ISO 37301, management de la conformité et ISO 37000 : le G de l’ESG

Qu’est-ce qu’ISO 37301, la norme de management de la conformité ?

ISO 37301:2021, « Systèmes de management de la conformité — Exigences et recommandations pour la mise en œuvre », fixe les exigences d’un système qui permet à une organisation de connaître toutes ses obligations et de prouver qu’elle les respecte. Elle a remplacé ISO 19600:2014, qui n’était qu’un guide, et elle se certifie.

Selon sa page sur iso.org, consultée le 11 novembre 2026, la norme est à sa première édition (avril 2021, 40 pages), élaborée par le comité ISO/TC 309 « Gouvernance des organismes ». Elle a été réexaminée et confirmée en 2026 : cette version reste en vigueur. Un amendement, ISO 37301:2021/Amd 1:2024, y ajoute la prise en compte du changement climatique (« Climate action changes »), comme pour les autres normes de systèmes de management.

Le comité ISO/TC 309 précise quatre points utiles :

• la norme a été publiée le 13 avril 2021 ;
• elle vise toute organisation, quels que soient son type, sa taille et la nature de son activité, dans le secteur public, privé ou associatif ;
• elle repose sur quatre principes : bonne gouvernance, proportionnalité, transparence et durabilité ;
• c’est une norme de systèmes de management « de type A », qui s’intègre à ISO 9001 (qualité), ISO 14001 (environnement) et ISO 37001 (anticorruption).

D’ISO 19600:2014 à ISO 37301:2021

Lors du réexamen d’ISO 19600:2014, « Compliance management systems — Guidelines », le comité a décidé en septembre 2018 de la transformer en norme d’exigences, sous un nouveau numéro. ISO 19600 a été annulée à la publication d’ISO 37301. La différence est de taille : un guide se lit et s’applique librement, une norme d’exigences s’audite. Si votre politique de conformité cite encore ISO 19600, elle renvoie à un texte qui n’existe plus.

Ce que recouvre une « obligation de conformité »

Dans la pratique, le registre d’un système ISO 37301 contient deux familles d’obligations : celles que la loi impose, et celles que l’entreprise a choisi de respecter (contrats clients, code de conduite d’un donneur d’ordre, charte d’un label, engagements publics). C’est ce qui distingue la conformité de la seule veille juridique : un exportateur qui signe le code de conduite fournisseur de son client européen ajoute une obligation à son registre, même si aucune loi marocaine ne la lui impose.

Que demande ISO 37301 à une entreprise, concrètement ?

Elle demande un dispositif complet et proportionné : des obligations identifiées, des risques évalués, une politique portée par la direction, des responsabilités, de la formation, un canal de signalement, des enquêtes, des contrôles et de l’amélioration. La FAQ du comité ISO/TC 309 (mai 2022) résume ces mesures ; le tableau les relie aux preuves qu’un auditeur demande.

Trois précisions de la même FAQ évitent des malentendus. La norme peut ne couvrir qu’une partie de l’organisation : certaines activités, ou une ou plusieurs sociétés d’un groupe. Elle ne demande pas un programme séparé : ses mesures s’intègrent aux processus et contrôles existants, grâce à la structure commune des normes de systèmes de management. Enfin, ses usages dépassent la certification : elle sert aussi de référentiel pour évaluer un partenaire, ou de condition d’entrée dans une chaîne de valeur.

Par exemple, un équipementier automobile de la région de Tanger, certifié ISO 9001, reçoit de son client européen un code de conduite fournisseur et un questionnaire sur la corruption, les données personnelles et les sanctions. Il n’a pas besoin d’un second système : il ajoute à sa cartographie des processus un registre des obligations, une évaluation des risques de conformité et un canal de signalement, puis les fait vivre dans ses audits internes et sa revue de direction.

Que recommande ISO 37000 pour la gouvernance des organisations ?

ISO 37000:2021, « Gouvernance des organismes — Recommandations », donne au conseil d’administration et à la direction des principes pour diriger, surveiller et rendre compte, afin que l’organisation remplisse sa raison d’être. C’est un guide : elle ne se certifie pas et n’ajoute aucune obligation réglementaire.

Selon sa page sur iso.org, la norme (première édition, septembre 2021, 36 pages, ISO/TC 309) a été réexaminée et confirmée en 2026. Elle s’adresse aux organes de gouvernance et aux parties prenantes concernées par la gouvernance, et s’applique à toute organisation, quels que soient son type, sa taille, sa localisation, sa structure ou sa finalité. Le comité ISO/TC 309 la décrit comme un référentiel qui n’introduit pas de réglementation supplémentaire, mais complète les textes existants.

Le comité résume la norme en onze thèmes. Le tableau les traduit en questions qu’un conseil peut se poser.

Le comité insiste sur deux points : une surveillance efficace, par un système de contrôle interne clair et des processus d’assurance fiables, et la redevabilité à tous les niveaux, puisque l’organe de gouvernance répond en dernier ressort des actions et des omissions de l’organisation. ISO 37301 est l’outil qui rend ces deux principes vérifiables pour la conformité : ISO 37000 dit ce que le conseil doit surveiller, ISO 37301 organise ce qu’il surveille.

Pour la responsabilité sociétale au sens large, la référence reste ISO 26000, qui ne se certifie pas non plus ; notre guide label RSE CGEM et ISO 26000 en détaille la grille.

Où se place ISO 37001:2025, et comment combiner les trois normes ?

ISO 37001:2025, qui remplace ISO 37001:2016, est la norme certifiable de management anticorruption : elle traite un seul risque, quand ISO 37301 couvre toutes les obligations de conformité. Les deux partagent la même structure et s’intègrent dans un même système, sous la gouvernance décrite par ISO 37000.

Selon sa page sur iso.org, ISO 37001:2025 (deuxième édition, février 2025, ISO/TC 309) aide les organisations à prévenir, détecter et traiter la corruption, directe ou indirecte, et à respecter les lois anticorruption et les engagements volontaires qui s’appliquent à leurs activités, dans les secteurs public, privé et associatif. ISO 37001:2016 et son amendement de 2024 sont annulés. La page d’ISO 37301 résume la différence : ISO 37001 se concentre sur la corruption, ISO 37301 couvre un champ de conformité plus large.

Nous avons déjà détaillé ISO 37001 : son contenu, le cadre marocain et l’intégration à ISO 9001 dans notre guide ISO 50001, 27001, 22301 et 37001 au Maroc, le calendrier de transition dans notre point sur les versions et exigences 2026-2027, et les facteurs de durée dans l’article sur le coût de certification ISO 50001, 27001, 22301 et 37001. Ce guide-ci traite donc de la façon de les combiner.

L’ordre importe moins que le socle commun : une seule politique d’éthique et de conformité, une seule fonction, un seul canal de signalement, un seul programme d’audit interne. Un site certifié ISO 9001:2026 (anciennement ISO 9001:2015) ou ISO 14001:2026 (anciennement ISO 14001:2015) garde sa cartographie, sa maîtrise documentaire et sa revue de direction ; notre page QSE et systèmes ISO décrit cette intégration.

Pourquoi le « G » de l’ESG passe-t-il par ces normes au Maroc ?

Parce que les régulateurs, les clients et les banques demandent désormais des preuves de gouvernance, et plus seulement des déclarations. Au Maroc, le code de bonne gouvernance 2025 des sociétés faisant appel public à l’épargne attend un dispositif de déontologie et de conformité ; en Europe, les normes de reporting des clients demandent des données de gouvernance à leurs fournisseurs.

Le code de bonne gouvernance d’entreprise 2025

Selon ses priorités d’actions 2026, l’Autorité marocaine du marché des capitaux (AMMC) a participé, au sein de la Commission nationale de gouvernance d’entreprise (CNGE), à la modernisation du code marocain de bonnes pratiques de gouvernance d’entreprise de 2008. Le référentiel adopté en 2025 comprend un code général et cinq codes spécifiques. Le code spécifique aux entreprises faisant appel public à l’épargne, publié par l’AMMC, rappelle les cinq profils couverts par les codes spécifiques : entreprises faisant appel public à l’épargne, établissements de crédit, entreprises d’assurances et de réassurance, entreprises et établissements publics, PME et TPE, y compris familiales. Une PME non cotée a donc, elle aussi, un code de référence.

Ce code est entré en vigueur le 18 décembre 2025. Ce qu’il demande, et ce que les normes ISO apportent :

Le code ne cite pas les normes ISO et n’exige aucune certification. Il fixe des pratiques ; ISO 37301 et ISO 37001 donnent une méthode éprouvée pour les mettre en place et en garder les preuves. Le cadre public de la prévention de la corruption repose, lui, sur la loi n° 46-19, promulguée par le dahir n° 1-21-36 du 21 avril 2021, qui confie à l’Instance nationale de la probité, de la prévention et de la lutte contre la corruption (INPPLC) la mission, entre autres, d’ancrer les principes de bonne gouvernance (art. 4).

Ce que demandent les clients européens

Les fournisseurs non cotés reçoivent la gouvernance par une autre porte : le reporting de leurs clients. La norme VSME, annexe I du règlement délégué (UE) 2026/1560, demande dans son module de base le nombre de condamnations et le montant total des amendes pour infraction à la législation anticorruption au cours de la période, s’il y en a eu (B11, paragraphe 43). Son module complet demande le ratio de mixité de l’organe de gouvernance, s’il existe (C9, paragraphe 64). Notre guide de la norme VSME détaille ces rubriques. Les grandes entreprises soumises à la CSRD appliquent les ESRS, dont la norme de gouvernance G1 ; notre article sur les ESRS simplifiés en donne le calendrier, et notre comparatif ESRS, VSME, GRI, IFRS S2 aide à choisir le référentiel.

Un système ISO 37301 rend ces réponses simples : le registre des contentieux alimente B11, le procès-verbal de composition du conseil alimente C9, et le code de conduite, le canal de signalement et les formations répondent aux questions de conduite des affaires des questionnaires et du devoir de vigilance de vos clients.

Peut-on certifier ISO 37301, et comment préparer le projet ?

Oui. ISO 37301 est une norme d’exigences : un organisme de certification indépendant peut vérifier qu’un système y est conforme. La certification n’est pas obligatoire, sauf quand un contrat ou un marché l’exige, et elle ne garantit pas l’absence de manquement.

La FAQ du comité ISO/TC 309 apporte les nuances utiles :

• Pas de certificat délivré par l’ISO. L’ISO publie les normes ; des organismes de certification externes auditent et certifient.
• Pas de protection absolue. Appliquer ISO 37301, certifié ou non, ne protège pas l’organisation contre des poursuites. Le système peut servir de preuve qu’elle avait pris des mesures adéquates, ce qui peut réduire ou exclure sa responsabilité selon le droit applicable ; la certification par un tiers renforce cette preuve.
• Pas de garantie de résultat. La norme aide à prévenir, détecter et traiter le risque de conformité ; elle n’assure pas qu’aucun manquement ne surviendra.
• Des organismes compétents. Les organismes de certification appliquent ISO/IEC 17021-1, complétée pour les systèmes de conformité par une spécification technique de compétences propre (ISO/IEC TS 17021-13). L’accréditation n’est pas obligatoire, mais elle confirme la compétence de façon indépendante. Au Maroc, le Service Marocain d’Accréditation (SEMAC) publie la liste des organismes qu’il accrédite : vérifiez la portée.

Les étapes d’un projet ISO 37301

1. Cadrage. Le conseil ou la direction générale fixe le périmètre (entités, sites, activités) et nomme la fonction conformité.
2. Registre des obligations. Lois et règlements applicables, contrats clients, codes de conduite signés, engagements publics.
3. Évaluation des risques de conformité. Probabilité et conséquences par obligation et par processus ; priorités.
4. Politique et organisation. Politique de conformité, code de conduite, conflits d’intérêts, canal de signalement, procédure d’enquête.
5. Déploiement. Contrôles intégrés aux processus existants, formation par niveau d’exposition, communication aux partenaires d’affaires.
6. Vérification. Indicateurs, audit interne, revue de direction, puis audit à blanc avant l’audit de certification, si vous le visez.

Votre dispositif est-il prêt ?

• Le périmètre du système est écrit et approuvé par la direction.
  
• Une fonction conformité est nommée, avec un accès direct à l’organe de gouvernance.
  
• Le registre des obligations couvre la loi et les engagements volontaires (contrats, codes clients).
  
• Les risques de conformité sont évalués et datés, avec des priorités.
  
• La politique de conformité et le code de conduite sont signés et diffusés au personnel et aux partenaires.
  
• Un canal de signalement confidentiel existe, avec une protection contre les représailles.
  
• Les personnes les plus exposées sont formées, preuves à l’appui.
  
• Un audit interne et une revue de direction ont couvert le système.
  
• Pour une société faisant appel public à l’épargne : le bilan annuel de gouvernance est préparé selon le code 2025.
  
• L’organisme de certification pressenti est accrédité pour ISO 37301.