Mais do que conquistar um certificado, implementar a ISO 37301 significa transformar o compliance em um sistema de gestão capaz de identificar obrigações, avaliar riscos, estabelecer controles e demonstrar que a integridade realmente funciona na prática.
Nos últimos anos, tenho acompanhado empresas interessadas em estruturar ou amadurecer seus programas de compliance e percebo que, quando mencionamos a ISO 37301, algumas perguntas aparecem com frequência: o que é necessário para obter a certificação, a norma serve apenas para grandes empresas, quanto tempo leva o processo, é preciso já possuir um programa de compliance e, principalmente, quais benefícios justificam esse investimento?
Essas dúvidas são importantes porque existe uma diferença significativa entre possuir algumas ferramentas de compliance e manter um Sistema de Gestão de Compliance estruturado, implementado, monitorado e continuamente aprimorado, sendo justamente essa diferença um dos principais pontos para compreender a proposta da ISO 37301.
O que é a ISO 37301?
A ISO 37301:2021 é uma norma internacional que estabelece requisitos e orientações para estabelecer, desenvolver, implementar, avaliar, manter e melhorar um Sistema de Gestão de Compliance, podendo ser aplicada a organizações de diferentes portes, setores e naturezas. A norma está fundamentada em princípios como boa governança, proporcionalidade, transparência e sustentabilidade.
É importante esclarecer que possuir um código de conduta, canal de denúncias, treinamentos ou políticas internas não significa, isoladamente, que a organização possua um sistema de gestão estruturado, pois a ISO 37301 exige uma abordagem integrada que envolve compreensão do contexto da organização, identificação das obrigações de compliance, avaliação de riscos, definição de responsabilidades, estabelecimento de controles, monitoramento do desempenho e melhoria contínua.
Também é comum haver confusão entre a ISO 37301 e a ISO 37001, embora tenham escopos distintos, já que a ISO 37001 está direcionada ao sistema de gestão antissuborno, enquanto a ISO 37301 possui uma abordagem mais ampla sobre compliance e sobre as obrigações que a organização precisa identificar e administrar.
Como funciona o processo para buscar a certificação?
A certificação não começa quando o auditor externo chega à empresa, mas com a compreensão de quanto a organização já atende aos requisitos da norma, razão pela qual uma das primeiras etapas costuma ser a realização de um diagnóstico, conhecido como gap analysis, que permite identificar aquilo que já existe, as lacunas que precisam ser corrigidas e as estruturas que ainda deverão ser desenvolvidas.
Uma empresa que já possui um programa de integridade poderá aproveitar elementos existentes, como código de conduta, políticas, matriz de riscos, canal de denúncias, procedimentos de due diligence, treinamentos, controles internos e mecanismos de investigação, mas precisará verificar se esses instrumentos estão integrados, possuem responsáveis definidos, são efetivamente aplicados e produzem evidências de funcionamento.
A partir desse diagnóstico, inicia-se a implementação ou adequação do sistema, momento em que a organização identifica suas obrigações de compliance, avalia riscos, estabelece responsabilidades e objetivos, aperfeiçoa controles, desenvolve competências, promove conscientização e define mecanismos para acompanhar o desempenho.
Antes da certificação, entretanto, a própria empresa precisa verificar se o sistema está funcionando, o que envolve atividades de monitoramento, avaliação, auditoria interna e análise crítica pela direção, permitindo identificar fragilidades e tratar eventuais não conformidades antes da avaliação independente.
Somente depois dessa preparação ocorre a auditoria conduzida pelo organismo certificador, durante a qual poderão ser examinados documentos, registros, controles e outras evidências, além da realização de entrevistas com profissionais da organização para verificar se aquilo que está formalmente estabelecido realmente acontece na prática.
De forma simplificada, podemos compreender o caminho assim:
Diagnóstico → planejamento → implementação e adequação → geração de evidências → auditoria interna → análise crítica pela direção → tratamento das não conformidades → auditoria de certificação → manutenção e melhoria contínua.
Quem concede o certificado?
Uma dúvida recorrente é acreditar que a certificação é concedida diretamente pela ISO, quando, na realidade, a ISO desenvolve e publica as normas internacionais, mas não certifica organizações, sendo a avaliação realizada por organismos de certificação independentes.
Também é importante diferenciar certificação de acreditação, pois a certificação corresponde à avaliação do sistema da organização em relação aos requisitos aplicáveis, enquanto a acreditação representa o reconhecimento formal da competência do organismo que realiza determinadas atividades de avaliação da conformidade, motivo pelo qual a escolha do certificador deve considerar não apenas preço, mas também competência, credibilidade e acreditação pertinente ao serviço oferecido.
Minha empresa precisa estar livre de qualquer problema para ser certificada?
Essa talvez seja uma das dúvidas que mais precisam ser esclarecidas, porque a certificação não significa que nunca ocorrerão corrupção, fraude, conflito de interesses, assédio ou qualquer outra irregularidade dentro da organização, assim como não deve ser interpretada como um “selo de empresa perfeita”.
O que se espera de um sistema de compliance maduro é a capacidade de prevenir, detectar, responder e aprender diante dos riscos e das ocorrências, demonstrando que a organização possui mecanismos para identificar problemas, investigar situações, tratar não conformidades, corrigir suas causas e aprimorar seus controles.
Por essa razão, durante uma auditoria, não basta apresentar políticas bem redigidas ou certificados de treinamento, pois será necessário demonstrar, por meio de evidências, que os mecanismos previstos pelo sistema foram efetivamente incorporados à rotina organizacional.
A ISO 37301 serve para pequenas empresas?
A ISO 37301 pode ser aplicada a organizações de diferentes portes e atividades, o que significa que pequenas e médias empresas também podem estruturar seus sistemas de maneira proporcional aos próprios riscos, contexto e complexidade, sem necessidade de reproduzir a estrutura de compliance de uma grande companhia.
Essa proporcionalidade é fundamental porque um bom sistema de compliance não deveria ser medido pela quantidade de políticas ou pelo tamanho da equipe responsável, mas pela capacidade de identificar adequadamente as obrigações e os riscos relevantes e estabelecer controles compatíveis com eles.
Para algumas empresas, inclusive, a estruturação pode representar uma preparação para o crescimento, para a participação em cadeias de fornecimento mais exigentes ou para relações comerciais nas quais clientes e parceiros demandam evidências mais consistentes de governança e integridade.
Quanto tempo leva para conseguir a certificação?
Não existe um prazo único que possa ser aplicado a todas as organizações, pois o tempo necessário depende do porte, da complexidade das operações, do nível de maturidade do programa existente, das lacunas encontradas no diagnóstico, da disponibilidade da equipe e da quantidade de processos que precisarão ser estruturados ou aprimorados.
Uma empresa que já possui práticas consolidadas de compliance tende a percorrer um caminho diferente daquela que está iniciando sua estruturação, razão pela qual considero mais responsável realizar primeiro o diagnóstico e, somente a partir dele, construir um cronograma realista para a implementação e posterior certificação.
Depois da certificação, o trabalho termina?
A certificação não deve representar o encerramento do projeto, porque um Sistema de Gestão de Compliance precisa continuar sendo monitorado, avaliado e aprimorado, acompanhando mudanças regulatórias, novos riscos, alterações nos processos e transformações no ambiente de negócios.
É justamente por isso que considero equivocado tratar a ISO 37301 como um projeto que começa com a contratação de uma consultoria e termina com uma fotografia da equipe segurando o certificado, pois o certificado deve ser consequência de um sistema que continuará funcionando depois da auditoria.
Por que buscar a ISO 37301?
Quando o processo é conduzido com seriedade, a ISO 37301 faz com que a organização deixe de perguntar simplesmente “temos compliance?” e passe a enfrentar uma questão mais exigente: “conseguimos demonstrar que nosso compliance realmente funciona?”
A estruturação do sistema pode contribuir para fortalecer a governança, organizar responsabilidades, aprimorar controles, reduzir riscos de não conformidade, aumentar a confiança das partes interessadas e incorporar a integridade aos processos de gestão, além de proporcionar uma avaliação independente daquilo que a organização afirma fazer.
Por isso, quando uma empresa me pergunta se deveria buscar a ISO 37301, considero que a primeira reflexão não deveria ser sobre quanto tempo levará para conseguir o certificado, mas sobre por que deseja ser certificada, pois, se a única finalidade for colocar um selo no site ou atender pontualmente à exigência de um cliente, existe o risco de desperdiçar justamente a maior oportunidade proporcionada pelo processo.
A certificação ganha outro significado quando decorre de uma decisão estratégica de amadurecer a governança e transformar compliance em parte efetiva do modelo de gestão, fazendo com que políticas, controles e compromissos deixem de existir apenas no papel e passem a ser demonstráveis por meio de evidências.
Por isso, deixo uma pergunta para as empresas que estão considerando iniciar esse caminho: se amanhã um cliente, investidor, parceiro estratégico ou órgão de controle solicitar evidências de que o programa de compliance da sua organização realmente funciona, vocês conseguirão demonstrar sua efetividade ou apresentarão apenas políticas, códigos de conduta e certificados de treinamento?
A resposta ajuda a compreender por que buscar a ISO 37301 pode representar muito mais do que conquistar um certificado: pode ser a oportunidade de transformar iniciativas isoladas de compliance em um verdadeiro sistema de gestão da integridade.
Danila Duarte é Doutoranda em Desenvolvimento Regional e Mestre em Gestão de Políticas Públicas, auditora e consultora de Governança, Compliance e Integridade, professora e palestrante. Atua na promoção de instituições mais éticas, transparentes e resilientes. Instagram: @daniladuarte. E-mail: danila@ddcompliance.com.br.
What do you feel about this post?
Like
Love
Happy
Haha
Sad
