Anti-Korruptions-Managementsystem
ISO 37001 Anforderungen: Was Ihr Unternehmen nachweisen muss
ISO 37001 verlangt ein Managementsystem gegen Bestechung: Risiken bewerten, Verantwortung festlegen, Geschäftspartner prüfen, Kontrollen betreiben und einen geschützten Meldeweg anbieten. Diese Seite geht die Kapitel 4 bis 10 der Reihe nach durch und nennt zu jedem Kapitel die Dokumente, die in der Praxis vorliegen sollten.
01: Überblick
Was ISO 37001 von einem Unternehmen verlangt
ISO 37001 beschreibt ein System, mit dem ein Unternehmen Bestechung verhindert, erkennt und darauf reagiert. Die Norm schreibt keine Software und keine bestimmte Organisationsform vor. Sie verlangt, dass Sie Ihre Bestechungsrisiken kennen, Zuständigkeiten festlegen und Kontrollen betreiben, die zu Ihrer Grösse und Ihren Geschäften passen.
Gegliedert ist die Norm nach der gemeinsamen Struktur der ISO-Managementsystemnormen, in die Kapitel 4 bis 10. Wer ISO 9001 oder ISO 27001 kennt, findet dieselbe Reihenfolge wieder. Der Inhalt ist ein anderer: Es geht um Aufträge, Vermittler, Geschenke, Einladungen, Spenden und Neueinstellungen.
02: Kapitel 4 bis 7
Kontext, Führung, Planung, Unterstützung: die Grundlagen
Die ersten vier inhaltlichen Kapitel legen das Fundament. Sie entscheiden darüber, ob das System später im Alltag trägt oder nur auf dem Papier existiert.
- Kapitel 4, Kontext der Organisation
- Sie klären, in welchem Umfeld Sie arbeiten: Länder, Branchen, Auftraggeber, Geschäftspartner. Dazu gehören der Geltungsbereich des Systems und die Bewertung der Bestechungsrisiken. Üblich sind eine Beschreibung des Geltungsbereichs, eine Liste der interessierten Parteien und eine datierte Risikobewertung.
- Kapitel 5, Führung
- Die Geschäftsleitung trägt das System. Sie legt die Anti-Korruptionspolitik fest, verteilt Rollen und setzt eine unabhängige Compliance-Funktion ein, die direkt an die Leitung berichten kann. Üblich sind die unterzeichnete Politik, eine Rollenbeschreibung der Compliance-Funktion und ein Nachweis, dass die Politik kommuniziert wurde.
- Kapitel 6, Planung
- Aus den Risiken werden Ziele und Massnahmen. Sie halten fest, was erreicht werden soll, wer es umsetzt, bis wann und woran Sie den Fortschritt messen. Üblich sind eine Zielliste und ein Massnahmenplan mit Verantwortlichen.
- Kapitel 7, Unterstützung
- Mitarbeitende brauchen Wissen und Mittel. Personen in exponierten Funktionen, etwa im Verkauf, im Einkauf oder in der Vergabe, werden geschult. Die interne und externe Kommunikation ist geregelt. Üblich sind Schulungsnachweise, ein Kommunikationsplan und eine Dokumentenlenkung mit Versionsstand und Freigabe.
03: Kapitel 8 bis 10
Betrieb, Bewertung, Verbesserung: was im Alltag geprüft wird
Kapitel 8 ist das Kernstück der Norm. Hier zeigt sich, ob Ihre Vorkehrungen im Tagesgeschäft ankommen.
- Kapitel 8, Betrieb
- Sie prüfen Transaktionen, Geschäftspartner und Personal risikobasiert (Due Diligence). Sie führen finanzielle Kontrollen ein, zum Beispiel das Vier-Augen-Prinzip bei Zahlungen, und nicht-finanzielle Kontrollen, zum Beispiel bei Beschaffung und Vergabe. Geschenke und Einladungen sind geregelt. Ein Meldeweg schützt Hinweisgebende vor Repressalien. Üblich sind Prüfberichte, Freigaberegeln, ein Geschenkeregister, ein Meldeverfahren und Fallprotokolle.
- Kapitel 9, Bewertung der Leistung
- Sie prüfen, ob das System wirkt. Dazu gehören Überwachung und Messung, interne Audits und die Managementbewertung durch die Leitung. Üblich sind ein interner Auditbericht, einige Kennzahlen und das Protokoll der Managementbewertung.
- Kapitel 10, Verbesserung
- Abweichungen und Vorfälle werden behoben. Sie halten fest, was geschehen ist, welche Ursache vorlag und welche Massnahme folgte. Üblich ist eine Massnahmenliste mit Nachverfolgung.
04: Nachweise
Welche Nachweise zu welcher Anforderung gehören
Die Norm verlangt keine Aktenordner, sondern Belege, dass Regeln bestehen und gelebt werden. Die Tabelle ordnet die wichtigsten Anforderungen den üblichen Nachweisen zu.
| Anforderung | Üblicher Nachweis | Kapitel |
|---|---|---|
| Bestechungsrisiken bewerten | Risikobewertung mit Datum und Überprüfungsrhythmus | 4 und 6 |
| Anti-Korruptionspolitik festlegen | Unterzeichnete Politik, Nachweis der Kommunikation | 5 |
| Unabhängige Compliance-Funktion | Rollenbeschreibung, Berichtslinie zur Leitung | 5 |
| Due Diligence durchführen | Prüfbericht je Geschäftspartner, Checkliste bei Neueinstellungen | 8 |
| Kontrollen einführen | Zahlungsfreigabe-Regeln, Vergabeprotokolle | 8 |
| Meldeweg betreiben | Verfahrensbeschreibung, Fallregister | 8 |
| System überprüfen | Auditbericht, Protokoll der Managementbewertung | 9 |
05: Mit Zertify
Wie Zertify die Anforderungen von ISO 37001 prüft
Die Selbstbewertung von Zertify umfasst 38 Ja/Nein-Fragen zu ISO 37001. 14 davon sind Muss-Fragen und müssen alle mit Ja beantwortet werden. Von den übrigen 24 Fragen braucht es mindestens 16 Ja-Antworten. Die Muss-Fragen bilden die Kernpunkte der Bewertung ab, nicht jede einzelne Anforderung der Norm.
SICE prüft jede Bewertung, bevor Zertify das Zertifikat unter Lizenz von SICE ausstellt. Nach bestandener Bewertung und Zahlung liegt es innerhalb von 4 Stunden vor. Nummer und QR-Code auf dem PDF führen zur öffentlichen Verifikationsseite, auf der Ihr Auftraggeber die Gültigkeit selbst nachsieht.
Das Zertifikat kostet CHF 749 im ersten Jahr, danach CHF 499 pro Jahr inklusive des jährlichen Online-Re-Audits. Es gilt 3 Jahre.
06: Aufwand KMU
Wie viel Aufwand bedeuten die Anforderungen für ein kleines Unternehmen?
Die Norm verlangt Angemessenheit. Ein Betrieb mit 30 Mitarbeitenden braucht keine eigene Compliance-Abteilung. Die Compliance-Funktion kann eine Person übernehmen, solange sie unabhängig urteilen kann und direkten Zugang zur Leitung hat. Die Risikobewertung eines Ingenieurbüros mit öffentlichen Auftraggebern fällt anders aus als die eines Logistikers mit Partnern in mehreren Ländern.
Wer stattdessen den klassischen Weg mit einem Vor-Ort-Audit durch eine Zertifizierungsstelle erwägt, findet den Vergleich der Routen im entsprechenden Leitfaden.
07: Häufige Fragen
Fragen zu den Anforderungen von ISO 37001
Die Norm folgt der gemeinsamen Struktur der ISO-Managementsystemnormen. Die prüfbaren Anforderungen stehen in den Kapiteln 4 bis 10: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Die Kapitel 1 bis 3 enthalten Anwendungsbereich, Verweisungen und Begriffe.
Nein. Verlangt ist eine Compliance-Funktion, keine Abteilung. In einem kleinen Unternehmen kann eine Person diese Aufgabe übernehmen. Sie muss unabhängig urteilen können und direkten Zugang zur Leitung haben.
Mindestens die Anti-Korruptionspolitik, die Risikobewertung, die Rollenbeschreibung der Compliance-Funktion und das Meldeverfahren. Dazu kommen Belege aus dem Betrieb, etwa Prüfberichte zu Geschäftspartnern, Schulungsnachweise und ein Protokoll der Managementbewertung.
Ja. Die Anforderungen gelten für Organisationen jeder Grösse. Umfang und Tiefe der Kontrollen richten sich nach Ihren Bestechungsrisiken, also nach Ländern, Auftraggebern und Geschäftspartnern.
Ein Verhaltenskodex hält Grundsätze fest. ISO 37001 verlangt zusätzlich ein System mit Risikobewertung, Due Diligence, Kontrollen, Meldeweg und regelmässiger Überprüfung. Auftraggeber, die von Zulieferern einen Kodex fordern, fragen deshalb zunehmend nach einem Nachweis, dass die Regeln auch umgesetzt werden.
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, wo Ihr Unternehmen bei ISO 37001 steht
Die Selbstbewertung zeigt in wenigen Minuten, welche der 38 Fragen Sie bereits mit Ja beantworten.
Kostenlos und ohne Registrierung.