ISO 37301: o que é a norma de compliance e como funciona a certificação

A ISO 37301 é a norma internacional que diz o que uma organização precisa ter para manter um sistema de gestão de compliance: como identificar as obrigações que se aplicam a ela, como controlar os riscos de descumprimento e como provar que o sistema funciona e melhora com o tempo. A versão em vigor é a ISO 37301:2021, publicada pela ISO em 13 de abril de 2021 e adotada no Brasil pela ABNT como ABNT NBR ISO 37301:2021, "Sistemas de gestão de compliance: requisitos com orientações para uso".

O que é a ISO 37301?

A norma foi elaborada pelo comitê técnico ISO/TC 309, que cuida de governança das organizações, e especifica requisitos e orientações para estabelecer, implementar, avaliar, manter e melhorar um sistema de gestão de compliance. Segundo o comitê, ela se apoia nos princípios de boa governança, proporcionalidade, transparência e sustentabilidade, e os requisitos são genéricos, pensados para servir a qualquer organização, seja qual for o tipo, o porte ou a atividade.

Ela substituiu a ISO 19600:2014. Em 2018, o comitê decidiu revisar a ISO 19600 transformando-a em norma de requisitos, com um número novo, e a ISO 19600 foi cancelada depois da publicação da ISO 37301. A ISO 19600 trazia recomendações, e a ISO 37301 diz o que a organização deve cumprir, o que permite usá-la como régua numa auditoria.

Dois pontos de atualização:

• Emenda de 2024. A ISO publicou a ISO 37301:2021/Amd 1:2024, com mudanças ligadas à ação climática.
• Revisão de 2026. A ISO revisou a norma e confirmou a edição de 2021 em agosto de 2026, então ela continua valendo sem uma versão nova à vista.

A ISO 37301 é certificável?

Sim. Como a norma é escrita em forma de requisitos, a empresa pode contratar uma auditoria independente para verificar se o sistema dela atende ao texto e, se atender, receber um certificado. A certificação é voluntária: nenhuma lei brasileira obriga uma empresa a se certificar na ISO 37301, embora alguns contratos e editais possam pedir.

A própria ISO não emite certificados. Quem audita e certifica é um organismo de certificação de sistemas de gestão, e no Brasil quem acredita esses organismos é o Inmetro. Antes de contratar, confira se o organismo é acreditado para o escopo da ISO 37301.

O caminho até o certificado costuma seguir esta ordem:

1. Implantação. A empresa monta o sistema e o põe para rodar até gerar registros.
2. Auditoria interna e análise pela direção. A própria empresa verifica se cumpre a norma e corrige o que falta antes de chamar o auditor externo.
3. Auditoria de certificação. O organismo examina documentos, entrevista pessoas e confere as evidências.
4. Certificado e acompanhamento. Aprovada, a empresa recebe o certificado, e o organismo volta periodicamente para auditorias de manutenção e de renovação.

Como a ISO 37301 é organizada?

A ISO classifica a 37301 como norma de sistema de gestão do tipo A, a mesma família da ISO 9001 (qualidade) e da ISO 14001 (meio ambiente). Essas normas seguem uma estrutura comum, o que permite integrar o sistema de compliance a outros que a empresa já tenha. As seções de requisitos tratam destes temas:

O texto completo é vendido pela ISO e, em português, pela ABNT, e você vai precisar dele para implantar o sistema, porque o resumo acima mostra só os temas.

Quem se beneficia da ISO 37301?

A norma serve a organizações públicas, privadas e sem fins lucrativos, de qualquer porte. Entre os benefícios que a ISO aponta estão reduzir o risco de descumprimento, reforçar a cultura de integridade, melhorar a governança e a reputação e aumentar a confiança das partes interessadas.

Na prática, ela faz mais sentido para quem precisa demonstrar o compliance a alguém de fora:

• empresas que vendem para grandes companhias e passam por avaliação de fornecedores;
• empresas que participam de licitações ou têm contratos com o setor público;
• empresas que já têm ISO 9001 ou ISO 14001 e querem integrar o compliance ao mesmo sistema de gestão.

Qual é a diferença entre a ISO 37301 e a ISO 37001?

As duas são do mesmo comitê, têm a mesma estrutura e podem ser certificadas, mas cobrem assuntos de tamanhos diferentes. Segundo a ISO, a ISO 37001 trata especificamente de sistemas de gestão antissuborno, enquanto a ISO 37301 abrange o compliance de forma ampla.

A empresa pode implantar a ISO 37301 como guarda-chuva e tratar o suborno com a profundidade da ISO 37001 dentro do mesmo sistema, já que a ISO cita a 37001 entre as normas que se integram à 37301.

Por onde começar?

A certificação é o fim do caminho. Antes dela, a empresa precisa de um programa de compliance que funcione no dia a dia, e esta ordem costuma dar certo:

1. Mapeie as obrigações. Liste as leis, normas e contratos que se aplicam à empresa e o que cada um exige.
2. Avalie os riscos. Veja onde é mais provável que uma obrigação deixe de ser cumprida e qual seria o impacto.
3. Escreva as políticas. Código de conduta, política de compliance e políticas específicas para os riscos principais, aprovadas pela direção.
4. Garanta a ciência do time. Cada pessoa precisa ler e aceitar as políticas que se aplicam a ela, com registro de quem leu e quando.
5. Treine e comunique. Treinamentos periódicos e comunicados mantêm as regras vivas depois do primeiro dia.
6. Abra um canal de relatos. Quem trabalha na empresa precisa de um caminho seguro para relatar irregularidades, e um canal de denúncias com protocolo resolve essa parte.
7. Guarde as evidências. Na auditoria, vale o que está registrado: aceites, presença em treinamento, relatos tratados e decisões da direção.

Como a Sincera ajuda no dia a dia do programa

A Sincera cuida da rotina que sustenta um sistema de gestão de compliance. Você publica documentos e políticas e colhe a assinatura eletrônica de cada pessoa, aplica treinamentos, envia comunicados e recebe relatos pelo canal de denúncias, com tudo registrado num só lugar. O time acessa as políticas pelo portal do colaborador e tira dúvidas com uma inteligência artificial que responde com base nas políticas da própria empresa.

Quem certifica é um organismo acreditado, e a plataforma organiza as evidências que o auditor vai pedir, e você pode começar grátis, sem cartão de crédito.