Foi publicada em 28/02/2025 a nova versão da ISO 37001 – Sistemas de Gestão Antissuborno – Requisitos com orientações para uso (cuja tradução está sendo feita pela CEE 309 da ABNT, com publicação esperada no 2º trimestre de 2025).

As mudanças são resultados de um processo de análise periódica das Normas da ISO, considerando a opinião dos usuários e outras diretrizes norteadoras:

1. Alinhamento à estrutura harmonizada adotada pela ISO para as normas de Sistemas de Gestão, definida pelo Anexo SL da Diretiva ISO/IEC parte 1, que teve sua última atualização em 2023, e vale para todas as normas deste tipo, como a ISO 9001, ISO 14001, ISO 27001, etc;
2. Alinhamento à norma ISO 37301 – Sistemas de Gestão de Compliance – Requisitos com orientações para uso, publicada em 2021, que apresentou diferenças em alguns requisitos comuns;
3. Alinhamento com a norma ISO 37000 – Governança das Organizações – Orientação, publicada em 2021, que consolidou entendimentos e requisitos que envolvem os órgãos de governança, como Conselhos de Administração, Comitês Estatutários e Alta Direção, com implicações importantes em elementos estratégicos da ISO 37001;
4. Inserção de análise de mudanças climáticas nos elementos estratégicos das normas de sistemas de gestão, como determinado pelo IAF e ISO (através do documento “IAF/ISO Joint Communication on the addition of Climate Change considerations to Management Systems Standards” de 22/02/2024) e implementada progressivamente (p.ex. a ISO 9001 e a ISO 45001 já promoveram esta revisão em emendas separadas da norma; a ISO 14001 incluiu esta demanda no processo de revisão sistemática em andamento, para gerar um documento único).

Não houve mudanças radicais, mas sim ajustes e alinhamentos. Seguem as principais mudanças na nova versão da ISO 37001:

Geral

1. Substituição do termo “regularmente” por “intervalos planejados” (p.ex. nos itens 4.5.1, 4.5.3, 7.2.2.2, 5.3.3);
2. Reforço da cultura antissuborno: inserida nova definição 3.30 – Cultura Antissuborno, adaptada da ISO 37301:2021; inclusão de nova sub cláusula 5.1.3 – Cultura antissuborno, requerendo seu desenvolvimento/manutenção/ promoção em todos os níveis da organização; o Órgão de Governança, Alta Direção e Gestão devem demonstrar comprometimento com padrão e conduta; e encorajar comportamento adequado e não tolerar comportamento inadequado;
3. Reforço da função/tema antissuborno dentro do compliance: eliminação do termo “compliance” das citações “antissuborno” (p.ex. função antissuborno), e inclusão do termo “antissuborno” em outros pontos, bem como suborno ao citar o termo “risco(s)”;
4. Inclusão/atualização de citações a outras normas da ISO sobre temas de GRC (governança, riscos e compliance);
5. Atualização e revisão de definição e requisitos relativos a Órgão de Governança, incluindo alinhamento à ISO 37000:2021 – Governança das Organizações – Orientações: revisada e renumerada a definição (3.7); retirado o termo “(se existir)” nas citações do órgão de governança e explicitado que ele pode ser separado; a tradução para o português do Brasil para “Governing Body” foi mudada de “Órgão Diretivo” para “Órgão de Governança”; pequenos ajustes no 5.1.1.

Específicos

• Revisão de definições (Nota 2 da definição 3.2 de “organização”; acrescentada nota na definição de “processo” e renumeração); retirada a definição 3.17 – “terceirizar”; revisada e renumerada a definição de conflito de interesse de acordo com a ISO 37009;
• Substituição do termo “stakeholder” por “interested party” em todas as citações;
• Substituição do termo “processos terceirizados” (outsourcing) por “providos externamente” (externally provided);
• Item 4.1 – inserido requisito para consideração de mudanças climáticas (conforme item IV acima);
• Item 4.2 – inserido item c) (conforme item I acima); inclusão da nota 1 sobre consideração de mudanças climáticas (conforme item IV acima);
• Item 4.4 – explicitado que o sistema de gestão antissuborno deve ser documentado;
• Item 5.1.2 – incluída exceção quanto a retaliação ao denunciante “(exceto onde o indivíduo participou na violação)”; incluída nota sobre processos de negócio;
• Criado item 6.3 – Planejamento de Mudanças (conforme item I acima);
• Item 7.2.2.1 – adicionado requisito para conscientizar o pessoal quanto à necessidade de reportar conflito de interesse potencial ou real;
• Item 7.2.2.2 – reforçada a declaração a intervalos planejados do pessoal, alta direção e órgão de governança confirmando a sua conformidade com a política e sistema de gestão antissuborno;
• Item 7.3 – revisão geral , incluindo alinhamento do título (conforme item I acima) e distribuição dos requisitos, separando em 4 sub cláusulas: 7.3.1 – Conscientização do Pessoal, 7.3.2- Treinamento do Pessoal, 7.3.3 – Treinamento para Parceiros de Negócios (acrescentando requisito de reter informação documentada como evidência), e 7.3.4 – Programas de Conscientização e Treinamento –
• Item 8.1 – revisada a nota;
• Item 8.4 – adicionado exemplo de controle não financeiro (operações de M&A);
• Item 9.1 – retirado requisitos “quem monitora” e “quem deve receber os relatórios”;
• Item 9.2 – atribuídos títulos às 4 sub cláusulas itemizadas: 9.2.1 – Generalidades, 9.2.2- Programa de auditoria interna, (acrescentando requisito para definição do objetivo da auditoria), 9.2.3 – Procedimento, controles e sistemas de auditoria, e 9.2.4 – Objetividade e imparcialidade;
• Item 9.3 – criada nova sub cláusula 9.3.1 – Generalidades, que incorporou o 1º. Parágrafo do 9.3.1 da versão anterior da norma, e o item 9.3.2 (com pequenas modificações); o 9.3.1 da versão anterior foi renumerado para 9.3.2; incorporada nova entrada “mudanças nas necessidades e expectativas das partes interessadas” (já contemplada em outras normas – p.ex. ISO 14001); formalizada nova sub cláusula 9.3.3 – Saídas da análise crítica pela direção (texto fazia parte do item 9.3.1 da versão anterior, mas sofrendo pequenas mudanças);
• Item 9.4 – retirada da Nota 1 a sugestão de frequência anual dos relatórios da função antissuborno ao órgão de governança e alta direção;
• Item 10 – inversão das sub cláusulas 10.1 e 10.2; retirada a palavra “prontamente” do item 10.1 a) – agora renumerado como 10.2a);

Vale comentar que não há ainda um prazo máximo definido pelo IAF para que estes requisitos sejam incorporados nos sistemas de gestão das organizações, e auditados pelas entidades certificadoras.

São atualizações positivas, e que vão contribuir para a melhoria da cultura organizacional, integração mais facilitada de sistemas de gestão, e maior usabilidade.

Michel Epelbaum – Diretor da Ellux Consultoria

Diretor da Ellux Consultoria. Tem mais de 30 anos de experiência nacional e internacional em gestão de sustentabilidade, qualidade, meio ambiente, saúde ocupacional e segurança, e compliance.  É membro dos Comitês Técnicos da ABNT de Gestão Ambiental, Antissuborno, Riscos, Governança, Responsabilidade Social e Energia. É Lead Assessor nas normas ISO 9001, ISO 14001, ISO 45001, ISO 37301 e ISO 37001.

Consulte nossos serviços de Consultoria, Treinamento e Auditoria em Sistemas de Gestão inclusive nas Normas ISO 37301  e ISO 37001, além de outras como ISO 9001, ISO 14001, ISO 45001, PR 2030 e ISO 50001.

Saiba mais sobre este assunto em nossos posts relacionados:

ISO 37301 (Compliance) x ISO 37001 (Antissuborno): objetivos e certificações distintos?

ISO 37301 – Definição de Escopo, Riscos de Compliance e Certificação

ISO 37301:2021 – etapa de Consulta Nacional

Agora é oficial: publicada a ISO 37301:2021

A ISO 37301 deverá ser publicada em abril/2021

Live de Lançamento da Norma ABNT NBR ISSO 37301: Sistema de Gestão de Compliance

Competências em Definição para Auditores de Certificação da ISO 37301 (Sistema de Gestão de Compliance)

O post Publicada a nova versão da ISO 37001 – Sistemas de Gestão Antissuborno apareceu primeiro em Ellux Consultoria.

No post anterior comentei sobre o entendimento de escopo da ISO 37301, um dos assuntos de coxia sobre a nova norma.

Outra discussão importante nos bastidores do ambiente de certificação da gestão de compliance: “a ISO 37301 (Sistemas de Gestão de Compliance – Requisitos com Orientação para Uso) e a ISO 37001 (Sistemas de Gestão Antissuborno – requisitos com orientações para uso) tem objetivos diferentes, e é interessante se buscar a certificação em ambas”

O ponto defendido pelos profissionais que ouvi é o de que as normas são diferentes quanto a seus objetivos e elementos específicos:

• A ISO 37301 é uma norma de gestão mais geral e ampla, envolvendo vários temas de compliance (desde anticorrupção, até proteção e privacidade de dados, passando por trabalhista, lavagem de dinheiro, ambiental, concorrencial, etc.), nos vários aspectos da gestão empresarial como a governança, gestão de cultura e mudanças, e buscando o cumprimento das obrigações de compliance da organização (mandatórias e/ou voluntárias);
• A ISO 37001 tem por objetivo ajudar uma organização a prevenir, detectar e responder ao suborno.

Com esta visão, as normas são complementares, e se mostra benéfica a implementação e a certificação nas 2 normas.

Concordo somente em parte com o entendimento acima, pois não vejo de tal forma esta diferença:

• Assim como a ISO 37001, a ISO 37301 também objetiva prevenir, detectar e responder aos riscos (só que dos temas de compliance), além de atender aos requisitos legais, o que é expresso pelos elementos 4.6 – Avaliação de riscos de Compliance e 6.1 Ações para abordar riscos e oportunidades (da mesma forma que a ISO 37001), além de 99 menções à palavra risco em seu texto (p.ex. em sua introdução: “…. Um dos objetivos deste documento é auxiliar as organizações a desenvolverem e disseminarem uma cultura positiva de compliance, considerando que convém que uma gestão de riscos relacionados ao compliance, sólida e eficaz, seja considerada como uma oportunidade a ser perseguida e aproveitada……  — demonstrar o comprometimento de uma organização para gerenciar eficaz e eficientemente seus riscos de compliance; — minimizar o risco da ocorrência de uma violação aos custos associados e dano reputacional…..”)

• a ISO 37301 engloba o compliance antissuborno – é um dos temas de compliance e, portanto, parte do sistema de gestão de compliance. A ISO 37001 em sua introdução comenta que “…. Uma política antissuborno é um componente de uma política global de compliance…..”.

Ao implementar a ISO 37301, implementamos também a gestão dos riscos de corrupção (que inclui o suborno). Então, se o objetivo da organização é ter um sistema de gestão de compliance e antissuborno, ela pode implementar a ISO 37301 (mais ampla, que engloba conceitualmente a gestão de suborno), aproveitando detalhamentos da ISO 37001 (principalmente o elemento 8. Operação).

Concordo que se a organização deseja e precisa da certificação ISO 37001, ela deve garantir que os elementos diferenciados da ISO 37001 (em relação aos da ISO 37301) sejam implementados, e pedir ao certificador a auditoria adicional à da ISO 37301, que poderá ser facilmente feita de forma conjunta.

E concordo que as duas normas trazem muitos benefícios às organizações e às pessoas, em um mundo VUCA (volátil, incerto, complexo e ambíguo) cada vez mais BANI (frágil, ansioso, não linear e incompreensível).

Michel Epelbaum – Diretor da Ellux Consultoria

Diretor da Ellux Consultoria. Tem mais de 25 anos de experiência nacional e internacional em gestão de sustentabilidade, qualidade, meio ambiente, saúde ocupacional e segurança, e compliance.  É membro dos Comitês Técnicos da ABNT de Gestão Ambiental, Antissuborno, Riscos, Governança, Responsabilidade Social e Energia. É Lead Assessor nas normas ISO 9001, ISO 14001, OHSAS 18001, ISO 45001, ISO 19600 e ISO 37001.

Consulte nossos serviços de Consultoria, Treinamento e Auditoria em Sistemas de Gestão inclusive nas Normas ISO 37301 –compliance e ISO 37001 – antissuborno. Além de outras como ISO 9001, ISO 14001, ISO 45001, ISO 26000, NBR 16001 e ISO 50001.

Saiba mais sobre este assunto em nossos posts relacionados:

ISO 37301 – Definição de Escopo, Riscos de Compliance e Certificação

ISO 37301:2021 – etapa de Consulta Nacional

Agora é oficial: publicada a ISO 37301:2021

A ISO 37301 deverá ser publicada em abril/2021

Live de Lançamento da Norma ABNT NBR ISSO 37301: Sistema de Gestão de Compliance

Competências em Definição para Auditores de Certificação da ISO 37301 (Sistema de Gestão de Compliance)

O post ISO 37301 (Compliance) x ISO 37001 (Antissuborno): objetivos e certificações distintos? apareceu primeiro em Ellux Consultoria.

A ISO 37301 – Sistemas de Gestão de Compliance – Requisitos com Orientação para Uso, mal chegou e já causa discussão quanto ao seu entendimento… Mesmo ainda não estando implementado o esquema para a sua certificação, a definição do escopo do SGC pode representar diferenças radicais de implementação entre distintas organizações.

Segundo o entendimento de 2 profissionais reputados, representando a linha de raciocínio de 2 importantes certificadores da ISO 37001 (e certamente da ISO 37301), “A ORGANIZAÇÃO PODE ESCOLHER NO ESCOPO AQUELES RISCOS QUE CONSIDERAR MAIS IMPORTANTES NO MOMENTO”.

BASE NA ISO 37301 PARA ESTE ENTENDIMENTO

O ponto da ISO 37301 em que estes profissionais identificaram a previsão para este critério é o parágrafo 4.3, que inclui a nota:

“NOTA – O escopo do Sistema de Gestão de Compliance se destina a esclarecer os principais riscos de Compliance que a organização está enfrentando e os limites geográficos ou organizacionais, ou ambos, para os quais o Sistema de Gestão de Compliance será aplicado, especialmente se a organização é uma parte de uma entidade maior.”

CONSEQUÊNCIAS DESTE ENTENDIMENTO

Exemplificando, significaria que uma organização poderia decidir certificar somente os riscos de lavagem de dinheiro dentro de um dado escopo tradicional (atividades, geográfico e organizacional), enquanto outra poderá escolher se certificar somente sobre os riscos trabalhistas, ao mesmo tempo em que outra terceira pode pleitar para o seu SGC somente os riscos de privacidade de dados. O que dá um caráter totalmente distinto para o SGC. E possibilita, de forma perigosa, que a organização se certifique em um tema “fácil”, “valendo” igual a uma organização que adote a gestão de todos os riscos de Compliance (suborno, ou corrupção de forma mais ampla, lavagem de dinheiro, trabalhista, regulatório, concorrencial, social, ambiental, tributário, etc.).

Tal entendimento é muito diferente da definição consagrada há muitos anos para a certificação das demais normas de Sistemas de Gestão da ISO (p.ex. ISO 9001, ISO 14001, ISO 27001, ISO 37001, etc.).

DEFININDO O ESCOPO DENTRO DAS NORMAS DE SISTEMAS DE GESTÃO DA ISO

O escopo do SGC é de escolha da organização que implementa a ISO 37301, da mesma forma que para as demais normas de sistemas de gestão da ISO (sujeito a detalhes específicos de cada uma delas), devendo ser consensado com o organismo de certificação. O escopo é, de modo geral, definido por 3 componentes:

• Atividades, produtos e/ou serviços,
• Limites geográficos,
• Limites organizacionais, em algumas normas (p.ex. ISO 14001 – meio ambiente), complementado por “sua autoridade e capacidade de exercer controle e influência”.

O escopo deve estar disponível como uma informação documentada, e consta do certificado emitido pelo organismo de certificador, com a chancela da entidade nacional de acreditação.

O escopo é determinado considerando os componentes acima, e o Sistema de Gestão deve ser aplicado dentro do mesmo, podendo haver exceções justificadas (seja de elementos da norma não aplicáveis, como na ISO 9001, ou de atividades/produtos/serviços específicos que podem não ser de autoridade da organização, somente influência, como na ISO 14001).

Situações típicas envolvem a certificação de somente uma linha de produtos, uma função, ou uma fábrica, ou uma divisão/unidade de negócios, um país, uma região, somente as unidades operacionais (sem a corporação/holding) ou vice-versa (o que não muito recomendado, mas é possível).

No entanto, em todos os casos, não há uma exclusão explícita de tipologias de riscos dentro do escopo considerado. No caso mais exemplificativo da ISO 14001 (meio ambiente) ou a ISO 45001 (saúde ocupacional e segurança), respectivamente, todos os seus aspectos ambientais e perigos ocupacionais aplicáveis dentro do escopo, deverão ser identificados, avaliados e com decisões sobre necessidade de controles.

CONCLUSÃO

O sistema de certificação ainda não está definido e implementado. Mesmo que uma organização esteja pronta para uma certificação acreditada, não será possível até que este passo seja dado.

Esperamos que esta questão sobre a escolha de riscos específicos de compliance dentro do escopo do SGC seja suficientemente analisada e consensada para não trazer importantes riscos à reputação da certificação pela ISO 37301.

Vamos acompanhar!

Michel Epelbaum – Diretor da Ellux Consultoria

Diretor da Ellux Consultoria. Tem mais de 25 anos de experiência nacional e internacional em gestão de sustentabilidade, qualidade, meio ambiente, saúde ocupacional e segurança, e compliance.  É membro dos Comitês Técnicos da ABNT de Gestão Ambiental, Antissuborno, Riscos, Governança, Responsabilidade Social e Energia. É Lead Assessor nas normas ISO 9001, ISO 14001, OHSAS 18001, ISO 45001, ISO 19600 e ISO 37001.

Consulte nossos serviços de Consultoria, Treinamento e Auditoria em Sistemas de Gestão inclusive nas Normas ISO 37301, ISO 19600 –compliance e ISO 37001 – antissuborno. Além de outras como ISO 9001, ISO 14001, ISO 45001, ISO 26000, NBR 16001 e ISO 50001.

Saiba mais sobre este assunto em nossos posts relacionados:

ISO 37301:2021 – etapa de Consulta Nacional

Agora é oficial: publicada a ISO 37301:2021

A ISO 37301 deverá ser publicada em abril/2021

Live de Lançamento da Norma ABNT NBR ISSO 37301: Sistema de Gestão de Compliance

Competências em Definição para Auditores de Certificação da ISO 37301 (Sistema de Gestão de Compliance)

O post ISO 37301 – Definição de Escopo, Riscos de Compliance e Certificação apareceu primeiro em Ellux Consultoria.

FAQ ISO 37301 – Sistema de Gestão de Compliance

O que é a Norma ISO 37301?

A ISO 37301 – Sistemas de Gestão de Compliance – Requisitos com Orientação para Uso, está em fase de votação (até o dia 05/06/2020) para validar a sua evolução de DIS (Draft International Standard) para FDIS (Final Draft International Standard – última fase antes da aprovação final e publicação).

O prazo interno para comentários no documento DIS definido pela Comissão da ABNT responsável por esta norma é 26/05/2020, a fim de preparar os comentários do Brasil para a discussão internacional.

Nesta série de artigos, abordaremos as principais novidades desta norma em relação ao tema Compliance, às normas ISO 19600 (Compliance) e em alguns pontos na ISO 37001 (antissuborno), e às demais normas de sistemas de gestão da ISO (p.ex. ISO 9001, ISO 45001).

Vale lembrar que a ISO 37301 se baseia amplamente na ISO 19600, e parcialmente na ISO 37001. A ISO 19600 é uma norma de diretrizes, não certificável, enquanto a futura ISO 37301 foi criada para ser objeto de certificação sob acreditação governamental (assim como a ISO 9001, ISO 14001, ISO 54001, ISO 50001, etc.), com requisitos mínimos que uma organização deve adotar para receber o certificado.

Quando será aprovada a Norma ISO 37301?

ISO 37301 – Sistema de Gestão de Compliance – Requisitos com orientações para uso, especificação objeto de certificação baseada na ISO 19600 (e na ISO 37001). Depois de considerar e resolver 503 comentários no documento CD2 (*), 39 países votaram a favor de avançar para a fase DIS (*), dentre eles o Brasil, China, Índia, Federação Russa, África do Sul, e os desenvolvidos Japão, Austrália, Reino Unido, Áustria, França, Alemanha, Itália, Holanda, Noruega, Portugal, Espanha e Suíça. 2 países foram contra: Estados Unidos e Canadá. 9 países votantes se abstiveram: República Tcheca, Costa do Marfim, Dinamarca, Malásia, Romênia, Singapura, Suécia, Tunísia e Emirados Árabes Unidos.

A futura ISO 37301 – Sistemas de Gestão de Compliance – Requisitos com Orientação para Uso, está sendo elaborada pelo ISO TC 309 (Governança das Organizações), e será uma norma certificável com esquemas governamentais dos países, diferentemente da ISO 19600 (de mesmo escopo, porém composta de diretrizes). O prazo de votação para validar a sua evolução de DIS (Draft International Standard) para FDIS (Final Draft International Standard – última fase antes da aprovação final e publicação) encerrou-se em 06/06/2020. Aguardamos os próximos passos.

O documento rascunho DIS (*) da ISO 37301 será circulado para tradução nos países e a votação sobre ele abrirá em 13/03/20 e se encerrará em 05/06/20. Após este período, os comentários recebidos serão circulados por um período mínimo de 3 semanas, e discutidos no próximo encontro do Grupo de Trabalho responsável por esta norma, previsto para 6 a 10/07/20.

Isso significa que o documento DIS (*) poderá, na hipótese mais otimista, ser aprovado e publicado ainda dentro deste ano (como previsto pelo TC 309).

Qual a necessidade de um Sistema de Gestão de Compliance ou de Antissuborno?

Pelo lado das corporações e organizações, continua crescente a necessidade de um sistema de gestão de compliance e integridade, que identifique os riscos, adote controles preventivos, detecte, investigue e puna exemplarmente os desvios/atos ilícitos ligados a fraude, corrupção, suborno e outras situações.

Distintos modelos foram desenvolvidos para abordar o tema, oriundos de convenções internacionais, legislações nacionais, associações e ONGs, como:

• Convenção Anti-corrupção e Pacto Global (ONU).
• Convenção Anti-suborno e Good Practice Guidance on Internal Controls, Ethics and Compliance (OECD);
• Business Principles for Countering Bribery (Transparência Internacional);
• Lei Federal 12.846/13 (Anti-corrupção) e Decreto 8.420/15;
• Proética (CGU);
• Pacto Empresarial pela Integridade/Guia Temático (Instituto Ethos);
• ISO 19600 – Sistemas de Gestão de Compliance – Diretrizes;
• ISO 37001 – Sistemas de Gestão Antissuborno;
• DSC 10000 – Diretrizes para o Sistema de Compliance (EBANC – Empresa Brasileira Acreditadora de Normas de Compliance).

Solicite sua proposta!

Quais as diferenças entre Compliance x Antissuborno?

Os temas envolvidos no Compliance (ISO 19600 e ISO 37301) são multifacetados, abrangendo, dentre outros, legislação e riscos relacionados à governança, tributos, trabalhista, ambiental, responsabilidade social, conduta profissional, concorrencial, segurança da informação, etc., incluindo também os requisitos anticorrupção e Antissuborno (ISO 37001).

O tema abrangido pela ISO 37001 é restrito a suborno (não aborda especificamente fraude, cartéis e outros delitos antitruste/ anticoncorrencial, lavagem de dinheiro ou outras atividades relacionadas a práticas corruptas):

• Nos setores público, privado e sem fins lucrativos;
• Da ou pela organização;
• Do e pelo pessoal da organização ou para seu benefício;
• Dos e pelos parceiros de negócio da organização;
• Direto ou indireto.

Quais as vantagens de implantar a Norma ISO 37301?

Na pandemia, nada tão necessário e atual:

• emergência e calamidade pública decretada,
• “modo sobrevivência” vigorando,
• receitas/renda diminuindo,
• muitas pessoas trabalhando em casa e “mais longe” da supervisão
• decisões têm de ser mais ágeis.

Modelos normativos voluntários de gestão de compliance ajudam na evolução da cultura organizacional baseada em visão/valores/princípios, instrumentalizando as pessoas para avaliar o seu senso interior e decidir com bom senso e ética, e não somente em condutas automatizada.

Solicite sua proposta!

Como implantar a ISO 37301?

Para as organizações que queiram implementar e certificar-se pela ISO 37301, recomenda-se desenvolver as seguintes ações:

• Obter a norma;
• Avaliar os “gaps” no Sistema de Gestão de Compliance frente à nova norma;
• Elaborar um plano de ação compatível com as suas necessidades;
• Treinar e conscientizar a liderança e os colaboradores quanto aos requisitos da nova norma;
• Desenvolver/atualizar os necessários levantamentos, documentação, critérios, regras e práticas, conforme o plano de ação, e implementar os novos requisitos e mudanças;
• Realizar a auditoria interna considerando a nova norma como critério, com auditores qualificados;
• Realizar a análise crítica pela Alta Direção conforme os novos requisitos;
• Tratar eventuais não conformidades, observações ou oportunidades de melhoria,  oriundas do processo de auditoria e análise crítica.

Quais os pilares da ISO 37301?

A Norma ISO 37001 tem como pilares:

Item 4 – Avaliação estratégica interna e externa –  que serve como o molde onde o Sistema de Gestão de Compliance será criado, estruturado e mantido.

4.1 Entendendo a organização e seu contexto.

4.2 Entendendo as necessidades e expectativas das partes interessadas.

4.3 Determinando o escopo do sistema de gestão de Compliance.

4.4 Sistema de gestão de Compliance.

O primeiro pilar da futura ISO 37301 é praticamente idêntico ao da ISO 19600, só não contando com a orientação de levar em consideração os princípios de governança relativos à Função Compliance, que foram deslocados para o pilar de Liderança e Comprometimento da Norma, item 5.1.3. Ele também é similar às demais normas de Sistemas de Gestão.

O Sistema de Gestão de Compliance está imerso em uma cultura organizacional, e faz-se necessário que ele reflita os valores, objetivos, estratégia e riscos de compliance da organização. 

Como certificar o Sistema de Gestão de Compliance?

Para a certificação do Sistema de Gestão, a empresa deve implementar todos os elementos, demonstrando que tem condições de atender à legislação ocupacional e que desenvolve ações para a melhoria contínua de seus processos e resultados, e à prevenção de riscos.

A ISO 37301 é certificável. 

Os processos de acreditação governamental estão avançando em vários países. Nos Estados Unidos, alguns organismos de certificação já iniciaram este processo junto ao órgão acreditador ANAB. Na Europa, a ACCREDIA (organismo de acreditação italiano) já tem um processo de credenciamento em vigor para a Norma ISO 37001, e algumas empresas já estão certificadas (p.ex. no site da certificadora RINA, são listadas 7 empresas aprovadas por esta norma, sendo 4 na Itália, 2 no Brasil e 1 em Dubai) .  A UKAS (United Kingdom Accreditation Services – entidade responsável pelo sistema de certificação e acreditação) ainda estava na etapa de avaliação da demanda e planejamento deste esquema.

O que é o modelo de Gestão ISO?

O modelo de sistema de gestão da ISO adota uma série de boas práticas internacionais, com as principais características (adaptado de EPELBAUM, 2017): 

•  Base no ciclo PDCA – (P-planejar), (D-executar), (C-avaliar) e (A-agir);
•  Evolução do desempenho lastreada em gestão por objetivos e no princípio da melhoria contínua, não sendo uma norma de excelência;
•  Comprometimento da liderança, com gestão estratégica, política, objetivos, planos e análise periódica do tema, integradas ao negócio;
•  Mentalidade de riscos;
•  Tratamento sistemático de problemas – eventuais falhas de­vem ser tratadas para eliminar seus efei­tos e evitar a recorrência;
•  Auditorias internas como modelo de avaliação;
•  Certificação;
•  Controle de informação documentada atualmente flexibilizada.

É possível realizar remotamente uma auditoria de certificação completa? – novas orientações do IAF(International Accreditation Forum)

R5: Sim, em teoria é possível, se para o esquema específico todos os requisitos podem ser avaliados remotamente, incluindo a observação de atividades. Entretanto, isto pode mudar para esquemas específicos.

Importante frisar que o IAF definiu para o Sistema de Gestão de Compliance uma FAQ específica sobre auditoria remota, com restrições sobre o controle de processos e de riscos:

P14: Para o Sistema de Gestão de Compliance, de acordo com o IAF MD5:2019 (aplicável a partir de 7 de maio de 2020), técnicas de auditoria remota, devem se limitar a análise crítica de documentos/registros, e a entrevistas com trabalhadores. Em adição para o SGSOS, controle de processo e de controle de riscos de SOS não podem ser auditados usando técnicas de auditoria remota. Considerando as circunstâncias específicas, isto é válido?

R14: Não, considerando as circunstâncias específicas, e o fato de que o IAF MD5:2019 será aplicável a partir de 7 de maio de 2020, a restrição colocada sobre atividades de auditoria remota pelo IAF MD 5 não se aplicam. Isto significa que o controle de processo e de controle de riscos de SOS podem ser auditados usando técnicas de auditoria remota, até o fim da emergência da COVID-19.

Solicite sua proposta!

O que é a abordagem baseada em Riscos?

Percebemos uma tendência internacional de crescimento da gestão baseada em risco nas diversas disciplinas, ambientes, organizações e países. Normas como a ISO 31000 ou o COSO (ambas atualizadas em 2018) estão se estabelecendo como referências internacionais relevantes. A ISO adotou a abordagem e a mentalidade de riscos em todas as suas normas de sistemas de gestão (como a ISO 9001, a ISO 45001, a ISO 37001, a ISO 37301, etc.), sendo a ISO 31000 e seus desdobramentos/complementos referências metodológicas para a implementação da gestão empresarial.

Essa gestão baseada em riscos procura o ponto ótimo de controles (nem exagerar para menos nem para mais), buscando o balanço entre a proteção desejada e os custos envolvidos.

Neste sentido, a ISO 37301 tem esta abordagem, mas também a legislação deveria buscar se alinhar mais a esta abordagem. Alguns pontos chave da modernização legal pretendida no Brasil são a simplificação, a gestão de riscos e a menor intervenção do Estado.

Por exemplo, há muito detalhamento técnico genérico, excessivamente prescritivo, não totalmente fundamentados em avaliações de riscos.

“A Ellux é uma empresa que demonstra segurança nas informações prestadas e gera confiança a equipe e a crença de que o resultado será atingido. Agrega valor ao trabalho e desenvolve competências junto aos envolvidos, estimulando cada pessoa participante do projeto. Os resultados obtidos em parceria com a Ellux atenderam as expectativas da organização, sempre seguidos de um ambiente com fatores de motivação e vibração pelo consultor.”

Ricardo Cavalini
Gerente de Saúde, Segurança e Meio Ambiente na Gerdau

Linkedin


Twitter


Facebook


Google-plus


Solicite sua proposta!

1
Clientes Certificados
5000
Colaboradores Treinados
10
Auditorias Realizadas

O post FAQ ISO 37301 apareceu primeiro em Ellux Consultoria.

Como já abordado na primeira parte desta série de artigos sobre a futura ISO 37301 – Sistemas de Gestão de Compliance – Requisitos com Orientação para Uso, está sendo elaborada pelo ISO TC 309 (Governança das Organizações), e será uma norma certificável com esquemas governamentais dos países, diferentemente da ISO 19600 (de mesmo escopo, porém composta de diretrizes). O prazo de votação para validar a sua evolução de DIS (Draft International Standard) para FDIS (Final Draft International Standard – última fase antes da aprovação final e publicação) encerrou-se em 06/06/2020. Aguardamos os próximos passos.

Na pandemia, nada tão necessário

Nada tão necessário na crise atual:

• emergência e calamidade pública decretada,
• “modo sobrevivência” vigorando,
• receitas/renda diminuindo,
• muitas pessoas trabalhando em casa e “mais longe” da supervisão
• decisões têm de ser mais ágeis.

Nesta situação:

[wp-svg-icons icon=”quill” wrap=”i”] recursos elevadíssimos para enfrentamento são alocados com menores questionamentos (p.ex. compras emergenciais);

[wp-svg-icons icon=”quill” wrap=”i”] os controles sobre as condutas diminuem e as pessoas estão se auto gerenciando;

[wp-svg-icons icon=”quill” wrap=”i”] o acúmulo de funções aumenta (e a sua segregação diminui);

[wp-svg-icons icon=”quill” wrap=”i”] a pressão aumenta pela continuidade operacional por parte das organizações, e até mesmo por “salvar” da falência/concordata empresas menores ou já com dificuldades financeiras;

[wp-svg-icons icon=”quill” wrap=”i”] a pressão por aumentar os rendimentos das famílias aumenta;

[wp-svg-icons icon=”quill” wrap=”i”] as oportunidades para enganar/fraudar/corromper aumentam;

[wp-svg-icons icon=”quill” wrap=”i”] as pessoas racionalizam as atitudes e decisões como emergenciais, temporárias e pontuais;

[wp-svg-icons icon=”quill” wrap=”i”] a “flexibilidade moral” aumenta.

Neste cenário, muitas decisões são equivocadas e/ou antiéticas. Os casos de superfaturamento, fraude e corrupção relacionado aos respiradores para doenças respiratórias são somente a “ponta do iceberg” do que se pensa, mas se faz menos, por medo da punição (quando se tem medo… pois em muitos casos nem este freio existe).

Neste sentido, modelos normativos voluntários de gestão de compliance ajudam na evolução da cultura organizacional baseada em visão/valores/princípios, instrumentalizando as pessoas para avaliar o seu senso interior e decidir com bom senso e ética, e não somente em condutas automatizada.

PRIMEIRO PILAR DA ISO 37301 – ÍTEM 4 – CONTEXTO DA ORGANIZAÇÃO

Voltando à norma, o seu primeiro pilar, explanado a seguir, se refere à avaliação estratégica interna e externa que serve como o molde onde o Sistema de Gestão de Compliance será criado, estruturado e mantido.

Ele está divido nos 4 itens a seguir:

4.1 Entendendo a organização e seu contexto

[wp-svg-icons icon=”pushpin” wrap=”i”] o requisito está bastante alinhado aos já constantes de outras normas de sistemas de gestão, adicionando somente questões que devem ser consideradas para a determinação das questões externas e internas que são pertinentes para o seu propósito e que afetam sua capacidade de alcançar os objetivos do seu sistema de gestão de Compliance. Vale comentar que são mais detalhadas que as sugeridas na ISO 19600 e em NOTA na ISO 9001:2015, e mais abrangentes do que as contidas na ISO 37001:2016.

4.2 Entendendo as necessidades e expectativas das partes interessadas

[wp-svg-icons icon=”pushpin” wrap=”i”] o item requisita a determinação das partes interessadas que são pertinentes ao sistema de gestão de compliance, e os requisitos pertinentes destas partes interessadas. O requisito é o mesmo da ISO 19600 e da ISO 37001 (nesta última foi adicionada uma nota para explicar que há requisitos mandatórios e outros não mandatórios ou voluntários.

4.3 Determinando o escopo do sistema de gestão de Compliance

[wp-svg-icons icon=”pushpin” wrap=”i”] o elemento requisita a determinação dos limites e a aplicabilidade do sistema de gestão de compliance para estabelecer o seu escopo, considerando as questões internas/externas e requisitos das partes interessadas (itens 4.1 e 4.2, respectivamente, do contexto da organização), além das obrigações de Compliance (definidas no item 6.3). Tal escopo deverá estar disponível como informação documentada (p.ex. no Manual da Gestão da Organização).

Importante comentar aqui a decisão que deve ser tomada sobre o escopo do sistema de gestão e suas implicações. É difícil conceber e implementar a gestão de compliance sem considerá-la desde o mais alto nível de uma organização. Mas pode haver uma implementação em etapas, assim como uma certificação em etapas (se desejado). No entanto, um escopo muito estrito (p.ex. uma unidade produtiva dentro de um grupo grande com diversas divisões) pode repercutir negativamente em partes interessadas externas.

4.4 Sistema de gestão de Compliance

• A Norma requisita neste tópico que a organização estabeleça, implemente, avalie, mantenha e melhore continuamente um sistema de gestão de compliance, incluindo os processos necessários e suas interações. Também requisita que este sistema de gestão reflita os valores, objetivos, estratégia e riscos de compliance da organização.

Conclusão

O pilar representado pelo item 4 (Contexto da Organização) deve ser construído a partir do mais alto nível das organizações, para extrair o contexto, as necessidade, os objetivos e expectativas para o Sistema de Gestão de Compliance, além de sua estrutura.

O primeiro pilar da futura ISO 37301 é praticamente idêntico ao da ISO 19600, só não contando com a orientação de levar em consideração os princípios de governança relativos à Função Compliance, que foram deslocados para o pilar de Liderança e Comprometimento da Norma, item 5.1.3. Ele também é similar às demais normas de Sistemas de Gestão.

Como comentado anteriormente, o Sistema de Gestão de Compliance está imerso em uma cultura organizacional, e faz-se necessário que ele reflita os valores, objetivos, estratégia e riscos de compliance da organização. Não adianta querer ser uma coisa em Compliance que a organização não é neste momento. Claro que, com o tempo, pode-se evoluir neste caminho de amadurecimento e evolução. É o que se espera, é o que se deseja!

Oportunamente continuo com a parte 3 do artigo.

Michel Epelbaum – Diretor da Ellux Consultoria

Diretor da Ellux Consultoria. Tem mais de 25 anos de experiência nacional e internacional em gestão de sustentabilidade, qualidade, meio ambiente, saúde ocupacional e segurança, e compliance.  É membro dos Comitês Técnicos da ABNT de Gestão Ambiental, Antissuborno, Riscos, Governança, Responsabilidade Social e Energia. É Lead Assessor nas normas ISO 9001, ISO 14001, OHSAS 18001, ISO 45001, ISO 19600 e ISO 37001.

Consulte nossos serviços de Consultoria, Treinamento e Auditoria em Sistemas de Gestão inclusive nas Normas ISO 37301, ISO 19600 – compliance e ISO 37001 – antissuborno, . Além de outras como ISO 9001, ISO 14001, ISO 45001, ISO 26000, NBR 16001 E ISO 50001. 

Saiba mais sobre este assunto em nossos posts relacionados:

 Futura ISO 37301 – Sistemas de Gestão de Compliance – Parte 1

Treinamento e Conscientização ISO 37001 X Programa de Integridade

Certificações ISO 37001: Estatísticas Mundiais e do Brasil

ISO 37001 x Programa de Integridade

Atualização Normativa ISO – Governança, Compliance e Antissuborno

Live de Lançamento da Norma ABNT NBR ISSO 37301: Sistema de Gestão de Compliance

Competências em Definição para Auditores de Certificação da ISO 37301 (Sistema de Gestão de Compliance)

ISO 37301 – Sistemas de Gestão de Compliance – A Sorte está Lançada!

ISO 37301 – Planejamento do SGC – O Coração da Norma -Parte 4

ISO 37301 – SGC – Parte 3 – A Liderança tão necessária

Estrutura ISO 37301 – Sistemas de Gestão de Compliance – Parte 1

Avanços Normativos da ISO 37301 e outras Normas do ISO TC 309 (Governança e Compliance)

O post ISO 37301 – SGC – Parte 2 – Contexto apareceu primeiro em Ellux Consultoria.