Consultoría ISO 37001: sistema de gestión antisoborno

No. Son normas complementarias con finalidades distintas. UNE 19601 es la norma española de compliance penal, diseñada para acreditar ante la justicia española que la empresa tenía un programa de prevención de delitos eficaz (exención o atenuación de responsabilidad penal corporativa según el artículo 31 bis del Código Penal). ISO 37001 tiene foco exclusivo en el soborno y alcance internacional. Muchas organizaciones implantan ambas en un sistema integrado: la 19601 cubre el penal interno y la 37001 aporta el reconocimiento internacional y la certificación por tercero acreditado. El equipo de Summum coordina las dos implantaciones para evitar duplicidad documental.

La certificación la emite un organismo de certificación acreditado por ENAC (Entidad Nacional de Acreditación), no Summum. Los más habituales en España son AENOR, Bureau Veritas, EQA, Lloyd's Register y TÜV Rheinland. Summum Calidad prepara a la organización para superar la auditoría, pero el certificado lo firma y lo respalda el organismo de tercera parte. La acreditación ENAC es la que da validez oficial al certificado en España y en los países signatarios de los acuerdos de reconocimiento mutuo de EA/IAF.

Entre 2 y 4 meses en una pyme de 20-100 empleados, dependiendo del punto de partida (si ya existe un programa de compliance) y de la complejidad del mapa de terceros. El proceso incluye diagnóstico, diseño del sistema, formación, ciclo de operación real y auditoría interna antes de la certificación. Si la empresa ya tiene UNE 19601 implantada, los plazos se reducen porque la documentación de base y la cultura de compliance ya existen.

En España no existe aún obligación legal directa de certificar ISO 37001 para licitar. Sin embargo, la Ley 9/2017 de Contratos del Sector Público exige a los licitadores declarar que no han sido condenados por delitos de soborno (artículo 71), y muchas licitaciones de alto valor incluyen la certificación como criterio de solvencia técnica o de adjudicación. En el sector privado, grandes empresas cotizadas y multinacionales la exigen cada vez más a proveedores de primer nivel como parte de su diligencia debida de cadena de suministro.

ISO publicó la segunda edición, ISO 37001:2025, el 28 de febrero de 2025. Los cambios principales refuerzan la alineación con la estructura de alto nivel HLS (armonizada con ISO 9001, 14001, 45001…), amplían los requisitos sobre debida diligencia digital, incorporan cláusulas sobre cultura de compliance y conflictos de interés, y actualizan las referencias al marco legal internacional de anticorrupción. El IAF ha fijado el 28 de febrero de 2027 como fecha límite de transición; a partir de entonces los certificados emitidos bajo la edición 2016 dejarán de ser válidos. Summum incluye el acompañamiento a la migración dentro del mantenimiento del sistema.

Un enfoque basado en riesgos: evaluar dónde y con quién hay exposición (socios comerciales, intermediarios, agentes, M&A, contratos con administraciones públicas) y establecer controles proporcionales. Incluye debida diligencia de terceros, conflictos de interés, regalos y atenciones, donaciones y patrocinios, controles financieros antifraude y una función antisoborno con autoridad e independencia documentadas.