ISO 37301

ISO 37301 — это международный стандарт, устанавливающий требования к системам менеджмента комплаенс (compliance management systems) и содержащий руководящие указания по их применению. Стандарт определяет, как организация может создать, внедрить, поддерживать и постоянно улучшать систему управления соответствием законодательным, регуляторным и добровольным обязательствам. Официальное полное название — ISO 37301:2021 «Системы менеджмента комплаенс. Требования и руководство по применению» (Compliance management systems — Requirements with guidance for use). Стандарт был опубликован Международной организацией по стандартизации (ISO) в апреле 2021 года и заменил предыдущий стандарт ISO 19600:2014, который носил рекомендательный характер.

История разработки

Разработка ISO 37301 началась в 2018 году в ответ на растущую потребность бизнеса и государственных органов в единых, проверяемых критериях оценки систем комплаенс. Предшественник стандарта, ISO 19600:2014, был руководством (guidelines) и не предусматривал сертификации. В 2021 году ISO 37301 стал первым международным стандартом в области комплаенс, содержащим требования (requirements), что позволило проводить независимую сертификацию систем менеджмента комплаенс. В разработке участвовали эксперты из более чем 70 стран, включая Россию, где стандарт был принят как национальный ГОСТ Р ИСО 37301-2021.

Структура и основные требования

Стандарт построен по структуре High-Level Structure (HLS), единой для всех стандартов систем менеджмента ISO, что обеспечивает совместимость с ISO 9001 (менеджмент качества), ISO 14001 (экологический менеджмент), ISO 45001 (охрана труда) и другими. Основные разделы ISO 37301:

Контекст организации

Организация должна определить внешние и внутренние факторы, влияющие на её комплаенс-обязательства, а также заинтересованные стороны и их требования. Это включает анализ законодательства, отраслевых стандартов, ожиданий общества и корпоративной культуры.

Лидерство и приверженность

Высшее руководство обязано демонстрировать активную приверженность комплаенс-политике, распределять ответственность и обеспечивать интеграцию системы менеджмента комплаенс в бизнес-процессы. Требуется назначение комплаенс-функции (должностного лица или подразделения) с прямым доступом к руководству.

Планирование

Организация должна оценивать риски несоответствия (комплаенс-риски) и возможности для улучшения, устанавливать комплаенс-цели и планировать мероприятия по их достижению. Особое внимание уделяется идентификации «красных флагов» — ситуаций с повышенным риском нарушений.

Поддержка

Раздел включает требования к ресурсам (финансовым, кадровым, информационным), компетентности персонала, осведомлённости (внутренние коммуникации о политике комплаенс) и документированной информации. Организация обязана вести документированные процедуры, включая кодекс поведения, политику комплаенс и реестры обязательств.

Операционная деятельность

Требуется планирование и контроль операционных процессов, связанных с комплаенс-рисками. Включает процедуры due diligence (проверки контрагентов, партнёров, поставщиков), управление конфликтами интересов, контроль подарков и делового гостеприимства, а также механизмы сообщения о нарушениях (внутренние линии доверия, «горячие линии»).

Оценка эффективности

Организация должна проводить мониторинг, измерения, анализ и оценку системы менеджмента комплаенс. Обязательны внутренние аудиты и анализ со стороны руководства (management review). Ключевые показатели эффективности (KPI) могут включать количество выявленных нарушений, время их устранения, процент завершённых обучающих программ.

Улучшение

При выявлении несоответствий или инцидентов организация обязана реагировать, устранять причины и предотвращать повторение. Требуется корректирующие действия и постоянное улучшение системы.

Применение

ISO 37301 предназначен для организаций любого типа, размера и сектора — от малых предприятий до транснациональных корпораций, государственных учреждений и некоммерческих организаций. Основные области применения:

Корпоративное управление

Стандарт используется для формализации и стандартизации комплаенс-функции, повышения прозрачности и подотчётности. Внедрение ISO 37301 помогает снизить репутационные риски и избежать штрафов за нарушения антикоррупционного, антимонопольного, налогового и трудового законодательства.

Антикоррупционный комплаенс

Особое значение стандарт имеет в контексте борьбы с коррупцией. Многие страны (США, Великобритания, Франция, Германия) требуют от компаний наличия эффективной системы комплаенс как условия для смягчения ответственности при коррупционных правонарушениях. ISO 37301 может служить доказательством добросовестности организации.

Международная торговля и экспорт

Для компаний, работающих на международных рынках, сертификация по ISO 37301 демонстрирует контрагентам и регуляторам приверженность соблюдению законов, включая санкционные режимы, экспортный контроль и правила противодействия отмыванию денег.

Государственный сектор

В ряде стран (включая Россию) стандарт используется для внедрения комплаенс-систем в государственных корпорациях, бюджетных учреждениях и органах власти. В России ГОСТ Р ИСО 37301-2021 применяется при построении систем внутреннего контроля и управления рисками в компаниях с государственным участием.

Сертификация

В отличие от ISO 19600, ISO 37301 предусматривает возможность сертификации третьей стороной (аккредитованным органом по сертификации). Сертификация подтверждает, что система менеджмента комплаенс организации соответствует требованиям стандарта. Процесс сертификации включает:

• Предварительный аудит (опционально) — оценка готовности системы.
• Сертификационный аудит (две стадии: анализ документации и проверка на месте).
• Выдача сертификата сроком на 3 года.
• Ежегодные надзорные аудиты.
• Ресертификация каждые 3 года.

Сертификация по ISO 37301 не является обязательной, но может требоваться контрагентами, регуляторами или инвесторами.

Взаимосвязь с другими стандартами

ISO 37301 гармонизирован с другими стандартами систем менеджмента ISO, что позволяет интегрировать комплаенс-систему с системами менеджмента качества, экологии, охраны труда и информационной безопасности. Кроме того, он дополняет отраслевые стандарты, такие как ISO 37001 (системы менеджмента противодействия коррупции) и ISO 31000 (менеджмент рисков). В отличие от ISO 37001, который фокусируется исключительно на антикоррупционных мерах, ISO 37301 охватывает все виды комплаенс-обязательств.

Критика и ограничения

Стандарт подвергается критике за:

• Высокую сложность внедрения для малых и средних предприятий, требующую значительных ресурсов.
• Формальный подход: сертификация может не гарантировать реальной эффективности системы, если руководство не заинтересовано в её работе.
• Отсутствие обязательных требований к конкретным мерам (например, к объёму due diligence или частоте аудитов), что оставляет пространство для интерпретации.
• Возможность использования сертификата как «зелёного щита» для прикрытия недобросовестных практик.

Тем не менее, ISO 37301 остаётся наиболее авторитетным международным ориентиром в области комплаенс-менеджмента.