Resposta rápida

A cláusula 8.9 da ISO 37001 exige um canal que incentive e permita relatar suspeita de suborno ou fragilidade do sistema de gestão: acessível, confidencial, com possibilidade de relato anônimo, com proibição expressa de retaliação e proteção efetiva a quem relata, e com alguém disponível para orientar quem está diante de uma situação duvidosa. A 8.10 exige o outro lado, que quase sempre falta: processo de investigação com independência (quem investiga não pode pertencer à função investigada), confidencialidade, reporte à função de compliance e uso dos resultados para melhorar o sistema. Na auditoria, política de canal não basta — o auditor pede para ver denúncias reais e investigações reais, e aceita que estejam anonimizadas.

Canal de denúncia é o controle que mais empresa tem e menos empresa consegue provar. Ter um formulário no site é fácil; demonstrar que ele recebe, trata, protege quem relatou e alimenta a melhoria do sistema é outra coisa — e é exatamente o que a ISO 37001 cobra em duas cláusulas complementares.

Cláusula 8.9 — Levantamento de preocupações

A norma exige procedimentos que incentivem e permitam que o pessoal relate, de boa-fé ou com base em convicção razoável, tentativa de suborno, suspeita, suborno real, violação da política ou fragilidade do próprio sistema de gestão. Repare nesse último item: o canal não serve só para denunciar pessoas, serve para apontar que um controle não está funcionando.

Os requisitos concretos:

  • acessível — o pessoal precisa conhecer o canal, saber usá-lo e ter meio disponível;
  • confidencial — tratamento que proteja a identidade de quem relatou e de terceiros mencionados, salvo na extensão necessária para conduzir a investigação;
  • anônimo quando a pessoa quiser — o relato anônimo precisa ser possível, não apenas tolerado;
  • proteção contra retaliação — proibição expressa e proteção efetiva de quem relata;
  • orientação disponível — alguém apropriado a quem recorrer diante de uma situação que possa envolver suborno, antes que ela vire caso;
  • conscientização — todo o pessoal ciente dos procedimentos, dos seus direitos e das proteções, e capaz de usá-los.

O erro de desenho mais comum: canal só por e-mail

Um endereço de e-mail atende tecnicamente a "existe um canal", mas atrapalha dois requisitos ao mesmo tempo. Anonimato fica dependente de a pessoa criar uma conta nova — teoricamente possível, na prática um obstáculo que reduz drasticamente o número de relatos. E confidencialidade fica frágil: e-mail circula, é encaminhado, aparece em caixa compartilhada.

Desenhos que funcionam: formulário web sem identificação obrigatória e com protocolo de retorno (a pessoa acompanha o caso e recebe resposta sem se identificar), linha telefônica com atendimento terceirizado, ou plataforma especializada. Empresa pequena pode operar com formulário simples — o que não se sustenta é canal cuja única porta exige identificação.

Um canal ou vários?

Não há exigência de canal exclusivo para suborno. É perfeitamente aceitável — e mais eficiente — usar o mesmo canal que já recebe assédio, questões trabalhistas, conflito de interesses e demais preocupações, com triagem interna que direciona cada tipo. Canal único é mais conhecido pelo público interno, e canal conhecido recebe mais. O que precisa existir é a triagem: cada categoria com fluxo, prazo e responsável definidos.

Proteção contra retaliação se prova com processo

Declarar que não haverá retaliação não é controle. O que sustenta esse requisito:

  • restrição de acesso à identidade de quem relatou, com registro de quem acessou;
  • vedação a que o denunciado, ou quem se reporta a ele, participe da apuração;
  • um processo para apurar a própria retaliação, com responsável nomeado — porque a retaliação, quando acontece, vem disfarçada de decisão gerencial legítima: mudança de função, exclusão de projeto, avaliação de desempenho subitamente ruim;
  • acompanhamento da situação de quem relatou por um período após o encerramento do caso.

Vale registrar também a proteção prevista na cláusula 7.2.2: ninguém pode sofrer retaliação, discriminação ou medida disciplinar por recusar-se a participar de uma atividade em que tenha julgado, de forma razoável, existir mais do que um risco baixo de suborno. Ou seja, o colaborador que se nega a tocar o negócio suspeito está protegido pela norma tanto quanto o que denuncia.

Cláusula 8.10 — Investigação e tratamento do suborno

É a cláusula que fecha o ciclo — e a que mais falta nas empresas que "já têm canal". Ela exige procedimentos que:

  • avaliem e, onde apropriado, investiguem qualquer suborno, violação da política ou do sistema de gestão que seja relatado, detectado ou razoavelmente suspeito;
  • exijam ação apropriada se a investigação confirmar o fato;
  • deem poder e capacidade aos investigadores — sem acesso a documento, sistema e pessoas, não há investigação;
  • exijam cooperação do pessoal pertinente;
  • reportem status e resultado à função de compliance antissuborno e a outras funções cabíveis;
  • mantenham confidencialidade da condução e dos resultados;
  • garantam que a investigação seja conduzida e relatada por quem não participa do papel ou da função investigada.

Esse último ponto é o que mais gera não conformidade em empresa de estrutura enxuta: o gestor da área acaba apurando o caso da própria área. Duas saídas legítimas — designar alguém de outra área com independência, ou terceirizar a investigação, o que a norma permite expressamente e é prática comum em casos que envolvem a própria liderança.

O rito mínimo de uma investigação

  1. Recebimento e registro com número de protocolo, data e categoria.
  2. Triagem — o relato é da alçada do sistema antissuborno? tem elementos mínimos? exige medida imediata de contenção (suspender pagamento, afastar pessoa do processo, preservar documento)?
  3. Definição de quem apura, verificando conflito de interesses, e do escopo da apuração.
  4. Coleta de evidência com cadeia de custódia: documentos, registros de sistema, e-mails, contratos, extratos — dentro das regras de privacidade e proteção de dados.
  5. Entrevistas, registradas, com cuidado para não expor quem relatou.
  6. Conclusão fundamentada: procedente, improcedente, inconclusiva — sim, inconclusiva é resultado legítimo e precisa ser registrada como tal.
  7. Medidas: disciplinares, contratuais (rescisão com parceiro), de controle (corrigir a brecha) e, quando cabível, comunicação a autoridades.
  8. Retorno a quem relatou, na medida do possível e sem comprometer a apuração.
  9. Retroalimentação do sistema — a causa raiz vira ação corretiva na cláusula 10 e insumo para a próxima avaliação de risco.

O passo 9 é o que separa programa vivo de programa decorativo. Investigação que termina em punição individual e não altera controle nenhum garante que o mesmo caso volte.

O que a auditoria pede para ver

Este é um dos poucos requisitos em que ler a política não basta de jeito nenhum. O auditor vai querer:

  • o processo — fluxo, prazos, responsáveis, critérios de triagem;
  • evidência de divulgação — treinamento, campanha, cartaz, intranet, comunicação a parceiros de negócio;
  • os relatos recebidos e o que aconteceu com cada um — registros reais, não exemplo hipotético;
  • investigações conduzidas, com as etapas percorridas;
  • os indicadores reportados à alta direção e ao corpo diretivo: quantidade, categorias, tempo médio de tratamento, desfecho.

E há um ponto que costuma gerar tensão desnecessária: tudo isso pode ser apresentado de forma anonimizada. O auditor não precisa de nome de pessoa, nem de setor identificável, nem de detalhe sensível — precisa verificar que o processo existe e opera. Quando um caso está sob segredo de justiça, a empresa demonstra essa condição com evidência (normalmente via jurídico) e o auditor trabalha com o que é possível verificar.

"Não recebemos nenhuma denúncia" é resposta ruim

Zero relato em um ano não prova que não há problema — costuma provar que o canal não é conhecido ou não é confiável. Antes da auditoria, essa é a métrica para olhar no espelho: se ninguém usa, verifique se as pessoas sabem que existe, se o anonimato é real, se houve algum caso em que o retorno não veio e a notícia se espalhou internamente.

Ir além: ISO 37002 e ISO 37008

Duas normas de diretrizes (não certificáveis) aprofundam exatamente estes dois requisitos:

  • ISO 37002 — gestão de denúncias. Um sistema completo de whistleblowing: recebimento, avaliação, encaminhamento, conclusão, com foco pesado em confiança e proteção do denunciante. É o passo natural para quem já cumpre a 8.9 e quer que o canal realmente funcione.
  • ISO 37008 — investigações internas. O rito de investigação com profundidade: planejamento, coleta e preservação de evidência, entrevistas, relatório, garantias de imparcialidade.

Nenhuma das duas é exigida pela ISO 37001, e nenhuma gera certificado. Servem como referência de boa prática — e são úteis justamente nas duas áreas em que um erro de condução gera passivo trabalhista e reputacional maior que o próprio caso investigado.

Leia mais

Perguntas frequentes

A ISO 37001 exige canal de denúncia anônimo?
A cláusula 8.9 exige que o canal permita o relato anônimo — ou seja, o anonimato precisa ser uma opção real, não apenas tolerada. Também exige acessibilidade, tratamento confidencial, proibição de retaliação com proteção efetiva a quem relata e disponibilidade de alguém para orientar quem está diante de uma situação duvidosa.
Posso usar o mesmo canal para denúncias de assédio e de suborno?
Sim. A norma não exige canal exclusivo para suborno, e usar um canal único costuma ser mais eficiente: ele é mais conhecido internamente e por isso recebe mais relatos. O que precisa existir é triagem, com fluxo, prazo e responsável definidos para cada categoria de relato.
Quem pode conduzir a investigação de uma denúncia de suborno?
Qualquer pessoa competente que não participe do papel ou da função que está sendo investigada — a independência é requisito da cláusula 8.10. Em estruturas enxutas, isso costuma significar designar alguém de outra área ou terceirizar a investigação, o que a norma permite expressamente e é prática comum quando o caso envolve a própria liderança.
O auditor vai querer ler as denúncias recebidas?
Vai querer verificar que existem relatos e que eles foram tratados, mas aceita que os registros estejam anonimizados: sem nome de pessoas e sem identificação de setor. O que ele precisa evidenciar é o funcionamento do processo — recebimento, triagem, apuração, conclusão e medidas. Quando um caso está sob segredo de justiça, a empresa demonstra essa condição e o auditor trabalha com o que é verificável.
O que fazer se a empresa não recebeu nenhuma denúncia no período?
Investigar o porquê antes que o auditor pergunte. Zero relato raramente significa ausência de problemas; em geral significa que o canal não é conhecido, que o anonimato não é percebido como real ou que algum caso anterior não teve retorno e a notícia circulou internamente. Evidência de divulgação, treinamento e testes do canal ajudam a demonstrar que ele está disponível e operante.
Como proteger quem denuncia de retaliação?
Com mecanismo, não com promessa: restrição e registro de acesso à identidade de quem relatou, vedação a que o denunciado ou seus subordinados participem da apuração, processo específico para apurar a própria retaliação com responsável nomeado, e acompanhamento da situação do denunciante por um período após o encerramento do caso. A cláusula 7.2.2 protege também quem se recusa a participar de atividade que julgou ter mais do que risco baixo de suborno.
O que são a ISO 37002 e a ISO 37008?
São normas de diretrizes, não certificáveis, que aprofundam os dois requisitos: a ISO 37002 trata da gestão de denúncias, com foco em recebimento, avaliação, encaminhamento, conclusão e proteção do denunciante; a ISO 37008 trata de investigações internas, com planejamento, coleta e preservação de evidência, entrevistas e garantias de imparcialidade. Nenhuma é exigida pela ISO 37001, mas ambas são boas referências de prática.

Pronto para certificar sua empresa?

Fale com um especialista da Templum e receba um diagnóstico gratuito — com garantia de 200%.

Falar com um especialista