Quando um cliente passa a exigir a ISO 37001 ou a ISO 37301 de seus fornecedores, a empresa precisa tomar três decisões antes de qualquer outra providência: confirmar exatamente o que está sendo pedido, avaliar a distância entre a estrutura atual e a norma exigida e planejar um projeto com prazo compatível com a exigência. Pular uma dessas etapas costuma gerar retrabalho ou um projeto que não atende ao cliente.
A ISO 37001 trata da gestão antissuborno. A ISO 37301 trata da gestão de compliance de forma mais ampla. Ambas são certificáveis, e a certificação é concedida por um organismo acreditado, independente da consultoria que eventualmente apoie a implementação. Atender à exigência significa, portanto, estruturar um sistema de gestão que funcione e que possa ser demonstrado em auditoria.
A exigência pode chegar de várias formas: uma cláusula em contrato novo, uma etapa do processo de homologação, uma revisão da política de fornecedores ou um critério de integridade em uma concorrência. Em todos os casos, o primeiro passo é ler o requisito com atenção e, se necessário, conversar com a área de compras ou compliance do cliente.
Algumas dúvidas precisam ser esclarecidas logo de início. O cliente exige a certificação formal ou aceita a comprovação de um sistema de gestão alinhado à norma? Pede uma norma específica ou qualquer uma das duas? A certificação precisa cobrir toda a empresa ou apenas a unidade e os serviços que atendem aquele contrato? Existe um prazo para apresentar o certificado, e o que acontece se ele não for cumprido?
As respostas mudam o tamanho do projeto. Uma exigência restrita a uma unidade que presta serviços ao cliente tem esforço muito diferente de uma certificação para todo o grupo. Vale também lembrar que a certificação demonstra a existência de um sistema de gestão auditado, mas não garante, por si só, a contratação ou a renovação do contrato.
A ISO 37001, cuja edição mais recente é de 2025, foca em um risco específico: o suborno. Por isso, ela detalha os controles esperados, como due diligence de parceiros e funcionários em posições sensíveis, controles financeiros e não financeiros, regras para brindes, presentes e hospitalidades, canal para levantar preocupações e processo de investigação. É a norma mais procurada por empresas que se relacionam com o setor público, usam intermediários ou atuam em setores expostos a corrupção.
A ISO 37301, publicada em 2021, organiza a gestão de todas as obrigações de compliance da empresa, sejam legais, regulatórias, contratuais ou voluntárias. Ela exige que a organização identifique essas obrigações de forma sistemática, mantenha esse inventário atualizado e defina controles proporcionais aos riscos. Também dá ênfase à cultura de compliance e à independência da função responsável.
As duas normas seguem a mesma estrutura dos sistemas de gestão ISO, o que permite integrá-las. Política, papéis, auditoria interna, análise crítica pela direção e controle de documentos podem ser compartilhados. Por isso, muitas empresas que recebem a exigência de uma delas avaliam a implementação conjunta, especialmente quando o risco de suborno é relevante e há muitas obrigações regulatórias a gerir.
Com o requisito confirmado, a empresa precisa saber de onde parte. O diagnóstico de maturidade compara o que já existe com os requisitos da norma escolhida e mostra o que está implantado, o que funciona apenas parcialmente e o que ainda falta.
Empresas que já têm um programa de integridade costumam aproveitar boa parte da estrutura: código de conduta, canal de denúncias, políticas de brindes e de conflito de interesses, treinamentos. O diagnóstico verifica se esses elementos atendem ao nível de formalização da norma, se têm responsáveis definidos e, principalmente, se geram registros. Uma política aprovada há anos, sem evidência de aplicação, conta pouco em uma auditoria.
Conte com o Grupo GEP para avaliar os requisitos e estruturar a implementação das normas ISO 37001 e ISO 37301.
Entre em contato com nossos especialistas que vamos te ajudar!
Acesse, em primeira mão, as nossas principais notícias diretamente em seu e-mail
