ISO 37001: benefícios e roteiro para implantar a gestão antissuborno

Suborno é um risco que não aparece no balanço até virar escândalo. Para tratá-lo com método, a ISO publicou em 2016 a ISO 37001, norma que especifica requisitos para um sistema de gestão antissuborno. Em fevereiro de 2025 saiu a segunda edição, e a ABNT publicou a versão brasileira atualizada em novembro do mesmo ano.

A norma vale para organizações de qualquer porte e natureza: empresas, órgãos públicos e entidades sem fins lucrativos. Ela cobre o suborno praticado pela organização, por seu pessoal ou por parceiros de negócio em seu nome, e também o suborno direcionado a eles, nos setores público e privado. A certificação é voluntária e não garante que nenhum caso vai acontecer, mas demonstra que a organização adotou medidas razoáveis e proporcionais para prevenir, detectar e responder ao problema.

O que mudou na edição de 2025

A revisão manteve a lógica do sistema de gestão, mas trouxe ajustes relevantes, segundo análise da certificadora DQS:

• Cultura antissuborno: nova subcláusula sobre o papel da liderança na promoção de uma cultura de integridade.
• Conflitos de interesse: tratamento mais claro, incluindo a sensibilização já no processo de contratação de pessoal.
• Parceiros de negócio: conscientização e treinamento reorganizados, com seção específica para parceiros.
• Fusões e aquisições: incluídas entre os controles não financeiros.
• Mudanças climáticas: consideradas no contexto da organização e nas expectativas das partes interessadas, como ocorreu em outras normas de sistemas de gestão.
• Estrutura Harmonizada: alinhamento de termos e cláusulas com as demais normas ISO de gestão, o que facilita a integração.

Para quem já é certificado pela versão de 2016, o prazo final de transição é 28 de fevereiro de 2027.

Benefícios concretos de implantar

• Método no lugar de boas intenções: a norma exige avaliação de riscos de suborno, controles proporcionais, auditoria interna e análise crítica pela direção, um ciclo que obriga a organização a revisar o que faz.
• Conversa com a regulação brasileira: muitos requisitos coincidem com os parâmetros do Decreto 11.129/2022, como compromisso da alta direção, função de compliance com autoridade, diligência sobre terceiros e canais de denúncia. A certificação não substitui a avaliação feita pelas autoridades, mas facilita a demonstração.
• Vantagem em contratações: empresas que disputam contratos públicos lidam com exigências de integridade da Lei 14.133/2021, e clientes privados podem incluir critérios antissuborno na seleção de fornecedores.
• Integração com outros sistemas: pela Estrutura Harmonizada, a ISO 37001 se integra a sistemas baseados em normas como ISO 9001, ISO/IEC 27001 e ISO 37301.
• Disciplina contínua: auditorias externas periódicas impedem que o programa seja esquecido depois da implantação.

Roteiro de implantação em sete etapas

Cada organização ajusta o ritmo à sua realidade, mas a sequência abaixo ajuda a evitar retrabalho.

O tempo de projeto varia com o porte, o número de unidades e a maturidade dos controles existentes. Organizações que já têm programa de integridade estruturado costumam avançar mais rápido, porque parte das políticas e da avaliação de riscos já existe.

Se a decisão for certificar, vale conhecer o rito. O organismo acreditado costuma conduzir a auditoria inicial em duas fases: na primeira, verifica a documentação e a prontidão do sistema; na segunda, avalia se os controles funcionam na prática, com entrevistas e amostras de registros. Depois da certificação, há auditorias de manutenção periódicas e uma recertificação ao fim de cada ciclo de três anos. Ou seja, o certificado não é um troféu, e sim um compromisso de manter o sistema vivo.

Erros que atrasam o projeto

• Escopo amplo demais na largada: começar pelas unidades ou processos mais expostos e expandir depois costuma ser mais eficiente.
• Políticas genéricas: regras sobre brindes, hospitalidade e doações precisam refletir a realidade do setor e da operação.
• Função de compliance sem autoridade: a norma pede acesso direto ao órgão diretivo e independência adequada.
• Parceiros esquecidos: boa parte do risco de suborno está em intermediários, representantes e fornecedores.
• Evidências dispersas: sem registros organizados, a auditoria vira uma caça a documentos.

Próximos passos

Faça um diagnóstico de lacunas frente à edição de 2025, com atenção especial a conflitos de interesse, cultura e diligência sobre parceiros. Se a organização já é certificada, combine com o organismo certificador o calendário da auditoria de transição antes de 28 de fevereiro de 2027.

A Midnal implanta sistemas de gestão baseados em normas ISO para órgãos públicos, empresas e organizações do terceiro setor, do diagnóstico à preparação para a auditoria de certificação. Conheça a frente de governança, LGPD e compliance.