一、ISO 37301:2021 4.5 标准原文

二、条款解读说明

2.1 合规义务是合规管理体系的直接管理对象

4.1和4.2帮助组织理解环境和相关方，4.5则进一步把这些输入转化为可管理的“合规义务”。ISO 37301强调的是系统识别组织活动、产品和服务所产生的义务，并评估这些义务对运行的影响。也就是说，合规义务不能停留在法律部门头脑中，也不能只是一份法规目录，而应成为连接业务活动、责任岗位、控制措施和监测机制的核心台账。

2.2 合规义务既包括强制性要求，也可能包括组织自愿采纳的要求

2.3 义务识别必须与具体活动、产品和服务相连

标准没有要求组织维护一份抽象的法规清单，而是要求识别其活动、产品和服务所产生的义务。这一点非常关键。只有把义务与采购、销售、雇佣、招投标、数据处理、财税处理、第三方中介使用、跨境经营等具体场景建立关系，组织才能判断哪些岗位要履责、哪些流程要嵌入控制、哪些业务一旦变化就会触发义务更新。

2.4 4.5特别强调新增和变更义务的持续识别

合规义务是动态变化的。法律修订、监管口径变化、合同新增条款、客户准入标准提高、行业规则更新，都会带来新的合规要求。ISO 37301因此要求组织建立识别新增和变更义务的过程，并评估这些变化对组织运行的影响。能否持续更新，决定了组织是“静态合规”还是“持续合规”。

2.5 义务变更后的影响评估是4.5容易被忽视的重点

很多组织会收集法规更新信息，但止步于转发邮件或更新法规库，没有进一步判断业务、流程、系统、培训和第三方管理需要做什么调整。标准明确要求评估变更义务对组织运行的影响，并进行必要调整。这意味着4.5不仅是识别工作，还是一项管理变更工作。

三、实施要点

3.1 建立统一的合规义务台账

• 对每项义务记录来源、适用范围、责任部门、控制措施和更新时间。
• 将义务与具体业务活动、产品和服务关联。
• 避免法律条文和业务执行分离管理。

3.2 建立义务更新渠道

• 通过监管订阅、行业协会、法律顾问、客户合同审查和内部变更流程持续获取新增要求。
• 对境外经营和特殊行业设置专项更新机制。
• 不要把义务更新仅依赖个人经验或零散提醒。

3.3 对变更义务做影响分析

• 评估新义务会影响哪些制度、流程、系统、第三方和岗位。
• 明确需要补充的控制、培训、授权和文件更新动作。
• 对高影响义务变更设置专项实施计划。

3.4 让义务管理与风险和审核联动

• 把义务变化同步导入风险评估和内部审核重点。
• 对未落实的关键义务建立整改跟踪。
• 通过管理评审确认重要义务变化是否已被充分吸收。

四、常用工具与实施方法

五、典型案例

案例1：客户合规条款未纳入义务管理

1. 背景：企业签署了含反舞弊、商业礼品限制和举报义务的客户合同。
2. 问题：业务签完即归档，合规和HR并未据此调整制度与培训。
3. 改进：将客户条款纳入4.5义务台账，并同步更新方针、培训和审批要求。

案例2：法规更新后制度滞后

1. 背景：监管要求发生变化，但企业仅在法规库中更新文本，没有调整流程。
2. 问题：义务已识别，管理却未改变，形成“知道但没改”的风险。
3. 改进：增加义务变更影响评估和实施跟踪，直到制度和操作同步完成。

案例3：跨区域经营义务识别不完整

1. 背景：企业在不同地区设有分支，但义务清单仅由总部统一编制。
2. 问题：地方监管和许可要求未被充分纳入。
3. 改进：建立“总部统筹+区域补充”的义务识别机制，防止漏项。

六、成文信息管理要求

4.5明确要求组织保持合规义务的文件化信息，因此义务管理台账应被视为核心基础文件。

1. 建议保留的成文信息
   • 合规义务清单或义务登记册
   • 义务来源、适用性判断和责任分配记录
   • 新增或变更义务更新台账
   • 义务变更影响分析和实施调整记录
   • 与业务活动、风险和审核计划的关联文件
2. 管理要求
   • 义务文件应保持可检索、可更新、可追溯。
   • 重大义务变更应保留版本和审批痕迹。
   • 义务清单应能支持培训、审计和问责，而不仅供法务查阅。

七、常见误区及踩坑提醒