Cuando una organización recibe la exigencia de “tener un programa de integridad”, suele reaccionar de una de dos maneras. O escribe un código de ética, lo publica en la intranet y da el tema por cerrado. O arranca dos proyectos en paralelo —uno antisoborno, otro de compliance general— con dos responsables, dos comités y dos juegos de documentación que nadie termina de mantener.
Las dos reacciones tienen el mismo origen: no está claro qué resuelve cada norma ni dónde se superponen.
Qué resuelve cada una
ISO 37001 aborda un riesgo específico: el soborno. Es deliberadamente estrecha y por eso es exigente. Pide identificar dónde la organización está expuesta —contratación pública, intermediarios comerciales, licitaciones, esquemas de comisiones, geografías de mayor riesgo—, y responder con controles concretos: debida diligencia de terceros, controles financieros y no financieros, política de regalos y hospitalidades, canal de denuncias con protección real al denunciante, y un protocolo de investigación.
ISO 37301 aborda el cumplimiento en general. Su objeto no es un riesgo sino un universo: todas las obligaciones que aplican a la organización, sean legales, regulatorias, contractuales o compromisos voluntarios asumidos. Su entregable central es el mapa de obligaciones, y con él la posibilidad de responder una pregunta que muchas direcciones no pueden contestar hoy: ¿qué tenemos que cumplir, quién responde por cada cosa y cómo lo sabemos?
Dicho corto: 37001 es profundidad sobre un riesgo; 37301 es amplitud sobre un universo.
Lo que comparten (que es mucho)
Ambas normas siguen la estructura de alto nivel de ISO. Eso significa que los siguientes componentes son uno solo, no dos:
| Componente | Se comparte |
|---|---|
| Contexto de la organización y partes interesadas | Sí |
| Liderazgo y compromiso del órgano de gobierno | Sí |
| Función de cumplimiento con autoridad e independencia | Sí |
| Metodología de evaluación de riesgos | Sí, con criterios distintos |
| Competencia, formación y toma de conciencia | Sí, con contenidos distintos |
| Canal de denuncias e investigación | Sí |
| Información documentada y control documental | Sí |
| Auditoría interna | Sí, con criterios distintos |
| Revisión por la dirección | Sí |
| Gestión de incumplimientos y mejora continua | Sí |
Lo que efectivamente se separa es más acotado de lo que parece: la evaluación de riesgos de soborno tiene una metodología propia y una granularidad mayor —se evalúa por proceso y por contraparte, no sólo por área—, y la debida diligencia de terceros con enfoque antisoborno es un procedimiento específico que ISO 37301 no exige con ese nivel de detalle.
El orden importa, y depende de por qué empieza
Casi nadie implanta las dos normas al mismo tiempo desde cero. El orden lo define la razón por la que se arranca.
Si el disparador es una exigencia concreta —una licitación que lo pide, una casa matriz que lo impone, un financiamiento internacional que lo condiciona—, empiece por ISO 37001. Es más acotada, se implanta más rápido y responde exactamente a lo que le están pidiendo. Ampliar después a 37301 reutilizando la estructura tiene un costo incremental mucho menor que el proyecto inicial.
Si el disparador es de gestión —la Dirección no tiene visibilidad de sus obligaciones, hubo un susto regulatorio, se está por entrar a un sector regulado—, empiece por el mapa de obligaciones de ISO 37301. Es el entregable que más valor genera de forma inmediata, incluso antes de que exista un sistema de gestión alrededor.
Ese mapa suele ser revelador. Es habitual que sea la primera vez que la organización ve consolidado en un solo lugar todo lo que debe cumplir, y que aparezcan obligaciones con dueño ambiguo: quién responde efectivamente por la normativa de datos personales, quién por las obligaciones laborales de los contratistas, quién por las cláusulas de cumplimiento que se firmaron con un cliente hace dos años.
Tres errores que vemos con frecuencia
Confundir el código de ética con el sistema. El código declara qué se espera. El sistema es lo que hace que eso ocurra: riesgos identificados, controles asignados a personas concretas, evidencia que se genera sola en la operación y alguien que revisa. Un código sin sistema es una declaración de intenciones con membrete.
Poner la función de cumplimiento a reportar a quien debería controlar. Si el responsable de cumplimiento reporta a la gerencia comercial o a la dirección financiera, el conflicto de interés está incorporado al diseño. La norma exige autoridad, independencia y acceso directo al órgano de gobierno. No exige dedicación completa —en organizaciones medianas se resuelve bien con dedicación parcial— pero sí exige esa línea de reporte.
Un canal de denuncias que nadie usa. Un formulario en la intranet que llega a la casilla de Recursos Humanos no es un canal de denuncias: es un buzón de sugerencias con otro nombre. Sin anonimato posible, sin operación independiente y sin una política de no represalias que se haya comunicado en serio, el canal existe formalmente y no funciona en la práctica. La ausencia total de denuncias en un canal nuevo rara vez significa que no hay nada que denunciar.
Y la seguridad de la información, ¿dónde entra?
Entra en tres puntos, y conviene preverlos desde el diseño.
La protección de datos personales —Ley 18.331 y normativa de la URCDP— es una obligación más dentro del mapa de 37301, pero sus controles viven en el sistema de seguridad de la información. Si existe un SGSI ISO/IEC 27001, el sistema de compliance no reimplementa esos controles: los referencia.
El canal de denuncias maneja información extremadamente sensible: identidad del denunciante, imputaciones sobre personas identificadas, evidencia de investigaciones en curso. Su tratamiento —control de acceso, cifrado, retención, segregación— es un problema de seguridad de la información, no de compliance.
La evidencia de cumplimiento debe ser íntegra y trazable para tener valor ante un auditor o un regulador. Registros que cualquiera puede editar sin dejar rastro no prueban nada. En los proyectos que acompañamos, esa integridad se resuelve con control documental con versionado y hash sobre SORT Redmine, la misma plataforma que soporta el SGSI.
Es la razón por la que sostenemos que integridad, cumplimiento y seguridad de la información no son tres proyectos: son tres vistas de un mismo sistema de gestión.
¿Necesita ordenar el marco de integridad de su organización? Conozca nuestros servicios de ISO 37001 e ISO 37301.