ISO 37001: ISO 37001 ist die internationale Norm für Anti-Bestechungs-Managementsysteme; sie verlangt von Organisationen Maßnahmen zur Verhinderung, Aufdeckung und Behandlung von Bestechung durch eigene Mitarbeitende, Geschäftspartner und Dritte.
Die Norm folgt der High Level Structure und ergänzt sie um bestechungsspezifische Kontrollen: eine Risikobewertung nach Geschäftspartnern und Ländern, Sorgfaltsprüfungen (Due Diligence) bei Vermittlern und Lieferanten, finanzielle und nicht-finanzielle Kontrollen für Zahlungen und Geschenke sowie eine unabhängige Meldestelle für Verdachtsfälle. Verantwortlich für die Umsetzung ist häufig eine benannte Compliance-Funktion mit direktem Berichtsweg an die oberste Leitung.
| Element | Zweck |
|---|---|
| Bestechungsrisikobewertung | Risikoreiche Länder und Partner identifizieren |
| Due Diligence | Geschäftspartner vor Vertragsschluss prüfen |
| Meldestelle | Verdachtsfälle vertraulich melden |
| Finanzkontrollen | Verdächtige Zahlungen verhindern |
Anders als ISO 9001 oder ISO 27001 richtet sich ISO 37001 primär an Unternehmen mit internationalem Geschäft, öffentlichen Auftraggebern oder Konzernstrukturen, in denen Compliance-Anforderungen vertraglich oder regulatorisch verlangt werden. Die Norm ersetzt keine strafrechtliche Prüfung und garantiert nicht, dass keine Bestechung stattfindet – sie verlangt aber ein nachweisbares System zur Risikominderung.
Ein wichtiges Gestaltungsprinzip der Norm ist die Verhältnismäßigkeit: Der Umfang der Kontrollen richtet sich nach Größe, Struktur und Bestechungsrisiko der Organisation, sodass ein kleiner Handwerksbetrieb ohne Auslandsgeschäft schlankere Maßnahmen umsetzt als ein international tätiger Konzern mit öffentlichen Aufträgen. Zertifizierungsstellen für ISO 37001 benötigen zudem branchenspezifische Auditorenqualifikationen im Bereich Compliance und Wirtschaftskriminalität, die über die für ISO 9001 üblichen Qualifikationen hinausgehen.
Operativ verlangt Kapitel 8.2 der Norm eine risikobasierte Due Diligence: Immer wenn die Bestechungsrisikobewertung ein mehr als geringes Risiko bei bestimmten Transaktionen, Projekten oder Geschäftspartnern identifiziert, muss die Organisation vor Vertragsschluss eine vertiefte Prüfung durchführen und diese in festgelegten Abständen aktualisieren. Ein pauschaler Prüfumfang für alle Geschäftsbeziehungen ist ausdrücklich nicht vorgesehen – die Norm verlangt stattdessen eine dem jeweiligen Risiko angemessene Tiefe der Prüfung.
Relevanz für die Zertifizierung
Radikale Ehrlichkeit an dieser Stelle: KCERT zertifiziert ISO 9001, 14001, 45001, 27001 und 50001, nicht aber ISO 37001. Unternehmen, die eine Anti-Bestechungs-Zertifizierung benötigen, etwa für internationale Ausschreibungen oder Konzern-Compliance-Programme, brauchen eine spezialisierte Zertifizierungsstelle mit entsprechender Normkompetenz. Wer bereits ISO 9001 bei KCERT zertifiziert ist, profitiert trotzdem: Risikomanagement, internes Audit, Managementbewertung und Dokumentenlenkung folgen derselben High Level Structure und lassen sich für eine spätere ISO-37001-Einführung bei einer anderen Stelle direkt weiterverwenden, statt bei null zu beginnen. Wer unsicher ist, ob ISO 37001 im eigenen Fall überhaupt sinnvoll ist, sollte vorab prüfen, ob konkrete Vertrags- oder Ausschreibungsanforderungen dies tatsächlich verlangen, bevor zusätzlicher Aufwand entsteht.
Häufige Fragen zu ISO 37001
Nein. KCERT zertifiziert ausschließlich ISO 9001, 14001, 45001, 27001 und 50001 im nicht akkreditierten Bereich. Für ISO 37001 (Anti-Bestechungs-Managementsysteme) ist eine spezialisierte Zertifizierungsstelle mit entsprechender Kompetenz erforderlich. Bereits vorhandene ISO-9001-Strukturen wie Risikomanagement und internes Audit lassen sich dort aber als Basis weiterverwenden.
Nein, die Einführung ist grundsätzlich freiwillig. Verpflichtend wird sie faktisch, wenn Kunden, öffentliche Auftraggeber oder Konzern-Compliance-Programme ein zertifiziertes Anti-Bestechungs-Managementsystem ausdrücklich verlangen, etwa bei internationalen Ausschreibungen oder als Vertragsbedingung großer Geschäftspartner. Auch nach Korruptionsvorfällen fordern Aufsichtsbehörden oder Gerichte im Rahmen von Compliance-Auflagen mitunter faktisch ein Managementsystem nach diesem Muster, ohne dass die Norm selbst dies gesetzlich vorschreibt.
ISO 37001 ist eine international zertifizierbare Norm, die sich ausschließlich auf Bestechung konzentriert. Ein Compliance-Management-System nach IDW PS 980 ist ein deutscher Prüfungsstandard, der breiter angelegt ist und beliebige Compliance-Risiken abdecken kann, aber keine ISO-Zertifizierung im engeren Sinn darstellt. IDW PS 980 endet zudem meist mit einem Prüfungsurteil eines Wirtschaftsprüfers statt mit einem international anerkannten Zertifikat, weshalb beide Ansätze je nach Zielgruppe unterschiedlich überzeugend wirken.