.3 财务控制
- 8.4 非财务控制
- 8.5 控制的实施:受控组织和商业伙伴
- 8.6 反贿赂承诺
- 8.7 礼品、招待、捐赠和类似的好处
- 8.8 管理反贿赂控制的不足
- 8.9 提出疑虑
- 8.10 调查和处理贿赂行为
-
- 9.1 监视、测量、分析和评价
-
- 9.2.1 总则
- 9.2.2 内部审核方案
- 9.2.3 审核程序、控制和系统
- 9.2.4 客观性和公正性
-
- 9.3.1 总则
- 9.3.2 管理评审输入
- 9.3.3 管理评审结果
- 9.4 反贿赂职能的评审
-
- 10.1 持续改进
- 10.2 不符合和纠正措施
体系运行过程模型
| 阶段 | ISO37001中的定义 | 在标准中的核心映射 |
|---|---|---|
| P (策划) | 识别合规义务与风险点,制定合规目标和控制计划。 | 治理环境、领导承诺、风险与目标策划 |
| D (实施) | 推动制度执行、培训沟通、监督机制和职责落实。 | 支持与运行控制 |
| C (检查) | 开展监控评价、内审与管理评审,验证合规有效性。 | 绩效评价与监督机制 |
| A (处置) | 对违规和偏差实施纠正,持续完善合规管理体系。 | 不符合处置与持续改进 |
ISO37001 标准解读
- 暂无对应标准解读,欢迎联系我们获取专项方案。
信息安全运行控制
云服务信息安全控制措施
核心维度覆盖占比
个人身份信息(PII)保护控制措施
核心维度覆盖占比
个人信息安全规范控制措施
核心维度覆盖占比
公有云隐私控制措施
核心维度数量占比
隐私概念
隐私控制者 vs 隐私处理者 核心区别
| 对比维度 | 隐私控制者 | 隐私处理者 |
|---|
隐私控制措施分类
隐私控制措施分类占比
七项质量管理基本原则
领域控制措施
核心维度覆盖占比
数据安全能力成熟度等级
数据安全过程
认证咨询流程
初次获证要求
- 合规性证明需持有法律地位证明文件(如营业执照)
- 资质许可特殊认证范围,需提供必要的行政许可、资质证书、强制性认证证书
- 成立周期公司成立超过3个月
- 运行周期体系运行超过3个月
- 体系要求依据ISO37001标准建立符合的反贿赂管理体系
- 运行要求有健全的反贿赂管理体系运行证据
- 内审管评必须有一次完整的内审和管理评审
- 现场审核通过一二阶段现场审核,并完成不符合整改
证书维护要求
- 证书有效期反贿赂管理体系证书是三年有效期
- 监督审核反贿赂管理体系证书需每年一次监督审核,与上次审核间隔不超过12个月
- 再认证审核反贿赂管理体系证书有效期3年,到期前需进行一次换证审核,审核通过后,换发新三年周期的有效证书
- 变更审核当组织的反贿赂管理体系发生变化,比如公司业务调整、办公地址变化、组织机构调整、人员变化等,可申请证书变更,可结合监督审核 / 换证审核一起进行变更,也可以单独申请变更
- 证书暂停当证书超出监督审核周期时,证书进行暂停状态,暂停期间不可以使用证书
- 证书撤销当证书超出三年有效期而没有进行换证审核,或者在暂停截至日期前没有进行有效的监督审核,或发生重大质量安全事故或有严重违法违规行为,或被列入质量信用严重失信企业名单,证书会进行撤销处理
实施 ISO37001 的价值
- 合规体系建立合规职责、流程和问责机制。
- 违规预防降低违法违规和处罚风险。
- 治理透明提升决策过程可追溯与可审计性。
- 品牌信誉增强外部合作伙伴与客户信任。
- 内部协同强化法务、风控与业务协同。
- 持续改进基于监测和审计不断迭代优化。
与其他体系结合
常见问题及误区
Q1:ISO 37001只适用于有海外业务的企业,国内企业无需建立?
A:不是,该标准适用于所有类型、规模的组织,无论是否有海外业务,均可通过体系管控商业贿赂、职务贿赂等风险,符合国内反贿赂法律法规要求。
Q2:反贿赂管理只是企业高层/财务部门的责任,基层员工无需参与?
A:不是,反贿赂风险存在于各业务环节(如采购、销售、招投标),基层员工是一线执行主体,标准要求开展全员反贿赂培训,明确各岗位反贿赂职责。
Q3:企业制定了反贿赂制度,就等同于建立了ISO 37001体系?
A:不是,制度只是基础,该体系是全流程的反贿赂管控机制,包括风险识别、尽职调查、礼品款待管理、举报机制、调查处置等,远不止单一制度。
Q4:只有高风险行业(如工程、金融)才需要ISO 37001认证,普通行业无贿赂风险?
A:不是,任何行业的经营活动(如供应商合作、客户对接)均可能存在贿赂隐患,体系能帮助企业识别自身专属风险,实现精准管控。
Q5:通过ISO 37001认证,就能完全杜绝贿赂行为?
A:不是,认证是对反贿赂管理体系的有效性认可,体系要求企业持续监控和改进,及时识别新的贿赂风险点,更新管控措施,降低贿赂行为发生概率。
认证及咨询费用
费用影响因素占比
一线城市或多办公场所会增加差旅与审核组织成本,偏远地区可能有额外服务费用。
人员规模影响审核人日和咨询工作量,人数越多,评估与辅导投入越高。
业务线越多、范围越广,体系边界与过程设计越复杂,实施成本会同步增加。
不同认证机构的品牌影响力、审核规则与项目组织方式不同,费用差异较明显。
资深顾问、定制化交付与全流程辅导方案,通常较基础辅导投入更高。
加急周期会带来额外资源协调成本,常规周期通常更具费用优势。