ISO 37301. Sistema de Gestión de Compliance

No, esta norma no viene a sustituir a las actuales soluciones de compliance sino que viene a complementarlas.

Si bien todas las soluciones comparten algunos requisitos metodológicos, como evaluación de riesgos, sistemas de control y atenuación de riesgo, verificación de la eficacia de los controles, etc., este esquema no coincide en el ámbito de aplicación ni en el enfoque.

Adicionalmente el enfoque también es distinto ya que la norma ISO 37301 está enfocada a la identificación y cumplimiento de obligaciones, mientras que el resto de las soluciones de compliance se enfocan a la identificación de potenciales situaciones de riesgo y a su prevención.

Sí, resulta más sencillo implantar esta nueva solución si ya se cuenta con un sistema de compliance penal, antisoborno o incluso tributario, ya que:

• Ya se cuenta con la implicación del órgano de gobierno, requisito para todas las soluciones de compliance.
• Ya se trabaja la denominada cultura de compliance (formación, sensibilización, etc.).
• Ya se dispone de un órgano de compliance o función de cumplimiento.

Esto significa que la mayoría de la infraestructura, procesos y recursos ya están en marcha, reduciendo significativamente el tiempo y coste de implementación.

No completamente. Esto tiene una especial relevancia en relación con la norma UNE 19601.

Los requerimientos de esta norma están alineados con lo que pide el artículo 31 bis del Código Penal, para poder construir un eximente atenuante de la responsabilidad penal de la persona jurídica. Con los requisitos de la norma ISO 37301 no se cubren estos requerimientos del artículo 31 bis del Código Penal, por lo que no sería suficiente para poder construir eximente o atenuante.

Este mismo razonamiento aplica para las otras dos soluciones. En el caso de la norma ISO 37001 antisoborno que se enfoca hacia los delitos de corrupción y en el caso de la norma UNE 19602, que contempla del delito fiscal, no estaríamos contemplando todos los requisitos que construyen un modelo completo, orientado a la exención o atenuación de responsabilidad penal.

En principio y debido a los requisitos que contiene la norma, especialmente en tema de estructura de cumplimiento, parece más adecuada para empresas grandes, pero también tienen cabida en empresas de menor tamaño.

Si bien es relevante que se disponga de sistemas maduros de gestión, que ya contemplan requerimientos en relación con las obligaciones y los riesgos como por ejemplo normas en ISO 14001, ISO 45001, etc.

La clave no es el tamaño absoluto de la organización, sino la madurez de sus sistemas de gestión existentes y la capacidad de asignar recursos dedicados a la función de compliance. Muchas medianas empresas con procesos bien estructurados han implementado exitosamente ISO 37301.