Maturidade ISO 37001 · Sistemas de gestão antissuborno

A ISO 37001 é uma norma de sistema de gestão certificável, publicada em 2016, dedicada à prevenção, detecção e tratamento da corrupção. Ela abrange a corrupção ativa e passiva, direta e indireta, inclusive a cometida por parceiros comerciais em nome da organização. Ela impõe uma base precisa: política antissuborno aprovada pelo órgão de governança, função de compliance anticorrupção dotada de autoridade e independência, avaliação de riscos de corrupção documentada, due diligence proporcional sobre terceiros, controles financeiros e não financeiros, treinamento, procedimento de denúncia e investigação, análise crítica pela direção.

Na prática, o dispositivo é difícil de gerenciar porque seus componentes vivem em diretorias diferentes. O mapeamento dos riscos de corrupção pertence ao compliance, os controles às finanças, a due diligence às compras, o treinamento aos recursos humanos. Três perguntas voltam sistematicamente. O mapeamento é realmente usado para calibrar os controles, ou permanece um documento anual? A due diligence sobre terceiros é proporcional ao risco, ou aplicada de maneira uniforme por falta de critérios? As denúncias recebem um tratamento rastreável, com decisão e retorno, ou ficam paradas na caixa de entrada?

No contexto europeu, a ISO 37001 cruza com leis nacionais de combate à corrupção, como a lei francesa Sapin II, cujo artigo 17 enumera oito pilares, e com recomendações de agências nacionais de prevenção à corrupção. Para empresas brasileiras que exportam ou operam com parceiros europeus, isso significa que a certificação ISO 37001 pode ser exigida como prova de conformidade para acessar esses mercados, embora os dois quadros se sobreponham amplamente sem se equivaler totalmente. Um erro frequente é acreditar que a certificação ISO 37001 equivale automaticamente à conformidade com exigências legais locais, como a Sapin II. Ela não equivale. Constitui um elemento de organização e de prova, útil mas distinto.

O diagnóstico de maturidade responde a uma pergunta diferente da auditoria de certificação. A auditoria verifica a presença e a eficácia dos requisitos, e conclui por uma conformidade ou uma não conformidade. O diagnóstico situa cada prática em uma escala progressiva e indica a ação precisa que leva ao próximo nível. Ele é conduzido antes, sem viés de veredito, e produz uma trajetória em vez de um simples constatação. No Datamensio, a lacuna entre a pontuação e a meta gera diretamente o plano de ação, que a IA agrupa em um roteiro priorizado.

O referencial está pronto para uso e é adaptável. Você modifica os temas, as perguntas e os níveis, ou pede à IA que construa uma versão a partir do seu código de conduta, do seu mapeamento de riscos e dos seus procedimentos existentes. As unidades de um mesmo grupo podem ser avaliadas na mesma grade, e depois comparadas entre si e ao longo do tempo.