ISO 37301 e Gestione della Compliance aziendale

La norma ISO 37301 “Compliance management systems – Requirements with guidance for use” specifica i requisiti e fornisce le linee guida per sviluppare, implementare, valutare, mantenere e migliorare un efficace sistema di gestione della compliance all’interno di un’organizzazione.

ISO 37301 | Sistemi di Gestione per la Compliance

La ISO 37301, adottata in Italia nel 2021 come UNI ISO 37301 “Sistemi di gestione per la compliance - Requisiti con guida per l'utilizzo”, contiene “requisiti” rispetto ai quali l’organizzazione può dichiarare la conformità (generalmente mediante audit), introducendo quindi la possibilità per un’organizzazione di ottenere la certificazione del Sistema di Gestione per la Compliance rilasciata da un organismo di terza parte.

Differenze tra ISO 37301 e ISO 19600 e certificazione del SG per la compliance

La ISO 37301 rappresenta l’evoluzione della ISO 19600:2014 “Compliance Management Systems - Guidelines” (adottata in Italia come UNI ISO 19600:2016) e va a sostituirla.

La principale novità è proprio il fatto che, con la ISO 37301, non si parla più di linee guida per la compliance, ma di requisiti del sistema di gestione certificabili.

Infatti, la ISO 19600 era un MSS (Management System Standard) di tipo B, contenente solo linee guida, raccomandazioni o informazioni di supporto e pertanto non certificabile. Mentre la ISO 37301 è un MSS di tipo A, contenente al proprio interno requisiti certificabili.

A chi è applicabile la ISO 37301

La norma 37301 è applicabile a tutti i tipi di organizzazione, indipendentemente dal tipo, dalla dimensione e dalla natura dell’attività, così come dal settore di appartenenza (pubblico, privato, no-profit).

Struttura della ISO 37301

La ISO 37301 ha una struttura basata sull’HLS dell’ISO, recentemente aggiornata e rinominata HS (Harmonized Structure). Ciò facilita l’integrazione con le altre norme sui sistemi di gestione.

È costituita da 2 parti:

• Corpo normativo con i requisiti, cioè criteri di natura prescrittiva da osservare obbligatoriamente ai fini della conformità allo standard;
• Appendice A – Guida per l’utilizzo, contenente indicazioni o linee guida raccomandate come più idonee per osservare un requisito.

La norma specifica che il sistema di gestione per la compliance dovrebbe essere basato sui principi di buona governance, proporzionalità, integrità, trasparenza, accountability e sostenibilità.

Significato di “Compliance”

Il termine compliance - che si è preferito non tradurre nella versione italiana della norma, ma a cui è ammesso riferirsi come “rispetto degli obblighi” - è definito nella ISO 37001 come “soddisfacimento di tutti gli obblighi di compliance di un’organizzazione”, dove per “obblighi di compliance” si intendono i “requisiti rispetto ai quali un’organizzazione deve obbligatoriamente conformarsi, così come quelli a cui un’organizzazione sceglie volontariamente di conformarsi”.

La definizione evidenzia come la norma ISO 37301 impieghi il termine compliance in diverse accezioni, che comprendono sia il rispetto di requisiti di legge, che il rispetto di requisiti ai quali l’organizzazione ha deciso volontariamente di conformarsi.

La ISO 37301 rappresenta, dunque, uno strumento in grado di supportare le organizzazioni nell’affrontare con approccio integrato i rischi e le opportunità derivanti non solo da obblighi e prescrizioni legali ma anche da ciò che il contesto richiede in termini di tutela ambientale, di impegni in ambito sociale e di buona governance.

Inquadramento della ISO 37301 nell’ambito delle altre norme ISO

La ISO 37301 si colloca all’interno del corpus normativo ISO 37000 sulla governance delle Organizzazioni, di competenza del Comitato Tecnico Internazionale ISO/TC 309 Governance of organizations, costituito nel 2016 al fine di consolidare le buone pratiche per una governance efficace, considerando temi di sicura attualità tra cui compliance, whistleblowing e anti-corruzione, trattati sotto forma di standard di sistemi di gestione.

La serie ISO 37000 comprende le seguenti norme già pubblicate:

• ISO 37000:2021 “Governance of organizations - Guidance”
• ISO 37001:2016 “Anti-bribery management systems - Requirements with guidance for use”
• ISO 37002:2021 “Whistleblowing management systems - Guidelines”
• ISO 37004:2023 “Governance of organizations - Governance maturity model - Guidance”
• ISO/TS 37008:2023 “Internal investigations of organizations - Guidance”
• ISO 37301:2021 “Compliance management systems - Requirements with guidance for use”

Di tali norme, le seguenti sono state adottate in Italia come UNI ISO (si tratta di tre norme relative ai sistemi di gestione ed una relativa a linee guida):

• UNI ISO 37000:2021 “Governance delle organizzazioni - Guida”
• UNI ISO 37001:2016 “Sistemi di gestione per la prevenzione della corruzione - Requisiti e guida all'utilizzo”
• UNI ISO 37002:2021 “Sistemi di gestione per il whistleblowing - Linee guida”
• UNI ISO 37301:2021 “Sistemi di gestione per la compliance - Requisiti con guida per l'utilizzo”

Inoltre, sono in corso di sviluppo nuovi standard:

• ISO 37003 “Fraud Control Management Systems - Guidance for organizations managing the risk of fraud”
• ISO 37005 “Governance of organizations - Developing Indicators for effective governance”
• ISO 37009 “Conflicts of interest - Guidelines”
• ISO 37302 “Compliance management - Guidelines for the evaluation of effectiveness”
• ISO 37303 “Compliance management - Guidelines for competence management”
• ISO 37200 “Guidance for the prevention, identification and response to human trafficking, forced labour, and modern slavery”

Sebbene la maggior parte degli standard pubblicati relativi alla governance delle organizzazioni rientri nell’ambito dei MSS (Management System Standards), i concetti di Management e Governance sono differenti.

Per Management, cioè “gestione”, si intende “l’insieme delle attività coordinate per guidare e tenere sotto controllo un’organizzazione”. Questa è la definizione tratta dalla UNI EN ISO 9000:2015.

Per Governance, cioè “governo”, si intende il sistema attraverso il quale un’organizzazione è guidata, supervisionata e ritenuta responsabile (“accountable”) nel conseguimento delle proprie finalità (v. UNI ISO 37000:2021).

In entrambi i casi è presente l’elemento della “guida di un’organizzazione”, ma il termine Governance introduce i concetti di supervisione e “accountability” (la responsabilità, il dovere di rendere conto).

ISO 37301 ed ESG

Le organizzazioni che mirano ad avere successo nel lungo termine necessitano di stabilire e mantenere una cultura della compliance, che consideri le esigenze e le aspettative di tutte le parti interessate.

La compliance è pertanto non solo una esigenza basilare, ma anche un’opportunità per un’organizzazione di successo che punti alla sostenibilità.

Un efficace sistema di gestione per la Compliance consente ad un'impresa di dimostrare il proprio impegno a rispettare le leggi, i requisiti normativi, i codici di settore e le specifiche organizzative, così come le norme di buona governance, generalmente accettate come migliori prassi, l'etica e le aspettative della comunità.

Il Sistema di Gestione per la Compliance secondo la norma ISO 37301 permette di migliorare il profilo ESG dell’impresa, relativo a impatto su ambiente e territorio (“Enviromental”), impatto sulla società (“Social”) e aspetti più interni all’azienda e alla sua amministrazione (“Governance”).

Infatti, la norma ISO 37301 contribuisce al raggiungimento dei seguenti Obiettivi di Sviluppo Sostenibile dell’Agenda 2030 (SDGs):

• Obiettivo 8: lavoro dignitoso e crescita economica
• Obiettivo 9: Imprese, innovazione e infrastrutture
• Obiettivo 11: Città e comunità sostenibili
• Obiettivo 12: Consumo e produzione responsabile
• Obiettivo 16: Pace, giustizia e istituzioni solide

Per raggiungere questi obiettivi, gli obblighi di compliance che le aziende dovranno considerare sono numerosi.

Basti pensare, per l’obiettivo 8, agli obblighi relativi alla Sicurezza nei Luoghi di Lavoro, che possono essere affrontati con la norma ISO 45001, oppure agli aspetti della D&I (diversità e inclusione), da gestire con la norma ISO 30415:2021, e della parità di genere, a cui fa riferimento la UNI/PdR 125:2022. Grazie a quest’ultima, che definisce le linee guida del sistema di gestione per la parità di genere, le organizzazioni, se certificate, potranno accedere ai benefici fiscali previsti dalle leggi in materia, perché sono gli unici riconosciuti dal Decreto del Presidente del Consiglio dei Ministri del 29 aprile 2022.

Pensando all’obiettivo 9, per esempio, poiché le imprese sempre più dovranno essere compliance ad aspetti come la Proprietà Intellettuale (Intellectual Property), la ricerca e sviluppo, la collaborazione uomo-macchina e altri aspetti tecnologici, esse potranno fare riferimento a norme e regolamenti specifici, come la norma per la proprietà intellettuale ISO 56005, il nuovo regolamento macchine (ora in fase di approvazione da parte del Consiglio e del Parlamento europeo), la norma per il sistema di gestione dell’innovazione ISO 56002, le norme riguardanti l’intelligenza artificiale, solo per citarne alcuni.

Inoltre, per l’ambito dell’obiettivo 12, sicuramente sarà utile tenere in considerazione la Corporate Sustainability Reporting Directive (CSRD), con cui si intende aumentare la trasparenza e agevolare la diffusione dei dati e delle informazioni rilevanti per la sostenibilità in modo da facilitare le scelte degli investitori e del mercato dei capitali nel suo insieme, evitando il cosiddetto “greenwashing” (attività non sostenibili ma rappresentate come tali).

Una corretta gestione integrata della compliance rappresenta, dunque, un’opportunità per la crescita sostenibile e duratura dell’impresa.