ISO 37301 Explicada

Este recurso proporciona información educativa general sobre la norma ISO 37301 y temas de cumplimiento relacionados. No pretende ser asesoramiento legal, financiero o profesional, ni establece ningún estándar de cuidado. Las organizaciones e individuos deben consultar con profesionales legales y de cumplimiento calificados para obtener asesoramiento adaptado a sus circunstancias y jurisdicción específicas. La información presentada aquí es solo para fines informativos y no debe considerarse como un sustituto de la orientación profesional.

# ISO 37301 Explicada

En un entorno regulatorio cada vez más complejo, las organizaciones a nivel mundial enfrentan el desafío de mantener el cumplimiento de una multitud de leyes, regulaciones y estándares éticos. La gestión eficaz del cumplimiento no se trata simplemente de evitar sanciones; es fundamental para fomentar la confianza, garantizar la sostenibilidad y mantener la reputación de una organización. Reconociendo esta necesidad crítica, la Organización Internacional de Normalización (ISO) desarrolló la norma ISO 37301:2021, un estándar integral para los sistemas de gestión de cumplimiento (SGC).

01¿Qué es la norma ISO 37301?

La norma ISO 37301:2021, titulada "Sistemas de gestión del cumplimiento — Requisitos con orientación para su uso", proporciona un marco robusto para que las organizaciones establezcan, desarrollen, implementen, evalúen, mantengan y mejoren un sistema de gestión de cumplimiento eficaz y receptivo ¹. Publicada en abril de 2021, esta norma internacional está diseñada para ser aplicable a organizaciones de cualquier tamaño que operen en cualquier sector. Ofrece un enfoque estructurado para integrar una cultura de cumplimiento en toda la organización, asegurando que todas las actividades se alineen con las obligaciones aplicables y las expectativas éticas.

A diferencia de otras normas ISO, la ISO 37301 tiene un alcance amplio, abordando el cumplimiento en todas las operaciones de una organización. Esto la distingue de estándares con un enfoque más estrecho, como la ISO 37001, que se dirige específicamente a los sistemas de gestión antisoborno ¹. Si bien la ISO 37301 establece los requisitos para un SGC, también proporciona orientación para su uso, lo que la convierte en una herramienta práctica para las organizaciones que buscan mejorar su postura de cumplimiento. Es importante señalar que la alineación con la ISO 37301 no garantiza el cumplimiento, la suficiencia legal o un resultado de ejecución particular, sino que proporciona un enfoque sistemático para gestionar los riesgos de cumplimiento ¹.

02La ISO 37301 y el panorama más amplio de la gestión de riesgos

La gestión eficaz del cumplimiento está intrínsecamente ligada a una gestión de riesgos robusta. Si bien la ISO 37301 proporciona un marco para gestionar los riesgos de cumplimiento, opera dentro de un ecosistema más amplio de principios de gestión de riesgos. La norma ISO 31000:2018, "Gestión del riesgo — Directrices", ofrece un enfoque integral para identificar, analizar, evaluar, tratar, monitorear y comunicar el riesgo en toda una organización ². Esta norma describe los principios, un marco y un proceso para la gestión de riesgos, sirviendo como una directriz en lugar de un estándar certificable ².

La interacción entre la ISO 37301 y la ISO 31000 es crucial para desarrollar un enfoque integral e integrado de la gobernanza organizacional. La ISO 37301 aborda específicamente los riesgos de cumplimiento, que son los riesgos asociados con el incumplimiento de las obligaciones legales, regulatorias y éticas. Estas obligaciones pueden derivarse de leyes, reglamentos, decisiones judiciales, permisos, licencias, contratos, reglas e incluso políticas y procedimientos internos. Un SGC eficaz, como lo describe la ISO 37301, requiere que las organizaciones identifiquen sistemáticamente estas obligaciones, evalúen los riesgos de incumplimiento e implementen controles para mitigarlos ¹.

La ISO 31000, por el contrario, proporciona un marco más amplio para gestionar todos los tipos de riesgos que una organización podría encontrar, incluidos los riesgos estratégicos, operativos, financieros y de reputación, además de los riesgos de cumplimiento ². Al ofrecer principios, un marco y un proceso para la gestión de riesgos, la ISO 31000 alienta a las organizaciones a integrar la gestión de riesgos en todos los procesos de toma de decisiones. Las organizaciones pueden aprovechar las directrices integrales de la ISO 31000 para informar los componentes de evaluación de riesgos de sus sistemas de gestión de cumplimiento alineados con la ISO 37301. Esto garantiza un enfoque holístico, donde los riesgos de cumplimiento no se ven de forma aislada, sino como una parte integral del perfil de riesgo general de la organización. Esta integración ayuda a identificar las interdependencias entre los diferentes tipos de riesgo y a desarrollar estrategias de mitigación más robustas y eficientes. Es importante reiterar que la ISO 31000 proporciona directrices y no puede utilizarse para la certificación, a diferencia de otras normas ISO ². La sinergia entre estos dos estándares permite una estructura de gobernanza más madura y resiliente, donde el cumplimiento se ve como un proceso continuo de identificación, evaluación y control de riesgos, en lugar de una lista de verificación estática.

03La perspectiva del Departamento de Justicia de los EE. UU.: Evaluación de programas de cumplimiento

Más allá de los estándares internacionales, las organizaciones también deben considerar las perspectivas de los organismos reguladores y de aplicación de la ley. En los Estados Unidos, el Departamento de Justicia (DOJ) proporciona una orientación significativa a través de su "Evaluación de Programas de Cumplimiento Corporativo" (ECCP) ³. Actualizada en septiembre de 2024, la ECCP sirve como un recurso crítico para los fiscales que evalúan la efectividad del programa de cumplimiento de una corporación en varias etapas, incluyendo el momento de una infracción, y durante las decisiones de acusación o resolución ³.

El DOJ enfatiza que la ECCP es una guía para la evaluación de los fiscales, no una fórmula rígida, una lista de verificación, un puerto seguro o un estándar de cumplimiento universal ³. En cambio, promueve una determinación individualizada que considera factores como el tamaño de la empresa, la industria, la huella geográfica y el panorama regulatorio. Este enfoque se alinea con la flexibilidad inherente a la ISO 37301, que está diseñada para ser adaptable a organizaciones de cualquier tamaño y sector ¹.

La ECCP organiza su indagación en torno a tres preguntas fundamentales, que proporcionan un marco útil para que cualquier organización evalúe su programa de cumplimiento, independientemente de si está sujeta al escrutinio del DOJ:

1. ¿Está el programa bien diseñado? Esta pregunta profundiza en si el programa de cumplimiento está construido cuidadosamente para prevenir y detectar conductas indebidas. Considera elementos como un código de conducta robusto, políticas y procedimientos claros, evaluaciones de riesgos efectivas y mecanismos para reportar inquietudes ¹⁵. Para las organizaciones que implementan la ISO 37301, esto se alinea con los requisitos de la norma para establecer políticas de cumplimiento, objetivos, roles, responsabilidades y procesos para identificar obligaciones y riesgos de cumplimiento ¹.

1. ¿Se aplica con seriedad y de buena fe, incluyendo contar con recursos y empoderamiento adecuados? Esta pregunta va más allá del diseño para evaluar la implementación práctica y la efectividad operativa del programa. Evalúa si el programa cuenta con la financiación adecuada, personal competente y si los oficiales de cumplimiento están empoderados con suficiente autoridad e independencia para desempeñar sus funciones ^{11 15}. Esto resuena con el énfasis de la ISO 37301 en el compromiso del liderazgo, la asignación de recursos, la competencia, la capacitación y la comunicación para asegurar que el SGC esté integrado efectivamente en las operaciones de la organización ¹.

1. ¿Funciona en la práctica? La pregunta final se centra en la efectividad real del programa para prevenir y detectar conductas indebidas. Examina los resultados, como el manejo de las violaciones reportadas, las acciones disciplinarias y la mejora continua basada en las lecciones aprendidas ¹³. Esto se alinea con los requisitos de la ISO 37301 para la evaluación del desempeño, incluyendo el monitoreo, la medición, el análisis, la evaluación, la auditoría interna y la revisión por la dirección, todo ello destinado a asegurar la idoneidad, adecuación y eficacia continuas del SGC ¹.

Este lente evaluativo resalta la importancia de la aplicación práctica y la adaptación continua de un programa de cumplimiento. Por ejemplo, la ECCP incluye explícitamente preguntas sobre nuevas tecnologías como la IA, su impacto potencial en el cumplimiento de las leyes penales, la gobernanza, los controles, el uso previsto, la toma de decisiones humana, la rendición de cuentas y la capacitación de los empleados ¹⁴. Esto subraya que la gestión del cumplimiento, ya sea guiada por la ISO 37301 u otros marcos, debe ser dinámica y responder a los riesgos y tecnologías en evolución. El enfoque del DOJ en la evaluación de riesgos como punto de partida para la evaluación del programa, y su inclusión de riesgos emergentes como la IA, enfatiza aún más la necesidad de una estrategia de cumplimiento proactiva y adaptativa ¹⁴. Esto significa que las organizaciones no pueden simplemente implementar un conjunto estático de reglas, sino que deben monitorear continuamente su entorno, evaluar nuevos riesgos y actualizar sus medidas de cumplimiento en consecuencia.

04Gobernanza fiduciaria y responsabilidad corporativa

La gestión del cumplimiento está profundamente entrelazada con los conceptos de deber fiduciario y gobierno corporativo, los cuales establecen límites éticos y legales críticos para la conducta organizacional. Un deber fiduciario es una relación legal o ética de confianza entre dos o más partes. Típicamente, un fiduciario cuida prudentemente el dinero u otros activos para otra persona. Una de las partes, por ejemplo, un miembro de la junta corporativa, actúa en capacidad fiduciaria para otra, por ejemplo, los accionistas. Se espera que el fiduciario sea extremadamente leal a la persona a quien le debe el deber, actuando en su mejor interés. Este deber depende del contexto, lo que significa que sus requisitos específicos varían significativamente según el marco legal, la naturaleza de la relación y la jurisdicción.

Por ejemplo, en los Estados Unidos, el Departamento de Trabajo describe responsabilidades fiduciarias específicas bajo la Ley de Seguridad de los Ingresos de Jubilación de los Empleados (ERISA) ⁴. ERISA aplica deberes fiduciarios a individuos o entidades que ejercen autoridad o control discrecional sobre la gestión o los activos de un plan cubierto, poseen responsabilidad de administración discrecional o proporcionan asesoramiento de inversión compensado a un plan cubierto. La responsabilidad principal de un fiduciario de ERISA es operar el plan únicamente en interés de los participantes y beneficiarios. Esto incluye deberes relacionados con la prudencia, la diversificación de inversiones, el cumplimiento de los documentos del plan y la evitación de conflictos de interés ⁴. Es crucial entender que estos deberes específicos de ERISA no son universales; ilustran un entorno estatutario definido y no deben generalizarse a cada fideicomisario, asesor, director, propietario o empresa familiar. El alcance y la naturaleza de los deberes fiduciarios siempre deben evaluarse dentro de su contexto legal y contractual específico.

El gobierno corporativo, por otro lado, se refiere al sistema por el cual las organizaciones son dirigidas y controladas. Abarca la arquitectura de derechos, responsabilidades, supervisión, información y rendición de cuentas entre varios interesados, incluyendo la junta directiva, la gerencia, los accionistas y otras partes interesadas. Un gobierno corporativo eficaz es esencial para el éxito organizacional a largo plazo, la confianza de los inversores y la conducta ética.

Los Principios de Gobierno Corporativo del G20/OCDE 2023 sirven como un punto de referencia internacional destacado en este dominio ⁵. Estos principios están diseñados para ayudar a los responsables de políticas a evaluar y mejorar los marcos legales, regulatorios e institucionales para el gobierno corporativo. También ofrecen orientación práctica para la implementación, lo que los hace relevantes para una amplia gama de entidades, incluyendo bolsas de valores, inversores y corporaciones ⁵. Es importante señalar que estos principios no constituyen una ley corporativa universalmente vinculante. En cambio, proporcionan un marco para fomentar la transparencia, la rendición de cuentas y el comportamiento ético en los niveles más altos de una organización, promoviendo el crecimiento económico sostenible y la estabilidad financiera. La adhesión a tales principios, aunque voluntaria, puede mejorar significativamente la reputación de una organización y su capacidad para gestionar los riesgos de cumplimiento de manera efectiva.

05Ética y supervisión en los servicios financieros

En el sector de servicios financieros, las expectativas éticas y de cumplimiento son particularmente estrictas y dependen en gran medida del contexto, reflejando el papel crítico que estas instituciones desempeñan en la economía y la confianza depositada en ellas por los clientes. Las expectativas de conducta para las firmas financieras no son uniformes; dependen significativamente de las actividades específicas de la firma, los roles de sus empleados, los productos y servicios ofrecidos, la base de clientes, la jurisdicción pertinente y el marco de supervisión aplicable. Esta intrincada red de requisitos exige un sistema de gestión de cumplimiento altamente especializado y adaptable.

Por ejemplo, la Autoridad Reguladora de la Industria Financiera (FINRA) en los Estados Unidos impone reglas estrictas a sus firmas miembros. La Regla 2010 de FINRA, titulada "Estándares de Honor Comercial y Principios de Comercio", exige que un miembro, en el desarrollo de su negocio, debe observar altos estándares de honor comercial y principios de comercio justos y equitativos ⁶. Este principio amplio sustenta muchas reglas de conducta específicas y enfatiza la base ética esperada de los profesionales financieros. Es crucial que las firmas entiendan que esta regla se aplica específicamente a los miembros de FINRA, y los individuos deben consultar el texto de la regla aplicable, los materiales interpretativos y los asesores calificados para sus propias circunstancias para asegurar una aplicación adecuada ⁶.

Complementando las reglas de conducta, la Regla 3110 de FINRA aborda la supervisión, requiriendo que las firmas miembros establezcan y mantengan un sistema de supervisión razonablemente diseñado para lograr el cumplimiento de las leyes de valores aplicables, las regulaciones y las reglas de FINRA ¹². Esta regla es integral y abarca requisitos para procedimientos de supervisión por escrito, inspecciones internas y la designation de supervisores calificados. Establece explícitamente que la responsabilidad final de una supervisión adecuada recae en la firma miembro, subrayando la rendición de cuentas del liderazgo en el fomento de un entorno de cumplimiento ¹². Estas obligaciones de supervisión son una piedra angular del cumplimiento en la industria de valores, asegurando que las firmas gestionen proactivamente los riesgos y prevengan conductas indebidas.

Más allá de la industria de valores, los reguladores bancarios también establecen expectativas detalladas para la gestión de riesgos de cumplimiento. La Reserva Federal, por ejemplo, emitió la SR 08-8 / CA 08-11, que describe las expectativas para los programas de gestión de riesgos de cumplimiento y la supervisión en grandes organizaciones bancarias con perfiles de cumplimiento complejos ¹⁰. Aunque esta guía fue revisada en octubre de 2025, su mensaje central sigue siendo consistente: un programa de gestión de riesgos de cumplimiento adaptado y eficaz es esencial para las organizaciones supervisadas, independientemente de su tamaño y complejidad. La guía describe un programa para toda la firma como un marco para identificar, evaluar, controlar, medir, monitorear y reportar los riesgos de cumplimiento, respaldado por capacitación y políticas y procedimientos documentados ¹⁰. Esto resalta que, si bien la ISO 37301 proporciona un marco general para un SGC, las organizaciones en sectores regulados como los servicios financieros deben integrar estos requisitos regulatorios específicos, a menudo obligatorios, en sus sistemas. Distinguir entre estándares voluntarios y obligaciones regulatorias obligatorias es primordial para un cumplimiento efectivo en este sector.

06Gobernanza de la IA: Navegando las tecnologías emergentes

El rápido avance de la inteligencia artificial (IA) presenta tanto oportunidades sin precedentes como desafíos significativos en materia de cumplimiento, lo que exige el desarrollo de marcos de gobernanza robustos. Las organizaciones que adoptan tecnologías de IA deben considerar proactivamente sus implicaciones.

En los Estados Unidos, el Instituto Nacional de Estándares y Tecnología (NIST) ha desarrollado el Marco de Gestión de Riesgos de IA (AI RMF) 1.0 como un marco voluntario destinado a mejorar la capacidad de incorporar consideraciones de confiabilidad en el diseño, desarrollo, uso y evaluación de productos, servicios y sistemas de IA ⁷. El AI RMF se estructura en torno a cuatro funciones principales: Gobernar, Mapear, Medir y Gestionar, las cuales proporcionan un enfoque sistemático para comprender, evaluar y mitigar los riesgos relacionados con la IA. La función Gobernar, por ejemplo, se centra en establecer una cultura organizacional de gestión de riesgos, mientras que Mapear implica identificar y caracterizar los riesgos de la IA. Medir se centra en cuantificar o evaluar cualitativamente los riesgos, y Gestionar implica asignar recursos e implementar respuestas a los riesgos ⁷. Este marco se complementa con el Manual del AI RMF (AI RMF Playbook), que ofrece orientación adaptable, acciones sugeridas y referencias para ayudar a las organizaciones a lograr los resultados descritos en las cuatro funciones ⁸. Es vital reconocer que tanto el AI RMF del NIST como su Manual son marcos voluntarios; su publicación o uso no determina el cumplimiento regulatorio, ni garantizan una IA segura, legal, imparcial o confiable ^{42 43}. En cambio, proporcionan un conjunto de herramientas flexible para que las organizaciones mejoren sus capacidades de gestión de riesgos de IA.

A nivel internacional, los Principios de IA de la OCDE, adoptados por primera vez en 2019 y actualizados en 2024, representan el primer estándar intergubernamental sobre IA ⁹. Estos principios enfatizan consideraciones basadas en valores, como el crecimiento inclusivo, los derechos humanos y los valores democráticos, la transparencia y la explicabilidad, la robustez, la seguridad, la protección y la rendición de cuentas ⁹. La rendición de cuentas, en este contexto, incluye la trazabilidad y la gestión sistemática continua de riesgos a lo largo del ciclo de vida de la IA. Estos principios proporcionan un punto de referencia global para el desarrollo y despliegue responsable de la IA, destacando que la supervisión humana, la transparencia, la trazabilidad, la seguridad, la privacidad y la equidad son consideraciones de gobernanza dependientes del contexto en lugar de garantías técnicas universales ⁴⁴.

A medida que las tecnologías de IA evolucionan, los sistemas de gestión de cumplimiento deben adaptarse para abordar los riesgos únicos que plantean. Esto incluye integrar evaluaciones de riesgos específicas de la IA en el marco de cumplimiento más amplio, asegurar que las políticas y procedimientos tengan en cuenta el impacto de la IA y proporcionar capacitación adecuada para el personal involucrado en el desarrollo y despliegue de la IA. La ECCP del DOJ también reconoce la importancia de esta área, incluyendo preguntas sobre nuevas tecnologías como la IA en su marco de evaluación ¹⁴.

07El papel del oficial de cumplimiento

La efectividad de cualquier sistema de gestión de cumplimiento depende en gran medida de las personas encargadas de su supervisión e implementación. El papel del Oficial Principal de Cumplimiento (CCO) o posición equivalente es crítico. En un discurso de 2020, el entonces director de la Oficina de Inspecciones y Exámenes de Cumplimiento de la SEC discutió las expectativas para los CCO de asesores bajo la regla de cumplimiento de la Ley de Asesores, enfatizando la competencia, el conocimiento, la autoridad, la antigüedad, los recursos, la inclusión temprana en la toma de decisiones y el empoderamiento ¹¹. Si bien este discurso refleja las opiniones del orador y no es una guía vinculante del personal de la SEC ni un mandato generalizado para los CCO, resalta la importancia de una función de cumplimiento empoderada y con recursos adecuados ¹¹.

Un programa de cumplimiento bien diseñado utiliza políticas y procedimientos para dar contenido y efecto a las normas éticas y para mitigar los riesgos identificados mediante la evaluación de riesgos ¹⁵. Esto incluye un código de conducta, responsabilidad asignada, capacitación, líneas de reporte y comunicación, incentivos, disciplina e integración en las operaciones y la fuerza laboral ¹⁵. El oficial de cumplimiento desempeña un papel central para asegurar que estos elementos se implementen y mantengan de manera efectiva, fomentando una cultura de cumplimiento en toda la organización.

08Resumen de marcos y orientaciones clave

La siguiente tabla resume los marcos y documentos de orientación clave discutidos en este recurso, destacando su enfoque principal y aplicabilidad.

09Conclusión

La norma ISO 37301:2021 ofrece un marco valioso para las organizaciones que buscan establecer, mantener y mejorar continuamente sus sistemas de gestión de cumplimiento. Al proporcionar un enfoque estructurado para identificar obligaciones, evaluar riesgos e implementar controles, la norma ayuda a las organizaciones a integrar una cultura de cumplimiento que se extiende más allá de la mera adhesión regulatoria para abarcar la conducta ética y el buen gobierno. Sin embargo, es crucial reconocer que la ISO 37301 es una pieza de un rompecabezas más grande. Su eficacia se amplifica cuando se integra con estrategias de gestión de riesgos más amplias, se informa por las expectativas regulatorias como las del Departamento de Justicia de los EE. UU., y se adapta a los requisitos específicos de la industria, como se ve en los servicios financieros. En última instancia, un sistema de gestión de cumplimiento robusto, ya sea guiado por la ISO 37301 u otros marcos, debe ser dinámico, receptivo y estar respaldado por una función de cumplimiento empoderada para navegar el panorama en constante evolución de los desafíos legales, regulatorios y éticos.

10Preguntas para el registro

1. ¿Cómo identifica y rastrea actualmente su organización sus obligaciones de cumplimiento, y cómo podría un SGC estructurado como la ISO 37301 mejorar este proceso?
2. ¿Cuáles son los riesgos de cumplimiento más significativos que enfrenta su organización y con qué eficacia se están gestionando actualmente estos riesgos?
3. ¿De qué manera podrían integrarse los principios de la ISO 37301 con su marco de gestión de riesgos empresariales existente para crear un enfoque más cohesivo?
4. ¿Cómo asegura su organización que sus políticas y procedimientos de cumplimiento no solo estén bien diseñados, sino que también se implementen de manera efectiva y se revisen regularmente para determinar su eficacia práctica?
5. ¿Qué recursos y autoridad se asignan a su función de cumplimiento, y cómo podrían fortalecerse para apoyar mejor un SGC eficaz?