ISO publicó la segunda edición de ISO 37001 en febrero de 2025. Para leer qué cambió sin agregar requisitos, el documento rector de transición es IAF MD 30:2025. Allí se enumeran los cambios principales y se fija el calendario que deben seguir los organismos de acreditación y de certificación alcanzados por el acuerdo IAF MLA.
Qué cambió según el documento obligatorio de transición
| Cambio enumerado por IAF | Lectura auditora |
|---|---|
| Subcláusulas sobre cambio climático y énfasis en cultura de cumplimiento | Verificar pertinencia, responsabilidades, conducta observada y coherencia entre mensajes, incentivos y controles. |
| Tratamiento de conflictos de interés | Examinar identificación, declaración, evaluación, tratamiento y seguimiento de situaciones concretas. |
| Aclaración de la función antisoborno | Distinguir independencia, autoridad, acceso y responsabilidades reales de una designación nominal. |
| Armonización del texto con otras normas | Integrar procesos comunes sin borrar los riesgos y controles específicos del sistema antisoborno. |
| Adopción de la estructura armonizada más reciente | Actualizar el sistema y su evidencia sobre la edición vigente, no sólo renumerar documentos. |
IAF MD 30 no presenta como cambios una ampliación general de categorías de terceros ni un requisito explícito sobre soborno facilitado por inteligencia artificial. Esos riesgos pueden ser pertinentes en una evaluación concreta, pero no deben atribuirse a la edición 2025 sin soporte del texto normativo aplicable.
Actualizar un sistema exige leer el cambio real. Inventar una novedad también es una falla de cumplimiento.
La transición acreditada tiene fechas precisas
IAF MD 30 establece que la certificación inicial y la recertificación acreditadas deben realizarse únicamente contra ISO 37001:2025, como máximo, desde el 31 de agosto de 2026. La transición de los clientes certificados debe completarse el 28 de febrero de 2027, mediante auditoría programada —por ejemplo, vigilancia o recertificación— o una auditoría especial de transición. Las certificaciones acreditadas de la edición anterior dejan de ser válidas después de esa fecha.
El tiempo adicional de auditoría no es universal. El organismo de certificación debe determinarlo y justificarlo según los cambios del sistema y el modo en que realice la transición. El calendario es común; la duración de la evaluación depende de evidencia y contexto.
Ley 27.401
Condiciones para la exención de responsabilidad penal
La Ley 27.401 establece responsabilidad penal para personas jurídicas por los delitos incluidos en su artículo 1. El artículo 8 enumera factores para graduar la pena, entre ellos reglas y procedimientos internos, vigilancia, denuncia espontánea, comportamiento posterior y reparación. El artículo 9 regula otra cuestión: la exención de pena y responsabilidad administrativa.
Para que opere esa exención deben concurrir simultáneamente tres circunstancias: denuncia espontánea derivada de una actividad propia de detección e investigación; un sistema adecuado de control y supervisión, implementado antes del hecho y en los términos de los artículos 22 y 23; y devolución del beneficio indebido. Un sistema certificado puede aportar evidencia sobre su diseño y operación, pero la ley no exige ISO 37001 ni convierte el certificado en exención automática.
Qué conviene cerrar ahora
Si la organización está certificada contra la edición 2016, debe obtener de su organismo el plan de transición, la fecha de auditoría y el tiempo previsto; después, mapear los cinco grupos de cambios de IAF contra controles y registros reales. Si utiliza ISO 37001 como apoyo a su programa de integridad, debe mantener una matriz separada entre requisitos de la norma y exigencias de la Ley 27.401. La trazabilidad protege más que la equivalencia apresurada.
Inventar una novedad normativa también es una falla de cumplimiento.
Fernando Arrieta
