Сертификация ИСО 37301 (ISO 37301:2021) — система менеджмента комплаенс для организаций
Сертификат ИСО 37301 (ISO 37301:2021) подтверждает, что организация внедрила и поддерживает эффективную систему менеджмента комплаенс (compliance management system). Стандарт ИСО 37301 устанавливает требования к системному управлению соответствием законодательным, регуляторным и добровольным требованиям. Для компаний в финансовом секторе, регулируемых отраслях и международном бизнесе сертификат ИСО 37301 является стратегическим инструментом снижения юридических и репутационных рисков.
Стандарт ИСО 37301 заменил ISO 19600:2014 (руководство по менеджменту соответствия) и стал первым сертифицируемым стандартом в области комплаенс. Ключевое отличие от предшественника — ISO 19600 содержал только рекомендации (guidelines), а ИСО 37301 устанавливает обязательные требования (requirements), что делает возможной формальную сертификацию третьей стороной.
В России сертификация ИСО 37301 не является обязательной по закону, однако её актуальность стремительно растёт. Для финансовых организаций, подпадающих под требования ЦБ РФ по комплаенс (Положение Банка России №710-П), компаний с иностранными акционерами, публичных компаний (ПАО), а также организаций, работающих с западными контрагентами, внедрение системы менеджмента комплаенс по ИСО 37301 становится де-факто обязательным. Сертификат ИСО 37301 существенно снижает риски штрафов, санкций и репутационных потерь.
Что включает сертификация ИСО 37301
Стандарт ИСО 37301 (ISO 37301:2021) определяет комплексный подход к управлению соответствием, охватывающий все уровни организации. Ключевые элементы системы менеджмента комплаенс:
| Элемент системы | Требования ИСО 37301 | Что создаётся |
|---|---|---|
| Контекст организации | Определение внутренних/внешних факторов, стейкхолдеров, области применения | Анализ регуляторной среды, карта стейкхолдеров, реестр комплаенс-обязательств |
| Лидерство | Обязательства руководства, комплаенс-политика, роли и полномочия | Комплаенс-политика, назначение комплаенс-офицера, матрица ответственности |
| Планирование | Оценка комплаенс-рисков, цели и планы их достижения | Матрица комплаенс-рисков, реестр обязательств, план действий по снижению рисков |
| Обеспечение | Ресурсы, компетенции, осведомлённость, коммуникации | Бюджет комплаенс-функции, программа обучения, горячая линия для информирования |
| Деятельность | Управление комплаенс-обязательствами, контроль, расследования | Процедуры мониторинга соответствия, расследования нарушений, реагирование на инциденты |
| Оценка результативности | Мониторинг, измерение, аудит, анализ со стороны руководства | KPI комплаенс-функции, программа аудитов, отчётность для руководства и совета директоров |
| Улучшение | Несоответствия, корректирующие действия, постоянное совершенствование | Процедура работы с инцидентами, корректирующие действия, анализ коренных причин |
Уникальная особенность ИСО 37301 — требование к защите лиц, сообщающих о нарушениях (whistleblowers). Стандарт обязывает организацию создать конфиденциальные каналы для информирования о комплаенс-рисках и гарантировать защиту заявителей от преследования.
Документы для сертификации ИСО 37301
| Документ | Кто предоставляет | Назначение |
|---|---|---|
| Учредительные документы (устав, ИНН, ОГРН) | Заказчик | Идентификация организации для сертификационного органа |
| Организационная структура, штатное расписание | Заказчик | Определение области сертификации, количества аудито-дней |
| Перечень применимых нормативных актов | Заказчик | Основа для формирования реестра обязательств |
| Описание основных бизнес-процессов | Заказчик | Идентификация комплаенс-рисков в каждом процессе |
| Комплаенс-политика | Разрабатываем мы | Ключевой документ — обязательства руководства, принципы, цели |
| Реестр комплаенс-обязательств | Разрабатываем мы | Полный перечень обязательных и добровольных требований к организации |
| Матрица комплаенс-рисков | Разрабатываем мы | Оценка вероятности и последствий несоответствия по каждому обязательству |
| Процедуры мониторинга, расследования и отчётности | Разрабатываем мы | Регламенты контроля соответствия, реагирования на инциденты, отчётности |
Этапы сертификации ИСО 37301 — 6 шагов
Процесс получения сертификата ИСО 37301 (ISO 37301:2021) включает шесть последовательных этапов. На каждом этапе наши эксперты по комплаенс сопровождают организацию:
Шаг 1. Комплаенс-диагностика и GAP-анализ (1–2 недели). Эксперт оценивает текущее состояние: наличие комплаенс-политики, реестра обязательств, процедур мониторинга, комплаенс-функции. Выявляются все применимые законодательные и регуляторные требования. По итогам составляется GAP-анализ с перечнем конкретных доработок и дорожная карта внедрения.
Шаг 2. Разработка документации (3–6 недель). На основе GAP-анализа разрабатывается полный пакет документов: комплаенс-политика, реестр обязательств (compliance obligations register) с классификацией по отраслям права, матрица комплаенс-рисков, процедуры мониторинга и контроля, регламент расследования нарушений, процедура защиты информаторов (whistleblowing), программа обучения персонала.
Шаг 3. Обучение комплаенс-офицеров и персонала (2–3 недели). Проводим тренинги для комплаенс-офицера, руководителей подразделений и ключевых сотрудников по требованиям стандарта ИСО 37301. Обучаем методам оценки комплаенс-рисков, процедурам мониторинга, правилам работы с горячей линией для сообщений о нарушениях. Выдаём удостоверения внутренних аудиторов.
Шаг 4. Пилотное внедрение и тестирование (4–6 недель). Система менеджмента комплаенс запускается в пилотном режиме. Тестируются процедуры мониторинга соответствия, отрабатываются сценарии реагирования на комплаенс-инциденты, проводятся первые внутренние проверки. По итогам пилота корректируются матрица рисков и процедуры.
Шаг 5. Внутренний аудит (1–2 недели). Обученные внутренние аудиторы проверяют готовность системы: реестр обязательств актуален, мониторинг функционирует, персонал обучен, горячая линия работает, комплаенс-офицер выполняет свою функцию. Все несоответствия устраняются до внешнего аудита.
Шаг 6. Сертификационный аудит и выдача сертификата (2–4 недели). Аккредитованный орган проводит двухэтапный аудит: проверка документации (Stage 1) и оценка практического функционирования системы комплаенс (Stage 2) — интервью с комплаенс-офицером, проверка реестра обязательств, оценка процедур мониторинга. При положительном результате выдаётся сертификат ИСО 37301 сроком на 3 года.
Сроки сертификации ИСО 37301
| Тип организации | Минимальный срок | Стандартный срок | Примечания |
|---|---|---|---|
| Малый бизнес (до 50 чел.) | 2,5 месяца | 3–4 месяца | Компактный реестр обязательств, быстрое внедрение |
| Финансовая организация (50–200 чел.) | 3,5 месяца | 5–6 месяцев | Объёмный реестр требований ЦБ РФ и финансового регулирования |
| Крупная корпорация / ПАО (200+ чел.) | 4 месяца | 6–9 месяцев | Сложная регуляторная среда, много подразделений и юрисдикций |
| Организация с сертификатом ИСО 37001 | 2 месяца | 3 месяца | Ускоренный процесс — готова антикоррупционная инфраструктура |
Стоимость сертификации ИСО 37301
| Что входит в стоимость | Что это значит |
|---|---|
| Консультация и подбор области сертификации | Определяем, какая формулировка области соответствует вашим видам деятельности и требованиям заказчика |
| Проверка комплекта документов | Смотрим, что уже есть у компании, и говорим, чего не хватает для оформления |
| Подготовка недостающих документов | Помогаем собрать и оформить документы по требованиям стандарта ISO 37301:2021 |
| Экспертиза документов | Проверка соответствия представленных сведений требованиям стандарта |
| Оформление и регистрация сертификата | Внесение в реестр системы добровольной сертификации |
| Электронная копия сертификата | Скан с подписью и печатью — в день оформления, от 1 дня с момента подачи документов |
| Доставка оригинала | Курьером или почтой по России |
| Итого под ключ | от 35 000 ₽ — дополнительных платежей нет |
Стоимость сертификации ИСО 37301:2021 — от 35 000 ₽ под ключ. Это итоговая сумма: экспертиза документов, оформление, регистрация в реестре и доставка уже включены, отдельная оплата органа по сертификации не требуется. Точная цена зависит от области сертификации и количества площадок — назовём её на бесплатной консультации.
Цены на сертификацию по смежным стандартам
Часто вместе с ИСО 37301:2021 оформляют смежные стандарты — при одновременной подаче документы готовятся один раз:
| Стандарт | Область применения | Стоимость |
|---|---|---|
| FSSC 22000 v6 | Сертификация безопасности пищевых продуктов | от 35 000 ₽ |
| ХАССП | Анализ рисков и критические контрольные точки | от 35 000 ₽ |
| IFS Food v8 | Международный стандарт безопасности продуктов | от 35 000 ₽ |
| ИСО 13485:2016 | СМК для медицинских изделий | от 35 000 ₽ |
| ИСО 14001:2015 | Система экологического менеджмента | от 35 000 ₽ |
| ИСО 17020:2012 | Компетентность органов инспекции | от 35 000 ₽ |
Полный прайс по всем направлениям — на странице стоимости сертификации.
Стоимость формируется из консалтинговых услуг по внедрению системы комплаенс, разработки документации, обучения персонала и услуг аккредитованного органа по сертификации.
Кому обязательна и кому добровольна сертификация ИСО 37301
| Категория организаций | Обязательность | Пояснение |
|---|---|---|
| Банки и кредитные организации | Фактически обязательна | Положение ЦБ РФ №710-П требует наличия системы внутреннего контроля и комплаенс-функции. Сертификат ИСО 37301 подтверждает соответствие |
| Публичные акционерные общества (ПАО) | Фактически обязательна | Кодекс корпоративного управления ЦБ РФ рекомендует комплаенс-систему. Инвесторы и биржи требуют |
| Компании с иностранными акционерами / контрагентами | Фактически обязательна | Foreign Corrupt Practices Act (FCPA), UK Bribery Act, EU директивы — иностранные партнёры требуют комплаенс |
| Фармацевтические компании | Добровольная, но рекомендуется | Жёсткое регулирование Росздравнадзора, FDA, EMA — комплаенс снижает риск отзыва лицензий |
| Энергетические и добывающие компании | Добровольная, но рекомендуется | Экологическое и природоохранное законодательство, лицензирование, промышленная безопасность |
| Средний бизнес | Добровольная | Конкурентное преимущество при работе с крупными заказчиками и в тендерах |
Срок действия сертификата ИСО 37301 и инспекционный контроль
Сертификат ИСО 37301 (ISO 37301:2021) действует 3 года. В течение этого периода организация обязана поддерживать систему менеджмента комплаенс в актуальном состоянии и проходить надзорные аудиты:
- Первый надзорный аудит — через 12 месяцев. Аудитор проверяет актуальность реестра обязательств, функционирование комплаенс-мониторинга, результаты внутренних аудитов, реагирование на инциденты, работу горячей линии
- Второй надзорный аудит — через 24 месяца. Расширенная проверка с охватом изменений в законодательстве, новых регуляторных требований, эффективности корректирующих действий по итогам инцидентов
- Ресертификационный аудит — на третий год. Полная проверка всех требований стандарта для продления сертификата на следующие 3 года
Критически важно: между аудитами организация должна актуализировать реестр обязательств при каждом изменении законодательства. Для финансовых организаций это может происходить ежемесячно (новые указания ЦБ, изменения санкционных списков).
Частые ошибки при сертификации ИСО 37301
| Ошибка | Последствия | Как избежать |
|---|---|---|
| Неполный реестр обязательств — охвачены не все области права | Аудитор выявляет пробелы в покрытии регуляторных требований | Привлечь юристов для полного аудита применимого законодательства |
| Комплаенс-офицер совмещает функцию с операционной ролью | Конфликт интересов — ключевое замечание аудитора | Обеспечить независимость комплаенс-функции от операционного управления |
| Отсутствие горячей линии (whistleblowing channel) | Критическое несоответствие — требование стандарта | Внедрить конфиденциальный канал для сообщений о нарушениях до аудита |
| Реестр обязательств не обновляется при изменении законодательства | Система неактуальна — аудитор фиксирует несоответствие | Назначить ответственного за мониторинг изменений, обновлять реестр ежемесячно |
| Обучение персонала проведено формально — сотрудники не знают процедур | Интервью аудитора выявляет некомпетентность | Регулярные тренинги с тестированием, кейс-стади по реальным комплаенс-инцидентам |
| Отсутствие процедуры расследования инцидентов | Организация не может продемонстрировать реагирование на нарушения | Разработать процедуру расследования с шаблонами, провести учебное расследование |
Связь ИСО 37301 с российским законодательством
В России система менеджмента комплаенс по ИСО 37301 (ISO 37301:2021) опирается на обширную законодательную базу:
- Федеральный закон №273-ФЗ «О противодействии коррупции» — обязывает организации принимать меры по предупреждению коррупции. Сертификат ИСО 37301 подтверждает наличие системного подхода
- Положение Банка России №710-П — устанавливает требования к системе внутреннего контроля кредитных организаций. ИСО 37301 обеспечивает международно признанную методологию
- Кодекс корпоративного управления ЦБ РФ — рекомендует наличие комплаенс-функции для публичных компаний
- Федеральный закон №152-ФЗ «О персональных данных» — комплаенс-система обеспечивает контроль соответствия требованиям обработки персональных данных
- Федеральный закон №135-ФЗ «О защите конкуренции» — комплаенс-мониторинг предотвращает антимонопольные нарушения
- КоАП РФ ст. 19.28 — штрафы за коррупцию от 1 млн до 100 млн ₽. Сертификат ИСО 37301 — доказательство добросовестности при проверках
Сертификация ИСО 37301 особенно эффективна в сочетании с ИСО 37001 (противодействие взяточничеству) — оба стандарта созданы техническим комитетом ISO/TC 309 и полностью совместимы. Для финансовых организаций рекомендуется также ИСО 27001 (информационная безопасность) — защита данных клиентов является ключевым комплаенс-требованием. Для промышленных предприятий актуально сочетание с ИСО 14001 (экологический менеджмент), обеспечивающим контроль экологического соответствия. Подробнее обо всех доступных стандартах — на странице сертификации ISO.