ISO 37001·37301, 우리 회사는 무엇을 받아야 하나 — 2027년 2월 전환 기한과 도입 판단 기준
ISO 37001:2025 개정으로 기존 인증기업은 2027년 2월까지 전환해야 합니다. 37001과 37301의 차이, 도입 대상, 심사비용 결정 요인을 정리합니다.
목차
ISO는 ISO 37001:2025를 2025년 2월에 발행했습니다. 국제 인정기구와 인증기관이 공지한 전환 기한은 발행 후 2년인 2027년 2월이며, 이 글 작성 시점 기준으로 약 6개월이 남았습니다. 본 글은 ISO 공개자료와 인정기구 전환 공지를 바탕으로 한 실무 안내이며 유료 표준 원문을 대체하지 않습니다.
부패방지·준법경영 표준을 검색하는 조직은 대개 두 상황 중 하나에 있습니다. 하나는 이미 ISO 37001:2016 인증서를 갖고 있는데 전환 기한이 다가온 경우이고, 다른 하나는 입찰 자격이나 거래처 요구 때문에 이제 도입을 검토하는 경우입니다. 확인해야 할 내용이 서로 다릅니다.
| 상황 | 지금 확인할 것 |
|---|---|
| ISO 37001:2016 인증 보유 | 전환심사 일정, 2025년판 대비 문서·기록 격차, 부패방지 기능의 역할 재정의 |
| 신규 도입 검토 | 37001과 37301 중 무엇이 맞는지, 인증범위 설정, 심사일수와 예산, 기존 인증과의 통합 여부 |
| 심사원·경영시스템 담당자 | 2025년판 전환교육 또는 신규 자격 취득 경로 |
ISO 37001:2025에서 실제로 바뀐 것
개정 폭 자체는 크지 않습니다. 요구사항의 골격보다는 표현과 구조를 정리한 개정에 가깝습니다.
| 영역 | ISO 37001:2016 | ISO 37001:2025 |
|---|---|---|
| 구조 | 부속서 SL 기반 | 경영시스템 표준 공통의 조화된 상위구조 반영 |
| 기후변화 | 관련 조항 없음 | 조직상황·이해관계자 요구 항목에 기후변화 관련 내용 추가 |
| 전담 기능 | 부패방지 준수기능(anti-bribery compliance function) | 부패방지 기능(anti-bribery function) — 책임과 운영 독립성 기술 명확화 |
| 이해상충 | 일반적 요구 | 식별·관리·완화 지침 구체화 |
| 문화 | 부분적 언급 | 준법·부패방지 문화에 대한 강조 강화 |
2025년판은 2016년판을 대체합니다. 요구사항 변화가 크지 않더라도 전환심사를 받지 않으면 기존 인증서는 전환 기한 이후 유효하지 않습니다. 사후심사 또는 갱신심사 일정과 묶어 전환을 처리하는 것이 일반적이므로, 남은 심사 일정에 전환이 포함되어 있는지 인증기관에 먼저 확인하시기 바랍니다.
실무에서 가장 손이 많이 가는 항목은 조항 번호 변경이 아니라 부패방지 기능의 위치와 독립성을 어떻게 증명하는가입니다. 겸직 구조가 흔한 국내 중견기업에서는 이 기능을 맡은 인력이 영업이나 구매 라인의 지시를 받는 형태가 자주 발견됩니다. 조직도와 직무기술서, 보고 경로, 예산과 인력 배정 근거가 서로 맞아떨어지는지 점검하는 편이 좋습니다.
ISO 37301은 신규 표준이 아닙니다
두 표준을 한 묶음으로 검색하는 경우가 많지만 발행 시점과 대상 범위가 다릅니다. ISO 37301은 2021년에 발행되어 ISO 19600:2014를 대체한 표준이고, 2024년 2월 기후 관련 개정(Amd 1:2024)이 추가되었습니다.
| 구분 | ISO 37001 | ISO 37301 |
|---|---|---|
| 대상 | 뇌물(bribery)에 한정 | 준법의무 전반 — 법규, 규제, 인허가 조건, 계약, 내부규정, 윤리기준 |
| 현행판 | 2025년 2월 발행(제2판) | 2021년 발행 + Amd 1:2024 |
| 핵심 통제 | 부패 리스크 평가, 실사, 선물·접대·기부 통제, 신고 채널 | 준법의무 목록화, 준법 리스크 평가, 통제 설계, 성과 모니터링 |
| 인증 | 제3자 인증 가능 | 제3자 인증 가능 |
선택 기준은 단순합니다. 조직의 핵심 리스크가 뇌물에 집중되어 있으면 ISO 37001, 인허가·개인정보·하도급·공정거래·안전 등 준수해야 할 의무가 광범위하고 이를 통합 관리해야 하면 ISO 37301입니다. 금융·공공기관처럼 두 축이 모두 필요한 조직은 37301을 상위 준법체계로 두고 37001을 부패 영역의 심화 체계로 결합하는 구성을 사용합니다.
어떤 기업이 실제로 도입하는가
도입 동기는 대체로 세 가지로 나뉩니다.
- 공공 입찰과 청렴계약 — 공공기관 입찰 참가자격이나 평가항목에서 부패방지 체계 보유 여부가 반영되는 경우입니다. 국내에서 가장 흔한 진입 경로입니다.
- 해외 거래처와 모회사 요구 — 미국 해외부패방지법(FCPA), 영국 뇌물법(UK Bribery Act) 등 역외 적용 법령의 리스크를 관리하는 글로벌 기업이 협력사에 요구하는 경우입니다.
- 사건 이후의 재발방지 증명 — 내부 비위나 제재 이후 개선 조치의 실효성을 외부에 입증해야 하는 경우입니다.
법정 의무교육 이수와 경영시스템 인증은 층위가 다릅니다. ISO 37001은 교육 실시 여부가 아니라 부패 리스크를 어떤 기준으로 평가했고, 그 결과가 통제와 실사에 어떻게 반영되었으며, 효과를 어떻게 확인했는가를 증거로 요구합니다. 교육 참석자 명부만으로는 요구사항이 충족되지 않습니다.
비용과 기간은 무엇으로 결정되나
표준별 정액 요금표는 존재하지 않습니다. 인증심사 비용은 심사일수 산정 결과에 따라 달라지며, 주요 변수는 다음과 같습니다.
- 인증범위에 포함되는 유효인원 수
- 사업장 수와 형태(복수 사업장이면 표본추출 규칙이 적용됩니다)
- 조직이 노출된 부패 리스크 수준 — 거래 국가, 공공 부문 접점, 대리인·중개인 활용 여부
- 기존에 보유한 다른 경영시스템 인증과의 통합 가능 여부
산정 원리는 심사일수 산정 안내에 정리되어 있습니다. 실무적으로 의미 있는 절감 수단은 통합입니다. ISO 9001을 이미 운영 중이라면 두 표준 모두 조화된 상위구조를 따르기 때문에 내부심사, 경영검토, 문서관리, 시정조치 프로세스를 공유할 수 있습니다. 구조가 어떻게 맞물리는지는 통합경영시스템(IMS) 원리에서 확인하실 수 있습니다.
기간은 신청과 계약검토 이후 1단계·2단계 심사를 거쳐 인증결정까지 진행되며, 조직 규모와 부적합 시정 소요에 따라 달라집니다. 전체 흐름은 인증 절차 안내를 참고하시기 바랍니다.
도입 전 자체 점검 항목
인증기관에 문의하기 전에 조직 내부에서 먼저 확인하면 계약검토와 1단계 심사가 수월해집니다.
| 점검 항목 | 확인 내용 |
|---|---|
| 인증범위 | 전사인지 특정 사업부·사업장인지, 제외 활동이 있다면 그 근거는 무엇인지 |
| 부패 리스크 평가 | 평가 기준, 수행 시점, 평가자, 결과가 통제에 반영된 기록이 있는지 |
| 부패방지 기능 | 담당자 지정, 보고 경로, 최고경영진 접근성, 운영 독립성 근거 |
| 실사(due diligence) | 거래처·대리인·중개인에 대한 사전 확인 절차와 기록 |
| 신고·조사 | 신고 채널, 익명성 보장, 신고자 보호, 조사와 후속조치 기록 |
| 선물·접대·기부 | 한도와 승인 기준, 예외 처리, 기록 보존 |
심사원과 담당자는 무엇을 준비해야 하나
2025년판 발행으로 교육 수요도 세 갈래로 나뉘었습니다.
- 전환교육 — ISO 37001:2016 기준으로 자격이나 실무 경험을 갖춘 심사원·담당자가 2025년 개정 요구사항의 신구 차이와 전환심사 확인 포인트를 정리하는 과정입니다.
- 자격확대과정 — 다른 표준의 인증심사원(보) 자격이나 교육 수료 이력이 있는 분이 부패방지·준법경영 영역으로 심사 역량을 넓히는 과정입니다.
- 일반양성과정 — 심사원 경력이 없는 입문자가 요구사항과 ISO 19011 심사기법을 함께 학습하고 모의심사까지 수행하는 과정입니다.
KAI인증원은 ISO 37001·37301 심사원 교육 과정을 운영하고 있으며, 과정 구분과 일정은 교육 페이지에서 확인하실 수 있습니다. 어떤 과정을 선택해야 하는지 판단이 서지 않는다면 ISO 심사원 자격증 취득 로드맵에서 자격확대와 일반양성의 차이를 먼저 확인해 보시기 바랍니다.
부패방지와 준법경영은 문서를 갖추는 일이 아니라 의사결정이 이루어지는 지점에 통제를 넣는 일입니다. 전환 기한은 그 체계를 점검할 계기일 뿐이고, 심사에서 확인되는 것은 결국 리스크가 높은 거래에서 실제로 무엇을 했는가입니다.
공식 근거 및 참고자료
- ISO 37001 부패방지경영시스템 공식 안내
- ISO 37301:2021 준법경영시스템 공식 안내
- ISO 37301:2021/Amd 1:2024 — Climate action changes
- Standards Council of Canada — ISO 37001:2025 전환 공지
- 통합경영시스템(IMS)이란? — HLS 기반 표준 통합의 원리
- ISO 인증이란? — 인증의 구조와 인정체계
본 글은 2026년 8월 12일 확인한 ISO 공개자료와 인정기구 전환 공지를 바탕으로 작성한 실무 안내입니다. 전환 기한과 세부 적용 조건은 인증서를 발행한 인증기관과 해당 인정기구의 공지를 기준으로 확인하시기 바랍니다.
ISO 인증 전문가 상담이 필요하신가요?
ISO 인증기관 KAI인증원에 무료로 상담받으세요.
자주 묻는 질문
ISO 37001은 어떤 표준이고 청탁금지법 준수와 무엇이 다른가요?
ISO 37001은 조직이 뇌물 리스크를 식별하고 통제하는 경영시스템의 국제 표준입니다. 청탁금지법은 국내 법령상의 준수 의무이고, ISO 37001은 그 의무를 포함한 부패 리스크를 관리하는 체계가 설계·운영·점검되고 있는지를 제3자가 심사하는 구조입니다. 법을 지키고 있다는 사실만으로 ISO 37001 요구사항이 충족되지는 않습니다.
ISO 37001과 ISO 37301은 어떻게 다르고 둘 다 받아야 하나요?
ISO 37001은 뇌물에 한정된 표준이고, ISO 37301은 법규·규제·계약·내부규정·윤리기준을 포함한 준법의무 전반을 대상으로 합니다. 부패 리스크가 핵심 이슈라면 37001만으로 충분한 경우가 많고, 준법 관리 범위가 넓은 금융·공공·규제산업에서는 37301을 상위 체계로 두고 37001을 결합하는 구성이 사용됩니다.
ISO 37001:2025 개정으로 기존 인증서는 언제까지 전환해야 하나요?
ISO 37001:2025는 2025년 2월에 발행되었고, 국제 인정기구와 인증기관이 공지한 전환 기간은 발행 후 2년, 즉 2027년 2월까지입니다. 그 시점까지 전환심사를 받지 않은 ISO 37001:2016 인증서는 효력을 유지할 수 없습니다.
ISO 37001:2025에서 실제로 바뀐 내용은 무엇인가요?
경영시스템 표준 공통의 조화된 상위구조가 반영되었고, 기후변화 관련 조항이 추가되었으며, 기존 '부패방지 준수기능'의 명칭과 역할·운영 독립성이 정리되었습니다. 이해상충을 식별하고 관리하는 지침도 구체화되었습니다. 요구사항의 근본 구조가 바뀐 개정은 아니지만 전환심사는 별도로 받아야 합니다.
ISO 37001 인증 비용과 기간은 어떻게 결정되나요?
표준마다 정해진 정액이 아니라 심사일수 산정 결과로 결정됩니다. 유효인원 수, 사업장 수, 조직이 노출된 부패 리스크 수준, 인증범위에 포함되는 활동이 주요 변수입니다. 이미 ISO 9001 등 다른 경영시스템 인증을 보유한 조직이 통합심사로 진행하면 단독 인증보다 심사일수를 줄일 수 있습니다.
ISO 9001을 이미 운영 중이면 ISO 37001을 통합할 수 있나요?
가능합니다. 두 표준 모두 조화된 상위구조를 따르므로 조직상황, 리더십, 기획, 지원, 운용, 성과평가, 개선의 골격이 같습니다. 문서체계, 내부심사, 경영검토, 시정조치 프로세스를 공유하고 부패 리스크 평가와 실사, 신고·조사 절차를 추가하는 방식이 일반적입니다.
