Calma, não se trata de um atalho ou um subterfúgio para uma implementação “alternativa” da nova norma de compliance da família ISO. Quando ouvimos a expressão “o pulo do gato” (ou “the jump of the cat”, para os anglófonos), imediatamente a associamos a algo pejorativo, mas nesse caso eu a utilizo como maneira de fornecer a chave que abre o baú de maravilhas que essa norma fantástica oferece para nós.
Como sabemos, o termo “compliance” é um anglicismo já admitido no Brasil, mas que tem como tradução literal a palavra “conformidade”. Em ambos os casos, trata-se de uma expressão genérica que significa, conforme o item 3.26 da própria ISO 37301, “atender todas as obrigações de compliance da organização”. Esta definição nos obriga a examinar a definição de “obrigações de compliance”, que está definido no item 3.25 da ISO 37301 como “requisitos que uma organização mandatoriamente tem que cumprir, como também as que uma organização voluntariamente escolhe cumprir”.
Ora, uma organização tem muitos requisitos a cumprir, desde os requisitos legais de natureza diversa (trabalhista, tributário, ambiental, ocupacional, proteção de dados), os requisitos contratuais (com clientes, fornecedores, acordos de cooperação), requisitos societários, requisitos setoriais (acordos, convênios), requisitos internos (políticas, códigos, normas, procedimentos), requisitos não declarados formalmente (necessidades e expectativas das partes interessadas), entre outros. Considerando essa perspectiva, pode parecer assustador implantar um sistema de gestão de compliance que englobe todos esses aspectos. Bem, realmente é um pouco assustador, pois, independentemente de certificação ou de um sistema formalmente implementado, a organização tem, de fato, de cumprir com todos esses requisitos. O descumprimento de qualquer um deles tem consequências e espera-se que os gestores considerem esses riscos na sua tomada de decisão. Isso seria ótimo, mas o mundo real é um pouco diferente da utopia do sistema de gestão perfeito. Temos que começar por algum lugar, e é justamente esta abordagem que pretendo explorar aqui.
A ISO 37001, como todas as normas da família ISO baseadas no framework do Anexo SL, possui um requisito localizado no item 4.3 chamado “Determinando o Escopo do Sistema de Gestão de”. Esse elemento permite que a organização estabeleça “os limites e a aplicabilidade do sistema de gestão de compliance”. Trocando em miúdos, essa decisão (limites e aplicabilidade do SGC) é uma prerrogativa da organização que pretende se adequar à ISO 37301, e cabe a ela escolher o tamanho do seu sistema de gestão de compliance. A organização poderia decidir por um sistema de gestão de compliance ambiental, ou de atendimento ao cliente, ou trabalhista. Em qualquer um desses casos, o escopo declarado e documentado seria parte do processo de certificação e estaria declarado no certificado. Uma vez definido o escopo, caberá aos gestores da organização encontrar os mecanismos para demonstrar que todos os requisitos efetivamente aplicáveis são atendidos, o que será obtido através da implementação efetiva do sistema de gestão de compliance.
Outro ponto interessante o requisito 4.3 (escopo) contém uma nota que esclarece que o “escopo do sistema de gestão de compliance destina-se a esclarecer os principais riscos de compliance que a organização está enfrentando e os limites geográficos e organizacionais, ou ambos, para os quais o sistema de gestão de compliance se aplicará, especialmente se a organização é parte de uma entidade maior”. Esta nota nos ajuda a realizar a conexão entre a gestão dos riscos aos quais a organização está exposta, reforçando a ideia de que ela deveria tomar a decisão relativa ao estabelecimento do escopo do seu SGC considerando os seus riscos, como parte dos seus esforços para preveni-los ou mitigá-los.
Se por um lado a restrição do escopo do SGC é um elemento simplificador para a sua implantação, o estabelecimento de um escopo coerente com a estratégia da organização é fundamental para a implantação de um sistema de gestão de compliance eficaz e que traga resultados efetivos no seu propósito de redução de riscos e melhoria de desempenho da organização. Por esse motivo, esta etapa não pode ser subestimada ou delegada pela liderança da organização, já que as suas implicações são decisivas para o sucesso do SGC.
#ISO37301 #compliance #ISO #sistemadegestão
