A ISO 37001 especifica requisitos para prevenir, detectar e responder ao suborno — próprio ou de terceiros agindo em nome da organização. Cobre avaliação de riscos, due diligence de parceiros, controles financeiros e não financeiros, canal de denúncias e investigação, sob supervisão de uma função de compliance com independência real.
O que a auditoria espera encontrar
- Avaliação de riscos de suborno por área, projeto, país e parceiro de negócio;
- Due diligence proporcional ao risco para terceiros, intermediários e M&A;
- Controles sobre presentes, hospitalidades, doações, patrocínios e pagamentos;
- Canal de denúncias acessível, com proteção ao relator e investigações documentadas;
- Comprometimento visível da alta direção e função antissuborno com autoridade e independência.
Erro comum na implantação
Comece pela avaliação de riscos honesta — ela dimensiona todos os demais controles;
Vale lembrar: a norma exige o que faz sentido para o porte e a complexidade da operação — sistema inchado costuma ser fragilidade, não virtude.
Dicas de quem certifica
- Comece pela avaliação de riscos honesta — ela dimensiona todos os demais controles;
- Regre presentes e hospitalidades com limites claros e registro simples de aprovar;
- Priorize due diligence dos terceiros que interagem com o poder público em seu nome;
- Proteja de verdade quem reporta: anonimato, não retaliação e retorno ao relator;
- Treine as áreas de maior exposição (comercial, compras, relações governamentais) com casos reais.
Para quem é
Empresas que contratam com o poder público, Construção e infraestrutura, Saúde e farmacêutico, Energia e óleo & gás, Estatais, Instituições financeiras — entre outros segmentos. Empresas privadas reduzem a exposição à Lei Anticorrupção (multas de até 20% do faturamento), pontuam em due diligences de grandes contratantes e ganham atenuantes reconhecidas quando mantêm programa efetivo — não de fachada.
No setor público
Estatais e órgãos atendem à Lei das Estatais e às exigências de integridade da CGU com um sistema auditado por terceira parte — evidência forte perante tribunais de contas e em acordos de leniência.
Dúvidas frequentes
Já temos código de conduta. Não basta?
O código é o começo — necessário, mas longe de suficiente. A 37001 exige o sistema por trás dele: riscos de suborno avaliados por área e parceiro, due diligence proporcional de terceiros, controles financeiros e não financeiros operando (presentes, hospitalidades, doações, pagamentos), canal de denúncias eficaz e uma função antissuborno com independência real. A diferença aparece na auditoria: não perguntamos se a regra existe, pedimos as evidências de que ela funcionou — aprovações registradas, due diligences arquivadas, relatos tratados.
A certificação impede corrupção?
Nenhum sistema elimina o risco humano — e desconfie de quem prometer isso. O que a certificação faz é reduzir drasticamente a probabilidade (controles preventivos e detecção precoce) e mudar as consequências quando algo acontece: a empresa demonstra diligência estruturada, auditada por terceira parte, o que é fator decisivo na dosimetria de sanções da Lei Anticorrupção, na preservação de contratos e na proteção dos administradores que agiram corretamente. É a diferença entre ‘a empresa falhou’ e ‘um indivíduo burlou um sistema sério’.
Vale certificar junto com a ISO 37301?
Sim — é a combinação natural e o caminho que recomendamos avaliar. A 37301 organiza o sistema de compliance como um todo (todas as obrigações: legais, regulatórias, contratuais) e a 37001 aprofunda o risco específico de suborno, o mais sensível para quem lida com poder público. As duas compartilham estrutura, canal de denúncias, avaliação de riscos e governança — a auditoria integrada avalia os requisitos comuns uma só vez, com economia real de dias e custo.
Empresa pequena precisa disso?
Se contrata com o poder público, participa de licitações ou fornece para grandes empresas, sim — e cada vez mais como condição de negócio, não como diferencial. Os requisitos da norma são explicitamente proporcionais ao porte e ao perfil de risco: uma PME não precisa da estrutura de uma multinacional, precisa de controles enxutos e funcionando. Para PMEs, o certificado costuma abrir portas em cadeias de fornecimento que exigem integridade auditada dos parceiros — mercados antes inacessíveis.
Base legal e referências
- Lei Anticorrupção (Lei nº 12.846/2013) — responsabilização objetiva de empresas; programa de integridade efetivo é atenuante de sanções;
- Decreto nº 11.129/2022 — parâmetros de avaliação de programas de integridade pela CGU, espelhados nos requisitos da 37001;
- Lei das Estatais (Lei nº 13.303/2016) — exige regras de integridade e gestão de riscos;
- FCPA (EUA) e UK Bribery Act (Reino Unido) — alcance extraterritorial sobre empresas com negócios internacionais;
- Convenção da OCDE contra o suborno transnacional — compromissos que o Brasil internalizou e fiscaliza.
- Normatizas — guia completo da ISO 37001
Veja também o treinamento relacionado na nossa Plataforma de Educação.
E a Normatizas com isso?
A Normatizas é um organismo de certificação de terceira parte: auditamos, decidimos e emitimos o certificado — e, por imparcialidade (ISO/IEC 17021-1), jamais prestamos consultoria a quem certificamos. Certificamos a ISO 37001 — sistemas de gestão antissuborno.
Nota da equipe técnica
Escrevemos com a mesma régua que usamos em auditoria: sem promessa fácil, sem número inventado e separando o que é requisito do que é boa prática.
— Equipe técnica da Normatizas Certificadora
Quer saber quanto custa e quanto tempo leva certificar a sua organização? O orçamento já vem com o dimensionamento da auditoria.