Maturidade ISO 37001 · Sistemas de gestão anticorrupção

A ISO 37001 é uma norma de sistema de gestão certificável, publicada em 2016, dedicada à prevenção, deteção e tratamento da corrupção. Cobre a corrupção ativa e passiva, direta e indireta, incluindo a cometida por parceiros comerciais em nome da organização. Impõe uma base precisa : política anticorrupção aprovada pelo órgão de governação, função de conformidade anticorrupção dotada de autoridade e independência, avaliação de riscos de corrupção documentada, diligência devida proporcional sobre terceiros, controlos financeiros e não financeiros, formação, procedimento de denúncia e de investigação, revisão pela direção.

Na prática, o dispositivo é difícil de gerir porque as suas componentes vivem em direções diferentes. O mapeamento dos riscos de corrupção pertence à conformidade, os controlos às finanças, a diligência devida às compras, a formação aos recursos humanos. Três questões surgem sistematicamente. O mapeamento é realmente utilizado para calibrar os controlos, ou continua a ser um documento anual ? A diligência devida sobre terceiros é proporcional ao risco, ou aplicada de forma uniforme por falta de critérios ? As denúncias são tratadas de forma rastreável, com uma decisão e uma resposta, ou ficam presas na caixa de entrada ?

Em França, a ISO 37001 cruza-se com a lei Sapin II, cujo artigo 17 enumera oito pilares, e com as recomendações da Agência Francesa Anticorrupção. Os dois quadros sobrepõem-se largamente mas não coincidem : a Sapin II é vinculativa e fiscalizada pela AFA, a ISO 37001 é voluntária e certificável por um organismo acreditado. Uma confusão frequente consiste em pensar que a certificação ISO 37001 equivale a uma presunção de conformidade com a Sapin II. Não equivale. Constitui um elemento de organização e de prova, útil mas distinto.

O diagnóstico de maturidade responde a uma questão diferente da auditoria de certificação. A auditoria verifica a presença e a eficácia dos requisitos e conclui com uma conformidade ou um desvio. O diagnóstico situa cada prática numa escala progressiva e indica a ação precisa que permite passar ao nível seguinte. Realiza-se a montante, sem enjeu de veredito, e produz uma trajetória em vez de uma constatação. No Datamensio, o desvio entre a pontuação e o objetivo gera diretamente o plano de ação, que a IA agrupa num roteiro priorizado.

O referencial está pronto a usar e é adaptável. A equipa altera os domínios, as perguntas e os níveis, ou pede à IA que construa uma versão derivada a partir do seu código de conduta, do seu mapeamento de riscos e dos seus procedimentos existentes. As entidades de um mesmo grupo podem ser avaliadas na mesma grelha e depois comparadas entre si e ao longo do tempo.