Fase 1
Mapa de obrigações
Identificamos e classificamos as obrigações aplicáveis: legislação nacional e setorial, requisitos de reguladores, obrigações contratuais e compromissos voluntários assumidos.
Compliance e integridade
Sistema de gestão de compliance ISO 37301
Cumprir não é assinar uma declaração: é saber quais obrigações se aplicam, quem responde por cada uma, como são controladas e qual evidência fica registrada. A ISO 37301 transforma isso em um sistema auditável.
- Duração típica
- 6 a 12 meses
- Modalidade
- Mista — in loco e remota
- Apoio
- SORT Redmine incluído
- Integrável com
- ISO 37001 e ISO/IEC 27001
Objetivo e escopo
Construímos o mapa de obrigações de conformidade —legais, regulatórias, contratuais e voluntárias—, avaliamos os riscos associados a cada uma, definimos controles e responsáveis, e estabelecemos o ciclo de monitoramento, reporte e melhoria. O resultado é que a direção consegue responder, com evidência, quais obrigações a organização tem e como as está gerindo.
As fases do projeto
Fase 2
Riscos de conformidade
Avaliamos probabilidade e consequência do descumprimento de cada obrigação, considerando sanções, impacto reputacional e continuidade do negócio.
Fase 3
Controles e responsáveis
Atribuímos proprietário e controle a cada obrigação relevante, e documentamos a evidência que deve ser gerada em cada caso.
Fase 4
Monitoramento, reporte e auditoria
Estabelecemos indicadores, o ciclo de reporte ao órgão de governança, a auditoria interna e o tratamento de descumprimentos.
O que inclui a implantação
- Mapa de obrigações de conformidade
- Política de compliance
- Função de compliance e governança
- Avaliação de riscos de conformidade
- Matriz de controles e responsáveis
- Código de conduta
- Canal de denúncias e investigação
- Indicadores e reporte à direção
- Gestão de descumprimentos e melhoria
- Capacitação por papel
Perguntas frequentes
Por onde convém começar?
Pelo mapa de obrigações. É o entregável que gera mais valor de forma imediata e, em muitas organizações, a primeira vez que tudo o que precisa ser cumprido aparece consolidado em um só lugar.
Como se relaciona com a proteção de dados pessoais?
A legislação de proteção de dados —a LGPD no Brasil, a Lei 18.331 no Uruguai— entra no mapa como qualquer outra obrigação. O sistema de compliance a gere como as demais, apoiando-se nos controles do SGSI quando ele existe.
Serve se já temos a ISO 37001?
Sim, e o esforço incremental é menor. Compartilham estrutura, função de compliance, canal de denúncias e auditoria interna; o que se acrescenta é a amplitude do universo de obrigações.