01
合规治理嵌入决策
重大合同、关联交易、跨境数据传输与人员录用设置合规会签节点，意见写入决议，避免事后补签。
合规经理 · 装备制造
出口管制筛查从物流补件改到下单闸门
以往放行靠货代提醒。专项后物项分类与最终用户问卷进入 ERP 节点，命中 SDN 或实体清单的订单无法生成发运单。两个季度内高风险拦截全部留痕，漏筛复查为零。
正合企业合规
企业合规治理与内控体系建设
把红线清单、岗位职责与审计证据写进日常审批，而不是项目结束后补档。
正合企业合规依据 ISO 37301:2021 与 GB/T 35770 搭建可审计的合规管理体系，覆盖反商业贿赂、数据出境、出口管制、反垄断与劳动用工。评估后给出责任链条、红线清单与整改优先级，制度、培训、筛查日志与管理层汇报按条款归档，并与现有内控、法务、审计职能衔接。
- 红线清单
- 制度嵌入
- 审计闭环
- 持续监测
01 / 03
ISO
ISO 37301:2021合规管理体系
国标
GB/T 35770合规管理指南
数据
数据合规审计出境路径核验
管制
出口管制筛查最终用户核对
反贿
反商业贿赂礼品招待红线
用工
劳动用工合规工时与合同审阅
服务方法
企业合规治理的三条可核验主张
合规意见进入投决、采购、数据出境与人事审批；红线触发、整改任务与关闭证据共用编号；制度、培训与筛查日志按条款归档，供内控抽检与外部检查调用。
02
风险闭环可追踪
从红线触发、整改任务到关闭证据，一条编号贯穿业务、内控与审计，季度复核未关闭项。
03
可审计的证据链
制度版本、培训签到、筛查日志与管理层汇报按 ISO 37301 条款结构归档，检查时可直接调取。
体系建设
正合企业合规如何把标准写成可运行控制
集团总部、控股子公司与跨境经营单元按同一条款结构拆分职责：组织环境、领导作用、策划、支持、运行、绩效评价与改进。每一条对应制度编号、控制点和证据目录，而不是单独成册的口号性手册。
数据出境走安全评估、个人信息保护认证或标准合同三条路径之一，先画传输图再定法律基础。出口管制与反贿赂筛查对接名单类型，命中后进入冻结、升级与书面豁免，留存查询日志。
- ISO 37301:2021
- 条款结构：组织环境、领导作用、策划、支持、运行、绩效评价、改进。
- GB/T 35770
- 与 ISO 37301 对齐的合规管理体系要求，用于国内集团制度对标与内审检查表。
- 数据出境要点
- 传输图、法律基础、影响评估、接收方约束与再传输限制，按路径准备材料。
- 筛查名单类型
- SDN / Entity List、不可靠实体清单、出口管制管控名单、欧盟制裁名单。
场景方案
企业合规场景：识别到审计的五步走法
按数据合规、反商业贿赂、反垄断、出口管制、劳动用工与供应链拆开。每条场景沿识别、评估、制度、培训、审计推进，配控制要点与封面示意，便于法务、内控与业务共同对照。
数据合规与出境评估
- 识别
- 评估
- 制度
- 培训
- 审计
- 梳理个人信息与重要数据目录、系统接口和跨境传输路径。
- 判断安全评估、认证或标准合同路径，补齐影响评估材料。
- 写入分类分级、最小必要、留存删除与供应商数据处理条款。
- 对产品、研发、客服按场景演练调取、导出与对外提供。
- 抽检访问日志、授权记录和出境台账，关闭超范围处理项。
反商业贿赂与礼品招待
- 识别
- 评估
- 制度
- 培训
- 审计
- 识别销售费用、经销商支持、礼品招待与公益捐赠等资金出口。
- 按金额、对象、频次划分红线，明确事前申报与禁止情形。
- 礼品登记、利益冲突申报与第三方中介准入写入制度。
- 对销售、采购、市场做案例考核，不合格者暂停费用权限。
- 抽样核验发票、签到与资金流向，异常项进入调查卷宗。
反垄断合规与竞争协议审查
- 识别
- 评估
- 制度
- 培训
- 审计
- 识别经销协议、行业协会交流、价格协同与排他安排。
- 评估横向协议、纵向限制与滥用市场支配地位风险等级。
- 竞争合规条款嵌入合同模板，敏感议题设置会议禁区清单。
- 对销售管理与法务联合培训，演练行业协会发言口径。
- 抽查定价邮件、会议纪要与客户投诉，形成整改闭环。
出口管制合规与最终用户筛查
- 识别
- 评估
- 制度
- 培训
- 审计
- 识别物项、技术、软件与再出口路径，建立产品分类台账。
- 对照管控名单与最终用途问卷，判断许可与拦截条件。
- 订单、物流、技术披露节点设置筛查闸门与双人复核。
- 对商务、物流、研发做物项分类与问询话术培训。
- 复核筛查日志、放行记录与例外审批，关闭漏筛项。
劳动用工合规与工时台账
- 识别
- 评估
- 制度
- 培训
- 审计
- 识别劳动合同、工时制度、派遣外包与离职管理差异。
- 评估超时加班、薪酬结构、竞业限制与用工主体风险。
- 修订员工手册、电子签流程与加班审批权限。
- 对人事、直线经理做工时与处分程序培训考核。
- 抽检考勤、工资表与解除协议，关闭程序瑕疵。
供应链合规与第三方尽职调查
- 识别
- 评估
- 制度
- 培训
- 审计
- 识别关键供应商、代理商、物流商及其受益所有人。
- 按地区、物项、资金规模分级，决定问卷、访谈或现场核验。
- 准入、续签与付款挂钩尽职调查结论和整改承诺。
- 采购与供应商管理岗位掌握红线问询与升级路径。
- 复核调查卷宗、付款例外与退出记录，形成可追溯档案。
方法组件
企业合规核心方法：六项可落地控制
制度嵌入岗位、审计留轨迹、红线可触发、培训可考核、第三方可筛查、整改可关闭。每项对应具体场景，避免六套空泛口号并列。
制
制度嵌入岗位
把会签、申报、冻结写成岗位说明书和系统权限，而不是单独印发手册。版本号与生效日同步内网。
查看对应场景审
审计轨迹留存
操作人、时间、对象、结论写入同一编号。抽检可按条款回放，避免截图散落在个人邮箱。
查看对应场景线
红线清单触发
礼品、定价协同、受制裁主体、超范围导出等情形前置拦截，命中后强制升级合规岗。
查看对应场景训
培训考核到人
按销售、研发、人事分场景出题，未通过者限制费用或数据权限，补考记录进入人事档案。
查看对应场景筛
第三方名单筛查
客户、供应商、最终用户与受益所有人对单，命中策略区分拒绝、冻结与有条件放行。
查看对应场景改
整改闭环关闭
发现项指定责任人、期限与验证方式，逾期升级管理层。关闭需证据，禁止口头销项。
查看对应场景企业合规不是运动式整改，而是把责任、红线与证据留在每天的审批里。
汽车零部件出口 · 出口管制筛查
订单与技术披露节点上线名单核对，高风险主体在审批内拦截，例外放行双人签字。
连续两个季度高风险交易拦截留痕率 100%
零售连锁 · 劳动用工合规
工时制度、电子签与加班审批合并进排班系统，门店抽检发现项按编号关闭。
制度修订周期压缩至 90 日内完成一轮
跨境互联网服务 · 数据合规
出境路径改为标准合同加最小必要字段，客服导出权限与培训考核绑定。
超范围导出工单下降，抽检关闭率 96%
对照
传统运动式整改与可审计企业合规体系
对照责任链条、证据留存、红线触发、管理层汇报与持续监测。差异写在机制上：临时工作组能否变成岗位职责，截图能否变成条款编号。
| 对照项 | 传统运动式整改 | 可审计企业合规体系 |
|---|---|---|
| 责任链条 | 临时工作组、文件会签后解散 | 三道防线岗位写入职责与权限，子公司同步 |
| 证据留存 | 邮件、截图、个人文件夹 | 按条款编号归档制度、培训、筛查与汇报 |
| 红线触发 | 事后通报、内部批评 | 名单筛查与审批拦截，命中即升级 |
| 管理层汇报 | 年终总结或迎检材料 | 季度合规要点与重大事项即时上报 |
| 持续监测 | 项目结束即停 | 关键控制点抽检、复盘与再培训 |
实践
企业合规实践故事：岗位、场景与结果
以下摘要来自集团内控与合规岗位的专项推进，记录行业、场景和可核对指标，便于对照自身责任链条与证据缺口。
数据保护专员 · 在线服务
数据出境评估先画路径再选法律基础
产品海外节点与客服工单混用同一套字段。梳理后境外接收方只保留工单编号与必要联系方式，法律基础改为标准合同，超范围导出与培训未通过账号同步冻结。
内控负责人 · 连锁零售
劳动用工合规与排班系统共用一套台账
门店加班靠纸质申请。接入电子签与工时上限预警后，抽检发现项按编号关闭，人事制度与员工手册在 90 日内完成一轮修订并完成经理考核。
280已完成企业合规专项项目，覆盖集团总部与子公司同步。
12覆盖场景类别，含数据、反贿赂、反垄断、出口管制、用工与供应链。
90制度修订周期（日）：从差距清单到生效版本的常规节奏。
96审计发现关闭率（%），关闭须附证据，禁止口头销项。
评价
企业合规岗位对专项交付的书面评价
摘录内控负责人、合规经理与数据保护专员对制度包、筛查规则和审计底稿的使用感受，侧重可执行性，而非口号。
★★★★★ 已完成专项
红线清单能直接挂进费用系统。销售再报经销商支持，超过阈值必须合规会签，审计抽检时不再翻聊天记录。
内控负责人连锁零售 · 反商业贿赂专项
★★★★★ 已完成专项
出境评估材料按路径拆开后，法务和产品终于用同一张传输图说话，标准合同附件也能对上字段清单。
数据保护专员在线服务 · 数据合规
★★★★☆ 已完成专项
子公司不再各写一套手册。条款结构对齐 GB/T 35770 后，内审检查表可以集团通用，差异只留在岗位清单。
合规经理制造业集团 · 合规治理
★★★★★ 已完成专项
最终用户问卷进了下单页。命中管控名单的订单停在商务端，物流看不到发运按钮，漏筛复查才真正做完。
贸易合规专员装备出口 · 出口管制
资讯
企业合规资讯摘要
选取与数据出境、反贿赂证据口径、出口管制分类及用工电子签相关的要点快报，便于对照现行制度是否覆盖新的检查关注点。
个人信息出境标准合同备案后的企业合规要点
备案不是终点。接收方再传输、字段变更与存储地点调整都要回到传输图，制度与系统权限同步改，避免合同与实际处理两张皮。
反商业贿赂：经销商费用的证据留存口径
市场支持、进场费与赠品需对应活动方案、签到和资金流向。缺少第三方身份核验的发票，审计上按红线触发处理，不得用报销完成替代。
出口管制物项分类与最终用户筛查如何同步
分类结果不进主数据，筛查就只能停在名称比对。建议物项编码、技术参数与最终用途问卷同一订单号流转，例外审批写明名单来源。
劳动用工电子签与工时合规的审计关注点
电子签未绑定工时上限时，抽检仍会打回纸质加班单。审计关注签署意愿、工时真实性与处分程序，三者缺一即开具发现项。
问题澄清
企业合规常见异议
预算、是否只写制度、数据出境路径、子公司差异、认证与日常运营的关系，按可执行口径答复，便于立项前对齐预期。
不够。制度不进岗位权限和审批节点，检查时仍会回到个人邮箱找证据。建议先做红线清单与三条最高频场景的控制点，再扩写全套手册，避免一次性印发后无人执行。
不是。出境评估处理法律基础、传输图和接收方约束；日常数据合规还覆盖采集最小必要、内部调取、留存删除与供应商处理。两条线共用数据目录，但证据和责任人不同，不宜合并成一份报告交差。
条款结构可以统一对标 ISO 37301 与 GB/T 35770，岗位清单、红线阈值和审批人必须按法人主体拆分。建议母公司发通用模板，子公司只填差异表，内审检查表仍用同一编号，避免每家重写。
要。认证证明体系具备条款要素，日常运营仍需抽检红线触发、培训覆盖和发现项关闭率。没有持续监测，证书周期内仍可能在专项检查中暴露证据断档。
至少覆盖 SDN、Entity List、不可靠实体清单、出口管制管控名单及业务相关的欧盟制裁名单。筛查对象包括客户、最终用户、银行与物流商，命中策略要区分拒绝、冻结和有条件放行，并留查询日志。
不是。采购、市场、政府事务与财务付款都是资金出口。礼品招待、经销商支持、中介费用应进入统一红线与申报，审计抽样按费用类型而不是按部门墙。
可以合并，但要补上工时真实性、电子签意愿、处分程序与用工主体四段证据。只改员工手册文本、不改排班和加班审批，抽检时仍会开具发现项。
常规差距评估两到四周，访谈排在现有会议间隙，不替换业务系统。先出责任链条和整改优先级，闸门改造分批上线，避免一次性切断订单或付款。
材料保密与权限隔离
制度草案、筛查日志与访谈记录按项目编号隔离，仅向指定联系人交付，不进入公共网盘。
合规交付物清单
制度包、红线清单、培训考卷、演练记录与专项报告在启动函中列明，验收按清单勾选。
审计整改复盘
发现项关闭后一次书面复盘，核对证据编号与责任人，逾期项升级管理层阅知。
售后答疑周期
交付后 30 日内书面答疑制度口径与检查表使用问题，超出范围另立专项。
预约
提交企业合规评估需求
说明主体范围、关注场景与时间窗口。评估后回传责任链条草稿、红线优先级与是否需要制度包或筛查规则。
- 五个工作日内给出场景优先级与访谈安排。
- 差距清单对应 ISO 37301 / GB/T 35770 条款编号。
- 交付边界写清制度、清单、演练与报告，避免范围漂移。