Abordagem por obrigações
Identificar e cumprir obrigações
“A ISO 37301 se concentra em identificar as obrigações que afetam a organização e em avaliar o risco de descumprimento, indo além de uma abordagem puramente penal.”
Certificação ISO 37301: sistema de gestão de compliance
Assessoria jurídica completa para obter e manter a certificação ISO 37301:2021: diagnóstico de compliance, desenho do sistema de gestão de compliance (SGC), preparação para a auditoria do organismo de certificação e integração com a UNE 19601, a ISO 37001 e a UNE 19602.
Consulta gratuita sobre a ISO 37301
Respondemos em menos de 24 h
- Norma certificável de compliance
- ISO 37301:2021
- Publicação da norma
- Abril de 2021
- Estrutura de alto nível (HLS)
- 10 cláusulas
- Norma que ela substitui
- ISO 19600:2014
Serviços
Catálogo de serviços para a certificação ISO 37301
Seis áreas de trabalho jurídico e técnico para desenhar, implementar e certificar um Sistema de Gestão de Compliance alinhado à norma ISO 37301:2021.
Diagnóstico
Gap analysis ISO 37301
Análise das lacunas entre a situação atual da organização e os 10 capítulos da norma: contexto, liderança, planejamento, apoio, operação, avaliação e melhoria.
Saiba mais →
DiagnósticoLacunasDue diligenceRisk-based
Implementação
Desenho e implementação do SGC
Documentação e implantação do Sistema de Gestão de Compliance: política, procedimentos, matriz de obrigações e riscos, controles, treinamento e canal de denúncias.
Saiba mais →
PolíticasProcedimentosMatrizControles
Auditoria
Auditoria interna do SGC
Programa e execução da auditoria interna com objetividade, registro das constatações, ações corretivas e preparação do dossiê para o organismo de certificação.
Saiba mais →
InternaConstatações
Certificação
Acompanhamento na auditoria externa
Preparação e apoio durante a auditoria de certificação (fase 1 documental + fase 2 in loco) pela AENOR, pela Bureau Veritas ou por outro organismo acreditado.
Saiba mais →
AENORBureau Veritas
Integração
Integração com outras normas
Alinhamento da ISO 37301 com a UNE 19601 (compliance penal), a ISO 37001 (antissuborno), a UNE 19602 (tributário) e a ISO 27001 em um único marco integrado.
Saiba mais →
UNE 19601ISO 37001
Manutenção
Manutenção e melhoria contínua
Ciclo PDCA do SGC: análise crítica pela direção, acompanhamento de KPIs, atualização do mapa de obrigações e gestão das mudanças regulatórias.
Saiba mais →
KPIsAnálise crítica
Abordagem
Por que a certificação ISO 37301 gera valor estratégico
A ISO 37301 é a única norma internacional certificável sobre sistemas de gestão de compliance. Ela substitui a antiga ISO 19600 (que não era certificável) e permite ao órgão de administração demonstrar, por meio de um terceiro independente, que o programa de compliance funciona.
Certificável
Validação por terceiro independente
“A auditoria de certificação pela AENOR, pela Bureau Veritas ou por outro organismo acreditado oferece uma evidência pública, transparente e confiável do compromisso com o compliance.”
Estrutura HLS
Integração com ISO 9001, 27001, 37001
“Compartilha a estrutura de alto nível (HLS) das normas de sistemas de gestão, o que facilita sua integração com qualidade, segurança da informação ou antissuborno.”
Governança
Compromisso do órgão de administração
“Fortalece a função de compliance e dá à alta liderança mecanismos de controle adequados, alinhados aos padrões internacionais de boa governança.”
Por que importa
Por que se certificar na ISO 37301?
Não é só um selo no site. Certificar o SGC reduz riscos, protege os administradores, melhora a reputação perante clientes, reguladores e investidores e facilita a contratação com grandes clientes corporativos e com a Administração Pública, que exigem padrões de compliance.
Visão integral de compliance: não se limita ao âmbito penal. Abrange as obrigações legais, contratuais e voluntárias assumidas pela organização.
Cultura de compliance: promove o treinamento e a conscientização das pessoas, fortalecendo a função de compliance como peça-chave da sustentabilidade.
Evidência perante reguladores: em setores supervisionados (CNMV, Banco de España, SEPBLAC), um SGC certificado é um sinal tangível de maturidade.
UNE-ISO 37301:2021 10 cláusulas
Norma internacional certificável, publicada em abril de 2021, que substituiu a ISO 19600:2014 (apenas orientativa).
Vantagem comercial Licitações
Cada vez mais licitações públicas e processos de compras corporativas valorizam ou exigem certificações de compliance acreditadas.
Importante Não gera isenção penal
A ISO 37301 não substitui a UNE 19601 para efeitos do art. 31 bis do Código Penal: para obter atenuante ou isenção penal, é necessário um modelo completo.
Quer se certificar na ISO 37301?
Ajudamos você a construir um SGC robusto, realista e auditável, pronto para superar as fases 1 e 2 da certificação e, acima de tudo, útil para a gestão real da sua organização.
Novidade · 25 de setembro de 2026
ISO 37301: já existe certificação acreditada pela ENAC
A ENAC (Entidad Nacional de Acreditación, o órgão de acreditação espanhol) concedeu a primeira acreditação para certificar sistemas de gestão de compliance segundo a UNE-EN ISO 37301. Veja como ficam as três normas de compliance que mais nos pedem:
| Norma | O que abrange | Acreditação ENAC | Datas-chave |
|---|---|---|---|
| UNE-EN ISO 37301 | Gestão do compliance: todas as obrigações da organização | Primeiro organismo acreditado: Bureau Veritas Iberia (notícia da ENAC de 25-09-2026) | Versão vigente: ISO 37301:2021 |
| UNE 19601 | Compliance penal (art. 31 bis CP) | Sim | Versão 2025 (abril de 2025). Os certificados de 2017 deixam de ser acreditados em 30-04-2027 |
| ISO 37001 | Sistemas de gestão antissuborno | Sim | Versão 2025 (fevereiro de 2025). Os certificados de 2016 deixam de ser acreditados em 28-02-2027 |
O que muda para sua empresa
Se uma licitação ou um cliente pedir um certificado de compliance acreditado, a ISO 37301 já é uma opção na Espanha. Antes de contratar a auditoria, verifique no buscador da ENAC se o organismo tem a norma em seu escopo.
O que não muda
Um certificado não isenta, por si só, de responsabilidade penal: o que conta é que o modelo tenha sido adotado e executado com eficácia (art. 31 bis CP). Explicamos as diferenças em ISO 37301 x UNE 19601 (em espanhol).
Perguntas frequentes
A ENAC acredita a certificação ISO 37301?
Sim. Em 25 de setembro de 2026, a ENAC anunciou a primeira acreditação para certificar sistemas de gestão de compliance segundo a UNE-EN ISO 37301, concedida à Bureau Veritas Iberia. Desde então, um certificado ISO 37301 pode levar a marca da ENAC; o escopo de cada organismo pode ser verificado no buscador de acreditados da ENAC.
A ISO 37301 serve como modelo de prevenção de crimes?
Pode ser a base, mas o modelo precisa cumprir os seis requisitos do art. 31 bis.5 do Código Penal, e nenhuma certificação isenta por si só: para a Fiscalía (Ministério Público espanhol), ela é um elemento adicional que não comprova a eficácia do modelo (Circular 1/2016). Para o risco penal, o habitual é integrá-la com a UNE 19601.
Fontes: ENAC, notícia de 25-09-2026; ENAC, plano de transição para a UNE 19601:2025; ENAC, plano de transição para a ISO 37001:2025; Circular 1/2016 da Fiscalía General del Estado; Código Penal (BOE-A-1995-25444). Revisado em 5 de novembro de 2026.
Perguntas frequentes
ISO 37301: dúvidas frequentes
O que é a ISO 37301:2021?
A ISO 37301:2021 é a norma internacional que especifica os requisitos de um Sistema de Gestão de Compliance (SGC). Foi publicada pela Organização Internacional de Normalização (ISO) em abril de 2021 e adotada na Espanha como UNE-ISO 37301:2021.
Ela substitui a antiga ISO 19600:2014, que era apenas um guia não certificável. A ISO 37301, por sua vez, é certificável e adota a estrutura de alto nível (HLS) comum à ISO 9001, à ISO 27001 e à ISO 37001.
Qual é a diferença entre a ISO 37301 e a UNE 19601?
A UNE 19601 é a norma espanhola de sistemas de gestão de compliance penal, alinhada ao art. 31 bis do Código Penal para fundamentar a atenuante ou a isenção da responsabilidade penal da pessoa jurídica.
A ISO 37301 tem um escopo muito mais amplo (obrigações legais, contratuais e voluntárias), mas não basta por si só para cobrir todos os requisitos do art. 31 bis CP. As duas normas se complementam e podem ser integradas.
Quais são as 10 cláusulas da ISO 37301?
A norma segue a estrutura HLS da ISO: 1. Escopo, 2. Referências normativas, 3. Termos e definições, 4. Contexto da organização, 5. Liderança, 6. Planejamento, 7. Apoio, 8. Operação, 9. Avaliação de desempenho e 10. Melhoria.
As cláusulas 4 a 10 são as que contêm os requisitos auditáveis.
Quais organizações podem se certificar?
Qualquer organização: privada, pública, governamental ou sem fins lucrativos, independentemente de seu porte, setor ou atividade. A norma é especialmente útil para:
- Instituições financeiras e fintechs sujeitas a forte regulação.
- Empresas que participam de licitações públicas.
- Grupos presentes em várias jurisdições, com obrigações heterogêneas.
- Organizações com alta exposição reputacional.
Quais passos é preciso seguir para se certificar?
Em linhas gerais: diagnóstico de lacunas, desenho do SGC, implementação e treinamento, auditoria interna, escolha de um organismo de certificação acreditado (AENOR, Bureau Veritas, BSI, TÜV...) e auditoria externa de certificação em duas fases (documental + in loco).
Se elas forem superadas sem não conformidades maiores, o organismo de certificação emite o certificado, com validade típica de três anos e auditorias de manutenção anuais.
Quanto custa e quanto tempo leva uma certificação ISO 37301?
O custo depende do porte e da complexidade da organização e deve ser dividido em: honorários da consultoria de implementação, horas internas da equipe e tarifas do organismo de certificação.
O prazo habitual varia entre 6 e 12 meses desde o início do projeto até a emissão do certificado, embora possa ser menor em organizações com sistemas de gestão já consolidados.
Quais benefícios a certificação traz?
Principais benefícios documentados: abordagem preventiva do compliance, mitigação de riscos legais, reputacionais e sancionatórios, melhoria da imagem corporativa perante clientes, reguladores e investidores, e otimização operacional por meio de processos e controles claros.
Soma-se a isso a vantagem competitiva em licitações e processos de compras corporativas que exigem certificações acreditadas.
Ela se integra bem com outras normas ISO?
Sim. Graças à estrutura de alto nível, a ISO 37301 se integra naturalmente com a ISO 9001 (qualidade), a ISO 14001 (meio ambiente), a ISO 27001 (segurança da informação), a ISO 37001 (antissuborno) e a UNE 19601 (compliance penal).
Na prática, é comum desenhar um sistema de gestão integrado que permita auditorias conjuntas e economia de documentação.
Guia operacional
Guia prático para se certificar na ISO 37301
Certificar-se na ISO 37301 não é “comprar um selo”: é construir um sistema de gestão real, coerente com a atividade da organização, liderado pela alta direção e mantido ao longo do tempo. Este guia resume como fazer isso sem perder tempo nem orçamento.
Normas de referência
UNE-ISO 37301:2021 (requisitos), UNE 19601 (compliance penal), ISO 37001 (antissuborno), UNE 19602 (tributário), ISO 27001 (segurança), ISO 31000 (gestão de riscos) e art. 31 bis do Código Penal.
Obrigações + riscos
A norma se articula em torno de dois eixos: identificar as obrigações que afetam a organização e avaliar os riscos de descumprimento, desenhando controles proporcionais.
Auditoria útil, não cosmética
Um SGC certificável que só busca o selo costuma ser frágil. O valor real está em o sistema medir, corrigir e melhorar o comportamento real da organização.
Checklist para obter a certificação ISO 37301 em 10 passos
- Compromisso visível do órgão de administração e da alta direção, com decisão formal de buscar a certificação ISO 37301.
- Diagnóstico (gap analysis) da situação atual em relação aos 10 capítulos da norma e plano de ação.
- Definição do escopo do SGC: atividades, subsidiárias, jurisdições e obrigações abrangidas.
- Mapa de obrigações e matriz de riscos de descumprimento com critérios de avaliação homogêneos.
- Política de compliance, procedimentos, canal de denúncias e papéis (comitê de compliance, OCC etc.).
- Programa de treinamento e conscientização para o órgão de administração, a alta direção e os empregados.
- Implementação de controles proporcionais, indicadores (KPI) e mecanismos de acompanhamento.
- Auditoria interna, análise das constatações e ações corretivas para encerrar as não conformidades.
- Análise crítica do desempenho do SGC pela direção antes da auditoria externa.
- Auditoria externa de certificação (fase 1 + fase 2) por organismo acreditado e emissão do certificado.
A ISO 37301 funciona muito bem como guarda-chuva para outras obrigações setoriais: por exemplo, o cumprimento da lista do GAFI em entidades sujeitas à PLD, os requisitos de uma SGIIC, a figura do conselheiro independente em uma ESI, os testes no sandbox financeiro ou o regime dos emissores de EMT MiCA. Para uma validação adicional, ela pode ser complementada com um relatório de perito externo.
ISO 37301 na prática
Anatomia de um SGC certificável
Um Sistema de Gestão de Compliance certificável segundo a ISO 37301 se apoia em quatro alavancas: liderança, riscos e obrigações, controles e cultura e avaliação contínua. Cada uma deve ser documentada e demonstrada com evidências.
1) LiderançaÓrgão de administração e alta direção
Política de compliance aprovada, alocação de recursos, nomeação da função de compliance e supervisão periódica do desempenho do SGC.
- Política escrita
- Comitê de compliance
- Tone at the top
2) RiscosObrigações e riscos
Inventário das obrigações aplicáveis à organização, avaliação do risco de descumprimento e priorização de controles com critérios objetivos.
- Inventário normativo
- Matriz de riscos
- Priorização
3) ControlesControles + cultura
Procedimentos, controles operacionais, treinamento, canal de denúncias, gestão de conflitos de interesse e comunicação interna para construir uma cultura real.
- Procedimentos
- Canal de denúncias
- Treinamento
4) AvaliaçãoAvaliação contínua e melhoria
KPIs, auditorias internas, análise crítica pela direção, ações corretivas e melhoria contínua: é o ciclo PDCA que sustenta um SGC auditável e defensável perante qualquer supervisor.
Dica: uma auditoria interna bem planejada reduz drasticamente as não conformidades na auditoria externa.
IntegraçãoIntegração com outras normas
Compliance penal
UNE 19601: cobertura do art. 31 bis CP como atenuante ou isenção.
Antissuborno
ISO 37001: prevenção e detecção de suborno e corrupção.
Outras
UNE 19602 (tributário), ISO 27001 (informação), ISO 9001 (qualidade).
Playbook ISO 37301
Como cada cláusula funciona na prática
4. Contexto
Compreender os fatores internos e externos e as partes interessadas, e determinar o escopo do SGC.
Análise SWOT, mapa de stakeholders, documento de escopo do sistema.
5. Liderança
Compromisso do órgão de administração, política, papéis e responsabilidades de compliance.
Ata de aprovação, política assinada, organograma, mandato do OCC/comitê.
6. Planejamento
Abordar riscos e oportunidades do SGC, definir objetivos e ações planejadas.
Matriz de riscos, plano anual, objetivos mensuráveis e KPIs associados.
7. Apoio
Recursos, competência, conscientização, comunicação e informação documentada.
Plano de treinamento, matrizes de competências, sistema documental controlado.
8. Operação
Controles operacionais, gestão de fornecedores, canal de denúncias e resposta a descumprimentos.
Procedimentos, registros de due diligence, canal operacional, plano de resposta.
9. Avaliação
Monitoramento, medição, auditorias internas e análise crítica do SGC pela direção.
Relatórios de KPI, programa e atas de auditoria interna, ata da análise crítica pela direção.
10. Melhoria
Não conformidades, ações corretivas e melhoria contínua do sistema.
Registro de incidentes, análise de causa raiz, plano de melhoria e acompanhamento.
Sinais de alerta típicos antes da auditoria
Indicadores que costumam gerar não conformidades durante a auditoria de certificação.
- Política de compliance genérica, não assinada ou desatualizada em relação ao contexto real da organização.
- Mapa de obrigações incompleto ou que não é atualizado quando muda a regulação aplicável.
- Matriz de riscos sem critérios objetivos de avaliação ou sem conexão com os controles.
- Canal de denúncias criado formalmente, mas sem procedimento real de gestão nem registro.
- Auditoria interna realizada por quem depois implementa as ações corretivas (falta de independência).
Glossário prático
Conceitos-chave para trabalhar com a ISO 37301
Se você vai buscar uma certificação ISO 37301, estes termos aparecem na norma, nos relatórios de auditoria e nos contratos com os organismos de certificação.
SGCSistema
Sistema de Gestão de Compliance
Conjunto de elementos inter-relacionados (política, processos, recursos) para estabelecer e alcançar objetivos de compliance.
Objeto central da ISO 37301.
HLSEstrutura
High Level Structure
Estrutura comum das normas ISO de sistemas de gestão. Facilita a integração com a ISO 9001, 14001, 27001 e 37001.
10 cláusulas comuns.
ComplianceConceito
Conformidade regulatória
Cumprimento, por uma organização, de todas as obrigações legais, regulatórias, contratuais e voluntárias que ela assumiu.
Definição da ISO 37301.
ObrigaçãoCore
Obrigação de compliance
Requisito que a organização deve cumprir, obrigatório ou assumido voluntariamente; base da abordagem da ISO 37301.
Origem legal ou contratual.
FunçãoPapel
Função de compliance
Pessoa ou unidade responsável por supervisionar o SGC, com competência, autoridade e independência adequadas.
Pode ser um OCC ou um comitê.
UNE 19601Penal
Compliance penal
Norma espanhola sobre sistemas de gestão de compliance penal, alinhada ao art. 31 bis do Código Penal.
Complementar à ISO 37301.
ISO 37001Antissuborno
Sistemas antissuborno
Norma internacional específica para prevenção, detecção e resposta ao suborno.
Integrável com a ISO 37301.
PDCACiclo
Plan-Do-Check-Act
Ciclo de melhoria contínua no qual se baseiam os sistemas de gestão ISO: planejar, fazer, verificar e agir.
Base da cláusula 10.
AENORCertificadora
Organismo de certificação
Organismo acreditado (AENOR, Bureau Veritas, BSI, TÜV...) que audita o SGC e emite o certificado ISO 37301.
Acreditado pela ENAC ou equivalente.
Contato
Agendar uma ligação
Conte-nos o ponto de partida da sua organização e explicaremos como chegar à certificação ISO 37301 com um plano realista e sem custos extras.
Certificação ISO 37301: norma, escopo e vantagens estratégicas
A certificação ISO 37301 é o reconhecimento, por um organismo de certificação acreditado e independente, de que uma organização implementou um Sistema de Gestão de Compliance conforme os requisitos da norma internacional UNE-ISO 37301:2021. Hoje, ela é a referência global em gestão de compliance.
Origem da norma
A ISO 37301:2021 foi publicada pela Organização Internacional de Normalização em abril de 2021 e substituiu a ISO 19600:2014. A diferença principal é que a ISO 19600 era apenas um guia não certificável; a ISO 37301 é uma norma Tipo A, com requisitos auditáveis e, portanto, certificável por terceiro independente.
Estrutura e conteúdo
A norma adota a estrutura de alto nível (HLS) comum às normas de sistemas de gestão (ISO 9001, ISO 14001, ISO 27001, ISO 37001). É composta por 10 capítulos, e as cláusulas 4 a 10 são as auditáveis: contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria.
Abordagem: obrigações e riscos
A ISO 37301 se concentra em dois eixos inter-relacionados: identificar as obrigações que afetam a organização (legais, regulatórias, contratuais e voluntárias) e avaliar os riscos de descumprimento, priorizando controles proporcionais ao risco. Essa abordagem a torna aplicável a qualquer organização, independentemente de seu porte, setor ou natureza jurídica.
Integração com a UNE 19601, a ISO 37001 e a UNE 19602
A ISO 37301 é um marco transversal que se integra às soluções de compliance específicas: UNE 19601 (compliance penal, para a atenuante ou a isenção do art. 31 bis CP), ISO 37001 (antissuborno) e UNE 19602 (tributário). Um sistema integrado permite auditorias conjuntas e reduz a duplicidade documental.
Processo de certificação
A certificação é obtida por meio de uma auditoria externa por organismo acreditado (AENOR, Bureau Veritas, BSI, TÜV ou outros). A auditoria é realizada em duas fases: fase 1 (revisão documental e preparação) e fase 2 (in loco, verificação da implementação). Superadas sem não conformidades maiores, o organismo emite o certificado, com validade típica de três anos e auditorias de manutenção anuais.
Valor estratégico
Para o órgão de administração, a certificação ISO 37301 é a forma mais confiável de evidenciar o compromisso com o compliance perante reguladores, investidores, clientes e licitações públicas. Ela traz abordagem preventiva, ganho reputacional, mitigação de riscos e eficiência operacional, desde que o sistema seja desenhado para funcionar, e não para enfeitar.