Certificação ISO 37001: etapas, prazo e custo

Certificar na ISO 37001 não é comprar um documento: é submeter o seu sistema de gestão antissuborno à verificação de um organismo independente, que vai atrás de evidência de que os controles existem e operam. Este artigo descreve o caminho inteiro — o que acontece antes, durante e depois da auditoria —, o que define o custo e o prazo de transição que já está correndo.

O que precisa existir antes de chamar o auditor

A auditoria de certificação verifica um sistema em funcionamento, não um projeto em andamento. Antes dela, a empresa precisa ter:

• avaliação de risco de suborno feita e documentada, específica para os seus processos;
• política antissuborno aprovada pela alta direção e comunicada a pessoal e parceiros;
• função de compliance antissuborno designada, com autoridade, independência e acesso ao corpo diretivo;
• controles implantados onde o risco apontou — due diligence de terceiros, controles financeiros e não financeiros, regra de presentes e hospitalidade, canal para levantar preocupações com processo de investigação;
• pessoal treinado, com registro;
• ao menos uma rodada completa de auditoria interna e de análise pela direção — e aqui vale lembrar que a ISO 37001 exige três análises distintas: alta direção, corpo diretivo e função de compliance.

Faltando a auditoria interna ou a análise pela direção, a auditoria de certificação para na fase 1. É o motivo mais banal de adiamento e o mais fácil de evitar.

As etapas, na ordem que funciona

1. Diagnóstico (gap analysis). Comparar o que já existe com o que a norma exige. Empresas com ISO 9001 ou ISO 27001 costumam descobrir que metade da estrutura já está pronta: contexto, informação documentada, competência, auditoria interna, ação corretiva.
2. Avaliação de risco de suborno. A etapa que determina todo o resto — é ela que diz quais controles você precisa e em que profundidade.
3. Definição de escopo. Quais unidades, atividades e países entram. Escopo que exclui justamente a operação de maior risco enfraquece a certificação e costuma ser questionado.
4. Política, função de compliance e estrutura de governança.
5. Desenho e implantação dos controles nos processos reais — compras, comercial, financeiro, contratação de terceiros, relacionamento com órgãos públicos.
6. Treinamento e comunicação, proporcionais ao risco de cada função, estendidos a parceiros de negócio.
7. Operação com registro. O sistema precisa rodar tempo suficiente para gerar evidência: due diligence executada, presentes registrados, preocupações tratadas, indicadores medidos.
8. Auditoria interna e as análises pela direção.
9. Auditoria de certificação, fase 1. O organismo avalia documentação, escopo, entendimento do contexto e prontidão. Sai com pontos a resolver antes da fase 2.
10. Auditoria de certificação, fase 2. Verificação da implementação: entrevistas com quem executa, amostragem de registros, teste dos controles. É aqui que se separa sistema real de pasta de documentos.
11. Tratamento de não conformidades. Plano de ação com análise de causa e evidência de implementação, dentro do prazo dado pelo organismo.
12. Decisão e emissão do certificado, tomada por uma instância do organismo que não participou da auditoria.

Depois do certificado: o ciclo de três anos

O certificado vale três anos. Dentro do ciclo há auditorias de manutenção (normalmente anuais), com escopo reduzido, e ao fim dele uma recertificação, que reavalia o sistema inteiro. Não conformidade grave não tratada, ou sistema que parou de operar, leva à suspensão e ao cancelamento.

É esse ritmo que costuma ser o maior benefício prático da certificação para quem tinha um programa formal: o calendário externo impede que o programa vire pasta parada depois do primeiro semestre.

Quanto tempo leva

Não há resposta única, e desconfie de quem der uma. O prazo depende de três variáveis: maturidade de partida (já ter sistema de gestão certificado encurta muito), porte e dispersão (uma unidade ou doze) e, principalmente, disponibilidade real da equipe — o cronograma trava com mais frequência por agenda de gente do que por complexidade técnica.

O que dá para dizer com segurança sobre a composição do prazo: a etapa mais longa raramente é escrever os documentos; é operar tempo suficiente para gerar evidência. Um controle implantado ontem não tem histórico para o auditor amostrar hoje. E a agenda do organismo de certificação também entra na conta — fase 1 e fase 2 têm intervalo entre si, e a decisão de certificação leva alguns dias após o fechamento.

O que define o custo

São duas contratações distintas, e essa separação não é comercial, é regra: o organismo que certifica não pode prestar consultoria a quem ele audita, sob pena de comprometer a imparcialidade. Quem oferece "consultoria e certificação no mesmo pacote" está oferecendo um certificado sem valor de mercado.

Custo da certificação — cobrado pelo organismo, calculado essencialmente por dias de auditoria, que dependem de:

• número de colaboradores dentro do escopo;
• número de unidades ou sites, e se há amostragem entre eles;
• complexidade do escopo e nível de risco de suborno da atividade — operação com muitos intermediários e contrato público exige mais tempo de auditoria que uma operação simples;
• deslocamento dos auditores;
• o ciclo completo, não só a certificação inicial: some as manutenções anuais e a recertificação.

Custo da implantação — consultoria, quando houver, mais o custo interno que quase ninguém orça: horas do pessoal em levantamento, treinamento, auditoria interna e reuniões de análise. Em projetos que atrasam, é esse custo invisível que estoura.

Acreditação: o detalhe que decide se o certificado vale

Certificado emitido por organismo acreditado tem reconhecimento internacional pelo acordo multilateral do IAF; certificado de organismo não acreditado é um papel com logotipo. Para auditar sistemas antissuborno existe inclusive requisito específico de competência de auditores (ISO/IEC TS 17021-9).

Antes de assinar, confirme: qual organismo de acreditação reconhece aquele certificador, se o escopo de acreditação cobre a ISO 37001, e se o certificado aparece no diretório público do acreditador. Cliente e órgão público que exigem a certificação verificam exatamente isso.

Transição para a ISO 37001:2025

A segunda edição da norma foi publicada em fevereiro de 2025 e adotada no Brasil como ABNT NBR ISO 37001:2025. O IAF publicou as regras de transição (IAF MD 30:2025) e o prazo é mais curto que o habitual:

• 31 de agosto de 2026 — a partir desta data, decisões de certificação e recertificação saem apenas na versão 2025;
• 30 de janeiro de 2027 — prazo final para concluir auditorias de transição;
• 28 de fevereiro de 2027 — certificados na versão 2016 expiram ou são cancelados.

Duas leituras práticas. Quem está começando agora deve implantar direto na 2025 — não há razão para trabalhar na versão que está saindo. Quem já é certificado precisa tratar a migração como projeto com data: rever contexto (incluindo a pertinência das mudanças climáticas), formalizar o requisito de cultura antissuborno, incluir o planejamento de mudanças, ajustar conflito de interesses no processo de emprego, estender treinamento a parceiros de negócio e incorporar fusões e aquisições aos controles não financeiros. As mudanças não são radicais, mas deixar para a última auditoria antes de fevereiro de 2027 é apostar contra a agenda do organismo certificador.

O que mais atrasa uma certificação

• Começar pelos documentos. Escrever manual antes da avaliação de risco gera um sistema que descreve uma empresa que não existe.
• Escopo mal definido. Redefinir escopo depois da fase 1 joga cronograma e custo para frente.
• Função de compliance sem independência. Achado que costuma exigir mudança organizacional — não se resolve com correção de documento.
• Chamar a auditoria sem histórico de operação. Controles sem registros não são amostráveis.
• Tratar não conformidade com paliativo. Ação corretiva sem análise de causa volta na auditoria seguinte, agravada.

Leia mais

• ISO 37001: o que é, requisitos e como certificar
• Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas
• Política antissuborno: o que precisa constar e o que a auditoria cobra
• ISO 37001 e a Lei Anticorrupção: onde a norma atende ao programa de integridade
• ISO 37001 ou ISO 37301: as diferenças requisito por requisito
• Avaliação de risco de suborno: critérios, matriz e periodicidade
• Função de compliance antissuborno: independência e autoridade
• Consultoria ISO 37001: como funciona a implantação com a Templum
• Auditoria interna: como transformar a certificação em melhoria contínua