Ghid certificare anti-mită pentru ISO 37001

O invitație la un eveniment, un intermediar recomandat de un partener sau o sponsorizare cerută într-un moment sensibil pot deveni rapid situații cu risc ridicat. Un ghid certificare anti-mită este util tocmai pentru că transformă principiile generale de integritate în controale verificabile, responsabilități clare și decizii documentate. Pentru organizațiile care participă la achiziții, lucrează cu autorități, gestionează subcontractori sau operează în piețe cu expunere ridicată, ISO 37001 oferă un cadru structurat pentru prevenirea, detectarea și tratarea riscului de mită.

Certificarea nu este o declarație că o organizație nu va întâlni niciodată un incident și nici nu înlocuiește obligațiile legale sau investigațiile specifice. Ea confirmă, în limitele domeniului certificat și ale auditului efectuat, că sistemul de management anti-mită este implementat și funcționează în raport cu cerințele standardului ISO 37001.

Ce urmărește certificarea ISO 37001

ISO 37001 se aplică organizațiilor private, publice și non-profit, indiferent de dimensiune sau sector. Standardul are în vedere mita oferită, promisă, dată, solicitată, acceptată ori primită, direct sau prin terți. Poate acoperi relațiile cu angajați, administratori, clienți, furnizori, consultanți, agenți comerciali, parteneri de asociere și reprezentanți ai autorităților publice.

Punctul de plecare nu este un set generic de politici, ci analiza riscurilor reale. O companie de construcții poate avea expunere în relația cu subcontractorii, autorizațiile și achizițiile. O firmă din transport poate analiza utilizarea intermediarilor și plățile efectuate în mai multe jurisdicții. În sănătate, IT sau servicii profesionale, riscurile pot apărea în selecția furnizorilor, sponsorizări, cadouri, conflicte de interese ori contracte cu comision.

Sistemul trebuie să arate cum identifică organizația aceste expuneri, cine aprobă tranzacțiile sensibile, ce verificări aplică partenerilor și cum poate fi raportată o suspiciune fără teama unor represalii. Eficacitatea depinde de integrarea acestor măsuri în activitatea curentă, nu de existența unor documente păstrate doar pentru audit.

Certificare, acreditare și consultanță: diferențe necesare

Certificarea este evaluarea realizată de un organism de certificare asupra sistemului de management al organizației. După un audit și o decizie independentă, organizația poate primi un certificat dacă sunt îndeplinite condițiile aplicabile. Certificatul are o durată determinată și este menținut prin audituri de supraveghere.

Acreditarea este evaluarea competenței organismului de certificare. În România, RENAR este organismul național de acreditare desemnat în cadrul european stabilit de Regulamentul (CE) nr. 765/2008. Pentru o organizație care caută o certificare ISO 37001, acreditarea relevantă oferă un reper verificabil privind competența, imparțialitatea și funcționarea organismului de certificare în domeniul acreditat.

Consultanța are un rol diferit: presupune sprijinirea organizației pentru proiectarea sau implementarea sistemului. Pentru a proteja imparțialitatea, organismul care certifică nu trebuie să proiecteze sistemul și nici să efectueze auditul intern pentru același client de certificare. Auditorul poate explica neconformitățile constatate și cerințele standardului, însă responsabilitatea alegerii și aplicării măsurilor rămâne la organizație.

UNICERT realizează certificarea sistemelor de management anti-mită ISO 37001 sub acreditare RENAR, printr-un proces separat de orice activitate de consultanță de implementare.

Ghid certificare anti-mită: pregătirea pentru audit

Pregătirea eficientă începe prin definirea domeniului sistemului de management anti-mită. Acesta trebuie să fie clar: activitățile, sediile, funcțiile și entitățile incluse trebuie să corespundă realității operaționale. Un domeniu formulat prea larg poate face dificilă demonstrarea aplicării efective a controalelor. Un domeniu prea restrictiv poate exclude tocmai procesele cu expunere semnificativă.

Apoi, conducerea trebuie să demonstreze implicare reală. ISO 37001 pune accent pe tonul de la vârf: alocarea responsabilităților, resurse suficiente, susținerea funcției de conformitate anti-mită și reacția corectă la abateri. O politică semnată, fără decizii și resurse care să o susțină, nu este suficientă.

Înainte de audit, organizația ar trebui să poată pune la dispoziție dovezi coerente privind:

• evaluarea periodică a riscurilor de mită, cu criterii, rezultate și măsuri stabilite;
• politica anti-mită și comunicarea acesteia către personal și părțile relevante;
• verificările proporționale aplicate partenerilor de afaceri și tranzacțiilor cu risc;
• regulile pentru cadouri, ospitalitate, donații, sponsorizări, contribuții politice și conflicte de interese;
• canalele de raportare, confidențialitatea și protecția persoanelor care raportează cu bună-credință;
• instruirea personalului, auditul intern, analiza de management și tratarea neconformităților.

Nu toate organizațiile vor avea aceleași documente sau același nivel de control. Standardul cere măsuri proporționale cu riscurile identificate. Un IMM cu un singur punct de lucru și relații contractuale simple poate avea un sistem mai concentrat decât un grup cu operațiuni multisite, numeroși intermediari și proiecte internaționale. În ambele cazuri, justificarea măsurilor și capacitatea de a demonstra aplicarea lor sunt esențiale.

Dovezile contează mai mult decât formulările

În audit, auditorii nu evaluează doar existența unei proceduri. Ei urmăresc dacă regulile sunt înțelese și aplicate. De exemplu, dacă procedura prevede verificarea unui agent comercial, organizația trebuie să poată arăta ce verificare a efectuat, cine a aprobat colaborarea, ce riscuri au fost identificate și cum sunt monitorizate obligațiile contractuale.

În mod similar, un registru de cadouri este relevant dacă este completat consecvent, dacă pragurile și aprobările sunt cunoscute și dacă situațiile neobișnuite sunt analizate. Documentele trebuie să reflecte procesele reale, inclusiv acolo unde sunt identificate probleme sau oportunități de îmbunătățire.

Cum se desfășoară certificarea

Procesul începe, de regulă, cu analiza solicitării și stabilirea unei oferte adaptate organizației. Sunt relevante domeniul de activitate, numărul de angajați, sediile, procesele externalizate, complexitatea relațiilor cu terții și nivelul de risc. Aceste informații contribuie la determinarea duratei de audit și a competențelor necesare echipei de audit.

Auditul inițial include de obicei două etape. În Stage 1 se analizează nivelul de pregătire, domeniul sistemului, documentația principală și aspectele care trebuie clarificate înainte de auditul de certificare. Această etapă ajută organizația să înțeleagă dacă sistemul este suficient de matur pentru evaluarea completă.

În Stage 2, echipa de audit verifică implementarea și eficacitatea sistemului prin interviuri, examinarea înregistrărilor și observarea modului în care sunt aplicate controalele. Auditul poate include discuții cu conducerea, responsabilul de conformitate anti-mită, personalul din achiziții, financiar, vânzări, resurse umane sau coordonatorii de proiect, în funcție de profilul organizației.

Dacă sunt identificate neconformități, acestea trebuie tratate de organizație prin corecții și acțiuni corective adecvate. Închiderea lor nu înseamnă doar transmiterea unui răspuns formal, ci demonstrarea faptului că a fost analizată cauza și că măsurile reduc riscul de reapariție. Decizia de certificare este luată independent de activitatea de audit, pe baza informațiilor din dosarul de certificare.

După acordarea certificatului, sistemul rămâne sub evaluare prin audituri de supraveghere. La finalul ciclului de certificare, recertificarea analizează menținerea eficacității și îmbunătățirea sistemului. Dacă organizația își extinde activitatea, adaugă locații sau modifică procese importante, poate fi necesară extinderea domeniului certificat.

Situații care cer atenție înainte de certificare

O dificultate frecventă este confundarea riscului de mită cu simpla respectare a unui cod etic. Codul este util, dar ISO 37001 cere o abordare de management: evaluare de risc, controale, responsabilități, monitorizare și îmbunătățire. O altă problemă este tratarea tuturor terților identic. Verificările trebuie să fie proporționale, dar trebuie să existe criterii care explică de ce un partener este considerat cu risc redus, mediu sau ridicat.

Merită analizate și relațiile existente, nu doar contractele noi. Un sistem introdus recent trebuie să stabilească modul în care sunt revizuiți partenerii deja activi, mai ales dacă aceștia au acces la autorități, negociază în numele organizației sau primesc comisioane variabile. De asemenea, instruirea trebuie adaptată rolurilor: personalul care aprobă plăți sau selectează furnizori are nevoie de exemple relevante pentru deciziile pe care le ia.

Pentru organizațiile care urmăresc cerințe contractuale sau participarea la proceduri de achiziție, certificarea acreditată poate susține demonstrarea maturității sistemului de management atunci când ISO 37001 este solicitat. Totuși, fiecare documentație de achiziție trebuie analizată separat, iar certificatul nu garantează eligibilitatea sau atribuirea unui contract.

Înainte de a solicita certificarea, verificați dacă sistemul anti-mită este aplicat suficient de mult timp pentru a produce dovezi relevante: evaluări de risc, decizii de aprobare, instruiri, monitorizări și analiza conducerii. O discuție clară despre domeniu, locații și riscuri permite construirea unui program de audit adecvat și a unei oferte relevante. Cereți o ofertă bazată pe datele reale ale organizației, nu doar pe numărul de angajați.