ISO 37001 ou ISO 37301: as diferenças requisito por requisito

As duas normas nasceram no mesmo comitê técnico da ISO, compartilham a mesma estrutura harmonizada e são frequentemente vendidas como se fossem intercambiáveis. Não são. E escolher errado custa meses de retrabalho.

A diferença em uma frase: a ISO 37001 resolve um risco com profundidade; a ISO 37301 organiza todos os riscos com método. Este artigo mostra exatamente onde elas divergem — inclusive na numeração das cláusulas, que engana quem tenta implantar as duas com um único checklist.

O que cada uma é

• ISO 37001 — Sistemas de gestão antissuborno. Primeira edição em 2016, segunda em fevereiro de 2025 (no Brasil, ABNT NBR ISO 37001:2025). Trata de um risco só: suborno. Em troca da especialização, ela tipifica os controles — diz que você precisa de due diligence, de controles financeiros, de regra para presentes, de canal para levantar preocupações e de processo de investigação.
• ISO 37301 — Sistemas de gestão de compliance. Publicada em 2021, substituindo a ISO 19600:2014 (que era só diretriz, não certificável). Trata de qualquer obrigação de conformidade: tributária, trabalhista, ambiental, setorial, contratual, de dados, de integridade. Por ser genérica o suficiente para servir a todas, ela não tipifica controle nenhum — quem define os controles é a sua avaliação de risco.

Cinco anos separam as duas edições originais, e isso aparece: a 37301 chegou com requisitos que a 37001 de 2016 não tinha e que a revisão de 2025 acabou incorporando — cultura, por exemplo.

A tabela que resolve a confusão de numeração

Quem implanta as duas juntas descobre rápido que "o requisito 8.3" significa coisas completamente diferentes em cada norma:

As quatro diferenças que mudam o projeto

1. Obrigações de compliance: o requisito que só a 37301 tem

É a diferença mais subestimada. A cláusula 4.5 da ISO 37301 exige identificar sistematicamente as obrigações de compliance decorrentes das atividades, produtos e serviços da organização, avaliar o impacto delas na operação e — o ponto que trava a maioria — ter processo para captar obrigações novas e modificadas, avaliar o impacto da mudança e ajustar o sistema.

Na prática: uma lista viva de obrigações legais, regulatórias, contratuais e voluntárias, com dono, e um mecanismo que a mantém atualizada (revisão periódica, assinatura de serviço de monitoramento legal, software). Não é evento único — é processo contínuo, e é onde a auditoria da 37301 investe boa parte do tempo, cruzando a lista com o escopo e amostrando como cada obrigação é atendida.

A ISO 37001 não pede isso, porque a obrigação dela já está definida: as leis antissuborno aplicáveis.

2. Controles: tipificados na 37001, testados na 37301

A 37001 diz quais famílias de controle você precisa (financeiros, não financeiros, due diligence, presentes, canal, investigação) e traz no Anexo A uma lista de exemplos concretos — de segregação entre quem lança e quem aprova pagamento a proibição de dinheiro em espécie. Ela não diz qual controle adotar; diz que precisa haver controle, razoável e proporcional ao risco.

A 37301 faz o contrário: não tipifica nada, mas acrescenta uma exigência que a 37001 não faz nesses termos — testar os controles. Testar significa rodar um exercício ou simulação para verificar se o controle faz o que se pretendia, se pode ser contornado e se de fato reduz probabilidade e impacto. Controle que nunca foi testado é hipótese.

Vale roubar a ideia: quem implanta só a 37001 ganha muito incluindo teste de controle no programa de monitoramento, mesmo sem requisito explícito.

3. Escopo: a 37001 obriga uma escolha

Na cláusula 4.3 da ISO 37001 existe uma decisão que muita empresa toma sem perceber: o sistema vai cobrir somente suborno ou vai se estender às demais práticas de corrupção — fraude, cartel e condutas anticoncorrenciais, lavagem de dinheiro? A norma permite ampliar, e a escolha muda o tamanho do projeto e o texto do certificado.

Na 37301, a escolha é de outra natureza: qual compliance. Há certificações emitidas com escopo de compliance tributário, financeiro, digital, de segurança da informação e de integridade. É a mesma norma apontada para alvos diferentes.

4. Cultura e governança: a 37301 nasceu mais explícita

A ISO 37301 trouxe dois requisitos que a 37001 de 2016 não tinha: cultura de compliance (5.1.2) — desenvolver, manter e promover cultura em todos os níveis, com liderança demonstrando comprometimento ativo, visível e consistente, e não tolerando comportamento que comprometa o compliance — e governança de compliance (5.1.3), que exige três princípios: acesso direto à função de compliance, independência dela e autoridade e competência apropriadas.

A revisão de 2025 da ISO 37001 incorporou a cultura como 5.1.3. A governança segue diluída no requisito da função de compliance (5.3.2), mas com o mesmo conteúdo material.

Um esclarecimento que evita confusão em auditoria: governança de compliance não é governança corporativa. Aqui o termo significa, especificamente, a independência e a autoridade da função — ausência de interferência ou pressão sobre a sua operação.

Qual escolher

Comece pela 37001 se o seu risco está concentrado em suborno e corrupção: contrato público, licitação, intermediários (representantes comerciais, despachantes, agentes aduaneiros), relacionamento intenso com fiscalização, operação em países de alto risco, exigência de cliente ou matriz. Você vai querer os controles tipificados — e vai querer poder mostrar um certificado que fala exatamente do risco que o seu cliente teme.

Comece pela 37301 se o problema é dispersão: muitas obrigações legais, várias áreas cuidando de pedaços, ninguém com a lista completa, e a diretoria descobrindo exigência por multa. O ganho aqui é o inventário de obrigações e o método.

Faça as duas juntas se puder. Elas compartilham contexto, partes interessadas, política, papéis, objetivos, competência, comunicação, informação documentada, auditoria interna, análise pela direção e melhoria. Na prática isso significa uma política integrada (os tópicos exigidos são quase os mesmos), um procedimento de auditoria interna, uma reunião de análise pela direção com pauta ampliada e um único controle de documentos. Implantar em separado é pagar duas vezes pelo mesmo esqueleto.

A família 373xx: o que mais existe

Vale saber que existem normas complementares — nenhuma delas certificável, todas de diretrizes — que resolvem bem os pontos em que a 37001 e a 37301 são econômicas:

• ISO 37002 — gestão de denúncias (whistleblowing). O aprofundamento natural para quem já tem canal funcionando e quer estruturar recebimento, triagem, proteção e retorno ao denunciante.
• ISO 37008 — investigações internas. O rito de investigação com profundidade que a cláusula 8.10 apenas exige que exista.
• ISO 31000 e ISO 31010 — gestão de riscos e técnicas de avaliação. É de onde vem o ferramental para a avaliação de risco de suborno.

E a agenda ESG

Um movimento que ganhou força: usar a ISO 37301 como ferramenta de estruturação da letra G do ESG. Faz sentido — governança auditada por terceiro independente, com obrigações mapeadas e controles testados, é evidência bem mais forte do que relatório de sustentabilidade autodeclarado. Há empresas certificando escopo de compliance que abarca o programa de integridade e a agenda ESG na mesma estrutura.

Para quem tem risco de suborno relevante, porém, a ordem que funciona é a inversa: primeiro a 37001, que ataca o risco que realmente destrói valor, e depois a 37301, que organiza o resto.

Leia mais

• ISO 37001: o que é, requisitos e como certificar
• Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas
• Avaliação de risco de suborno: critérios, matriz e periodicidade
• Função de compliance antissuborno: independência, autoridade e acesso ao corpo diretivo
• ISO 37001 e a Lei Anticorrupção: onde a norma atende ao programa de integridade
• Certificação ISO 37001: etapas, prazo e custo