ISO 37001 부패방지경영시스템이 필요한 조직 — 2025년 개정판 전환 일정까지

ISO 37001 문의는 대개 두 가지 상황에서 들어옵니다. 하나는 공공기관·공기업이 청렴도 평가나 내부 감사 지적을 계기로 체계를 갖추려는 경우, 다른 하나는 민간기업이 발주처·모기업·해외 파트너로부터 부패방지 체계를 요구받은 경우입니다.

두 경우 모두 질문의 형태는 같습니다. “우리 회사가 이 인증을 꼭 받아야 하나요?” 결론부터 말하면, ISO 37001은 모든 조직이 받아야 하는 인증이 아니라 부패 위험이 사업의 실질적 리스크인 조직이 검토하는 표준입니다. 어느 쪽인지 판단하는 기준을 정리했습니다.

먼저: 2025년 개정판 전환 일정을 확인하십시오

ISO 37001은 2025년 2월 3일에 개정판(ISO 37001:2025)이 발행됐습니다. 지금 인증을 검토하는 조직이라면 이 일정을 먼저 확인해야 합니다.

시점	내용
2025년 2월 3일	ISO 37001:2025 발행
2025년 10월 10일	IAF MD 30:2025(전환 요구사항) 발행
2026년 8월 31일	이후 최초 인증심사는 2025년판 기준으로 실시
2027년 2월 28일	전환 기간 종료. 2016년판 인증서는 효력 유지 곤란

즉 지금부터 새로 인증을 준비하는 조직은 2016년판이 아니라 2025년판을 기준으로 구축해야 합니다. 컨설팅 자료나 내부 문서가 구판 조항 번호를 그대로 쓰고 있다면 시작 단계에서 바로잡는 편이 낫습니다. 구체적인 전환심사 방식과 적용 시점은 인증기관별 공지를 함께 확인하시기 바랍니다.

개정판의 주요 변화는 조항 구조를 뒤집는 수준은 아닙니다. 다만 실무에 영향을 주는 부분이 있습니다.

• 부패방지 문화(anti-bribery culture) 개념이 표준에 명시적으로 들어왔습니다. 문서와 절차만으로는 설명하기 어려운 영역입니다.
• 기존 “부패방지 준법기능”이 **부패방지 기능(anti-bribery function)**으로 정리되고, 책임과 운영상 독립성에 대한 설명이 명확해졌습니다.
• 이해충돌(conflict of interest) 식별·관리·완화에 관한 안내가 구체화됐습니다.

ISO 37001을 검토할 만한 조직

아래 상황 중 둘 이상에 해당한다면 검토 실익이 있습니다.

유형	구체적 상황
공공 영역	공공기관·공기업으로 청렴도 평가, 부패방지 시책평가, 내부통제 강화 요구를 받는 조직
공공조달 의존	매출의 상당 부분이 관급 계약이며 인허가·발주 담당자와의 접촉이 잦은 조직
대기업 협력사	모기업·원청의 공급망 실사, 협력사 행동규범(Code of Conduct) 서약을 요구받는 조직
해외 사업	해외 대리인·중개인·현지 컨설턴트를 통해 영업하거나 통관·인허가 절차가 개입되는 조직
규제 산업	의료기기·제약, 건설, 방산, 에너지처럼 부패 사건이 반복적으로 문제되는 산업
ESG 대응	투자자·거래처의 ESG 실사에서 거버넌스(G) 항목 근거를 요구받는 조직

반대로 부패 위험 노출이 낮고, 요구하는 이해관계자도 없으며, 내부적으로 통제할 거래 구조도 단순하다면 지금 서둘러 인증을 받을 필요는 없습니다. 그런 조직에는 특화 표준 컨설팅이 언제 필요한지 기준부터 확인하시길 권합니다.

구축 전에 먼저 정리해야 할 것들

ISO 37001에서 문서보다 앞서는 것은 어디에서 부패 위험이 생기는지에 대한 조직 자신의 판단입니다. 이 판단이 없으면 이후 모든 절차가 남의 회사 문서를 옮겨 놓은 형태가 됩니다.

1. 부패위험평가

부서·거래유형·지역·상대방별로 위험을 식별합니다. “우리 회사는 뇌물을 주지 않는다”는 선언이 아니라, 영업·구매·인허가·물류·인사 각 단계에서 금품이나 편의가 오갈 수 있는 지점을 찾는 작업입니다. 평가 결과는 이후 통제 수준을 정하는 근거가 되므로 심사에서 가장 먼저 확인되는 문서 중 하나입니다.

2. 실사(due diligence)

거래처, 대리인, 중개인, 합작 파트너, 채용 대상자 중 부패 위험이 높은 대상에 대해 사전 확인 절차를 운영합니다. 위험이 낮은 상대까지 동일한 깊이로 실사하면 절차가 유지되지 않습니다. 위험도에 따라 확인 항목과 승인 단계를 다르게 설계해야 합니다.

3. 접대·선물·기부·후원 통제

가장 자주 문제되는 영역입니다. 금액 한도, 사전 승인, 기록 방식, 예외 처리 절차를 정하고 실제 지출 기록과 대조할 수 있어야 합니다. 국내 조직이라면 청탁금지법상 허용 기준과 내부 기준의 관계도 함께 정리해야 혼선이 없습니다.

4. 부패방지 기능과 제보 채널

부패방지 기능이 최고경영진에 직접 보고할 수 있는 구조인지, 제보자 보호와 조사 절차가 실제로 작동하는지가 확인됩니다. 제보 채널을 만들어 두고 접수 실적도, 처리 기록도 없는 상태가 흔한 지적 사유입니다.

5. 교육과 기록

임직원과 고위험 직군에 대한 교육이 실시되고 이해 여부가 확인돼야 합니다. 서명만 받아 둔 참석부와 실제 교육 내용이 연결되지 않으면 근거로 쓰기 어렵습니다.

인증서가 아니라 운영이 확인됩니다

부패방지는 특히 문서와 실제 운영의 간극이 잘 드러나는 분야입니다. 방침과 절차서는 완비돼 있는데 최근 1년간 실사 기록이 한 건도 없거나, 접대비 지출은 있는데 사전 승인 기록이 없는 경우가 그렇습니다.

이 구조는 정보보안 분야에서 위험평가와 적용성보고서가 병목이 되는 이유와 비슷합니다. 표준이 요구하는 것은 문서의 존재가 아니라 위험을 판단한 근거와 그 판단에 따라 실제로 실행된 기록입니다. 그리고 그 기록은 심사 요청을 받은 뒤 소급해서 만들 수 있는 성질의 것이 아닙니다.

또한 ISO 37001은 부패가 발생하지 않는다는 보증이 아닙니다. 인증을 받았다는 사실만으로 법적 책임이 면제되거나 사건이 예방된다고 설명하는 자료가 있다면 그대로 믿지 마십시오. 실제 거래 의사결정과 자료의 사실성, 위법행위에 대한 책임은 조직에 남습니다.

자체 점검 체크리스트

• 사업 구조상 부패 위험이 실제로 발생할 수 있는 지점을 식별했는가
• 이해관계자(발주처·모기업·투자자)가 요구하는 것이 인증서인지 통제 체계인지 확인했는가
• 대리인·중개인·컨설턴트 등 제3자를 통한 거래 비중을 파악했는가
• 접대·선물·기부에 대한 내부 기준이 있고 지출 기록과 대조 가능한가
• 부패방지 기능이 영업 성과와 독립적으로 보고할 수 있는 구조인가
• 제보 채널의 접수·처리 기록이 남고 있는가
• 2025년판 기준으로 구축·전환 일정을 확인했는가

적용 여부부터 판단하고 싶다면

ISO 37001은 표준 전체를 그대로 복사해 적용하는 방식으로는 유지되지 않습니다. 조직의 거래 구조에서 위험이 어디에 있는지 먼저 좁혀야 문서량도 줄고 심사에서도 설명이 됩니다. 지금 상황이 인증까지 필요한 단계인지, 아니면 내부 통제 정비로 충분한지 판단이 서지 않는다면 무료 상담 신청에서 업종과 주요 거래 형태, 인증을 요구하는 이해관계자, 해외 사업 여부를 보내 주십시오. 적용 필요성부터 함께 검토해 드립니다.

확인한 공식 자료

• ISO 37001:2025 — 부패방지경영시스템 요구사항 및 사용 지침 (확인: 2026-08-12)
• IAF MD 30:2025 — ISO 37001:2025 전환 요구사항 (확인: 2026-08-12)
• ISO 37301:2021 — 준법경영시스템 요구사항 (확인: 2026-08-12)