È pertinente a imprese che partecipano a gare, operano con intermediari, lavorano in filiere complesse o interagiscono con soggetti pubblici e privati in contesti a rischio. La dimensione non determina da sola l’esposizione: per una PMI è importante calibrare controlli e due diligence sui rapporti, sulle aree geografiche, sui processi e sulle deleghe effettivamente presenti.
Un riferimento da calare nel contesto.
- Rende più coerenti valutazione dei rischi, controlli e responsabilità.
- Aiuta a organizzare due diligence, segnalazioni, verifiche e gestione delle criticità.
- Fornisce evidenze di un presidio strutturato, senza certificare l’assenza di illeciti.
Cosa mette a fuoco.
- 01Rischi di corruzione, contesto e impegno della direzione.
- 02Controlli finanziari e non finanziari, due diligence e gestione di regali o benefici.
- 03Segnalazione di preoccupazioni, indagini, azioni correttive e conseguenze disciplinari secondo le regole applicabili.
- 04Monitoraggio, audit, riesame e miglioramento del sistema.
Dal riferimento alle attività.
- Analisi dei processi e delle relazioni a rischio, in coordinamento con le competenze legali e di compliance dell’organizzazione.
- Supporto nella definizione di controlli, responsabilità, due diligence e criteri di escalation.
- Organizzazione di comunicazione, formazione, canali di segnalazione e verifiche interne.
- Preparazione all’audit e pianificazione della transizione da ISO 37001:2016 alla 2025.
Un sistema nuovo, con un perimetro chiaro.
Per un nuovo sistema si parte dai processi e dai rapporti che possono esporre l’organizzazione a rischi di corruzione, poi si definiscono criteri decisionali, controlli, responsabilità e modalità per gestire dubbi o segnalazioni. Il percorso va coordinato con compliance, legale e governance, evitando di duplicare presidi esistenti.
Per chi è certificato secondo ISO 37001:2016 la priorità è una gap analysis sull’edizione 2025 e la pianificazione della transizione entro la scadenza applicabile. Nel tempo vanno aggiornati rischi, soggetti associati e controlli, verificando che le procedure siano applicate e che le segnalazioni e le azioni correttive producano evidenze.
La ricertificazione viene gestita nel ciclo concordato con l’organismo. Per i certificati 2016, la transizione all’edizione 2025 e il rinnovo sono attività collegate ma distinte: il termine globale per completare la transizione accreditata è il 28 febbraio 2027.
Edizione e transizione.
ISO 37001:2025 è l’edizione corrente, pubblicata nel febbraio 2025; sostituisce ISO 37001:2016 e il relativo emendamento climatico 2024. La norma contiene requisiti per un sistema certificabile.
IAF MD 30:2025 e i requisiti Global ACI fissano al 28 febbraio 2027 il completamento della transizione delle certificazioni accreditate. Dal 31 agosto 2026 le nuove certificazioni e ricertificazioni devono essere alla versione 2025 secondo tale programma. Il passaggio di un cliente già certificato può avvenire durante una sorveglianza, una ricertificazione o un audit dedicato, concordando il piano con il proprio organismo.
Domande frequenti.
Quale edizione devono considerare le aziende già certificate?
ISO 37001:2025 è la nuova edizione. Le organizzazioni certificate sulla versione 2016 devono concordare la transizione con il proprio certificatore entro la scadenza applicabile, indicata al 28 febbraio 2027.
La certificazione attesta che non esiste rischio di corruzione?
No. Attesta la valutazione del sistema secondo i requisiti applicabili; non garantisce che non si verifichino condotte illecite.
ISO 37001 sostituisce il modello 231?
No. La norma e il modello 231 hanno finalità e riferimenti distinti. L’eventuale coordinamento va valutato con consulenti legali e compliance dell’organizzazione.
Fonti ufficiali.
Riferimenti consultati per le informazioni sullo standard. I collegamenti si aprono in una nuova scheda.
Un percorso ISO 37001:2025 per la tua organizzazione.
Prima certificazione, mantenimento, rinnovo o adeguamento: indica il punto di partenza.