Maturidade ISO 19600 · Sistemas de gestão de conformidade (compliance corporativo)
Sua gestão de compliance, posicionada em uma escala de maturidade e traduzida em plano de ação com números.
10 temas, undefined perguntas, uma escala de 5 níveis. E a ação que faz cada nível avançar para o seguinte.
Os 10 temas do referencial, já redigidos de N1 a N5. Uma empresa, uma unidade de negócio, ou 300 ao mesmo tempo.
Maturidade ISO 19600 · Sistemas de gestão de conformidade (compliance corporativo)
10 temas, undefined perguntas, escala de 5 níveis.
Nordhavn Industries
53 / 100
Eles medem sua maturidade com a Datamensio
Um exemplo
Essa situação poderia ser a sua.
Vamos pegar o exemplo de uma empresa: três unidades, três planilhas, nenhuma resposta em comum.
Ninguém sabe consolidar.
A Nordhavn Industries, 2.400 pessoas em Hamburgo, Lyon e Porto. Um cliente pergunta como está o grupo. Cada unidade responde na sua própria planilha, com suas próprias escalas.
Três semanas, uma única base.
Um diagnóstico ISO 19600:2014, substituída pela ISO 37301:2021 iniciado nas três unidades ao mesmo tempo, a partir das anotações de entrevista dos responsáveis. O referencial já estava escrito, os 10 temas e os níveis N1 a N5 também.
Dois gastos evitados antes de serem assumidos.
Um score de 53 em 100, um desvio concentrado em três temas. O assistente de IA identificou que duas ações do plano se repetiam com as de outra auditoria. A apresentação dos resultados ao comitê foi solicitada em uma frase.
O que isso evitou para eles
- 3unidades medidas na mesma base, em vez de três questionários para retrabalhar
- 2ações duplicadas detectadas antes do gasto
- 1apresentação dos resultados ao comitê, sem retrabalho manual
Esses números são de um exemplo. Eles poderiam ser os seus.
A norma impõe processos. A Datamensio mostra onde você está.
01
O referencial já está escrito
Temas, perguntas e níveis N1 a N5 redigidos. Você não começa de uma planilha vazia.
02
O score sai no mesmo dia
On-line, por link de autoavaliação ou em entrevista. Tema por tema, comparável ao longo do tempo.
03
O desvio vira um plano com custos definidos
Cada passagem de nível traz sua ação. A IA prioriza pelo efeito esperado, não pela ordem da norma.
04
A evolução se comprova
Campanha após campanha, contra sua meta e contra seu histórico. É o que sua diretoria pede.
A escala de maturidade
Um nível, o seguinte, e a ação que liga os dois.
É esse mecanismo (um nível, um nível superior e a ação que liga os dois) que transforma um diagnóstico em uma trajetória.
O inventário das obrigações de compliance é mantido atualizado e vinculado a responsáveis identificados?
- N1
Nenhum inventário consolidado. As obrigações são conhecidas pelas equipes que as aplicam, sem um levantamento comum.
- N2
Existe um inventário em forma de arquivo, criado durante um projeto pontual. Não tem responsável designado nem periodicidade de atualização.
- N3
O inventário é estruturado, cada obrigação tem um responsável nomeado e uma revisão periódica está planejada. Alguns domínios ainda estão incompletos.
- N4
O inventário cobre todo o escopo, é alimentado por um monitoramento regulatório formalizado e cada mudança gera uma revisão dos controles associados.
- N5
O inventário está conectado aos processos, aos controles e aos riscos. As revisões são rastreadas e seu impacto é medido na análise crítica pela direção.
Ação para passar do N2 para o N3
Nomear um responsável para cada família de obrigações, incluir a revisão do inventário na pauta do comitê de compliance trimestral e definir a primeira revisão completa antes do fechamento do exercício.
« Graças à Datamensio, cumprimos nossas metas com muito mais eficiência. Os serviços de inspeção do FEDER e do nosso ministério supervisor apreciaram especialmente essa abordagem, que lhes traz dados confiáveis. »
Diretora da CCI 94CCI Île-de-France
« Acreditamos que essa é a solução mais adequada para levar nosso projeto de transformação em escala e medir o impacto de acordo com nossas necessidades. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente sozinho
Um referencial se combina. Associe vários para cobrir sua atividade, ou peça para a IA escrever o seu.
Faça sua primeira mediçãoem ISO 19600.
Do que trata esse referencial
A ISO 19600 estabeleceu, em 2014, o referencial de um sistema de gestão de compliance aplicável a qualquer organização, independentemente do porte ou do setor. Ela pede que você identifique as obrigações de compliance (leis, regulamentos, compromissos contratuais, códigos voluntários), avalie os riscos associados, defina uma política e responsabilidades, implemente controles, treinamento e canal de denúncias, e então meça o desempenho do programa. Sua arquitetura segue a estrutura comum das normas de gestão, o que permite integrá-la com a ISO 9001, a ISO 37001 ou a ISO 31000.
Na prática, esse programa é difícil de gerenciar porque está distribuído. O mapeamento das obrigações raramente fica sob a responsabilidade de uma única área: o jurídico acompanha a regulamentação, as áreas de negócio acompanham seus próprios compromissos, as filiais aplicam regras locais. Três perguntas se repetem sistematicamente. Quem mantém o inventário das obrigações, e com que frequência? Os controles de segundo nível cobrem os processos realmente expostos, ou apenas aqueles que já se sabe controlar? As denúncias chegam a um nível capaz de decidir, ou param no responsável local?
O ponto de contexto mais frequentemente mal compreendido diz respeito à mudança de status da norma. A ISO 19600 era um guia de recomendações, não certificável. A ISO 37301, publicada em 2021, a substitui e transforma essas recomendações em requisitos auditáveis por um organismo acreditado. Muitas organizações construíram seu programa com base na versão de 2014 e continuam citando-a, sem ter verificado a lacuna em relação aos requisitos de 2021. A diretiva europeia sobre proteção de denunciantes, transposta para o direito nacional de cada país da União Europeia, também tornou exigível parte do que a norma tratava apenas como boa prática.
Uma auditoria de conformidade conclui com um veredito binário: o requisito é atendido ou não é. O diagnóstico de maturidade coloca uma pergunta diferente: em que nível de controle está cada componente do programa, e qual ação concreta leva ao próximo nível. Uma organização pode ter uma política de compliance assinada e ainda estar no nível 2 se ninguém a aplica fora da matriz. A escala torna essa lacuna visível e a quantifica.
No Datamensio, o referencial já vem pronto para uso e é totalmente editável. A IA ajusta os temas, reformula as perguntas no vocabulário do seu setor e refina os níveis segundo a metodologia CMMI. Ela também pode construir uma versão personalizada a partir do seu código de conduta, do seu mapeamento de obrigações ou dos seus procedimentos de controle interno já existentes.
Norma de referência: ISO 19600:2014, substituída pela ISO 37301:2021
Os temas avaliados
Contexto e escopo do programa
Análise das questões internas e externas, identificação das partes interessadas, definição do escopo de aplicação, integração com outros sistemas de gestão.
Governança e comprometimento da alta direção
Política de compliance, posicionamento e independência da função de compliance, posição hierárquica, recursos alocados, exemplaridade da liderança.
Inventário das obrigações de compliance
Levantamento de leis, regulamentos, compromissos contratuais e códigos voluntários, responsável por cada obrigação, monitoramento regulatório, frequência de atualização.
Avaliação dos riscos de não conformidade
Método de avaliação, priorização por processo e por entidade, distinção entre risco inerente e residual, integração com o mapa de riscos corporativos.
Controles e procedimentos operacionais
Concepção dos controles de primeiro e segundo nível, integração nos processos de negócio, rastreabilidade das evidências, gestão de terceiros e da cadeia de fornecimento.
Cultura, treinamento e conscientização
Código de conduta, plano de treinamento por público exposto, medição da compreensão efetiva, inclusão do compliance na avaliação de gestores.
Canal de denúncias e tratamento de irregularidades
Canais de denúncia, proteção dos denunciantes, protocolo de investigação interna, decisão de sanção, rastreabilidade e confidencialidade dos casos.
Medição de desempenho e relatórios
Indicadores de compliance, painel de controle, reporte ao comitê de auditoria e ao conselho, qualidade da informação transmitida às instâncias.
Auditoria interna e análise crítica pela direção
Programa de auditoria do sistema, competência dos auditores, acompanhamento das recomendações até o encerramento, análise crítica periódica pela alta direção.
Melhoria contínua
Tratamento das não conformidades, análise de causa raiz, aprendizado a partir dos incidentes, atualização do programa e comparação ao longo do tempo.
Uma versão curta do referencial, com undefined perguntas, está disponível para autoavaliação on-line. A versão completa tem 10 temas e undefined perguntas.
Perguntas frequentes
A ISO 19600 ainda está em vigor?
Ela foi substituída em 2021 pela ISO 37301. A ISO 19600 continua sendo uma referência útil porque a estrutura do programa é a mesma, mas ela era apenas um guia de recomendações. O referencial Datamensio cobre as duas leituras e destaca os pontos que se tornaram requisitos na versão de 2021.
Esse diagnóstico concede uma certificação?
Não. O Datamensio mede a maturidade do programa e prepara para a auditoria. A certificação ISO 37301 é concedida por um organismo acreditado, ao final do seu próprio processo. O diagnóstico serve para você saber em que ponto está antes de iniciar essa jornada.
Qual é a diferença em relação a uma auditoria de conformidade?
A auditoria verifica o atendimento de requisitos e conclui com uma lacuna ou uma conformidade. O diagnóstico posiciona cada prática em uma escala progressiva e indica a ação que faz subir um nível. Os dois se complementam: o diagnóstico prepara, a auditoria valida.
Quanto tempo leva a avaliação?
A versão curta é preenchida em uma única sessão por um responsável de compliance. A versão completa, em modo colaborativo com o jurídico, a auditoria interna e os correspondentes das unidades, geralmente leva de uma a duas semanas, sendo a maior parte do tempo dedicada à coleta de evidências.
É possível adaptar o referencial à nossa organização?
Sim. Os temas, as perguntas e as formulações dos níveis podem ser modificados. A IA pode reformular tudo no vocabulário do seu setor, adicionar um tema específico para suas obrigações locais, ou construir uma versão personalizada a partir do seu código de conduta e dos seus procedimentos.
Como comparar várias filiais?
O mesmo referencial é aplicado a cada entidade, com uma pontuação por tema e uma meta comum. O benchmark compara as unidades de negócio entre si e cada uma com seus próprios resultados anteriores. Um roteiro transversal consolida os planos de ação das diferentes entidades.
Esse referencial se cruza com a ISO 37001 ou a ISO 31000?
Sim, e sem duplicar o trabalho. A ISO 37001 trata especificamente de corrupção, a ISO 31000 fornece o referencial de gestão de riscos do qual faz parte o risco de não conformidade. Os planos de ação resultantes de vários diagnósticos se consolidam em um único roteiro.
Onde os dados ficam armazenados?
Na França, na OVH, com backup na Scaleway. Nenhuma transferência para fora da União Europeia. Os modelos de IA utilizados podem ser selecionados, inclusive entre soluções europeias.