Qué es la ISO 37001 y qué exige

La empresa de servicios tenía un código de ética firmado por todo el personal y un buzón de denuncias en la intranet. Cuando un cliente corporativo actualizó su evaluación de proveedores, pidió evidencia de un sistema antisoborno: evaluación de riesgos, debida diligencia sobre intermediarios, controles sobre regalos y registro de denuncias atendidas. El código existía, pero nadie había evaluado dónde estaba el riesgo, el buzón llevaba un año sin revisarse y los agentes que gestionaban trámites nunca habían pasado por ninguna revisión.

Qué es la ISO 37001

La ISO 37001 es la norma internacional de sistemas de gestión antisoborno. Especifica los requisitos para prevenir, detectar y responder al soborno, tanto el que puede cometer la organización o su personal como el que pueden recibir. Cubre el soborno en el sector público y en el privado, directo o a través de terceros. No cubre otros delitos como el fraude, el lavado de dinero o las prácticas monopólicas, salvo en lo que se relacionen con un soborno.

Tiene la estructura de alto nivel de las normas ISO de sistemas de gestión, así que se integra con la ISO 9001 o la ISO 27001 con los mismos capítulos de contexto, liderazgo, planificación, apoyo, operación, evaluación y mejora.

Qué exige

• —Política antisoborno aprobada por la alta dirección, comunicada al personal y a los socios de negocio.
• —Función de cumplimiento antisoborno con autoridad, independencia y acceso directo al órgano de gobierno.
• —Evaluación del riesgo de soborno por proceso, país, sector, tipo de transacción y socio de negocio.
• —Debida diligencia proporcional al riesgo sobre transacciones, proyectos, socios de negocio y personal en puestos expuestos.
• —Controles financieros, como segregación de funciones y doble firma, y no financieros, como controles en compras y contratación.
• —Reglas sobre regalos, hospitalidad, donaciones y patrocinios.
• —Compromisos antisoborno de los socios de negocio y cláusulas que permitan terminar la relación.
• —Canal para plantear inquietudes de buena fe, con confidencialidad y protección contra represalias.
• —Investigación de los casos reportados y acciones cuando se confirma un soborno.
• —Capacitación, auditoría interna y revisión por la dirección y por el órgano de gobierno.

Cómo se relaciona con la ley en México

La Ley General de Responsabilidades Administrativas prevé sanciones para las personas morales involucradas en faltas graves como el soborno a servidores públicos. Su artículo 25 establece que, al determinar la responsabilidad, se valorará si la empresa cuenta con una política de integridad, y lista sus elementos: manual de organización, código de conducta, sistemas de control y auditoría, canales de denuncia, capacitación, políticas de recursos humanos y transparencia de intereses. Un sistema con la ISO 37001 cubre esos elementos y deja evidencia de que funcionan, lo que resulta especialmente relevante para empresas que contratan con el gobierno.

Errores frecuentes

• —Tratar el código de ética como si fuera el sistema completo.
• —Hacer una evaluación de riesgos genérica, sin revisar procesos concretos como trámites, licitaciones o aduanas.
• —Aplicar la misma debida diligencia a todos los proveedores en lugar de concentrarla en los de mayor riesgo.
• —Nombrar como responsable de cumplimiento a alguien sin autoridad ni acceso a la dirección.
• —Tener un canal de denuncias que nadie revisa o que no protege la identidad de quien reporta.
• —No registrar regalos ni hospitalidad por considerarlos menores.

Dónde se rompe en la operación

En las empresas de servicios, el riesgo de soborno suele concentrarse en pocos puntos: trámites ante autoridades, licitaciones, gestores externos y cuentas grandes. Esos puntos rara vez aparecen en la matriz de riesgos del sistema de calidad, aunque compartan procesos. En la Ciudad de México, donde se concentran los corporativos y la contratación con dependencias federales, cada vez más clientes piden evidencia de controles antisoborno en su evaluación de proveedores. Integrar esos controles al análisis de riesgos, a la gestión de proveedores y a la auditoría interna es parte de lo que se estructura en la Consultoría ISO 9001 en Ciudad de México, donde la prestación del servicio se protege como un proceso más del sistema.

En resumen

La ISO 37001 es la norma de sistemas de gestión antisoborno. Pide una política, una función de cumplimiento con autoridad, una evaluación del riesgo de soborno y controles proporcionales: debida diligencia, controles financieros y no financieros, reglas sobre regalos y un canal de denuncias protegido. Comparte estructura con las demás normas ISO y ayuda a demostrar la política de integridad que la ley mexicana toma en cuenta.