Conseil juridique complet pour obtenir et maintenir la certification ISO 37301:2021 : diagnostic de conformité, conception du système de management de la compliance (SMC), préparation de l’audit par l’organisme certificateur et intégration avec UNE 19601, ISO 37001 et UNE 19602.
Consultation gratuite ISO 37301
Nous vous répondons en moins de 24 h
Six domaines de travail juridique et technique pour concevoir, mettre en œuvre et certifier un système de management de la compliance (SMC) conforme à la norme ISO 37301:2021.
Analyse des écarts entre la situation actuelle de l’organisation et les 10 chapitres de la norme : contexte, leadership, planification, support, réalisation des activités opérationnelles, évaluation et amélioration.
Documentation et déploiement du système de management de la compliance : politique, procédures, matrice des obligations et des risques, contrôles, formation et dispositif d’alerte.
Programme et réalisation de l’audit interne avec objectivité, enregistrement des constats, actions correctives et préparation du dossier pour l’organisme certificateur.
Préparation et soutien pendant l’audit de certification (phase 1 documentaire + phase 2 sur site) par AENOR, Bureau Veritas ou un autre organisme accrédité.
Alignement de l’ISO 37301 avec UNE 19601 (compliance pénale), ISO 37001 (lutte contre la corruption), UNE 19602 (fiscalité) et ISO 27001 dans un cadre intégré unique.
Cycle PDCA du SMC : revue de direction, suivi des KPI, mise à jour de la cartographie des obligations et gestion des changements réglementaires.
L’ISO 37301 est la seule norme internationale certifiable sur les systèmes de management de la compliance. Elle remplace l’ancienne ISO 19600 (qui n’était pas certifiable) et permet à l’organe de gouvernance de démontrer, grâce à un tiers indépendant, que le programme de conformité fonctionne.
« L’ISO 37301 est centrée sur l’identification des obligations qui s’imposent à l’organisation et sur l’évaluation du risque de leur non-respect, au-delà d’une approche purement pénale. »
« L’audit de certification par AENOR, Bureau Veritas ou un autre organisme accrédité apporte une preuve publique, transparente et crédible de l’engagement en faveur de la conformité. »
« Elle partage la structure de haut niveau (HLS) des normes de systèmes de management, ce qui facilite son intégration avec la qualité, la sécurité de l’information ou la lutte contre la corruption. »
« Elle renforce la fonction compliance et dote les plus hauts dirigeants de mécanismes de contrôle adaptés, alignés sur les standards internationaux de bonne gouvernance. »
Ce n’est pas seulement un label pour le site web. Certifier le SMC réduit les risques, protège les administrateurs, améliore la réputation auprès des clients, des régulateurs et des investisseurs, et facilite l’accès aux marchés des grands comptes et des administrations publiques qui exigent des standards de conformité.
Vision globale de la conformité : elle ne se limite pas au volet pénal. Elle couvre les obligations légales, contractuelles et volontaires assumées par l’organisation.
Culture de conformité : elle encourage la formation et la sensibilisation du personnel et fait de la fonction de conformité un pilier de la pérennité de l’organisation.
Preuve auprès des régulateurs : dans les secteurs supervisés (CNMV, Banque d’Espagne, SEPBLAC), un SMC certifié est un signe tangible de maturité.
Norme internationale certifiable, publiée en avril 2021, qui a remplacé l’ISO 19600:2014 (simplement indicative).
De plus en plus d’appels d’offres publics et de processus d’achat des entreprises valorisent ou exigent des certifications de compliance accréditées.
L’ISO 37301 ne remplace pas l’UNE 19601 aux fins de l’art. 31 bis du Code pénal espagnol : pour bénéficier d’une atténuation ou d’une exonération pénale, un modèle complet est requis.
Nous vous aidons à construire un SMC solide, réaliste et auditable, prêt à franchir les phases 1 et 2 de la certification et, surtout, utile à la gestion réelle de votre organisation.
L’ISO 37301:2021 est la norme internationale qui spécifie les exigences d’un système de management de la compliance (SMC). Elle a été publiée par l’Organisation internationale de normalisation (ISO) en avril 2021 et adoptée en Espagne sous la référence UNE-ISO 37301:2021.
Elle remplace l’ISO 19600:2014, qui n’était qu’un guide non certifiable. L’ISO 37301 est, elle, certifiable et adopte la structure de haut niveau (HLS) commune à l’ISO 9001, l’ISO 27001 et l’ISO 37001.
L’UNE 19601 est la norme espagnole sur les systèmes de management de la compliance pénale, alignée sur l’art. 31 bis du Code pénal espagnol afin de construire une atténuation ou une exonération de la responsabilité pénale de la personne morale.
L’ISO 37301 a un champ bien plus large (obligations légales, contractuelles et volontaires) mais ne suffit pas à elle seule à couvrir toutes les exigences de l’art. 31 bis du Code pénal. Les deux normes se complètent et peuvent être intégrées.
La norme suit la structure HLS de l’ISO : 1. Objet et domaine d’application, 2. Références normatives, 3. Termes et définitions, 4. Contexte de l’organisation, 5. Leadership, 6. Planification, 7. Support, 8. Réalisation des activités opérationnelles, 9. Évaluation des performances et 10. Amélioration.
Les chapitres 4 à 10 contiennent les exigences auditables.
Toute organisation : privée, publique, gouvernementale ou à but non lucratif, quels que soient sa taille, son secteur ou son activité. La norme est particulièrement utile pour :
De manière générale : diagnostic des écarts, conception du SMC, mise en œuvre et formation, audit interne, choix d’un organisme certificateur accrédité (AENOR, Bureau Veritas, BSI, TÜV...) et audit externe de certification en deux phases (documentaire + sur site).
Si l’audit est réussi sans non-conformités majeures, l’organisme certificateur délivre le certificat, d’une validité habituelle de trois ans, avec des audits de suivi annuels.
Le coût dépend de la taille et de la complexité de l’organisation et se décompose en : honoraires du conseil pour la mise en œuvre, heures internes de l’équipe et tarifs de l’organisme certificateur.
Le délai habituel est de 6 à 12 mois entre le lancement du projet et la délivrance du certificat, mais il peut être plus court dans les organisations qui disposent déjà de systèmes de management bien établis.
Principaux avantages documentés : approche préventive de la conformité, atténuation des risques juridiques, de réputation et de sanction, amélioration de l’image de l’entreprise auprès des clients, des régulateurs et des investisseurs, et optimisation opérationnelle grâce à des processus et des contrôles clairs.
S’y ajoute l’avantage concurrentiel dans les appels d’offres et les processus d’achat des entreprises qui exigent des certifications accréditées.
Oui. Grâce à la structure de haut niveau, l’ISO 37301 s’intègre naturellement avec l’ISO 9001 (qualité), l’ISO 14001 (environnement), l’ISO 27001 (sécurité de l’information), l’ISO 37001 (lutte contre la corruption) et l’UNE 19601 (compliance pénale).
En pratique, il est courant de concevoir un système de management intégré qui permet des audits conjoints et une économie de documentation.
Se certifier ISO 37301, ce n’est pas « acheter un label » : c’est construire un véritable système de management, cohérent avec l’activité de l’organisation, porté par la direction et maintenu dans la durée. Ce guide explique comment procéder sans perdre de temps ni de budget.
UNE-ISO 37301:2021 (exigences), UNE 19601 (compliance pénale), ISO 37001 (lutte contre la corruption), UNE 19602 (fiscalité), ISO 27001 (sécurité), ISO 31000 (gestion des risques) et art. 31 bis du Code pénal espagnol.
La norme s’articule autour de deux axes : identifier les obligations qui s’imposent à l’organisation et évaluer les risques de non-conformité, en concevant des contrôles proportionnés.
Un SMC certifiable qui ne vise que le label est souvent fragile. La vraie valeur tient à ce que le système mesure, corrige et améliore le comportement réel de l’organisation.
L’ISO 37301 fonctionne très bien comme cadre général pour d’autres obligations sectorielles : par exemple, le respect de la liste du GAFI pour les entités assujetties à la LCB-FT, les exigences applicables aux SGIIC, la figure de l’administrateur indépendant dans les ESI, les tests dans le sandbox financier ou le régime des émetteurs de EMT MiCA. Pour une validation supplémentaire, elle peut être complétée par un rapport de l’expert externe.
Un système de management de la compliance certifiable selon l’ISO 37301 repose sur quatre leviers : leadership, risques et obligations, contrôles et culture et évaluation continue. Chacun doit être documenté et démontré par des preuves.
1) LeadershipPolitique de compliance approuvée, allocation de ressources, désignation de la fonction conformité et supervision périodique de la performance du SMC.
2) RisquesInventaire des obligations applicables à l’organisation, évaluation du risque de non-conformité et hiérarchisation des contrôles selon des critères objectifs.
3) ContrôlesProcédures, contrôles opérationnels, formation, dispositif d’alerte, gestion des conflits d’intérêts et communication interne pour bâtir une véritable culture de conformité.
4) ÉvaluationKPI, audits internes, revue de direction, actions correctives et amélioration continue : c’est le cycle PDCA qui garantit un SMC auditable et défendable devant n’importe quel superviseur.
IntégrationUNE 19601 : couverture de l’art. 31 bis du Code pénal comme circonstance atténuante ou exonératoire.
ISO 37001 : prévention et détection de la corruption.
UNE 19602 (fiscalité), ISO 27001 (information), ISO 9001 (qualité).
Comprendre les facteurs internes et externes et les parties intéressées, et déterminer le périmètre du SMC.
Analyse SWOT, cartographie des parties prenantes, document de périmètre du système.
Engagement de l’organe de gouvernance, politique, rôles et responsabilités en matière de compliance.
Procès-verbal d’approbation, politique signée, organigramme, mandat de l’OCC ou du comité.
Traiter les risques et opportunités du SMC, définir les objectifs et les actions planifiées.
Matrice des risques, plan annuel, objectifs mesurables et KPI associés.
Ressources, compétences, sensibilisation, communication et informations documentées.
Plan de formation, matrices de compétences, système documentaire maîtrisé.
Maîtrise opérationnelle, gestion des fournisseurs, dispositif d’alerte et réponse aux manquements.
Procédures, registres de due diligence, dispositif d’alerte opérationnel, plan de réponse.
Suivi, mesure, audits internes et revue de direction du SMC.
Rapports de KPI, programme et comptes rendus d’audit interne, compte rendu de revue de direction.
Non-conformités, actions correctives et amélioration continue du système.
Registre des incidents, analyse des causes profondes, plan d’amélioration et suivi.
Indicateurs qui conduisent souvent à des non-conformités lors de l’audit de certification.
Si vous envisagez une certification ISO 37301, ces termes apparaissent dans la norme, dans les rapports d’audit et dans les contrats avec les organismes certificateurs.
Ensemble d’éléments corrélés (politique, processus, ressources) permettant de fixer et d’atteindre des objectifs de conformité.
Structure commune des normes ISO de systèmes de management. Elle facilite l’intégration avec les ISO 9001, 14001, 27001 et 37001.
Respect par une organisation de toutes les obligations légales, réglementaires, contractuelles et volontaires qu’elle a assumées.
Exigence que l’organisation doit respecter, obligatoire ou assumée volontairement, base de l’approche ISO 37301.
Personne ou unité chargée de superviser le SMC, dotée de la compétence, de l’autorité et de l’indépendance appropriées.
Norme espagnole sur les systèmes de management de la compliance pénale, alignée sur l’art. 31 bis du Code pénal espagnol.
Norme internationale spécifique pour la prévention, la détection et le traitement de la corruption.
Cycle d’amélioration continue sur lequel reposent les systèmes de management ISO : planifier, faire, vérifier et agir.
Organisme accrédité (AENOR, Bureau Veritas, BSI, TÜV...) qui audite le SMC et délivre le certificat ISO 37301.
Dites-nous d’où part votre organisation et nous vous expliquons comment atteindre la certification ISO 37301 avec un plan réaliste et sans surcoût.
La certification ISO 37301 est la reconnaissance, par un organisme certificateur accrédité et indépendant, qu’une organisation a mis en œuvre un système de management de la compliance conforme aux exigences de la norme internationale UNE-ISO 37301:2021. C’est aujourd’hui la référence mondiale en matière de gestion de la conformité réglementaire.
L’ISO 37301:2021 a été publiée par l’Organisation internationale de normalisation en avril 2021 et a remplacé l’ISO 19600:2014. La différence essentielle est que l’ISO 19600 n’était qu’un guide non certifiable ; l’ISO 37301 est une norme de type A, avec des exigences auditables, et donc certifiable par un tiers indépendant.
La norme adopte la structure de haut niveau (HLS) commune aux normes de systèmes de management (ISO 9001, ISO 14001, ISO 27001, ISO 37001). Elle comprend 10 chapitres, dont les chapitres 4 à 10 sont auditables : contexte de l’organisation, leadership, planification, support, réalisation des activités opérationnelles, évaluation des performances et amélioration.
L’ISO 37301 repose sur deux axes liés : identifier les obligations qui s’imposent à l’organisation (légales, réglementaires, contractuelles et volontaires) et évaluer les risques de non-conformité, en hiérarchisant des contrôles proportionnés au risque. Cette approche la rend applicable à toute organisation, quels que soient sa taille, son secteur ou sa forme juridique.
L’ISO 37301 est un cadre transversal qui s’intègre aux solutions de compliance spécifiques : UNE 19601 (compliance pénale, pour l’atténuation ou l’exonération au titre de l’art. 31 bis du Code pénal), ISO 37001 (lutte contre la corruption) et UNE 19602 (fiscalité). Un système intégré permet des audits conjoints et réduit les doublons documentaires.
La certification s’obtient par un audit externe réalisé par un organisme accrédité (AENOR, Bureau Veritas, BSI, TÜV ou autres). L’audit se déroule en deux phases : phase 1 (revue documentaire et préparation) et phase 2 (sur site, vérification de la mise en œuvre). Si elles sont franchies sans non-conformités majeures, l’organisme délivre le certificat, d’une validité habituelle de trois ans, avec des audits de suivi annuels.
Pour l’organe de gouvernance, la certification ISO 37301 est le moyen le plus fiable de démontrer son engagement en faveur de la conformité auprès des régulateurs, des investisseurs, des clients et dans les appels d’offres publics. Elle apporte une approche préventive, une meilleure réputation, une atténuation des risques et une efficacité opérationnelle, à condition que le système soit conçu pour fonctionner, non pour décorer.