《ISO 37001-2025 反贿赂管理体系要求及使用指南》之4-3：4组织环境-4.3确定反贿赂管理体系的范围专业解读与实施指南（雷泽佳编写2026A0）

《ISO37001-2025反贿赂管理体系要求及使用指南》之4-3：“4组织环境-4.3确定反贿赂管理体系的范围“专业解读与实施指南《ISO37001-2025反贿赂管理体系要求及使用指南》之4-3：“4组织环境-4.3确定反贿赂管理体系的范围“专业解读与实施指南（雷泽佳编写2026A0）【“4.3确定反贿赂管理体系的范围”】条款原文：4.3确定反贿赂管理体系的范围组织应确定反贿赂管理体系的边界和适用性，以建立其范围。在确定此范围时，组织应考虑：a)4.1中提及的外部和内部因素；b)4.2中提及的要求；c)4.5中提及的贿赂风险评估的结果。范围应作为成文信息予以提供。注：见A.2以获取指导。“4.3确定反贿赂管理体系的范围”条款目的和意图4.3条款的根本目的和意图在于：确保组织在建立反贿赂管理体系之初，即通过系统性地界定该体系的地理、组织、运营和职能边界及适用性，使管理体系的范围建立在对其自身内外部环境、利益相关方要求以及贿赂风险评估结果进行全面考虑的基础之上，从而保障反贿赂管理体系的设计与实施从一开始就具有明确的针对性、合理的聚焦性和后续可验证的有效性，并为第4.4条所要求的“合理且相称”的反贿赂管理体系奠定范围基础。界定边界与适用性，确立范围定位：旨在要求组织清晰划定反贿赂管理体系所覆盖与不覆盖的具体范围，包括所涵盖的组织单元、职能部门、地理区域、业务活动及运营流程等。通过明确“边界”与“适用性”，组织能够精准定位管理体系的作用域，避免范围模糊导致的管理盲区或资源分散，同时也为内部审核、管理评审及外部认证提供清晰的范围基准；基于内外部环境因素确定范围：旨在确保组织在划定体系范围时，必须纳入对第4.1条所识别的内部和外部事项（如组织的规模、结构、委托决策权限、运营地点与行业、业务模式、受控实体、商业伙伴、与公职人员互动等）的系统考虑。其目的和意图在于，使管理体系的范围真实反映组织的实际运营面貌和所处环境，而不是脱离组织现实地确定一个空泛或不切实际的范围，从而保障后续体系设计能够与环境风险因素相匹配；融合利益相关方要求于范围确定之中：旨在强制要求组织在界定范围时，必须考虑第4.2条所识别的利益相关方的相关要求（包括法律法规等强制性要求、非强制性期望以及自愿承诺）。其目的在于，确保反贿赂管理体系的范围充分回应外部监管机构、客户、商业伙伴、投资者及社会公众等关键相关方对组织反贿赂合规的合理期望与法定要求，使体系范围的设定具有外部合法性和公信力；依据贿赂风险评估结果聚焦范围重点：旨在要求组织将第4.5条贿赂风险评估的结果作为确定范围的核心依据之一。其关键目的和意图在于：使体系范围聚焦于组织真实面临的最重大贿赂风险领域，而非对所有活动采取无差别的范围覆盖；确保高风险业务、区域、流程或合作关系被纳入体系范围并受到充分关注，同时允许组织在合理评估的基础上对低风险领域采取相称的管理方式，从而充分体现标准所倡导的“风险导向”和“合理且相称”原则；范围作为成文信息予以提供：旨在要求组织将确定后的管理体系范围以成文信息的形式正式记录、保持并提供。其目的和意图在于：确保范围的制定过程和最终结果具备可追溯性、可审核性和可沟通性，便于组织内部各层级清晰知晓体系的覆盖边界，也便于外部审核方、监管机构及利益相关方对范围的适当性进行独立验证，从而增强反贿赂管理体系的透明度和可信度。“4.3确定反贿赂管理体系的范围”条款内在涵义专业解读确定边界与适用性——范围确定的实质起点：本条款第一句要求组织"确定反贿赂管理体系的边界和适用性，以建立其范围"。其内在涵义是：反贿赂管理体系并非天然覆盖组织的全部，组织应主动、自觉地划清体系的"管什么、管到哪、管到什么程度"。"边界"是指体系所覆盖的组织单元（可以是整个组织，也可以是组织的一部分，如特定部门、子公司、职能或场所）；"适用性"是指标准各项要求在该边界内适用的广度与深度。这体现了本标准的基本设计逻辑——其要求是通用的，适用于任何类型、规模和活动性质的组织或组织的一部分，而要求的实际适用程度则取决于4.1、4.2和4.5所确定的因素。因此，确定范围不是形式性的文书工作，而是组织基于自身环境、义务与风险状况所作出的战略性合规决策，是后续体系策划、实施、绩效评价和认证边界的基准。标准“1范围”同时明确，本标准的要求是通用的，旨在适用于所有组织（或组织的一部分），这些要求的适用程度正取决于4.1、4.2和4.5中指定的因素，进一步印证了范围确定构成后续全部管理体系活动的前提与基准；边界划定通常包含三个核心维度：一是组织维度，涵盖总部、分公司、全资子公司、控股子公司及具有实际控制权的参股主体；二是业务维度，覆盖采购、销售、招投标、合作开发、公共事务等全业务链条；三是地域维度，包含境内所有经营场所及境外投资、运营所在的国家和地区。适用性判定需明确体系是完整实施全部标准要求，还是针对特定范围仅实施部分核心要求，但最低不得少于法定强制要求对应的条款。管理体系的范围可以涵盖整个组织、组织中可被明确识别的职能或部门，以及跨组织的单一职能或多个职能，组织应根据自身实际情况合理确定。考虑4.1所述的外部和内部因素——范围界定的环境依据：条款a)项要求确定范围时考虑"4.1中提及的外部和内部因素"。其内在涵义是：范围不能凭主观意愿任意划定，而应以组织在4.1中识别的环境因素为客观依据。这些因素包括：组织的规模、结构和委托决策权限；运营或预期运营的地点和行业领域；活动和运营的性质、规模与复杂性；商业模式；组织控制的实体以及控制组织的实体（如受控子公司）；商业伙伴；与公职人员互动的性质和程度；以及适用的法定、监管、合同和职业义务与职责等。4.1还要求组织确定气候变化是否为一个相关因素。例如，在贿赂风险较高的地点或行业运营的组织，其范围划定和控制水平应相应更高；组织所控制的实体通常应纳入范围考量，而组织无法控制的外部方则处于体系范围之外（尽管外包的职能或过程可在范围之内）。这一项要求的实质，是防止组织借"缩小范围"逃避高风险领域的反贿赂管理责任，确保体系范围与贿赂风险的实际暴露面相匹配。根据标准释义，如果组织直接或间接控制另一组织的管理活动，则该组织对该另一组织具有控制权，此类受控实体应作为范围界定的必考要素纳入体系边界分析；高贿赂风险领域实行强制覆盖原则：涉及公共采购、工程招投标、特许经营、医药购销、资源开发、境外投资经营等法定重点监管领域，以及与公职人员交往密集的业务环节，必须纳入反贿赂管理体系范围，不得通过范围界定予以排除。对第三方合作伙伴的管控边界应延伸至代表组织行事的代理人、中间商、承包商、供应商等全链条主体，其反贿赂行为约束需纳入体系范围管理。考虑4.2所述的相关方要求——范围界定的义务依据：条款b)项要求确定范围时考虑"4.2中提及的要求"。其内在涵义是：组织在4.2中已识别了与反贿赂管理体系有关的相关方（如监管机构、客户、投资者、员工、执法机关等）及其相关要求，并确定将通过体系处理哪些要求；这些要求（尤其是适用的反贿赂法律法规等强制性要求，以及相关方期望和组织的自愿承诺）直接约束体系范围的划定，凡处于适用法律义务覆盖的业务领域和活动，原则上不得被排除在范围之外。这体现了反贿赂管理体系的合规本质——范围的适用性判断必须以组织实际承担的法定、监管、合同义务为底线，组织可以通过体系自愿地超越法定要求（例如将标准的要求扩展适用于欺诈、洗钱等相邻风险领域），但不得低于法定要求划定的最低覆盖面。标准4.2同时要求组织确定"将通过反贿赂管理体系处理哪些要求"，这意味着组织需在范围文件中明确回应哪些相关方要求被纳入体系管控，从而界定体系的义务边界。组织在识别相关方要求时，可以区分强制性要求、非强制性期望以及对相关方的自愿承诺，以此作为范围划定的分类依据；法定强制要求构成范围的底线边界：反不正当竞争、反商业贿赂、刑法中行贿受贿条款、行业监管禁令等强制性法律义务覆盖的所有业务、人员和活动，必须全部纳入体系范围，不得遗漏。合同义务与相关方期望构成范围的扩展边界：客户、投资方提出的反贿赂合规要求，行业自律公约、清廉企业建设等自愿承诺，可根据组织实际情况纳入体系范围，实现合规要求的传导与落地。考虑4.5所述的贿赂风险评估结果——范围界定的风险导向依据：条款c)项要求确定范围时考虑"4.5中提及的贿赂风险评估的结果"。其内在涵义是：范围界定必须建立在科学、系统的贿赂风险评估基础之上，体现"基于风险的方法"。4.5所要求的风险评估旨在为反贿赂管理体系奠定坚实基础，用于识别体系将重点关注的贿赂风险，确定风险缓解的优先事项以及反贿赂合规人员、资源和活动的分配。将评估结果纳入范围确定，意味着体系资源应向高风险的区域、部门、业务、交易和商业伙伴倾斜——对贿赂风险高的地点、活动和商业伙伴实施更高水平的控制，对评估为低风险的活动和商业伙伴可以实施较低水平的控制，甚至确定无需实施特定反贿赂控制。需要特别强调的是：识别和接受"低贿赂风险"绝不等于接受贿赂发生的事实，组织对贿赂本身仍可持"零容忍"态度，范围与控制水平的差异化只体现管理资源的合理配置，而非合规底线的让渡。同时，风险评估应按策划的时间间隔及组织结构或活动发生重大变化时进行评审，因此范围的确定也不是一次性的静态结论，应随风险变化而适时调整。在合理可行范围内，贿赂风险评估结果应反映组织面临的实际风险，该工作应设计为帮助组织评估和确定贿赂风险优先级的工具，并按计划间隔进行评审和修订，与之相应的体系范围亦应保持同步的动态适应性；建立范围动态调整机制：当出现以下情形时，应重新开展风险评估并同步调整体系范围：一是组织业务拓展、并购重组、进入新的国家或地区市场；二是反贿赂相关法律法规、监管要求发生重大变化；三是发生重大贿赂违规事件或重大负面舆情；四是组织结构、商业模式发生重大调整。调整后的范围需重新履行审批与文件更新程序，确保体系边界始终与风险分布相匹配。范围应作为成文信息予以提供——范围确定的文件化强制要求：条款要求"范围应作为成文信息予以提供"。其内在涵义是：范围的确定结果必须落实为受控的成文信息，而非仅停留在口头或意向层面。这是标准采用"应"（shall）表述的规范性要求，具有强制性。成文的意义在于：其一，向组织内部各层级及商业伙伴、认证机构、监管机关等外部相关方清晰传递体系的覆盖边界与适用性；其二，为内部审核、管理评审和认证审核提供明确的审核基线；其三，作为组织已履行范围确定义务的可追溯证据。依据本标准对成文信息控制的一般要求，该文件应在创建和更新时经过标识、评审和批准，并确保在需要的场合和时机可获得、受到妥善保护。此外，对于不纳入体系范围的情形，组织应说明理由并形成文件，任何未纳入范围的情形不影响组织仍需满足的反贿赂管理底线要求。标准7.5.2和7.5.3对成文信息的创建、更新和控制提出了具体要求，范围文件应遵循这些要求进行标识与描述（如标题、日期、编制人或编号）、评审和批准以确保适宜性和充分性，并进行版本控制和妥善保管；范围成文信息应包含必备核心要素：体系覆盖的组织单元清单、业务活动类别、经营地域范围；体系管控的深度与适用的条款范围；未纳入体系范围的事项、区域及排除理由；文件的版本号、编制审批记录与生效日期。范围文件应纳入组织受控文件管理体系，按照文件控制要求进行评审、更新、作废与回收，并确保内部各部门、相关岗位人员可便捷获取。注的指引作用——独立实施或整合实施及范围相关的特殊边界问题：条款以注的形式指引使用者参见附录A.2获取指导。A.2的核心指导包括两个层面：体系的实施方式具有选择自由。组织可以将反贿赂管理体系作为单独的系统实施，也可以作为整体合规管理体系的组成部分实施（此时可参考ISO37301），还可以与质量、环境、信息安全等其他管理体系以及社会责任、风险管理标准并行实施或整合实施。这说明"范围"的确定同时包含实施方式的选择——独立或整合并不影响符合性，组织应基于自身管理架构和资源状况作出合理决定。标准引言同时指出，本标准可以与其他管理体系标准（如ISO9001、ISO14001、ISO/IEC27001、ISO37301和ISO37002）以及管理标准（如ISO26000和ISO31000）结合使用，这为范围的整合界定提供了充分的兼容性依据；明确特殊支付类型在体系范围中的定性。便利支付（即以非法或非正式的方式向公职人员或具有认证职能的人员支付相对较小的费用，以获取或加快本应合法获得的服务，如签证签发、工作许可、海关清关等）在本标准中被视为贿赂，必须被组织的反贿赂管理体系所禁止，不得以"性质不同于商业贿赂"为由将其排除在体系范围之外；而勒索支付（因对人员健康、安全或自由的实际或感知威胁而被强行索取的金钱）超出了本标准的范围，组织可以另行制定政策允许人员在面临迫在眉睫的人身危险时支付。这提示标准使用者在划定范围时，应准确区分"不得排除"与"可以另行处理"的事项边界。整合实施的范围协同要求：当反贿赂管理体系与合规管理体系、廉洁风险防控体系、利益冲突管理体系等整合实施时，应统一范围边界，避免出现管控空白或重叠。反贿赂范围应与利益冲突、舞弊防控、合规管理的相关范围相互衔接，形成协同管控合力；便利支付与勒索支付的范围判定细则：任何形式的便利支付均属于贿赂范畴，必须纳入体系禁止范围，不得设置例外；遭遇勒索支付时，相关人员应在确保人身安全的前提下优先拒绝支付，确因紧急危险支付的，需在事后及时完整报告并留存记录，由组织启动追责与整改程序，该类情形的处置规则需纳入体系范围管理。组织应向可能面临此类支付要求或索求的人员提供具体指导，包括：面临支付要求时的行动——在便利支付情形下应要求提供合法性证明和官方收据，若无令人满意的证明则拒绝支付；在勒索支付情形下若健康、安全或自由受到威胁时可进行支付；支付后应及时记录事件并向适当的经理或反贿赂职能部门报告；组织应指定独立经理调查、在账户中正确记录支付，并在适当或法律要求时向相关当局报告。“4.3确定反贿赂管理体系的范围”条款要求应用（实施）指南子条款要求应用（实施）操作指引启动范围确定工作并明确边界：在体系策划阶段正式启动范围界定工作，清晰划定体系的管控边界与适用维度；组织应在体系策划阶段，由反贿赂合规职能牵头启动范围确定工作，明确反贿赂管理体系的边界和适用性，即界定体系覆盖的组织单元、部门、场所、业务活动及涉及的贿赂风险类型（组织实施的贿赂、针对组织的贿赂、员工及商业伙伴代表组织实施的贿赂、直接和间接贿赂等），以建立其范围；该项工作应由最高管理者授权，合规管理部门牵头，联合业务、法务、风控、审计等相关部门共同开展，确保范围界定覆盖组织、业务、人员、第三方四类核心边界，避免出现管控空白；组织还应同步确定反贿赂管理体系的实施形式：可选择作为独立体系运行，也可纳入整体合规管理体系（参考ISO37301）整合实施，或与质量（ISO9001）、环境（ISO14001）、信息安全（ISO/IEC27001）等管理体系并行或融合实施，范围界定应与所选实施形式相匹配。全面收集三类输入信息：系统归集范围确定的三项核心依据，确保范围界定有客观支撑；在确定范围时，组织应系统收集并评审三项输入：一是4.1确定的外部和内部因素，包括组织规模结构与委托决策权限、运营或预期运营的地点和行业、活动性质规模与复杂性、商业模式、组织控制的实体及控制组织的实体、商业伙伴、与公职人员互动的性质和程度、适用的法定监管合同及职业义务；二是4.2确定的相关方要求，并明确将通过反贿赂管理体系处理哪些要求；三是4.5贿赂风险评估的结果；收集输入信息时应突出重点：内外部因素重点关注高风险司法辖区、强监管行业、高频率接触公职人员的业务场景；相关方要求重点区分强制性法定要求、合同约定要求与自愿性自律承诺；风险评估结果重点参考高风险区域、高风险岗位、高风险业务流程的分级结论，确保输入信息与范围界定直接相关；组织还应明确"将通过反贿赂管理体系处理相关方的哪些要求"，以此作为范围边界界定的直接依据——区分强制性法定要求、非强制性期望与自愿承诺，并将拟处理的要求类别与管控深度逐一对应，避免范围界定宽泛模糊。基于风险思维实施范围决策：以风险评估结果为核心依据，按照风险与管控相匹配的原则确定管控深度；范围确定应以贿赂风险评估结果为决策基础：对贿赂风险较高的地点、业务单元或商业伙伴类别应确保纳入体系覆盖并实施更高水平的控制；对经评估确属低风险的领域，组织的体系可以是合理且相称的。同时应结合"合理且相称"原则，即体系的详尽程度应与组织规模、运营地点风险水平、交易价值和商业伙伴范围相匹配；应按照"风险越高、管控越严"的原则配置管控资源：高风险领域实施全流程、全节点管控；中风险领域实施关键环节管控；低风险领域实施底线合规管控。既要避免过度管控增加不必要的运营成本，也要避免管控不足留下实质性风险敞口；范围确定的充分性直接关系到4.4条款要求的反贿赂管理体系"合理且相称"原则的落实——体系设计的详尽程度与管控深度必须与4.3所考虑的因素（即内外部因素、相关方要求和风险评估结果）相匹配。本标准明确要求的适用程度取决于4.1、4.2和4.5所列因素，范围界定过窄将导致体系偏离相称性要求，过宽则将造成管控资源错配。界定贿赂专属范围并明确扩展边界：明确体系的核心管控边界，区分核心贿赂范围与扩展关联领域；本标准仅适用于贿赂，不专门针对欺诈、卡特尔及其他反垄断/竞争违法行为、洗钱或其他与腐败相关的活动；组织如选择将管理体系范围扩展以囊括这类活动，应在范围文件中予以明确界定；核心范围严格限定为各类贿赂风险，包括直接贿赂、间接贿赂、便利支付、承诺贿赂、利益输送等表现形式；其中便利支付属于贿赂范畴，必须纳入体系禁止范围，不得例外；针对勒索支付的应急处置可另行制定专项制度，但相关报告、追责与整改要求仍需纳入体系管理。若扩展至利益冲突、舞弊、洗钱等关联风险领域，应单独列明扩展边界及对应的差异化管控要求，不得与核心贿赂范围混同界定。形成成文信息并履行审批：将范围确定结果固化为受控文件，履行正式审批程序确保权威性；范围应作为成文信息予以提供，可纳入体系文件（如反贿赂管理手册的"范围"章节），内容包括体系覆盖的组织边界、活动范围、地点、不适用的情形及理由，经评审批准后发布；成文信息应至少包含必备要素：体系覆盖的组织单元清单、业务领域与关键流程、经营地域范围、纳入/排除的具体情形及判定依据、文件版本号与审批记录。范围文件应纳入组织受控文件清单，按照成文信息控制要求进行统一标识、评审、批准、分发与更新；范围成文信息还应符合7.5.3条款的成文信息控制要求——确保在需要的场合和时机均可获取并适用，实施版本控制以维护其有效性，并予以妥善保护（防止泄密、不当使用或完整性受损）。动态评审与更新：建立范围的动态调整机制，确保范围与组织实际风险状况持续匹配。组织应将范围纳入定期评审：当贿赂风险评估按策划间隔更新、组织结构或活动发生重大变化（如新市场、新业务、并购）时，应同步评审范围的持续适宜性，必要时更新范围成文信息；范围评审周期原则上与贿赂风险评估周期保持一致，每年至少开展一次适宜性评审；发生进入高风险国家/地区、新增高风险业务、重大并购重组、重大贿赂事件等情形时，应即时开展专项评审。更新后的范围文件应重新履行审批程序，并及时传达至内部各部门及相关外部方；贿赂风险评估按策划间隔进行评审，并在组织结构或活动发生重大变化时进行评审——范围作为以风险评估结果为依据的成文信息，其更新节点应与风险评估的评审触发条件保持联动，确保范围始终反映组织当前的实际风险状况。子条款要求应用（实施）需特别注意事项不得借缩小范围规避高风险活动：严格禁止通过缩小范围逃避法定与合规义务，排除高风险事项需履行严格程序；对不纳入体系范围的情形应说明理由并形成文件；任何未纳入范围的情形不影响反贿赂管理体系的要求，不得通过人为缩小范围排除贿赂风险显著的活动、场所或业务单元；法定强制监管的领域、发生过贿赂违规事件的业务单元、涉及公职人员交往的核心业务环节，一律不得排除在体系范围之外；确需排除的低风险事项，需经合规管理部门专业论证、最高管理者最终批准，并将论证与审批文件存档备查；本标准明确要求"任何未纳入范围的情形不影响反贿赂管理体系的要求"，且组织对不纳入体系范围的情形应说明理由并形成文件。这意味着排除本身不解除组织对相关风险的管控义务，范围边界的调整必须有客观、充分的理由支撑，不得以缩小范围为手段规避法定或合规义务。范围一旦确定须全面适用：范围内的所有对象均应执行对应管控要求，不得选择性实施；体系范围一经确定，凡纳入范围内的活动、过程和职能均应完整适用本标准的相关要求，不得选择性实施；纳入范围的所有组织单元、业务流程、在岗人员及相关第三方主体，均应统一执行体系对应的制度、流程与管控要求，不得因层级、业务属性不同而随意降低管控标准。外包职能的边界处理：明确外包职能与外部主体的边界，通过商业伙伴路径落实管控；尽管外包的职能或过程仍在管理体系范围内，但承担外包的外部组织本身处于管理体系范围之外，应通过商业伙伴管理途径施加反贿赂控制；外包职能对应的反贿赂管控要求应嵌入外包合同与全履约周期管理，通过准入尽职调查、合同反贿赂条款约束、履约过程监督、履约合规评价等方式实施管控，不得因业务外包而转移或减免组织自身的反贿赂主体责任；8.1条款注释进一步明确"外部组织处于管理体系范围之外，尽管外部提供的职能或过程在范围之内"，这与4.3范围界定中的外包边界处理原则完全一致——组织需区分"职能归属"与"主体归属"，对外包职能保留管控责任，通过商业伙伴管理路径而非将其直接纳入体系范围来实施控制。输入信息的完整性与可追溯性：范围确定必须基于正式成文的输入依据，全程留痕可验证；范围确定必须以4.1、4.2、4.5的实际分析结果为依据，确保三项输入均有成文信息支撑并可追溯；本标准要求的适用程度取决于4.1、4.2和4.5所列因素；三项输入信息均应形成正式书面文件，作为范围确定的支撑性附件一并归档保存；范围决策的依据、过程与结论应全程留痕，具备可追溯性与可验证性，不得仅凭主观判断划定范围；4.3条款自身明确要求"范围应作为成文信息予以提供"，而三项输入（4.1、4.2、4.5）的成文化是确保范围确定可追溯的前提。本标准要求的适用程度取决于4.1、4.2和4.5中指定的因素，这意味着输入信息的质量和完整性直接决定范围确定的科学性与合规性。成文信息的规范管理：规范范围文件的全生命周期管理，确保内外部获取的便捷性与一致性。范围文件应按照成文信息控制要求进行标识、批准、分发和版本管理，确保在需要的场合可获取并适用；范围成文信息应向内部全体员工开放查阅，确保各层级人员清晰知晓自身所在业务的管控边界；可视需要向商业伙伴、监管机构、认证机构等外部相关方提供，涉及保密信息的，按保密管理规定履行审批程序后提供；依据7.5.3条款对成文信息的控制要求，范围文件应实施包括分发、访问、检索和使用、存储和防护（含保持可读性）、更改控制（版本控制）、保留和处置在内的全生命周期管理，确保内外部相关方在需要时能够获取并使用有效版本。子条款要求应用（实施）常见（典型）风险描述范围界定过窄排除高风险领域：人为缩小管控边界，导致高风险领域脱离体系管控；组织将贿赂风险较高的分支机构、海外业务、新设项目公司或高价值交易活动排除在体系范围之外，且未说明理由、未形成文件，导致体系覆盖与实际风险敞口严重脱节；