合规管理体系GB/T35770要点解读

很多团队第一次翻 GB/T35770 会卡在同一处：条款读起来都懂，但不知道自己公司到底缺哪一块，主管问起来答不上具体动作。这篇不讲标准条文原文，按「先判断适用范围、再对照自查、最后定整改顺序」讲一遍，给出可以直接抄进会议纪要的清单和排查步骤。

很多团队第一次翻 GB/T35770 会卡在同一处：条款读起来都懂，但不知道自己公司到底缺哪一块，主管问起来答不上具体动作。这篇不讲标准条文原文，按「先判断适用范围、再对照自查、最后定整改顺序」讲一遍，给出可以直接抄进会议纪要的清单和排查步骤。

读之前先摆正心态：它不是一次性交差的文档模板，而是一套可以逐年加厚的运行框架。你要交的不是一堆制度文件，而是「谁在什么时候依据什么做了什么」的证据链。判断体系有没有立起来，标准很简单——换个人接手，能不能照着重做一遍。

先搞清楚它管什么、不管什么

它给的是合规管理体系的框架要求，不是某一条具体法规的罚则清单。把它当法条索引来用，方向就偏了：它回答的是「你怎么保证一直在守规矩」，而不是「违规了罚多少」。所以别指望从里面直接抄出业务红线，红线要从你所在行业的主管部门文件里找。

合规方针

高层签发、写明适用范围与承诺方向的总纲，部门邮件通知不算

义务识别

把外部监管要求与内部自愿承诺梳理成一份可更新的来源清单

运行控制

把合规动作嵌进业务流程的关键节点，而不是另起一套并行表格

检查与改进

定期看有没有做到，做不到的怎么闭环，结果给谁看

判断适用性：只要你有外部监管义务和内部承诺要守，这套框架就能套。纯个人开发者或没有独立合规主体的极小团队，可以只挑其中的义务识别和职责分工两块用，其余先放。什么情况不适用呢？把它当成一次性的文档交付物，写完制度文件就收工，那基本等于没做。

对照核心条款做一次自查

自查不要逐条打勾，按下面五块过一遍，每块先问「有没有」，再问「换个人接手能不能照做」。两块都答得干脆，这块就算过关；只要有一问答得含糊，就记成待补项。

• 合规方针与目标：有没有一份高层签发、写明范围与承诺的文件，而不是只有部门内部的邮件通知
• 组织与职责：谁牵头、谁执行、谁监督，三件事要落到具体岗位而不是「相关部门」
• 义务识别与风险评价：外部要求从哪来、多久更新一次、识别结果给谁看，这三问要能当场答出
• 资源、培训与沟通：新员工入职、岗位轮换、外部要求变更这三个触发点，有没有对应的动作
• 文档与记录：制度、记录、证据三者能不能互相印证，判断标准是换个人接手能不能照着重做一遍

自查结论只有四种状态：有动作有记录、有动作没记录、有记录没动作、两头都缺。前两种补记录，第三种先停掉形式动作，第四种才是真正要立项补的。这个分类能帮你把整改清单排短一点，不必所有项目一起上。

发现缺口后的推进顺序

缺口列出来往往一大串，别按文档目录顺序补，按依赖关系补。下面这个顺序的底层逻辑是：责任不清，写多少制度都落不了地；义务来源不清，检查点就是拍脑袋定的。

1. 第一步：补责任把牵头、执行、监督三个角色写到岗位说明或任命文件里，验证方式是随便挑一项合规动作，能立刻说出对应的责任人
2. 第二步：补义务来源机制定一个固定节奏的来源梳理动作，写明谁负责盯、多久汇总一次、汇总结果发给谁，比一次性整理一份清单更管用
3. 第三步：补运行与检查把合规检查点嵌进现有的评审、验收、上线流程，验证方式是业务同事的日常表格有没有多出一栏，而不是多出一套新表格
4. 第四步：补评价与改进明确多久评一次、评价结果给谁、不合格项怎么闭环，这三件事写进同一条流程里，别拆成三份文件

常见卡点是把体系建设和日常业务对立起来，觉得合规就是额外负担。正确做法是把合规动作挂到已有的评审、验收、上线节点上，借流程的壳，不另开流程。如果你们的业务节奏极快、上线周期以天计，可以把检查点做成脚本化的自动核对，别设人工审批关卡。

记录留证与定期复评怎么做

记录不是留得越多越好，而是四要素齐全：谁、在什么时候、依据什么、做了什么。四要素缺一个，事后就说不清。下面这张表可以直接当成记录清单用，每类记录对齐一个核心条款动作。

存多久按你所在行业的监管要求定；不确定就先按内部审计可追溯的最低期限执行，并到站内 /about 核对检测口径与数据来源的说明，别自己拍一个数字。谁来复评也有讲究：合规牵头部门组织，业务部门参与，监督职能独立出具意见，避免自己评自己。

复评触发点比周期更重要。外部要求变更、业务模式调整、发生合规事件，三者任一出现就提前评一次，别死等年度周期。周期复评是兜底，触发式复评才是真正的防线。想把合规判断和供应商、工具选型这类外部因素一起看，可以到站内 /rankings 对照当时的评测结论，把合规要求当成筛选项之一。