一、ISO 37301:2021 5.2 标准原文

二、条款解读说明

2.1 合规方针是CMS的最高层行为准则

合规方针不是普通通知，也不是对外宣传口号，而是治理机构和最高管理者正式发布的原则性文件。它的作用在于把组织对合规的底线、方向和治理逻辑表达清楚，并为后续目标、程序、培训、问责和沟通提供统一基准。一个好的合规方针，既能指导内部行为，也能向相关方传递组织的治理立场。

2.2 5.2对方针内容提出了明确要求

2.3 方针必须与组织价值观、目标和战略一致

标准特别强调合规方针应与组织价值观、目标和战略一致，这意味着方针不能脱离组织真实经营逻辑。若企业战略高度依赖第三方渠道、快速扩张或跨境经营，方针就应能反映对第三方治理、跨区域合规和稳健增长的要求。否则，方针再漂亮，也难以被业务视为与自身工作有关。

2.4 “通俗易懂”是方针有效性的关键条件

许多组织的政策性文件习惯采用法律化、抽象化表达，员工读完仍然不知道对自己意味着什么。ISO 37301专门要求合规方针应用通俗易懂的语言书写，并便于所有人员理解其原则和意图。这说明方针首先是管理工具，其次才是合规文本。能被理解、能被引用、能被用于培训和决策，才是好方针。

2.5 只发布不执行，方针会迅速失去权威

5.2不仅要求方针被制定，还要求被适当地实施和执行。组织如果把合规方针停留在官网和文件系统中，日常决策、绩效激励和问责机制却与其相反，那么方针很快会被员工视为空话。真正的落实，需要把方针转化为目标、程序、培训和管理层行为。

三、实施要点

3.1 由治理机构和最高管理者主导制定

• 方针应由治理机构或最高管理者正式批准发布，而非仅由职能部门草拟后自行生效。
• 起草时同步考虑战略方向、主要风险和组织价值观。
• 避免照搬模板，忽略组织真实特点。

3.2 确保方针内容完整且易理解

• 明确承诺遵守合规义务、持续改进、鼓励报告疑虑和禁止报复。
• 说明合规职能的定位和基本治理原则。
• 用员工能听懂、管理者能引用的语言表达，而不是纯法律术语。

3.3 将方针转化为落地动作

• 把方针要求衔接到6章目标、7章培训沟通和8章运行控制中。
• 确保违规后果、举报保护和管理层责任有相应制度支撑。
• 将方针内容纳入新员工培训和管理者宣导。

3.4 建立传播和更新机制

• 在内部通过培训、门户、手册、签收确认等方式传播。
• 适宜时向客户、合作方、投资者等利益相关方公开。
• 在战略重大变化、法规变化或重大事件后评审方针是否需要修订。

四、常用工具与实施方法

五、典型案例

案例1：企业把方针从“法务语言”改成“管理语言”

1. 背景：原方针由法务起草，员工普遍觉得与自己工作无关。
2. 做法：重写文本，加入举报保护、违规后果、管理者责任和合规职能定位等内容。
3. 结果：方针开始被培训、绩效沟通和管理会议实际引用。

案例2：对外公开承诺后倒逼内部执行

1. 背景：企业希望提升客户和合作伙伴对其治理能力的信心。
2. 做法：在官网和供应商手册中公开合规方针，并同步建立签收、培训和举报机制。
3. 结果：方针不再只是内部文件，而成为外部可监督的治理承诺。

案例3：方针长期不更新与战略脱节

1. 背景：企业已大规模出海，但方针仍围绕本地传统经营模式编写。
2. 问题：方针无法为新区域、新第三方模式和跨境风险提供方向。
3. 改进：结合战略变化重新评审并更新方针内容。

六、成文信息管理要求

5.2明确要求合规方针作为文件化信息可获取，因此方针本身及其宣贯、更新和执行证据都应受到正式管理。

1. 建议保留的成文信息
   • 合规方针正式版本和批准记录
   • 方针起草依据、评审意见和修订历史
   • 对内传达、培训和签收确认记录
   • 对外公开渠道和公开版本记录
   • 方针与目标、程序、问责机制的对应关系文件
2. 管理要求
   • 应控制方针版本，避免多个旧版本并存。
   • 宣贯记录应证明相关人员确实接触到方针。
   • 重大变化后应评审方针适用性并及时更新。

七、常见误区及踩坑提醒