一、ISO 37301:2021 7.2 标准原文

二、条款解读说明

2.1 7.2覆盖的是人员全生命周期能力管理

ISO 37301的7.2并不只是“做培训”这么简单，而是包括岗位能力识别、招聘与晋升前的尽职调查、入职导入、在岗培训、违规后的纪律处分、激励机制复核和第三方培训等多个环节。它实际上要求组织把“谁来做事、是否胜任、做不好如何纠正、激励是否扭曲行为”作为合规管理体系中的一项系统工程来对待。

2.2 能力管理至少包含三类控制

2.3 高风险岗位的能力要求不应与普通岗位等同

标准要求识别“能够影响合规绩效”的人员所需能力，这意味着能力管理应具有风险导向。销售、采购、招投标、第三方管理、费用审批、数据处理、调查处理、财务和管理岗位，对合规绩效的影响程度不同，其能力门槛也应不同。组织如果只做统一的新员工入职培训，而没有对高风险岗位设置更高要求，往往难以真正防控关键风险。

2.4 激励机制本身也可能制造不合规风险

7.2.2专门要求对绩效目标、奖金和其他激励措施进行定期评审，以验证是否有适当措施来防止导致不合规。这是一个非常务实的要求。现实中很多不合规行为并不是因为员工“不懂”，而是因为激励机制把他们推向了短期业绩导向。组织如果希望能力管理真正有效，就必须同时审视“员工会不会做”和“员工有没有被制度激励去做错的事”。

2.5 培训有效性比培训次数更重要

标准不仅要求培训，还要求进行有效性评估并定期评审。这意味着培训不能只看参与率或签到率，而应关注受训人员是否真的理解了岗位义务、流程要求、报告路径和违规后果。特别是在高风险岗位和第三方培训场景下，培训的可理解性和可转化性比“培训做过”更重要。

三、实施要点

3.1 建立岗位能力矩阵

• 识别对合规绩效影响较大的岗位和对应能力要求。
• 区分基础能力、专业能力和高风险岗位专项能力。
• 将能力要求与招聘、晋升和培训标准挂钩。

3.2 把合规要求嵌入雇佣过程

• 在劳动关系建立时明确遵守方针、程序和义务是基本条件。
• 对高风险岗位实施背景调查、任职资格复核和调岗前审查。
• 对违规行为形成清晰、一致的纪律处分机制。

3.3 建立岗位化培训体系

• 新员工培训覆盖合规方针、举报机制和岗位基本义务。
• 高风险岗位培训聚焦具体业务场景、判断标准和案例。
• 对第三方中介、代理和外包人员视风险开展培训和意识提升。

3.4 评估培训与激励机制的真实效果

• 通过测试、访谈、抽查和行为数据验证培训成效。
• 定期评估奖金和目标设置是否鼓励违规捷径。
• 必要时调整绩效规则，防止“学的是合规，考的是冲业绩”。

四、常用工具与实施方法

五、典型案例

案例1：高风险岗位没有任前审查

1. 背景：某企业将关键渠道经理岗位直接由高业绩员工接任，没有做岗位尽调。
2. 问题：该岗位高度敏感，却缺少任前风险把关。
3. 改进：把高风险岗位晋升纳入7.2.2控制，增加背景和行为记录复核。

案例2：培训做了但问题依旧高发

1. 背景：企业每年组织一次统一培训，但第三方管理违规仍然反复出现。
2. 问题：培训内容过于泛化，未针对关键岗位和场景。
3. 改进：改为岗位化培训，并通过测试和抽查验证有效性。

案例3：激励机制诱发违规

1. 背景：销售奖金完全与短期签约额挂钩，导致灰色促销和合规绕行增加。
2. 问题：激励与合规要求不一致。
3. 改进：定期评审激励机制，将合规表现纳入考核条件和奖金发放门槛。

六、成文信息管理要求

7.2对能力证据和培训记录都有明确要求，因此人员能力管理相关文件应当系统保留。

1. 建议保留的成文信息
   • 岗位能力要求、胜任力矩阵和任职资格标准
   • 入岗、调动、晋升前的尽职调查和审查记录
   • 培训计划、课件、签到、测试和有效性评估记录
   • 第三方培训和意识提升记录
   • 激励机制评审、纪律处分和整改记录
2. 管理要求
   • 能力和培训记录应与具体岗位、具体人员和具体时间对应。
   • 高风险岗位的能力证据应能支持审计和问责。
   • 培训记录不仅要证明“参加过”，还应能证明“评估过效果”。

七、常见误区及踩坑提醒