Maturità ISO 37001 · Sistemi di gestione anticorruzione

ISO 37001 è una norma di sistema di gestione certificabile, pubblicata nel 2016, dedicata alla prevenzione, al rilevamento e al trattamento della corruzione. Copre la corruzione attiva e passiva, diretta e indiretta, inclusa quella commessa da partner commerciali per conto dell’organizzazione. Impone una base precisa: politica anticorruzione approvata dall’organo di governance, funzione di conformità anticorruzione dotata di autorità e indipendenza, valutazione dei rischi di corruzione documentata, due diligence proporzionata sulle terze parti, controlli finanziari e non finanziari, formazione, procedura di segnalazione e indagine, riesame della direzione.

In pratica, il dispositivo è difficile da governare perché le sue componenti vivono in direzioni diverse. La mappatura dei rischi di corruzione appartiene alla conformità, i controlli alla finanza, la due diligence agli acquisti, la formazione alle risorse umane. Tre domande ricorrono sistematicamente. La mappatura è realmente utilizzata per calibrare i controlli, o resta un documento annuale? La due diligence sulle terze parti è proporzionata al rischio, o applicata in modo uniforme per mancanza di criteri? Le segnalazioni sono oggetto di un trattamento tracciato, con una decisione e un riscontro, o si fermano alla casella di posta?

In Francia, ISO 37001 si incrocia con la legge Sapin II, il cui articolo 17 elenca otto pilastri, e con le raccomandazioni dell’Agenzia francese anticorruzione. I due quadri si sovrappongono ampiamente ma non coincidono: Sapin II è vincolante e controllata dall’AFA, ISO 37001 è volontaria e certificabile da un organismo accreditato. Un equivoco frequente consiste nel credere che la certificazione ISO 37001 valga come presunzione di conformità a Sapin II. Non è così. Costituisce un elemento di organizzazione e di prova, utile ma distinto.

La diagnosi di maturità risponde a una domanda diversa rispetto all’audit di certificazione. L’audit verifica la presenza e l’efficacia dei requisiti, per poi concludere con una conformità o uno scarto. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione precisa che permette di passare al livello superiore. Si svolge a monte, senza posta in gioco di verdetto, e produce una traiettoria piuttosto che un constatazione. In Datamensio, lo scarto tra il punteggio e l’obiettivo genera direttamente il piano d’azione, che l’IA raggruppa in una roadmap prioritizzata.

Il quadro di riferimento è pronto all’uso e adattabile. Modificate gli ambiti, le domande e i livelli, oppure chiedete all’IA di costruirne una declinazione a partire dal vostro codice di condotta, dalla vostra mappatura dei rischi e dalle vostre procedure esistenti. Le entità di uno stesso gruppo possono essere valutate sulla stessa griglia, poi confrontate tra loro e nel tempo.