《ISO 37001-2025 反贿赂管理体系要求及使用指南》之4-5：4组织环境-4.5贿赂风险评估专业解读与实施指南（雷泽佳编写2026A0）

《ISO37001-2025反贿赂管理体系要求及使用指南》之4-5：“4组织环境-4.5贿赂风险评估“专业解读与实施指南（雷泽佳编写-2026A0）【“4.5贿赂风险评估”】条款原文：4.5贿赂风险评估组织应按策划的时间间隔进行贿赂风险评估，这些评估应：a)考虑到4.1中列出的因素，识别组织可以合理预见的贿赂风险；b)分析、评估和确定已识别贿赂风险的优先级；c)评价组织现有控制措施在缓解已评估贿赂风险方面的适宜性和有效性。组织应建立评估其贿赂风险水平的准则，这些准则应考虑组织的政策和目标。贿赂风险评估应：a)按策划的时间间隔进行评审，以便根据组织定义的时间和频率，对变化和新信息进行适当评估；b)在组织结构或活动发生重大变化时进行评审。组织应保留成文信息，以证明已进行贿赂风险评估，并已用于设计或持续改进反贿赂管理体系。注：见A.4以获取指导。“4.5贿赂风险评估”条款目的和意图4.5条款的根本目的和意图，是为组织构建反贿赂管理体系奠定坚实的事实基础与逻辑起点。标准编制者设计本条款的核心用意在于：要求组织通过系统化、结构化的贿赂风险评估，获得对其所面临贿赂风险的清晰认识，并以此为依据，确保反贿赂管理体系的各项要素（方针、目标、控制措施、资源配置、培训、尽职调查等）均建立在真实的风险认知之上，从而符合“合理且相称”这一贯穿全标准的基本原则。简言之，本条款旨在使反贿赂管理体系从“通用模板”转向“量身定制”——评估的结果直接指导体系的设计方向与持续改进重点，确保体系将有限的资源和关注聚焦于真正需要优先管控的贿赂风险领域。识别可合理预见的贿赂风险——为体系划定关注边界：本项的目的和意图在于：要求组织主动扫描自身内外部环境，系统识别出在其业务场景下有合理依据可以预见的各类贿赂风险情形，为反贿赂管理体系划定明确的关注范围和工作起点。标准编制者有意将此项与4.1（理解组织及其环境）所列举的因素相衔接，意在强调贿赂风险的识别不能凭空臆断，而必须基于对组织自身的规模结构、运营地域与行业、活动性质与复杂性、商业模式、商业伙伴状况、与公职人员互动程度以及法律法规义务等客观因素的具体分析。通过这种“从环境到风险”的逻辑链条，确保组织识别出的贿赂风险清单是可追溯、可验证且与自身实际状况相匹配的，既避免遗漏重大风险点，也防止无根据地将风险范围过度泛化；分析、评估并确定已识别风险的优先级——建立风险排序与聚焦机制：本项的目的和意图在于：要求组织对识别出的各项贿赂风险进行深入分析和科学评估，并按照其严重程度和紧迫性排出优先顺序，从而为后续的风险应对和资源配置提供明确的决策依据。标准编制者设置这一环节的深层用意是承认组织面临的风险是多元且不平等的，而任何组织的资源和管控能力都是有限的。通过分析和评估（通常综合考量贿赂发生的可能性及其一旦发生后的后果严重程度），组织能够区分出哪些风险需要优先投入资源进行管控、哪些风险可以接受较低水平的控制甚至暂时不采取专门措施。这一优先级排序过程直接服务于全标准反复强调的“合理且相称”原则——确保高贿赂风险得到高水平管控，低贿赂风险不被过度管控，实现反贿赂管理投入与风险水平的动态平衡；评价现有控制措施的适宜性和有效性——打通风险识别与管控改进的闭环：本项的目的和意图在于：要求组织将已评估的贿赂风险与其当前已实施的反贿赂控制措施进行对照审查，判断这些现有措施在风险缓解方面是否设计得当（适宜性）以及是否实际发挥作用（有效性），进而识别控制缺口或过度控制的情形。标准编制者在此处构建了一个关键的质量闭环：风险识别本身不是终点，发现风险后必须回头检视已有的控制手段是否足以应对这些风险。如果现有控制措施不足以缓解已评估的风险，则表明存在控制缺口，需要设计新增或增强的控制手段；如果现有控制措施超出了风险的实际需要，则可能存在资源浪费或过度管控。这一评价环节使得贿赂风险评估不仅是“发现问题”的工具，更是“检验和优化解决方案”的依据，为后续第8章各项控制措施的具体实施提供了直接输入；建立贿赂风险水平评估准则——确保评估的一致性与方针导向：本项的目的和意图在于：要求组织制定明确的、成文的准则或标准，用以统一衡量和划分各项贿赂风险的水平（如低、中、高或更细致的分级），且这些准则必须与组织的反贿赂方针和目标保持一致。标准编制者之所以设置这一要求，是因为风险评估如果缺乏统一的衡量标尺，就会沦为随意判断，导致同一组织内部不同业务单元或不同时期对风险水平的认定不一致，进而影响整个反贿赂管理体系的稳定性和可信度。要求准则“考虑组织的政策和目标”，是为了确保风险评估的价值取向与组织高层确定的诚信承诺和合规方向相一致——例如，一个持“零容忍”态度的组织，其对“高风险”的界定标准必然更为严格。此项为整个贿赂风险评估过程提供了方法论基础和质量保障；按策划的时间间隔进行评审——确保风险评估的动态更新与持续适用：本项的目的和意图在于：要求组织按照自身事先确定的周期性安排，定期对贿赂风险评估进行系统性复查，以确保评估结果能够及时反映内外部环境的变化、新的信息输入以及组织经验积累所带来的认知提升。标准编制者认识到，贿赂风险不是静止不变的——组织的业务范围可能拓展、运营地域可能变更、法律法规可能修订、商业伙伴网络可能调整，这些变化都可能使原有的风险评估结论部分或全部失效。通过设定“策划的时间间隔”而非固定的统一步调，标准赋予了组织根据自身风险状况和管理节奏自主确定复查频率的灵活性。本项确保贿赂风险评估始终是一个“活的”管理工具，而非一次性的书面作业，持续为反贿赂管理体系的适宜性和有效性提供支撑；在组织结构或活动发生重大变化时进行评审——应对非预期性风险冲击：本项的目的和意图在于：要求组织在发生并购重组、进入新市场、推出新产品线、调整商业模式、更换关键管理层或发生其他重大结构性或业务性变化时，及时启动贿赂风险评估的专项评审，以应对这些变化可能带来的新型或升级的贿赂风险。标准编制者设置这一触发式评审机制，是对定期评审的重要补充。重大变化往往伴随着既有控制环境的改变——例如，收购一家位于高风险地区的新子公司、与新的代理商建立合作关系、进入受高度监管的新行业等——这些变化可能引入原有风险评估未能覆盖的全新风险维度，也可能改变已有风险的性质和程度。如果不进行及时评审，反贿赂管理体系将出现盲区，使组织暴露于不可预见的贿赂风险之中。本项确保了贿赂风险评估具备应对突发性、结构性变化的能力；保留成文信息——实现评估过程的可追溯性与体系改进的可验证性：本项的目的和意图在于：要求组织以成文信息（书面记录或电子文档）的形式，完整保存贿赂风险评估的过程、方法和结果，以证明该评估已被实际执行，并且评估结果已被实际用于反贿赂管理体系的设计和持续改进。标准编制者设置这一记录要求的用意是多重的：其一，它是组织向外部审计机构、监管部门和商业伙伴证明其反贿赂管理体系运行有效性的重要证据；其二，它为组织内部的管理评审和后续风险评估提供了历史参照基线；其三，它强制性地将评估与体系改进之间的因果关系以书面形式固定下来，防止评估沦为“为评估而评估”的形式主义。保留成文信息将贿赂风险评估从一次性的管理活动转化为可追溯、可验证、可回溯的管理资产，从根本上保障了反贿赂管理体系持续改进机制的闭环运行。“4.5贿赂风险评估”条款内在涵义专业解读定期评估的总体要求——贿赂风险评估是体系的"奠基石"(4.5.1按策划的时间间隔开展评估)：：本款要求组织必须以预先策划、明确规定的频率开展贿赂风险评估，而非一次性或临时性活动。其实质涵义在于：贿赂风险评估旨在为组织的反贿赂管理体系奠定坚实基础，评估过程确定了管理体系将重点关注的贿赂风险，即被组织视为需优先开展风险缓解、控制实施以及配置反贿赂合规人员、资源和活动的事项；评估的时间间隔由组织根据自身规模、结构和风险状况自行定义，体现标准"风险导向、合理且相称"的一贯原则，评审频率应适配业务拓展速度、监管法规更新、过往风险事件教训等实际因素，高风险组织宜缩短评估周期；贿赂风险评估的结果不仅是反贿赂管理体系设计的输入依据，还直接用于确定管理体系的范围见4.3，并为后续运行策划与控制见8.1：奠定基础。风险识别要求——基于组织环境因素的"合理预见"(4.5.1a项：考虑4.1因素，识别可合理预见的贿赂风险)：本项要求组织在识别贿赂风险时，必须系统考虑"4.1理解组织及其环境"中列出的内外部因素，包括组织规模、结构和决策权限，运营地点和行业领域，活动的性质、规模与复杂性，商业模式，受控实体与商业伙伴，与公职人员互动的性质和程度，以及适用的法律、监管、合同和职业义务等；其实质是要求风险识别与组织实际经营环境紧密结合，例如评审不同类别商业伙伴客户、供方、代理中介：带来的风险差异、与许可审批类公职人员互动的频率、组织对所评估风险的影响或控制程度等。所谓"合理预见"，是指识别范围以一个尽职组织在其特定环境下应当能够预见的贿赂风险为限，不要求穷尽一切可能性；识别范围需要兼顾对外输出型贿赂、对内输入型贿赂两类场景，同时覆盖直接贿赂与经由第三方间接贿赂风险；在具体识别方法上，组织可评估组织规模和结构带来的风险差异；利用贿赂指数评审运营地区及行业的贿赂风险水平；按客户、供方、代理人/中介等类别系统评审商业伙伴类型及相应风险水平；评审与公职人员互动的性质和频率；以及在合理范围内考虑组织对已评估风险的影响或控制程度。风险分析与优先级排序要求——识别、评估、排序的递进逻辑(4.5.1b项：分析、评估并确定已识别风险的优先级)：本项要求对已识别的贿赂风险进行分析和评估，并按其重要性确定优先处理顺序。其实质涵义是：组织应通过分析风险的性质、发生可能性及一旦发生的后果严重程度，划分风险等级如"低、中、高"：并进行优先排序，从而为后续资源配置提供依据；需特别强调的是，标准将风险评估方法的选择权、风险加权与优先排序方式以及可接受的风险水平即"风险承受力"或容忍程度：均授予组织自行决定，体现基于风险、灵活相称的方法论；优先级排序结果应当作为后续尽职调查、审批管控、资源倾斜的直接输入依据，高优先级风险应配置更强管控手段；风险因素之间相互关联，同一类别商业伙伴因其运营地点或行业不同可能带来截然不同的风险水平，组织进行优先级排序时应综合考量各因素的叠加效应。现有控制措施评价要求——检验既有防线是否"适宜且有效"(4.5.1c项：评价现有控制措施缓解已评估风险的适宜性和有效性)：本项要求组织不仅识别和分析风险，还必须对照评估结果检验现有反贿赂控制措施是否充分。其实质涵义是：在评估相关贿赂风险后，组织应确定针对每个风险类别所需应用的反贿赂控制类型和水平，并评估现有控制是否适宜；如不充分，则应适当改进控制，例如对高贿赂风险地点和商业伙伴类别实施更高水平的控制，而对低风险活动或商业伙伴实施低水平控制亦属可接受；评价的对象既包括控制措施设计上的"适宜性"是否匹配风险，也包括其运行上的"有效性"是否切实缓解了风险：；评价完成后应明确残余风险等级，判断残余风险是否处于组织可接受阈值以内，残余风险不可接受时，必须新增或者升级管控措施；对低贿赂风险活动或商业伙伴实施低水平控制可以接受，且标准中的部分要求明确排除了将其应用于低贿赂风险活动或商业伙伴的必要性组织自愿选择应用者除外：。风险评估准则要求——以方针和目标为基准的分级标准(建立评估贿赂风险水平的准则：本款要求组织必须事先建立评估贿赂风险水平的准则，且准则应考虑组织的反贿赂方针和目标。)：风险分级标准不能随意确定，必须与组织反贿赂方针如对贿赂"零容忍"的态度：和反贿赂目标保持一致，从而确保风险评估结论能够反过来支撑方针目标的实现。准则的具体形式由组织自定，可选择"低、中、高"三级标准，或更详细的五级、七级标准，通常需综合考虑贿赂风险的性质、发生的可能性及后果的严重程度等因素；准则需要明确定义各风险等级判定口径、风险可接受阈值，同时包含适配内外部环境变化的动态调整机制，准则应当形成成文信息。在准则的具体设计上，组织可选择三级标准如低、中、高：、五级或七级更详细的等级划分，或采用更细化的方法论。定期评审要求——保持评估结果的持续时效性(4.5.3a项：按策划的时间间隔评审，以应对变化和新信息)：本项要求对贿赂风险评估本身按组织自定义的时间和频率进行评审，以便对变化和新信息进行适当评估。其实质涵义是：贿赂风险评估不是一成不变的静态结论，评估结果应在合理可行范围内反映组织面临的实际贿赂风险，并须根据组织或环境的变化如新市场、新产品、法律要求变化、获得的经验教训：进行修订，使评估成为帮助组织持续识别和确定风险优先级的动态工具；评审应当重点审视原有风险假设、风险等级划分是否依然成立，结合已发生贿赂相关事件、监管案例校准风险判断。评审结果应及时反馈至反贿赂目标和管控措施的调整，确保评估与实际风险状况的同步更新。重大变化时的评审要求——触发式的即时再评估机制(4.5.3b项：在组织结构或活动发生重大变化时评审)：本项要求在组织结构或经营活动发生重大变化时，必须对贿赂风险评估进行评审。其实质涵义是建立"变化触发"机制：除定期评审外，当发生并购重组、进入新市场或新行业、开展新型业务活动等结构性、活动性重大变更时，原有的风险评估结论可能失效，组织应及时启动再评审，确保评估结果与组织当前实际风险状况相符；此机制与风险评估应反映组织实际贿赂风险、按组织和环境变化修订的要求一脉相承；重大变化场景还包含管控模式调整、核心商业伙伴网络发生重大调整、反腐败相关法律法规重大修订等情形，触发后应当及时开展专项再评估，不可等待固定周期评审；专项再评估完成后，应及时更新风险登记册，确保管控措施随组织结构或活动的变更而同步调整，并将更新结果通报相关职能。成文信息要求——评估活动的可追溯证据(保留成文信息证明已开展评估并用于体系设计或持续改进：)本款要求组织保留成文信息，以证明两件事：一是贿赂风险评估确已开展；二是评估结果已被用于反贿赂管理体系的设计或持续改进。其实质涵义是：贿赂风险评估结果是标准所列成文信息的组成部分之一，记录应完整保留以供验证；此要求使风险评估与体系设计形成闭环——评估结果直接服务于管理体系范围确定、尽职调查、财务与非财务控制等后续环节的设计与改进，同时也为内部审核和管理评审提供输入依据；成文信息至少需要留存风险识别清单、风险分析与优先级判定依据、现有控制措施评价记录、各次评审记录，清晰体现风险与管控措施之间的逻辑对应关系，做好版本管理，可采用风险登记册等载体，不必过度繁复；贿赂风险评估的成文信息同时为内部审核见9.2：和管理评审见9.3：提供关键输入，并为反贿赂目标设定见6.2：、尽职调查范围界定见8.2：以及培训方案制定见7.3：提供基本依据。评估工作的适度性——避免"过度复杂化"的理解要点(正确把握评估的深度与边界)：组织应准确理解：贿赂风险评估并非旨在成为一项广泛或过于复杂的工作，评估结果也不一定必须证明其正确性例如被评估为低贿赂风险的交易最终仍可能涉及贿赂：。评估工作应设计为一种帮助组织评估和确定贿赂风险优先级的实用工具，其深度和复杂程度应与组织面临的贿赂风险性质和程度合理且相称，各风险因素之间相互关联例如同一类别商业伙伴因运营地点不同可能带来不同风险，组织还可以通过改变交易、项目、活动或关系的性质，将贿赂风险降至现有、增强或额外的反贿赂控制能够充分管理的水平；风险管理方法可进一步参考ISO31000等通用风险管理标准；评估追求合理可行而非绝对精准预测，允许存在合理误差，核心目标是建立风险驱动的反贿赂管理体系，而非穷尽全部潜在可能性，评估输出应当传递至治理层、最高管理者作为管理评审输入。评估结果应在合理可行范围内反映组织面临的实际贿赂风险，并按计划间隔进行评审和修订。“4.5贿赂风险评估”条款要求应用（实施）指南子条款要求应用（实施）操作指引策划评估机制并明确职责与频次：组织应在反贿赂管理体系文件（如《贿赂风险管理程序》或《贿赂风险评估作业指导书》）中规定贿赂风险评估的启动条件、执行频次、职责分工和审批路径，明确由反贿赂职能牵头、各业务部门参与、最高管理者或治理机构认可评估结果；评估应按策划的时间间隔开展，并形成“评估—评审—更新—应用”的闭环过程；评估的输出用于确定管理体系重点关注的贿赂风险，即组织需优先实施风险缓解、控制措施以及配置反贿赂合规人员、资源和活动的对象；贿赂风险评估旨在为反贿赂管理体系奠定坚实基础，所采用的方法和加权方式均由组织自行决定。评估工作应纳入组织整体风险管理体系统筹管理，评估范围应完整覆盖反贿赂管理体系界定的所有活动、区域、人员及相关方，评估输入应直接衔接4.1条款所识别的组织内外部环境因素、相关方需求与期望，评估输出应同步纳入组织管理评审的评审范畴，确保风险评估结果驱动体系持续改进。全面识别可合理预见的贿赂风险：风险识别应以4.1所列的内外部因素为输入，逐一覆盖以下维度：组织规模、结构及委托决策权限；运营或拟运营的地点和行业（可借助适当的贿赂指数）；活动和运营的性质、规模及复杂性；商业模式；受组织控制及控制组织的实体；现有和潜在商业伙伴的类别；与国内外公职人员往来的性质和频率；适用的法律、监管、合同及职业义务（如禁止或限制款待公职人员、使用代理人的规定）；以及组织对所评估风险的影响和控制能力；识别时还应关注特定活动带来的特定风险（如政府采购中的补偿性/抵消安排），组织应采取适当步骤，防止此类抵消安排构成贿赂。并注意风险因素相互关联——同一类别的供方因运营地点不同可能带来不同风险；识别结果应形成贿赂风险清单或风险登记册。风险识别可综合采用文件评审、跨部门访谈、数据分析、历史事件复盘、行业标杆对照、场景模拟等多种方法，确保覆盖行贿、受贿、索贿、介绍贿赂等各类贿赂风险形态，同时覆盖组织内部人员、治理机构成员以及第三方（代理人、中介、承包商、供应商、合资伙伴、服务提供商）等全部相关主体，避免遗漏私营部门内贿赂及第三方传导型贿赂风险。建立风险准则并分析、评估、排序：组织应基于自身反贿赂方针和目标，建立成文的贿赂风险水平评估准则。准则可采用“低、中、高”三级标准，或更细化的五级、七级等分级方法，分级应综合考虑贿赂风险的性质、贿赂发生的可能性以及发生后果的严重程度；对已识别风险，逐项分析其来源和成因，按准则评估风险等级，并确定优先级——风险承受力（可接受的风险水平）由组织自行决定，但须与方针、目标保持一致。对评为“中”或“高”风险的地点、活动或商业伙伴类别，应作为后续实施更高水平控制的依据；对低风险活动或商业伙伴可确定实施较低水平的控制；对低贿赂风险活动或商业伙伴，标准中的某些要求明确排除了应用的必要性，组织可根据评估结论选择不实施特定反贿赂控制，但也可自愿应用；风险评估准则应明确设置“可能性”与“影响程度”两项核心判定维度：可能性维度可按发生概率、发生频次等设定分级标准；影响程度维度应覆盖财务损失、声誉损害、合规处罚、运营中断、社会责任影响等多个层面，通过两个维度的组合判定最终风险等级；风险优先级排序应同时匹配组织既定的风险偏好（风险承受度），优先处置发生概率高、影响程度大且可控性强的风险事项。评价现有控制措施的适宜性和有效性：针对每个已评估的风险（或风险类别），对照组织现有控制措施（如财务与非财务控制、尽职调查、礼品招待管控等），评价其是否足以缓解该风险；对控制不充分的，应确定改进或增强控制的措施，如对高风险地点和商业伙伴实施更高水平控制、必要时改变交易、项目、活动或关系的性质，将风险降低到控制措施能够充分管理的水平；评价结论应与风险评估结果一并输出，作为设计或改进管理体系、分配合规资源的直接输入。控制措施有效性评价应分别从设计适宜性与运行有效性两个层面开展：设计层面评价控制措施的逻辑、覆盖范围、资源配置是否能够匹配风险管控需求；运行层面评价控制措施在实际业务场景中是否得到持续、准确执行，是否切实发挥风险缓释作用。针对控制缺失或失效的风险点，应同步明确整改责任主体与完成时限，确保管控缺口及时闭合。按时间间隔和重大变化触发评审更新：组织应在程序文件中规定评估评审的时间和频率，按策划间隔对评估进行评审，以便对新信息（如新市场、新产品、法律要求变化、调查或审核获得的经验教训）进行准确评估和更新。同时应设置触发机制：当组织结构（如并购、设立子公司、组织架构调整）或活动（如进入新行业、新地域、新的商业模式）发生重大变化时，及时启动贿赂风险评估的重新评审；评审输入还应包含上一轮风险评估整改措施的完成情况与效果、内外部违规事件与投诉、监管政策更新、相关方诉求变化等信息，确保评审全面覆盖变化因素；若评审发现风险等级或风险分布发生显著变化，应同步更新风险清单、控制措施及相关管理文件，确保管控要求与风险现状持续匹配。评审所采用的风险评估方法可参照ISO31000和ISO31022确立的风险管理原则与指南，确保方法的科学性和一致性。保留成文信息并衔接体系应用：组织应保留评估全过程的成文信息，至少包括：评估准则、风险识别清单、分析与评价记录（含现有控制措施适宜性和有效性的评价结论）、优先级排序结果、评审与更新的记录，以及评估结果如何用于设计或持续改进反贿赂管理体系（如范围确定、尽职调查对象筛选、培训和意识计划设计、商业伙伴管控）的证据；成文信息应受控管理、便于追溯，确保在审核或调查中能够证明评估已实施并已实际应用。成文信息的编制、留存、更新与借阅应符合组织文件控制与记录管理相关要求，确保版本可追溯、访问权限受控、信息完整可验证；评估结果的应用应贯穿反贿赂管理体系全流程，直接支撑尽职调查范围划定、合规培训内容设计、商业伙伴分级管理、内部审核重点确定等关键环节，杜绝“评用脱节”。子条款要求应用（实施）需特别注意事项相称性原则贯穿始终：评估的深度和方法应与组织的规模、结构和所处风险环境合理且相称：地处单一地点、管理层级集中的小型组织与跨地域、结构分散的大型组织相比，风险控制难度和评估深度应有所区别；评估工作本身并非旨在成为一项广泛或过于复杂的工作，应将其设计为一种帮助组织评估和确定风险优先级的实用工具，而非形式化的文档工程；区分“接受风险”与“接受贿赂”：识别和接受低贿赂风险绝不意味着组织接受贿赂发生的事实——贿赂发生的风险（可能性）与贿赂的实际发生是两个不同概念。组织可以在对贿赂持“零容忍”态度的同时，在风险较低或高于低风险的情形下开展业务（前提是采取了充分的缓解措施），并在评估文件中明确这一立场，避免评估结论被误读为对贿赂行为的容忍；风险准则须与方针目标联动：风险评估准则（低/中/高分级及风险承受力）不是孤立的技术参数，应与组织反贿赂方针和目标保持一致，并在方针或目标修订时同步复核；评估方法、加权方式和可接受风险水平由组织自行决定，但决定过程和依据应形成记录，确保可追溯；评估结果应反映实际风险并动态维护：评估结果不可能绝对准确（例如被评估为低风险的交易最终仍可能涉及贿赂），组织不应以此苛求评估的完美性，但应在合理可行的范围内使结果反映实际面临的贿赂风险，并通过定期评审和重大变化触发的更新保持评估的时效性；同时注意评估结论在体系各环节（范围界定、尽职调查、培训、商业伙伴管控）中的传导应用，防止“评而不用”。ISO31000和ISO31022可为组织持续优化风险评估方法提供参考指南；第三方贿赂风险同步纳入评估范畴：组织不得将贿赂风险评估局限于内部人员与内部活动，应将所有代表组织行事的第三方、与组织存