Consulenza legale completa per ottenere e mantenere la certificazione ISO 37301:2021: diagnosi di conformità, progettazione del sistema di gestione della compliance (SGC), preparazione dell’audit dell’ente di certificazione e integrazione con UNE 19601, ISO 37001 e UNE 19602.
Consulenza gratuita ISO 37301
Ti rispondiamo entro 24 ore
Sei aree di lavoro giuridico-tecnico per progettare, implementare e certificare un sistema di gestione della compliance (SGC) allineato alla norma ISO 37301:2021.
Analisi dei gap tra lo stato attuale dell’organizzazione e i 10 capitoli della norma: contesto, leadership, pianificazione, supporto, attività operative, valutazione e miglioramento.
Documentazione e messa in opera del sistema di gestione della compliance: politica, procedure, matrice di obblighi e rischi, controlli, formazione e canale di segnalazione (whistleblowing).
Programma ed esecuzione dell’audit interno con obiettività, registro dei rilievi, azioni correttive e preparazione del dossier per l’ente di certificazione.
Preparazione e supporto durante l’audit di certificazione (fase 1 documentale + fase 2 in loco) da parte di AENOR, Bureau Veritas o altro ente accreditato.
Allineamento della ISO 37301 con UNE 19601 (compliance penale), ISO 37001 (anticorruzione), UNE 19602 (fiscale) e ISO 27001 in un unico quadro integrato.
Ciclo PDCA dell’SGC: riesame della direzione, monitoraggio dei KPI, aggiornamento della mappa degli obblighi e gestione dei cambiamenti normativi.
La ISO 37301 è l’unica norma internazionale certificabile sui sistemi di gestione della compliance. Sostituisce la vecchia ISO 19600 (che non era certificabile) e permette all’organo direttivo di dimostrare, tramite un terzo indipendente, che il programma di compliance funziona.
«La ISO 37301 si concentra sull’individuazione degli obblighi che riguardano l’organizzazione e sulla valutazione del rischio del loro mancato rispetto, al di là di un approccio puramente penale.»
«L’audit di certificazione svolto da AENOR, Bureau Veritas o altro ente accreditato fornisce una prova pubblica, trasparente e credibile dell’impegno per la compliance.»
«Condivide la struttura di alto livello (HLS) delle norme sui sistemi di gestione, il che ne facilita l’integrazione con qualità, sicurezza delle informazioni o anticorruzione.»
«Rafforza la funzione di compliance e dota i vertici di meccanismi di controllo adeguati, in linea con gli standard internazionali di buona governance.»
Non è solo un bollino sul sito. Certificare l’SGC riduce i rischi, tutela gli amministratori, migliora la reputazione verso clienti, regolatori e investitori e facilita i rapporti con grandi clienti e pubbliche amministrazioni che richiedono standard di compliance.
Visione integrale della compliance: non si limita all’ambito penale. Copre gli obblighi legali, contrattuali e volontari assunti dall’organizzazione.
Cultura della compliance: promuove la formazione e la sensibilizzazione del personale, rafforzando la funzione di compliance come elemento chiave di sostenibilità.
Evidenza verso i regolatori: nei settori vigilati (CNMV, Banca di Spagna, SEPBLAC), un SGC certificato è un segnale tangibile di maturità.
Norma internazionale certificabile, pubblicata ad aprile 2021, che ha sostituito la ISO 19600:2014 (solo orientativa).
Sempre più gare d’appalto pubbliche e processi di acquisto aziendali valutano o richiedono certificazioni di compliance accreditate.
La ISO 37301 non sostituisce la UNE 19601 ai fini dell’art. 31 bis del Codice penale spagnolo: per l’attenuante o l’esimente penale serve un modello completo.
Ti aiutiamo a costruire un SGC solido, realistico e verificabile, pronto a superare la fase 1 e la fase 2 della certificazione e, soprattutto, utile per la gestione reale della tua organizzazione.
La ISO 37301:2021 è la norma internazionale che specifica i requisiti di un sistema di gestione della compliance (SGC). È stata pubblicata dall’Organizzazione internazionale per la normazione (ISO) ad aprile 2021 e recepita in Spagna come UNE-ISO 37301:2021.
Sostituisce la precedente ISO 19600:2014, che era solo una linea guida non certificabile. La ISO 37301, invece, è certificabile e adotta la struttura di alto livello (HLS) comune a ISO 9001, ISO 27001 e ISO 37001.
La UNE 19601 è la norma spagnola sui sistemi di gestione della compliance penale, allineata all’art. 31 bis del Codice penale spagnolo per costruire un’attenuante o un’esimente di responsabilità penale della persona giuridica.
La ISO 37301 ha un ambito molto più ampio (obblighi legali, contrattuali e volontari) ma da sola non basta a coprire tutti i requisiti dell’art. 31 bis del Codice penale. Le due norme si completano e possono essere integrate.
La norma segue la struttura HLS della ISO: 1. Scopo e campo di applicazione, 2. Riferimenti normativi, 3. Termini e definizioni, 4. Contesto dell’organizzazione, 5. Leadership, 6. Pianificazione, 7. Supporto, 8. Attività operative, 9. Valutazione delle prestazioni e 10. Miglioramento.
Le clausole da 4 a 10 sono quelle che contengono i requisiti verificabili in audit.
Qualsiasi organizzazione: privata, pubblica, governativa o senza scopo di lucro, indipendentemente da dimensione, settore o attività. La norma è particolarmente utile per:
In linea generale: diagnosi dei gap, progettazione dell’SGC, implementazione e formazione, audit interno, scelta di un ente di certificazione accreditato (AENOR, Bureau Veritas, BSI, TÜV...) e audit esterno di certificazione in due fasi (documentale + in loco).
Se le due fasi vengono superate senza non conformità maggiori, l’ente di certificazione rilascia il certificato, con validità tipica di tre anni e audit di sorveglianza annuali.
Il costo dipende dalla dimensione e dalla complessità dell’organizzazione e va suddiviso in: onorari della consulenza di implementazione, ore interne del team e tariffe dell’ente di certificazione.
I tempi abituali vanno dai 6 ai 12 mesi dall’avvio del progetto al rilascio del certificato, anche se possono ridursi nelle organizzazioni con sistemi di gestione già consolidati.
Principali vantaggi documentati: approccio preventivo alla compliance, mitigazione dei rischi legali, reputazionali e sanzionatori, miglioramento dell’immagine aziendale verso clienti, regolatori e investitori, e ottimizzazione operativa grazie a processi e controlli chiari.
A questo si aggiunge il vantaggio competitivo nelle gare d’appalto e nei processi di acquisto aziendali che richiedono certificazioni accreditate.
Sì. Grazie alla struttura di alto livello, la ISO 37301 si integra in modo naturale con ISO 9001 (qualità), ISO 14001 (ambiente), ISO 27001 (sicurezza delle informazioni), ISO 37001 (anticorruzione) e UNE 19601 (compliance penale).
In pratica, è abituale progettare un sistema di gestione integrato che consenta audit congiunti e risparmio di documentazione.
Certificarsi ISO 37301 non significa «comprare un bollino»: significa costruire un vero sistema di gestione, coerente con l’attività dell’organizzazione, guidato dall’alto e sostenuto nel tempo. Questa guida sintetizza come affrontarlo senza perdere tempo né budget.
UNE-ISO 37301:2021 (requisiti), UNE 19601 (compliance penale), ISO 37001 (anticorruzione), UNE 19602 (fiscale), ISO 27001 (sicurezza), ISO 31000 (gestione del rischio) e art. 31 bis del Codice penale spagnolo.
La norma si articola su due assi: individuare gli obblighi che riguardano l’organizzazione e valutare i rischi di inadempimento, progettando controlli proporzionati.
Un SGC certificabile che cerca solo il bollino è di solito fragile. Il valore reale sta nel fatto che il sistema misuri, corregga e migliori il comportamento reale dell’organizzazione.
La ISO 37301 funziona molto bene come ombrello per altri obblighi settoriali: ad esempio, il rispetto della lista GAFI negli enti soggetti alla normativa antiriciclaggio, i requisiti delle SGIIC, la figura del consigliere indipendente nelle ESI, le prove nel sandbox finanziario o il regime degli emittenti di EMT MiCA. Per una validazione aggiuntiva può essere integrata da una relazione dell’esperto esterno.
Un sistema di gestione della compliance certificabile secondo la ISO 37301 poggia su quattro leve: leadership, rischi e obblighi, controlli e cultura e valutazione continua. Ognuna deve essere documentata e dimostrata con evidenze.
1) LeadershipPolitica di compliance approvata, assegnazione delle risorse, nomina della funzione di compliance e supervisione periodica delle prestazioni dell’SGC.
2) RischiInventario degli obblighi applicabili all’organizzazione, valutazione del rischio di inadempimento e definizione delle priorità dei controlli con criteri oggettivi.
3) ControlliProcedure, controlli operativi, formazione, canale di segnalazione (whistleblowing), gestione dei conflitti di interesse e comunicazione interna per costruire una cultura reale.
4) ValutazioneKPI, audit interni, riesame della direzione, azioni correttive e miglioramento continuo: è il ciclo PDCA a sostenere un SGC verificabile e difendibile davanti a qualsiasi autorità di vigilanza.
IntegrazioneUNE 19601: copertura dell’art. 31 bis del Codice penale spagnolo come attenuante o esimente.
ISO 37001: prevenzione e individuazione di tangenti e corruzione.
UNE 19602 (fiscale), ISO 27001 (informazioni), ISO 9001 (qualità).
Comprendere i fattori interni ed esterni e le parti interessate e determinare l’ambito dell’SGC.
Analisi SWOT, mappa degli stakeholder, documento sull’ambito del sistema.
Impegno dell’organo direttivo, politica, ruoli e responsabilità di compliance.
Verbale di approvazione, politica firmata, organigramma, mandato dell’OCC/comitato.
Affrontare rischi e opportunità dell’SGC, definire obiettivi e azioni pianificate.
Matrice dei rischi, piano annuale, obiettivi misurabili e KPI associati.
Risorse, competenze, consapevolezza, comunicazione e informazioni documentate.
Piano di formazione, matrici delle competenze, sistema documentale controllato.
Controlli operativi, gestione dei fornitori, canale di segnalazione e risposta agli inadempimenti.
Procedure, registri di due diligence, canale operativo, piano di risposta.
Monitoraggio, misurazione, audit interni e riesame della direzione dell’SGC.
Report sui KPI, programma e verbali degli audit interni, verbale del riesame della direzione.
Non conformità, azioni correttive e miglioramento continuo del sistema.
Registro degli incidenti, analisi delle cause radice, piano di miglioramento e follow-up.
Indicatori che di solito portano a non conformità durante l’audit di certificazione.
Se stai per affrontare una certificazione ISO 37301, questi termini compaiono nella norma, nei rapporti di audit e nei contratti con gli enti di certificazione.
Insieme di elementi correlati (politica, processi, risorse) per stabilire e raggiungere gli obiettivi di compliance.
Struttura comune delle norme ISO sui sistemi di gestione. Facilita l’integrazione con ISO 9001, 14001, 27001 e 37001.
Rispetto, da parte di un’organizzazione, di tutti gli obblighi legali, regolamentari, contrattuali e volontari che ha assunto.
Requisito che l’organizzazione deve rispettare, obbligatorio o assunto volontariamente, alla base dell’approccio della ISO 37301.
Persona o unità responsabile della supervisione dell’SGC, con competenza, autorità e indipendenza adeguate.
Norma spagnola sui sistemi di gestione della compliance penale, allineata all’art. 31 bis del Codice penale spagnolo.
Norma internazionale specifica per la prevenzione, l’individuazione e la risposta alla corruzione.
Ciclo di miglioramento continuo su cui si articolano i sistemi di gestione ISO: pianificare, fare, verificare e agire.
Organismo accreditato (AENOR, Bureau Veritas, BSI, TÜV...) che sottopone ad audit l’SGC e rilascia il certificato ISO 37301.
Raccontaci il punto di partenza della tua organizzazione e ti spieghiamo come arrivare alla certificazione ISO 37301 con un piano realistico e senza sforamenti di budget.
La certificazione ISO 37301 è il riconoscimento, da parte di un ente di certificazione accreditato e indipendente, che un’organizzazione ha implementato un sistema di gestione della compliance conforme ai requisiti della norma internazionale UNE-ISO 37301:2021. Oggi è il riferimento globale nella gestione della compliance normativa.
La ISO 37301:2021 è stata pubblicata dall’Organizzazione internazionale per la normazione ad aprile 2021 e ha sostituito la ISO 19600:2014. La differenza chiave è che la ISO 19600 era solo una linea guida non certificabile; la ISO 37301 è una norma di Tipo A, con requisiti verificabili in audit e quindi certificabile da un terzo indipendente.
La norma adotta la struttura di alto livello (HLS) comune alle norme sui sistemi di gestione (ISO 9001, ISO 14001, ISO 27001, ISO 37001). Si compone di 10 capitoli, e le clausole da 4 a 10 sono verificabili in audit: contesto dell’organizzazione, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni e miglioramento.
La ISO 37301 si concentra su due assi correlati: individuare gli obblighi che riguardano l’organizzazione (legali, regolamentari, contrattuali e volontari) e valutare i rischi di inadempimento, dando priorità a controlli proporzionati al rischio. Questo approccio la rende applicabile a qualsiasi organizzazione, indipendentemente da dimensione, settore o natura giuridica.
La ISO 37301 è un quadro trasversale che si integra con le soluzioni di compliance specifiche: UNE 19601 (compliance penale, per l’attenuante/esimente dell’art. 31 bis del Codice penale spagnolo), ISO 37001 (anticorruzione) e UNE 19602 (fiscale). Un sistema integrato consente audit congiunti e riduce la duplicazione documentale.
La certificazione si ottiene tramite un audit esterno svolto da un ente accreditato (AENOR, Bureau Veritas, BSI, TÜV o altri). L’audit si svolge in due fasi: fase 1 (revisione documentale e preparazione) e fase 2 (in loco, verifica dell’implementazione). Superate le due fasi senza non conformità maggiori, l’ente rilascia il certificato, con validità tipica di tre anni e audit di sorveglianza annuali.
Per l’organo direttivo, la certificazione ISO 37301 è il modo più affidabile per dimostrare l’impegno per la compliance nei confronti di regolatori, investitori, clienti e gare d’appalto pubbliche. Porta un approccio preventivo, un miglioramento reputazionale, la mitigazione dei rischi e maggiore efficienza operativa, purché il sistema sia progettato per funzionare e non per fare da semplice facciata.