標準簡介
ISO 37301:2021 是由 國際標準化組織 (ISO) 發布的現行有效標準，常用於金融銀行、醫療健康、科技、服務業、政府、能源、製藥等產業，並適用於全球等市場。
本頁整理了 ISO 37301:2021 的官方文件、目前狀態以及常見相關認證或評估機構，便於快速理解要求與落地路徑。
實施路線圖
定義合規管理體系範圍
識別 ISO 37301:2021 覆蓋的產品、服務、場所、系統、團隊、司法轄區和相關方。確認責任人、邊界、適用義務、文件和證據期望，範圍包括合規義務、文化、領導、風險評估、政策、控制、報告渠道、調查、糾正措施、監控、內部審覈和管理評審。
評估差距並排列風險優先級
將當前實踐與預期的合規管理體系方法進行比較。審查義務登記冊、合規風險評估、政策、培訓、盡職調查、舉報、調查流程、第三方控制、監控計劃和升級規則，並按法律暴露、安全影響、客戶承諾、運營依賴以及審覈或市場準入準備度排列差距優先級。
實施控制和記錄
部署所需程序、技術控制、評審關口、培訓、供應商流程、報告路徑和運行記錄。維護義務清單、風險評估、政策批准、培訓記錄、盡職調查文件、熱線日誌、調查記錄、糾正措施、審覈和管理評審作爲可追溯證據。
評審、審覈並改進
開展內部評審、管理報告、審覈、糾正措施和變更評估。當產品、服務、供應商、技術、法規、事件或相關方期望變化時刷新項目。
合規檢查清單
checklist 範圍與治理
checklist 控制與證據
checklist 監控與改進
常見問題解答
誰需要 ISO 37301:2021？
expand_more
ISO 37301:2021 最適用於需要針對法律、監管、合同和道德義務建立可認證合規管理體系的組織。具體範圍取決於產品、服務、司法轄區、客戶承諾，以及組織是否需要認證、符合性證據、監管準備或內部治理。
ISO 37301:2021 是否可認證？
expand_more
ISO 37301 可認證，並可替代或擴展既有 ISO 19600 風格合規項目。
實施時應先關注什麼？
expand_more
先定義範圍和義務，再建立當前狀態差距評估。早期最重要的工作是確認責任、受影響資產或過程、風險準則、客戶或法律驅動因素，以及組織必須能夠提供的證據。
ISO 37301:2021 需要哪些證據？
expand_more
有用證據包括義務清單、風險評估、政策批准、培訓記錄、盡職調查文件、熱線日誌、調查記錄、糾正措施、審覈和管理評審。證據應進行版本控制，能夠追溯到責任人，並關聯風險、義務、控制、決策和糾正措施。
項目應多久評審一次？
expand_more
應按計劃週期評審，並在產品、服務、供應商、運行環境、事件、客戶承諾或法規變化時評審。高風險領域應採用更頻繁的監控和管理報告。