外包与第三方合规管理（二）--合规预期.docxVIP

组织对供货商、服务供应商及其他第三方相关风险的管理，应以组织对第三方的期望为起点。组织对第三方的期望，包括其行为方式及操作规范，应作为双方建立业务关系的基石。建议组织制定并发布一套针对供货商、服务供应商及其他第三方的行为规范，以明确组织对第三方的期望。该行为规范应涵盖组织的核心价值观、商业行为准则、合规性及道德要求，包括但不限于反贿赂、反垄断、反欺诈、利益冲突管理、文件及记录保存规范、环境健康与安全管理、禁止雇佣童工等法律及道德义务，以及举报途径（如电子邮箱地址、电话号码、传真号码、联系部门及联系人）。行为规范应构成双方建立业务关系的法律基础及行为准则。

组织应确保其行为规范得到广泛传播，包括通过官方网站平台及实时通信工具等渠道进行公开发布，以使现有及潜在第三方充分了解组织对第三方行为的合规要求。

第三方合规管理要求其具备以下要素：（1）组织层面应确立符合行业规范的治理价值观，建立系统性合规管理体系；（2）针对核心业务风险领域制定专项合规政策，包括但不限于反腐败、反贿赂等关键领域；（3）配套实施符合监管要求的操作流程，确保合规政策有效执行。若第三方设有独立审计机制、建立合规举报受理渠道并配备内部调查职能，上述要素体现其具备完善的合规管理体系。当第三方依据内部审计与调查结果持续优化合规制度体系时，该动态调整机制构成其合规管理有效运行的显著佐证。

在部分规模较小的第三方企业中，尽管相关指标可能未完全达到，若管理层主要成员作出符合聘用组织合规要求的承诺，将构成积极的信号。是否存在比管理层主要成员作出的合规承诺更为重要的因素？同时，应关注其承诺实施后的具体行动。以下为第三方筛选的程序性步骤：

第一步：收集关于第三方的信息

信息收集方法包括：要求第三方填写调查问卷；从第三方营业执照及其他相关文件中提取所载信息；通过媒体信息检索途径获取相关信息；通过订阅相关数据库进行查询；查阅公开数据库资源（如法院裁判文书、个人及组织信用信息数据库）；开展实地访问；对第三方管理层进行访谈；与第三方竞争对手、供应商进行交流等。

这些工作可由组织内部人员独立执行，或委托第三方机构完成，亦可由内部与外部机构协同实施。收集第三方信息的范围和深度应根据以下因素确定：交易的性质及规模、双方业务关系的持续时长与紧密程度，以及交易是否为一次性或重复性交易。

第二步：对第三方进行风险评估

这包括风险识别和风险评级。风险识别包括第三方的诚信风险。风险评级可以划分为高风险，中等风险和低风险。

组织有权确定单项风险的评估等级及风险组合的认定标准。根据本规定，若存在单一高风险因素或三个中等风险因素，即判定第三方整体风险等级为高风险，无论其他风险因素如何。

某些企业采用自动化工具采集特定信息，并依据预先设定的参数生成目标第三方的合规风险评分。该工具一旦部署，其操作流程将具备较高的可执行性，并产生较为客观的评估结果。因此，应严格必威体育官网网址上述预设参数，仅在必要时进行披露，以防止在实际操作中被不当利用，例如通过人为输入不准确数据以操纵合规风险评分。

第三步：合规审阅

相关人员对包括风险评估结果在内的相关信息进行审阅，并提出意见和建议：批准、不批准或有条件批准。

第四步：做出决定

相关职能部门负责人应当就是否批准、不予批准或作出有条件批准决定进行审议。若作出有条件批准决定，应当明确具体条件及满足该条件的具体方式及时间节点。所涉条件主要涵盖合规性要求。