Madurez ISO 37301 · Sistema de gestión de compliance
Su dispositivo de compliance medido sobre ISO 37301, convertido en una hoja de ruta priorizada.
10 ámbitos, una escala de 5 niveles. Y la acción que hace pasar cada nivel al siguiente.
Los 10 ámbitos del marco de referencia, ya redactados de N1 a N5. Una empresa, una unidad de negocio, o 300 a la vez.
Madurez ISO 37301 · Sistema de gestión de compliance
10 ámbitos, escala de 5 niveles.
Nordhavn Industries
53 / 100
Miden su madurez con Datamensio
Un ejemplo
Esta situación podría ser la suya.
Tomemos el ejemplo de una empresa: tres sedes, tres hojas de cálculo, ninguna respuesta común.
Nadie sabe consolidar.
Nordhavn Industries, 2 400 personas en Hamburgo, Lyon y Oporto. Un cliente pregunta cómo va el grupo. Cada sede responde en su hoja de cálculo, con sus propias escalas.
Tres semanas, una única base.
Un diagnóstico ISO 37301:2021 lanzado en las tres sedes al mismo tiempo, a partir de las notas de entrevista de los responsables. El marco de referencia ya estaba escrito, los 10 ámbitos y los niveles N1 a N5 también.
Dos gastos evitados antes de comprometerlos.
Una puntuación de 53 sobre 100, un desfase concentrado en tres ámbitos. El asistente de IA detectó que dos acciones del plan se duplicaban con las de otro diagnóstico. El informe de resultados para el comité se preparó en una frase.
Lo que les evitó
- 3sedes medidas sobre la misma base, en lugar de tres cuestionarios que reprocesar
- 2acciones duplicadas detectadas antes del gasto
- 1informe de resultados para el comité, sin reelaboración manual
Estas cifras corresponden a un ejemplo. Podrían ser las suyas.
La norma impone procesos. Datamensio le dice dónde está.
01
El marco de referencia ya está escrito
Ámbitos, preguntas y niveles N1 a N5 redactados. No parte de una hoja de cálculo vacía.
02
La puntuación llega el mismo día
En línea, mediante enlace de autoevaluación o en entrevista. Ámbito por ámbito, comparable en el tiempo.
03
El desfase se convierte en un plan con coste
Cada salto de nivel lleva su acción. La IA prioriza según el efecto esperado, no según el orden de la norma.
04
El progreso se demuestra
Campaña tras campaña, frente a su objetivo y frente a su pasado. Es lo que pide su comité de dirección.
La escala de madurez
Un nivel, el siguiente, y la acción que une ambos.
Es este mecanismo (un nivel, un nivel superior, y la acción que une ambos) el que transforma un diagnóstico en una trayectoria.
¿Se mantiene actualizado el registro de obligaciones de compliance y está asignado a responsables identificados?
- N1
No existe un registro consolidado. Las obligaciones son conocidas por los servicios afectados, sin visión de conjunto ni responsable designado.
- N2
Existe un registro, elaborado durante un proyecto puntual. No se ha actualizado desde entonces y varias obligaciones no tienen responsable.
- N3
El registro cubre todo el alcance, cada obligación tiene un responsable nombrado y se realiza una actualización periódica.
- N4
La actualización se apoya en una vigilancia formalizada. Cada obligación está vinculada a sus controles y sus pruebas, y las novedades activan una revisión de los procedimientos afectados.
- N5
El registro alimenta los indicadores de compliance y la revisión por la dirección. Su exhaustividad se audita, y las entidades o socios disponen de versiones coherentes seguidas en el tiempo.
Acción para pasar de N2 a N3
Retomar el registro existente, nombrar un responsable para cada obligación, completar los ámbitos ausentes e inscribir una revisión de actualización en el comité de dirección con un punto de avance en cada sesión.
« Gracias a Datamensio, cumplimos nuestros objetivos con mucha más eficacia. Los servicios de inspección del FEDER y de nuestro ministerio de tutela han apreciado especialmente este enfoque, que les aporta datos fiables. »
Directora de la CCI 94CCI Île-de-France
« Creemos que se trata de la solución más adecuada para llevar nuestro proyecto de transformación a gran escala y medir el impacto según nuestras necesidades. »
Maja SucekChief Operating Officer, Interreg Danube
Rara vez solo
Un marco de referencia se combina. Asocie varios para cubrir su actividad, o haga que la IA redacte el suyo.
Tome su primera mediciónen ISO 37301.
De qué trata este marco de referencia
ISO 37301:2021 es la norma de requisitos aplicable a los sistemas de gestión de compliance. Sustituyó a ISO 19600, que era solo una guía de recomendaciones. El paso de « should » a « shall » lo cambia todo: la norma es ahora certificable por un organismo acreditado. Exige una política de compliance validada al más alto nivel, un registro de obligaciones y compromisos, un análisis de los riesgos de incumplimiento, controles proporcionados, un dispositivo de denuncia que proteja al alertador, y la demostración de un compromiso real de la gobernanza.
En la práctica, el dispositivo es difícil de gestionar porque está repartido. El cumplimiento normativo agrícola vive en los servicios técnicos, el cumplimiento social en recursos humanos, el cumplimiento financiero en la dirección financiera, y todo se recompone en el momento de una inspección. Las preguntas que se repiten son concretas. ¿Está el registro de obligaciones actualizado con los textos publicados en los últimos doce meses, y quién responde de ello? ¿Los socios y las filiales aplican la misma política, o cada uno la suya? ¿Cuántas denuncias se han tramitado, y quién las ha gestionado?
El asunto es especialmente sensible en las cooperativas y federaciones, donde la estructura es federativa y la responsabilidad compartida. Una unión de cooperativas acumula obligaciones sanitarias, medioambientales, sociales y comerciales, con socios autónomos jurídicamente pero comprometidos por la marca común. La confusión frecuente consiste en tratar ISO 37301 como un asunto jurídico. Es un sistema de gestión: se dirige como la calidad o la seguridad, con roles, indicadores y revisiones.
La auditoría de cumplimiento plantea una pregunta binaria: ¿se satisface el requisito, sí o no? El diagnóstico de madurez plantea otra: ¿en qué nivel de dominio se encuentra cada práctica, y qué acción concreta permite pasar al siguiente nivel? Un registro de obligaciones puede existir y seguir siendo inutilizable. La puntuación en cinco niveles distingue el documento que duerme del proceso que vive, y hace comparable el progreso de una entidad a otra y de un año a otro.
El marco de referencia está disponible tal cual en Datamensio y se adapta a su organización. La IA ajusta los ámbitos, las preguntas y la formulación de los niveles según el método CMMI, o construye una versión propia a partir de sus documentos: política de compliance, código de conducta, mapa de obligaciones. Las evaluaciones realizadas en varias entidades se consolidan en una única hoja de ruta transversal.
Norma de referencia: ISO 37301:2021
Los ámbitos evaluados
Contexto y partes interesadas
Análisis del contexto de la organización, identificación de las partes interesadas y sus expectativas, alcance del sistema de gestión de compliance, articulación con la estructura federativa.
Gobernanza y compromiso de la dirección
Política de compliance aprobada, papel del consejo de administración, independencia y autoridad de la función de compliance, recursos asignados, cultura de compliance.
Obligaciones de compliance
Registro de obligaciones legales, reglamentarias, contractuales y voluntarias, vigilancia y actualización, responsable por obligación, traducción en requisitos operativos.
Riesgos de incumplimiento
Identificación y valoración de riesgos, distinción entre riesgo inherente y residual, priorización, consideración de terceros y de la cadena de suministro.
Controles y procedimientos
Diseño de controles proporcionados a los riesgos, procedimientos documentados, delegaciones y separación de funciones, gestión de regalos, conflictos de interés y terceros.
Competencia, formación y sensibilización
Delimitación de las necesidades de competencia, plan de formación, acciones dirigidas a las funciones expuestas, sensibilización de socios y empleados, medición de la asimilación.
Denuncia y tratamiento de incumplimientos
Canales de denuncia, protección del alertador, procedimiento de investigación, trazabilidad de los casos, medidas disciplinarias y correctivas, retorno de información.
Comunicación y documentación
Comunicación interna y externa sobre compliance, gestión de la información documentada, conservación de pruebas, informe de resultados ante los órganos y los socios.
Vigilancia, indicadores y auditoría interna
Indicadores de rendimiento del compliance, programa de auditoría interna, recopilación de datos, revisión por la dirección, seguimiento de los hallazgos hasta su cierre.
Mejora continua
Tratamiento de las no conformidades, acciones correctivas, análisis de causas, lecciones aprendidas, actualización del dispositivo y comparación en el tiempo.
Existe una versión corta del marco de referencia, disponible para la autoevaluación en línea.
Preguntas frecuentes
¿Es certificable ISO 37301?
Sí. A diferencia de ISO 19600, a la que sustituye, ISO 37301:2021 es una norma de requisitos, auditable por un organismo acreditado. El diagnóstico Datamensio mide la madurez del dispositivo y prepara esa auditoría, no otorga ningún certificado.
¿Qué diferencia hay entre este diagnóstico y una auditoría de certificación?
La auditoría verifica si se cumple cada requisito y concluye con una conformidad o una desviación. El diagnóstico sitúa sus prácticas en cinco niveles e indica la acción que permite avanzar de un nivel al siguiente. Ambos se complementan: el diagnóstico prepara, la auditoría valida.
¿Cuánto tiempo requiere la evaluación?
La evaluación individual se realiza en una sesión de trabajo. En modo colaborativo, con un colaborador por ámbito de compliance, la recopilación se extiende de una a dos semanas: la mayor parte del tiempo se dedica a reunir las pruebas de los servicios y las entidades.
¿Se adapta el marco de referencia a una estructura federativa?
Sí. Los ámbitos, las preguntas y los niveles se pueden modificar, y puede añadir las obligaciones propias de su sector. La IA también construye una versión a partir de su política de compliance y su código de conducta, en versión socio y versión unión.
¿Se pueden comparar varias cooperativas o unidades de negocio?
Sí. Las evaluaciones realizadas sobre el mismo marco de referencia se comparan entre entidades y respecto a las campañas anteriores. Las brechas consolidadas producen una hoja de ruta transversal, que agrupa las acciones comunes en lugar de duplicarlas.
¿Se necesita experiencia jurídica para responder?
No. Las preguntas se refieren a la organización y a las prácticas de gestión, no a la interpretación de los textos. Un responsable de calidad, un secretario general o un auditor interno puede responder, y las preguntas técnicas se asignan al interlocutor adecuado.
¿Cómo se articula este diagnóstico con las certificaciones sectoriales ya existentes?
ISO 37301 es el marco general: las certificaciones sanitarias, medioambientales o sociales constituyen obligaciones entre otras. El diagnóstico muestra si estas iniciativas están conectadas a una gestión de conjunto o funcionan en compartimentos aislados.
¿Dónde se alojan los datos?
En Francia, en OVH, con copia de seguridad en Scaleway. Ningún dato se transfiere fuera de la Unión Europea. Los modelos de IA utilizados pueden seleccionarse, incluso entre soluciones europeas.