O que é a ISO 37301, a norma de sistemas de gestão de compliance?
A ISO 37301:2021, «Compliance management systems — Requirements with guidance for use» (sistemas de gestão de compliance — requisitos e orientações para utilização; tradução nossa), fixa os requisitos de um sistema que permite a uma organização conhecer todas as suas obrigações e provar que as cumpre. Substituiu a ISO 19600:2014, que era apenas um guia, e certifica-se.
Segundo a sua página no iso.org, consultada a 11 de novembro de 2026, a norma está na sua primeira edição (abril de 2021, 40 páginas), elaborada pelo comité ISO/TC 309 «Governance of organizations». Foi reexaminada e confirmada em 2026: esta versão continua em vigor. Uma emenda, ISO 37301:2021/Amd 1:2024, acrescenta-lhe a tomada em conta das alterações climáticas («Climate action changes»), como para as outras normas de sistemas de gestão.
Uma nota de vocabulário: em Portugal fala-se tanto de «gestão da conformidade» como de «compliance»; no Brasil e em boa parte da África lusófona, «compliance» domina. As duas expressões designam aqui a mesma coisa.
O comité ISO/TC 309 precisa quatro pontos úteis:
- a norma foi publicada a 13 de abril de 2021;
- visa qualquer organização, independentemente do seu tipo, da sua dimensão e da natureza da sua atividade, no setor público, privado ou sem fins lucrativos;
- assenta em quatro princípios: boa governação, proporcionalidade, transparência e sustentabilidade;
- é uma norma de sistemas de gestão «de tipo A», que se integra com a ISO 9001 (qualidade), a ISO 14001 (ambiente) e a ISO 37001 (antissuborno).
Da ISO 19600:2014 à ISO 37301:2021
Aquando do reexame da ISO 19600:2014, «Compliance management systems — Guidelines», o comité decidiu em setembro de 2018 transformá-la numa norma de requisitos, com um novo número. A ISO 19600 foi anulada com a publicação da ISO 37301. A diferença é grande: um guia lê-se e aplica-se livremente, uma norma de requisitos audita-se. Se a sua política de compliance ainda cita a ISO 19600, remete para um texto que já não existe.
O que abrange uma «obrigação de compliance»
Na prática, o registo de um sistema ISO 37301 contém duas famílias de obrigações: as que a lei impõe e as que a empresa escolheu respeitar (contratos de clientes, código de conduta de um cliente industrial, carta de um selo, compromissos públicos). É isso que distingue o compliance da simples vigilância jurídica: um exportador que assina o código de conduta de fornecedores do seu cliente europeu acrescenta uma obrigação ao seu registo, mesmo que nenhuma lei marroquina lha imponha.
O que pede concretamente a ISO 37301 a uma empresa?
Pede um dispositivo completo e proporcionado: obrigações identificadas, riscos avaliados, uma política assumida pela gestão de topo, responsabilidades, formação, um canal de denúncia, investigações, controlos e melhoria. As perguntas frequentes do comité ISO/TC 309 (maio de 2022) resumem estas medidas; a tabela liga-as às provas que um auditor pede.
Requisito resumido pelo ISO/TC 309 | O que a empresa implementa | Prova-tipo em Marrocos |
|---|---|---|
Identificar as obrigações de compliance ligadas aos produtos, serviços e atividades, e avaliar os riscos de incumprimento | Registo das obrigações, mapeamento dos riscos de compliance | Registo que cobre o Código do Trabalho, a lei n.º 09-08 (dados pessoais), a lei n.º 28-00 (resíduos), as cláusulas dos contratos de clientes |
Fixar os limites e o âmbito do sistema | Âmbito escrito | Locais, filiais e atividades abrangidos, exclusões justificadas |
Compromisso e responsabilidade da gestão de topo | Política de compliance assinada, papel do órgão de governação | Ata do conselho, carta de compromisso do diretor-geral |
Comunicar a política ao pessoal e aos parceiros de negócio | Divulgação interna e externa | Acusações de receção, cláusulas de fornecedores, sítio internet |
Objetivos, responsabilidades e autoridades em cada nível | Função de compliance nomeada, objetivos mensuráveis | Descrição de funções, organigrama, acesso direto à gestão de topo |
Formação e comunicação | Plano de formação por nível de exposição | Folhas de presença, questionários, suportes |
Avaliação regular dos riscos | Revisão periódica do mapeamento | Mapeamento datado e revisto |
Denúncia, monitorização, investigação e auditoria | Canal de denúncia, procedimento de investigação, programa de auditoria interna | Registo das denúncias, relatórios de investigação e de auditoria |
Medição e avaliação do desempenho | Indicadores de compliance | Painel apresentado na revisão pela gestão |
Ações corretivas, revisão pela gestão, melhoria | Tratamento dos desvios | Plano de ações acompanhado, ata da revisão |
Três precisões das mesmas perguntas frequentes evitam mal-entendidos. A norma pode cobrir apenas uma parte da organização: certas atividades, ou uma ou várias sociedades de um grupo. Não pede um programa separado: as suas medidas integram-se nos processos e controlos existentes, graças à estrutura comum das normas de sistemas de gestão. Por fim, os seus usos vão além da certificação: serve também de referencial para avaliar um parceiro, ou de condição de entrada numa cadeia de valor.
Por exemplo, um fornecedor automóvel da região de Tânger, certificado ISO 9001, recebe do seu cliente europeu um código de conduta de fornecedores e um questionário sobre corrupção, dados pessoais e sanções. Não precisa de um segundo sistema: acrescenta ao seu mapa de processos um registo das obrigações, uma avaliação dos riscos de compliance e um canal de denúncia, e depois mantém-nos vivos nas suas auditorias internas e na sua revisão pela gestão.
O que recomenda a ISO 37000 para a governação das organizações?
A ISO 37000:2021, «Governance of organizations — Guidance» (governação das organizações — orientações; tradução nossa), dá ao conselho de administração e à direção princípios para dirigir, supervisionar e prestar contas, para que a organização cumpra a sua razão de ser. É um guia: não se certifica e não acrescenta nenhuma obrigação regulamentar.
Segundo a sua página no iso.org, a norma (primeira edição, setembro de 2021, 36 páginas, ISO/TC 309) foi reexaminada e confirmada em 2026. Dirige-se aos órgãos de governação e às partes interessadas na governação, e aplica-se a qualquer organização, independentemente do seu tipo, da sua dimensão, da sua localização, da sua estrutura ou da sua finalidade. O comité ISO/TC 309 descreve-a como um referencial que não introduz regulamentação adicional, mas complementa os textos existentes.
O comité resume a norma em onze temas. A tabela traduz-os em perguntas que um conselho pode fazer a si próprio.
Princípio ISO 37000 (segundo o ISO/TC 309) | Pergunta para o conselho | Prova esperada |
|---|---|---|
Razão de ser | Porque existe a empresa, para quem cria valor? | Razão de ser escrita e validada |
Modelo de criação de valor | Como é criado e partilhado o valor? | Modelo de negócio descrito |
Estratégia | A estratégia serve a razão de ser? | Plano estratégico aprovado |
Supervisão | O conselho acompanha o desempenho, com um controlo interno e uma garantia fiáveis? | Comissão de auditoria, relatórios de controlo interno |
Responsabilização | Quem recebeu uma delegação presta contas? | Delegações de poderes, reporte |
Envolvimento das partes interessadas | As expectativas das partes interessadas são conhecidas? | Mapeamento e diálogo documentados |
Liderança | Os dirigentes dão o tom ético? | Código de conduta assumido pela gestão de topo |
Dados e decisões | As decisões assentam em dados fiáveis? | Governação dos dados |
Governação do risco | O efeito da incerteza na estratégia é gerido? | Apetite ao risco aprovado |
Responsabilidade social | As decisões são transparentes e alinhadas com as expectativas da sociedade? | Política de RSE, relatório ESG |
Viabilidade e desempenho ao longo do tempo | A empresa continua viável sem comprometer as gerações futuras? | Plano de longo prazo, riscos climáticos |
O comité insiste em dois pontos: uma supervisão eficaz, através de um sistema de controlo interno claro e de processos de garantia fiáveis, e a responsabilização a todos os níveis, uma vez que o órgão de governação responde em última instância pelas ações e omissões da organização. A ISO 37301 é a ferramenta que torna estes dois princípios verificáveis para o compliance: a ISO 37000 diz o que o conselho deve supervisionar, a ISO 37301 organiza aquilo que ele supervisiona.
Para a responsabilidade social em sentido amplo, a referência continua a ser a ISO 26000, que também não se certifica; a nossa página RSE em Marrocos: ISO 26000 e selo CGEM detalha a sua grelha.
Onde se situa a ISO 37001:2025, e como combinar as três normas?
A ISO 37001:2025, que substitui a ISO 37001:2016, é a norma certificável de sistemas de gestão antissuborno: trata um único risco, enquanto a ISO 37301 cobre todas as obrigações de compliance. As duas partilham a mesma estrutura e integram-se num mesmo sistema, sob a governação descrita pela ISO 37000.
Segundo a sua página no iso.org, a ISO 37001:2025 (segunda edição, fevereiro de 2025, ISO/TC 309) ajuda as organizações a prevenir, detetar e tratar o suborno, direto ou indireto, e a respeitar as leis anticorrupção e os compromissos voluntários aplicáveis às suas atividades, nos setores público, privado e sem fins lucrativos. A ISO 37001:2016 e a sua emenda de 2024 estão anuladas. A página da ISO 37301 resume a diferença: a ISO 37001 concentra-se no suborno, a ISO 37301 cobre um campo de compliance mais amplo.
Este guia não retoma o conteúdo detalhado da ISO 37001 nem o calendário de transição dos certificados acreditados: trata da forma de combinar as três normas.
A sua situação | Norma a visar primeiro | Porquê |
|---|---|---|
Concursos públicos, intermediários comerciais, parceiros que exigem um programa anticorrupção | ISO 37001:2025 | O risco principal é o suborno, e o pedido visa esse risco |
Questionários de clientes sobre vários temas (corrupção, dados, sanções, concorrência, direitos humanos) | ISO 37301:2021 | Um único registo responde a todas as perguntas |
Sociedade cotada ou emitente: relatório ESG e balanço de governação anuais | ISO 37000:2021 como grelha, ISO 37301 para a função de compliance | O código marroquino de governação pede um dispositivo de conformidade e um relatório |
Já certificado ISO 37001 | Alargar à ISO 37301 | A mesma estrutura: alarga-se o registo das obrigações e o mapeamento dos riscos |
Grupo com vários locais ou filial de um grupo europeu | ISO 37301 no perímetro exposto | A norma pode cobrir apenas uma parte da organização |
A ordem importa menos do que a base comum: uma única política de ética e compliance, uma única função, um único canal de denúncia, um único programa de auditoria interna. Um local certificado ISO 9001:2026 (anteriormente ISO 9001:2015) ou ISO 14001:2026 (anteriormente ISO 14001:2015) mantém o seu mapa de processos, o seu controlo documental e a sua revisão pela gestão; o compliance acrescenta-se a esse sistema, sem o duplicar.
Porque é que o «G» do ESG passa por estas normas em Marrocos?
Porque os reguladores, os clientes e os bancos pedem agora provas de governação, e já não apenas declarações. Em Marrocos, o código de boa governação 2025 das sociedades que fazem apelo público à poupança espera um dispositivo de deontologia e de conformidade; na Europa, as normas de relato dos clientes pedem dados de governação aos seus fornecedores.
O código de boa governação das empresas 2025
Segundo as suas prioridades de ação 2026, a Autoridade Marroquina do Mercado de Capitais (AMMC) participou, no seio da Comissão Nacional de Governação das Empresas (CNGE), na modernização do código marroquino de boas práticas de governação das empresas de 2008. O referencial adotado em 2025 compreende um código geral e cinco códigos específicos. O código específico das empresas que fazem apelo público à poupança, publicado pela AMMC em francês, recorda os cinco perfis abrangidos pelos códigos específicos: empresas que fazem apelo público à poupança, instituições de crédito, empresas de seguros e de resseguros, empresas e estabelecimentos públicos, PME e TPE (muito pequenas empresas), incluindo as familiares. Uma PME não cotada tem, portanto, também ela, um código de referência.
Este código entrou em vigor a 18 de dezembro de 2025. O que pede, e o que as normas ISO trazem (resumo nosso do texto francês):
O que diz o código (APE, 2025) | Secção | Contributo das normas ISO |
|---|---|---|
O relatório ESG anual reflete o nível de conformidade com as práticas do código; qualquer divergência é explicada («cumprir ou explicar») | Introdução | A ISO 37000 como grelha de autoavaliação do balanço anual de governação |
A sociedade cotada na Bolsa de Casablanca designa um responsável pela deontologia (regulamentação atual) | 6 | A função de compliance da ISO 37301, com acesso direto ao órgão de governação |
Um dispositivo que inclui um mapeamento dos riscos, a formação do pessoal mais exposto, uma política anticorrupção publicada e um sistema de alerta confidencial que protege contra represálias | 6.3 | Avaliação dos riscos e denúncia da ISO 37301; política e diligência devida da ISO 37001 |
Uma política de gestão dos conflitos de interesses aprovada pelo conselho e publicada | 6.4 | Obrigação inscrita no registo, controlos e auditoria interna |
Três linhas: operações, depois gestão dos riscos e compliance, depois auditoria interna independente | 7.C | Papéis e responsabilidades, monitorização e auditoria da ISO 37301 |
Relatório ESG baseado num referencial internacional reconhecido, com um balanço anual de governação; verificação possível por um organismo externo independente | 8.3 | Indicadores de compliance retirados do sistema, rastreáveis para o verificador |
O código não cita as normas ISO e não exige nenhuma certificação. Fixa práticas; a ISO 37301 e a ISO 37001 dão um método comprovado para as implementar e conservar as provas. O quadro público da prevenção da corrupção assenta, por sua vez, na lei n.º 46-19, promulgada pelo dahir n.º 1-21-36 de 21 de abril de 2021, que confia à Instância Nacional da Probidade, da Prevenção e da Luta contra a Corrupção (INPPLC) a missão, entre outras, de enraizar os princípios de boa governação (art. 4.º).
O que pedem os clientes europeus
Os fornecedores não cotados recebem a governação por outra porta: o relato dos seus clientes. A norma VSME, anexo I do Regulamento Delegado (UE) 2026/1560, pede no seu módulo de base o número de condenações e o montante total das coimas por infração à legislação anticorrupção durante o período, se as houver (B11, parágrafo 43). O seu módulo completo pede o rácio de diversidade de género do órgão de governação, se existir (C9, parágrafo 64). O nosso guia da norma VSME para fornecedores detalha estes pontos. As grandes empresas sujeitas à CSRD aplicam as ESRS, entre as quais a norma de governação G1; o nosso artigo sobre as ESRS simplificadas dá o seu calendário, e o nosso comparativo ESRS, VSME, GRI e IFRS S2 ajuda a escolher o referencial.
Um sistema ISO 37301 torna estas respostas simples: o registo dos contenciosos alimenta o B11, a ata da composição do conselho alimenta o C9, e o código de conduta, o canal de denúncia e as formações respondem às perguntas sobre conduta empresarial dos questionários e da diligência devida na cadeia de abastecimento dos seus clientes.
É possível certificar a ISO 37301, e como preparar o projeto?
Sim. A ISO 37301 é uma norma de requisitos: um organismo de certificação independente pode verificar que um sistema está conforme. A certificação não é obrigatória, salvo quando um contrato ou um concurso a exige, e não garante a ausência de incumprimentos.
As perguntas frequentes do comité ISO/TC 309 trazem as nuances úteis:
- Nenhum certificado emitido pela ISO. A ISO publica as normas; organismos de certificação externos auditam e certificam.
- Nenhuma proteção absoluta. Aplicar a ISO 37301, com ou sem certificação, não protege a organização contra processos. O sistema pode servir de prova de que tinha tomado medidas adequadas, o que pode reduzir ou excluir a sua responsabilidade consoante o direito aplicável; a certificação por um terceiro reforça essa prova.
- Nenhuma garantia de resultado. A norma ajuda a prevenir, detetar e tratar o risco de compliance; não assegura que nenhum incumprimento ocorrerá.
- Organismos competentes. Os organismos de certificação aplicam a ISO/IEC 17021-1, completada para os sistemas de compliance por uma especificação técnica de competências própria (ISO/IEC TS 17021-13). A acreditação não é obrigatória, mas confirma a competência de forma independente. Em Marrocos, o Serviço Marroquino de Acreditação (SEMAC) publica a lista dos organismos que acredita: verifique o âmbito.
As etapas de um projeto ISO 37301
- Enquadramento. O conselho ou a direção-geral fixa o perímetro (entidades, locais, atividades) e nomeia a função de compliance.
- Registo das obrigações. Leis e regulamentos aplicáveis, contratos de clientes, códigos de conduta assinados, compromissos públicos.
- Avaliação dos riscos de compliance. Probabilidade e consequências por obrigação e por processo; prioridades.
- Política e organização. Política de compliance, código de conduta, conflitos de interesses, canal de denúncia, procedimento de investigação.
- Implementação. Controlos integrados nos processos existentes, formação por nível de exposição, comunicação aos parceiros de negócio.
- Verificação. Indicadores, auditoria interna, revisão pela gestão e, depois, auditoria simulada antes da auditoria de certificação, se a visar.