Los requisitos de la ISO 37001 están en las cláusulas 4 a 10. En una auditoría se revisa evidencia: la evaluación de riesgo de soborno, la política, la designación y autoridad de la función de cumplimiento, la diligencia debida sobre personal y terceros, los controles financieros y no financieros, el canal de denuncias, las investigaciones, la auditoría interna y la revisión por la dirección y el órgano de gobierno.
- 01Contexto (4)evaluación del riesgo de soborno por proceso, país y relación.
- 02Liderazgo (5)órgano de gobierno, alta dirección y función de cumplimiento con independencia.
- 03Planificación (6)objetivos antisoborno y acciones frente a riesgos.
- 04Apoyo (7)diligencia debida sobre personal, formación y comunicación.
- 05Operación (8)diligencia debida de terceros, controles, regalos, denuncias e investigaciones.
- 06Evaluación (9) y mejora (10)auditoría interna, revisiones y acciones correctivas.
Cómo leer los requisitos
Cada requisito se traduce en una pregunta verificable: ¿qué registro muestra que este tercero fue evaluado antes de contratarlo y que este pago tuvo la aprobación correspondiente?
Requisito por requisito
- Contexto (4): evaluación del riesgo de soborno por proceso, país y relación.
- Liderazgo (5): órgano de gobierno, alta dirección y función de cumplimiento con independencia.
- Planificación (6): objetivos antisoborno y acciones frente a riesgos.
- Apoyo (7): diligencia debida sobre personal, formación y comunicación.
- Operación (8): diligencia debida de terceros, controles, regalos, denuncias e investigaciones.
- Evaluación (9) y mejora (10): auditoría interna, revisiones y acciones correctivas.
La evidencia que más se pide
- Evaluación de riesgo de soborno actualizada.
- Legajos de diligencia debida sobre terceros.
- Registro de regalos, hospitalidades y donaciones.
- Aprobaciones de pagos y contratos sensibles.
- Registro de denuncias e investigaciones.
- Informes de la función de cumplimiento a la dirección.
Dónde suele estar la brecha
La brecha más común está en los terceros: agentes, intermediarios y proveedores de alto riesgo contratados sin diligencia debida documentada o con cláusulas antisoborno ausentes.
Preguntas frecuentes
¿Cuántos documentos exige la ISO 37001?
La norma pide información documentada concreta, pero no fija una cantidad. Lo que se audita es si los registros muestran que el sistema opera.
¿Sirve una plantilla comprada?
Puede ordenar el trabajo, pero un auditor busca evidencia de la operación real. Un sistema copiado que no describe cómo trabaja la organización suele caer en la etapa 2.
¿Qué es evidencia objetiva?
Información verificable que respalda que algo se cumple: registros, entrevistas, observaciones y datos que un tercero puede comprobar.
Para seguir leyendo
La misma pregunta, en otras normas