ISO 37001: o que é a norma antissuborno e como funciona a certificação

A ISO 37001 é a norma internacional de sistema de gestão antissuborno. Ela diz o que uma organização precisa ter funcionando para prevenir, detectar e responder a casos de suborno, seja o suborno praticado pela empresa e por quem age em nome dela, seja o suborno oferecido a alguém de dentro. A edição em vigor é a ISO 37001:2025, que substituiu a versão de 2016, e a adoção é voluntária: a empresa decide implantar e, se quiser, passa por auditoria para ter o certificado.

O que é a ISO 37001?

É uma norma de requisitos, com orientações de uso, para montar, manter e melhorar um sistema de gestão antissuborno. Segundo a central de ajuda da ISO, ela cobre o suborno direto e o indireto (feito por meio de terceiros), tanto o ativo, de quem oferece, quanto o passivo, de quem recebe.

Sistema de gestão, no vocabulário das normas ISO, é o conjunto de políticas, responsabilidades, processos e registros que fazem uma regra sair do papel e ser acompanhada ao longo do tempo. A ISO 37001 pode funcionar sozinha ou integrada a outros sistemas que a empresa já tenha, como o de qualidade (ISO 9001).

No Brasil, a norma é publicada pela ABNT como ABNT NBR ISO 37001, com o título "Sistemas de gestão antissuborno: requisitos com orientações para uso".

O que mudou na ISO 37001:2025?

A segunda edição saiu em 2025. Pelo resumo oficial da ISO, a revisão:

• reforça as exigências sobre cultura de compliance;
• trata de temas novos, como os efeitos das mudanças climáticas sobre o risco de suborno;
• deixa mais claro o papel da função antissuborno, a área ou pessoa responsável por supervisionar o sistema;
• aproxima a estrutura da norma das outras normas de sistema de gestão da ISO.

Quem já é certificado na versão de 2016 precisa migrar. O Inmetro orientou os organismos de certificação a migrar os certificados dos clientes para a nova versão até 28 de fevereiro de 2027 (Ofício Circular nº 8/2025/Dicor/Cgcre-Inmetro). Desde 31 de agosto de 2026, toda certificação inicial ou recertificação só pode começar com base na ISO 37001:2025 (Ofício Circular nº 3/2026/Dicor/Cgcre-Inmetro).

Quem pode se certificar na ISO 37001?

Qualquer organização. A ISO informa que a norma vale para organizações de qualquer porte e setor, sejam públicas, privadas ou sem fins lucrativos. Não existe faturamento mínimo nem número mínimo de funcionários.

O que muda de uma empresa para outra é o tamanho do sistema, que acompanha o risco: uma distribuidora que vende para órgãos públicos e usa intermediários tende a precisar de mais diligência e mais controle do que um escritório que só atende clientes privados.

O que a norma pede?

O texto completo da norma é pago, mas os grandes blocos de exigências estão no resumo público da ISO. Vale comparar com os parâmetros que o Decreto 11.129/2022, art. 57, usa para avaliar um programa de integridade, porque boa parte do trabalho serve aos dois:

A tabela aproxima temas parecidos. Ela não diz que cumprir um equivale a cumprir o outro, porque a norma e o decreto têm critérios e avaliadores diferentes.

Como funciona a certificação ISO 37001?

Quem emite o certificado é um organismo de certificação. No Brasil, esses organismos são acreditados pela Cgcre, a área de acreditação do Inmetro, que acompanha a competência deles para auditar nesse escopo, como mostram os ofícios citados acima.

O caminho costuma ter quatro etapas:

1. Implantação. A empresa monta o sistema: define a política, avalia os riscos, nomeia a função antissuborno, cria os controles e treina as pessoas.
2. Operação. O sistema roda por um tempo, gerando registros: treinamentos feitos, diligências concluídas, relatos recebidos e tratados.
3. Auditoria. O organismo de certificação confere se os requisitos da norma estão atendidos e se há evidência de que funcionam na prática.
4. Manutenção. Depois do certificado, o organismo volta para auditorias de acompanhamento e, no fim do ciclo, faz a recertificação.

Antes de contratar, confira se o organismo é acreditado para a ISO 37001 e se já concluiu a adequação à versão de 2025.

Qual a relação com a Lei Anticorrupção?

A Lei 12.846/2013, a Lei Anticorrupção, responsabiliza a empresa por atos contra a administração pública praticados em seu interesse ou benefício (art. 2º), o que inclui prometer, oferecer ou dar vantagem indevida a agente público (art. 5º, I). Na hora de aplicar as sanções, a lei leva em conta a existência de mecanismos internos de integridade, auditoria e incentivo à denúncia (art. 7º, VIII).

O Decreto 11.129/2022 detalha o que é esse programa de integridade (art. 56) e como ele é avaliado (art. 57). O decreto não menciona a ISO 37001 nem qualquer certificação. Na nossa leitura, o certificado ajuda a mostrar que existe um sistema estruturado, mas quem avalia o programa olha se ele funciona de fato na empresa.

A diferença para a ISO 37301 cabe numa linha: a ISO 37301 trata do sistema de gestão de compliance como um todo, enquanto a ISO 37001 trata só do suborno.

Como a Sincera ajuda

A certificação fica com o organismo acreditado, e a Sincera cuida das partes do programa que a norma e o decreto pedem e que dão mais trabalho no dia a dia. Você publica a política antissuborno e o código de conduta com assinatura eletrônica e fica com o registro de quem leu e aceitou. Os treinamentos ficam na mesma plataforma, com o histórico de quem concluiu, e o canal de denúncias recebe relatos com protocolo, inclusive anônimos, se a empresa permitir.

O time acessa tudo pelo portal do colaborador e pode tirar dúvidas com uma inteligência artificial que responde com base nas políticas da própria empresa. Na auditoria, esses registros viram evidência. Você pode começar grátis, sem cartão de crédito.