ISO 37001 부패방지 교육 7.3 | 대상·주기·효과성 평가

ISO 37001:2025의 부패방지 교육은 모든 임직원에게 같은 내용을 매년 한 번 제공하는 방식이 아닙니다. 7.3은 인원의 인식, 인원 대상 교육, 특정 비즈니스 관련자 대상 교육, 그리고 입사 시점부터 계획된 주기로 운영하는 인식·교육 프로그램을 구분합니다. 실무에서는 부패 리스크 평가 → 교육대상 구분 → 역할·리스크별 교육내용 설계 → 교육실시 → 이해·적용수준 확인 → 개선으로 운영하는 것이 효과적입니다.

ISO 37001:2025
ISO 37001 부패방지 교육
7.3 인식·교육
교육주기
비즈니스 관련자
교육 효과성

1. ISO 37001:2025 7.3은 어떻게 구성되는가

조항	공식 요구사항의 핵심
7.3.1	인원이 부패방지 방침·절차·시스템, 자신의 기여, 미준수의 영향, 신고의 이점과 신고방법을 인식하도록 해야 합니다.
7.3.2	인원에게 적절하고 충분한 부패방지 교육을 제공하고, 부패 리스크 평가 결과를 고려해 교육내용을 정해야 합니다.
7.3.3	조직을 대신하거나 조직의 이익을 위해 활동하면서 조직에 중간 이상의 부패 리스크를 초래할 수 있는 비즈니스 관련자에 대해 교육절차를 운영해야 합니다.
7.3.4	인원에게 입사 시점부터 역할·노출 리스크·상황변화에 적합하도록 계획된 주기로 인식과 교육을 제공하고, 프로그램도 필요에 따라 계획된 주기로 갱신해야 합니다.

2025년판은 7.3을 네 개의 세부조항으로 구분합니다.
2016년판의 단일 7.3 구조보다 인식, 인원교육, 비즈니스 관련자 교육, 프로그램 운영이 보다 명확하게 나뉘어 있습니다.

2. 7.3.1 인식은 ‘교육 이수’와 다릅니다

인식은 교육을 들었다는 사실이 아니라 임직원이 자신의 역할에서 필요한 부패방지 기준과 행동방법을 실제로 알고 있는 상태를 의미합니다.

인식해야 할 내용	실무 의미
부패방지 방침·절차·시스템	어떤 기준을 따라야 하는지 알고 있어야 합니다.
자신의 기여	본인의 행동이 부패방지경영시스템의 효과성에 어떤 영향을 주는지 이해해야 합니다.
미준수의 영향	부패방지 요구사항을 따르지 않을 경우의 결과를 인식해야 합니다.
신고의 이점	의심되는 부패를 알리는 것이 왜 중요한지 이해해야 합니다.
신고방법	어디에, 누구에게, 어떤 방식으로 우려사항을 제기할 수 있는지 알아야 합니다.

7.3.1은 인식 프로그램의 내용과 제공 시점·대상에 관한 문서화된 정보를 유지하도록 요구합니다.

3. 7.3.2 인원 교육은 부패 리스크 평가와 연결해야 합니다

인원 교육은 부패 리스크 평가 결과를 고려하여 직무와 리스크에 적합하게 구성해야 합니다. 공식 요구사항은 교육에 다음과 같은 내용을 적절히 포함하도록 합니다.

교육내용	실무 적용
적용 방침·절차	부패방지 방침, 승인절차, 신고절차 등 실제 업무기준을 교육합니다.
부패 리스크와 피해	부패가 개인과 조직에 미치는 손실과 영향을 설명합니다.
직무에서 발생 가능한 상황	영업·구매·재무·인허가 등 직무별 리스크 상황을 설명합니다.
뇌물 요구·제안 대응	요구 또는 제안을 인식하고 거절·보고하는 방법을 교육합니다.
위험신호	주요 부패 리스크 지표와 예방·회피 방법을 설명합니다.
교육·지원 자원	추가 문의, 상담, 내부자료, 신고채널 등 이용 가능한 자원을 안내합니다.

조직은 교육절차, 교육내용, 교육시점과 교육대상에 관한 문서화된 정보를 유지해야 합니다.

4. 모든 임직원에게 동일한 교육을 할 필요는 없습니다

교육은 역할과 노출되는 부패 리스크에 비례해야 합니다. 예를 들어 공무원 접점이 많거나 대리점·중개인·협력업체를 관리하는 직무는 일반 사무직보다 구체적인 사례와 승인·신고절차가 필요할 수 있습니다.

대상	교육수준 예시
일반 임직원	방침, 기본 금지행위, 신고채널, 핵심 행동기준 중심
영업·구매·재무 등 고위험 직무	직무별 사례, 선물·접대, 제3자, 비용·지급, 승인절차 중심
관리자	의사결정, 예외승인, 신고대응, 조직문화 책임까지 포함
부패방지 기능	리스크 평가, 실사, 조사, 통제설계 등 역할 수행에 필요한 심화역량

교육의 형식과 수준에 관한 위 구분은 실무 예시입니다.
Annex A.9는 역할과 리스크에 따라 교육내용을 달리할 수 있다고 안내하지만, 특정 직급별 교육시간이나 고정 커리큘럼을 직접 요구하지 않습니다.

5. 7.3.3 비즈니스 관련자 교육은 모든 공급업체에 적용되는가

아닙니다. 7.3.3은 부패 리스크 평가 결과를 고려하여, 조직을 대신하거나 조직의 이익을 위해 활동하고 조직에 중간 이상의 부패 리스크를 초래할 수 있는 비즈니스 관련자를 대상으로 합니다.

비즈니스 관련자 식별 → 조직을 대신하거나 이익을 위해 활동하는지 확인 → 부패 리스크 판단 → 교육 필요대상 선정 → 내용·방법 결정 → 교육실시 → 기록 유지

대상 예시	검토 포인트
대리점·중개인	조직을 대신해 고객·공공기관 등과 접촉하는가?
컨설턴트·에이전트	계약수주·인허가·정부관계 활동 등에 관여하는가?
외주업체	조직의 이익을 위해 고위험 활동을 수행하는가?
일반 공급업체	단순 납품관계인지, 조직에 중간 이상의 부패 리스크를 초래할 수 있는지 구분합니다.

교육이 필요한 비즈니스 관련자에 대해서는 대상, 교육내용, 교육방법을 정하고, 교육절차·내용·시점·대상에 관한 문서화된 정보를 유지해야 합니다.

6. 비즈니스 관련자 교육은 누가 실시할 수 있는가

7.3.3의 주석은 비즈니스 관련자 교육 요구사항을 계약 또는 유사한 요구사항을 통해 전달할 수 있으며, 실제 교육은 조직, 비즈니스 관련자 또는 지정된 제3자가 수행할 수 있다고 설명합니다.

운영방식	실무 적용
조직 직접 교육	고위험 대리점·중개인에게 회사 정책과 주요 통제를 직접 교육합니다.
비즈니스 관련자 자체 교육	계약조건으로 최소 교육내용과 이수요건을 정하고 자체 실시하게 할 수 있습니다.
외부 전문기관 활용	다국가·다언어 교육 등에서 지정 전문기관을 활용할 수 있습니다.

7. 7.3.4 교육주기는 ‘연 1회’로 고정되어 있지 않습니다

인원은 입사 시점부터 교육을 받아야 하며, 이후에는 조직이 정한 계획된 주기에 따라 역할, 노출되는 부패 리스크, 변화된 상황에 맞게 교육을 받아야 합니다. 프로그램 역시 새로운 관련정보를 반영할 필요가 있는 경우 계획된 주기로 갱신해야 합니다.

입사·배치 → 초기 인식·교육 → 정기 교육 → 직무·리스크 변화 → 추가·보완 교육 → 프로그램 갱신

따라서 “모든 임직원 연 1회”는 회사가 선택할 수 있는 운영방식일 수 있지만 ISO가 정한 고정주기는 아닙니다.

Annex A.9의 교육방식과 빈도는 가이드입니다.
온라인교육, 대면교육, 워크숍, 라운드테이블, 일대일 교육 등의 방식과 고위험 대상에 대한 대면교육 권고는 Annex의 정보 제공용 지침입니다. 직접 요구사항과 구분해야 합니다.

8. 교육 효과성은 어떻게 평가해야 하는가

7.3 자체는 모든 교육에 대해 특정한 효과성 평가방법을 직접 규정하지 않습니다. 다만 7.2.1은 필요한 역량을 확보하기 위해 취한 조치의 효과성을 평가하도록 요구합니다. 또한 경영시스템의 실제 운영을 위해서는 교육이 행동과 통제수행에 연결되는지 확인하는 것이 실무적으로 중요합니다.

평가방법 예시	확인하려는 내용
퀴즈·시험	핵심 방침·절차·위험신호를 이해했는지 확인합니다.
사례형 질문	실제 상황에서 적절한 행동을 선택할 수 있는지 봅니다.
현업 확인	승인·신고·실사 절차를 실제 업무에서 적용하는지 확인합니다.
교육 전후 비교	지식·인식·판단능력이 개선되었는지 참고합니다.
위반·문의 데이터	반복되는 오류나 질문을 통해 교육 보완영역을 찾습니다.

위 평가방법은 Greystone Insights의 실무 예시입니다.
특정 점수기준, 합격률, 재교육 횟수는 ISO가 정한 고정값이 아닙니다. 회사는 직무와 부패 리스크에 맞는 방법을 정해야 합니다.

9. 교육 증빙은 무엇을 남겨야 하는가

구분	증빙 예시
인식 프로그램	인식자료, 제공대상, 제공시점, 안내기록
인원 교육	교육절차, 교육안, 교재, 대상자, 일시, 이수기록
비즈니스 관련자 교육	대상선정 근거, 계약조건, 교육내용, 제공방법, 이수자료
프로그램 갱신	개정이력, 법규·리스크·사건 변화 반영자료
효과성 확인	퀴즈, 설문, 사례평가, 현업 확인자료 등 회사가 선택한 평가기록

10. 부패 리스크 평가와 교육계획은 직접 연결되어야 합니다

교육대상과 내용은 교육부서의 관행만으로 정하기보다 4.5 부패 리스크 평가 결과와 연결하는 것이 중요합니다.

부패 리스크 평가 → 고위험 직무·활동·비즈니스 관련자 식별 → 교육대상·내용·주기 설계 → 교육실시 → 이해·적용 확인 → 리스크·교육계획 재검토

이 연결을 구축하면 교육은 단순한 전사 공통교육에서 벗어나 실제 부패 노출에 대응하는 통제로 기능하게 됩니다.

11. 자주 발생하는 미흡사항과 개선방법

미흡사항	문제점	개선방법
모든 임직원에게 동일 교육	직무별 부패 리스크가 반영되지 않습니다.	일반교육과 고위험 직무 교육을 구분합니다.
연 1회 교육만 반복	직무·리스크·법규 변화가 즉시 반영되지 않을 수 있습니다.	계획된 주기와 수시교육 조건을 함께 정합니다.
모든 공급업체에 동일한 교육요구	7.3.3의 실제 적용기준보다 범위를 과도하게 확대합니다.	조직을 대신하거나 이익을 위해 활동하며 more-than-low 리스크를 초래할 수 있는 대상을 식별합니다.
교육 이수율만 관리	이해와 실제 행동변화를 확인하기 어렵습니다.	고위험 교육은 사례형 평가·현업 확인 등을 병행합니다.
교육기록 부족	무엇을 누구에게 언제 제공했는지 추적하기 어렵습니다.	절차·내용·대상·시점 중심으로 문서화된 정보를 유지합니다.

12. 실무 체크포인트

인원이 부패방지 방침·절차·신고방법과 자신의 역할을 인식하고 있습니까?
교육내용이 4.5 부패 리스크 평가 결과를 반영하고 있습니까?
직무와 노출 리스크에 따라 교육내용을 차등화하고 있습니까?
입사 시점부터 필요한 부패방지 인식과 교육을 제공합니까?
교육주기를 회사가 계획하고 역할·리스크·상황변화에 따라 조정합니까?
비즈니스 관련자 교육대상을 7.3.3의 실제 적용기준에 따라 선정하고 있습니까?
교육절차·내용·시점·대상에 관한 문서화된 정보를 유지합니까?
새로운 법규·리스크·사건 정보를 반영해 교육프로그램을 갱신합니까?
고위험 교육은 이해도와 실제 적용수준을 확인하고 있습니까?

Greystone Insights 관점

ISO 37001 부패방지 교육의 핵심은 교육 횟수나 이수율이 아니라 부패 리스크에 맞는 사람이 필요한 내용을 이해하고 실제 업무에서 올바르게 행동할 수 있는가입니다. 모든 임직원에게 같은 교육을 반복하면 형식은 갖출 수 있지만 고위험 거래와 직무에서 필요한 판단능력을 충분히 만들기 어렵습니다.

실무에서는 리스크 평가 → 대상선정 → 역할별 교육 → 교육실시 → 이해·적용 확인 → 개선을 하나의 주기로 운영하는 것이 효과적입니다. 특히 비즈니스 관련자 교육은 모든 거래처에 일률적으로 확대하기보다 조직을 대신하거나 조직의 이익을 위해 활동하고 부패 리스크가 중간 이상의 대상을 정확히 식별하는 것이 중요합니다.

공식자료

ISO 37001:2025 — Anti-bribery management systems — Requirements with guidance for use