ISO 37001 부패방지경영시스템 대상, 공공기관만의 인증이 아닙니다

ISO 37001 부패방지경영시스템 대상은 업종이나 조직 형태로 정해지지 않습니다. 공공기관 전용 제도라는 설명이 널리 퍼져 있지만, 표준 자체는 규모와 공공·민간·비영리를 가리지 않고 뇌물위험을 관리하려는 모든 조직에 열려 있습니다. 판단해야 할 것은 "우리가 받을 자격이 있는가"가 아니라 "인증서에 어느 범위를 적을 것인가"입니다.

이 오해에는 출처가 있습니다. 국내 인증기관 안내 페이지들이 서로 다른 폭으로 대상을 적어 두었기 때문입니다. 아래에서 그 차이가 어디서 갈리는지부터 풀겠습니다.

공공기관용이라는 안내는 어디서 나온 것인가요?

두 기관의 소개 문구를 나란히 놓으면 차이가 바로 보입니다.

한국표준협회의 ISO 37001 안내는 인증대상을 "정부기관 및 공공부문, 정책평가 기관"으로 한 줄만 적습니다. 같은 페이지에서 규격 자체는 "모든 분야에 적용가능한 요구사항을 규정한 국제규격"이라고 설명하는데도 그렇습니다.

한국품질재단의 안내는 훨씬 넓게 봅니다. 공공기관·지방자치단체·공기업의 청렴도, 대기업과 협력사의 반부패 정책, 해외 거래에서 요구되는 미국 FCPA·영국 뇌물법 준수, 내부 신고와 대금 지급 같은 고위험 거래 관리까지 다섯 갈래를 도입 상황으로 제시합니다.

같은 규격을 두고 안내가 갈리는 이유는 각 기관이 주로 상대하는 고객층이 다르기 때문입니다. 소개 문구를 자격 요건으로 읽으면 안 됩니다. 표준은 1977년 미국 FCPA에서 시작된 국제 반부패 흐름의 결과물이고, 국제투명성기구 정회원 37개국과 OECD가 참여해 2016년 10월 15일에 제정됐습니다. 특정 부문을 위해 만들어진 규격이 아닙니다.

우리 조직이 대상인지 어떻게 판단하나요?

받을 수 있는지를 묻는 대신, 세 갈래로 나눠 어느 경로에 서 있는지를 보시면 됩니다.

첫 분기는 인증을 요구하는 쪽이 있는가입니다. 요구하는 쪽이 있으면 그쪽이 지정한 조건이 곧 대상 요건이 됩니다. 요구가 없으면 뇌물위험이 실제로 어디에 있는지가 판단 기준이 됩니다.

세 갈래 모두에서 판단이 갈리는 지점은 같습니다. 조직 전체를 넣을 것인지, 위험이 몰린 일부만 넣을 것인지입니다.

인증서에 적히는 대상은 조직이 아니라 범위입니다

여기가 실무에서 가장 자주 어긋나는 대목입니다. ISO 37001은 조직을 통째로 인증하는 구조가 아닙니다.

한국표준협회가 공개한 요구사항 목록을 보면 4.3항이 "반부패경영시스템 적용범위 결정"입니다. 그 바로 뒤 4.5항은 "부패리스크 평가"입니다. 순서에 뜻이 있습니다. 어디까지를 대상으로 삼을지 정한 다음, 그 안의 위험을 평가하는 흐름입니다.

범위를 정하고 나면 나머지 요구사항이 그 범위 안에서만 작동합니다. 8.2항의 실사 의무, 8.7항의 선물·접대·기부 관리, 9.4항의 반부패 준수기능 검토가 그렇습니다. 범위를 좁게 잡으면 준비할 증거는 줄지만, 인증서를 받아도 요구한 쪽이 원한 부분이 빠져 있을 수 있습니다.

발주처가 요구하는 것은 "우리 회사의 인증"이 아니라 "그 계약을 수행하는 조직의 인증"인 경우가 많습니다. 범위를 확정하기 전에 요구 문서의 문구를 먼저 확인하시는 편이 안전합니다.

인증기관은 어디까지 고를 수 있나요?

대상 판단이 끝나면 어느 인증기관에 맡길지가 남습니다. 선택지는 생각보다 좁습니다.

한국인정평가원의 인정 인증기관 목록을 보면 ISO 37001(ABMS) 스킴으로 인정받은 인증기관은 22개입니다. 다른 스킴과 비교하면 규모가 짐작됩니다.

목록에는 한국품질재단, 한국표준협회, 한국공정경쟁연합회 부설 한국컴플라이언스기준원처럼 성격이 다른 기관이 함께 들어 있습니다. 요구하는 쪽이 인정체계를 지정했다면 그 조건에 맞는 기관인지부터 대조하셔야 합니다.

ISO 37301(CMS) 인정기관이 18개로 비슷한 규모라는 점도 참고가 됩니다. 두 규격을 함께 준비할 계획이라면 양쪽 스킴을 모두 가진 기관인지 먼저 확인하는 편이 일정을 줄입니다.

2025판 전환은 대상 판단에 무엇을 바꾸나요?

규격이 개정되면서 기존 인증도 새 판으로 옮겨야 합니다. 한국인정평가원은 2025년 11월 3일 "부패방지경영시스템 인정의 ISO 37001:2025 전환지침 제정 공고"를 올렸습니다.

지금 새로 준비하는 조직에는 이 개정이 오히려 단순합니다. 처음부터 2025판을 기준으로 범위와 위험평가를 설계하면 되기 때문입니다. 전환 부담은 이미 옛 판으로 인증을 받아 둔 조직에 생깁니다.

전환 일정과 적용 조건은 인정기관 공고와 발행 인증기관의 안내가 기준입니다. 인증기관마다 심사 프로그램이 달라 남은 사후심사 일정에 맞춰 붙이는 방식이 서로 다릅니다.

앞으로 무엇이 달라질까요

공급망 실사와 ESG 평가가 넓어지면서, 인증을 요구하는 쪽이 공공 발주처에서 민간 원청과 해외 고객으로 옮겨 가고 있습니다. 요구 문구도 "인증 보유"에서 "어떤 범위로 인증받았는지"로 구체화되는 흐름입니다. 대상 판단을 조직 형태가 아니라 범위로 잡아 두면 이 변화에 그대로 대응됩니다.

지금 정리해 두시면 좋은 것은 세 가지입니다. 인증을 요구하는 문서의 정확한 문구, 뇌물위험이 몰린 법인·사업장·활동, 그리고 그 범위에서 이미 굴러가고 있는 통제 기록입니다.

함께 검토되는 인접 제도는 아래와 같습니다.

• ISO 37001 부패방지경영시스템 — 이 글에서 다룬 인증의 요건과 절차
• ISO 37301 규범준수경영시스템 — 법규 준수 전반을 다루며 통합 구축이 가능한 규격
• SMETA 윤리감사 — 공급망 요구에 인증 대신 감사로 대응하는 경로
• ISO 26000 사회적 책임 지침 — 인증 대상이 아닌 지침 문서라 성격이 다른 제도

받으실 요구 문서의 문구를 알려 주시면, 어느 범위까지 인증 대상으로 잡아야 하는지 함께 좁혀 드리겠습니다.