合规风险也要排优先级，ISO 37301 把红线画进可管理的清单

　　企业谈风险，常盯市场和法律纠纷，却忽略了「今天某个操作可能就违规了」。ISO 37301 把合规风险评价作为独立动作，核心是：别把所有规矩混在一起慌，先把红线按轻重缓急排进清单，管理才抓得住重点。

一、合规风险是什么

　　它和体系风险不同，专指「没守住合规义务会怎样」：漏税、违标生产、商业贿赂、数据违规，每一项都对应后果。ISO 37301 要求识别这些风险并评价其可能性和影响，而不是出了事才认账。

二、识别要贴着义务来

　　风险从合规义务长出来：列清义务（见合规义务清单）后，逐项问「守不住会怎样、概率多大」。义务不清，风险就瞎评。把义务和风险一一对应，清单才严丝合缝，不会漏掉隐性红线。

三、评价要分高低

　　不是所有风险平摊精力。按「发生可能性 × 后果严重度」打分：贿赂、重大环保违法、安全生产事故这种高可能高后果的，列为最高级，优先控、重点投资源；低风险的常规事项程序化即可。

四、控制措施对症下药

　　高级风险上强控制： segregation of duties（职责分离）、审批链、定期抽检；中低级靠流程化和培训。控制措施写清责任人和频率，避免「重视」停在口头。风险级别不同，管法本就该不同。

五、清单要动态滚

　　业务进新领域、法规改、并购来了新主体，风险跟着变。定期重评，新红线上清单、旧风险降级的调级。静态清单半年就过时，动态滚起来合规风险才一直看得见。

常见问题

Q：合规风险太多，资源有限先管哪头？ 　　先管「高后果」项：违法违规直接伤人、重罚、丢资质的那批，无论概率先控。再用概率排序余下的。把有限人力压在会要命的风险上，比平均分兵更稳，也最经得起审核和监管追问。

Q：合规风险评价和质量管理体系的风险评价重复吗？ 　　不重复，但可共用方法。9001 评的是过程和客户风险，37301 评的是合规义务违约风险，关注点不同。建议用同一套评分框架、不同输入清单，既省力又避免两套话说两套话，管理层看也连贯。

总结

　　合规不是背下所有规矩，而是知道哪条红线碰不得、先守哪条。ISO 37301 把合规义务转成带优先级的风险清单，按级别配控制、动态重评，让合规管理从「全面紧张」变成「重点可控」。红线画进清单，守规才不靠运气。

关于优卡斯（上海）认证有限公司

优卡斯（上海）认证有限公司（批准号：CNCA-R-2024-1366），专注于为企业提供 ISO 9001 质量管理体系、ISO 14001 环境管理体系、ISO 45001 职业健康安全管理体系、ISO 37301 合规管理体系认证及内审员培训服务。

📞 021-60130413 ｜ 🌐 https://www.youkasi.com.cn/ ｜ 🏛 CNCA-R-2024-1366

资料来源（文章出处）：ISO 37301:2021 条款 6.1 合规风险；优卡斯原创解读。本文为优卡斯基于公开标准的原创解读。