Ce verifică un audit anti mită ISO 37001

O invitație la licitație, un contract cu un partener internațional sau o investiție într-o zonă cu risc ridicat pot scoate rapid la iveală o întrebare dificilă: poate organizația demonstra că previne, detectează și tratează adecvat riscurile de mită? Un audit anti mită ISO 37001 nu verifică dacă organizația are doar o politică semnată. El analizează dacă sistemul de management anti-mită funcționează în activitatea reală, de la aprobarea unui agent comercial până la gestionarea sponsorizărilor, cadourilor sau relațiilor cu autoritățile.

Standardul ISO 37001 oferă un cadru pentru stabilirea, implementarea, menținerea și îmbunătățirea unui sistem de management anti-mită. Certificarea nu reprezintă o garanție că mita nu poate apărea într-o organizație. Ea poate demonstra, în schimb, că organizația a instituit controale proporționale cu riscurile sale și că acestea sunt evaluate de un organism de certificare independent.

De ce auditul anti mită ISO 37001 este diferit

Un sistem anti-mită eficace nu se reduce la reguli generale de conduită. Riscul nu este același într-o companie de IT care vinde servicii către mediul privat, într-un antreprenor din construcții care lucrează cu subcontractori și autorități contractante sau într-o companie de logistică ce operează în mai multe puncte de lucru. Auditorul trebuie să înțeleagă contextul organizației, procesele relevante, piețele în care activează și tipurile de relații de afaceri pe care le gestionează.

De aceea, auditul urmărește legătura dintre analiza riscurilor și măsurile alese. Dacă organizația identifică expuneri asociate achizițiilor, intermediarilor, contractelor publice sau autorizărilor, ar trebui să poată arăta cum sunt controlate aceste situații. O procedură formală, fără responsabilități clare și fără dovezi de aplicare, nu este suficientă.

Auditul este bazat pe eșantionare. Auditorul nu poate verifica fiecare document, fiecare plată sau fiecare decizie luată de organizație. El selectează probe relevante și formulează o concluzie pe baza dovezilor obiective colectate. Amploarea și durata auditului depind de dimensiunea organizației, numărul de locații, domeniul certificat, complexitatea proceselor și nivelul de risc.

Ce verifică auditorul într-un audit anti mită ISO 37001

Contextul, conducerea și responsabilitățile

Auditul începe cu înțelegerea organizației și a modului în care conducerea tratează riscul de mită. Auditorul poate analiza domeniul sistemului de management, politica anti-mită, obiectivele stabilite și responsabilitățile atribuite. Se urmărește inclusiv existența unei funcții de conformitate anti-mită cu autoritate, independență și resurse adecvate rolului său.

Implicarea conducerii este esențială. Mesajele interne, deciziile privind resursele, reacția la sesizări și modul în care sunt tratate abaterile pot arăta dacă politica este aplicată consecvent. În organizațiile mari, aceste aspecte sunt evaluate și prin discuții cu persoane din niveluri și locații diferite, nu doar cu echipa care administrează documentația sistemului.

Evaluarea riscurilor de mită

O evaluare relevantă a riscurilor trebuie să pornească de la activitatea concretă. Auditorul poate verifica metodologia utilizată, criteriile de evaluare, frecvența revizuirii și modul în care rezultatele au fost transformate în controale. Este util ca organizația să poată explica de ce anumite procese au fost considerate cu risc mai ridicat sau mai redus.

De exemplu, riscurile pot fi asociate cu utilizarea unor terți care interacționează în numele organizației, cu comisioanele plătite, selecția furnizorilor, donațiile, contribuțiile politice, cadourile și ospitalitatea. Nu toate aceste situații se aplică fiecărei organizații. Ceea ce contează este ca analiza să fie proporțională, actualizată și susținută de informații credibile.

Măsurile de control și diligența față de parteneri

Auditorul verifică dacă sunt stabilite controale financiare și nefinanciare adecvate. În practică, acestea pot include niveluri de aprobare, separarea responsabilităților, reguli pentru cheltuieli sensibile, verificări documentare și condiții contractuale relevante. Se analizează dacă aceste controale sunt cunoscute de angajați și dacă există urme ale aplicării lor.

O zonă importantă este diligența aplicată asociaților de afaceri – de exemplu, agenți, consultanți, distribuitori, subcontractori sau furnizori cu rol semnificativ. Auditorul nu caută o colecție uniformă de formulare pentru toți partenerii. El urmărește dacă nivelul verificărilor este adaptat riscului, dacă rezultatele sunt evaluate înainte de angajare sau continuarea relației și dacă eventualele semnale de avertizare sunt tratate documentat.

Competența, comunicarea și raportarea preocupărilor

O regulă pe care oamenii nu o înțeleg sau nu o pot aplica nu devine control doar pentru că apare într-un manual. În audit pot fi verificate instruirile, comunicările interne, evaluarea competenței și accesibilitatea canalelor de raportare. Persoanele intervievate ar trebui să știe, într-un limbaj potrivit rolului lor, ce comportamente sunt interzise, unde pot cere îndrumare și cum pot semnala o preocupare.

Organizația trebuie să aibă mecanisme pentru raportarea suspiciunilor, inclusiv tratamentul confidențial al informațiilor, în limitele aplicabile. Auditorul poate analiza modul în care au fost gestionate cazurile sau simulările de caz, fără a solicita divulgarea nejustificată a datelor sensibile. Protecția persoanelor care raportează cu bună-credință este un element care trebuie susținut nu numai procedural, ci și în practică.

Investigațiile, neconformitățile și îmbunătățirea

Un sistem matur nu presupune că nu apar niciodată probleme. Mai relevant este modul în care organizația reacționează atunci când identifică o suspiciune, o încălcare a regulilor sau o deficiență de control. Auditorul poate examina investigarea, analiza cauzelor, acțiunile corective și verificarea eficacității măsurilor luate.

Sunt evaluate și auditul intern, analiza efectuată de management, monitorizarea indicatorilor relevanți și revizuirea periodică a riscurilor. Auditul intern are un rol distinct față de auditul de certificare: primul este o activitate a organizației, iar al doilea este realizat de un organism independent. Un organism de certificare nu poate proiecta sau implementa sistemul pe care îl va certifica, deoarece independența și imparțialitatea trebuie protejate.

Cum se desfășoară certificarea ISO 37001

Pentru certificarea inițială, procesul include de regulă analiza cererii și stabilirea programului de audit în funcție de caracteristicile organizației. Auditul Stage 1 urmărește nivelul de pregătire, înțelegerea domeniului sistemului, documentația relevantă și planificarea Stage 2. Nu este o simplă formalitate, mai ales în organizațiile cu mai multe locații sau cu procese expuse la riscuri diferite.

La Stage 2, auditorii evaluează implementarea și eficacitatea sistemului prin interviuri, observarea proceselor și examinarea dovezilor documentate. Dacă sunt identificate neconformități, organizația trebuie să le analizeze și să transmită măsuri corective în condițiile stabilite. Decizia de certificare este luată independent de echipa de audit, pe baza dosarului și a rezultatelor evaluării.

După certificare, sistemul rămâne supus auditurilor de supraveghere și, la expirarea ciclului, recertificării. Dacă organizația își extinde activitatea, deschide locații noi sau modifică semnificativ domeniul certificat, poate fi necesară evaluarea impactului asupra certificării. Certificatul nu înlocuiește obligațiile legale, controalele interne sau responsabilitatea conducerii de a gestiona riscurile.

Certificare, acreditare și consultanță: trei roluri diferite

Certificarea ISO 37001 este confirmarea emisă de un organism de certificare după evaluarea sistemului de management. Acreditarea este evaluarea competenței organismului de certificare de către organismul național de acreditare. În România, RENAR este organismul național de acreditare, în cadrul european prevăzut de Regulamentul (CE) nr. 765/2008.

Pentru organizațiile care au nevoie de o certificare solicitată contractual sau în anumite proceduri de achiziție, este util să verifice domeniul acreditării organismului de certificare și aplicabilitatea cerinței din documentația relevantă. O certificare acreditată poate susține încrederea clienților, partenerilor și altor părți interesate, însă acceptarea concretă depinde de cerințele fiecărui contract sau proceduri.

Consultanța are un alt rol: poate ajuta organizația să proiecteze sau să implementeze un sistem. Pentru a proteja imparțialitatea, UNICERT nu furnizează consultanță de implementare sau audit intern organizațiilor pe care le certifică. Auditorii evaluează dovezile existente și nu decid în locul managementului ce soluții trebuie adoptate.

Pregătirea pentru audit nu înseamnă să construiți documente pentru auditor. Înseamnă să vă asigurați că oamenii, deciziile și controalele spun aceeași poveste: organizația cunoaște riscurile de mită relevante, le tratează proporțional și învață din situațiile care îi testează sistemul.