Сертификация ИСО 37301 (ISO 37301:2021) — система менеджмента комплаенс для организаций
Сертификат ИСО 37301 (ISO 37301:2021) подтверждает, что организация внедрила и поддерживает эффективную систему менеджмента комплаенс (compliance management system). Стандарт ИСО 37301 устанавливает требования к системному управлению соответствием законодательным, регуляторным и добровольным требованиям. Для компаний в финансовом секторе, регулируемых отраслях и международном бизнесе сертификат ИСО 37301 является стратегическим инструментом снижения юридических и репутационных рисков.
Стандарт ИСО 37301 заменил ISO 19600:2014 (руководство по менеджменту соответствия) и стал первым сертифицируемым стандартом в области комплаенс. Ключевое отличие от предшественника — ISO 19600 содержал только рекомендации (guidelines), а ИСО 37301 устанавливает обязательные требования (requirements), что делает возможной формальную сертификацию третьей стороной.
В России сертификация ИСО 37301 не является обязательной по закону, однако её актуальность стремительно растёт. Для финансовых организаций, подпадающих под требования ЦБ РФ по комплаенс (Положение Банка России №710-П), компаний с иностранными акционерами, публичных компаний (ПАО), а также организаций, работающих с западными контрагентами, систему менеджмента комплаенс по ИСО 37301 чаще всего запрашивают контрагенты и инвесторы — но требование приходит из договора и корпоративной политики, а не из закона.
Что включает сертификация ИСО 37301
Стандарт ИСО 37301 (ISO 37301:2021) определяет комплексный подход к управлению соответствием, охватывающий все уровни организации. Ключевые элементы системы менеджмента комплаенс:
| Элемент системы | Требования ИСО 37301 | Что создаётся |
|---|---|---|
| Контекст организации | Определение внутренних/внешних факторов, стейкхолдеров, области применения | Анализ регуляторной среды, карта стейкхолдеров, реестр комплаенс-обязательств |
| Лидерство | Обязательства руководства, комплаенс-политика, роли и полномочия | Комплаенс-политика, назначение комплаенс-офицера, матрица ответственности |
| Планирование | Оценка комплаенс-рисков, цели и планы их достижения | Матрица комплаенс-рисков, реестр обязательств, план действий по снижению рисков |
| Обеспечение | Ресурсы, компетенции, осведомлённость, коммуникации | Бюджет комплаенс-функции, программа обучения, горячая линия для информирования |
| Деятельность | Управление комплаенс-обязательствами, контроль, расследования | Процедуры мониторинга соответствия, расследования нарушений, реагирование на инциденты |
| Оценка результативности | Мониторинг, измерение, аудит, анализ со стороны руководства | KPI комплаенс-функции, программа аудитов, отчётность для руководства и совета директоров |
| Улучшение | Несоответствия, корректирующие действия, постоянное совершенствование | Процедура работы с инцидентами, корректирующие действия, анализ коренных причин |
Уникальная особенность ИСО 37301 — требование к защите лиц, сообщающих о нарушениях (whistleblowers). Стандарт обязывает организацию создать конфиденциальные каналы для информирования о комплаенс-рисках и гарантировать защиту заявителей от преследования.
Документы для сертификации ИСО 37301
| Документ | Кто предоставляет | Назначение |
|---|---|---|
| Учредительные документы (устав, ИНН, ОГРН) | Заказчик | Идентификация организации для сертификационного органа |
| Организационная структура, штатное расписание | Заказчик | Определение области сертификации, количества аудито-дней |
| Перечень применимых нормативных актов | Заказчик | Основа для формирования реестра обязательств |
| Описание основных бизнес-процессов | Заказчик | Идентификация комплаенс-рисков в каждом процессе |
| Комплаенс-политика | Разрабатываем мы | Ключевой документ — обязательства руководства, принципы, цели |
| Реестр комплаенс-обязательств | Разрабатываем мы | Полный перечень обязательных и добровольных требований к организации |
| Матрица комплаенс-рисков | Разрабатываем мы | Оценка вероятности и последствий несоответствия по каждому обязательству |
| Процедуры мониторинга, расследования и отчётности | Разрабатываем мы | Регламенты контроля соответствия, реагирования на инциденты, отчётности |
Этапы сертификации ИСО 37301 в схеме аккредитованного органа — 6 шагов (для сравнения)
Ниже описана схема аккредитованного органа — мы её не оформляем. Она приведена, чтобы вы отличали её от нашей: если заказчик или регулятор требует именно сертификат аккредитованного органа, наш документ такую строку не закроет, это другая процедура. Сроки и этапы ниже относятся к ней, а не к нашей услуге:
Шаг 1. Комплаенс-диагностика и GAP-анализ (1–2 недели). Эксперт оценивает текущее состояние: наличие комплаенс-политики, реестра обязательств, процедур мониторинга, комплаенс-функции. Выявляются все применимые законодательные и регуляторные требования. По итогам составляется GAP-анализ с перечнем конкретных доработок и дорожная карта внедрения.
Шаг 2. Разработка документации (3–6 недель). На основе GAP-анализа разрабатывается полный пакет документов: комплаенс-политика, реестр обязательств (compliance obligations register) с классификацией по отраслям права, матрица комплаенс-рисков, процедуры мониторинга и контроля, регламент расследования нарушений, процедура защиты информаторов (whistleblowing), программа обучения персонала.
Шаг 3. Обучение комплаенс-офицеров и персонала (2–3 недели). Организация обучает комплаенс-офицера, руководителей подразделений и ключевых сотрудников требованиям стандарта ИСО 37301: методам оценки комплаенс-рисков, процедурам мониторинга, работе с горячей линией для сообщений о нарушениях. Обучение проводит сама организация или профильный учебный центр — в нашу услугу оно не входит.
Шаг 4. Пилотное внедрение и тестирование (4–6 недель). Система менеджмента комплаенс запускается в пилотном режиме. Тестируются процедуры мониторинга соответствия, отрабатываются сценарии реагирования на комплаенс-инциденты, проводятся первые внутренние проверки. По итогам пилота корректируются матрица рисков и процедуры.
Шаг 5. Внутренний аудит (1–2 недели). Обученные внутренние аудиторы проверяют готовность системы: реестр обязательств актуален, мониторинг функционирует, персонал обучен, горячая линия работает, комплаенс-офицер выполняет свою функцию. Все несоответствия устраняются до внешнего аудита.
Шаг 6. Сертификационный аудит и выдача сертификата (2–4 недели). Аккредитованный орган проверяет документацию и практическое функционирование системы комплаенс — интервью с комплаенс-офицером, проверка реестра обязательств, оценка процедур мониторинга. Это другая процедура, и мы её не оформляем. Наш порядок — в следующем разделе: без выезда, от 1 дня, 35 000 ₽ под ключ.
Как оформляем мы: порядок и сроки
Наша схема короче, потому что она другая. Мы оформляем сертификат системы добровольной сертификации на соответствие ИСО 37301 (ISO 37301:2021) и регистрируем его в реестре этой системы. Этапа внедрения, растянутого на месяцы, двухэтапного аудита и интервью с комплаенс-офицером здесь нет.
- Заявка и область сертификации. Вы присылаете формулировку требования, которое к вам предъявили. Мы отвечаем, закрывает ли её наш документ, — и говорим прямо, если не закрывает.
- Проверка комплекта документов. Смотрим, что у вас уже есть, и называем недостающее для оформления.
- Экспертиза и оформление. Проверяем соответствие сведений требованиям стандарта, оформляем сертификат и вносим его в реестр системы.
- Выдача. Электронная копия с подписью и печатью — в день оформления, от 1 дня с момента подачи документов. Оригинал — курьером или почтой по России.
Цена — 35 000 ₽ под ключ, одним платежом и нам. По численности сотрудников, объёму реестра обязательств и отраслевой принадлежности она не пересчитывается.
Сроки сертификации ИСО 37301
Месяцы в этой таблице — срок схемы аккредитованного органа, которую мы не оформляем; это другая процедура. Наш срок — от 1 дня с момента подачи документов, и он в таблицу ниже не входит.
| Тип организации | Минимальный срок | Стандартный срок | Примечания |
|---|---|---|---|
| Малый бизнес (до 50 чел.) | 2,5 месяца | 3–4 месяца | Компактный реестр обязательств, быстрое внедрение |
| Финансовая организация (50–200 чел.) | 3,5 месяца | 5–6 месяцев | Объёмный реестр требований ЦБ РФ и финансового регулирования |
| Крупная корпорация / ПАО (200+ чел.) | 4 месяца | 6–9 месяцев | Сложная регуляторная среда, много подразделений и юрисдикций |
| Организация с сертификатом ИСО 37001 | 2 месяца | 3 месяца | Ускоренный процесс — готова антикоррупционная инфраструктура |
Стоимость сертификации ИСО 37301
| Что входит в стоимость | Что это значит |
|---|---|
| Консультация и подбор области сертификации | Определяем, какая формулировка области соответствует вашим видам деятельности и требованиям заказчика |
| Проверка комплекта документов | Смотрим, что уже есть у компании, и говорим, чего не хватает для оформления |
| Подготовка недостающих документов | Помогаем собрать и оформить документы по требованиям стандарта ISO 37301:2021 |
| Экспертиза документов | Проверка соответствия представленных сведений требованиям стандарта |
| Оформление и регистрация сертификата | Внесение в реестр системы добровольной сертификации |
| Электронная копия сертификата | Скан с подписью и печатью — в день оформления, от 1 дня с момента подачи документов |
| Доставка оригинала | Курьером или почтой по России |
| Итого под ключ | 35 000 ₽ — дополнительных платежей нет |
Стоимость сертификации ИСО 37301:2021 — 35 000 ₽ под ключ. Это итоговая сумма: экспертиза документов, оформление, регистрация в реестре и доставка уже включены, отдельная оплата органа по сертификации не требуется. Сумма не пересчитывается по численности сотрудников, количеству площадок или обороту: эти сведения нужны только для того, чтобы верно сформулировать область сертификации.
Цены на сертификацию по смежным стандартам
Часто вместе с ИСО 37301:2021 оформляют смежные стандарты — при одновременной подаче документы готовятся один раз:
| Стандарт | Область применения | Стоимость |
|---|---|---|
| FSSC 22000 v6 | Сертификация безопасности пищевых продуктов | 35 000 ₽ |
| ХАССП | Анализ рисков и критические контрольные точки | 35 000 ₽ |
| IFS Food v8 | Международный стандарт безопасности продуктов | 35 000 ₽ |
| ИСО 13485:2016 | СМК для медицинских изделий | 35 000 ₽ |
| ИСО 14001:2015 | Система экологического менеджмента | 35 000 ₽ |
| ИСО 17020:2012 | Компетентность органов инспекции | 35 000 ₽ |
Полный прайс по всем направлениям — на странице стоимости сертификации.
Чего в нашу цену не входит, чтобы не было расхождения с ожиданием: мы не внедряем за вас систему комплаенс, не ведём реестр обязательств, не обучаем комплаенс-офицеров и не сопровождаем аудит аккредитованного органа — эту схему мы не оформляем вовсе, это другая процедура. Эти работы организация выполняет сама или с профильным консультантом, и к цене сертификата они отношения не имеют.
Кому обязательна и кому добровольна сертификация ИСО 37301
| Категория организаций | Обязательность | Пояснение |
|---|---|---|
| Банки и кредитные организации | Добровольная, но обычно запрашивается | Положение ЦБ РФ №710-П требует системы внутреннего контроля и комплаенс-функции. Само по себе оно сертификата не требует — его запрашивают контрагенты как подтверждение |
| Публичные акционерные общества (ПАО) | Добровольная, но обычно запрашивается | Кодекс корпоративного управления ЦБ РФ носит рекомендательный характер. Сертификат запрашивают инвесторы и биржи, обязательным по закону он не является |
| Компании с иностранными акционерами / контрагентами | Добровольная, зависит от контрагента | Требование приходит из договора с иностранным партнёром, а не из российского закона. Уточните у партнёра, принимает ли он сертификат системы добровольной сертификации |
| Фармацевтические компании | Добровольная, но рекомендуется | Жёсткое регулирование Росздравнадзора, FDA, EMA — комплаенс снижает риск отзыва лицензий |
| Энергетические и добывающие компании | Добровольная, но рекомендуется | Экологическое и природоохранное законодательство, лицензирование, промышленная безопасность |
| Средний бизнес | Добровольная | Запрашивают крупные заказчики. Гарантии допуска к закупке сертификат не даёт — решает конкретное требование в документации |
Срок действия сертификата ИСО 37301
Сертификат ИСО 37301 (ISO 37301:2021), который оформляем мы, действует 3 года и хранится в реестре системы добровольной сертификации. Платежей в течение срока действия нет. Ежегодные проверки и повторная сертификация на третий год — порядок схемы аккредитованного органа: мы её не оформляем, это другая процедура, и к нашему документу эти проверки не применяются.
У нас порядок проще: когда документ понадобится снова, оформление идёт тем же путём и по той же цене — 35 000 ₽ под ключ, от 1 дня. Поддержание самой системы комплаенс — работа внутри вашей организации, мы её не ведём.
Частые ошибки при сертификации ИСО 37301
| Ошибка | Последствия | Как избежать |
|---|---|---|
| Неполный реестр обязательств — охвачены не все области права | Аудитор выявляет пробелы в покрытии регуляторных требований | Привлечь юристов для полного аудита применимого законодательства |
| Комплаенс-офицер совмещает функцию с операционной ролью | Конфликт интересов — ключевое замечание аудитора | Обеспечить независимость комплаенс-функции от операционного управления |
| Отсутствие горячей линии (whistleblowing channel) | Критическое несоответствие — требование стандарта | Внедрить конфиденциальный канал для сообщений о нарушениях до аудита |
| Реестр обязательств не обновляется при изменении законодательства | Система неактуальна — аудитор фиксирует несоответствие | Назначить ответственного за мониторинг изменений, обновлять реестр ежемесячно |
| Обучение персонала проведено формально — сотрудники не знают процедур | Интервью аудитора выявляет некомпетентность | Регулярные тренинги с тестированием, кейс-стади по реальным комплаенс-инцидентам |
| Отсутствие процедуры расследования инцидентов | Организация не может продемонстрировать реагирование на нарушения | Разработать процедуру расследования с шаблонами, провести учебное расследование |
Связь ИСО 37301 с российским законодательством
В России система менеджмента комплаенс по ИСО 37301 (ISO 37301:2021) опирается на обширную законодательную базу:
- Федеральный закон №273-ФЗ «О противодействии коррупции» — обязывает организации принимать меры по предупреждению коррупции. Сертификат ИСО 37301 подтверждает наличие системного подхода
- Положение Банка России №710-П — устанавливает требования к системе внутреннего контроля кредитных организаций. ИСО 37301 обеспечивает международно признанную методологию
- Кодекс корпоративного управления ЦБ РФ — рекомендует наличие комплаенс-функции для публичных компаний
- Федеральный закон №152-ФЗ «О персональных данных» — комплаенс-система обеспечивает контроль соответствия требованиям обработки персональных данных
- Федеральный закон №135-ФЗ «О защите конкуренции» — комплаенс-мониторинг предотвращает антимонопольные нарушения
- КоАП РФ ст. 19.28 — штрафы за коррупцию от 1 млн до 100 млн ₽. Сертификат ИСО 37301 — доказательство добросовестности при проверках
Сертификация ИСО 37301 особенно эффективна в сочетании с ИСО 37001 (противодействие взяточничеству) — оба стандарта созданы техническим комитетом ISO/TC 309 и полностью совместимы. Для финансовых организаций рекомендуется также ИСО 27001 (информационная безопасность) — защита данных клиентов является ключевым комплаенс-требованием. Для промышленных предприятий актуально сочетание с ИСО 14001 (экологический менеджмент), обеспечивающим контроль экологического соответствия. Подробнее обо всех доступных стандартах — на странице сертификации ISO.