一、ISO 37301:2021 8.2 标准原文

二、条款解读说明

2.1 控制和程序是合规管理体系的具体防线

合规义务和风险被识别出来之后，最终都要落实为控制和程序。控制可以是审批、复核、分权、系统限制、尽职调查、合同条款、培训、抽查、留痕等；程序则是这些控制如何按顺序、按责任运行的规则。ISO 37301第8.2条要求组织建立控制以管理义务和风险，并对控制进行维护、评审和测试，说明真正重要的不只是控制“设计得存在”，而是控制“持续有效”。

2.2 8.2强调控制管理的三个阶段

2.3 控制设计必须针对风险机理，而不是只做表面动作

如果风险来自第三方准入不严，控制就应围绕尽职调查、审批和持续监督；如果风险来自激励扭曲，控制就应涉及绩效规则和复核；如果风险来自数据访问过宽，控制就应包括权限分级、日志和审计。很多组织的问题不在于“没有控制”，而在于控制与风险机理不匹配，最后只能增加流程负担，却不能真正减少不合规概率。

2.4 控制测试是8.2的关键要求

标准专门对“测试控制”作出解释，强调要检验控制是否按既定目的运行、不能被规避、能否实际降低风险。这意味着控制测试不是简单抽查是否留有表单，而是要检查控制是否真实发挥作用。例如，审批是否只是形式签字、系统限制是否能被管理员绕过、尽调是否真的影响准入、培训是否真的改变行为。没有测试，组织很难知道控制是否仍然有效。

2.5 维护和评审要求控制随业务变化更新

即使某项控制最初设计得很合理，随着组织战略、流程、系统和第三方环境变化，它也可能不再适用。标准要求维护、定期评审和测试，说明控制管理不是一次性工作。尤其在流程数字化、组织架构调整、并购整合和外包模式变化后，旧控制往往容易出现空档和绕行点。

三、实施要点

3.1 建立“风险-控制”对应关系

• 为每项重大风险设计具体控制措施和程序，不用泛化措施替代。
• 明确控制目标、责任人、执行频率和留痕要求。
• 区分预防性控制、发现性控制和纠正性控制。

3.2 将控制嵌入流程和系统

• 通过审批流、权限管理、自动校验、双重复核和清单管理固化控制。
• 减少纯人工提醒型控制，提升可执行性和可验证性。
• 确保程序可被一线人员理解和操作。

3.3 定期开展控制评审和测试

• 按风险高低设定测试周期，对关键控制进行更高频验证。
• 检查控制是否存在失效、规避、执行偏差和证据缺失。
• 将测试结果反馈给流程设计、培训和问责机制。

3.4 根据评审结果持续优化控制

• 业务模式变化时同步调整控制和程序。
• 对被证明无效或成本高、效果低的控制及时重构。
• 对高风险场景保留强化控制和升级机制。

四、常用工具与实施方法

五、典型案例

案例1：审批控制长期形式化

1. 背景：企业规定高风险费用需审批，但审批人长期只看金额不看实质资料。
2. 问题：控制存在，但未达到原始控制目标。
3. 改进：通过控制测试识别形式化问题，并补充审查要点和责任要求。

案例2：系统控制被管理员例外绕过

1. 背景：业务系统设置了权限限制，但管理员可临时开放且无充分审批留痕。
2. 问题：控制可被规避，风险实际未被压降。
3. 改进：增加高权限操作审批、日志审计和周期复核。

案例3：第三方尽调程序有表无效

1. 背景：企业要求合作方尽调，但只要表格填完就默认通过。
2. 问题：程序存在，但无法有效筛除高风险对象。
3. 改进：通过测试回看问题案例，重新设计评分、审批和拒绝规则。

六、成文信息管理要求

8.2要求组织能证明控制和程序已建立、被维护并经过评审测试，因此控制设计和运行证据都应纳入文件管理。

1. 建议保留的成文信息
   • 风险-控制矩阵和标准程序文件
   • 控制责任清单、执行频率和留痕要求
   • 控制维护、评审和测试计划
   • 测试样本、测试结论和整改记录
   • 控制优化和变更后的复核记录
2. 管理要求
   • 控制文件应明确控制目标和适用范围。
   • 测试记录应能证明控制是否被绕过、是否有效。
   • 高风险控制的缺陷应进入问责和改进闭环。

七、常见误区及踩坑提醒