Requisitos da ISO 37001: as cláusulas 4 a 10 explicadas

A ISO 37001 tem 10 cláusulas, mas só as sete últimas contêm requisitos auditáveis — as três primeiras são escopo, referências normativas e definições. Este artigo percorre da 4 à 10 dizendo, em cada uma, o que a norma exige e qual evidência a auditoria vai pedir.

A referência é a ISO 37001:2025 (ABNT NBR ISO 37001:2025), edição em vigor desde fevereiro de 2025. Se você ainda opera na versão 2016, vale ler antes o guia da ISO 37001, que traz o calendário de transição — os certificados na 2016 expiram em 28 de fevereiro de 2027.

Cláusula 4 — Contexto da organização

A cláusula que a maioria trata como formalidade e que decide a qualidade do sistema inteiro.

4.1 e 4.2 — Contexto e partes interessadas

Entender o que, dentro e fora da empresa, afeta o risco de suborno: setor de atuação, países onde opera, dependência de contrato público, uso de intermediários, cultura local, exigências de clientes e de matriz. Desde a incorporação da emenda climática de 2024, a organização precisa determinar se as mudanças climáticas são pertinentes ao seu contexto e às expectativas das partes interessadas — e registrar essa determinação, mesmo que a conclusão seja que não são relevantes.

4.3 e 4.4 — Escopo e o sistema de gestão

Definir o que entra no sistema. Escopo mal recortado é problema comum: excluir a subsidiária ou a unidade que concentra o risco esvazia a certificação e o auditor questiona. A norma permite ampliar o escopo para fraude, cartel e lavagem de dinheiro, mas isso é opção da empresa — não requisito. Vale saber que nada fora do escopo declarado será auditado: o escopo cerca a certificação e cerca a auditoria.

A cláusula 4.4 não tem documento próprio — ela se materializa no conjunto do sistema. Mas há um detalhe que vale conhecer: quando o sistema de gestão simplesmente não existe de forma estruturada, o auditor não abre dezenas de não conformidades espalhadas; abre uma não conformidade maior em 4.4, dizendo que o sistema não está estabelecido, implementado, mantido e melhorado. É o achado que encerra a conversa. O antídoto é mapear os processos do próprio sistema — análise crítica, tratamento de denúncias, investigação, due diligence, gestão de parceiros — e não apenas os processos produtivos da empresa.

4.5 — Avaliação de risco de suborno

O requisito mais importante da norma. É preciso identificar, analisar, avaliar e priorizar o risco de suborno de forma específica para a organização: por unidade, por processo, por tipo de transação, por parceiro de negócio, por cargo. E revisar periodicamente e quando houver mudança significativa.

Evidência esperada: avaliação documentada com critérios de classificação, riscos nomeados com dono, e ligação visível entre o risco identificado e o controle implantado. O achado clássico é a matriz genérica, comprada em modelo, que não menciona compras, representantes comerciais nem despachantes — as três rotas mais óbvias de suborno na maior parte das empresas brasileiras.

Repare que a norma pede também que a organização estabeleça critérios para avaliar o nível de risco: sem régua escrita, "risco alto" é opinião. E note a diferença estrutural em relação à ISO 9001 e à ISO 45001 — aqui risco aparece na cláusula 4 (metodologia, critérios e avaliação) e as ações para tratá-lo ficam em 6.1. O passo a passo está em avaliação de risco de suborno: critérios, matriz e periodicidade.

Cláusula 5 — Liderança

5.1 — Liderança e comprometimento

A norma divide a responsabilidade entre corpo diretivo (conselho, sócios — quem responde pela governança) e alta direção (quem opera). A 2025 acrescentou o item 5.1.3, sobre cultura antissuborno: não basta aprovar a política, é preciso promover e sustentar uma cultura em toda a organização.

Evidência esperada: ata de reunião com pauta antissuborno, orçamento e recursos alocados, comunicação assinada pela liderança, decisões tomadas em casos concretos. Liderança comprometida se prova por decisão difícil registrada — o contrato recusado, o parceiro descredenciado.

Dois pontos práticos. Primeiro: a entrevista com a alta direção é obrigatória na auditoria, e o auditor cruza o que ouve com atas de conselho, registros de eventos internos e participação nas reuniões de abertura e fechamento. Segundo: quando a organização não tem corpo diretivo — realidade da maioria das empresas de médio porte —, todas as responsabilidades dele recaem sobre a alta direção.

5.2 — Política antissuborno

Precisa proibir o suborno, exigir cumprimento das leis antissuborno aplicáveis, ser adequada ao risco da organização, estabelecer objetivos, encorajar o levantamento de preocupações de boa-fé, garantir proteção contra retaliação, ser documentada, comunicada internamente e a parceiros de negócio, e estar disponível às partes interessadas. Detalhamos em política antissuborno: o que precisa constar.

5.3 — Papéis, responsabilidades e a função de compliance antissuborno

Aqui está o requisito que mais reprova. A função de compliance antissuborno precisa ter competência, status, autoridade, independência e recursos — e acesso direto ao corpo diretivo. Pode ser terceirizada, pode ser acumulada, mas não pode conflitar: designar quem aprova pagamentos para fiscalizar os controles de pagamento anula o controle.

Evidência esperada: designação formal, descrição de responsabilidades e autoridade, registro de reporte periódico ao corpo diretivo. Aprofundamos em função de compliance antissuborno: independência, autoridade e acesso ao corpo diretivo.

5.3.3 — Decisão delegada

Requisito pouco lembrado e de efeito enorme. Quando a alta direção delega autoridade para decidir em situações que envolvem mais do que um risco baixo de suborno, a organização precisa de um processo de tomada de decisão que garanta nível de autoridade apropriado ao risco e ausência de conflitos de interesse reais ou potenciais — analisado criticamente de tempos em tempos. Alçadas de pagamento, contratação sem concorrência, concessão de desconto, aprovação de patrocínio e decisão de abrir ou arquivar investigação entram aqui.

E o princípio que fecha a cláusula 5: a delegação transfere poder, não responsabilidade. Quem delegou continua respondendo.

Cláusula 6 — Planejamento

6.1 — ações para tratar os riscos identificados em 4.5 (e as oportunidades), integradas aos processos do sistema. 6.2 — objetivos antissuborno mensuráveis, com prazo, responsável e forma de avaliação: "reduzir o suborno" não é objetivo; "100% dos parceiros de alto risco com due diligence atualizada em 12 meses" é. 6.3 — cláusula nova na versão 2025: mudanças no sistema de gestão precisam ser planejadas, não improvisadas.

Cláusula 7 — Apoio

7.1 e 7.2 — Recursos, competência e processo de emprego

Além de competência do pessoal, a norma tem exigências específicas de recursos humanos (7.2.2): condições de emprego que obriguem ao cumprimento da política, due diligence antes de promover ou contratar para posições de risco, desvinculação entre bônus e metas que estimulem suborno, e declaração de conformidade periódica. A 2025 incluiu a conscientização sobre conflito de interesses nesse processo.

7.3 — Conscientização e treinamento

Reorganizada em 2025, com item próprio para parceiros de negócio (7.3.3). O treinamento precisa ser proporcional ao risco: quem trabalha em compras, comercial ou relacionamento com governo recebe carga diferente do administrativo. Precisa cobrir a política, o risco do cargo, como reportar preocupação e as consequências do descumprimento.

Evidência esperada: lista de presença ou registro em plataforma, conteúdo aplicado, avaliação de eficácia, plano de reciclagem. Treinamento único de 2021 não sustenta certificação em 2026.

O conteúdo mínimo que o treinamento precisa cobrir, e que o auditor confere no material:

• a política antissuborno e os procedimentos aplicáveis;
• o risco de suborno e as circunstâncias em que ele pode ocorrer naquela função;
• como reconhecer e como responder a uma solicitação ou oferta de propina — a parte mais útil e a mais esquecida;
• como prevenir e evitar o suborno;
• a contribuição de cada um para a eficácia do sistema;
• as implicações e consequências do descumprimento;
• como e a quem relatar uma preocupação;
• as informações sobre treinamentos e recursos disponíveis.

Uma dica de calendário: os auditores costumam deixar este requisito para o fim da auditoria, justamente para amostrar as pessoas com quem conversaram nos dias anteriores. Se o comprador entrevistado na terça não tem registro de treinamento, o achado aparece na quinta.

7.4 e 7.5 — Comunicação e informação documentada

Definir o que é comunicado, a quem, quando e por quem — interna e externamente. E controlar a informação documentada: identificação, aprovação, versão vigente, acesso e retenção. Vale a mesma disciplina que a informação documentada exige nas outras normas ISO.

Dois detalhes que geram achado com frequência. Em 7.4, a norma pede que o plano de comunicação defina o quê, quando, com quem, como, quem comunica e em quais idiomas — item que empresas com operação ou fornecedores no exterior costumam ignorar. E a política precisa estar disponível a todo o pessoal e aos parceiros de negócio, comunicada diretamente àqueles que representam mais do que risco baixo.

Em 7.5, o achado clássico não é sofisticado: o comprador operando por uma versão de política duas revisões atrasada, porque não há controle de versão nem distribuição controlada. Em empresa multiunidade isso se agrava — documento criado em uma planta precisa chegar às outras, e documento cancelado precisa sumir de todas.

Cláusula 8 — Operação

É a cláusula própria da ISO 37001 — o que a diferencia de qualquer outro sistema de gestão. Nove blocos de controle:

• 8.1 Planejamento e controle operacional — implantar os controles que a avaliação de risco pediu.
• 8.2 Due diligence — avaliar transações, projetos, atividades, parceiros de negócio e pessoal de risco antes e de forma continuada. A versão 2025 reforçou a periodicidade de atualização: ficha da contratação inicial, com contrato renovado três vezes desde então, é achado garantido.
• 8.3 Controles financeiros — segregação de funções, alçadas, dupla aprovação, restrição a pagamento em espécie, exigência de documentação de suporte, revisão de lançamentos atípicos.
• 8.4 Controles não financeiros — os mesmos cuidados em compras, contratações, operações, jurídico e engenharia. A 2025 explicitou fusões e aquisições: due diligence antissuborno antes de comprar uma empresa, sob pena de herdar o passivo.
• 8.5 Controles em organizações controladas e parceiros de negócio — exigir que controladas e parceiros de risco tenham controles equivalentes, ou compensar essa ausência com controle próprio.
• 8.6 Compromissos antissuborno — obter dos parceiros de risco o compromisso formal de não subornar, com cláusula contratual e direito de rescisão.
• 8.7 Presentes, hospitalidade, doações e benefícios similares — não é proibição, é regra: o que é aceitável, limite, registro e aprovação. Inclui patrocínio, doação política e contribuição a entidade.
• 8.8 Gestão da inadequação de controles — o que fazer quando um controle se mostra insuficiente.
• 8.9 Levantamento de preocupações — canal acessível, anonimato possível, confidencialidade e proteção efetiva contra retaliação, comunicado a pessoal e parceiros.
• 8.10 Investigação e tratamento do suborno — processo definido: quem investiga, com que independência, como se registra, o que acontece com o resultado e como se comunica quem reportou.

Evidência esperada em 8.9 e 8.10: o registro das preocupações recebidas e o que foi feito com cada uma. Canal sem histórico de tratamento é o achado mais comum da cláusula — e o mais difícil de justificar. O rito completo está em canal de denúncia e investigação: as cláusulas 8.9 e 8.10.

Três desses blocos têm guia próprio, porque é onde a implantação realmente acontece: due diligence (8.2), controles financeiros e não financeiros (8.3 e 8.4) e presentes, hospitalidade e doações (8.7).

Cláusula 9 — Avaliação de desempenho

9.1 — Monitoramento, medição, análise e avaliação

Indicadores que digam se o sistema funciona: cobertura de due diligence, percentual de pessoal treinado, número e tempo de tratamento de preocupações recebidas, resultado de testes de controle. Indicador que ninguém analisa não conta.

A pergunta que vale fazer antes da auditoria fazer por você: os seus indicadores refletem o desempenho do programa, ou só o volume de atividade dele? Número de treinamentos realizados mede esforço; percentual de parceiros de alto risco com due diligence vigente, tempo médio de tratamento de denúncia e resultado de testes de controle medem funcionamento. Vale notar que a ISO 37301 tornou explícitos requisitos que a 37001 deixa implícitos — fontes de retroalimentação (como pesquisa interna de percepção sobre o programa), desenvolvimento de indicadores e relatórios de compliance protegidos contra alteração. Não são exigíveis aqui, mas são boas ideias emprestadas.

9.2 — Auditoria interna

Programa de auditoria interna do sistema antissuborno, com auditores competentes e imparciais em relação à área auditada, cobrindo todos os requisitos ao longo do ciclo. A versão 2025 apertou o parafuso na qualificação de quem audita.

Um esclarecimento que evita retrabalho: auditoria interna do sistema de gestão não é auditoria de controles internos. Não é a segunda linha conferindo conciliação contábil — é um auditor competente na ISO 37001 verificando requisito por requisito, como um simulado da auditoria de certificação. Quem faz precisa ser treinado na norma e imparcial em relação à área auditada.

9.3 e 9.4 — As três análises

Um ponto que só existe na ISO 37001: há três análises distintas, e a auditoria confere as três.

• Alta direção (9.3.1) — análise periódica do desempenho do sistema.
• Corpo diretivo (9.3.2) — análise no nível de governança, com base na informação recebida da alta direção e da função de compliance.
• Função de compliance antissuborno (9.4) — avaliação contínua da adequação e eficácia do sistema, com reporte a quem manda.

Evidência esperada: atas com as entradas exigidas pela norma (resultado de auditorias, preocupações levantadas, adequação dos controles, riscos) e, principalmente, com decisões. Ata que só registra apresentação de números não demonstra análise.

Cláusula 10 — Melhoria

Na versão 2025 a ordem inverteu: 10.1 melhoria contínua vem antes de 10.2 não conformidade e ação corretiva. O conteúdo é o de sempre — ao identificar não conformidade, reagir, avaliar a necessidade de eliminar a causa, implementar ação, verificar eficácia e registrar tudo.

Aqui vale a mesma disciplina de análise de causa raiz das outras normas: ação corretiva que só descreve o conserto imediato, sem tocar na causa, volta como não conformidade repetida na auditoria seguinte.

A distinção que resolve: correção é tirar o problema do caminho agora; ação corretiva é agir sobre a causa para que ele não volte. Um pagamento aprovado fora da alçada exige estornar ou regularizar o lançamento (correção) e, depois, descobrir por que o sistema permitiu — parametrização aberta, alçada desatualizada, aprovador substituto sem orientação — e corrigir isso (ação corretiva). Plano de ação que só contém a correção é meia resposta, e o auditor da vez seguinte encontra o mesmo desvio.

Como usar esta lista na prática

Ela não é um roteiro de implantação — é um mapa de verificação. A implantação começa pela 4.5, porque a avaliação de risco é o que determina quais controles da cláusula 8 sua empresa precisa e em que profundidade. Sistema montado a partir de um checklist de requisitos, e não do risco real, gera pasta de documentos que passa raspando na fase 1 e trava na fase 2, quando o auditor sai da mesa e vai conversar com o comprador.

Leia mais

• ISO 37001: o que é, requisitos e como certificar
• Política antissuborno: o que precisa constar e o que a auditoria cobra
• Certificação ISO 37001: etapas, prazo e custo
• ISO 37001 e a Lei Anticorrupção: onde a norma atende ao programa de integridade
• Avaliação de risco de suborno: critérios, matriz e periodicidade
• Função de compliance antissuborno: independência e autoridade
• Due diligence antissuborno: os três níveis e como classificar risco
• Controles financeiros e não financeiros: os exemplos do Anexo A
• Presentes, hospitalidade e doações: o que a ISO 37001 permite
• Canal de denúncia e investigação: as cláusulas 8.9 e 8.10
• ISO 37001 ou ISO 37301: as diferenças requisito por requisito
• Gestão de riscos e oportunidades: guia avançado e prático
• Auditoria interna: como transformar a certificação em melhoria contínua