Maturidade ISO 19600 · Sistemas de gestão da conformidade (conformidade empresarial)

A ISO 19600 estabeleceu, em 2014, o enquadramento de um sistema de gestão da conformidade aplicável a qualquer organização, independentemente da dimensão e do setor. Exige a identificação das obrigações de conformidade (leis, regulamentos, compromissos contratuais, códigos voluntários), a apreciação dos riscos, a definição de uma política e de responsabilidades, a implementação de controlos, formação e um dispositivo de comunicação de irregularidades, e por fim a medição do desempenho do dispositivo. A sua arquitetura segue a estrutura comum das normas de gestão, o que permite articulá-la com a ISO 9001, a ISO 37001 ou a ISO 31000.

Na prática, este dispositivo é difícil de gerir porque está distribuído. O mapeamento das obrigações raramente é mantido por uma única direção: o jurídico acompanha a regulamentação, as áreas de negócio acompanham os seus próprios compromissos, as filiais aplicam regras locais. Três questões surgem sistematicamente. Quem mantém o inventário das obrigações, e com que frequência? Os controlos de segundo nível cobrem os processos realmente expostos, ou apenas aqueles que já se sabe controlar? As comunicações de irregularidades chegam a um nível capaz de decidir, ou ficam pelo responsável local?

O ponto de contexto mais frequentemente mal compreendido diz respeito à mudança de estatuto da norma. A ISO 19600 era um guia de recomendações, não certificável. A ISO 37301, publicada em 2021, substitui-a e transforma essas recomendações em requisitos auditáveis por um organismo acreditado. Muitas organizações construíram o seu dispositivo sobre a versão de 2014 e continuam a citá-la, sem terem verificado o desvio em relação aos requisitos de 2021. A diretiva europeia sobre a proteção dos denunciantes, transposta para o direito nacional, tornou ainda oponível uma parte do que a norma tratava como boa prática.

Uma auditoria de conformidade termina com uma constatação binária: o requisito está satisfeito ou não está. O diagnóstico de maturidade coloca uma questão diferente: em que nível de controlo se situa cada componente do dispositivo, e que ação concreta permite passar ao nível seguinte. Uma organização pode ter uma política de conformidade assinada e permanecer no nível 2 se ninguém a aplicar fora da sede. A escala torna este desvio visível e quantifica-o.

No Datamensio, o referencial está pronto a usar e é modificável. A IA ajusta os domínios, reformula as perguntas com o vocabulário do seu setor e ajusta os níveis segundo o método CMMI. Pode também construir uma variante a partir do seu código de conduta, do seu mapeamento das obrigações ou dos seus procedimentos de controlo interno existentes.