Какие документы нужны для ISO 37001: полный перечень для внедрения и сертификации

Внедрение ISO 37001 часто начинают с вопроса: «Какие документы нужно подготовить?». Это логично: без политики, процедур, записей и доказательств применения системы организация не сможет показать, что антикоррупционная система менеджмента действительно работает. Но важно понимать: ISO 37001 — это не просто комплект документов. Это система управления рисками взяточничества, в которой документы помогают закрепить правила, распределить ответственность, зафиксировать решения и подтвердить выполнение требований.

Документация по ISO 37001 нужна не ради формальности. Она помогает компании единообразно оценивать коррупционные риски, проверять контрагентов, управлять конфликтами интересов, контролировать подарки и представительские расходы, расследовать сообщения о нарушениях и принимать корректирующие действия. Для руководства это инструмент управляемости. Для сотрудников — понятные правила поведения. Для аудитора — доказательство того, что система не существует только «на бумаге».

Эта статья будет полезна компаниям, которые готовятся к внедрению ISO 37001, внутреннему аудиту, сертификационному аудиту или пересмотру уже действующей антикоррупционной системы менеджмента.

ISO 37001 и документированная информация: что важно понять

ISO 37001 устанавливает требования к системе менеджмента противодействия взяточничеству. В российской практике эту систему часто называют антикоррупционной системой менеджмента или системой комплаенса в сфере противодействия коррупции.

Документированная информация в ISO 37001 выполняет несколько задач:

• описывает правила и процедуры;
• подтверждает, что требования действительно выполняются;
• фиксирует результаты оценки рисков, проверок, расследований, аудитов и анализа со стороны руководства;
• помогает обеспечить единый подход в разных подразделениях, филиалах и проектах;
• создает доказательную базу для внутреннего и внешнего аудита.

При этом стандарт не требует одинакового комплекта документов для всех организаций. Документы должны соответствовать масштабу, структуре, отрасли, уровню коррупционных рисков и сложности процессов компании.

Например, для небольшой сервисной компании система может быть относительно компактной: антикоррупционная политика, оценка рисков, порядок проверки контрагентов, правила подарков, канал сообщений о нарушениях, программа внутреннего аудита и записи по ключевым действиям.

Для крупной компании с филиальной сетью, госзаказами, закупками, посредниками и международными контрактами потребуется более детальная система: регламенты по due diligence, многоуровневое согласование расходов, отдельные правила по благотворительности и спонсорству, расширенные процедуры расследований, регулярное обучение и контроль в дочерних обществах.

Антикоррупционная политика

Антикоррупционная политика — один из ключевых документов ISO 37001. Она задает позицию компании по отношению к взяточничеству и другим коррупционным практикам.

В хорошей политике обычно отражают:

• запрет на взятки в любой форме;
• обязательство соблюдать применимые требования законодательства и внутренние правила;
• ожидания в отношении сотрудников, руководителей, партнеров и представителей компании;
• ответственность за соблюдение политики;
• порядок сообщения о нарушениях;
• гарантию защиты добросовестных заявителей;
• возможные последствия нарушений.

Главная ошибка — написать слишком общий декларативный документ, который красиво звучит, но не помогает сотруднику принять решение в реальной ситуации. Например, фраза «компания не допускает коррупции» сама по себе недостаточна. Политика должна быть связана с практическими процедурами: подарками, представительскими расходами, конфликтом интересов, проверкой контрагентов, закупками, продажами и расследованиями.

Аудитор будет смотреть не только на наличие политики, но и на то, доведена ли она до работников, понятна ли сотрудникам, применяется ли в договорах и взаимодействии с деловыми партнерами.

Методика оценки коррупционных рисков

Оценка коррупционных рисков — основа всей системы ISO 37001. Без нее невозможно понять, какие процессы требуют усиленного контроля, где нужны проверки контрагентов, какие операции должны согласовываться, а где достаточно обычного контроля.

Методика оценки рисков должна отвечать на несколько вопросов:

• какие процессы и ситуации оцениваются;
• кто участвует в оценке;
• какие критерии используются;
• как определяется уровень риска;
• как часто проводится пересмотр;
• какие меры принимаются по результатам оценки.

В качестве критериев обычно используют вероятность возникновения риска и возможные последствия. Дополнительно можно учитывать страну или регион деятельности, тип контрагента, участие посредников, наличие государственных заказчиков, объем платежей, срочность сделки, нестандартные условия договора, историю взаимодействия и репутационные факторы.

Важно, чтобы методика не была слишком сложной для применения. Если шкала оценки рисков перегружена, сотрудники начинают заполнять формы формально. Лучше использовать понятный подход, который реально помогает принимать управленческие решения.

Реестр коррупционных рисков

Реестр коррупционных рисков — это рабочий инструмент, в котором фиксируются выявленные риски, их оценка, ответственные лица и меры управления.

В реестре обычно указывают:

• процесс или область деятельности;
• описание риска;
• возможные причины и последствия;
• текущие меры контроля;
• уровень риска до и после мер управления;
• дополнительные действия;
• ответственных;
• сроки выполнения;
• статус выполнения.

Пример риска: при выборе поставщика сотрудник закупок может получить личную выгоду за включение компании в список поставщиков. Меры управления могут включать разделение полномочий, коллегиальное согласование, проверку поставщика, декларирование конфликта интересов, анализ ценовых предложений и выборочную проверку сделок.

Незрелый подход — составить реестр один раз перед сертификацией и больше к нему не возвращаться. Зрелый подход — пересматривать риски при изменении процессов, выходе на новые рынки, появлении новых посредников, изменении законодательства, результатах расследований или выявлении несоответствий.

Процедура due diligence: проверка контрагентов и сделок

Due diligence — это комплексная проверка надежности контрагента, проекта, сделки или сотрудника перед началом или продолжением взаимодействия. В контексте ISO 37001 эта процедура помогает понять, не создает ли сотрудничество повышенный риск взяточничества.

Процедура due diligence может применяться к:

• поставщикам;
• агентам и посредникам;
• консультантам;
• подрядчикам;
• партнерам по совместным проектам;
• кандидатам на ключевые должности;
• сделкам с повышенным уровнем риска;
• благотворительным и спонсорским проектам.

Документ должен описывать, когда проверка обязательна, какие сведения собираются, кто принимает решение, как фиксируются результаты и что делать при выявлении красных флагов.

К красным флагам могут относиться непрозрачная структура собственности, отказ предоставить информацию, связь с должностными лицами, просьбы о необычных платежах, завышенное вознаграждение посредника, отсутствие понятной деловой цели или негативная деловая репутация.

Важно: due diligence не должен превращаться в формальную анкету. Если проверка выявила высокий риск, компания должна принять решение: отказаться от взаимодействия, усилить договорные условия, установить дополнительный контроль, запросить пояснения или согласовать работу на более высоком уровне управления.

Правила подарков и представительских расходов

Подарки, деловое гостеприимство и представительские расходы — одна из наиболее чувствительных зон для антикоррупционной системы. Не каждый подарок является нарушением, но именно через подарки и «знаки внимания» часто маскируются неправомерные преимущества.

В правилах стоит определить:

• какие подарки допустимы;
• какие подарки запрещены;
• лимиты стоимости;
• порядок согласования;
• правила учета и регистрации;
• особенности взаимодействия с государственными служащими и представителями клиентов;
• действия сотрудника при получении сомнительного подарка.

Например, недорогая сувенирная продукция с логотипом может быть допустима, а дорогостоящий подарок сотруднику клиента перед принятием решения по контракту — очевидный риск. Представительские расходы должны иметь деловую цель, быть разумными по сумме и подтверждаться документами.

На аудите часто смотрят не только процедуру, но и записи: журналы подарков, согласования расходов, первичные документы, объяснение деловой цели мероприятия, решения по нестандартным ситуациям.

Управление конфликтом интересов

Конфликт интересов возникает, когда личная заинтересованность сотрудника может повлиять на объективность его решений. Например, руководитель выбирает поставщика, принадлежащего его родственнику, или сотрудник участвует в согласовании договора с компанией, где он имеет личный финансовый интерес.

Для ISO 37001 важно не только запретить конфликт интересов, но и установить порядок его выявления и управления.

Обычно нужны:

• форма декларации конфликта интересов;
• порядок первичного и периодического декларирования;
• правила рассмотрения заявленных ситуаций;
• меры управления конфликтом;
• записи о принятых решениях.

Меры могут быть разными: отстранение сотрудника от принятия решения, дополнительное согласование, раскрытие информации, передача полномочий другому лицу или отказ от сделки.

Типовая ошибка — требовать от сотрудников ежегодно подписывать пустую декларацию «конфликтов нет», но не объяснять, какие ситуации надо раскрывать. В результате люди не понимают, что именно считается конфликтом интересов, и система не работает.

Каналы сообщений о нарушениях

Канал сообщений о нарушениях нужен для того, чтобы сотрудники и заинтересованные стороны могли сообщить о подозрениях на взяточничество, конфликт интересов или нарушение антикоррупционных правил.

Это может быть электронная почта, форма на сайте, горячая линия, обращение к ответственному лицу или другой удобный канал. Важно не название канала, а доверие к нему и понятный порядок работы.

Документ по сообщениям о нарушениях должен описывать:

• кто может подать сообщение;
• какие вопросы можно сообщать;
• допускаются ли анонимные сообщения;
• кто принимает и рассматривает сообщения;
• как обеспечивается конфиденциальность;
• как защищаются добросовестные заявители;
• какие сроки и этапы рассмотрения установлены;
• как фиксируются результаты.

Если сотрудники считают, что сообщение приведет к давлению или формальной отписке, канал не будет работать. Поэтому аудиторы обращают внимание не только на наличие адреса электронной почты, но и на реальные записи: были ли обращения, как они рассматривались, какие решения принимались, проводились ли корректирующие действия.

Порядок расследований

Если компания получила сообщение о возможном нарушении, выявила подозрительную операцию или обнаружила несоответствие, нужен понятный порядок расследования.

Процедура расследований обычно включает:

• основания для начала расследования;
• назначение ответственных лиц;
• требования к независимости и объективности;
• сбор и анализ информации;
• интервью с участниками;
• оформление результатов;
• принятие решений;
• корректирующие действия;
• хранение материалов расследования.

Расследование должно быть соразмерным ситуации. Не каждое сообщение требует масштабной комиссии, но каждое серьезное подозрение должно быть рассмотрено объективно и документально.

Особенно важно разделять расследование фактов и принятие дисциплинарных или управленческих решений. Если процедура непрозрачна, есть риск субъективности, давления на сотрудников и потери доверия к системе.

Внутренний аудит ISO 37001

Внутренний аудит помогает компании проверить, соответствует ли антикоррупционная система требованиям ISO 37001 и собственным правилам организации. Это не репетиция сертификационного аудита, а инструмент улучшения системы.

Для внутреннего аудита обычно нужны:

• программа аудитов;
• план конкретного аудита;
• критерии аудита;
• чек-листы или вопросники;
• записи интервью и выборочной проверки;
• отчет по аудиту;
• зарегистрированные несоответствия;
• корректирующие действия и контроль их выполнения.

При аудите ISO 37001 важно проверять не только документы. Например, если в процедуре написано, что посредники с высоким риском проходят due diligence, аудитор должен выбрать несколько таких посредников и проверить, была ли проведена оценка, кто ее согласовал, какие выводы сделаны и какие меры применены.

Хороший внутренний аудит выявляет слабые места до внешнего аудита: формальные декларации конфликта интересов, неполные проверки контрагентов, отсутствие записей по обучению, неактуальный реестр рисков, несогласованные представительские расходы.

Анализ со стороны руководства

Анализ со стороны руководства показывает, что высшее руководство не просто утвердило политику, а регулярно оценивает результативность системы.

В протокол анализа со стороны руководства обычно включают:

• статус решений предыдущего анализа;
• изменения во внешней и внутренней среде;
• результаты оценки коррупционных рисков;
• результаты внутренних аудитов;
• сообщения о нарушениях и итоги расследований;
• несоответствия и корректирующие действия;
• результаты обучения и информирования;
• оценку ресурсов;
• предложения по улучшению системы.

Важно, чтобы анализ не был формальным ежегодным протоколом ради аудитора. Руководство должно видеть управленческую картину: где риски растут, какие процессы требуют внимания, какие меры не работают, какие решения нужно принять.

Другие документы и записи, которые могут понадобиться

Помимо ключевых документов, в системе ISO 37001 могут использоваться и другие виды документированной информации:

Документ или запись	Для чего нужен
Матрица ролей и ответственности	Показывает, кто отвечает за политику, риски, проверки, расследования и контроль
Программа обучения	Подтверждает, что сотрудники понимают антикоррупционные правила
Записи о прохождении обучения	Доказывают, что обучение проведено для нужных категорий персонала
Антикоррупционные оговорки в договорах	Закрепляют требования к контрагентам
Реестр проверок контрагентов	Подтверждает применение due diligence
Журнал подарков и представительских расходов	Помогает контролировать чувствительные операции
Реестр сообщений и расследований	Фиксирует работу каналов сообщений
Реестр несоответствий и корректирующих действий	Показывает улучшение системы
План коммуникаций	Определяет, кому и как доводятся антикоррупционные требования

Состав документов зависит от организации. Главное — чтобы документы были не разрозненными файлами, а частью единой системы менеджмента.

Типовые ошибки при подготовке документов ISO 37001

Первая ошибка — копировать шаблоны без адаптации. Универсальная процедура может выглядеть убедительно, но не отражать реальные процессы компании. Например, в документе описана проверка агентов и посредников, хотя компания с ними не работает, но при этом отсутствует контроль закупок, где риски действительно высокие.

Вторая ошибка — ограничиться политикой и несколькими регламентами. ISO 37001 требует не только намерений, но и доказательств выполнения: записей оценки рисков, обучения, проверок, аудитов, расследований и анализа со стороны руководства.

Третья ошибка — не связывать документы между собой. Реестр рисков должен влиять на due diligence, обучение, внутренние контроли и программу аудитов. Если каждый документ живет отдельно, система становится формальной.

Четвертая ошибка — не вовлекать руководителей процессов. Антикоррупционная система не может быть задачей только юриста, специалиста по качеству или комплаенс-ответственного. Закупки, продажи, финансы, HR, юридическая служба и руководство должны понимать свою роль.

Пятая ошибка — не поддерживать документы в актуальном состоянии. Изменились процессы, появились новые контрагенты, компания вышла в новый регион, изменилась структура управления — значит, нужно пересмотреть риски, процедуры и контрольные меры.

Что проверяют аудиторы при сертификации ISO 37001

На сертификационном аудите ISO 37001 аудитор оценивает не только наличие документов, но и их практическое применение.

Обычно внимание уделяется следующим вопросам:

• соответствует ли антикоррупционная политика деятельности компании;
• проведена ли оценка коррупционных рисков;
• определены ли роли, ответственность и полномочия;
• работает ли процедура проверки контрагентов;
• управляются ли подарки, представительские расходы и конфликты интересов;
• есть ли каналы сообщений о нарушениях;
• проводятся ли расследования;
• обучены ли сотрудники;
• выполняются ли внутренние аудиты;
• анализирует ли руководство результативность системы;
• регистрируются ли несоответствия и корректирующие действия;
• улучшается ли система по результатам проверок и выявленных проблем.

Если документ существует, но сотрудники о нем не знают, записи отсутствуют, а решения не принимаются, это может стать основанием для несоответствия. Поэтому подготовка к аудиту должна включать не только оформление документов, но и проверку фактического выполнения процедур.

Практические рекомендации по подготовке документов

Начните с анализа деятельности компании. Определите, где потенциально могут возникать коррупционные риски: закупки, продажи, взаимодействие с государственными органами, участие в тендерах, работа через посредников, благотворительность, спонсорство, найм персонала, подарки и представительские расходы.

Затем проведите оценку рисков и на ее основе определите, какие документы действительно нужны. Не стоит создавать избыточную систему ради объема. Лучше иметь меньше документов, но таких, которые реально применяются.

Назначьте владельцев процессов. Например, закупки должны участвовать в правилах выбора поставщиков, финансы — в контроле платежей и представительских расходов, HR — в обучении и проверке кандидатов на чувствительные должности, юридическая служба — в договорных условиях, руководство — в анализе результативности.

Проверьте, есть ли записи. Для сертификации важны доказательства: протоколы, журналы, отчеты, формы проверок, результаты согласований, материалы обучения, отчеты внутренних аудитов, корректирующие действия.

Проведите внутренний аудит до сертификационного аудита. Он поможет увидеть слабые места и исправить их заранее.

И главное — объясните сотрудникам, зачем нужна система. Если ISO 37001 воспринимается как очередной комплект форм, она не будет работать. Если сотрудники понимают, какие ситуации опасны и как действовать, документы становятся частью реального управления рисками.

Сертификация ISO 37001 в Группе компаний ДКС

Если ваша компания планирует сертификацию ISO 37001, важно выбрать орган по сертификации, который понимает не только формальные требования стандарта, но и практику антикоррупционного комплаенса, внутреннего контроля и аудита систем менеджмента.

Группа компаний ДКС специализируется на сертификации систем менеджмента, включая ISO 37001. Наши аудиторы имеют большой практический опыт оценки систем, анализа документации, проверки процессов и выявления как формальных, так и действительно значимых слабых мест. Мы понимаем, что для клиента сертификация — это не просто получение сертификата, а подтверждение зрелости системы, доверия со стороны партнеров и готовности компании управлять коррупционными рисками.

Если вы готовитесь к внедрению или сертификации ISO 37001, перейдите на отдельную страницу, посвященную этому стандарту, и оставьте заявку. Мы поможем сориентироваться в процедуре сертификации, требованиях к аудиту и подготовке к оценке системы.

Итоги

Документы для ISO 37001 нужны не для того, чтобы создать папку «для аудитора». Они помогают компании выстроить понятные правила противодействия взяточничеству, оценить коррупционные риски, контролировать чувствительные процессы, проверять контрагентов, управлять конфликтами интересов, расследовать нарушения и улучшать систему.

Минимально компании обычно нужны антикоррупционная политика, методика оценки рисков, реестр коррупционных рисков, процедура due diligence, правила подарков и представительских расходов, порядок управления конфликтом интересов, каналы сообщений о нарушениях, процедура расследований, программа внутреннего аудита, отчеты аудитов, протокол анализа со стороны руководства и записи по корректирующим действиям.

Но универсального комплекта документов для всех организаций не существует. Система должна соответствовать реальным рискам, масштабу бизнеса, отрасли, структуре процессов и уровню зрелости компании.

Хорошая подготовка к ISO 37001 — это не только разработка документов, но и их внедрение в ежедневную практику. Именно это будет важно для руководства, сотрудников, партнеров и аудиторов при сертификации.