ISO 37301 sem teatro: o programa que sobrevive à segunda-feira

Existe uma diferença grande entre ter um programa de compliance e conseguir demonstrar que ele funciona. A primeira coisa se resolve com documentos. A segunda, só com rastro — e é a segunda que aparece quando há um problema.

O que a ISO 37301 é e o que ela não é

Publicada em 2021, a ISO 37301 é uma norma certificável de sistema de gestão de compliance. Substituiu a ISO 19600, que era apenas orientativa. Certificável significa que um organismo acreditado pode auditar e atestar conformidade — e significa também que a norma cobra aquilo que auditoria consegue verificar: contexto, liderança, planejamento, suporte, operação, avaliação de desempenho e melhoria.

O que ela não é: garantia de que ninguém vai cometer um ilícito, nem substituto dos parâmetros que a autoridade brasileira usa para avaliar um programa de integridade. Certificação e avaliação regulatória respondem a perguntas diferentes.

Os parâmetros que valem no Brasil

Para efeito da Lei 12.846/2013, quem define como o programa será avaliado é o Decreto 11.129/2022. Ele lista, entre outros, comprometimento da alta direção, padrões de conduta aplicáveis a terceiros, treinamentos periódicos, análise de riscos, registros contábeis fiéis, controles internos, procedimentos de investigação, canal de denúncias com proteção ao denunciante, medidas disciplinares e due diligence para contratações e para operações societárias.

Repare no verbo que se repete no decreto: o programa deve ser aplicado e monitorado — e sua existência formal, isoladamente, não produz efeito atenuante.

A trilha de evidências, controle por controle

Para cada elemento do programa, defina antecipadamente qual artefato prova que ele operou. Um recorte do que costuma funcionar:

• Comprometimento da alta direção: atas de comitê com deliberação sobre compliance, não apenas apresentação recebida; orçamento aprovado da área; comunicação assinada com data.
• Avaliação de riscos: metodologia escrita, lista de riscos com dono nominal, data da última revisão e evidência do que mudou desde a anterior.
• Treinamento: lista de presença ou log da plataforma, conteúdo aplicado, taxa de conclusão por área e teste de compreensão — com plano para quem não concluiu.
• Terceiros: due diligence proporcional ao risco, cláusulas contratuais anticorrupção, e registro das exceções aprovadas e por quem.
• Canal de denúncias: estatísticas por categoria, tempo médio de tratamento, taxa de anonimato e casos que resultaram em medida disciplinar.
• Medidas disciplinares: aplicação consistente em todos os níveis hierárquicos — este é o item que a autoridade mais costuma testar.

Sequência de implantação que evita retrabalho

1. Contexto e obrigações (mês 1–2). Levantar o que a organização é obrigada a cumprir: leis, contratos, licenças, compromissos voluntários. Sem esse inventário, todo o resto é chute.
2. Riscos de compliance (mês 2–3). Avaliar por processo e por relacionamento, não por departamento. Interação com poder público, intermediários e patrocínios costumam concentrar exposição.
3. Governança e papéis (mês 3). Definir a quem a função de compliance reporta, com que autonomia e com que acesso ao conselho.
4. Políticas e controles (mês 4–7). Escrever com quem executa. Política que a área não reconhece vira letra morta na primeira pressão de prazo.
5. Operação assistida (mês 7–10). Rodar o ciclo completo pelo menos uma vez com acompanhamento: um caso no canal, uma due diligence, um treinamento, um reporte ao comitê.
6. Avaliação e ajuste (mês 10–12). Auditoria interna ou avaliação independente, plano de ação e revisão pela direção — que a norma chama de análise crítica.

Quando a certificação faz sentido

Ela ajuda quando há exigência de mercado (licitações, cadeias de fornecimento internacionais), quando a organização precisa de disciplina externa para manter o ritmo, ou quando existe histórico a reconstruir. Não ajuda quando o objetivo é o selo: certificado obtido com evidência montada às vésperas da auditoria cria uma falsa sensação de proteção, e é justamente o tipo de documento que envelhece mal em uma investigação.