Как проходит сертификация по ISO 37001

Сертификация по ISO 37001 — это независимая оценка системы менеджмента противодействия взяточничеству. Она нужна организациям, которые хотят подтвердить, что у них выстроены понятные правила предупреждения, выявления и реагирования на коррупционные риски, а не просто принята формальная антикоррупционная политика.

ISO 37001 особенно актуален для компаний, работающих с государственными заказчиками, крупными корпоративными клиентами, международными партнерами, подрядчиками, посредниками, агентами и другими третьими сторонами. Для таких организаций тема деловой этики, прозрачности платежей, подарков, представительских расходов, конфликта интересов и проверки контрагентов напрямую связана с доверием, репутацией и коммерческой устойчивостью.

Эта статья будет полезна руководителям, специалистам по комплаенсу, юристам, службам безопасности, внутренним аудиторам и владельцам процессов, которые уже рассматривают сертификацию по ISO 37001 и хотят понять, как проходит процедура, какие данные нужны для заявки, что проверяют аудиторы и как подготовиться к сертификационному аудиту.

Что это простыми словами

Сертификация по ISO 37001 — это проверка того, как организация управляет рисками взяточничества. В центре внимания не отдельный документ и не формальная декларация, а работающая система: кто отвечает за антикоррупционные меры, как оцениваются риски, как проверяются деловые партнеры, как сотрудники сообщают о нарушениях, как рассматриваются подозрения и какие действия предпринимает руководство.

Важно понимать: сертификат ISO 37001 не означает, что в компании никогда не может произойти коррупционный инцидент. Стандарт не дает абсолютной гарантии отсутствия нарушений. Он подтверждает другое: организация внедрила разумные и соразмерные меры для предупреждения, выявления и реагирования на взяточничество.

Именно поэтому на аудите оценивается не только наличие политики, процедур и приказов, но и практическое применение системы. Аудитор смотрит, понимают ли сотрудники требования, анализируются ли риски, выполняется ли проверка контрагентов, есть ли независимая функция противодействия взяточничеству, рассматриваются ли сообщения о нарушениях и принимаются ли корректирующие действия.

Кто может пройти сертификацию по ISO 37001

Сертификацию по ISO 37001 может пройти организация любого размера и профиля: коммерческая компания, производственное предприятие, проектная организация, строительная компания, поставщик услуг, образовательная организация, некоммерческая структура или государственное учреждение.

На практике чаще всего интерес к ISO 37001 возникает у организаций, которые:

участвуют в тендерах и закупках;
работают с крупными заказчиками;
используют посредников, агентов, дилеров или представителей;
ведут деятельность в регионах или отраслях с повышенными коррупционными рисками;
хотят повысить доверие партнеров и инвесторов;
развивают систему комплаенса;
уже имеют сертифицированные системы менеджмента по ISO 9001, ISO 14001, ISO 45001 или другим стандартам и хотят встроить антикоррупционные требования в общую систему управления.

Для малой компании система может быть относительно простой. Для крупной группы компаний с филиалами, закупками, проектной деятельностью и большим числом контрагентов она будет сложнее. Но общий принцип один: меры должны быть соразмерны масштабу организации, характеру ее деятельности и уровню рисков.

Как выбрать орган по сертификации

Выбор органа по сертификации — один из первых практических шагов. Организация должна убедиться, что орган по сертификации компетентен проводить аудит ISO 37001, понимает специфику антикоррупционного менеджмента и применяет объективный, профессиональный подход.

При выборе стоит обратить внимание на несколько факторов.

Во-первых, опыт органа по сертификации в системах менеджмента. ISO 37001 связан не только с комплаенсом, но и с общей логикой управления: процессами, ответственностью, оценкой рисков, внутренними аудитами, анализом со стороны руководства и улучшением.

Во-вторых, компетентность аудиторов. Аудитор должен понимать не только структуру ISO-стандартов, но и практику работы с конфликтом интересов, проверкой контрагентов, подарками, представительскими расходами, благотворительностью, спонсорством, платежами через посредников и внутренними расследованиями.

В-третьих, прозрачность процедуры. Добросовестный орган по сертификации объясняет этапы аудита, состав запрашиваемой информации, порядок расчета трудоемкости, правила рассмотрения несоответствий и дальнейшие инспекционные аудиты.

Если ваша организация планирует пройти сертификацию по ISO 37001, вы можете обратиться в ГК ДКС. Наша компания имеет большой опыт сертификации систем менеджмента в России и проводит оценку соответствия с учетом требований стандарта и особенностей деятельности организации.

Какие данные нужны для заявки на сертификацию

Перед сертификацией организация направляет в орган по сертификации заявку и исходные данные. Они нужны для понимания масштаба аудита, области сертификации и трудоемкости работ.

Обычно запрашиваются следующие сведения:

Наименование организации
Адреса площадок и филиалов
Область деятельности
Численность персонала
Организационная структура
Наличие удаленных подразделений
Сведения о внедренной системе

Для ISO 37001 особенно важна информация о процессах с повышенными рисками: закупки, продажи, взаимодействие с государственными органами, участие в тендерах, работа с посредниками, подарки и представительские расходы, благотворительность, спонсорство, подбор персонала на чувствительные должности, финансовые операции и управление контрагентами.

Чем точнее организация описывает свою деятельность, тем корректнее орган по сертификации может определить программу аудита.

Первый этап аудита ISO 37001

Сертификационный аудит обычно проходит в два этапа. Первый этап нужен для оценки готовности организации ко второму этапу и для уточнения планирования аудита.

На первом этапе аудитор, как правило, анализирует ключевую документированную информацию и общую архитектуру системы менеджмента противодействия взяточничеству. Он смотрит, определена ли область применения системы, проведена ли оценка коррупционных рисков, назначены ли ответственные роли, установлена ли политика, предусмотрены ли процедуры для управления наиболее значимыми рисками.

На первом этапе могут быть рассмотрены:

область применения системы ISO 37001;
антикоррупционная политика;
оценка рисков взяточничества;
структура ответственности и полномочий;
роль руководства и, если применимо, высшего органа управления;
функция противодействия взяточничеству;
правила проверки контрагентов;
порядок управления подарками, представительскими расходами, благотворительностью и спонсорством;
каналы сообщения о нарушениях;
порядок расследования подозрений;
программа внутренних аудитов;
анализ со стороны руководства;
записи о корректирующих действиях.

Результатом первого этапа не является выдача сертификата. Его задача — понять, готова ли организация к основному аудиту. Если выявлены существенные пробелы, орган по сертификации может рекомендовать устранить их до проведения второго этапа.

Типичный пример: компания разработала антикоррупционную политику, но не провела оценку рисков по процессам и контрагентам. В этом случае переходить ко второму этапу преждевременно, потому что невозможно понять, какие меры должны быть применены и почему.

Второй этап аудита ISO 37001

Второй этап — это основная оценка внедрения и результативности системы. На этом этапе аудитор проверяет, работает ли система на практике.

Если на первом этапе больше внимания уделяется готовности и структуре, то на втором этапе аудитор рассматривает реальные доказательства: записи, интервью, примеры операций, договоры, решения, проверки, сообщения, расследования, корректирующие действия и участие руководства.

Аудитор проведет интервью и задаст свои вопросы руководителям, сотрудникам закупок, продаж, юридической службы, финансового блока, службы безопасности, кадровой службы, внутренним аудиторам и ответственным за систему противодействия взяточничеству.

На втором этапе обычно проверяется:

понимают ли сотрудники антикоррупционные требования;
проведена ли оценка рисков и актуальна ли она;
применяются ли меры управления к процессам с повышенным риском;
проводится ли проверка деловых партнеров;
как оцениваются подарки, представительские расходы и спонсорство;
как организация управляет конфликтом интересов;
как работают каналы сообщений о нарушениях;
есть ли защита заявителей от негативных последствий;
как рассматриваются подозрения и инциденты;
как проводятся внутренние аудиты;
анализирует ли руководство результативность системы;
выполняются ли корректирующие действия.

Хорошая система ISO 37001 отличается тем, что сотрудники понимают не только «какой документ где лежит», но и почему определенные действия недопустимы, куда обращаться при сомнениях и какие решения требуют дополнительной проверки.

Какие несоответствия бывают на аудите

Несоответствие — это невыполнение требования стандарта, собственной процедуры организации или установленного правила системы менеджмента. В сертификационной практике несоответствия могут быть существенными и несущественными. Конкретная классификация зависит от правил органа по сертификации, но логика обычно похожа.

Существенные (значительные) несоответствия связаны с серьезными пробелами, которые ставят под сомнение способность системы достигать своих целей. Например, организация заявляет систему ISO 37001, но не проводит оценку рисков взяточничества, не назначила ответственную функцию, не управляет проверкой контрагентов или не проводит внутренние аудиты.

Несущественные (малозначительные) несоответствия обычно касаются отдельных нарушений или неполного выполнения требований, которые не разрушают систему в целом. Например, в одной из проверенных записей отсутствует подтверждение ознакомления сотрудника с обновленной процедурой, или по отдельному контрагенту проверка выполнена, но не полностью оформлена.

Типовые слабые места при подготовке к ISO 37001:

формальная оценка рисков без связи с реальными процессами;
одинаковые меры контроля для всех контрагентов независимо от риска;
отсутствие понятных критериев проверки посредников и агентов;
недостаточная вовлеченность руководства;
обучение проведено, но нет проверки понимания требований;
каналы сообщений есть, но сотрудники не знают, как ими пользоваться;
внутренний аудит ограничен проверкой документов;
корректирующие действия устраняют симптом, но не причину проблемы;
анализ со стороны руководства проводится формально.

Главная ошибка — воспринимать ISO 37001 как «пакет документов для сертификата». На аудите такая система быстро показывает слабые места, потому что аудитор сопоставляет документы с реальной практикой.

Что происходит после аудита

Если аудит пройден успешно, орган по сертификации принимает решение о выдаче сертификата. Сертификат подтверждает, что система менеджмента противодействия взяточничеству соответствует требованиям ISO 37001 в заявленной области сертификации.

Но на этом работа не заканчивается. Сертификация — это не разовое мероприятие, а часть цикла поддержания и улучшения системы. Организация должна продолжать оценивать риски, обучать сотрудников, проводить внутренние аудиты, анализировать результативность, реагировать на изменения и устранять выявленные несоответствия.

После выдачи сертификата важно поддерживать:

актуальность оценки рисков;
работоспособность каналов сообщений;
контроль контрагентов и операций с повышенным риском;
обучение и информирование сотрудников;
внутренние аудиты;
анализ со стороны руководства;
выполнение корректирующих действий;
документированные записи по ключевым процессам.

Если компания получила сертификат, но затем перестала поддерживать систему, это станет заметно на инспекционном аудите.

Инспекционные аудиты ISO 37001

В течение срока действия сертификата орган по сертификации проводит инспекционные аудиты. Их цель — убедиться, что система продолжает соответствовать требованиям ISO 37001 и поддерживается в рабочем состоянии.

Инспекционный аудит обычно не повторяет сертификационный аудит в полном объеме, но охватывает ключевые элементы системы и процессы, которые важны для доверия к сертификату. Особое внимание может уделяться изменениям в организации, результатам внутренних аудитов, корректирующим действиям, жалобам, инцидентам, сообщениям о нарушениях и обновлению оценки рисков.

На инспекционном аудите часто видно, была ли сертификация для компании реальным инструментом управления или разовым проектом. Зрелая организация использует систему ISO 37001 для регулярной оценки рисков и принятия решений. Формальная организация вспоминает о системе только перед визитом аудитора.

Как подготовиться к сертификации по ISO 37001

Подготовка к сертификации должна начинаться не с оформления папки документов, а с анализа реальных коррупционных рисков. Организации нужно понять, где именно могут возникнуть риски взяточничества: в закупках, продажах, тендерах, взаимодействии с государственными органами, выборе подрядчиков, работе с посредниками, благотворительности, спонсорстве или представительских расходах.

Практический план подготовки может включать следующие шаги:

Определить область применения системы ISO 37001.
Провести оценку рисков взяточничества по процессам, подразделениям и контрагентам.
Установить антикоррупционную политику и довести ее до сотрудников.
Назначить роли, ответственность и функцию противодействия взяточничеству.
Разработать процедуры для процессов с повышенным риском.
Настроить проверку деловых партнеров.
Определить правила по подаркам, представительским расходам, благотворительности и спонсорству.
Организовать каналы сообщения о нарушениях.
Обучить сотрудников и руководителей.
Провести внутренний аудит.
Провести анализ со стороны руководства.
Устранить выявленные несоответствия до сертификационного аудита.

Хорошая подготовка к сертификации — это когда организация может объяснить аудитору не только «что у нас написано», но и «как мы это применяем», «почему выбраны такие меры» и «как мы понимаем, что система работает».

Сертификация ISO 37001 в Группе компаний ДКС

Группа Компаний ДКС специализируется на сертификации систем менеджмента, включая сертификацию по ISO 37001. Аудиторы ГК ДКС имеют практический опыт оценки систем менеджмента и понимают, что антикоррупционная система должна быть не формальным набором документов, а рабочим инструментом управления рисками.

Если ваша организация планирует сертификацию по ISO 37001, вы можете обратиться в ГК ДКС за консультацией по процедуре сертификации, подаче заявки, определению области сертификации и подготовке к аудиту. Специалисты помогут понять этапы процесса, состав необходимых исходных данных и порядок проведения сертификационного и инспекционных аудитов.

Итоги

Сертификация по ISO 37001 — это подтверждение того, что организация выстроила систему менеджмента противодействия взяточничеству и применяет ее на практике. Для бизнеса это не только вопрос соответствия требованиям стандарта, но и инструмент повышения доверия, управления рисками и укрепления деловой репутации.

Процесс сертификации включает подачу заявки, расчет трудоемкости, первый этап аудита, второй этап аудита, устранение возможных несоответствий, выдачу сертификата и последующие инспекционные аудиты. На каждом этапе важны не формальные документы сами по себе, а доказательства того, что система действительно работает.

Для успешной сертификации по ISO 37001 организации нужно заранее оценить риски, определить ответственность, обучить сотрудников, настроить проверку контрагентов, провести внутренний аудит и обеспечить участие руководства. Именно такой подход позволяет пройти сертификацию более уверенно и использовать ISO 37001 как практический инструмент управления, а не как разовый проект ради сертификата.

<< Все новости