Dojrzałość ISO 37001 · Systemy zarządzania antykorupcyjnego

ISO 37001 to certyfikowalna norma systemu zarządzania, opublikowana w 2016 roku, poświęcona zapobieganiu, wykrywaniu i przeciwdziałaniu korupcji. Obejmuje korupcję czynną i bierną, bezpośrednią i pośrednią, w tym popełnianą przez partnerów handlowych w imieniu organizacji. Narzuca precyzyjny fundament: politykę antykorupcyjną zatwierdzoną przez organ zarządzający, funkcję compliance antykorupcyjnego wyposażoną w autorytet i niezależność, udokumentowaną ocenę ryzyka korupcji, proporcjonalną należytą staranność wobec stron trzecich, kontrole finansowe i pozafinansowe, szkolenia, procedurę zgłaszania nieprawidłowości i prowadzenia dochodzeń oraz przegląd zarządzania.

W praktyce system jest trudny do nadzorowania, ponieważ jego elementy funkcjonują w różnych działach. Mapa ryzyka korupcji należy do compliance, kontrole do finansów, należyta staranność do zakupów, a szkolenia do działu kadr. Systematycznie powracają trzy pytania. Czy mapa ryzyka jest rzeczywiście wykorzystywana do kalibrowania kontroli, czy pozostaje dokumentem sporządzanym raz do roku? Czy należyta staranność wobec stron trzecich jest proporcjonalna do ryzyka, czy stosowana jednolicie z braku kryteriów? Czy zgłoszenia są rozpatrywane w sposób identyfikowalny, z decyzją i informacją zwrotną, czy kończą się na skrzynce odbiorczej?

We Francji ISO 37001 krzyżuje się z ustawą Sapin II, której artykuł 17 wymienia osiem filarów, oraz z zaleceniami francuskiej Agencji Antykorupcyjnej (AFA). Oba ramy w dużej mierze się pokrywają, ale nie są tożsame: Sapin II ma charakter obowiązujący i jest kontrolowana przez AFA, natomiast ISO 37001 jest dobrowolna i podlega certyfikacji przez akredytowaną jednostkę. Częstym błędem jest przekonanie, że certyfikacja ISO 37001 oznacza domniemanie zgodności z Sapin II. Tak nie jest. Stanowi element organizacyjny i dowodowy, przydatny, lecz odrębny.

Diagnoza dojrzałości odpowiada na inne pytanie niż audyt certyfikujący. Audyt weryfikuje obecność i skuteczność wymagań, a następnie stwierdza zgodność lub niezgodność. Diagnoza umiejscawia każdą praktykę na progresywnej skali i wskazuje konkretne działanie prowadzące do wyższego poziomu. Przeprowadza się ją wcześniej, bez ryzyka wyroku, a jej efektem jest trajektoria, a nie stwierdzenie stanu. W Datamensio luka między wynikiem a celem bezpośrednio generuje plan działania, który sztuczna inteligencja grupuje w priorytetową mapę drogową.

Model referencyjny jest gotowy do użycia i w pełni edytowalny. Mogą Państwo zmodyfikować obszary tematyczne, pytania i poziomy, albo poprosić sztuczną inteligencję o zbudowanie wersji dostosowanej na podstawie Państwa kodeksu postępowania, mapy ryzyka i istniejących procedur. Podmioty wchodzące w skład tej samej grupy mogą zostać ocenione według tej samej siatki, a następnie porównane między sobą oraz w czasie.