Los requisitos de la ISO 37301 están en las cláusulas 4 a 10. En una auditoría se revisa evidencia: el registro de obligaciones de cumplimiento, la evaluación de riesgos, la política, la función de compliance y su independencia, los controles operando, los canales para plantear inquietudes, las investigaciones, los indicadores, la auditoría interna y la revisión por la dirección.
- 01Contexto (4)obligaciones de cumplimiento y evaluación de riesgos.
- 02Liderazgo (5)órgano de gobierno, política, cultura y función de compliance.
- 03Planificación (6)objetivos de cumplimiento y gestión de cambios.
- 04Apoyo (7)competencias, formación, comunicación e información documentada.
- 05Operación (8)controles, canales para plantear inquietudes e investigaciones.
- 06Evaluación (9) y mejora (10)indicadores, auditoría interna, revisión y acciones.
Cómo leer los requisitos
Cada requisito se traduce en una pregunta verificable: ¿qué registro muestra que esta obligación se identificó, se asignó y se controla?
Requisito por requisito
- Contexto (4): obligaciones de cumplimiento y evaluación de riesgos.
- Liderazgo (5): órgano de gobierno, política, cultura y función de compliance.
- Planificación (6): objetivos de cumplimiento y gestión de cambios.
- Apoyo (7): competencias, formación, comunicación e información documentada.
- Operación (8): controles, canales para plantear inquietudes e investigaciones.
- Evaluación (9) y mejora (10): indicadores, auditoría interna, revisión y acciones.
La evidencia que más se pide
- Registro de obligaciones con responsable.
- Evaluación de riesgo de cumplimiento.
- Evidencia de controles operando.
- Registro de inquietudes y su tratamiento.
- Indicadores de desempeño del compliance.
- Informes de la función de compliance a la dirección.
Dónde suele estar la brecha
La brecha más común está en el registro de obligaciones: listas de normas sin traducir a controles, sin responsables y sin actualización cuando cambia la regulación.
Preguntas frecuentes
¿Cuántos documentos exige la ISO 37301?
La norma pide información documentada concreta, pero no fija una cantidad. Lo que se audita es si los registros muestran que el sistema opera.
¿Sirve una plantilla comprada?
Puede ordenar el trabajo, pero un auditor busca evidencia de la operación real. Un sistema copiado que no describe cómo trabaja la organización suele caer en la etapa 2.
¿Qué es evidencia objetiva?
Información verificable que respalda que algo se cumple: registros, entrevistas, observaciones y datos que un tercero puede comprobar.
Para seguir leyendo
La misma pregunta, en otras normas