Qué es la ISO 37301 y qué exige

Una empresa de servicios estaba por firmar un contrato con un grupo financiero. En la debida diligencia, el área de cumplimiento del cliente pidió evidencia del programa de compliance: la lista de obligaciones legales que aplicaban al servicio, la evaluación de riesgos de incumplimiento, el responsable de la función y los reportes al consejo. La empresa tenía un código de ética publicado en la intranet y una política de regalos. El contrato se detuvo hasta que pudiera demostrar algo más.

Qué es la ISO 37301

La ISO 37301 es la norma internacional que establece los requisitos de un sistema de gestión del compliance, es decir, del cumplimiento de las obligaciones de una organización. Se publicó en 2021 y reemplazó a la ISO 19600, que era solo una guía. A diferencia de su antecesora, se puede certificar. Sigue la estructura de alto nivel de las normas ISO de sistemas de gestión, por lo que se integra con la ISO 9001, la ISO 27001 o la ISO 37001 antisoborno. La ISO 37001 se enfoca en un solo riesgo; la ISO 37301 cubre todas las obligaciones de cumplimiento.

Qué son las obligaciones de cumplimiento

La norma llama obligaciones de cumplimiento a dos tipos de requisitos. Los obligatorios, que la organización tiene que cumplir: leyes, reglamentos, permisos, resoluciones de autoridades y contratos. Y los compromisos voluntarios, que la organización decide adoptar: códigos de la industria, políticas internas, compromisos con clientes o con la comunidad. El sistema empieza con un inventario de esas obligaciones, asociadas a los procesos, productos y áreas a las que aplican, y con un mecanismo para enterarse cuando cambian.

Qué exige la norma

• —Evaluación de los riesgos de cumplimiento: qué obligaciones se pueden incumplir, en qué procesos y con qué consecuencias.
• —Una función de compliance con independencia, autoridad y acceso directo al órgano de gobierno.
• —Compromiso visible de la alta dirección y del órgano de gobierno, no solo una política firmada.
• —Cultura de cumplimiento, competencia y toma de conciencia del personal según su exposición al riesgo.
• —Controles y procedimientos en los procesos donde están los riesgos.
• —Un canal para plantear inquietudes y denuncias, con protección contra represalias, e investigaciones.
• —Seguimiento, indicadores, reportes al órgano de gobierno, auditoría interna y revisión por la dirección.

Por qué importa en México

Las personas morales pueden tener responsabilidad penal por ciertos delitos cometidos en su nombre, y la falta de un debido control es un elemento que se toma en cuenta. Para las empresas que contratan con el gobierno, la Ley General de Responsabilidades Administrativas reconoce la política de integridad como un elemento a considerar. La ISO 37301 no otorga inmunidad, pero da una estructura reconocida para demostrar que la organización identificó sus obligaciones, evaluó sus riesgos y tomó medidas razonables.

Errores frecuentes

• —Confundir el compliance con un código de ética sin controles ni seguimiento.
• —Poner la función de cumplimiento bajo un área operativa a la que tiene que vigilar.
• —Tener canal de denuncias sin procedimiento de investigación ni protección al denunciante.
• —Hacer el inventario de obligaciones una vez y no actualizarlo cuando cambia la regulación.

Dónde se rompe en la operación

En la Ciudad de México, donde se concentran corporativos, grupos financieros y dependencias que exigen a sus proveedores programas de cumplimiento, el compliance suele empezar como un documento para pasar una debida diligencia. Funciona cuando se conecta con la operación: procesos con responsables, controles documentados, indicadores, auditorías internas y una revisión de la dirección que de verdad toma decisiones. Esa base de sistema de gestión es parte de lo que se trabaja en la Consultoría ISO 9001 en Ciudad de México.

En resumen

La ISO 37301 es la norma certificable de sistemas de gestión del compliance. Exige identificar las obligaciones de cumplimiento obligatorias y voluntarias, evaluar sus riesgos, contar con una función de cumplimiento independiente, implantar controles, un canal de denuncias e investigaciones, y dar seguimiento con indicadores, auditorías y reportes al órgano de gobierno.