合規調查是實現合規管理的重要手段，有效的合規調查能幫助組織識別出不合規行為的根本原因，為組織改進合規管理體系提供支撐。ISO 37301《合規管理體系 要求及使用指南》是ISO 19600：2014《合規管理體系 指南》的修訂版，對合規調查提出了新的要求。本文對ISO 37301中有關合規調查的新要求進行歸納和總結，并從理解和實施應用的角度進行解讀分析。
ISO 37301中有關合規調查過程的要求分析
一、引言
合規是組織可持續發展的基石，是一個組織走向規范經營的系統化過程。有效合規管理體系的一個特點，就是有一個良好的運行機制，對組織、及其人員或有關第三方的不當行為的任何指控或懷疑進行及時和徹底的調查。新版標準ISO 37301[1]以ISO 19600[2]：2014為基礎進行修訂，由一個指南性標準修訂為要求性標準，并在第八章新增了“8.4調查過程”(Investigation processes)，對組織開展合規調查提出了要求。
二、新版標準對調查過程要求的分析
何為“調查”?新版標準對此并未明確定義，但同樣隸屬于國際標準化組織機構治理標準化技術委員會(ISO/TC 309)的另一個國際標準工作組-舉報工作組(WG3)正在制定的ISO/FDIS 37002《舉報管理體系 指南》則給出了定義，認為調查是指通過建立事實和客觀評價，以確定不當行為是否已經發生、正在發生或可能發生及其發生程度的系統的、獨立的和記錄在案的過程[3]。
關于合規的調查過程，新版標準在8.4條款提出了以下五點要求。
1.組織應制定、建立、實施和保持過程以對可疑的或實際的不合規情況進行評估、評價、調查和關閉報告，這些過程應確保公平、公正的決策。
2.調查過程應由有能力的人員獨立進行，且不存在利益沖突。
3.適用時，組織應將調查結果用于改進合規管理體系。
4.組織應定期向治理機構或最高管理者報告調查的數量和結果。
5.組織應保持調查的文件信息。
在確保調查過程公正、獨立方面，新版標準建議組織在適當時可設立獨立委員會監督調查過程，并保證其完整性和獨立性。
同時，新版標準還建議組織建立一個調查報告機制，包括報告調查結果的級別等內容。實踐中，法律有時會要求組織報告其不合規行為，在這種情況下，組織需要根據適用的法規或其他約定通知相應的監管機構，即使法律沒有要求組織報告不合規行為，組織也可以考慮自愿向監管機構披露不合規行為，以減輕不合規的后果。
關于“文件信息”， 新版標準給出的定義是“需要由組織控制和維護的信息及其所包含的媒介”。盡管新版標準并未對保留哪些文件信息以及如何保留提出進一步的要求，但實際上，保留文件信息是管理體系標準的通用要求，是體系運行規范的重要體現。文件信息可以任何格式和載體存在，并可來自任何來源。在合規調查方面，可考慮保留的文件信息包括舉報、計劃、證據、訪談、報告等調查過程中所有輸入和輸出的信息。在實踐中，這些文件信息往往也會被按照不同的保密等級進行保管。
三、如何應對新版標準對調查過程的要求
針對合規調查過程這部分的要求，本文認為，組織可從以下幾個方面進行應對并有效實施調查。
1.基于風險構建合規調查機制
組織應基于風險建立調查機制。若有可靠的信息表明，員工或商業伙伴存在不當行為，或者在接到舉報或發現合規風險時，無論是最高管理層還是合規職能團隊，都應評估已知的事實和問題的潛在嚴重性，若現有的事實沒有足夠的理由或證據支撐決策，則應及時啟動調查，必要時終止與第三方的合作。調查必須徹底、獨立且具有分析性。
調查應由有能力的人員進行，他們可以來自合規職能團隊、內部審計部門、法律部門或其他合適的管理者或第三方，這些人員必須是非被調查對象，也不存在任何利益沖突，并且具備豐富的調查經驗。實踐中，合規調查通常由合規職能團隊組織執行，若涉及跨國、跨領域、跨部門等，調查過程則應由合規職能團隊、內部審計部門或法律部門的最高級別進行協調。
2.制定可執行的調查計劃
啟動調查后，制定調查計劃是開展調查的關鍵。調查計劃應每周或根據需要更新，以便調查組成員和組織管理者及時獲得最新進展。在調查結束后，調查計劃也有助于調查報告的編制。
不同的調查計劃詳細程度各不相同，但一個完整的調查計劃應該包括預測、證明或反駁的要素、調查步驟、成功概率、預計完成日期五個不同階段，每個階段的特點和要求也不盡相同，如附表。
3.查明事實，收集必要的證據
調查應當及時查明事實，收集必要的證據。建議的調查途徑包括文檔收集、數據分析、詢問訪談等。在開始訪談和詢問之前，首先要熟悉與調查案件相關的政策規定，審查有關的文件和證據，期間，防止銷毀證據及串通也是非常必要的。同時，盡可能保留相關的證據信息[4]。
此外，在執行調查過程中，調查人員須明確以下“四個要”和“四個不要”。
(1)要考慮適用的法律。
(2)要注意誹謗的風險。
(3)要保護調查涉及的所有相關人員。
(4)要考慮潛在的刑事和民事責任、經濟損失及對組織和個人聲譽的損害。
(5)不要把人員安全視為理所當然。
(6)不要以為人員會全力配合調查。
(7)不要忽視任何法律義務、組織的利益和上報的責任。
(8)不要相信有關人員會對問題和調查保密，直到事實已經確定。
4.潛在不當行為的分析和補救
根據新標準要求，在適用時，組織應將調查結果用于改進合規管理體系。實際上，有效的調查機制能識別出不當行為、合規管理體系的漏洞以及管理者、最高管理者和治理機構責任缺失的根本原因，嚴謹的根因分析能指出不合規的程度和普遍性、涉及人員的數量和級別，以及不合規的嚴重性、持續時間和頻率。在調查過程中，組織可以從付款體系著手分析，如實施不當行為的資金是如何獲得的。
此外，調查組還應從全局審視現有的合規管理體系，包括哪些控制措施是無效的，禁止性措施是否得到了執行，事前是否發現了不當行為，事前預警機制是否存在漏洞，可以采取哪些補救措施防止再次發生及解決根本問題，管理層是否需要擔責等。
5.建立報告機制和禁止報復機制
新標準對報告調查結果的級別也明確提出了要求。記錄調查與執行調查一樣重要，組織應建立報告機制，包括向誰報告、如何報告、報告內容、誰能獲取報告等內容，報告的方式可根據實際情況選用書面調查報告、口頭調查報告、證明或宣誓書、非正式報告等形式。
對合規舉報、合規調查的打擊報復行為不會阻止、減少違規行為，反而會助長歪風邪氣，不利于組織的長遠發展。因此，管理者應從提升組織治理水平、幫助組織規避風險的高度認識合規舉報、合規調查的重要性，建立保密和禁止報復機制，在調查結果確定之前應對調查的進展情況保密，對于報告人的身份也應保密，除非該報告被用作收集進一步的證據，且被用作證據本身。即將出臺的ISO 37002《舉報管理體系 指南》國際標準，也將為組織在保護舉報人方面提供更為具體的指引。
四、結論
合規調查是合規管理體系的有機組成部分。在合規或者賄賂方面，組織面臨的情況通常是復雜多樣的。要回應這些問題，必須明確誰來調查、調查的規模以及如何獲取相關的信息。此外，組織還應基于調查結果審視其合規程序，及時補救完善，充分發揮合規調查的積極作用，幫助組織識別風險，進一步完善合規管理體系。
[參考文獻]
[1] Compliance management systems — Requirements with guidance for use: ISO /FDIS 37301[S].
[2] Compliance management systems — Guidelines: ISO 19600:2014[S].
[3] Whistleblowing management systems – Guidelines: ISO/FDIS 37002[S].
[4] Occupational health and safety management systems – General guidelines for the application of ISO 45001 Part 3: Guidance on incident investigation: BS 45002-3:2018[S].
中企檢測認證網提供iso體系認證機構查詢，檢驗檢測、認證認可、資質資格、計量校準、知識產權貫標一站式行業企業服務平臺。中企檢測認證網為檢測行業相關檢驗、檢測、認證、計量、校準機構，儀器設備、耗材、配件、試劑、標準品供應商，法規咨詢、標準服務、實驗室軟件提供商提供包括品牌宣傳、產品展示、技術交流、新品推薦等全方位推廣服務。這個問題就給大家解答到這里了，如還需要了解更多專業性問題可以撥打中企檢測認證網在線客服13550333441。為您提供全面檢測、認證、商標、專利、知識產權、版權法律法規知識資訊，包括商標注冊、食品檢測、第三方檢測機構、網絡信息技術檢測、環境檢測、管理體系認證、服務體系認證、產品認證、版權登記、專利申請、知識產權、檢測法、認證標準等信息，中企檢測認證網為檢測認證商標專利從業者提供多種檢測、認證、知識產權、版權、商標、專利的轉讓代理查詢法律法規，咨詢輔導等知識。
本文內容整合網站：百度百科、搜狗百科、360百科、知乎、市場監督總局 、國家認證認可監督管理委員會、質量認證中心
免責聲明：本文部分內容根據網絡信息整理，文章版權歸原作者所有。向原作者致敬！發布旨在積善利他，如涉及作品內容、版權和其它問題，請跟我們聯系刪除并致歉！