Queria comentar hoje aqui sobre a ISO 37301, que é uma norma internacional que estabelece requisitos para a implementação e operação de um sistema de gestão de compliance, e foi originalmente publicada em 2021 pela International Organization for Standardization (ISO), oferecendo as diretrizes para instituições que desejam estabelecer, desenvolver, implementar, avaliar, manter e melhorar um sistema de gestão de compliance eficaz, que foi uma atualização de outra norma sobre o tema de 2014: ISO 19600.
Mas o que é um sistema de compliance eficaz?
Apenas é uma estrutura organizacional que ajuda as empresas a cumprir as leis, regulamentos, padrões e políticas éticas aplicáveis, em que esta norma estabelece alguns requisitos para a implementação e operação de um sistema de gestão de compliance eficaz, destacando os seguintes elementos:
1) Política e Procedimentos de Compliance:
A ISO 37301 requer que as organizações estabeleçam, implementem e mantenham uma política de compliance que seja apropriada ao propósito da organização e forneça um marco para a definição de objetivos de compliance. A política de compliance deve ser apoiada por procedimentos detalhados que orientem o comportamento em conformidade com as leis, regulamentos e políticas internas.
2) Compromisso da Alta Direção:
A norma enfatiza a importância do envolvimento e comprometimento da alta direção na gestão de compliance. A alta direção deve demonstrar liderança e compromisso com relação ao sistema de gestão de compliance, estabelecendo e comunicando a política de compliance e assegurando que o sistema de gestão de compliance alcance seus resultados pretendidos.
3) Treinamento e Conscientização de Compliance:
A ISO 37301 requer que as organizações garantam que todos na organização estejam cientes da política de compliance e entendam a importância do cumprimento dos requisitos de compliance. Isso pode envolver treinamento regular e outras atividades de conscientização.
4) Comunicação e Consulta:
A norma requer que as organizações estabeleçam, implementem e mantenham processos para comunicação interna e externa relevante ao sistema de gestão de compliance. Isso inclui a comunicação de informações sobre a política de compliance, bem como a comunicação de preocupações ou violações de compliance.
4) Avaliação de Risco de Compliance:
A ISO 37301 enfatiza a importância de uma abordagem baseada em risco para a gestão de compliance. As organizações são encorajadas a identificar e avaliar os riscos de compliance, e a implementar controles para gerenciar esses riscos.
5) Monitoramento, Medição, Análise e Avaliação:
A norma requer que as organizações monitorizem, meçam, analisem e avaliem o desempenho de seu sistema de gestão de compliance. Isso deve incluir auditorias internas e revisões regulares do sistema pela alta direção.
6) Melhoria Contínua:
A ISO 37301 incentiva as organizações a buscar continuamente a melhoria do desempenho de seu sistema de gestão de compliance. Isso pode envolver a correção de não conformidades, a realização de ações corretivas e a revisão e atualização da política e objetivos de compliance.
Agora falando da diferença entre a ISO 19600 e a ISO 37301 são ambas normas internacionais que fornecem diretrizes para a gestão de compliance nas organizações. No entanto, elas diferem de várias maneiras importantes.
1) ISO 19600
A ISO 19600:2014 é uma norma que fornece diretrizes para estabelecer, desenvolver, implementar, avaliar, manter e melhorar um sistema de gestão de compliance. Ela é baseada em princípios de boa governança, proporcionalidade, transparência e sustentabilidade. No entanto, a ISO 19600 é uma norma de diretrizes, o que significa que ela fornece orientações, mas não é destinada a certificação.
2) ISO 37301
A ISO 37301:2021, por outro lado, é uma norma que estabelece requisitos para um sistema de gestão de compliance. Ela é baseada na ISO 19600, mas foi desenvolvida para ser uma norma de requisitos que pode ser usada para certificação, acreditação ou fins contratuais. A ISO 37301 tem uma estrutura de alto nível, o que a torna compatível com outras normas de sistemas de gestão, como ISO 9001 e ISO 14001.
3) Diferenças Principais entre elas
1) Certificação:
A principal diferença entre a ISO 19600 e a ISO 37301 é que a ISO 19600 é uma norma de diretrizes, enquanto a ISO 37301 é uma norma de requisitos. Isso significa que as organizações podem ser certificadas de acordo com a ISO 37301, mas não de acordo com a ISO 19600.
2) Estrutura:
A ISO 37301 adota a estrutura de alto nível da ISO, tornando-a compatível com outras normas de sistemas de gestão. A ISO 19600, por outro lado, não segue essa estrutura.
3) Enfoque:
Enquanto a ISO 19600 se concentra em fornecer orientações para a gestão de compliance, a ISO 37301 estabelece requisitos específicos que as organizações devem cumprir. Isso torna a ISO 37301 mais prescritiva e rigorosa em comparação com a ISO 19600.
Ou seja, enquanto a ISO 19600 fornece orientações úteis para a gestão de compliance, a ISO 37301 vai um passo além e estabelece requisitos específicos para um sistema de gestão de compliance, permitindo que as organizações sejam certificadas de acordo com a norma.
A ISO 37301 estabelece uma estrutura para um sistema de gestão de compliance, identificando vários elementos-chave que são necessários para a implementação e operação eficaz desse sistema. Estes elementos incluem:
1) Contexto da Organização:
A organização deve entender o contexto externo e interno em que opera, incluindo questões legais, regulatórias, tecnológicas, competitivas, culturais e econômicas que podem afetar seu sistema de gestão de compliance.
2) Liderança:
A alta direção deve demonstrar liderança e compromisso com o sistema de gestão de compliance, estabelecendo uma política de compliance, assegurando que os recursos necessários estão disponíveis e promovendo uma cultura de compliance dentro da organização.
3) Planejamento:
A organização deve estabelecer objetivos de compliance que são consistentes com sua política de compliance, e planejar ações para alcançar esses objetivos.
4) Suporte:
A organização deve fornecer os recursos necessários para o sistema de gestão de compliance, incluindo pessoal, infraestrutura, ambiente de trabalho, recursos naturais e recursos financeiros.
5) Operação:
A organização deve implementar os planos e processos necessários para alcançar seus objetivos de compliance. Isso inclui a identificação e avaliação de riscos de compliance, a implementação de controles para gerenciar esses riscos, e o estabelecimento de processos para responder a incidentes de não conformidade.
6) Avaliação de Desempenho:
A organização deve monitorar, medir, analisar e avaliar o desempenho de seu sistema de gestão de compliance. Isso deve incluir auditorias internas e revisões regulares do sistema pela alta direção.
7) Melhoria:
A organização deve buscar continuamente a melhoria do desempenho de seu sistema de gestão de compliance. Isso pode envolver a correção de não conformidades, a realização de ações corretivas e a revisão e atualização da política e objetivos de compliance.
Mas voltando à 37301, o compliance, ou conformidade, refere-se ao ato de garantir que uma organização esteja em conformidade com as leis e regulamentos aplicáveis, bem como com as políticas internas, e a ISO 37301 surge para auxiliar as organizações a identificar e tratar os riscos associados à não conformidade, proporcionando maior confiança aos stakeholders.
A) Principais Pontos da ISO 37301
1) Abordagem Baseada em Risco
Uma das principais, na minha opinião, é adotar a chamada abordagem baseada em risco para a gestão de compliance, o que significa que a norma incentiva as organizações a identificar e avaliar os riscos de compliance e a implementar controles adequados para gerenciar esses riscos. Essa abordagem permite que as organizações direcionem seus recursos para as áreas de maior risco, aumentando assim a eficácia e a eficiência do sistema de gestão de compliance.
2) Integração com Outros Sistemas de Gestão
A norma é baseada na estrutura de alto nível (High Level Structure, HLS) da ISO, o que a torna compatível com outras normas de sistemas de gestão, como ISO 9001, ISO 14001 e ISO 45001. Isso permite que as organizações integrem facilmente o sistema de gestão de compliance com outros sistemas de gestão já implementados, facilitando a eficiência operacional e a consistência em toda a organização.
3) Alinhamento com a Alta Direção
A ISO 37301 enfatiza a importância do envolvimento e comprometimento da alta direção na gestão de compliance. A norma requer que a alta direção estabeleça, implemente e mantenha uma política de compliance e assegure que o sistema de gestão de compliance alcance seus resultados pretendidos.
4) Enfoque no Desempenho
A norma encoraja as organizações a melhorar continuamente o desempenho de seus sistemas de gestão de compliance, através da avaliação regular do sistema e da implementação de ações corretivas quando necessário.
5) Cultura de Compliance
Um dos elementos fundamentais da ISO 37301 é a criação e manutenção de uma cultura de compliance dentro da organização. Isso envolve não apenas o cumprimento das leis e regulamentos aplicáveis, mas também a promoção de um ambiente de trabalho ético e responsável.
B) Benefícios da ISO 37301
A implementação da ISO 37301 pode trazer vários benefícios para as organizações, tais como:
1) Redução de Riscos
Ao identificar e gerenciar proativamente os riscos de compliance, as organizações podem reduzir a probabilidade de violações legais e regulatórias, o que pode resultar em multas, penalidades e danos à reputação.
2) Melhoria na Eficiência Operacional
A implementação de um sistema de gestão de compliance pode ajudar a melhorar a eficiência operacional, ao estabelecer processos claros e eficazes para a gestão de compliance.
3) Aumento da Confiança dos Stakeholders
Demonstrar conformidade com a ISO 37301 pode aumentar a confiança dos stakeholders, incluindo clientes, fornecedores, investidores e reguladores, pois indica que a organização está comprometida com a conformidade legal e regulatória.
4) Vantagem Competitiva
A conformidade com a ISO 37301 pode fornecer uma vantagem competitiva, pois demonstra à indústria e ao mercado que a organização opera de maneira ética e responsável.
C) Implementação da ISO 37301
A implementação da ISO 37301 geralmente envolve várias etapas, incluindo:
1) Compromisso da Alta Direção
A alta direção deve demonstrar seu compromisso com a implementação do sistema de gestão de compliance, estabelecendo uma política de compliance e assegurando que os recursos necessários estão disponíveis.
2) Identificação e Avaliação de Riscos de Compliance
A organização deve identificar e avaliar os riscos de compliance, considerando as leis e regulamentos aplicáveis, bem como suas próprias políticas internas.
3) Implementação de Controles
Com base na avaliação de riscos, a organização deve implementar controles adequados para gerenciar os riscos de compliance.
4) Monitoramento e Revisão
A organização deve monitorar e revisar regularmente o desempenho do sistema de gestão de compliance, para garantir que ele esteja funcionando conforme o esperado.
5) Melhoria Contínua
A organização deve buscar continuamente melhorar o desempenho do sistema de gestão de compliance, através da implementação de ações corretivas quando necessário.
A ISO 37301 é uma norma valiosa para organizações de todos os tipos e tamanhos, pois ajuda a garantir que a organização esteja em conformidade com as leis e regulamentos aplicáveis e promove uma cultura de ética e responsabilidade.
A certificação na ISO 37301 envolve um processo estruturado que é conduzido por um organismo de certificação independente. Aqui estão os passos gerais que uma organização deve seguir para obter a certificação:
1) Compreender a Norma
O primeiro passo é entender completamente a norma ISO 37301, seus requisitos e como eles se aplicam à sua organização. Isso pode envolver a leitura da norma, a participação em treinamentos ou a consulta a especialistas em compliance.
2) Avaliação Interna
Realize uma avaliação interna do seu sistema de gestão de compliance atual para identificar lacunas em relação aos requisitos da ISO 37301. Isso ajudará a identificar áreas que precisam de melhoria antes de prosseguir para a próxima etapa.
3) Implementação
Implemente os requisitos da norma na sua organização. Isso pode envolver a criação ou atualização de políticas e procedimentos, a formação e sensibilização dos colaboradores, a implementação de controles de gestão de riscos de compliance e a criação de processos de monitoramento e melhoria contínua.
4) Auditoria Interna
Realize uma auditoria interna do seu sistema de gestão de compliance para verificar a conformidade com a ISO 37301. Qualquer não conformidade identificada durante a auditoria interna deve ser corrigida antes de prosseguir para a próxima etapa.
5) Seleção de um Organismo de Certificação
Escolha um organismo de certificação credenciado para conduzir a auditoria de certificação. O organismo de certificação deve ser reconhecido e ter experiência em sistemas de gestão de compliance.
6) Auditoria de Certificação
O organismo de certificação realizará uma auditoria de certificação para verificar se o seu sistema de gestão de compliance cumpre os requisitos da ISO 37301. A auditoria de certificação geralmente envolve uma revisão de documentos, entrevistas com o pessoal e observação direta dos processos em funcionamento.
7) Certificação e Manutenção
Se a auditoria de certificação for bem-sucedida, você receberá um certificado da ISO 37301. Para manter a certificação, você precisará realizar auditorias de acompanhamento regularmente (geralmente anualmente) e uma recertificação a cada três anos.
Lembre-se, a implementação e certificação da ISO 37301 é um compromisso significativo que requer recursos, tempo e esforço. No entanto, os benefícios de um sistema de gestão de compliance eficaz podem ser significativos, incluindo melhor gestão de riscos, conformidade regulatória aprimorada e melhor reputação entre os stakeholders.
Podem acessar o documento completo (em inglês) no seguinte link:
https://www.iso.org/obp/ui/#iso:std:iso:37301:dis:ed-1:v1:en
Indexação documental: Okai.
