Implementar um Programa de Compliance é um passo importante para fortalecer a integridade, a governança e a sustentabilidade de uma organização. No entanto, tão essencial quanto implementar é garantir que o sistema permaneça vivo, eficaz e em constante evolução.
É nesse contexto que as certificações baseadas em normas internacionais podem representar um importante diferencial para as organizações que buscam elevar o nível de maturidade de seus Programas de Compliance.
Um Programa estruturado sobre os princípios da boa governança — como equidade, transparência, accountability (prestação de contas), responsabilidade corporativa e integridade — e alinhado às diretrizes da legislação brasileira, especialmente à Lei nº 12.846/2013 (Lei Anticorrupção) e ao Decreto nº 11.129/2022, precisa ir além da existência e cumprimento de políticas e procedimentos.
O grande desafio está em transformar requisitos e controles em um sistema de gestão integrado à estratégia e à rotina da organização, capaz de prevenir e detectar riscos, responder adequadamente a desvios e promover a melhoria contínua.
Onde entram as normas ISO?
A International Organization for Standardization (ISO) desenvolve normas internacionais que estabelecem requisitos e boas práticas para diferentes sistemas de gestão que podem ser adotadas por organizações de diferentes portes, setores e níveis de maturidade. Quando falamos especificamente de Compliance e Integridade, duas normas merecem destaque:
- ABNT NBR ISO 37001 – Sistema de Gestão Antissuborno (SGAS): estabelece requisitos para a implementação, manutenção e melhoria de um sistema de gestão destinado a prevenir, detectar e responder ao suborno. Publicada originalmente em 2016 e atualizada em 2025, a norma acompanha a evolução das expectativas relacionadas à integridade corporativa e ao ambiente de negócios, reforçando a importância de uma abordagem estruturada para a gestão dos riscos de suborno. Entre seus elementos estão aspectos relacionados à liderança, avaliação de riscos, controles financeiros e não financeiros, due diligence, controles sobre parceiros de negócios, treinamentos, canais de denúncia, investigação, monitoramento, auditoria e melhoria contínua. Em 2025, essa norma passou por atualização reforçando a necessidade de considerar mudanças relevantes no contexto da organização, incluindo questões relacionadas às mudanças climáticas, quando pertinentes ao sistema de gestão.
- ABNT NBR ISO 37.301 – Sistema de Gestão de Compliance (SGC): publicada em 2021, possui uma abordagem mais ampla. Enquanto a ISO 37.001 está especificamente direcionada ao sistema de gestão antissuborno, a ISO 37.301 estabelece requisitos para um Sistema de Gestão de Compliance (SGC), permitindo que a organização determine o escopo de suas obrigações de compliance de acordo com seu contexto, riscos e necessidades. Isso significa que o SGC pode contemplar diferentes obrigações legais, regulatórias, contratuais e voluntárias às quais a organização esteja sujeita. Na prática, a ISO 37.301 contribui para estruturar o Compliance como um sistema de gestão, conectado ao contexto organizacional, à liderança, aos riscos, aos processos, aos controles e à cultura de integridade.
Duas normas, uma mesma lógica de melhoria contínua
Apesar das diferenças de escopo, a ISO 37.001 e a ISO 37.301 possuem uma estrutura baseada no PDCA — Plan, Do, Check, Act, que sustenta a melhoria contínua dos sistemas de gestão. Logo, seus requisitos permeiam toda a metodologia, sendo distribuídos da seguinte forma:
- Plan (Planejar): Contexto da organização; Liderança; Planejamento; Apoio.
- Do (Fazer): Operação.
- Check (Verificar): Avaliação de desempenho.
- Act (Agir): Melhoria.
Essa estrutura demonstra que uma certificação não deve ser encarada apenas como um “selo” ou como um projeto pontual. A certificação pressupõe a existência de um sistema de gestão implementado, mantido, monitorado, avaliado e continuamente aprimorado.
Certificar é mais do que implementar
Para alcançar uma certificação, não basta possuir políticas, códigos de conduta ou procedimentos documentados.
É necessário demonstrar, por meio de informações documentadas, registros e evidências objetivas, que os requisitos aplicáveis foram efetivamente implementados e são operados de forma consistente, adequada e periódica.
Nesse processo, a organização deverá avaliar a efetividade do sistema por meio de mecanismos como monitoramento, indicadores, auditorias internas, análise crítica pela direção e tratamento de não conformidades e oportunidades de melhoria.
Posteriormente, o sistema será submetido à avaliação de um organismo de certificação, que verificará a conformidade do sistema de gestão com os requisitos da norma adotada.
Por isso, a preparação para uma certificação exige muito mais do que “organizar documentos”. Exige compreender os requisitos, avaliar os riscos, estruturar processos, definir responsabilidades, gerar evidências e, principalmente, integrar o sistema de gestão à realidade do negócio.
E agora?
Nos próximos artigos, iremos abordar cada um dos requisitos das ISO 37.001 e ISO 37.301, apresentando uma visão sobre como implementar os controles, gerar evidências, o olhar do auditor e como a organização deve se preparar para a certificação.
Se você atua nas áreas de Governça, Compliance, Jurídico, Controles Internos e Riscos ou Auditoria Interna e deseja aprofundar seus conhecimentos sobre as normas ISO aplicáveis aos Sistemas de Gestão de Compliance e Antissuborno, conheça nosso curso: Formação de Líder Implementador – ISO 37.001 e 37.301 e prepare-se para transformar requisitos normativos em práticas efetivas de gestão e integridade.
Autoras: Erika Andrade e Carla Locatto
As opiniões contidas nesta publicação são de responsabilidade exclusiva das Autoras, não representando necessariamente a opinião da LEC ou de seus sócios.
Imagem: Canva
