La ISO 37301 sirve para gestionar las obligaciones de cumplimiento de una organización con un sistema verificable: identificar leyes, contratos y compromisos, evaluar el riesgo de incumplir, asignar responsables y controles, y crear una cultura donde los problemas se plantean a tiempo. El certificado muestra que un tercero lo comprobó.
- 01PlanificarContexto, riesgos, objetivos y responsables.
- 02HacerOperar los procesos con criterios conocidos.
- 03VerificarMedir, auditar y revisar con la dirección.
- 04ActuarCorregir causas y mejorar el sistema.
Qué ordena la norma
La ISO 37301, publicada en 2021, es la norma internacional certificable de sistemas de gestión del compliance. Reemplazó a la ISO 19600, que era solo una guía.
Pide identificar las obligaciones de cumplimiento, evaluar sus riesgos, establecer una función de compliance con independencia y recursos, fijar controles, habilitar canales para plantear inquietudes y medir el desempeño del sistema.
Para qué sirve en la práctica
- Obligaciones mapeadas: se sabe qué normas y compromisos aplican y a quién.
- Riesgo priorizado: se trabaja primero donde incumplir cuesta más.
- Responsables identificables: cada obligación tiene un dueño.
- Cultura de cumplimiento: plantear un problema no tiene castigo.
- Base integrable: sirve de marco para sistemas específicos como antisoborno o privacidad.
Lo que la ISO 37301 no resuelve
La norma no garantiza que nunca haya un incumplimiento ni reemplaza el asesoramiento legal. Tampoco exime de responsabilidad ante un regulador.
No funciona si el mapa de obligaciones es una lista de leyes copiada sin traducir a controles concretos.
Cómo saber si el sistema funciona
Hay un registro de obligaciones vigente, evaluaciones de riesgo de cumplimiento, controles con evidencia, inquietudes planteadas y resueltas, indicadores revisados y una dirección que decide sobre ellos.
Preguntas frecuentes
¿Es obligatorio certificar ISO 37301?
No. Es voluntaria. Puede pedirla un cliente, una licitación o servir como evidencia ante reguladores de que el cumplimiento se gestiona.
¿La ISO 37301 sirve para organizaciones chicas?
Sí. Los requisitos se aplican según el tamaño, el contexto y los riesgos de cada organización; cambia el nivel de formalidad, no el principio.
¿Quién otorga el certificado ISO 37301?
Un organismo de certificación independiente, después de una auditoría de tercera parte. Quien asesora o implementa el sistema no debería certificarlo.
Para seguir leyendo
- ISO 37301 · Glosario
- Lo que no es una certificación
- El responsable identificable
- Revisión independiente ISO 37301
La misma pregunta, en otras normas