国枫观察 | 医药企业反贿赂合规制度的构建——基于行政监管、刑事风险与ISO 37001:2025的体系化分析（下）

ISO 37001:2025系该反贿赂管理体系国际标准的第二版，于2025年2月正式发布。该标准的核心宗旨，是引导各类组织建立、实施、维护并持续优化反贿赂管理体系，依托反贿赂政策、尽职调查、财务及非财务管控、合规培训，以及监测、报告与改进等成套机制，实现对贿赂行为的预防、识别与处置；2025版标准进一步强化了合规文化建设、利益冲突管理、反贿赂职能配置等相关制度要求。需要予以明确的是，ISO 37001:2025仅为管理体系类标准，并非我国现行法律规范，取得该标准认证，并不当然产生行政责任或刑事责任的免责效力。据此，医药企业不宜将ISO体系与国内法律规范割裂适用，而应将其作为把法定合规义务转化为企业内部组织治理机制的实务工具。具体而言，可以形成如下制度对应关系：

上述体系的核心并不在于增加制度文件数量，而在于实现“规范要求—业务流程—控制节点—责任人员—证明材料”的一一对应。

《医药企业防范商业贿赂风险合规指引》已经明确九类重点风险场景。企业应当在统一的反贿赂基础制度之上，配套制定各类业务场景下的专项操作规程，不宜仅依赖单一原则性的《反商业贿赂管理制度》开展合规管理。

其中，专家咨询尤其应当建立独立的公允市场价值评价机制。专家服务费用不宜由负责相应产品销售的人员单独决定，而应综合专家专业资格、工作时间、项目复杂程度、市场合理价格以及实际交付成果确定。对于同一专家短期内高频接受咨询、服务费用长期接近审批上限或者咨询活动发生于产品准入、采购和目录调整关键时间节点的，应自动触发增强审查。

对于第三方服务，企业还应改变“一次准入、长期使用”的静态管理方式。第三方实际控制人变化、异常分包、大量现金支出、向个人账户支付、服务费明显偏离市场价格、服务费与产品销量高度同步等事项，均应触发重新尽调或者专项审计。

借助ISO 37001:2025管理体系方法，将《反不正当竞争法》《药品管理法》《医疗器械监督管理条例》《医药代表管理办法》以及《医药企业防范商业贿赂风险合规指引》中分散存在的法律要求，转化为企业内部具有明确责任主体、控制流程和证明材料的制度体系。笔者认为，医药企业可以采用“一项基本制度、七项治理制度、九项业务场景制度、三项调查改进制度”的架构建立反贿赂制度体系。

传统医药企业合规审查高度依赖单据审核，但商业贿赂往往具有长期、小额、多次以及跨费用科目分散支付的特点。因此，仅按照单笔报销金额设定审批阈值并不足以有效识别风险。企业应当按照ISO 37001:2025的持续监测理念，将财务系统、CRM系统、医学活动管理系统、第三方管理系统和销售数据进行必要关联，形成异常指标库。

例如，同一专家在一定期间接受咨询或者讲课的频率明显高于同专业其他专家；某一区域会议或者咨询费用增长与产品销售增长高度同步；新产品进入医院、调整药品目录或者设备采购前后集中发生专家费用；同一第三方长期使用整数金额发票或者大量费用集中于少数科目；业务人员频繁将费用拆分至审批权限以下；第三方服务费用与实际人员规模、办公条件明显不相匹配等，均应被设置为风险监测信号。

需要强调的是，异常指标本身并不等同于违法事实，其功能在于构成内部调查触发机制。有效合规体系应当形成“异常识别—人工复核—风险升级—调查结论—整改反馈”的闭环，而不是单纯生成大量预警数据。

医药企业发现涉嫌商业贿赂线索后，其处置方式可能直接影响后续行政责任和刑事责任评价。

首先，应当立即实施必要的证据保全，包括邮件、即时通信记录、合同版本、费用审批记录、财务数据以及第三方提交材料，避免涉事业务部门自行调查或者自行删除、更改材料。

其次，应由具有独立性的调查主体确定调查范围，并重点围绕交易背景、决策人员、收受方身份、资金来源及最终流向、不正当利益内容、单位是否获益、管理层是否知情以及第三方是否受企业指示等事实进行调查。

再次，对于已经出现刑事风险信号的事项，应同步开展刑事法律评价。例如，应首先确定可能涉及行贿罪、单位行贿罪、对单位行贿罪还是对非国家工作人员行贿罪；其次分析单位决策及获益情况；再次判断是否已经达到相关数额和情节标准，并评估企业及管理人员分别存在的法律风险。

最后，企业对于主动报告事项应当予以审慎把握。《反不正当竞争法》针对主动消除或者减轻违法行为危害后果等法定情形，设置了行政处罚领域的从轻、减轻处罚机制；刑事法律规范层面，除自首、退赃可适用从宽处罚规则外，刑法就行贿人在被追诉前主动交代行贿行为，另行规定了独立的量刑从宽制度。该两类制度在法律属性、认定主体与适用要件上均存在本质差异。因此，一旦内部调查查实存在涉嫌贿赂违法犯罪的相关事实，企业不宜仅以行政处罚的减免效果为导向，机械决定是否报告以及报告的具体方式，而应当就行政报告行为对刑事程序所带来的证据效力、程序层面的连锁影响开展整体性评估。

在当前监管背景下，评判医药企业反贿赂合规制度的实际效力，不宜仅考察企业是否完成制度文本制定、开展年度合规培训、组织员工签署廉洁承诺等形式要件。更具实质价值的评判标准在于：当某一高风险交易进入调查程序时，企业能否依托既有留存记录予以证明，该交易具备真实的商业目的；交易相对方业经合理遴选；交易定价具备公允性基础；交易与处方开具、采购、市场准入、产品推荐等行为之间不存在不当关联；相关交易事项经过独立合规审核；对应服务已实际履约完毕；异常业务行为可由内部系统及时识别；在发现违规情形后，企业能够开展独立调查并落实相应纠正处置措施。从这一意义上看，ISO 37001:2025对我国医药企业最重要的价值并不在于是否取得认证，而在于其所体现的风险导向、比例原则、管理责任、过程控制以及持续改进方法。ISO将反贿赂从一项法律部门的专项工作转变为企业管理体系的一部分，与我国近年来《医药企业防范商业贿赂风险合规指引》和《医药代表管理办法》所体现的监管方向具有较高程度的一致性。据此，医药企业反贿赂合规体系可以概括为三个层次：

其一，规范层面的合法性控制。以《反不正当竞争法》《药品管理法》《医疗器械监督管理条例》《医药代表管理办法》以及刑法规范为基础，建立禁止行为和责任边界。

其二，管理层面的风险控制。以风险评估、利益冲突管理、第三方尽调、财务控制、非财务控制以及场景化SOP为基础，使合规要求嵌入业务流程。

其三，证据层面的可证明性控制。通过数字化审批、底层资料留存、数据异常监测、独立调查和持续改进机制，使企业能够证明其合规体系不仅“存在”，而且“有效运行”。相应的证据主要分为以下四类：

• 决策证据，能够证明相关业务具有真实需求，并经过具有适当独立性的审批和复核；

• 交易证据，能够证明交易对象真实存在、具有履约能力，交易价格符合合理市场水平，且合同、发票、资金流和实际服务相互一致；

• 监督证据，能够证明企业并非在违法事件发生后才开始关注相关风险，而已经通过异常指标、审计、抽查、尽职调查等机制持续实施监督；

• 纠正证据，能够证明企业发现异常后实际实施调查、暂停支付、处分责任人员、终止第三方合作并修改制度。

由此，医药企业反贿赂合规制度建设的最终目标并非追求形式意义上的“制度完备”，而应当实现三个层面的统一：行为能够被约束、风险能够被发现、合规能够被证明。

医药企业商业贿赂监管现已步入复合治理阶段，该治理格局由竞争法律规范、药械行业监管规则、医药代表管理制度、医保招采信用评价机制以及刑事司法制度共同构建。在此背景之下，医药企业反贿赂合规体系建设的目标，应当从传统层面的“禁止商业贿赂行为”，升级为搭建兼具预防、识别、阻断、调查与证据留存功能的反贿赂合规管理体系。申言之，有效的反贿赂合规，其实质在于借助组织架构设置与业务流程再造，降低违法违规行为的发生概率；且在行政调查或刑事司法程序启动后，企业可凭借客观、完整、可追溯的证据，证实其已尽到合理的风险防范与监督管理义务。对医药企业而言，该问题并非单纯的企业内部控制事项，亦是界定行政责任、甄别单位犯罪、开展企业刑事风险治理的基础性核心问题。

注：本文依据截至2026年9月现行公开规范撰写，仅作企业合规研究与专业交流使用。

*实习生黄沛洋对此文亦有贡献

查看参考文献

主要规范依据：

1.《中华人民共和国反不正当竞争法》（2025年修订，2025年10月15日起施行）；

2.《中华人民共和国药品管理法》（2019年修订，2019年12月1日起施行）；

3.《医疗器械监督管理条例》（2024年第二次修订，2025年1月20日起施行）；

4.《中华人民共和国刑法》及《中华人民共和国刑法修正案（十二）》；

5.最高人民法院、最高人民检察院《关于办理商业贿赂刑事案件适用法律若干问题的意见》；

6.最高人民法院、最高人民检察院《关于办理贪污贿赂刑事案件适用法律若干问题的解释（二）》；

7.国家药监局等七部门《医药代表管理办法》（2026年第42号公告）；

8.市场监管总局《医药企业防范商业贿赂风险合规指引》（2025年第3号公告）；

9.国家医保局《医药价格和招采失信事项目录清单（2025版）》《医药价格和招采信用评价的操作规范（2025版）》《医药价格和招采信用评价的裁量基准（2025版）》；

10.ISO 37001:2025 Anti-bribery management systems — Requirements with guidance for use.