Pemahaman Klausul ISO 37001:2016

Persyaratan ISO 37001:2016 sudah mengadopsi sistem High Level Structure (HLS). Sehingga akan mudah untuk terintegrasi dengan sistem manajemen lainnya. HLS adalah bagian dari arahan ISO / IEC yang mengatur bagaimana standar Sistem Manajemen ISO harus ditulis. HLS merupakan kerangka struktur yang akan digunakan oleh semua sistem manajemen ISO kedepannya.

Menurut HLS standar sistem manajemen harus mengikuti struktur:

Cakupan
Acuan normatif
Ketentuan dan definisi
Konteks organisasi
Kepemimpinan
Perencanaan
Dukungan
Operasional
Evaluasi kinerja
Perbaikan

Klausul no. 1 – 3 bukan merupakan persyaratan.

Penjelasan detail dari klausa per klausa :

4. Konteks organisasi

4.1 Memahami organisasi dan konteksnya

Klausa ini mensyaratkan organisasi untuk menentukan semua masalah internal dan eksternal yang mungkin relevan dengan pencapaian tujuan dari Sistem Manajemen Anti Penyuapan (SMAP). Ini termasuk semua elemen yang akan mempengaruhi tujuan dan hasil di masa depan. Isu ini bisa berupa :

ukuran, struktur dan pendelegasian wewenang pengambil keputusan organisasi;
lokasi dan sektor dimana organisasi itu beroperasi atau antisipasi pengoperasian;
sifat, skala dan kompleksitas dari aktivitas dan operasi organisasi;
model bisnis organisasi;
entitas dimana organisasi mempunyai kendali dan entitas yang menerapkan kendali terhadap organisasi;
rekan bisnis organisasi;
sifat dan jangkauan interaksi dengan pejabat publik;
peraturan perundang-undangan, regulasi kontrak serta kewajiban dan tugas profesional.

Organisasi disarankan untuk mendokumentasikan hal ini.

4.2 Memahami kebutuhan dan harapan pemangku kepentingan

Organisasi harus menentukan pemangku kepentingan yang relevan dengan SMAP dan identifikasi kebutuhan dan harapan mereka. Pemangku kepentingan adalah orang atau organisasi yang dapat mempengaruhi, dipengaruhi, atau menganggap dirinya terpengaruh oleh suatu keputusan atau aktivitas. Pemangku kepentingan dapat berasal dari internal atau eksternal organisasi. Misalnya : Pimpinan organisasi, karyawan, vendor, pelanggan, pemerintah, dsb.

4.3. Menentukan ruang lingkup Sistem Manajemen Anti Penyuapan

Organisasi harus menentukan batasan dan penerapan sistem manajemen anti penyuapan untuk menetapkan ruang lingkupnya.

Saat menentukan organisasi ini harus mempertimbangkan:

a) masalah eksternal dan internal sebagaimana dimaksud dalam 4.1;
b) persyaratan sebagaimana dimaksud dalam 4.2;
c) hasil penilaian risiko penyuapan sebagaimana dimaksud dalam 4.5.

Ruang lingkup harus tersedia sebagai informasi terdokumentasi.

4.4. Sistem Manajemen Anti Penyuapan dan prosesnya

Organisasi harus menetapkan, mendokumentasi, menerapkan, memelihara dan secara berkelanjutan meninjau, dan jika diperlukan, meningkatkan sistem manajemen anti penyuapan, termasuk proses dan interaksinya yang diperlukan, sesuai dengan persyaratan standar ini. Sistem manajemen anti penyuapan harus memuat tindakan yang dirancang untuk mengidentifikasi dan mengevaluasi risiko dari, dan untuk mencegah, mendeteksi dan menanggapi terhadap penyuapan.

4.5. Penilaian Risiko Penyuapan

Organisasi harus melaksanakan penilaian risiko penyuapan secara teratur.

mengidentifikasi risiko penyuapan diaktifitas organisasi
menganalisa, menilai dan memprioritaskan risiko penyuapan yang teridentifikasi dengan menggunakan kriteria untuk mengevaluasi tingkat risiko penyuapan (matrik risiko)
mengevaluasi kesesuaian dan keefektifan dari pengendalian yang ada di organisasi untuk mengurangi risiko penyuapan yang telah dinilai (mitigasi)

Organisasi harus menyimpan informasi terdokumentasi untuk memperagakan bahwa penilaian risiko penyuapan telah dilaksanakan dan digunakan untuk merancang atau meningkatkan sistem manajemen anti penyuapan.

5. Kepemimpinan

5.1 Kepemimpinan dan komitmen

Manajemen puncak harus “menunjukkan kepemimpinan dan komitmen sehubungan dengan

SMAP. Implementasi SMAP adalah keputusan strategis organisasi yang menunjukkan komitmen terhadap pengembangan dan penerapan SMAP dan peningkatan efektivitasnya secara berkelanjutan. Komitmen ini harus diperagakan dan menginformasikan organisasi tentang pentingnya memenuhi persyaratan persyaratan ISO 37001, kepatuhan dengan persyaratan hukum dan lainnya, menetapkan Kebijakan dan sasaran anti penyuapan, melakukan tinjauan manajemen, dan menyediakan sumber daya yang dibutuhkan.

Bila organisasi mempunyai dewan pengarah (tidak wajib), dewan ini harus memperagakan kepemimpinan dan komitmen terhadap sistem manajemen anti penyuapan.

5.2 Kebijakan

Manajemen puncak harus memelihara dan meninjau kebijakan anti penyuapan yang menetapkan,

melarang penyuapan;
kepatuhan dengan peraturan perundang-undangan
sesuai dengan tujuan organisasi;
kerangka kerja untuk menetapkan, meninjau dan mencapai sasaran anti penyuapan;
komitmen untuk memenuhi persyaratan sistem manajemen anti penyuapan;
peningkatan kepedulian dan pelaporan tanpa takut akan tindakan balasan;
komitmen untuk peningkatan berkelanjutan SMAP
menjelaskan wewenang dan kemandirian dari fungsi kepatuhan anti penyuapan;
menjelaskan konsekuensi jika tidak sesuai dengan kebijakan anti penyuapan.

Organisasi diharuskan minimal memasukkan 9 pernyataan diatas dalam Kebijakan SMAP nya.

5.3 Peran, tanggung jawab, dan wewenang organisasi

Manajemen puncak memiliki seluruh tanggung jawab untuk penerapan atas dan kepatuhan dengan sistem manajemen anti penyuapan. Manajemen puncak harus memastikan bahwa tanggung jawab dan wewenang untuk peran yang relevan ditentukan dan dikomunikasikan di dalam dan menyeluruh ke setiap tingkatan dari organisasi.

Manajemen puncak harus menugaskan pada fungsi kepatuhan anti penyuapan tanggung jawab dan wewenang untuk:

a) mengawasi rancangan dan penerapan sistem manajemen anti penyuapan organisasi;
b) menyediakan petunjuk dan panduan untuk personel atas SMAP
c) memastikan SMAP sesuai dengan standar ISO 37001
d) melaporkan kinerja SMAP kepada dewan pengarah (jika ada) dan manajemen puncak dan fungsi kepatuhan lainnya, jika sesuai.

Manajemen puncak harus membuat surat penunjukan dan menentukan tugas dan tanggung jawab bagi tim fungsi kepatuhan anti penyuapan.

6. Perencanaan

6.1 Tindakan untuk mengatasi risiko dan peluang

Ketika merencanakan sistem manajemen anti penyuapan, organisasi harus mempertimbangkan isu yang mengacu pada 4.1, persyaratan yang mengacu pada 4.2, identifikasi risiko pada 4.5, dan peluang peningkatan.

6.2 Sasaran anti penyuapan dan perencanaan untuk mencapainya

Organisasi harus menetapkan sasaran sistem manajemen anti penyuapan pada fungsi dan tingkat yang relevan.

Sasaran sistem manajemen anti penyuapan harus:

a) konsisten dengan kebijakan anti penyuapan;
b) terukur
c) memperhitungkan faktor yang berlaku didalam 4.1, persyaratan didalam 4.2 dan risiko penyuapan yang teridentifikasi didalam 4.5;
d) dapat dicapai;
e) dipantau;
f) dikomunikasikan sesuai dengan 7.4;
g) diperbaharui jika diperlukan

Pernyataan pada fungsi dan tingkat yang relevan bisa diartikan sasaran SMAP ini dibuat khusus per area, misalnya HRGA, procurement, marketing, dll.

Ketika merencanakan bagaimana untuk mencapai sasaran sistem manajemen anti penyuapan, organisasi harus menetapkan:

apa yang akan dikerjakan;
sumber daya apa yang dipersyaratkan;
siapa yang akan bertanggung jawab;
kapan sasaran akan dicapai;
bagaimana hasil akan dievaluasi dan dilaporkan;
siapa yang akan menjatuhkan sanksi atau hukuman.

Apa yang dikerjakan bisa mengacu pada kegiatan di klausul 7 dan 8 nantinya.

7. Dukungan

7.1 Sumberdaya

Organisasi harus menentukan dan menyediakan sumber daya yang diperlukan untuk penetapan, penerapan, pemeliharaan dan peningkatan berkelanjutan dari sistem manajemen anti penyuapan.

Sumber daya yang dibutuhkan tergantung faktor seperti ukuran organisasi, sifat dan operasi, dan risiko penyuapan yang dihadapi. Contoh sumber daya termasuk:

Sumber daya manusia: Sebaiknya tersedia cukup personel yang mempunyai waktu yang cukup terhadap tanggung jawab anti penyuapan yang relevan sehingga sistem manajemen anti penyuapan dapat berfungsi secara efektif. Hal ini termasuk menugaskan orang (kelompok) yang cukup (baik eksternal maupun internal) untuk fungsi kepatuhan anti penyuapan.
Sumber daya fisik: Sebaiknya tersedia cukup sumberdaya fisik dalam organisasi, termasuk di fungsi kepatuhan anti penyuapan, untuk sistem manajemen anti penyuapan dapat berfungsi secara efektif, misal ruang kantor, furnitur, perangkat keras dan lunak komputer, materi pelatihan, telefon, perlengkapan kantor.
Sumber daya keuangan: Sebaiknya tersedia cukup anggaran, termasuk di fungsi kepatuhan anti penyuapan, untuk sistem manajemen anti penyuapan dapat berfungsi secara efektif.

7.2 Kompetensi

menentukan kompetensi yang cukup bagi orang yang melaksanakan pekerjaan dibawah kendali organisasi yang berpengaruh pada kinerja anti penyuapan;
memastikan orang ini kompeten berdasarkan pendidikan, pelatihan, atau pengalaman yang memadai;
jika bisa diterapkan, mengambil tindakan untuk memperoleh dan mempertahankan kompetensi yang diperlukan, dan mengevaluasi keefektifan dari tindakan yang diambil;
menyimpan informasi terdokumentasi yang tepat sebagai bukti dari kompetensi.

Organisasi harus menerapkan prosedur terhadap semua personel ;

mematuhi kebijakan anti penyuapan
menerima salinan dan pelatihan mengenai kebijakan anti penyuapan
mengambil tindakan disipliner yang sesuai terhadap personel
tidak akan menerima pembalasan, diskriminasi

Khusus untuk personel yang memiliki risiko penyuapan, organisasi harus menerapkan prosedur yang mengatur :

uji kelayakan personal
pengaturan bonus, target, insentif yang wajar
deklarasi kepatuhan terhadap kebijakan SMAP

7.3 Kepedulian & Pelatihan

Organisasi harus memberikan kepedulian anti penyuapan yang cukup dan sesuai serta pelatihan untuk personel.

Personel harus dilengkapi dengan kepedulian anti penyuapan dan pelatihan secara teratur yang sesuai untuk peran mereka, risiko penyuapan di lingkungan mereka berada, dan setiap perubahan. Program kepedulian dan pelatihan akan diperbarui secara berkala jika diperlukan untuk mencerminkan informasi baru yang relevan.

Memperhitungkan risiko penyuapan, organisasi harus menerapkan prosedur yang ditujukan pada kepedulian dan pelatihan anti penyuapan untuk rekan bisnis yang bertindak atas nama atau untuk keuntungannya yang dapat menimbulkan risiko penyuapan di atas batas rendah untuk organisasi. Prosedur ini harus mengidentifikasi rekan bisnis dimana kepedulian dan pelatihan seperti itu diperlukan, isinya, dan sarana pelatihan harus disediakan.

7.4 Komunikasi

Organisasi harus menentukan komunikasi internal dan eksternal yang relevan dengan sistem manajemen anti penyuapan termasuk:

apa yang akan dikomunikasikan;
kapan berkomunikasi;
dengan siapa berkomunikasi;
bagaimana berkomunikasi;
siapa yang akan berkomunikasi;
bahasa yang digunakan berkomunikasi.

Kebijakan anti penyuapan harus dibuat tersedia untuk seluruh personel organisasi dan rekan bisnis, dikomunikasikan secara langsung baik pada personel dan rekan bisnis yang dapat menimbulkan risiko penyuapan di atas batas rendah, dan harus dipublikasikan melalui saluran komunikasi internal dan eksternal jika sesuai.

7.5 Informasi yang terdokumentasi

Sistem manajemen anti penyuapan organisasi harus mencakup:

informasi terdokumentasi yang disyaratkan oleh standar ini;
informasi terdokumentasi yang ditentukan oleh organisasi yang diperlukan untuk keefektifan sistem manajemen anti penyuapan.

Ketika membuat dan memperbaharui informasi terdokumentasi organisasi harus memastikan kesesuaian:

identifikasi dan deskripsi (misal judul, tanggal, penulis, atau nomor referensi);
format (misal bahasa, versi piranti lunak, grafik) dan media (misal kertas, elektronik);
tinjauan dan persetujuan kesesuaian dan kecukupan.

Informasi terdokumentasi yang dipersyaratkan oleh sistem manajemen anti penyuapan dan oleh dokumen ini harus dikendalikan untuk memastikan:

a) tersedia dan sesuai untuk digunakan, kapan dan dimana jika diperlukan;
b) dilindungi
Operasi

8.1 Perencanaan dan kontrol operasional

Organisasi harus merencanakan, menerapkan, meninjau dan mengendalikan proses yang diperlukan untuk memenuhi persyaratan sistem manajemen anti penyuapan, dan untuk menerapkan tindakan yang ditentukan dalam 6.1, dengan:

Operasi Perencanaan dan pengendalian

a) menentukan kriteria untuk proses;
b) menerapkan pengendalian proses sesuai dengan kriteria;
c) menyimpan informasi terdokumentasi

Organisasi harus mengendalikan perubahan yang direncanakan dan meninjau konsekuensi dari perubahan yang tidak dimaksudkan, mengambil tindakan untuk mengurangi efek samping, sebagaimana diperlukan.

8.2 Uji kelayakan

Bila penilaian risiko penyuapan di organisasi dilaksanakan sesuai 4.5, telah dinilai risiko penyuapan di atas batas rendah, organisasi harus melakukan uji kelayakan, ada 3 jenis uji kelayakan yang wajib dilakukan :

a) transaksi, proyek atau aktivitas,

b) rekan bisnis,

c) personel pada posisi tertentu

Organisasi harus menilai sifat dan tingkatan risiko penyuapan sehubungan dengan transaksi, proyek, aktivitas, rekan bisnis yang spesifik dan personel yang termasuk dalam kategori tersebut. Penilaian ini harus mencakup setiap uji kelayakan yang diperlukan untuk memperoleh informasi yang cukup untuk menilai risiko penyuapan. Uji kelayakan harus diperbaharui pada frekuensi yang ditentukan sehingga perubahan dan informasi baru dapat diperhitungkan dengan sebaik-baiknya.

Untuk detail bentuk uji kelayakan bagi masing-masing tipe bisa dilihat di lampiran / annex dari persyaratan ISO 37001 ;

a) transaksi, proyek atau aktivitas, di annex 10 (A.10.2)

b) rekan bisnis, di annex 10 (A.10.3)

c) personel pada posisi tertentu, di Annex 8 (A.8.1)

3 uji kelayakan ini harus dilakukan oleh organisasi, pelaksanaanya bisa dibagi kefungsi dan tingkat yang relevan, misalnya uji kelayakan proyek oleh marketing, uji kelayakan personal oleh HRD, uji kelayakan rekan bisnis oleh bagian pengadaan, dll.

8.3 Pengendalian Keuangan

Organisasi harus menerapkan pengendalian keuangan yang mengelola risiko penyuapan.

menerapkan pemisahan tugas, sehingga orang yang sama tidak dapat memulai dan menyetujui pembayaran;
menerapkan tingkat berjenjang sesuai kewenangan untuk persetujuan pembayaran (sehingga transaksi yang lebih besar memerlukan persetujuan manajemen yang lebih senior);
memverifikasi penerima pembayaran dan pekerjaan atau jasa yang ditunjuk telah disetujui oleh mekanisme organisasi yang relevan;
membutuhkan setidaknya dua tanda tangan pada persetujuan pembayaran;
membutuhkan dokumen pendukung yang sesuai untuk dilampirkan pada persetujuan pembayaran;
membatasi penggunaan pembayaran tunai dan menerapkan metode pengendalian pembayaran tunai yang efektif;
membutuhkan kategori pembayaran dan deskripsi rekening yang akurat dan jelas;
menerapkan tinjauan manajemen secara periodik dari transaksi keuangan yang signifikan;
menerapkan audit keuangan independen dan perubahannya secara berkala, secara reguler, audit dilakukan oleh personel atau organisasi.

8.4 Pengendalian Non Keuangan

Organisasi harus menerapkan pengendalian non keuangan untuk mengelola risiko penyuapan yang berhubungan dengan area seperti aktivitas pengadaan, operasional, penjualan, komersial, sumber daya manusia, hukum dan regulasi.

menggunakan kontraktor, sub kontraktor, pemasok dan konsultan yang disetujui, telah melalui proses pra kualifikasi
melakukan penilaian ;

kebutuhan dan legitimasi jasa yang disediakan oleh rekan bisnis (tidak termasuk klien atau pelanggan) untuk organisasi,
apakah pelayanan dilakukan dengan benar; dan
apakah pembayaran untuk rekan bisnis wajar dan sesuai dengan jasa tersebut.

memenangkan kontrak, jika mungkin dan wajar, hanya setelah proses lelang yang adil dan, jika sesuai proses lelang yang kompetitif dan transparan diantara sedikitnya tiga pesaing;
membutuhkan setidaknya dua untuk mengevaluasi lelang dan menyetujui pemenang kontrak;
menerapkan pemisahan tugas, sehingga personel yang menyetujui penempatan kontrak berbeda dengan yang meminta penempatan kontrak.
membutuhkan tanda tangan sedikitnya dua orang pada kontrak, dan pada dokumen yang menyebabkan perubahan pada persyaratan kontrak atau pekerjaan yang telah disetujui atau perubahan pengadaan pada kontrak;
menempatkan tingkat manajemen yang lebih tinggi untuk mengawasi transaksi penyuapan yang berpotensi tinggi;
melindungi integritas lelang dan informasi sensitif mengenai harga, dengan membatasi akses ke orang yang sesuai;
menyediakan alat dan template yang sesuai untuk membantu personel (misal panduan praktis, hal yang boleh dan tidak boleh, persetujuan berjenjang, daftar periksa, formulir, alur kerja IT).

8.5 Penerapan pengendalian anti penyuapan yang dikendalikan organisasi dan rekan bisnisnya

Organisasi harus menerapkan prosedur yang disyaratkan untuk organisasi lainnya yang dikendalikan untuk:

a) menerapkan sistem manajemen anti penyuapan; atau
b) menerapkan pengendalian anti penyuapan mereka sendiri,

Sehubungan dengan rekan bisnis yang tidak dikendalikan oleh organisasi yang penilaian risiko penyuapan (lihat 4.5) atau uji kelayakan (lihat 8.2) telah mengidentifikasi risiko penyuapan di atas batas rendah, dan dimana kendali anti penyuapan dilaksanakan oleh rekan bisnis akan membantu mengurangi risiko penyuapan yang relevan.

8.6 Komitmen anti penyuapan

Untuk rekan bisnis yang menimbulkan risiko penyuapan di atas batas rendah, organisasi harus melaksanakan prosedur yang mensyaratkan, hal itu sedapat mungkin:

a) rekan bisnis berkomitmen untuk mencegah penyuapan oleh atau atas nama atau untuk keuntungan rekan bisnis sehubungan dengan transaksi, proyek, aktivitas, atau hubungan yang relevan;
b) organisasi mampu untuk mengakhiri hubungan dengan rekan bisnis di mana ada penyuapan oleh atau atas nama atau untuk keuntungan rekan bisnis sehubungan dengan transaksi, proyek, aktivitas, atau hubungan yang relevan.

8.7 Hadiah, kemurahan hati, sumbangan dan keuntungan serupa

Organisasi harus menerapkan prosedur yang dirancang untuk mencegah tawaran, penyediaan atau penerimaan hadiah, kemurahan hati, sumbangan dan keuntungan serupa, di mana tawaran, penyediaan atau penerimaan adalah atau layak dapat dianggap sebagai penyuapan.

Pengendalikan cakupan dan frekuensi dari hadiah dan kemurahan hati dengan:

1) larangan total atas semua hadiah dan kemurahan hati; atau

2) hadiah dan kemurahan hati yang diperbolehkan, tapi dibatasi dengan mengacu pada faktor berikut :

pengeluaran maksimum (yang mungkin bervariasi tergantung lokasi serta jenis hadiah dan kemurahan hati );
frekuensi (hadiah dan kemurahan hati yang relatif kecil dapat berakumulasi menjadi jumlah besar jika berulang);
waktu (misal tidak dalam atau segera sebelum atau setelah negosiasi lelang);
kewajaran (mempertimbangkan lokasi, sektor dan senioritas dari pemberi atau penerima);
identitas penerima (misal, yang memiliki posisi untuk memenangkan kontrak atau menyetujui izin, sertifikat atau pembayaran);
timbal balik (tidak ada satu orang pun di organisasi dapat menerima hadiah atau kemurahan hati lebih dari nilai yang boleh diberikan);
lingkungan hukum & regulasi

1. mensyaratkan persetujuan dimuka untuk hadiah dan kemurahan hati di atas nilai atau frekuensi yang ditetapkan oleh manajer yang sesuai;
2. mensyaratkan hadiah dan kemurahan hati di atas nilai atau frekuensi yang ditetapkan secara terbuka dan efektif di dokumentasikan (misal dalam daftar, atau jurnal akunting), dan di supervisi.

8.8 Mengelola ketidakcukupan pengendalian anti penyuapan

Ketika uji kelayakan (lihat 8.2) dilakukan pada transaksi, proyek, aktivitas tertentu atau hubungan dengan rekan bisnis menentukan bahwa risiko penyuapan tidak dapat dikelola oleh pengendalian anti penyuapan yang ada, dan organisasi tidak dapat atau tidak ingin menerapkan tambahan atau peningkatan pengendalian anti penyuapan atau mengambil tindakan yang tepat lainnya (seperti mengubah sifat transaksi, proyek, aktivitas atau hubungan) agar organisasi dapat mengelola risiko penyuapan yang relevan, organisasi harus:

a) dalam hal transaksi, proyek, aktivitas atau hubungan yang ada, ambil tindakan sesuai terhadap risiko penyuapan dari sifat transaksi, proyek, aktivitas atau hubungan untuk mengakhiri, menghentikan, menunda atau menarik secepat yang bisa dilakukan;

b) dalam hal pengusulan transaksi, proyek, aktivitas atau hubungan baru, tunda atau tolak untuk melanjutkan.

8.9 Meningkatkan kepedulian

Organisasi yang harus menerapkan prosedur ;

mendorong dan membuat orang untuk melaporkan dengan itikad baik atau atas dasar keyakinan, kecurigaan dan penyuapan aktual, atau setiap pelanggaran dari atau kelemahan dalam sistem manajemen anti penyuapan, kepada fungsi kepatuhan anti penyuapan atau kepada personel yang tepat.
mensyaratkan organisasi memperlakukan laporan secara rahasia untuk melindungi identitas pelapor dan orang lain yang terlibat atau direferensikan dalam laporan;
mengizinkan pelaporan tanpa nama;
melarang pembalasan, dan melindungi mereka yang membuat laporan dari pembalasan,
membuat personel untuk menerima saran dari orang yang tepat tentang apa yang harus dilakukan jika dihadapkan pada upaya atau situasi yang dapat melibatkan penyuapan.

8.10 Investigasi dan penangangan penyuapan

Organisasi harus menerapkan prosedur ;

mensyaratkan penilaian, investigasi dari setiap penyuapan, atau pelanggaran dari kebijakan anti penyuapan atau dari sistem manajemen anti penyuapan, yang dilaporkan.
mensyaratkan tindakan yang tepat ketika investigasi mengungkap setiap penyuapan, atau pelanggaran terhadap kebijakan anti penyuapan atau sistem manajemen anti penyuapan;
memberdayakan & membolehkan penyelidikan
mensyaratkan kerjasama dalam investigasi oleh personel yang relevan;
mensyaratkan status dan hasil investigasi dilaporkan kepada fungsi kepatuhan anti penyuapan dan fungsi kepatuhan lainnya, jika sesuai;
mensyaratkan investigasi & hasil investigasi dilakukan secara rahasia

9. Evaluasi kinerja

9.1 Pemantauan, pengukuran, analisis dan evaluasi

Organisasi harus menentukan:

a) apa yang dibutuhkan untuk dipantau dan diukur;
b) siapa yang bertanggung jawab untuk pemantauan;
c) metode untuk pemantauan, pengukuran, analisis dan evaluasi, jika berlaku, untuk memastikan hasil yang valid;
d) kapan pemantauan dan pengukuran harus dilakukan;
e) kapan hasil dari pemantauan dan pengukuran harus dianalisis dan dievaluasi;
f) kepada siapa dan bagaimana informasi ini harus dilaporkan.

9.2 Audit internal

Organisasi harus melaksanakan audit internal pada rentang waktu yang direncanakan untuk menyediakan informasi apakah sistem manajemen anti penyuapan:

Ini untuk memenuhi ;

persyaratan organisasi itu sendiri untuk sistem manajemen anti penyuapan;
persyaratan dari standar ISO 37001:2016

secara efektif diterapkan dan dipelihara.

Organisasi harus:

merencanakan, menetapkan, menerapkan dan memelihara program audit, termasuk frekuensi, metode, tanggung jawab, persyaratan perencanaan dan pelaporan, yang harus mempertimbangkan pentingnya proses dimaksud dan hasil dari audit sebelumnya;
menentukan kriteria & lingkup untuk setiap audit;
memilih auditor yang kompeten dan melaksanakan audit untuk memastikan objektivitas dan ketidak berpihakan dari proses audit;
memastikan hasil audit dilaporkan pada manajemen yang relevan, fungsi kepatuhan anti penyuapan, manajemen puncak, jika sesuai, dewan pengarah (jika ada);
menyimpan informasi terdokumentasi sebagai bukti penerapan program audit dan hasil audit.

9.3 Tinjauan manajemen

Tinjauan manajemen puncak

Manajemen puncak harus meninjau sistem manajemen anti penyuapan organisasi, pada rentang waktu terencana, untuk memastikan keberlanjutan, kesesuaian, kecukupan dan keefektifan.

Tinjauan manajemen puncak harus mencakup pertimbangan dari:

status tindakan dari tinjauan manajemen sebelumnya;
perubahan dalam isu internal dan eksternal
informasi pada kinerja sistem manajemen anti penyuapan, termasuk kecenderungan dalam:

1) ketidak sesuaian dan tindakan korektif;

2) hasil pemantauan dan pengukuran;

3) hasil audit;

4) laporan penyuapan;

5) penyelidikan;

6) sifat dan tingkat risiko penyuapan yang dihadapi oleh organisasi;

d) keefektifan tindakan yang diambil untuk menunjukkan risiko penyuapan;
e) peluang peningkatan berkelanjutan dari sistem manajemen anti penyuapan, seperti yang diacu pada 10.2.

Keluaran tinjauan manajemen puncak harus mencakup keputusan terkait dengan peluang peningkatan berkelanjutan dan setiap kebutuhan untuk perubahan pada sistem manajemen anti penyuapan.

Tinjauan dewan pengarah

Dewan pengarah (jika ada) harus melakukan tinjauan secara berkala sistem manajemen anti penyuapan berdasarkan informasi yang diberikan oleh manajemen puncak dan fungsi kepatuhan anti penyuapan dan setiap informasi lain yang diminta atau diperoleh dewan pengarah.

9.4 Tinjauan Fungsi Kepatuhan Anti Penyuapan

Fungsi kepatuhan anti penyuapan harus menilai secara berkelanjutan apakah sistem manajemen anti penyuapan: