Quando uma organização recebe a exigência de “ter um programa de integridade”, costuma reagir de uma de duas maneiras. Ou escreve um código de ética, publica na intranet e dá o assunto por encerrado. Ou inicia dois projetos em paralelo —um antissuborno, outro de compliance geral— com dois responsáveis, dois comitês e dois conjuntos de documentação que ninguém consegue manter.
As duas reações têm a mesma origem: não está claro o que cada norma resolve nem onde elas se sobrepõem.
O que cada uma resolve
A ISO 37001 aborda um risco específico: o suborno. É deliberadamente estreita e por isso é exigente. Pede identificar onde a organização está exposta —contratação pública, intermediários comerciais, licitações, esquemas de comissões, geografias de maior risco— e responder com controles concretos: due diligence de terceiros, controles financeiros e não financeiros, política de brindes e hospitalidades, canal de denúncias com proteção real ao denunciante e um protocolo de investigação.
A ISO 37301 aborda a conformidade em geral. Seu objeto não é um risco, e sim um universo: todas as obrigações que se aplicam à organização, sejam legais, regulatórias, contratuais ou compromissos voluntários assumidos. Seu entregável central é o mapa de obrigações e, com ele, a possibilidade de responder a uma pergunta que muitas direções não conseguem responder hoje: o que temos que cumprir, quem responde por cada coisa e como sabemos disso?
Em resumo: a 37001 é profundidade sobre um risco; a 37301 é amplitude sobre um universo.
O que compartilham (que é muito)
Ambas as normas seguem a estrutura de alto nível da ISO. Isso significa que os componentes a seguir são um só, e não dois:
| Componente | Compartilhado |
|---|---|
| Contexto da organização e partes interessadas | Sim |
| Liderança e comprometimento do órgão de governança | Sim |
| Função de compliance com autoridade e independência | Sim |
| Metodologia de avaliação de riscos | Sim, com critérios distintos |
| Competência, formação e tomada de consciência | Sim, com conteúdos distintos |
| Canal de denúncias e investigação | Sim |
| Informação documentada e controle documental | Sim |
| Auditoria interna | Sim, com critérios distintos |
| Análise crítica pela direção | Sim |
| Gestão de descumprimentos e melhoria contínua | Sim |
O que efetivamente se separa é mais restrito do que parece: a avaliação de riscos de suborno tem metodologia própria e granularidade maior —avalia-se por processo e por contraparte, não apenas por área— e a due diligence de terceiros com enfoque antissuborno é um procedimento específico que a ISO 37301 não exige nesse nível de detalhe.
A ordem importa, e depende de por que se começa
Quase ninguém implanta as duas normas ao mesmo tempo do zero. A ordem é definida pela razão de começar.
Se o gatilho é uma exigência concreta —uma licitação que pede, uma matriz que impõe, um financiamento internacional que condiciona—, comece pela ISO 37001. É mais restrita, implanta-se mais rápido e responde exatamente ao que está sendo pedido. Ampliar depois para a 37301 reaproveitando a estrutura tem custo incremental muito menor que o projeto inicial.
Se o gatilho é de gestão —a direção não tem visibilidade das suas obrigações, houve um susto regulatório, está prestes a entrar em um setor regulado—, comece pelo mapa de obrigações da ISO 37301. É o entregável que mais valor gera de forma imediata, mesmo antes de existir um sistema de gestão em torno dele.
Esse mapa costuma ser revelador. É habitual que seja a primeira vez que a organização vê consolidado em um só lugar tudo o que deve cumprir, e que apareçam obrigações com dono ambíguo: quem responde efetivamente pela legislação de dados pessoais, quem pelas obrigações trabalhistas dos terceirizados, quem pelas cláusulas de conformidade assinadas com um cliente há dois anos.
Três erros que vemos com frequência
Confundir o código de ética com o sistema. O código declara o que se espera. O sistema é o que faz isso acontecer: riscos identificados, controles atribuídos a pessoas concretas, evidência que se gera sozinha na operação e alguém que revisa. Um código sem sistema é uma declaração de intenções com timbre.
Colocar a função de compliance para reportar a quem deveria controlar. Se o responsável por compliance reporta à gerência comercial ou à diretoria financeira, o conflito de interesse está embutido no desenho. A norma exige autoridade, independência e acesso direto ao órgão de governança. Não exige dedicação integral —em organizações de porte médio resolve-se bem com dedicação parcial—, mas exige essa linha de reporte.
Um canal de denúncias que ninguém usa. Um formulário na intranet que chega à caixa de Recursos Humanos não é um canal de denúncias: é uma caixa de sugestões com outro nome. Sem anonimato possível, sem operação independente e sem uma política de não retaliação comunicada a sério, o canal existe formalmente e não funciona na prática. A ausência total de denúncias em um canal novo raramente significa que não há nada a denunciar.
E a segurança da informação, onde entra?
Entra em três pontos, e convém prevê-los desde o desenho.
A proteção de dados pessoais é mais uma obrigação dentro do mapa da 37301, mas seus controles vivem no sistema de segurança da informação. Se existe um SGSI ISO/IEC 27001, o sistema de compliance não reimplanta esses controles: faz referência a eles.
O canal de denúncias lida com informação extremamente sensível: identidade do denunciante, imputações sobre pessoas identificadas, evidência de investigações em curso. Seu tratamento —controle de acesso, criptografia, retenção, segregação— é um problema de segurança da informação, não de compliance.
A evidência de conformidade precisa ser íntegra e rastreável para ter valor perante um auditor ou um regulador. Registros que qualquer um pode editar sem deixar rastro não provam nada. Nos projetos que acompanhamos, essa integridade é resolvida com controle documental com versionamento e hash no SORT Redmine, a mesma plataforma que sustenta o SGSI.
É a razão pela qual sustentamos que integridade, conformidade e segurança da informação não são três projetos: são três visões de um mesmo sistema de gestão.
Precisa organizar o marco de integridade da sua organização? Conheça nossos serviços de ISO 37001 e ISO 37301.