A ISO 37301 estrutura o sistema de gestão de compliance da organização: identificação de obrigações (legais, regulatórias, contratuais e voluntárias), avaliação de riscos de descumprimento, controles, cultura, canal de manifestações e melhoria contínua. É a norma certificável que transforma o programa de integridade em sistema auditável.
O que a auditoria espera encontrar
- Inventário de obrigações de compliance atualizado e vinculado aos processos;
- Avaliação de riscos de não conformidade com controles proporcionais;
- Função de compliance com independência, autoridade e acesso à alta direção;
- Canal de manifestações com tratamento formal, proteção e indicadores;
- Cultura medida e promovida: treinamentos, comunicação e consequências consistentes.
Erro comum na implantação
Construa o inventário de obrigações por processo — é o coração do sistema;
Vale lembrar: a norma exige o que faz sentido para o porte e a complexidade da operação — sistema inchado costuma ser fragilidade, não virtude.
Dicas de quem certifica
- Construa o inventário de obrigações por processo — é o coração do sistema;
- Conecte compliance à gestão de riscos corporativa existente, sem duplicar estruturas;
- Dê ao canal de denúncias tratamento de produto: divulgação, SLA e confiança;
- Reporte à alta direção com indicadores de eficácia, não apenas atividades;
- Use a 37301 como guarda-chuva e acople 37001 (antissuborno) onde o risco exigir.
Para quem é
Estatais e órgãos públicos, Financeiro e seguros, Saúde, Energia, Licitantes recorrentes, Grandes indústrias — entre outros segmentos. No privado, o certificado consolida credibilidade em due diligences, M&A e cadeias de fornecimento, reduz sanções em caso de incidentes (programa efetivo comprovado) e organiza o cumprimento regulatório num único sistema.
No setor público
Órgãos e estatais materializam as exigências da Lei das Estatais e dos normativos da CGU num sistema certificado — evidência objetiva de governança para tribunais de contas, agências reguladoras e sociedade.
Dúvidas frequentes
Qual a diferença entre a 37301 e a 37001?
A 37301 é o guarda-chuva: cobre o compliance como um todo — todas as obrigações legais, regulatórias, contratuais e voluntárias da organização, de tributário a ambiental, de trabalhista a setorial. A 37001 mergulha num único risco, o suborno, com requisitos específicos (due diligence, controles de presentes e pagamentos, função antissuborno). Juntas formam o par ideal para quem quer programa completo com aprofundamento no risco mais crítico — e auditamos as duas de forma integrada, avaliando os requisitos comuns uma única vez.
Serve para empresa média?
Sim — e costuma ser onde o retorno aparece mais rápido. Os requisitos são proporcionais ao porte e à complexidade: uma empresa média não precisa de diretoria de compliance, precisa de obrigações mapeadas, riscos priorizados, canal funcionando e alguém com mandato claro. Certificada, ela sai na frente em licitações (a Lei nº 14.133/2021 valoriza integridade), responde com selo às due diligences de grandes contratantes e se antecipa às exigências que os clientes corporativos já fazem em cadeia.
O que a auditoria mais reprova?
Três padrões se repetem. Primeiro: canal de denúncias decorativo — existe, mas ninguém confia, relatos não têm prazo nem registro de tratamento. Segundo: inventário de obrigações desatualizado ou desconectado dos processos — o compliance ‘sabe das leis’, mas as áreas não sabem o que lhes cabe. Terceiro: função de compliance sem independência real — reporta a quem deveria fiscalizar, não tem acesso à alta direção ou é atropelada em decisões sensíveis. Os três têm o mesmo remédio: tratar compliance como sistema de gestão, não como assessoria jurídica ampliada.
O compliance officer precisa ser exclusivo?
Não necessariamente. Em estruturas menores é comum acumular funções — o que a norma exige é mandato formal, competência demonstrada, acesso direto à alta direção (e ao conselho, quando houver) e independência nas situações em que os papéis conflitam: quem acumula compliance com jurídico não pode se autoavaliar, e isso precisa estar tratado na governança. A auditoria avalia a atuação real: participação nas decisões relevantes, reportes periódicos com indicadores e autoridade respeitada na prática.
Base legal e referências
- Lei Anticorrupção (Lei nº 12.846/2013) e Decreto nº 11.129/2022 — programa de integridade efetivo como atenuante e parâmetros de avaliação;
- Lei das Estatais (Lei nº 13.303/2016) — estruturas de compliance, gestão de riscos e canal de denúncias;
- Lei nº 14.133/2021 — programa de integridade em contratações de grande vulto;
- Convenções OCDE e ONU (Mérida) — padrões internacionais de integridade;
- Sarbanes-Oxley (EUA) e guias do DOJ sobre programas de compliance — referências para empresas com capital ou negócios nos EUA.
- Normatizas — guia completo da ISO 37301
Veja também o treinamento relacionado na nossa Plataforma de Educação.
E a Normatizas com isso?
Somos credenciados pelo Inmetro (Cgcre) e pelo IPA/IBA (Procert), com auditores experientes em compliance e sistemas de gestão, sigilo integral e atendimento em todo o país. Certificamos a ISO 37301 — sistemas de gestão de compliance.
Nota da equipe técnica
Quem audita passa o dia vendo a distância entre o que está escrito e o que acontece — é dessa distância que tratam quase todos os nossos textos.
— Equipe técnica da Normatizas Certificadora
Quer saber quanto custa e quanto tempo leva certificar a sua organização? O orçamento já vem com o dimensionamento da auditoria.