ISO 37001 virou exigência B2B: como estruturar o programa antissuborno

Por que a norma saiu do papel e entrou no contrato

Até pouco tempo atrás, a ISO 37001 era vista como um diferencial competitivo — algo que empresas mais maduras em governança buscavam para se destacar. Esse cenário mudou. Hoje, grandes compradores já incluem a certificação como condição contratual para fornecedores, não apenas como recomendação de boas práticas. Companhias como Microsoft, Walmart e AB InBev já adotam essa política para determinadas categorias de fornecedores, exigindo a certificação ISO 37001 dentro de um prazo definido, independentemente do porte ou do setor de atuação do parceiro.

A lógica por trás dessa exigência é objetiva: levantamentos do FCPA Blog apontam que mais de 80% dos casos de suborno em grandes empresas estão relacionados a parceiros de negócios, número que se torna ainda mais crítico quando esses parceiros atuam em negociações públicas em nome do contratante. Ou seja, o risco reputacional e jurídico de uma empresa não se limita mais à sua própria conduta — ele se estende a toda a cadeia de fornecedores, representantes e intermediários.

No Brasil, esse movimento ganha um contorno particular. O país ainda ocupa a 107ª posição no Índice de Percepção da Corrupção da Transparência Internacional, o que faz com que compradores internacionais — e cada vez mais os nacionais — tratem a certificação como um filtro de confiabilidade antes de fechar contratos relevantes.

O que mudou com a atualização da norma

A revisão mais recente, publicada oficialmente em 2025, deixou de tratar a certificação apenas como um sistema de gestão documental. Passou a exigir liderança ativa da alta direção, cultura ética institucionalizada e controles proporcionalmente robustos ao risco de cada organização, formalizando exigências que antes ficavam implícitas no texto da norma anterior.

Na prática, isso significa que auditorias deixaram de aceitar políticas "de gaveta". A documentação precisa ser viva e refletir as práticas reais da empresa — um sistema de gestão que existe apenas no papel não passa mais em auditoria de certificação.

Os pilares de um programa antissuborno estruturado

Estruturar um programa aderente à ISO 37001 envolve organizar a empresa em torno de alguns eixos centrais:

1. Governança e responsabilização. A empresa precisa estruturar uma área responsável por supervisionar as ações anticorrupção — seja uma equipe interna, seja um terceiro contratado para essa função, com autoridade e independência suficientes para agir sem interferência da própria liderança que está sendo monitorada.

2. Avaliação de risco e due diligence. É preciso realizar mapeamento e avaliação de riscos tanto para projetos próprios quanto para os de parceiros de negócio. A norma não determina qual controle específico adotar, mas exige que ele exista e seja proporcional ao risco identificado — quando há indícios de risco de corrupção internamente ou entre parceiros e fornecedores, essas verificações precisam ser feitas e documentadas de forma rigorosa.

3. Controles financeiros e não financeiros. A due diligence reforçada deve ser aplicada sempre que uma transação, projeto, colaborador ou parceiro comercial apresentar risco acima do nível considerado baixo, com segregação de funções entre quem autoriza e quem executa pagamentos, entre outros mecanismos.

4. Políticas de brindes, hospitalidade e patrocínios. Regras claras sobre limites de valor, aprovação prévia e registro de qualquer benefício trocado com terceiros — um dos pontos mais escrutinados em auditorias.

5. Canal de denúncias e investigação. O programa precisa prever um canal confidencial de recebimento de denúncias, com processo estruturado de apuração, medidas corretivas e disciplinares, e mecanismos para evitar retaliação contra quem denuncia.

6. Treinamento direcionado. A norma não exige que todos os colaboradores sejam treinados, mas apenas aqueles expostos a risco elevado — o programa de capacitação deve ser desenhado sob medida para a realidade de cada organização, e não como um curso genérico aplicado a toda a empresa.

7. Melhoria contínua. O sistema de gestão deve ser revisado periodicamente, com monitoramento e verificação constantes, para que não conformidades sejam corrigidas antes de se tornarem um problema maior.

O caminho até a certificação

De forma resumida, a jornada segue uma sequência lógica: análise de lacunas para comparar as práticas atuais com os requisitos da norma, definição clara do escopo — quais áreas e unidades de negócio serão cobertas —, construção ou ajuste de políticas e controles (due diligence, brindes, hospitalidade, doações), implementação de treinamentos contínuos e estruturação de um canal de denúncias eficaz. Somente depois desse trabalho interno a empresa está pronta para a auditoria externa de certificação.

Por que isso é uma questão jurídica, não só de compliance

Um programa antissuborno bem estruturado não protege apenas a reputação da empresa perante o mercado — ele é também a principal linha de defesa em eventuais processos administrativos ou judiciais decorrentes da Lei Anticorrupção (Lei 12.846/2013). A existência de controles internos robustos, due diligence documentada e canais de denúncia ativos é justamente o que a legislação brasileira considera na dosimetria de sanções aplicadas a pessoas jurídicas.

Por isso, a estruturação do programa não deve ser conduzida isoladamente pela área de compliance. Ela exige leitura jurídica constante — na redação de políticas, na definição de cláusulas contratuais com fornecedores e parceiros, e na condução de investigações internas dentro dos limites legais.