ISO 37001: o que é, requisitos e como certificar o Sistema de Gestão Antissuborno

A ISO 37001 é a norma internacional que define os requisitos de um Sistema de Gestão Antissuborno — e é certificável. Ou seja: não é um guia de boas intenções, é um conjunto de exigências auditáveis que um organismo de certificação acreditado vem verificar na sua empresa, com evidência na mesa.

Ela existe porque quase toda empresa tem alguma política de ética no papel, e quase nenhuma consegue provar que ela funciona. A ISO 37001 troca o discurso pela evidência: risco mapeado, controle implementado, registro do que foi feito.

Este guia cobre o que a norma exige, o que mudou na edição de 2025, o prazo de transição que já está correndo e como a certificação acontece na prática.

O que é a ISO 37001

A ISO 37001 — Sistemas de gestão antissuborno: requisitos com orientações para uso — foi publicada pela ISO (International Organization for Standardization) em 2016 e revisada em 2025. No Brasil ela é adotada pela ABNT como ABNT NBR ISO 37001:2025, que substituiu a ABNT NBR ISO 37001:2017.

Como toda norma de sistema de gestão da ISO, ela segue a estrutura harmonizada (a antiga "estrutura de alto nível", Anexo SL): as cláusulas 4 a 10 têm os mesmos títulos da ISO 9001, da ISO 14001, da ISO 45001 e da ISO 27001. Isso é o que permite implantar um sistema integrado em vez de quatro sistemas paralelos com quatro conjuntos de documentos.

O que a ISO 37001 entende por suborno

A definição da norma é mais larga do que a intuição sugere. Suborno é a oferta, promessa, doação, aceitação ou solicitação de vantagem indevida de qualquer valor — financeira ou não financeira, direta ou indireta, independentemente do local — em violação à lei aplicável, como incentivo ou recompensa para que alguém aja ou deixe de agir no exercício das suas obrigações.

Três consequências práticas dessa definição:

• Não precisa ter dinheiro envolvido. Emprego para um parente, uma diária de hotel, um ingresso, uma "consultoria" que não gera entrega — tudo cabe em "vantagem de qualquer valor".
• Não precisa envolver agente público. A norma cobre suborno no setor público e no privado, nas duas direções: a empresa que oferece e o funcionário que aceita.
• Indireto conta. É por isso que a due diligence de terceiros é um dos requisitos mais cobrados: o representante comercial, o despachante e o intermediário são a rota clássica.

O que fica fora do escopo obrigatório: fraude, cartel e outras práticas anticoncorrenciais, lavagem de dinheiro, financiamento ao terrorismo. A norma diz explicitamente que a organização pode escolher ampliar o escopo do sistema para incluir esses temas — e muitas ampliam, porque os controles são os mesmos.

ISO 37001:2025: o que mudou e até quando migrar

A segunda edição da norma foi publicada em fevereiro de 2025 e cancela a de 2016. A revisão foi conservadora — o comitê técnico concluiu que não havia motivo para mudança estrutural —, mas há alterações que aparecem na auditoria:

• Mudanças climáticas nas cláusulas 4.1 e 4.2 — incorporação da emenda de 2024 que atingiu todas as normas de sistema de gestão: a organização precisa determinar se as mudanças climáticas são pertinentes ao seu contexto e às expectativas das partes interessadas.
• Cultura antissuborno com requisito próprio (5.1.3) — o que era espírito da norma virou item auditável, com ênfase no comprometimento da alta direção e do corpo diretivo.
• Planejamento de mudanças (6.3) — cláusula nova, alinhada às demais normas ISO.
• Conflito de interesses — tratamento formal, inclusive na conscientização do processo de emprego (7.2.2).
• Treinamento reorganizado (7.3) — com item específico para parceiros de negócio (7.3.3).
• Fusões e aquisições nos controles não financeiros (8.4) — reconhecendo o risco de herdar passivo de suborno numa aquisição.
• Alinhamento com a família 373xx — ISO 37301 (compliance), ISO 37002 (canal de denúncias) e ISO 37008 (investigações internas).
• Ordem invertida na cláusula 10: melhoria contínua passou a vir antes de não conformidade e ação corretiva.

O calendário de transição (IAF MD 30:2025)

O IAF publicou em outubro de 2025 as regras de transição, e o prazo é curto — dois anos em vez dos três habituais:

• 31 de agosto de 2026 — a partir daí, toda decisão de certificação e recertificação sai exclusivamente na versão 2025.
• 30 de janeiro de 2027 — data-limite para concluir as auditorias de transição.
• 28 de fevereiro de 2027 — todos os certificados na versão 2016 expiram ou são cancelados.

Quem está certificado na 2016 e não migrar até lá simplesmente perde o certificado. Quem está começando a implantação agora não tem escolha a fazer: implante direto na 2025.

Para quem a ISO 37001 serve

Para qualquer organização — pequena, média ou grande, pública ou privada, com ou sem fins lucrativos, de qualquer setor. A norma foi escrita para ser proporcional: os requisitos são os mesmos, mas o que é "razoável e proporcional" depende do porte, do setor e do risco de suborno a que a empresa está exposta.

Na prática, a demanda concentra-se em quem tem:

• contratos públicos ou intenção de disputar licitação;
• cadeia de intermediários — representantes, despachantes, distribuidores, agentes aduaneiros;
• operação internacional, sujeita a leis extraterritoriais como o FCPA americano e o UK Bribery Act;
• exigência de cliente ou matriz — cada vez mais comum na homologação de fornecedores de grandes grupos.

Como a norma se estrutura: as cláusulas 4 a 10

Um mapa rápido do que cada cláusula cobra:

• 4 — Contexto: entender a organização, as partes interessadas, definir o escopo e fazer a avaliação de risco de suborno, que é a fundação de tudo.
• 5 — Liderança: comprometimento da alta direção e do corpo diretivo, cultura antissuborno, política antissuborno e a designação da função de compliance antissuborno.
• 6 — Planejamento: ações para tratar riscos, objetivos antissuborno e planejamento de mudanças.
• 7 — Apoio: recursos, competência, processo de emprego, conscientização e treinamento, comunicação e informação documentada.
• 8 — Operação: o coração da norma — due diligence, controles financeiros e não financeiros, controles em controladas e parceiros de negócio, compromissos antissuborno, presentes e hospitalidade, levantamento de preocupações e investigação.
• 9 — Avaliação de desempenho: monitoramento, auditoria interna, análise pela direção e análise pela função de compliance antissuborno.
• 10 — Melhoria: melhoria contínua, não conformidade e ação corretiva.

Cada uma delas tem requisito específico e evidência esperada. Detalhamos item por item em Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas.

Os controles que mais aparecem na auditoria

A cláusula 8 é onde a implantação fica concreta — e onde as auditorias travam. Os cinco controles que mais geram achado:

Due diligence de terceiros (8.2)

Avaliar, antes de contratar e periodicamente depois, o risco de suborno associado a transações, projetos, parceiros de negócio e pessoal em posição sensível. A versão 2025 reforça a periodicidade da atualização: due diligence não é foto na entrada, é acompanhamento. Não basta ter a ficha preenchida — precisa haver decisão registrada sobre o que fazer quando o risco aparece alto. Veja os três níveis de due diligence, as fontes de consulta e os sinais de alerta.

Controles financeiros (8.3)

Segregação de funções, alçadas de aprovação, dupla assinatura, vedação a pagamento em espécie sem justificativa, exigência de documento fiscal, revisão de lançamentos atípicos. É o controle que impede que o dinheiro do suborno saia sem deixar rastro — a lista completa está em controles financeiros e não financeiros: os exemplos do Anexo A.

Controles não financeiros (8.4)

Os mesmos cuidados aplicados a compras, contratação, engenharia, jurídico e — novidade da 2025 — fusões e aquisições. Comprar uma empresa é herdar o passivo dela.

Presentes, hospitalidade, doações e benefícios similares (8.7)

A norma não proíbe presente, brinde, almoço ou patrocínio. Ela exige que exista regra clara sobre o que é aceitável, limite de valor, registro e aprovação, e que a regra seja seguida. É a área mais mal resolvida na maioria das empresas: ou não há regra, ou há uma regra que ninguém aplica. Como escrever uma que funcione: presentes, hospitalidade e doações na ISO 37001.

Levantamento de preocupações e investigação (8.9 e 8.10)

Um canal que permita reportar suspeita de suborno — inclusive de forma anônima —, com proteção contra retaliação, e um processo de investigação e tratamento do que for reportado. Canal sem processo de investigação atrás é vitrine: gera denúncia que morre na caixa de entrada e destrói a confiança do time no sistema. Detalhamos em canal de denúncia e investigação: as cláusulas 8.9 e 8.10.

Quer isso avaliado na sua empresa?

Diagnóstico gratuito: governança, controles antissuborno e as evidências que a auditoria pede.

Falar com a Olívia

Política antissuborno e função de compliance

Dois requisitos de liderança que a auditoria testa de perto. A política antissuborno precisa proibir o suborno, exigir o cumprimento da legislação aplicável, ser adequada ao risco da organização, encorajar o levantamento de preocupações de boa-fé, garantir proteção contra retaliação e ser comunicada a pessoal e parceiros de negócio.

A função de compliance antissuborno precisa ter competência, autoridade, recursos e — o ponto que mais reprova — independência, com acesso direto ao corpo diretivo. Nomear o diretor financeiro para supervisionar os controles financeiros antissuborno cria exatamente o conflito que a norma quer evitar.

O detalhamento de como escrever a política e o que a auditoria cobra está em Política antissuborno: o que precisa constar e o que a auditoria cobra.

ISO 37001, Lei Anticorrupção e licitações

No Brasil, a ISO 37001 tem um uso muito concreto: é a forma mais organizada de estruturar e comprovar o programa de integridade que a legislação cobra.

• A Lei 12.846/2013 (Lei Anticorrupção) e o Decreto 11.129/2022 tratam o programa de integridade como atenuante de sanção e critério em acordo de leniência — e o decreto detalha os parâmetros de avaliação da efetividade do programa, que se sobrepõem quase item a item aos requisitos da norma.
• A Lei 14.133/2021 (Lei de Licitações) exige programa de integridade em contratações de grande vulto (art. 25, §4º), usa-o como critério de desempate (art. 60, IV) e como condição de reabilitação de empresa sancionada (art. 163).
• O Decreto 12.304/2024 e a Portaria Normativa SE/CGU nº 226/2025 definiram a metodologia de avaliação desses programas — o que elevou a régua da evidência exigida.

A certificação ISO 37001 não substitui a avaliação da CGU nem garante enquadramento automático, mas quem já opera o sistema de gestão chega nessas exigências com o dever de casa feito. Aprofundamos em ISO 37001 e a Lei Anticorrupção: onde a norma atende ao programa de integridade.

ISO 37001 ou ISO 37301?

Confusão frequente, e a diferença é simples:

• ISO 37001 — sistema de gestão antissuborno. Escopo estreito e profundo: um risco só, com controles específicos.
• ISO 37301 — sistema de gestão de compliance. Escopo amplo: todas as obrigações de conformidade da empresa (trabalhista, ambiental, tributária, setorial, contratual), sem controle específico para nenhuma.

Quem tem risco de suborno concentrado — contrato público, intermediários, agente aduaneiro — começa pela 37001. Quem precisa organizar o guarda-chuva de obrigações legais começa pela 37301. As duas são certificáveis e compatíveis: a 37001 encaixa como o módulo antissuborno de um sistema de compliance mais largo. A comparação completa, cláusula por cláusula, está em ISO 37001 ou ISO 37301: as diferenças requisito por requisito.

O resto da família 373xx

Vale conhecer as normas vizinhas, todas de diretrizes e nenhuma certificável: a ISO 37002 aprofunda a gestão de denúncias, a ISO 37008 trata de investigações internas e a ISO 37000 cuida da governança de organizações. Elas não são exigidas pela ISO 37001 — servem como referência de boa prática exatamente nos pontos em que a norma é econômica.

Integração com as outras normas ISO

Se a sua empresa já é certificada em ISO 9001, ISO 14001, ISO 45001 ou ISO 27001, boa parte do esqueleto já existe: análise de contexto, partes interessadas, gestão de riscos, informação documentada, competência e treinamento, auditoria interna, análise pela direção, não conformidade e ação corretiva. O que a ISO 37001 acrescenta é o conteúdo antissuborno — a avaliação de risco de suborno, os controles da cláusula 8 e a função de compliance.

Na prática isso significa aproveitar o mesmo procedimento de auditoria interna, a mesma reunião de análise pela direção e o mesmo controle de documentos, com pauta ampliada. Implantar do zero, isolado, custa mais e entrega menos.

Como funciona a certificação

O caminho é o mesmo das outras normas ISO: implantação, auditoria interna, análise pela direção e auditoria de certificação em duas fases (fase 1, de análise da documentação e prontidão; fase 2, de verificação da implementação). O certificado vale três anos, com auditorias de manutenção anuais e recertificação no fim do ciclo.

Duas informações que costumam faltar em quem está pesquisando: quem emite o certificado é o organismo de certificação, não a consultoria — são papéis que não podem se misturar; e a auditoria é dimensionada por porte, número de sites e complexidade do escopo, o que faz o custo variar bastante entre empresas.

O passo a passo, os prazos realistas e o que compõe o custo estão em Certificação ISO 37001: etapas, prazo e custo.

O que a certificação não faz

Um ponto de honestidade que a própria norma registra: a conformidade com a ISO 37001 não é garantia de que nenhum suborno ocorreu ou vai ocorrer. Nenhum sistema de gestão elimina o risco de conduta individual desonesta.

O que ela entrega é outra coisa, e vale mais do que parece: capacidade demonstrável de prevenir, detectar e responder. Quando um caso acontece, a diferença entre a empresa que tem sistema e a que não tem aparece na hora — uma detecta rápido, investiga, corrige e comprova que agiu; a outra descobre pela imprensa e não tem nada para mostrar.

Os erros que mais reprovam na auditoria

• Avaliação de risco genérica. Matriz copiada de modelo, sem relação com os processos reais da empresa. Se a avaliação não aponta o setor de compras, o representante comercial e o despachante, ela não foi feita.
• Função de compliance sem independência. Acumulada por quem opera o processo que ela deveria fiscalizar, ou sem acesso ao corpo diretivo.
• Canal de denúncia sem processo atrás. Formulário no site, ninguém responsável pela triagem, nenhum registro de tratamento.
• Regra de presentes e hospitalidade que ninguém segue. Limite de valor no papel e nota de restaurante acima do limite aprovada sem ressalva.
• Due diligence só na entrada. Ficha de 2019 e contrato renovado três vezes desde então.
• Treinamento sem alcance. Só o time de compliance treinado, enquanto a norma pede conscientização proporcional ao risco — inclusive para parceiros de negócio, o que a versão 2025 explicitou.
• Zero registro. O controle existe e funciona, mas não há evidência. Em auditoria, controle sem registro é controle inexistente.

Por onde começar

Na ordem que funciona: mapear onde a sua empresa está exposta (a avaliação de risco de suborno), depois escrever a política e designar a função de compliance, depois desenhar os controles da cláusula 8 nos processos que o risco apontou — e só então pensar em auditoria de certificação. Quem começa pelo documento monta um sistema que não descreve a empresa; quem começa pelo risco monta um que sobrevive à auditoria e, mais importante, funciona no dia em que for testado.

Aprofunde em cada requisito

Cada peça do sistema de gestão antissuborno tem um guia próprio neste blog, com o que a norma exige, a evidência esperada e o que a auditoria testa na prática:

• Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas — o mapa completo, com a evidência esperada em cada cláusula
• Avaliação de risco de suborno (4.5) — critérios, matriz, periodicidade e o que reprova
• Função de compliance antissuborno (5.3.2) — independência, autoridade, acúmulo e decisão delegada
• Due diligence antissuborno (8.2) — os três níveis, fontes de consulta e sinais de alerta
• Controles financeiros e não financeiros (8.3 e 8.4) — os exemplos do Anexo A
• Presentes, hospitalidade e doações (8.7) — limites, aprovação e registro
• Canal de denúncia e investigação (8.9 e 8.10) — anonimato, retaliação e o rito da apuração
• ISO 37001 ou ISO 37301 — a comparação cláusula por cláusula
• Política antissuborno (5.2) — o que precisa constar e como a auditoria testa o documento
• ISO 37001 e a Lei Anticorrupção — a correspondência com os parâmetros do programa de integridade
• Certificação ISO 37001 — etapas, auditoria em duas fases, prazo e custo

Leia mais

• Consultoria ISO 37001: como funciona a implantação com a Templum
• Normas ISO e licitações: o que você precisa saber
• Governança em redes: ética, responsabilidade e participação
• Gestão de riscos e oportunidades: guia avançado e prático
• ISO 27001: o que é e como implementar a norma