ISO 37001

Les informations figurant dans cet article ou cette section doivent être reliées aux sources mentionnées dans les sections « Bibliographie », « Sources » ou « Liens externes » (mars 2017).

Vous pouvez améliorer la vérifiabilité en associant ces informations à des références à l'aide d'appels de notes.

L’ISO 37001 est une norme publiée par l'Organisation internationale de normalisation relative à la lutte contre la corruption, adoptée le 14 octobre 2016, sur la base d’un travail collaboratif conduit par des délégations de vingt pays. Elle a été mise à jour en 2025, donnant lieu à une nouvelle version - celle actuellement en vigeur. Elle appartient aux corpus des normes dites de systèmes de management, comme l’ISO 9001 ou l’ISO 14001. À ce titre, elle est construite selon la structure HS (Harmonized Structure) : cette structure permet d’aborder la norme de façon autonome ou intégrée dans un système de management plus large.

Cette norme a été élaborée sous la responsabilité du Comité technique ISO/TC 309 qui supervise les normes relatives à la gouvernance et à la conformité au sein de l'ISO.

Objectifs

Face aux nombreuses menaces que constituent la corruption — telles que le maintien des inégalités et de la pauvreté, les atteintes à la libre concurrence ou les impacts sur la démocratie —, les organismes (qu’ils soient privés ou publics, de grande ou de petite taille) « ont la responsabilité de contribuer de façon proactive à la lutte contre la corruption ». Pour ce faire, la norme « définit des exigences et fournit des préconisations pour les systèmes de management conçus pour aider les organismes à prévenir, détecter et lutter contre la corruption, et à respecter les lois anti-corruption et leurs engagements volontaires applicables à leurs activités. »

L’objectif pour les organismes est de bien connaître leur environnement et leurs risques de façon à déployer des procédures efficaces dans le respect des réglementations applicables et dans une logique d’amélioration continue.

Origines

La norme ISO 37001 a été établie à partir du British Standards Institution (BSI) qui a développé le « BS 10500 Anti-Bribery Management System» en lien avec la loi anglaise sur la corruption (UK Bribery Act ) dont la dernière section des lignes directrices admet que la certification d’un programme anti-corruption puisse être considérée comme une « affirmative defense » (défense opposable) au regard du délit de défaut de prévention de la corruption.

A l’initiative du BSI, un groupe de rédaction (Project Committee) comprenant 37 pays, 22 pays observateurs, et 8 organisations de liaison a été constitué sous la présidence Neill Stansbury, directeur du Global Infrastructure Anti-Corruption Center (GIACC). Il a abouti à la rédaction du standard « ISO 37001 - système de management anti-corruption (2016) » publié par l'ISO en 2016, amendé en 2025 et mis à jour en 2025.

Exigences

La norme détaille les exigences auxquelles l’organisme doit répondre pour avoir un système de management anticorruption efficace et notamment :

• la compréhension du contexte de l’organisme (contexte, lois et réglementations applicables et attentes des parties intéressées) ;
• l’élaboration d’un système (définition du périmètre, formalisation, détermination d’indicateurs) ;
• la cartographie des risques de corruption ;
• le leadership (organe de gouvernance et direction) ;
• l’élaboration d’une politique anti-corruption et de procédures dédiées (notamment sur les cadeaux, marques d’hospitalité, dons et avantages similaires) ;
• la définition des rôles et responsabilités, la délégation de la prise de décision ;
• la nomination d'une fonction de conformité anti-corruption ;
• la planification du système (détermination d’objectifs et des actions et ressources nécessaires pour les atteindre) ;
• la sensibilisation et la formation ;
• les procédures RH (engagement contractuel à respecter la politique anticorruption, déclarations de conformité…) ;
• la gestion des tiers et notamment le principe de diligence raisonnable sur les tiers à risques ;
• la communication interne et externe ;
• la documentation du système ;
• les moyens de contrôles (financiers et non financiers) ;
• la mise en place d'un dispositif de signalement (ou d'alerte professionnelle) et les garanties apportées aux auteurs de signalements ou lanceurs d'alerte ;
• les audits internes ;
• les revues périodiques dans une perspective d’amélioration continue.

Les différentes exigences sont réparties en sept articles (identiques aux autres normes de système de management) : contexte de l'organisme; leadership; planification; support; réalisation; évaluation des performances et amélioration. Ces derniers complètent le domaine d'application, les références normatives et les définitions des différents termes clés.

La version 2025 apporte quelques nouveautés notamment celle de la gestion des conflits d'intérêts ou l'ajout de la notion de "culture" de conformité anticorruption. Elle intègre également l'amendement 2024, applicable à tous les normes de système de management, exigeant d'évaluer l'impact du réchauffement climatique sur le système de management de l'organisation (si pertinent).

À noter que dans le cas de la France, les exigences définies dans la norme sont très cohérentes avec les huit exigences définies à l'article 17 de la loi Sapin 2 et détaillées dans les Recommandations de l'Agence française anticorruption :

• un code de conduite, intégré au règlement intérieur, définissant et illustrant les différents types de comportements à proscrire comme étant susceptibles de caractériser des faits de corruption ou de trafic d'influence ;
• un dispositif d'alerte interne destiné à permettre le recueil des signalements émanant d'employés et relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société ;
• une cartographie des risques prenant la forme d'une documentation régulièrement actualisée et destinée à identifier, analyser et hiérarchiser les risques d'exposition de la société à des sollicitations externes aux fins de corruption, en fonction notamment des secteurs d'activités et des zones géographiques dans lesquels la société exerce son activité ;
• des procédures d'évaluation de la situation des clients, fournisseurs de premier rang et intermédiaires au regard de la cartographie des risques ;
• des procédures de contrôles comptables, internes ou externes, destinées à s'assurer que les livres, registres et comptes ne sont pas utilisés pour masquer des faits de corruption ou de trafic d'influence ;
• un dispositif de formation destiné aux cadres et aux personnels les plus exposés aux risques de corruption et de trafic d'influence ;
• un régime disciplinaire permettant de sanctionner les salariés de la société en cas de violation du code de conduite de la société ;
• un dispositif de contrôle et d'évaluation interne des mesures mises en œuvre.

Au-delà de la France, l'ISO 37001 est convergente avec les autres législations prévoyant le déploiement de programme anticorruption et notamment le UK Bribery Act et le Foreign Corrupt Practices Act américain.

Utilisation

Les normes ISO servent en premier lieu à établir des règles communes à travers le monde et à guider les entreprises dans le déploiement de leurs systèmes de management afin d’obtenir un programme cohérent, aligné sur les bonnes pratiques internationales. À ce titre, l’ISO 37001 propose une méthodologie et un contenu détaillé pour déployer un programme anticorruption exigeant et basé sur les méthodologies éprouvées de l'approche dite de système de management.

Certaines normes ISO, dont l'ISO 37001, permettent en outre une certification par une tierce partie (ou organisme de certification) qui apporte une évaluation externe et une légitimité au système mis en œuvre. La démarche de certification permet d’impliquer les personnels, en montrant l’importance apportée au sujet et en fédérant les collaborateurs pour obtenir puis conserver la certification.

Certification

La certification consiste en un cycle de trois ans, constitué d’une visite initiale suivie de deux audits de surveillance, par un organisme certificateur. Ces audits permettent de vérifier que le système de management de l’organisme est conforme aux exigences de l’ISO 37001 et aux exigences réglementaires applicables et qu'il est correctement déployé dans la durée. Ils donnent lieu à l'émission d'un certificat utilisable par les entreprises certifiées. Les certificats peuvent alors être valorisés auprès de différentes parties prenantes : actionnaires, clients et prospects, institutions financières, assureurs, agences de notation, investisseurs, régulateurs, etc. A titre d'illustration, la certification ISO 37001 permet d'améliorer le rating de la notation éthique Ecovadis.

Il est possible de vérifier la validité d'un certificat ISO délivré sous accréditation à partir de la base de données de l'International Accreditation Forum (IAF), IAF CertSearch. Par ailleurs plusieurs entreprises certifiées ISO 37001 communiquent publiquement sur leur certification. Par exemple en France : Renault group, Alstom Transport, le groupe Crédit Agricole, Egis , Systra ou encore le groupe SAFRAN. D'autres entreprises sont certifiées à travers le monde, par exemple en Italie : ENI ou Pirelli, ou au Royaume-Uni : Subsea7 ou Maybey Bridge. Des organisations publiques sont également entrées dans la démarche : collectivités (région Île-de-France, Ville de Clamart; EPIC ou autres structures assurant des délégations de service public (Société des Grands Projets, Banque de France, IN groupe...).

À ce jour, un organisme de certification est accrédité par le Comité français d'accréditation ou COFRAC en France pour réaliser des audits de certifications ISO 37001, EuroCompliance. Le COFRAC est l'organisme national d'accréditation en France, seul reconnu par l'État en application du règlement européen (CE) n°765/2008. L'accréditation vise à garantir la compétence de l'organisme de certification; à s'assurer de la fiabilité et de la crédibilité des certificats délivrés (notamment en termes d'indépendance); à permettre la reconnaissance internationale mutuelle (via la signature d'accords de reconnaissance mutuelle de l'IAF et de l'EA) et protéger contre les certificats frauduleux.

ISO37001 et compliance

De part son objet, la prévention de la corruption, l'ISO37001 est un outil plus particulièrement utilisé dans le cadre de déploiement de programme compliance, d'outil de prévention des risques de corruption. Les Compliance officers sont aujourd'hui les principaux sponsors de cette norme et de cette certification.

A cet égard l'intérêt de la norme a été noté par l'Agence Française Anticorruption (A.F.A), notamment dans une interview de son Directeur dans le journal Les Echos en 2021: "Nous voyons la certification d'un bon œil et nous sommes sensibles à la démarche. C'est un a priori favorable." La question de savoir si l'organisation est certifiée ISO37001 est d'ailleurs l'une des questions indicatives du questionnaire publié en ligne par l'A.F.A., au titre de l'engagement de l'instance dirigeante : "L'entité contrôlée dispose-t-elle d'une certification de son dispositif anticorruption ?" (Question C.16 du questionnaire).

A ce titre la norme ISO 37001 peut être appréhendée dans un cadre plus large avec d'autres normes liées à la gouvernance et la conformité telles que l'ISO 37301 (conformité), l'ISO 37002 (dispositifs d'alerte) ou l'ISO37008 (enquêtes internes).

La norme est également présentée de façon détaillée dans le Mémento Compliance sorti aux éditions Lefebvre Dalloz en janvier 2025.

Histoire

Notes et références

• Portail du management