马来西亚政联公司与政府供应商的ISO 37001:第17A条解析

如果贵公司为政联公司供货、参与政府招标,或身处国家石油公司(PETRONAS)项目的供应链之中,您很可能已经从采购人员或合规表格中听说过"第17A条"这个词。它指的是马来西亚法律的一项修订,使企业本身、而不仅仅是个人,须为代表其行事所发生的贪污行为承担刑事责任,这也是ISO 37001的需求在过去几年间从"有则更好"转变为"合约条件"的最主要原因。本文将说明具体改变了什么、法律对贵公司有何要求,以及ISO 37001认证如何支持您现在所需要的法律抗辩。

第17A条改变了什么

马来西亚反贪污委员会法令(MACC Act)2009年第17A条已于2020年6月1日起生效。在此条款之前,检控方通常必须证明公司的董事或高级管理层曾亲自指示或知悉某项贪污行为,公司本身才可能被追究责任。第17A条改变了这一点:如今,只要与商业机构有关联的人士,例如员工、代理人,甚至代表其行事的第三方代表,为使该机构获得或保留业务或业务优势而行贿或提出行贿,该商业机构本身即可能被追究刑事责任。关键在于,检控方无需证明公司高层知悉该项具体行为。责任可直接归属于机构本身,进而延伸至其董事与控制人,除非公司能够证明其已具备足以防止此类行为的"充分程序"。

充分程序抗辩与T.R.U.S.T.原则

最后这一点,正是对贵公司而言最为关键之处。第17A条提供了一项法定抗辩:若商业机构能够证明其已设有旨在防止与其相关人员从事贿赂行为的"充分程序",则该机构无需承担责任。马来西亚政府的指南以五项原则说明这些充分程序,通常简称为T.R.U.S.T.:

• T——高层承诺(Top Level Commitment): 领导层明确展现对反贿赂的承诺,并从上而下定下基调,而不仅仅是抽屉里一份签了字的政策文件。
• R——风险评估(Risk Assessment): 机构识别并评估自身实际面临的贿赂风险,而非采用忽视其真实风险状况的通用政策。
• U——落实控制措施(Undertake Control Measures): 实施相称的控制措施,涵盖礼品与款待、便利付款,以及第三方尽职审查等事项。
• S——系统化审查、监督与执行(Systematic Review, Monitoring and Enforcement): 相关程序真正受到持续监督、定期审查,并在被违反时予以执行,而不是写完就被束之高阁。
• T——培训与沟通(Training and Communication): 员工与相关第三方理解相关政策,并知道如何提出疑虑。

在实务上,ISO 37001反贿赂管理体系是证明上述五项T.R.U.S.T.原则确实到位、最受认可且可供审核验证的方式,因为认证机构会独立核实该体系,而不是仅凭企业自身的说法。

ISO 37001具体涵盖哪些内容

ISO 37001规定了旨在协助组织预防、侦测并处理贿赂行为的管理体系要求。实务上,推行该标准意味着建立以下内容:

1. 贿赂风险评估,涵盖贵公司业务运作、市场与第三方关系可能使其暴露于贿赂风险的具体方式。
2. 对业务伙伴的尽职审查,尤其是代理人、经销商、合资伙伴以及其他代表公司行事的第三方,因为第17A条的责任延伸至他们的行为。
3. 控制措施,包括礼品与款待政策、对便利付款的限制或禁止,以及使贿赂更难以隐藏的财务控制。
4. 培训,让各层级员工都能识别贿赂风险,并了解公司的期望,而不仅限于高级管理层。
5. 举报渠道,包括可保密提出疑虑的方式,以及一套用于调查和回应举报的书面程序。

谁在提出这项要求

马来西亚对ISO 37001的需求集中于特定几类买家:将此要求下达至其供应商群体的政联公司、国家石油公司及其供应商体系、参与政府与法定机构招标的承包商,以及越来越多希望将第17A条给予政联公司的同等保障延伸至自身供应链的私营企业。如果贵公司客户的采购团队已开始要求提供反贿赂政策文件、指定的合规负责人,或您对自身供应商所做尽职审查的证明,这通常是一个早期信号,表明ISO 37001认证、而非非正式政策,将在一两个招标周期内成为实际要求。

实施步骤与时间表

ISO 37001项目通常遵循与其他管理体系认证相同的五个阶段:贿赂风险评估与差距分析、反贿赂政策与控制措施的文件编制、体系落实与员工培训、内部审核与管理评审,最后是认证审核本身。对于尚无现成合规框架的单一地点企业而言,从差距分析到取得证书通常需要三至六个月,与ISO 9001类似。已持有ISO 9001或其他管理体系证书的企业通常推进得更快,因为基础的管理体系条款,例如领导层承诺、受控文件与内部审核,已经建立完成,主要只需扩展以涵盖贿赂相关的特定风险。

常见错误

最常见的错误是把ISO 37001当作一项撰写政策的文字工作,而非一套真正运作中的体系:一份文笔优美的反贿赂政策,若背后没有风险评估支撑、没有第三方尽职审查记录、也没有培训证据,不仅无法满足认证机构的要求,更重要的是,一旦公司日后遭到调查,也无法作为充分程序抗辩站得住脚。第二个常见错误是将尽职审查的范围界定得过于狭窄,只涵盖直接客户合约,而忽略了同样可能代表公司触发第17A条责任的代理人、分包商与合资伙伴。

常见问题

第17A条是否在法律上强制要求ISO 37001认证? 不是。第17A条并未具体点名ISO 37001,但认证是证明充分程序抗辩最受认可、且经独立审核验证的方式,许多政联公司与政府买家如今已将其视为他们所期望看到的实际证据。

第17A条是否也适用于小型企业? 是的。该法律适用于在马来西亚经营业务、无论规模大小的商业机构,而政联公司供应链中规模较小的供应商,如今也越来越多被要求证明其合规性,因为较大的买家正将此要求向下传导至其整条供应链。

ISO 37001与ISO 9001有何不同? ISO 9001管理的是质量与客户满意度;ISO 37001则专门管理贿赂风险。许多企业将两者一并推行,因为它们共享相同的管理体系结构,从而缩短合并后的时间表与成本。

如果公司已获认证,董事是否仍可能须承担个人责任? 认证有助于支持公司的充分程序抗辩,但董事与控制人依据反贪污委员会法令仍负有个人责任。认证是体系有效运作的有力证据,但并非在所有情况下都能提供绝对保障。

下一步

如果客户、招标方或政联公司采购团队已经向贵公司提出第17A条或ISO 37001的要求,务实的下一步是针对贵公司实际业务关系进行一次贿赂风险评估。预约免费咨询,顾问将与您梳理适合贵公司的充分程序抗辩应是什么样子。如需查看该标准的完整要求,请参阅我们的ISO 37001认证页面。