ISO 37301 - co to jest i jakie korzyści przynosi organizacji?

W 2020 roku w Polsce stwierdzono prawie 200 tysięcy przestępstw gospodarczych, ponad trzy razy więcej niż w roku 1999, i to przy jednoczesnym spadku ich wykrywalności o ponad 15%.1) Przestępstwa te stanowią najbardziej widoczny przejaw nieprawidłowości, lecz nie oddają pełnego obrazu ryzyka. W tle są naruszenia administracyjne, kontraktowe i etyczne, które rzadziej kończą się postępowaniami karnymi, lecz mają nie mniejsze znaczenie dla zarządzania organizacją. Odpowiedzią na te wyzwania jest ISO 37301 – międzynarodowa norma porządkująca zarządzanie zgodnością i wspierająca systemowe zapobieganie naruszeniom.

ISO 37301 – co to jest?

ISO 37301 to nowa międzynarodowa norma określająca wymagania dla systemu zarządzania zgodnością (Compliance Management System – CMS) podlegającego certyfikacji. Nie ogranicza się do opisu ogólnych dobrych praktyk, lecz precyzuje, jak zaprojektować, wdrożyć i utrzymywać skuteczny system zarządzania zgodnością, umożliwiający świadome zarządzanie ryzykiem braku zgodności w całej działalności organizacji. Norma ma charakter uniwersalny i znajduje zastosowanie zarówno w organizacjach prywatnych, jak i publicznych, niezależnie od skali i branży.

Jak ISO 37301 definiuje zgodność?

W rozumieniu normy zgodność oznacza spełnianie wszystkich obowiązków organizacji, w tym:

• przepisów prawa;
• regulacji wewnętrznych i zobowiązań umownych;
• dobrowolnie przyjętych standardów etycznych.

Tak zdefiniowana zgodność wykracza poza wąsko rozumianą zgodność z przepisami prawa (legal compliance) i obejmuje obszary, których naruszenie może prowadzić do istotnych strat reputacyjnych i gospodarczych, nawet jeśli nie wiąże się bezpośrednio z odpowiedzialnością prawną.2)

ISO 37301 a ISO 19600

ISO 37301 zastąpiła w 2021 roku wycofaną normę ISO 19600, wprowadzając zasadniczą zmianę w charakterze dokumentu. ISO 19600 miała formę zbioru wytycznych i nie przewidywała możliwości certyfikacji, natomiast ISO 37301 stanowi normę audytowalną, podlegającą certyfikacji i opartą na jasno określonych wymaganiach. Dla organizacji oznacza to przejście od podejścia deklaratywnego do możliwości obiektywnej weryfikacji skuteczności systemu zarządzania zgodnością.

Zgodność jako proces, a nie dokument

ISO 37301 opiera się na kilku podstawowych założeniach. Zgodnie z nimi zarządzanie zgodnością:

• stanowi element kultury organizacyjnej;
• zasadza się na świadomości i zachowaniach pracowników;
• wymaga zaangażowania najwyższego kierownictwa.

W tym ujęciu system zarządzania zgodnością nie ogranicza się do zbioru procedur. Działa w sposób ciągły – podlega monitorowaniu, ocenie i doskonaleniu wraz ze zmianami otoczenia prawnego i biznesowego.

ISO 37301 jako odpowiedź na presję regulacyjną i ryzyka prawne

Organizacje funkcjonują dziś w warunkach nakładających się obowiązków: prawa krajowego i unijnego, regulacji sektorowych, wymogów nadzorczych oraz zobowiązań kontraktowych wobec klientów i partnerów biznesowych. Ciągłe zmiany przepisów zwiększają poziom ryzyka, a brak spójnego podejścia do identyfikacji obowiązków i przypisywania odpowiedzialności sprzyja ich rozproszeniu oraz reaktywnemu zarządzaniu zgodnością.

ISO 37301 jako narzędzie porządkowania obowiązków

Norma ISO 37301 odpowiada na ten problem poprzez ustrukturyzowane podejście do zarządzania zgodnością. Przestrzegając jej wymagań, organizacja stale:

• identyfikuje obowiązki prawne i inne wymogi;
• przypisuje odpowiedzialności i uprawnienia;
• prowadzi ocenę ryzyk braku zgodności;
• wdraża adekwatne działania kontrolne;
• dokumentuje zapewnienie zgodności na potrzeby nadzoru i audytów.

Dzięki temu zgodność przestaje być sumą niespójnych działań operacyjnych, a staje się elementem systemu zarządzania, który można monitorować, oceniać i doskonalić.

Procedury zgłaszania naruszeń jako istotny element systemu zarządzania zgodnością

Istotnym elementem systemu zarządzania zgodnością są jasne procedury zgłaszania naruszeń oraz skuteczna ochrona osób dokonujących zgłoszeń. Brak takich rozwiązań ogranicza dostęp organizacji do informacji o nieprawidłowościach na wczesnym etapie i utrudnia ich szybkie wyjaśnienie. Skuteczność systemu compliance zależy w dużej mierze od przejrzystości zasad zgłaszania naruszeń i jednoznacznego określenia statusu sygnalistów; bez tych mechanizmów stabilność całego systemu ulega osłabieniu.

ISO 37301 a ustawa o ochronie sygnalistów

Znaczenie procedur zgłaszania naruszeń znajduje bezpośrednie odzwierciedlenie w obowiązkach wynikających z przepisów prawa, a konkretniej Ustawy z dnia 14 czerwca 2024 r. o ochronie sygnalistów, wdrażającej dyrektywę UE 2019/1937. Znacznie łatwiej jest je dopełnić organizacjom, które stosują wymagania ISO 37301. Norma dostarcza ram procesowych – od przypisania ról i odpowiedzialności, przez ocenę ryzyk, po monitorowanie i dokumentowanie działań następczych. Dzięki temu nowe obowiązki prawne nie funkcjonują w oderwaniu od reszty organizacji, lecz zostają włączone w spójny system, co zwiększa przewidywalność działań i ogranicza ryzyka prawne.3)

Uzupełnieniem tego podejścia jest ISO 37002, która zawiera wytyczne dotyczące systemu zgłaszania nieprawidłowości. Norma ta ma charakter dobrowolny i nie podlega certyfikacji, lecz wskazuje dobre praktyki w zakresie:

• projektowania kanałów zgłoszeń;
• ochrony sygnalistów;
• prowadzenia postępowań następczych;
• analizy i doskonalenia systemu zgłoszeń.

W praktyce system zgłaszania naruszeń prawa można również dobrowolnie certyfikować na zgodność z ustawą z dnia 14 czerwca 2024 r. o ochronie sygnalistów. Taki program oferuje Polskie Centrum Badań i Certyfikacji (PCBC). Certyfikacja obejmuje ocenę stopnia wdrożenia oraz skuteczności procedur zgłoszeń wewnętrznych lub zewnętrznych, prowadzoną w cyklu trzyletnim, i może uwzględniać odniesienie do wytycznych ISO 37002 jako standardu dobrych praktyk. Uzyskany certyfikat stanowi obiektywny dowód zgodności przyjętych rozwiązań z wymogami prawa i oczekiwaniami organów nadzoru.

Jak działa system zarządzania zgodnością według ISO 37301?

Rola najwyższego kierownictwa

ISO 37301 jednoznacznie przypisuje odpowiedzialność za skuteczność systemu zarządzania zgodnością najwyższemu kierownictwu. To kadra zarządcza wyznacza kierunek działań, zapewnia niezbędne zasoby, ustala priorytety i sprawuje nadzór nad funkcjonowaniem systemu. Ważnym narzędziem zarządczym są przeglądy zarządzania, które umożliwiają ocenę skuteczności działań, identyfikację luk oraz podejmowanie decyzji korygujących.4)

Najważniejsze procesy systemu

System zarządzania zgodnością zgodny z ISO 37301 opiera się na powtarzalnym zestawie procesów:

• analizie kontekstu organizacji, obejmującej uwarunkowania prawne, rynkowe i wewnętrzne;
• identyfikacji oraz ocenie ryzyka braku zgodności,
• ustanowieniu polityk i procedur adekwatnych do zidentyfikowanych ryzyk;
• monitorowaniu i raportowaniu, w tym obsłudze niezgodności i działań następczych;
• regularnych audytach i ciągłym doskonaleniu systemu.

Skuteczność tych procesów zależy przede wszystkim od kompetencji pracowników oraz bieżącego monitorowania i korygowania niezgodności, a nie od samego istnienia dokumentacji.5)

Typowe obszary ryzyka compliance

Zakres ryzyk objętych systemem zarządzania zgodnością zależy od profilu organizacji, jednak w praktyce najczęściej obejmuje:

• prawo pracy, w tym mobbing i dyskryminację;
• przeciwdziałanie korupcji oraz przeciwdziałanie praniu pieniędzy (AML);
• ochronę danych osobowych;
• relacje z partnerami biznesowymi i kontrahentami,
• zgłaszanie nieprawidłowości i ochronę sygnalistów.

Zakres ten może ulegać rozszerzeniu wraz ze zmianami otoczenia prawnego oraz wzrostem skali i złożoności działalności.

Powiązanie z innymi systemami zarządzania

Normę ISO 37301 zaprojektowano tak, aby umożliwić integrację systemu zarządzania zgodnością z innymi systemami zarządzania oraz normami, np. ISO 9001 (system zarządzania jakością) czy ISO/IEC 27001 (system zarządzania bezpieczeństwem informacji). Wspólna struktura norm ułatwia koordynację procesów, ogranicza powielanie działań i wzmacnia spójność zarządzania w całej organizacji.

Korzyści z wdrożenia ISO 37301 dla organizacji i zarządu

Wdrożenie systemu zarządzania zgodnością według ISO 37301 przynosi mierzalne efekty zarządcze. Norma porządkuje sposób zarządzania ryzykiem braku zgodności oraz wpływa na jakość decyzji, relacje rynkowe i stabilność funkcjonowania organizacji.

• Zmniejszenie ryzyka sankcji i strat finansowych. Systemowe podejście do zgodności ogranicza prawdopodobieństwo naruszeń przepisów i ich eskalacji. Nawet pojedyncza nieprawidłowość może prowadzić do dotkliwych konsekwencji prawnych i długotrwałych strat reputacyjnych, których skutki często przewyższają wysokość samych kar finansowych.
• Ograniczenie ryzyka reputacyjnego. Norma ISO 37301 wspiera wczesne identyfikowanie nieprawidłowości i szybkie podejmowanie działań korygujących, zanim naruszenia eskalują w kryzys. Organizacja skuteczniej chroni swoją reputację, relacje rynkowe i pozycję konkurencyjną, które w sytuacjach braku zgodności najczęściej ulegają trwałemu osłabieniu.
• Większa przewidywalność decyzji zarządczych. Stała identyfikacja i ocena ryzyk zwiększają przejrzystość procesu decyzyjnego oraz porządkują informacje istotne z punktu widzenia zarządzania. Decyzje zapadają na podstawie aktualnej wiedzy o zagrożeniach prawnych i regulacyjnych, co wzmacnia odporność organizacji na zmiany otoczenia.
• Wzmocnienie zaufania rynku i partnerów biznesowych. Spójny system zarządzania zgodnością zwiększa wiarygodność organizacji wobec klientów, kontrahentów i inwestorów. W praktyce zgodność staje się jednym z kryteriów oceny partnera biznesowego oraz czynnikiem wpływającym na konkurencyjność i budowanie marki.
• Rozwój kultury zgodności i kultury uczciwości. ISO 37301 sprzyja utrwalaniu postaw opartych na odpowiedzialności i przejrzystości w codziennym funkcjonowaniu organizacji. Wysoka kultura zgodności zmniejsza liczbę nieprawidłowości oraz wzmacnia zaangażowanie pracowników, którzy lepiej rozumieją sens i cel stosowanych zasad oraz swoją rolę w ich przestrzeganiu.
• Obiektywne potwierdzenie dojrzałości systemu zarządzania. Certyfikacja ISO jest zewnętrznym potwierdzeniem, że system zarządzania zgodnością działa w sposób uporządkowany i podlega regularnej ocenie. W warunkach rosnącej presji prawnej, rynkowej i kontraktowej certyfikat pełni funkcję dowodową wobec interesariuszy oraz organów nadzoru, zwiększając wiarygodność organizacji i przejrzystość jej działań.

Szkolenia compliance – wsparcie wdrożenia systemu zarządzania zgodnością

W obszarze compliance funkcjonują różne formy podnoszenia kompetencji, jednak skuteczność wdrożenia ISO 37301 w największym stopniu zależy od praktycznej wiedzy osób odpowiedzialnych za system zarządzania zgodnością. Warto rozważyć szkolenia organizowane m.in. przez Polskie Centrum Badań i Certyfikacji (PCBC), które pomagają uporządkować interpretację wymagań normy, ujednolicić podejście w skali całej organizacji oraz skrócić drogę od formalnych założeń do działania.

Zarządzanie zgodnością w organizacji według ISO 37301

Dwudniowe szkolenie „Zarządzanie zgodnością w organizacji wg ISO 37301 – praktyczne aspekty” poświęcone jest praktycznemu stosowaniu wymagań normy w realiach funkcjonowania organizacji. W programie m.in.:

• interpretacja wymagań normy w odniesieniu do realiów organizacji;
• planowanie i wdrożenie systemu zarządzania zgodnością;
• analiza kontekstu organizacji i ryzyk;
• rola przywództwa i zaangażowania kierownictwa;
• monitorowanie i raportowanie, 
• audyty wewnętrzne i przeglądy zarządzania,
• doskonalenie systemu i reagowanie na niezgodności.

Szkolenie adresowane jest do kadry kierowniczej, oficerów compliance oraz osób przygotowujących organizację do wdrożenia lub utrzymania systemu zgodności.

Analiza ryzyka compliance

Jednodniowe szkolenie „Analiza ryzyka compliance” skupia się na jednym z zasadniczych elementów ISO 37301 – zarządzaniu ryzykiem. Uczestnicy pracują m.in. nad:

• identyfikacją obszarów ryzyka braku zgodności;
• oceną ryzyka pod kątem skutków i prawdopodobieństwa;
• wyborem strategii postępowania z ryzykiem;
• dokumentowaniem i raportowaniem wyników analizy;
• powiązaniem analizy ryzyka z decyzjami zarządczymi i audytami.

Szkolenie wspiera rozwój dojrzałego systemu zarządzania zgodnością i zwiększa odporność organizacji na zmiany regulacyjne.

Weryfikacja kontrahenta

„Weryfikacja kontrahenta – praktyczne aspekty procesu pozyskiwania informacji”to jednodniowe szkolenie poświęcone due diligence partnerów biznesowych jako elementowi systemu compliance. Program obejmuje m.in.:

• narzędzia i metody pozyskiwania informacji z otwartych źródeł (OSINT) oraz zasady bezpiecznej pracy z danymi (OPSEC);
• identyfikację ryzyk związanych z pozyskiwaniem informacji i profilaktykę naruszeń bezpieczeństwa informacyjnego;
• podstawy prawne i ograniczenia procesu weryfikacji kontrahentów;
• kryteria, etapy i metody weryfikacji potencjalnych partnerów biznesowych, w tym weryfikację krajową i zagraniczną;
• analizę sygnałów ostrzegawczych, list sankcyjnych oraz zasad raportowania;
• wpływ wyników weryfikacji na decyzje strategiczne i ochronę zasobów organizacji;
• zagrożenia wynikające z niewłaściwie prowadzonego procesu weryfikacji kontrahenta;
• wykorzystanie outsourcingu w procesie weryfikacji, w tym roli wywiadowni gospodarczych, agencji detektywistycznych, firm konsultingowych i kancelarii prawnych.

Szkolenie skierowane jest do menedżerów, audytorów oraz specjalistów ds. ryzyka i compliance.

ISO 37301 zakłada, że system zarządzania zgodnością pozostaje skuteczny tylko wtedy, gdy kompetencje i świadomość pracowników idą w parze z formalnymi rozwiązaniami organizacyjnymi. Szkolenia umożliwiają przełożenie wymagań normy na codzienną praktykę, ograniczają ryzyko błędnej interpretacji przepisów oraz wzmacniają spójność działań w skali całej organizacji.

Bibliografia:

1. Barcik A., Mechanizm compliance – pytanie o miejsce i zasadność w strategiach CSR współczesnych organizacji, „Prace Naukowe Uniwersytetu Ekonomicznego we Wrocławiu” 2016, nr 419, s. 9–20, link (dostęp 18.12.2025).
2. ISO, ISO 37301:2021(en), Compliance management systems — Requirements with guidance for use, link (dostęp 19.12.2025).
3. Łusiakowski K., Compliance i jego wpływ na bezpieczeństwo przedsiębiorstwo, „Bezpieczeństwo. Teoria i praktyka” 2024, nr 4, s. 121–136, link (dostęp 18.12.2025).
4. Majda N., Compliance Management System jako innowacyjna metoda zwalczania nieprawidłowości w: Globalizacja vs. glokalizacja. Europa i Polska w czasach nowożytnych i najnowszych, red. Osojca-Kozłowska S., Łódź­–Kielce 2021, Wydawnictwo Naukowe Archaegraph, 35–58, link (dostęp 18.12.2025).
5. Szewczak M., Prawne podstawy funkcjonowania systemu zarządzania compliance w sektorze publicznym, „Roczniki Nauk Prawnych” 2020, t. 30, nr 4, s. 149–166, link (dostęp 18.12.2025).