ISO 37001 untuk GLC dan Pembekal Kerajaan: Seksyen 17A

Jika syarikat anda membekalkan syarikat berkaitan kerajaan, membida tender kerajaan, atau berada dalam rantaian pembekal projek PETRONAS, anda mungkin sudah pernah mendengar istilah "Seksyen 17A" daripada pegawai perolehan atau borang pematuhan. Ia merujuk kepada perubahan dalam undang-undang Malaysia yang menjadikan syarikat, bukan sekadar individu, bertanggungjawab secara jenayah atas rasuah yang dilakukan bagi pihak mereka, dan ini adalah sebab tunggal terbesar mengapa permintaan ISO 37001 telah berubah daripada "elok jika ada" kepada "syarat kontrak" dalam beberapa tahun kebelakangan ini. Artikel ini menerangkan apa yang berubah, apa yang dikehendaki undang-undang daripada syarikat anda, dan bagaimana pensijilan ISO 37001 menyokong pembelaan undang-undang yang kini anda perlukan.

Apa yang diubah oleh Seksyen 17A

Seksyen 17A Akta Suruhanjaya Pencegahan Rasuah Malaysia (SPRM) 2009 berkuat kuasa pada 1 Jun 2020. Sebelum peruntukan ini, pendakwa raya secara amnya perlu membuktikan bahawa pengarah atau pengurusan kanan syarikat secara peribadi mengarahkan atau mengetahui perbuatan rasuah tersebut sebelum syarikat itu sendiri boleh dipertanggungjawabkan. Seksyen 17A mengubah keadaan ini: sebuah organisasi komersial kini boleh dipertanggungjawabkan secara jenayah jika seseorang yang berkaitan dengannya, seorang pekerja, ejen, atau malah wakil pihak ketiga yang bertindak bagi pihaknya, memberi atau menawarkan rasuah dengan niat untuk memperoleh atau mengekalkan perniagaan atau kelebihan perniagaan bagi organisasi itu. Yang penting, pihak pendakwaan tidak perlu membuktikan kepimpinan syarikat mengetahui perbuatan khusus tersebut. Liabiliti boleh terpakai kepada organisasi itu sendiri, dan seterusnya kepada pengarah dan pengawalnya, melainkan syarikat dapat menunjukkan ia mempunyai prosedur mencukupi untuk mencegah perbuatan tersebut.

Pembelaan prosedur mencukupi dan T.R.U.S.T.

Perkara terakhir itulah yang paling penting bagi perniagaan anda. Seksyen 17A menyediakan pembelaan berkanun: sebuah organisasi komersial tidak bertanggungjawab jika ia dapat membuktikan ia mempunyai "prosedur mencukupi" yang direka untuk mencegah orang yang berkaitan dengannya daripada terlibat dalam rasuah. Garis panduan kerajaan Malaysia menerangkan prosedur mencukupi ini menggunakan lima prinsip, biasa dikenali sebagai T.R.U.S.T.:

• T — Top Level Commitment (Komitmen Peringkat Atasan): kepimpinan komited secara nyata terhadap anti-rasuah dan menetapkan nada daripada atasan, bukan sekadar polisi bertandatangan dalam laci.
• R — Risk Assessment (Penilaian Risiko): organisasi mengenal pasti dan menilai risiko rasuah sebenarnya, berbanding menerima pakai polisi generik yang mengabaikan pendedahan sebenarnya.
• U — Undertake Control Measures (Menjalankan Langkah Kawalan): kawalan berkadar dilaksanakan, meliputi perkara seperti hadiah dan keraian, pembayaran fasilitasi, dan usaha wajar pihak ketiga.
• S — Systematic Review, Monitoring and Enforcement (Kajian Semula, Pemantauan dan Penguatkuasaan Sistematik): prosedur sebenarnya dipantau, dikaji semula secara berkala, dan dikuatkuasakan apabila dilanggar, bukan disimpan selepas ditulis.
• T — Training and Communication (Latihan dan Komunikasi): kakitangan dan pihak ketiga berkaitan memahami polisi dan tahu cara membangkitkan kebimbangan.

Sistem pengurusan anti-rasuah ISO 37001 adalah, pada praktiknya, cara yang paling diiktiraf dan boleh diaudit untuk menunjukkan kelima-lima prinsip T.R.U.S.T. benar-benar dilaksanakan, kerana badan pensijilan mengesahkan sistem secara bebas berbanding hanya menerima kata-kata syarikat.

Apa yang sebenarnya diliputi ISO 37001

ISO 37001 menetapkan keperluan bagi sistem pengurusan yang direka untuk membantu organisasi mencegah, mengesan, dan menangani rasuah. Pada praktiknya, melaksanakannya bermakna meletakkan perkara berikut:

1. Penilaian risiko rasuah, meliputi cara khusus operasi, pasaran, dan hubungan pihak ketiga syarikat anda boleh mendedahkannya kepada risiko rasuah.
2. Usaha wajar terhadap rakan perniagaan, terutamanya ejen, pengedar, rakan kongsi usaha sama, dan pihak ketiga lain yang bertindak bagi pihak syarikat, kerana liabiliti Seksyen 17A merangkumi perbuatan mereka.
3. Kawalan, termasuk polisi hadiah dan keraian, sekatan atau larangan ke atas pembayaran fasilitasi, dan kawalan kewangan yang menyukarkan rasuah disembunyikan.
4. Latihan, supaya kakitangan di setiap peringkat mengenali risiko rasuah dan mengetahui jangkaan syarikat, bukan sekadar pengurusan kanan.
5. Saluran pelaporan, termasuk cara untuk membangkitkan kebimbangan secara sulit, dan proses berdokumen untuk menyiasat serta bertindak balas terhadap laporan.

Siapa yang memintanya

Permintaan untuk ISO 37001 di Malaysia tertumpu kepada set pembeli tertentu: syarikat berkaitan kerajaan yang menurunkan keperluan ini kepada pangkalan pembekal mereka, PETRONAS dan ekosistem pembekalnya, kontraktor yang membida tender kerajaan dan badan berkanun, dan semakin banyak syarikat swasta yang mahukan perlindungan yang sama yang diberikan Seksyen 17A kepada GLC untuk diperluaskan ke rantaian bekalan mereka sendiri. Jika pasukan perolehan pelanggan anda sudah mula meminta dokumen polisi anti-rasuah, seorang pegawai pematuhan yang dinamakan, atau bukti usaha wajar terhadap pembekal anda sendiri, itu biasanya isyarat awal bahawa pensijilan ISO 37001, berbanding polisi tidak formal, akan menjadi keperluan sebenar dalam satu atau dua kitaran tender.

Langkah pelaksanaan dan garis masa

Projek ISO 37001 secara amnya mengikuti lima fasa yang sama seperti mana-mana pensijilan sistem pengurusan: penilaian risiko rasuah dan analisis jurang, dokumentasi polisi dan kawalan anti-rasuah, pelaksanaan dan latihan kakitangan, audit dalaman dan kajian semula pengurusan, dan akhirnya audit pensijilan itu sendiri. Bagi syarikat satu tapak tanpa rangka kerja pematuhan sedia ada, tiga hingga enam bulan daripada analisis jurang hingga sijil adalah biasa, serupa dengan ISO 9001. Syarikat yang sudah memegang ISO 9001 atau sijil sistem pengurusan lain biasanya bergerak lebih pantas, kerana klausa sistem pengurusan asas, komitmen kepimpinan, dokumentasi terkawal, audit dalaman, sudah dibina dan hanya perlu diperluaskan untuk meliputi risiko khusus rasuah.

Kesilapan biasa

Kesilapan paling biasa ialah menganggap ISO 37001 sebagai latihan menulis polisi berbanding sistem yang benar-benar hidup: polisi anti-rasuah yang ditulis dengan cantik tanpa penilaian risiko di sebaliknya, tiada rekod usaha wajar terhadap pihak ketiga, dan tiada bukti latihan tidak akan memuaskan badan pensijilan, dan lebih penting lagi tidak akan bertahan sebagai pembelaan prosedur mencukupi jika syarikat itu pernah disiasat. Kesilapan biasa kedua ialah mengehadkan skop usaha wajar terlalu sempit, hanya meliputi kontrak pelanggan langsung dan mengabaikan ejen, subkontraktor, dan rakan kongsi usaha sama yang sama-sama mampu mencetuskan liabiliti Seksyen 17A bagi pihak syarikat.

Soalan Lazim

Adakah ISO 37001 diwajibkan secara undang-undang di bawah Seksyen 17A? Tidak. Seksyen 17A tidak menamakan ISO 37001 secara khusus, tetapi pensijilan adalah cara yang paling diiktiraf dan diaudit secara bebas untuk menunjukkan pembelaan prosedur mencukupi, dan banyak pembeli GLC serta kerajaan kini menganggapnya sebagai bukti praktikal yang mereka jangkakan.

Adakah Seksyen 17A terpakai kepada syarikat kecil juga? Ya. Undang-undang ini terpakai kepada organisasi komersial dalam apa jua saiz yang menjalankan perniagaan di Malaysia, dan pembekal lebih kecil dalam rantaian pembekal GLC semakin kerap diminta menunjukkan pematuhan, kerana pembeli lebih besar menurunkan keperluan ini ke seluruh rantaian bekalan mereka.

Bagaimana ISO 37001 berbeza daripada ISO 9001? ISO 9001 menguruskan kualiti dan kepuasan pelanggan; ISO 37001 khusus menguruskan risiko rasuah. Ramai syarikat melaksanakan kedua-duanya bersama kerana mereka berkongsi struktur sistem pengurusan yang sama, yang memendekkan garis masa dan kos gabungan.

Bolehkah pengarah masih bertanggungjawab secara peribadi jika syarikat sudah disijilkan? Pensijilan menyokong pembelaan prosedur mencukupi syarikat, tetapi pengarah dan pengawal masih memikul tanggungjawab peribadi di bawah Akta SPRM. Pensijilan adalah bukti kukuh sistem yang berfungsi, bukan jaminan terhadap setiap senario.

Langkah seterusnya

Jika pelanggan, tender, atau pasukan perolehan GLC sudah membangkitkan Seksyen 17A atau ISO 37001 dengan anda, langkah praktikal seterusnya ialah penilaian risiko rasuah yang diskopkan kepada hubungan perniagaan sebenar anda. Tempah rundingan percuma dan seorang perunding akan menyemak seperti apa pembelaan prosedur mencukupi bagi syarikat anda. Untuk melihat keperluan penuh standard ini, layari halaman pensijilan ISO 37001 kami.