Principais distinções entre Compliance – ISO 19600 e Antissuborno – ISO 37001

Nos contatos e solicitações que recebi neste ano para apoiar organizações na implementação de Sistema de Gestão de Compliance (ISO 19600) e/ou Antissuborno (ISO 37001), percebi a necessidade de esclarecer as distinções de conceito, abrangência, modelo de gestão e critérios de certificação destes modelos normativos:

1. Conceitos Compliance e Suborno

• Compliance (ISO 19600) – atendimento a todas as obrigações de compliance da organização (definidas como requisitos que ela tem de cumprir, ou que decide cumprir).

• Suborno (ISO 37001) – oferta, promessa, doação, aceitação ou solicitação de uma vantagem indevida de qualquer valor (que pode ser financeiro ou não financeiro), direta ou indiretamente, e independente de localização, em violação às leis aplicáveis, como um incentivo ou recompensa para uma pessoa que está agindo ou deixando de agir em relação ao desempenho das suas obrigações.

Pelo exposto acima, o tema Compliance inclui o antissuborno, dentre os vários requisitos a cumprir (obrigatórios ou voluntários).

2. Abrangência ISO 19600 e ISO 37001

• Os temas envolvidos no Compliance (ISO 19600) são multifacetados, abrangendo, dentre outros, legislação e riscos relacionados à governança, tributos, trabalhista, ambiental, responsabilidade social, conduta profissional, concorrencial, segurança da informação, etc., incluindo também os requisitos anticorrupção e antissuborno (ISO 37001).

• O tema abrangido pela ISO 37001 é restrito a suborno (não aborda especificamente fraude, cartéis e outros delitos antitruste/ anticoncorrencial, lavagem de dinheiro ou outras atividades relacionadas a práticas corruptas):

• Nos setores público, privado e sem fins lucrativos;
• Da ou pela organização;
• Do e pelo pessoal da organização ou para seu benefício;
• Dos e pelos parceiros de negócio da organização;
• Direto ou indireto.

3. Modelo de Gestão ISO

Os modelos de gestão das duas normas são similares, organizados conforme a estrutura de alto nível da ISO que está sendo adotada para todas as normas de sistemas de gestão desta entidade (p.ex. a ISO 9001 e a ISO 14001 já foram revisadas conforme este modelo, a ISO 50001 está em revisão. A futura ISO 45001 adotará este modelo. A ISO 37001 já nasceu dentro deste modelo, assim como a ISO 19600). Isto permite uma implementação integrada de forma facilitada.

No entanto, a estruturação dos elementos das duas normas não é exatamente igual, o que merece uma análise comparativa item a item para um alinhamento quando da implementação conjunta.

Uma característica essencial que distingue a ISO 19600 e a ISO 37001 é que enquanto a última foi elaborada como uma especificação com requisitos mínimos para obter uma certificação acreditada, a norma de Compliance foi elaborada como um guia de diretrizes sem finalidade de certificação acreditada. Além do tradicional shall (deve) para a ISO 37001 frente ao should (deveria) da ISO 19600, a linguagem é mais concisa na norma de requisitos, e mais explicativa e recheada de exemplos na norma de diretrizes. A ISO 37001 foi pensada para facilitar a auditoria, a ISO 19600 foi elaborada para facilitar a implementação do sistema de gestão.

4. Esquema de Certificação das Normas

Em função do tipo e estrutura das duas normas, a ISO 37001 terá um esquema de certificação acreditada – isto é, com critérios oficiais definidos pelo órgão governamental nacional responsável (no Brasil é o INMETRO), a exemplo do que já ocorre com diversas normas de sistemas de gestão (p.ex. ISO 9001, ISO 14001, ISO 50001, ISO 27001, etc.).

No entanto, considerando que esta norma foi publicada muito recentemente (outubro/16), os critérios para o funcionamento deste sistema de certificação ainda não foram definidos e implementados. No momento, são noticiadas informações sobre auditorias de “certificação” conforme a ISO 37001, mas elas ainda não são acreditadas por algum esquema governamental brasileiro ou de outro país (consistem em uma auditoria com critérios similares às de esquemas de certificação, com declarações de conformidade pelos organismos certificadores, porém sem reconhecimento oficial governamental). Mesmo assim, representam valor como auditoria independente e reconhecimento de atendimento do sistema de gestão.

No caso da ISO 19600, por ser uma norma de diretrizes e não possuir esquema de certificação acreditada, as auditorias tem caráter similar àquelas atualmente realizadas para a ISO 37001 – auditorias independentes, com declaração de conformidade aos critérios normativos, porém sem um reconhecimento governamental.

Michel Epelbaum – diretor da Ellux Consultoria

Consulte nossos serviços de Consultoria, Treinamento e Auditoria em Sistemas de Gestão de Compliance/Integridade, inclusive nas Normas ISO 37001 – antissuborno e ISO 19600 – compliance.