ABNT NBR ISO 37301 · Certificamos esta norma
Sistemas de Gestão de Compliance
A ISO 37301 estrutura o sistema de gestão de compliance da organização: identificação de obrigações (legais, regulatórias, contratuais e voluntárias), avaliação de riscos de descumprimento, controles, cultura, canal de manifestações e melhoria contínua. É a norma certificável que transforma o programa de integridade em sistema auditável.
Na auditoria
O que é esperado
- Inventário de obrigações de compliance atualizado e vinculado aos processos;
- Avaliação de riscos de não conformidade com controles proporcionais;
- Função de compliance com independência, autoridade e acesso à alta direção;
- Canal de manifestações com tratamento formal, proteção e indicadores;
- Cultura medida e promovida: treinamentos, comunicação e consequências consistentes.
Implantação
Dicas úteis para implantar
- Construa o inventário de obrigações por processo — é o coração do sistema;
- Conecte compliance à gestão de riscos corporativa existente, sem duplicar estruturas;
- Dê ao canal de denúncias tratamento de produto: divulgação, SLA e confiança;
- Reporte à alta direção com indicadores de eficácia, não apenas atividades;
- Use a 37301 como guarda-chuva e acople 37001 (antissuborno) onde o risco exigir.
Onde se aplica
Segmentos aplicáveis e recomendados
Estatais e órgãos públicos
Financeiro e seguros
Saúde
Energia
Licitantes recorrentes
Grandes indústrias
Cooperativas
Terceiro setor
Diferenciais
O que sua organização ganha
Clientes públicos
Órgãos e estatais materializam as exigências da Lei das Estatais e dos normativos da CGU num sistema certificado — evidência objetiva de governança para tribunais de contas, agências reguladoras e sociedade.
Clientes privados
No privado, o certificado consolida credibilidade em due diligences, M&A e cadeias de fornecimento, reduz sanções em caso de incidentes (programa efetivo comprovado) e organiza o cumprimento regulatório num único sistema.
Base legal
Legislações e referências sobre o tema
No Brasil
- Lei Anticorrupção (Lei nº 12.846/2013) e Decreto nº 11.129/2022 — programa de integridade efetivo como atenuante e parâmetros de avaliação;
- Lei das Estatais (Lei nº 13.303/2016) — estruturas de compliance, gestão de riscos e canal de denúncias;
- Lei nº 14.133/2021 — programa de integridade em contratações de grande vulto;
- Normativos setoriais (BACEN, SUSEP, ANS, ANEEL) — obrigações de compliance que o sistema organiza e evidencia.
Clique em qualquer bloco para abrir a íntegra da lei ou referência no site oficial (nova aba). As referências indicam normas e políticas públicas que dialogam com o tema — a aplicabilidade a cada organização deve ser avaliada caso a caso.
Dúvidas frequentes
Perguntas sobre a ISO 37301
Qual a diferença entre a 37301 e a 37001?
A 37301 é o guarda-chuva: cobre o compliance como um todo — todas as obrigações legais, regulatórias, contratuais e voluntárias da organização, de tributário a ambiental, de trabalhista a setorial. A 37001 mergulha num único risco, o suborno, com requisitos específicos (due diligence, controles de presentes e pagamentos, função antissuborno). Juntas formam o par ideal para quem quer programa completo com aprofundamento no risco mais crítico — e auditamos as duas de forma integrada, avaliando os requisitos comuns uma única vez.
Serve para empresa média?
Sim — e costuma ser onde o retorno aparece mais rápido. Os requisitos são proporcionais ao porte e à complexidade: uma empresa média não precisa de diretoria de compliance, precisa de obrigações mapeadas, riscos priorizados, canal funcionando e alguém com mandato claro. Certificada, ela sai na frente em licitações (a Lei nº 14.133/2021 valoriza integridade), responde com selo às due diligences de grandes contratantes e se antecipa às exigências que os clientes corporativos já fazem em cadeia.
O que a auditoria mais reprova?
Três padrões se repetem. Primeiro: canal de denúncias decorativo — existe, mas ninguém confia, relatos não têm prazo nem registro de tratamento. Segundo: inventário de obrigações desatualizado ou desconectado dos processos — o compliance ‘sabe das leis’, mas as áreas não sabem o que lhes cabe. Terceiro: função de compliance sem independência real — reporta a quem deveria fiscalizar, não tem acesso à alta direção ou é atropelada em decisões sensíveis. Os três têm o mesmo remédio: tratar compliance como sistema de gestão, não como assessoria jurídica ampliada.
O compliance officer precisa ser exclusivo?
Não necessariamente. Em estruturas menores é comum acumular funções — o que a norma exige é mandato formal, competência demonstrada, acesso direto à alta direção (e ao conselho, quando houver) e independência nas situações em que os papéis conflitam: quem acumula compliance com jurídico não pode se autoavaliar, e isso precisa estar tratado na governança. A auditoria avalia a atuação real: participação nas decisões relevantes, reportes periódicos com indicadores e autoridade respeitada na prática.
Por onde começar o inventário de obrigações?
Pelos processos, não pela legislação em abstrato. Percorra cada área perguntando: o que esta operação deve cumprir — leis, regulamentos, contratos, licenças, compromissos voluntários? Registre a obrigação, o dono, o controle que garante o atendimento e a evidência gerada. Priorize os processos de maior risco (comercial, compras, regulatório, trabalhista) e use fontes que a empresa já tem: contratos, autuações passadas, exigências de clientes. O inventário nasce imperfeito e melhora a cada ciclo — o que não pode é ficar parado num arquivo.
A certificação ajuda em fiscalizações e defesas?
Ajuda de forma concreta. O Decreto nº 11.129/2022 manda a CGU avaliar programas de integridade pela efetividade — exatamente o que a auditoria de terceira parte atesta periodicamente. Em processos administrativos e acordos de leniência, o certificado e o histórico de auditorias demonstram que o programa não é ‘de papel’: há riscos avaliados, controles operando, canal ativo e melhoria documentada. O mesmo vale perante reguladores setoriais, tribunais de contas e grandes contratantes — evidência independente vale mais do que autodeclaração.
Pronto para certificar a ISO 37301?
Solicite o orçamento com dimensionamento personalizado para o seu escopo.