Madurez ISO 37001 · Sistemas de gestión antisoborno

ISO 37001 es una norma de sistema de gestión certificable, publicada en 2016, dedicada a la prevención, detección y tratamiento del soborno. Cubre el soborno activo y pasivo, directo e indirecto, incluido el cometido por socios comerciales en nombre de la organización. Impone una base precisa: política antisoborno aprobada por el órgano de gobierno, función de cumplimiento antisoborno dotada de autoridad e independencia, evaluación de riesgos de soborno documentada, diligencia debida proporcionada sobre terceros, controles financieros y no financieros, formación, procedimiento de denuncia e investigación, revisión por la dirección.

En la práctica, el dispositivo es difícil de pilotar porque sus componentes viven en direcciones distintas. El mapa de riesgos de soborno pertenece a cumplimiento, los controles a finanzas, la diligencia debida a compras, la formación a recursos humanos. Tres preguntas se repiten sistemáticamente. ¿Se utiliza realmente el mapa de riesgos para calibrar los controles, o sigue siendo un documento anual? ¿La diligencia debida sobre terceros es proporcionada al riesgo, o se aplica de manera uniforme por falta de criterios? ¿Las denuncias reciben un tratamiento trazado, con una decisión y una respuesta, o se quedan en la bandeja de entrada?

En España, ISO 37001 se cruza con la normativa penal en materia de responsabilidad de las personas jurídicas, en particular el artículo 31 bis del Código Penal, y con las recomendaciones de organismos como el Consejo General del Poder Judicial en materia de programas de cumplimiento. Los dos marcos se solapan ampliamente pero no coinciden: la normativa penal es de obligado cumplimiento y su valoración corresponde a los tribunales, ISO 37001 es voluntaria y certificable por un organismo acreditado. Un error frecuente consiste en creer que la certificación ISO 37001 equivale a una presunción de exención de responsabilidad penal. No es así. Constituye un elemento de organización y de prueba, útil pero distinto.

El diagnóstico de madurez responde a una pregunta diferente de la que resuelve la auditoría de certificación. La auditoría verifica la presencia y la eficacia de los requisitos, y concluye con una conformidad o una desviación. El diagnóstico sitúa cada práctica en una escala progresiva e indica la acción precisa que permite pasar al nivel superior. Se lleva a cabo antes, sin ánimo de veredicto, y produce una trayectoria en lugar de una constatación. En Datamensio, la brecha entre la puntuación y el objetivo genera directamente el plan de acción, que la IA agrupa en una hoja de ruta priorizada.

El marco de referencia está listo para usar y es adaptable. Puede modificar los ámbitos, las preguntas y los niveles, o pedir a la IA que construya una variante a partir de su código de conducta, su mapa de riesgos y sus procedimientos existentes. Las entidades de un mismo grupo pueden evaluarse con la misma plantilla, y luego compararse entre sí y a lo largo del tiempo.