Що таке ISO 37301 простими словами і кому він насправді потрібен

Щодня ви підписуєте документи, які хтось називає «комплаєнс-системою», і щоразу питаєте себе: це справді захищає бізнес чи просто ще одна папка для перевірки?

Що таке ISO 37301 простими словами?

ISO 37301 — це інструкція для керівництва, як зробити так, щоб комплаєнс працював щодня, а не лише під час перевірки. Він описує не стільки, що написати в політиці, скільки як побудувати цикл «плануємо — виконуємо — перевіряємо — покращуємо» для всього комплаєнсу.

У стандарті немає «чарівних» норм, які гарантують, що до вас не прийде регулятор чи правоохоронні органи. Зате він дає зрозумілу рамку: хто за що відповідає, як приймаються рішення, де зберігаються докази, як перевіряється реальна робота процедур. Для керівника це мова, на якій можна організовано поговорити з наглядовою радою, акціонерами та зовнішніми стейкхолдерами про ризики й контроль.

Чому ми взагалі говоримо про ISO 37301 саме зараз?

Тому що зовнішній тиск на прозорість і доброчесність зростає швидше, ніж більшість компаній встигає оновлювати свої політики. В Україні водночас рухаються реформи держслужби, ринків капіталу й державних сервісів — і все це прямо чи опосередковано впирається в комплаєнс.

Верховна Рада відновила конкурси на посади публічної служби з новими вимогами до доброчесності кандидатів і перехідними правилами для тих, кого призначали без конкурсу [https://jurliga.ligazakon.net/news/246914_verkhovna-rada-vdnovila-konkursi-na-posadi-publchno-sluzhbi, 2026]. Для бізнесу це сигнал: очікування до якості рішень, прозорості призначень і документування процедур лише зростатимуть. На ринках капіталу Національна комісія з цінних паперів та фондового ринку заявляє про спрощення доступу бізнесу та нагадує, що до повномасштабної війни на них було понад 120 млрд грн іноземних коштів, а нині — близько 18 млрд грн [https://www.nssmc.gov.ua/ua-oleksii-semeniuk-komisiia-sproshchuie-dostup-biznesu-do-rynkiv-kapitalu/, 2026]. Інвесторів потрібно повертати, і вони заходять лише в керовані, зрозумілі ризики. ISO 37301 — один із інструментів показати цю керованість.

Чим ISO 37301 відрізняється від «комплаєнсу в політиках»?

Різниця в тому, що ISO 37301 змушує вас думати системою, а не окремими документами. Комплаєнс «у політиках» зазвичай означає: є кодекс етики, положення про конфлікт інтересів, положення про подарунки — і на цьому все.

ISO 37301 ставить питання: хто виконує, хто перевіряє, як ви навчаєте людей, де протоколюються рішення, як ви розумієте, що політика працює, а не просто існує. Він вимагає циклу перевірки й покращення, внутрішнього аудиту, участі керівництва. Якщо вам відгукується тема того, що система може існувати тільки «на папері», рекомендую потім окремо подивитися матеріал «Як зрозуміти, що комплаєнс-система існує тільки на папері» (/blog/yak-zrozumity-shcho-komplaiens-systema-isnuie-tilky-na-paperi).

Кому ISO 37301 насправді потрібен, а кому ні?

ISO 37301 має сенс там, де кожна помилка у комплаєнсі має вартісні й політичні наслідки: банки, небанківські фінансові установи, енергетика, ринки капіталу, великі виробничі й інфраструктурні бізнеси, компанії з міжнародними інвесторами, донорами та кредиторами. Також — холдинги з розгалуженою структурою власності та компанії, що готуються до виходу на біржу або до великого раунду фінансування.

Малому бізнесу без значних регуляторних ризиків повна імплементація стандарту часто не окупається. Але окремі елементи — наприклад, формалізація прийняття рішень, розподіл повноважень, базові процедури оцінки ризиків — можуть бути корисні будь-якій компанії. Якщо ви сумніваєтесь, де у вашому випадку межа доцільності, подивіться поручню тему «Розподіл повноважень: хто в компанії має право сказати «ні»» (/blog/rozpodil-povnovazhen-hto-v-kompanii-maie-pravo-skazaty-ni).

Як ISO 37301 пов’язаний із доступом до інвестицій і ринків капіталу?

ISO 37301 не є формальною вимогою для виходу на ринки капіталу, але він говорить інвестору звичною для нього мовою управління ризиками. Коли НКЦПФР відкрито ставить завдання спростити доступ бізнесу до ринків і водночас нагадує про скорочення іноземних інвестицій із понад 120 млрд грн до близько 18 млрд грн [https://www.nssmc.gov.ua/ua-oleksii-semeniuk-komisiia-sproshchuie-dostup-biznesu-do-rynkiv-kapitalu/, 2026], це означає: конкурентна боротьба за капітал буде жорсткою.

У такій конкуренції виграють ті, хто може швидко показати зрозумілу систему: політики, процедури, реєстри рішень, протоколи реагування на інциденти. ISO 37301 допомагає структурувати ці елементи таким чином, щоб зовнішній інвестор чи кредитор міг їх прочитати без «перекладу». Для компаній, які готуються до due diligence, стандарт стає корисною «шпаргалкою», хоча детальний план підготовки завжди потребує окремої роботи.

Чому ISO 37301 важливий на тлі вимог до доброчесності публічної служби?

Повернення конкурсів на публічну службу з посиленими вимогами до доброчесності кандидатів [https://jurliga.ligazakon.net/news/246914_verkhovna-rada-vdnovila-konkursi-na-posadi-publchno-sluzhbi, 2026] змінює фон, у якому працює бізнес. Усередині держави з’являється більше формалізованих процедур відбору та оцінки репутації — і бізнесові доведеться звикати до аналогічного підходу в комунікації з органами влади.

ISO 37301 пропонує рамку, де доброчесність — це не слоган, а управлінська практика: політика конфлікту інтересів, процедури декларування подарунків, розмежування посадових обов’язків, незалежні лінії повідомлень. Це важливо не лише для державних компаній, а й для приватних, які працюють із публічними замовниками чи користуються державними програмами підтримки. Наявність зрозумілої системи комплаєнсу зменшує ризик звинувачень у змові, корупції чи дискримінації у відборі контрагентів.

Як побудований ISO 37301: які блоки вам доведеться закрити?

Стандарт побудований навколо циклу PDCA (Plan–Do–Check–Act), до якого «підв’язані» вимоги щодо лідерства, планування, підтримки, операційної діяльності, оцінки результативності та покращення. Для бізнесу це зручно: можна розкладати існуючі практики по цих розділах і бачити, де є прогалини.

Умовно кажучи, вам доведеться дати відповідь на питання: чи визначений контекст компанії та зацікавлені сторони; чи є формальний мандат у комплаєнс-функції; як оцінюються комплаєнс-ризики; хто відповідає за навчання; як документуються інциденти та дисциплінарні рішення; як періодично перевіряється система. Ці самі питання лягають в основу будь-якої розмови з регулятором чи інвестором, навіть якщо слово «ISO» в ній не прозвучить.

ISO 37301 і наглядова рада: як це поєднується?

ISO 37301 прямо акцентує на ролі вищого органу управління — ради директорів або наглядової ради. Стандарт очікує, що цей орган не лише «схвалив політику», а й отримує регулярну звітність по ключових комплаєнс-ризиках, інцидентах та їх розслідуванні, а також затверджує ресурси на систему.

Для українських компаній, які вже мають або впроваджують наглядові ради, це шанс перестати сприймати комплаєнс як технічну функцію. ISO 37301 фактично говорить: якщо рада не бачить і не розуміє ваші комплаєнс-ризики, у вас прогалина корпоративного управління. У цьому сенсі він логічно продовжує дискусію, яку ви можете глибше розібрати в матеріалі «Роль наглядової ради в комплаєнсі: за що вона відповідає особисто» (/blog/rol-naglyadovoi-rady-v-komplaiensi-za-shcho-vona-vidpovidaie-osobysto).

Чи обов’язково сертифікуватися за ISO 37301, щоб отримати користь?

Ні, сертифікація не є обов’язковою умовою, щоб використати стандарт як рамку для побудови комплаєнс-системи. Багато компаній беруть структуру ISO 37301 як чекліст для внутрішньої інвентаризації та впроваджують лише критичні для себе елементи.

Сертифікація має сенс тоді, коли ви працюєте з міжнародними замовниками, донорами чи інвесторами, які звикли до такої форми підтвердження. Або коли готуєтесь до виходу на ринки капіталу й хочете формалізувати рівень зрілості управління. Для внутрішнього ринку часто достатньо того, щоб ваша система була описана й доведена до стану, коли її можна показати й пояснити без «ручного перекладу» окремих рішень.

Як ISO 37301 допомагає, коли регулятор чи банк ставлять незручні запитання?

Він не дає готових відповідей на запитання регулятора чи банку, але забезпечує структуру для ваших відповідей. Коли у вас є формалізований процес оцінки комплаєнс-ризиків, протоколи прийняття рішень, записи тренінгів, журнал інцидентів — у кожному гострому епізоді ви можете показати логіку дій.

На практиці це означає, що замість оборонної позиції «ми не знали» ви переходите до доказової: «ось як ми ідентифікували ризик, ось що зробили, ось як навчали персонал, ось як реагували на сигнал». Регулятори все більше очікують саме такого підходу, а не мінімалістичних «формальних відповідей». ISO 37301 допомагає не забути про жоден із цих шарів.

Чекліст: чи варто вашій компанії дивитися в бік ISO 37301?

Нижче — короткий чекліст, який можна використати на рівні правління чи власників, щоб зрозуміти, чи є сенс вкладатися в систему за ISO 37301.

1. Рівень регуляторного тиску.
2. Ви працюєте у фінансовому секторі, енергетиці, транспорті, оборонці або іншій ліцензованій сфері.
3. Ви регулярно проходите перевірки декількох регуляторів.

1. Взаємодія з інвесторами та донорами.
2. У вас є або плануються міжнародні інвестори, донори, кредитори.
3. У грантових або кредитних угодах є вимоги до систем комплаєнсу, антикорупції, санкцій.

1. Масштаб рішень і ланцюги власності.
2. Ви маєте холдингову структуру з кількома юрисдикціями.
3. Важливі рішення приймаються на різних рівнях, і складно відстежити, «де саме щось пішло не так».

1. Історія інцидентів.
2. У вас уже були проблеми з регуляторами, банками, донорами чи медійні скандали.
3. Після кожного інциденту ви щоразу «вигадуєте систему заново».

1. Внутрішнє сприйняття комплаєнсу.
2. Комплаєнс сприймають як гальмо операцій.
3. Ключові політики є, але ніхто не може пояснити, як вони працюють на практиці.

Якщо ви відповіли «так» хоча б на половину пунктів — вам варто щонайменше зіставити свої практики з вимогами ISO 37301 і подивитися, де прогалини.

ISO 37301 і реальні кейси зловживань: чого вчать історії інших?

Один із стабільних сигналів для ринку — історії про масштабні зловживання та вироки за шахрайство й фінансові піраміди. Наприклад, суд у США засудив кредитора до 15 років позбавлення волі за участь у схемі Ponzi обсягом 76 млн доларів [https://www.occrp.org/en/news/us-court-sentences-lender-to-15-years-over-76m-ponzi-scheme, 2026]. Для українського бізнесу це не «екзотика іншої юрисдикції», а нагадування: відсутність адекватних комплаєнс-процесів може завершитися не просто штрафами, а кримінальними наслідками.

ISO 37301 змушує системно дивитися на ризики фінансових злочинів: перевірку контрагентів, запобігання конфлікту інтересів, механізми раннього виявлення підозрілої активності. Стандарт не замінює профільних режимів на кшталт AML чи санкційного комплаєнсу, але підтягує їх в єдине управлінське полотно. Це зменшує шанси, що серйозний сигнал «загубиться» між функціями.

Як ISO 37301 співіснує з іншими вашими політиками й стандартами?

Якщо у вас уже є ISO 9001, ISO 27001 чи інші системи управління, ISO 37301 логічно до них приєднується. Він не вимагає будувати паралельну інфраструктуру, а радше інтегрувати комплаєнс у вже існуючі процеси якості, інформаційної безпеки, ризик-менеджменту.

На практиці це означає: замість ще одного «острова» ви отримуєте загальні механізми управління документами, записами, аудитами, інцидентами. Для бізнесу з обмеженими ресурсами це критично — не тримати по окремому процесу під кожний стандарт, а будувати один каркас із різними «надбудовами».

Покроковий план: як почати рух у бік ISO 37301 без революцій

1. Визначте цілі.
2. Чітко сформулюйте, навіщо вам система: для інвестора, для регулятора, для стабілізації внутрішніх процесів.

1. Зробіть інвентаризацію наявних практик.
2. Зберіть усі політики, процедури, формалізовані й неформалізовані практики.
3. Позначте, що реально працює, а що існує «для перевірки».

1. Порівняйте себе з вимогами стандарту.
2. Створіть просту таблицю зі структурами ISO 37301 (лідерство, планування, підтримка, операції, оцінка, покращення).
3. Розкладіть свої існуючі елементи по цих розділах і позначте прогалини.

1. Сфокусуйтеся на «точках тиску».
2. Спочатку закрийте ті елементи, які стосуються найбільш чутливих для вас ризиків: санкції, корупція, грантовий комплаєнс, ринки капіталу.

1. Оформіть розподіл повноважень і відповідальності.
2. Чітко зафіксуйте, хто приймає які рішення, хто може сказати «ні», хто веде реєстри й протоколи.

1. Запустіть цикл перевірки й покращення.
2. Плануйте регулярні огляди комплаєнс-системи на рівні правління/наглядової ради.
3. Фіксуйте результати й коригувальні дії, навіть якщо це малі кроки.

1. Вирішіть, чи потрібна вам формальна сертифікація.
2. Оцініть очікування ключових зовнішніх стейкхолдерів.
3. Якщо сертифікація не в пріоритеті, залиште її на пізніший етап, зосередившись на реальній роботі процесів.

Таблиця: ISO 37301 проти «формального комплаєнсу»

FAQ

Чи можна впровадити ISO 37301 лише на частину групи компаній?

Так, стандарт дозволяє визначати межі системи управління комплаєнсом. Ви можете почати з найбільш ризикової або регульованої частини групи й поступово розширювати охоплення. Важливо чесно описати ці межі в документах, щоб не створювати хибних очікувань у зовнішніх стейкхолдерів.

Чи замінює ISO 37301 вимоги галузевих регуляторів?

Ні, він не замінює профільне законодавство або регуляторні вимоги, а формує рамку, у яку ви вбудовуєте ці норми. Для фінансових установ, енергетики, транспорту, держпідрядників галузеві вимоги залишаються базою, а ISO 37301 допомагає зробити їх керованими й перевірюваними. У разі конфлікту пріоритет завжди за законом.

Скільки часу займає побудова системи за ISO 37301?

Тривалість залежить від розміру компанії, рівня зрілості процесів та амбіцій (чи плануєте сертифікацію). Для середнього бізнесу це зазвичай історія на місяці, а не тижні, з поетапним впровадженням. Важливо уникнути спокуси «намалювати систему за квартал», яка потім не працює в реальних кризах.

Чи потрібен окремий комплаєнс-офіцер для впровадження ISO 37301?

Бажано мати людину або команду, яка координує роботу, але це не обов’язково має бути окрема посада в штатному розписі. У невеликих компаніях функцію можуть поєднувати юрист, ризик-менеджер чи фінансовий директор, якщо їм дають реальний мандат і ресурси. Ключове — щоб роль була чітко визначена й підкріплена підтримкою керівництва.

Що робити, якщо в компанії опір: «нам і так вистачає паперів»?

Почніть не з ще однієї політики, а з карти реальних ризиків і конкретних епізодів, де відсутність системи вже коштувала часу, грошей або репутації. ISO 37301 легше сприймається, коли його показують як спосіб зменшити хаос у вирішенні проблем, а не як ще один стандарт заради сертифікату. Важливо говорити мовою рішень і відповідальності, а не лише «відповідності нормам».

---

ISO 37301 — це спосіб подивитися на ваш комплаєнс як на управлінську систему, а не як на набір файлів у спільній папці. Якщо розкласти свої щоденні рішення по вимогах стандарту, доволі швидко видно, де компанія справді захищена, а де тримається на особистій відповідальності окремих людей. Почати варто з чесної інвентаризації: які рішення сьогодні не мають прозорої логіки й доказової бази — саме там стандарт допоможе навести порядок першочергово.