ISO 37001: Guia Completo do Sistema de Gestão Antissuborno [2026]

Em 2023, o Brasil ocupava a 104ª posição no Índice de Percepção da Corrupção da Transparência Internacional. Os números revelam uma realidade que gestores conhecem de perto: operar no mercado brasileiro exige blindagem contra riscos de suborno — tanto para evitar envolvimento quanto para não se tornar vítima. A ISO 37001 surgiu como resposta global a esse desafio, e empresas que a implementam descobrem algo além da conformidade: vantagem competitiva real.

Este guia investiga tudo sobre a norma ISO 37001, desde seus requisitos técnicos até o processo de certificação, passando por custos reais e a conexão crítica com a Lei Anticorrupção brasileira. Se sua empresa busca proteção robusta contra riscos de suborno, as próximas seções mostram exatamente como construí-la.

O Que É ISO 37001?

A ISO 37001 é uma norma internacional que especifica requisitos e fornece orientações para estabelecer, implementar, manter e melhorar um sistema de gestão antissuborno. Publicada originalmente em 2016 pela International Organization for Standardization (ISO), ela representa o primeiro padrão global certificável dedicado exclusivamente ao combate ao suborno.

O objetivo central é ajudar organizações a prevenir, detectar e responder ao suborno em todas as suas formas — seja praticado pela própria organização, por funcionários ou por terceiros que atuam em seu nome.

Histórico: Da Versão 2016 à Atualização 2025

A primeira versão da ISO 37001 foi publicada em outubro de 2016, fruto de cinco anos de desenvolvimento envolvendo especialistas de mais de 60 países. No Brasil, a ABNT publicou a versão traduzida como ABNT NBR ISO 37001.

Em fevereiro de 2025, a ISO lançou uma revisão significativa da norma. A ISO 37001:2025 incorpora lições aprendidas na última década e alinha-se aos Objetivos de Desenvolvimento Sustentável da Agenda 2030 da ONU. Entre as principais mudanças:

• Responsabilidade da liderança ampliada: A nova versão retira da alta direção a posição passiva de "exemplo" e atribui responsabilidade contínua, rastreável e mensurável sobre o funcionamento do sistema antissuborno.
• Integração com sustentabilidade: Novas cláusulas conectam o combate ao suborno com princípios ESG (Environmental, Social, Governance).
• Contexto organizacional expandido: As cláusulas 4.1 e 4.2 foram revisadas para exigir análise mais profunda das partes interessadas e seus impactos.

Organizações já certificadas na versão 2016 têm até 28 de fevereiro de 2027 para concluir a transição para a ISO 37001:2025.

Por Que a ISO 37001 Foi Criada?

O suborno representa um dos maiores obstáculos ao desenvolvimento econômico sustentável. Segundo estimativas do Banco Mundial, mais de US$ 1 trilhão é pago em subornos anualmente no mundo. No Brasil, investigações como a Lava Jato revelaram esquemas que desviaram bilhões de reais dos cofres públicos.

Antes da ISO 37001, existiam legislações nacionais (como a Lei Anticorrupção brasileira e o UK Bribery Act) e diretrizes setoriais, mas nenhum padrão internacional certificável que permitisse às organizações demonstrar seu compromisso antissuborno de forma padronizada e auditável.

A norma preenche essa lacuna ao fornecer um framework reconhecido globalmente que pode ser verificado por terceiros independentes.

ISO 37001 vs Lei Anticorrupção Brasileira (Lei 12.846/2013)

Uma dúvida frequente entre gestores brasileiros: qual a relação entre a ISO 37001 e a Lei 12.846/2013 (Lei Anticorrupção)? Embora ambas tratem de combate à corrupção, têm naturezas e escopos distintos que se complementam.

Diferenças Fundamentais

Aspecto	Lei 12.846/2013	ISO 37001
Natureza	Legislação nacional obrigatória	Norma voluntária internacional
Escopo	Atos contra administração pública	Suborno em geral (público e privado)
Abordagem	Responsabilização objetiva	Prevenção e gestão de riscos
Sanções	Multas, publicação de condenação, proibição de incentivos	Não aplicável (norma de gestão)
Verificação	Autoridades públicas	Organismos certificadores acreditados

Como Se Complementam

A Lei Anticorrupção brasileira estabelece a responsabilidade objetiva das empresas por atos lesivos contra a administração pública. Isso significa que a empresa responde independentemente de culpa — basta provar que o ato ocorreu e beneficiou a organização.

O Decreto 8.420/2015, que regulamenta a lei, introduziu o conceito de Programa de Integridade como atenuante de penalidades. Empresas com programas robustos podem ter multas reduzidas em até 4%.

É aqui que a ISO 37001 entra como aliada estratégica. A certificação demonstra de forma objetiva e auditável que a empresa possui um sistema de gestão antissuborno implementado. Em processos administrativos ou judiciais, isso representa evidência concreta de que a organização tomou medidas razoáveis para prevenir condutas ilícitas.

O Programa de Integridade do Decreto 8.420/2015

O decreto brasileiro lista 16 parâmetros para avaliação de programas de integridade. A ISO 37001 cobre todos eles e vai além:

1. Comprometimento da alta direção
2. Padrões de conduta e políticas
3. Controles internos
4. Treinamento contínuo
5. Análise de riscos
6. Registros contábeis confiáveis
7. Controles em processos licitatórios
8. Independência do setor de integridade
9. Canais de denúncia
10. Medidas disciplinares
11. Procedimentos de remediação
12. Due diligence de terceiros
13. Verificações em fusões e aquisições
14. Monitoramento contínuo
15. Transparência em doações
16. Transparência em patrocínios

A certificação ISO 37001 funciona como um "selo" de que esses requisitos estão não apenas documentados, mas efetivamente implementados e auditados.

Requisitos da ISO 37001: O Que a Norma Exige

A ISO 37001 segue a estrutura de alto nível (HLS) comum a todas as normas de sistemas de gestão ISO, o que facilita a integração com outros sistemas como ISO 9001 (Qualidade) e ISO 27001 (Segurança da Informação).

Contexto da Organização (Cláusula 4)

A organização deve determinar questões internas e externas relevantes para seu propósito que possam afetar sua capacidade de alcançar os objetivos do sistema antissuborno. Isso inclui:

• Identificar partes interessadas relevantes (acionistas, clientes, reguladores, comunidade)
• Compreender necessidades e expectativas dessas partes
• Determinar o escopo do sistema de gestão
• Avaliar riscos de suborno específicos da organização

A versão 2025 ampliou esse requisito para incluir considerações de sustentabilidade e impacto social.

Liderança (Cláusula 5)

A alta direção deve demonstrar liderança e comprometimento ativo — não basta delegar. Entre as responsabilidades:

• Aprovar e comunicar a política antissuborno
• Assegurar integração dos requisitos nos processos de negócio
• Garantir recursos adequados
• Promover melhoria contínua
• Apoiar outros gestores em suas áreas de responsabilidade

A norma exige também a designação de uma função de compliance antissuborno com autoridade e independência adequadas.

Planejamento (Cláusula 6)

A organização deve conduzir uma avaliação de riscos de suborno abrangente. Esse é um dos requisitos mais críticos e envolve:

• Identificar categorias de risco (geográfico, setorial, transacional, de parceiros)
• Avaliar probabilidade e impacto de cada risco
• Priorizar riscos para tratamento
• Definir objetivos antissuborno mensuráveis
• Planejar ações para abordar riscos e oportunidades

Apoio (Cláusula 7)

Os requisitos de apoio incluem:

• Recursos: humanos, financeiros, tecnológicos adequados
• Competência: pessoal com conhecimento e habilidades necessárias
• Conscientização: todos devem conhecer a política e suas responsabilidades
• Comunicação: processos para comunicação interna e externa
• Informação documentada: políticas, procedimentos, registros

O treinamento é especialmente enfatizado. Todos os colaboradores devem receber treinamento apropriado ao seu nível de exposição a riscos de suborno.

Operação (Cláusula 8)

Esta é a seção mais extensa e detalha os controles operacionais:

Due diligence: A norma exige avaliação prévia de parceiros comerciais, agentes, fornecedores e outros terceiros. O nível de diligência deve ser proporcional ao risco identificado. Para relacionamentos de alto risco, isso pode incluir verificação de antecedentes, análise de estrutura societária e monitoramento contínuo.

Controles financeiros e não-financeiros: Segregação de funções, limites de aprovação, revisão de pagamentos atípicos, controle de despesas de hospitalidade e presentes.

Controles sobre parceiros: Cláusulas contratuais antissuborno, direito de auditoria, rescisão por violação.

Gestão de presentes, hospitalidade e doações: Políticas claras sobre o que é aceitável, processos de aprovação, registro de todas as ocorrências.

Canal de denúncias: Mecanismo confidencial (idealmente anônimo) para relato de preocupações, com proteção contra retaliação.

Investigação e tratamento: Procedimentos para investigar denúncias e alegações, com medidas corretivas e disciplinares quando apropriado.

Avaliação de Desempenho (Cláusula 9)

A organização deve monitorar, medir, analisar e avaliar o sistema de gestão:

• Indicadores de desempenho antissuborno
• Auditorias internas periódicas
• Análise crítica pela direção

Melhoria (Cláusula 10)

Quando não conformidades são identificadas, a organização deve:

• Reagir e controlar
• Avaliar necessidade de ações corretivas
• Implementar ações necessárias
• Analisar eficácia das ações
• Atualizar riscos e oportunidades se necessário

Como Implementar a ISO 37001: Passo a Passo

A implementação de um sistema de gestão antissuborno é um projeto que exige planejamento cuidadoso. O cronograma varia de 4 a 18 meses dependendo do porte e complexidade da organização.

Etapa 1: Diagnóstico Inicial (Gap Analysis)

Antes de qualquer ação, é fundamental entender onde a organização está. O gap analysis compara a situação atual com os requisitos da norma:

• Mapear políticas e controles existentes
• Identificar lacunas em relação aos requisitos
• Avaliar maturidade do ambiente de controle
• Priorizar gaps por criticidade
• Estimar esforço de implementação

Muitas organizações contratam consultorias especializadas para essa fase, mas equipes internas capacitadas também podem conduzir o diagnóstico.

Etapa 2: Avaliação de Riscos de Suborno

Com o diagnóstico em mãos, a próxima etapa é a avaliação formal de riscos:

• Riscos geográficos: operações em países com alta percepção de corrupção
• Riscos setoriais: indústrias mais expostas (construção, energia, saúde)
• Riscos transacionais: licitações, licenças, autorizações governamentais
• Riscos de parceiros: agentes comerciais, intermediários, fornecedores
• Riscos de projeto: grandes contratos, joint ventures

O resultado é uma matriz de riscos que orientará a intensidade dos controles em cada área.

Etapa 3: Desenvolvimento de Políticas e Procedimentos

Baseado nos riscos identificados, a organização desenvolve ou atualiza:

• Política antissuborno (aprovada pela alta direção)
• Código de conduta com diretrizes específicas
• Procedimentos de due diligence para terceiros
• Política de presentes, hospitalidade e despesas
• Procedimentos de contratação e gestão de fornecedores
• Regras para doações e patrocínios
• Procedimento de canal de denúncias
• Procedimento de investigação interna

A documentação deve ser clara, prática e acessível a todos os níveis da organização.

Etapa 4: Implementação de Controles

Com políticas definidas, é hora de operacionalizar:

• Configurar fluxos de aprovação em sistemas
• Implementar segregação de funções
• Ativar canal de denúncias
• Estabelecer rotinas de monitoramento
• Integrar due diligence nos processos de compras e parcerias
• Definir indicadores de desempenho

Nesta fase, a automação faz diferença significativa. Processos manuais de due diligence de fornecedores tendem a ser demorados, inconsistentes e sujeitos a falhas. Ferramentas de investigação empresarial automatizam verificações de antecedentes, análise de estrutura societária e monitoramento contínuo — requisitos explícitos da ISO 37001.

Etapa 5: Treinamento da Equipe

O sistema só funciona se as pessoas entenderem suas responsabilidades:

• Treinamento geral para todos os colaboradores
• Treinamento específico para áreas de maior risco (comercial, compras, financeiro)
• Capacitação aprofundada para a função de compliance
• Treinamento da alta direção
• Reciclagem periódica

O treinamento deve ser documentado e sua eficácia avaliada através de testes ou simulações.

Etapa 6: Auditoria Interna

Antes de buscar a certificação, a organização deve conduzir pelo menos um ciclo de auditoria interna:

• Verificar conformidade com a norma
• Identificar não conformidades remanescentes
• Testar eficácia dos controles
• Recomendar melhorias
• Preparar evidências para a certificação

Auditores internos devem ser independentes das áreas auditadas. Muitas organizações treinam equipes multidisciplinares ou contratam auditores externos para essa função.

Etapa 7: Certificação

Com o sistema implementado e testado, a organização está pronta para a certificação externa.

Processo de Certificação ISO 37001

A certificação é conduzida por organismos certificadores acreditados. No Brasil, os principais incluem Bureau Veritas, TÜV NORD, BSI, SGS e Fundação Vanzolini.

Escolha do Organismo Certificador

Critérios para seleção:

• Acreditação reconhecida (INMETRO ou equivalente internacional)
• Experiência no setor de atuação da empresa
• Presença geográfica adequada
• Reputação no mercado
• Custo-benefício

É permitido (e recomendável) solicitar propostas de múltiplos organismos.

Auditoria Fase 1: Análise Documental

A primeira fase avalia a prontidão da organização:

• Revisão da documentação do sistema
• Verificação do escopo proposto
• Análise da avaliação de riscos
• Avaliação da política e objetivos
• Identificação de áreas de preocupação

A Fase 1 geralmente é conduzida remotamente ou com visita breve às instalações. O resultado indica se a organização está pronta para a Fase 2 ou se há gaps que precisam ser tratados antes.

Auditoria Fase 2: Verificação In Loco

Esta é a auditoria completa de certificação:

• Verificação da implementação efetiva dos controles
• Entrevistas com colaboradores de diversos níveis
• Teste de registros e evidências
• Análise de casos práticos (presentes recebidos, due diligence realizadas, denúncias tratadas)
• Verificação de ações corretivas de auditorias internas

A duração depende do escopo e complexidade, variando de 2 a 10 dias de auditoria.

Emissão do Certificado

Se não houver não conformidades maiores, o certificado é emitido com validade de 3 anos. Não conformidades menores devem ser tratadas em prazo definido (geralmente 90 dias) e verificadas na próxima auditoria.

Auditorias de Manutenção e Recertificação

O ciclo de certificação inclui:

• Ano 1: Auditoria de manutenção (parcial)
• Ano 2: Auditoria de manutenção (parcial)
• Ano 3: Auditoria de recertificação (completa)

As auditorias de manutenção verificam amostra dos requisitos e acompanham o tratamento de não conformidades anteriores.

Custos e Tempo de Implementação

Transparência sobre investimentos ajuda no planejamento. Os valores variam significativamente por porte e complexidade.

Timeline por Porte de Empresa

Porte	Colaboradores	Timeline Típico
Pequena empresa	Até 50	4-6 meses
Média empresa	50-500	6-12 meses
Grande empresa	500-5.000	9-15 meses
Corporação	5.000+	12-18 meses

Esses prazos consideram implementação dedicada. Projetos com menos prioridade ou recursos podem levar mais tempo.

Custos de Consultoria

Valores de mercado para projetos de implementação:

Porte	Faixa de Investimento
Pequena empresa	R$ 25.000 - R$ 60.000
Média empresa	R$ 60.000 - R$ 150.000
Grande empresa	R$ 150.000 - R$ 300.000
Corporação	R$ 250.000 - R$ 500.000+

Organizações com equipes internas experientes podem reduzir significativamente esses valores conduzindo o projeto internamente com suporte pontual de consultoria.

Custos de Certificação

As taxas dos organismos certificadores variam por escopo e dias de auditoria:

Componente	Faixa Típica
Auditoria inicial (Fases 1 e 2)	R$ 15.000 - R$ 80.000
Auditoria de manutenção anual	R$ 8.000 - R$ 40.000
Auditoria de recertificação	R$ 12.000 - R$ 60.000

ROI da Certificação

O retorno sobre investimento vem de múltiplas fontes:

• Redução de multas: atenuante de até 4% em penalidades da Lei Anticorrupção
• Vantagem competitiva: diferencial em licitações e contratos internacionais
• Redução de perdas: prevenção de fraudes internas e externas
• Proteção reputacional: valor difícil de quantificar, mas potencialmente o maior
• Eficiência operacional: processos mais claros e controlados

Empresas que participam de licitações públicas ou operam em setores regulados frequentemente recuperam o investimento já no primeiro contrato conquistado.

Benefícios da Certificação ISO 37001

Além da conformidade, a certificação traz vantagens concretas para diferentes stakeholders.

Redução de Riscos Legais e Reputacionais

O sistema de gestão estruturado reduz a probabilidade de ocorrência de suborno. Quando incidentes ocorrem, a existência de controles demonstra que a organização tomou medidas razoáveis — argumento relevante em processos administrativos e judiciais.

Vantagem Competitiva em Licitações

Órgãos públicos e grandes empresas privadas cada vez mais exigem demonstração de programas de integridade de seus fornecedores. A certificação ISO 37001 é evidência objetiva e verificável.

No setor público brasileiro, a Lei 14.133/2021 (Nova Lei de Licitações) estabelece que programas de integridade são critério de desempate e podem ser exigidos em contratos de grande vulto.

Proteção de Executivos

A responsabilização pessoal de administradores em casos de corrupção é realidade no Brasil. Demonstrar que a empresa tinha sistema de gestão implementado pode ser crucial na defesa individual de gestores.

Conformidade com ESG

Investidores institucionais, fundos de pensão e agências de rating ESG consideram governança anticorrupção em suas avaliações. A certificação ISO 37001 é indicador reconhecido de maturidade nesse pilar.

Reconhecimento Internacional

A ISO 37001 é reconhecida globalmente. Para empresas que operam em mercados internacionais ou buscam investimento estrangeiro, a certificação demonstra aderência a padrões aceitos mundialmente.

Due Diligence na ISO 37001: O Papel da Investigação Empresarial

A due diligence é um dos requisitos mais operacionalmente desafiadores da ISO 37001. A norma exige que organizações avaliem parceiros comerciais, fornecedores, agentes e outros terceiros antes e durante o relacionamento.

Por Que Due Diligence É Requisito Central

Estatísticas revelam que a maioria dos casos de suborno corporativo envolve terceiros. Agentes comerciais, intermediários, consultores e fornecedores frequentemente são o veículo para pagamentos indevidos — às vezes sem conhecimento da empresa contratante.

A due diligence permite:

• Identificar red flags antes de iniciar o relacionamento
• Dimensionar riscos de cada parceiro
• Aplicar controles proporcionais
• Documentar diligência para fins de defesa legal

O Desafio da Escala

Empresas médias e grandes mantêm centenas ou milhares de relacionamentos comerciais. Conduzir due diligence manual em cada um é inviável. O resultado comum: verificações superficiais ou seletivas que deixam gaps de exposição.

Automação da Due Diligence

Ferramentas de investigação empresarial automatizada transformam esse cenário. O Sherlocker permite verificar antecedentes, analisar estruturas societárias, identificar vínculos ocultos e monitorar parceiros continuamente — atendendo diretamente aos requisitos da ISO 37001 com escala e consistência.

O que antes demandava dias de pesquisa manual pode ser concluído em minutos, com relatórios padronizados que servem como evidência documentada para auditorias de certificação.

Monitoramento Contínuo

A due diligence não é evento único. A ISO 37001 exige que organizações monitorem parceiros durante o relacionamento, especialmente aqueles classificados como alto risco.

Sistemas automatizados permitem configurar alertas para mudanças relevantes: processos judiciais, sanções, alterações societárias, notícias negativas. Essa vigilância contínua é praticamente impossível de manter manualmente em carteiras extensas de fornecedores.

Perguntas Frequentes sobre ISO 37001

O que é a norma ISO 37001?

A ISO 37001 é uma norma internacional que especifica requisitos para sistemas de gestão antissuborno. Ela fornece um framework para organizações prevenirem, detectarem e responderem ao suborno, podendo ser certificada por organismos independentes.

Qual a diferença entre ISO 37001 e ISO 37301?

A ISO 37001 foca especificamente em antissuborno, enquanto a ISO 37301 aborda compliance de forma mais ampla. A 37001 trata de prevenção e detecção de suborno; a 37301 estabelece requisitos para sistemas de gestão de compliance em geral, cobrindo qualquer obrigação legal ou ética.

Quanto custa a certificação ISO 37001?

Os custos variam por porte e complexidade. Considerando consultoria e certificação, pequenas empresas investem a partir de R$ 40.000, médias empresas entre R$ 80.000 e R$ 200.000, e grandes corporações podem superar R$ 500.000. A certificação em si (auditorias) representa R$ 15.000 a R$ 80.000 para o ciclo inicial.

Quem pode ser certificado na ISO 37001?

Qualquer organização, independentemente de porte, setor ou localização geográfica. A norma é aplicável a empresas privadas, órgãos públicos, ONGs e outras entidades. O escopo pode abranger toda a organização ou unidades específicas.

O que é sistema de gestão antissuborno?

É um conjunto estruturado de políticas, procedimentos, controles e práticas que uma organização implementa para prevenir, detectar e responder ao suborno. Inclui governança, avaliação de riscos, controles operacionais, treinamento, canal de denúncias e monitoramento contínuo.

Como implementar a ISO 37001?

A implementação segue etapas: diagnóstico inicial (gap analysis), avaliação de riscos de suborno, desenvolvimento de políticas e procedimentos, implementação de controles, treinamento, auditoria interna e certificação. O processo leva de 4 a 18 meses dependendo do porte.

Qual a relação entre ISO 37001 e Lei Anticorrupção?

São complementares. A Lei 12.846/2013 estabelece responsabilidade objetiva e sanções; a ISO 37001 fornece framework de prevenção. A certificação pode ser usada como evidência de programa de integridade, potencialmente atenuando penalidades previstas na lei.

Quanto tempo leva para certificar na ISO 37001?

O tempo total desde o início do projeto até a certificação varia de 4 meses (pequenas empresas com estrutura existente) a 18 meses (grandes corporações partindo do zero). A auditoria de certificação em si leva de 2 a 10 dias, dependendo do escopo.

Conclusão

A ISO 37001 representa mais do que uma certificação — é um compromisso estruturado com a integridade nos negócios. Em um ambiente onde riscos de suborno podem destruir reputações construídas em décadas e expor executivos a responsabilização pessoal, ter um sistema de gestão robusto deixou de ser diferencial para se tornar necessidade.

A versão 2025 da norma eleva ainda mais o padrão, exigindo comprometimento mensurável da liderança e conexão com sustentabilidade. Organizações que iniciam a jornada agora têm a vantagem de implementar diretamente na versão atualizada.

O investimento — tanto financeiro quanto de tempo — se justifica pela proteção obtida e pelas oportunidades de negócio que se abrem. Em licitações públicas, contratos internacionais e relacionamentos com grandes corporações, a certificação ISO 37001 é credencial cada vez mais valorizada.

Para empresas que buscam implementar due diligence de parceiros em escala — requisito central da norma — a automação com ferramentas como o Sherlocker torna viável o que seria impossível manualmente: verificação consistente, monitoramento contínuo e documentação adequada para auditorias.

A pergunta não é se sua empresa pode se dar ao luxo de implementar a ISO 37001. É se pode se dar ao luxo de não implementar.