Die ISO 37301 ist ein sogenannter Typ A Standard und im Gegensatz zu seinem Vorläufer ISO 19600 zertifizierbar. Der neue Standard hat sich aber zu 90 Prozent an der ISO 19600 orientiert. Unternehmen, die sich zuvor daran ausgerichtet haben, müssen sich grundsätzlich nicht umstellen.
Die ISO 37301 beschreibt ausführlich, wie das unternehmenseigene Compliance Management System gestaltet sein muss, um internationalen Rechtsnormen zu genügen. Dabei stehen nicht nur Regeln und Normen im Fokus: Der Standard setzt auch auf die Einhaltung gesellschaftlicher bzw. ethischer Werte. Die ISO 37301 erfüllt dabei alle Anforderungen an einen modernen CMS-Prüfstandard erfüllen: Sie ist von jedem akkreditierten Prüfer und über sämtliche Branchen und Unternehmensgrößen hinweg zertifizierbar und international anerkannt.
Als Leitfaden und Grundnorm für Compliance Management Systeme gibt die ISO 37301 klare Richtlinien vor. Ihre wichtigsten Vorteile werden neben der Zertifizierbarkeit ihr ganzheitlicher Ansatz über alle Branchen, Unternehmensgrößen und -bereiche, die Praxisnähe und Anwendbarkeit für alle Prüforganisationen sein. Der Standard gibt nicht nur vor, wie ein Compliance Management System einzuführen ist. Er beschreibt auch, wann ein CMS ein Zertifikat erhält. Das geht über die bisherigen „Leitlinien“ der ISO 19600 deutlich hinaus.
Außerdem wird ein Anhang der ISO 37301 praxisnahe Anleitungen enthalten, wie der Standard angewendet werden soll. Zentrale Elemente der ISO 37301 werden weiterhin die Risikoklassifizierung und -bewertung sowie die Identifizierung aller Compliance-Risiken eines Unternehmens sein. Grundlage für diese Risikoanalyse
ist ein Rechtskataster, in dem sämtliche für das Unternehmen geltenden Gesetze und Normen auf nationaler und internationaler Ebene erfasst und permanent aktualisiert werden.
Voraussetzung für ein funktionierendes CMS ist, dass Empfehlungen je nach Kontext, Art und Komplexität der Tätigkeiten einer Organisation umsetzbar sind. Die ISO 37301 folgt deshalb dem Modell der ständigen Verbesserung: Planen > Umsetzen > Überprüfen > Anpassen (sogenannter PDCA-Zyklus „plan > do > check > act“ aus dem Qualitätsmanagement). Durch diese Vorgehensweise kann das Compliance Management System systematisch vom Anfang bis zum Ende realisiert werden. Die Betonung liegt dabei auf dem Wort „kann“. Die individuelle Ausgestaltung verantwortet jedes Unternehmen selbst. Über die klaren Vorgaben hinaus soll die
Norm sicherstellen, dass sich das Compliance Management System praxisnah in das bestehende Managementsystem implementieren lässt.
