T/CCPS 0005-2024 法务、合规、内控、风险一体化管理原则与实施指南

ICS03.080

CCSA12

CCPS

团体标准

T/CCPS0005—2024

法务、合规、内控、风险一体化管理

原则与实施指南

PrinciplesandImplementationGuidelinesforIntegratedManagementof

LegalAffairs,Compliance,InternalControl,andRisk

2024-3-20发布2024-3-20实施

中华文化促进会发布

T/CCPS0005—2024

目次

前言...................................................................................I

引言..................................................................................II

1范围.................................................................................1

2规范性引用文件.......................................................................1

3术语和定义...........................................................................1

4组织环境.............................................................................5

5领导作用.............................................................................6

6策划.................................................................................8

7支持................................................................................10

8运行................................................................................13

9绩效评价............................................................................20

10改进...............................................................................22

参考文献..............................................................................24

T/CCPS0005—2024

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

本文件中的某些内容可能涉及专利，文件的发布机构不承担识别专利的责任。

本文件由北京一法企业管理有限公司提出。

本文件由中华文化促进会归口。

本文件起草单位：北京一法企业管理有限公司、河北建设集团股份有限公司、贵州习酒股份有限公

司、北京德和衡律师事务所、华博云（北京）技术有限公司、中油测井技术服务有限责任公司、法猎（北

京）科技有限公司、成都产业投资集团有限公司、深圳市合同管理咨询有限公司、北京首信联合认证有

限公司、上海训大教育科技有限公司、上海英格尔认证有限公司

本文件主要起草人：陶光辉、岳建明、张孝昆、李洁、陈秀玲、刘克江、冯玉晗、姜慧、刘为民、

雒宏伟、刘磊、吴让伟、杨刚、郑崴、张元、张彤晖、孙伟搏、李庆、邹雨庭、郑爱玲、代晓冲、陈建、

方伟、李晓烜、王绍华、董锐、周政兴、于翔、黄涛、陈建明、陶庆辉、张家瑞、申源泉、张钺、高恩、

郑水强、温旭伟、李伟、马晓黎、黎阳、张龙、张晓婵

I

T/CCPS0005—2024

引言

0.1驱动背景

中大型企业等组织为有效防控各项各类风险，持续开展法务、合规、内控、风控等工作，但在实践

中，法务管理、合规管理、内部控制、全面风险管理等各职能经常处于分散管理的状态，对组织风险管

控机制整合与价值促进带来了诸多困惑。

为统筹发挥风险管控对组织长远发展的推动和保障作用，提高管理效能、减少交叉重复，有必要推

动构建法务、合规、内控、风险一体化管理体系。

0.2体系目的

本一体化管理旨在为组织提供一个整合管理框架，帮助组织提高风险管控效率、优化管理资源，形

成统一的风险评估、应对、评价和监督机制，采用系统的方法，实现法务、合规、内控、风险“四位一

体”管理。

本文件规定了法务、合规、内控、风险一体化管理基本原则，建立了法务、合规、内控、风险一体

化管理的基本模型，提供了一套有序的法务、合规、内控、风险一体化管理操作指南。

系统的方法，包括：

——协同的管理目标；

——全面的风险评估；

——整合的风险管控机制；

——汇编的风险管理制度；

——管理控制手段的有效嵌入；

——PDCA循环管理。

0.3关键因素

法务、合规、内控、风险一体化管理体系取得成效，关键在于组织最高领导者的承诺与实践。组织

间各职能的分工与配合，有效的风险管控意识和文化，对各类风险的充分识别，对管控措施的整合运用

等，构成一体化管理体系成功的必要因素。

本文件不拟增加或改变对组织的法律法规要求。

0.4文件使用

本文件符合ISO对管理体系标准的要求。这些要求包括一个高阶结构，相同的核心正文以及通用的

术语，方便使用者同步实施多个ISO管理体系标准。

II

T/CCPS0005—2024

本文件包括了评价符合性所需的内容，任何有愿望的组织可通过以下方式证实符合本文件：

——进行自我评价和自我声明；

——寻求组织的相关方（例如：顾客、咨询机构），对其符合性进行确认；

——寻求外部对其法务、合规、内控、风险一体化（协同）管理进行体系认证。

III

T/CCPS0005—2024

法务、合规、内控、风险一体化管理原则与实施指南

1范围

本文件规定组织能够用于提升其法务、合规、内控、风险一体化管理绩效的管理原则与实施指南。

本文件可帮助组织实现对其法务管理、合规管理、内部控制、风险管理等进行整合，达到1+1+1+1>4

的效果。这些整合将为组织自身和利益相关方带来价值。

本文件适用于具有一定规模，需要提高风险管控效率，集中行使同类职能，加强风险管控赋能的各

类集团公司、上市公司、中大型企业等组织。

本文件能够全部或部分地用于改进法务、合规、内控、风险一体化整合管理，然而，只有当本文件

的所有要求都被包含在组织的整合管理体系中且全部得到满足，组织才能声明自身管理体系符合本文件。

2规范性引用文件

下列文件（包括其更新版）中的内容通过文中的规范性引用而构成本文件必不可少的条款。

GB/T27914-2023风险管理法律风险管理指南

GB/T35770-2022合规管理体系要求及使用指南

GB/T24353-2022风险管理指南

GB/T26317-2010公司治理风险管理指南

BSIPAS99:2012整合管理体系的框架——通用管理体系要求的规范

COSO2013内部控制整合框架

3术语和定义

下列术语和定义适用于本文件。

3.1与领导作用有关的术语

3.1.1管理体系managementsystem

组织(见3.1.2)用于建立方针、目标(见3.2.6)以及实现这些目标的过程(见3.3.4)的相互关联或

相互作用的一组要素。

注1：一个管理体系可关注一个或多个领域（例如：质量、环境、职业健康和安全、能源）。

1

T/CCPS0005—2024

注2：管理体系的范围可能包括整个企业等组织、其特定的职能、其特定的部门或跨组织的一个或多个职能。

3.1.2组织organization

为实现目标(见3.2.6)，由职责、权限和相互关系构成自身功能的一个人或一组人。

注：组织包括但不限于个体经营者、公司、集团公司、商行、企事业单位、政府机构、合股经营的公司、公益机构、

社团，或上述单位中的一部分或结合体，无论其是否具有法人资格、公营或私营。

3.1.3最高管理者topmanagement

在最高层指挥并控制组织(见3.1.2)的一个人或一组人。

注1：最高管理者有权在组织内部授权并提供资源。

注2：若管理体系(见3.1.1)的范围仅覆盖组织的一部分，则最高管理者是指那些指挥并控制组织该部分的人员。

3.1.4相关方interestedparty

能够影响决策或活动、受决策或活动影响，或感觉自身受到决策或活动影响的个人或组织(见

3.1.2)。

注：相关方可包括顾客、社区、供方、监管部门、非政府企业、投资方和员工等。

3.1.5治理机构governingbody

对组织（见3.1.2）的活动、治理、方针负有最终责任和权力的一个人或一组人，最高管理者（见

3.1.3）向其报告并对其负责。

注1：并不是所有的组织，尤其是小型组织，都会有一个独立于最高管理者的治理机构。

注2：治理机构可能包括但不限于董事会、董事会委员会、监事会或受托人。

3.1.6一体化integration

将两个或两个以上的不相同或不协调的事项，采取适当的方式，将其融合为一个整体，形成协同效

应，以实现组织目标的一项措施。

3.2与策划有关的术语

3.2.1内控internalcontrol

组织内实现控制目标的过程。

3.2.2风险risk

不确定性对目标的影响。

2

T/CCPS0005—2024

注1：影响指对预期的偏离——正面的或负面的。

注2：不确定性是一种状态，是指对某一事件、其后果或其发生的可能性缺乏（包括部分缺乏）信息、理解或知识。

3.2.3合规compliance

履行组织的全部合规义务(见3.2.4)

3.2.4合规义务complianceobligations

法律法规和其他要求legalrequirementsandotherrequirements（许用术语）组织(见3.1.2)

应遵守的法律法规要求(见3.2.5)，以及组织应遵守或选择遵守的其他要求。

注1：合规义务是与合规管理体系(见3.1.1)相关的。

注2：合规义务可能来自于强制性要求，例如：适用的法律和法规，或来自于自愿性承诺，例如：企业的和行业的

标准、合同规定、操作规程、与社团或非政府企业间的协议。

3.2.5要求requirement

明示的、通常隐含的或应满足的需求或期望。

注1：“通常隐含的”是指对组织(见3.1.2)和相关方(见3.1.4)而言是惯例或一般做法，所考虑的需求或期望是不

言而喻的。

注2：法律法规要求以外的要求一经组织决定遵守即成为义务。

3.2.6目标objective

要实现的结果。

注1：目标可能是战略性的、战术性的或运行层面的。

注2：目标可能涉及不同的领域（例如：财务、健康与安全以及环境的目标），并能够应用于不同层面[例如：战略

性的、组织层面的、项目、产品、服务和过程(见3.3.4)]。

3.3与支持和运行有关的术语

3.3.1能力competence

运用知识和技能实现预期结果的本领。

3.3.2文件化信息documentedinformation

组织(见3.1.2)需要控制并保持的信息，以及承载信息的载体。

——为组织管理体系运行而创建的信息（可能被称为文件）；

——实现结果的证据（可能被称为记录）。

3

T/CCPS0005—2024

注1：文件化信息可能以任何形式和承载载体存在，并可能来自任何来源。

注2：文件化信息可能涉及：

3.3.3外包outsource

安排外部组织(见3.1.2)承担组织的部分职能或过程(见3.3.4)。

注：虽然外包的职能或过程是在组织的管理体系(见3.1.1)覆盖范围内，但是外部组织是处在覆盖范围之外。

3.3.4过程process

将输入转化为输出的一系列相互关联或相互作用的活动。

注：过程可形成也可不形成文件。

3.4与绩效评价和改进有关的术语

3.4.1审核audit

获取审核证据并予以客观评价．以判定审核准则满足程度的系统的、独立的、形成