¿Qué es ISO 37301, la norma de sistemas de gestión de compliance?
ISO 37301:2021, Compliance management systems — Requirements with guidance for use («Sistemas de gestión del compliance — Requisitos con orientación para su uso»), fija los requisitos de un sistema que permite a una organización conocer todas sus obligaciones y demostrar que las cumple. Sustituyó a ISO 19600:2014, que era solo una guía, y se certifica.
Según su página en iso.org, consultada el 11 de noviembre de 2026, la norma está en su primera edición (abril de 2021, 40 páginas), elaborada por el comité ISO/TC 309 «Gobernanza de las organizaciones». Se revisó y confirmó en 2026: esta versión sigue en vigor. Una modificación, ISO 37301:2021/Amd 1:2024, añade la consideración del cambio climático («Climate action changes»), como en las demás normas de sistemas de gestión.
En España y en América Latina se dice indistintamente «compliance» o «cumplimiento normativo»; en este artículo usamos ambos términos. El comité ISO/TC 309 precisa cuatro puntos útiles:
- la norma se publicó el 13 de abril de 2021;
- se dirige a cualquier organización, sean cuales sean su tipo, su tamaño y la naturaleza de su actividad, en el sector público, privado o sin ánimo de lucro;
- se basa en cuatro principios: buena gobernanza, proporcionalidad, transparencia y sostenibilidad;
- es una norma de sistemas de gestión «de tipo A», que se integra con ISO 9001 (calidad), ISO 14001 (medio ambiente) e ISO 37001 (antisoborno).
De ISO 19600:2014 a ISO 37301:2021
Durante la revisión de ISO 19600:2014, Compliance management systems — Guidelines, el comité decidió en septiembre de 2018 convertirla en una norma de requisitos, con un nuevo número. ISO 19600 se anuló con la publicación de ISO 37301. La diferencia es importante: una guía se lee y se aplica libremente, una norma de requisitos se audita. Si su política de compliance cita todavía ISO 19600, remite a un texto que ya no existe.
Qué abarca una «obligación de cumplimiento»
En la práctica, el registro de un sistema ISO 37301 contiene dos familias de obligaciones: las que impone la ley y las que la empresa ha decidido respetar (contratos de clientes, código de conducta de un cliente principal, carta de un sello, compromisos públicos). Es lo que distingue el compliance de la simple vigilancia jurídica: un exportador que firma el código de conducta de proveedores de su cliente europeo añade una obligación a su registro, aunque ninguna ley marroquí se la imponga.
¿Qué pide ISO 37301 a una empresa, en concreto?
Pide un sistema completo y proporcionado: obligaciones identificadas, riesgos evaluados, una política respaldada por la dirección, responsabilidades, formación, un canal de denuncias, investigaciones, controles y mejora. Las preguntas frecuentes del comité ISO/TC 309 (mayo de 2022) resumen estas medidas; la tabla las vincula con las pruebas que pide un auditor.
Requisito resumido por el ISO/TC 309 | Lo que implanta la empresa | Prueba tipo en Marruecos |
|---|---|---|
Identificar las obligaciones de cumplimiento ligadas a productos, servicios y actividades, y evaluar los riesgos de incumplimiento | Registro de obligaciones, cartografía de riesgos de cumplimiento | Registro que cubre el Código del Trabajo, la ley 09-08 (datos personales), la ley 28-00 (residuos) y las cláusulas de los contratos de clientes |
Fijar los límites y el alcance del sistema | Alcance por escrito | Centros, filiales y actividades cubiertos, exclusiones justificadas |
Compromiso y responsabilidad de la dirección | Política de compliance firmada, papel del órgano de gobierno | Acta del consejo, carta de compromiso del director general |
Comunicar la política al personal y a los socios de negocio | Difusión interna y externa | Acuses de recibo, cláusulas de proveedores, sitio web |
Objetivos, responsabilidades y autoridades en cada nivel | Función de compliance designada, objetivos medibles | Descripción del puesto, organigrama, acceso directo a la dirección |
Formación y comunicación | Plan de formación por nivel de exposición | Hojas de asistencia, cuestionarios, materiales |
Evaluación periódica de los riesgos | Revisión periódica de la cartografía | Cartografía fechada y revisada |
Denuncias, seguimiento, investigación y auditoría | Canal de denuncias, procedimiento de investigación, programa de auditoría interna | Registro de denuncias, informes de investigación y de auditoría |
Medición y evaluación del desempeño | Indicadores de cumplimiento | Cuadro de mando presentado en la revisión por la dirección |
Acciones correctivas, revisión por la dirección, mejora | Tratamiento de las desviaciones | Plan de acciones con seguimiento, acta de la revisión |
Tres precisiones de las mismas preguntas frecuentes evitan malentendidos. La norma puede cubrir solo una parte de la organización: algunas actividades, o una o varias sociedades de un grupo. No exige un programa separado: sus medidas se integran en los procesos y controles existentes, gracias a la estructura común de las normas de sistemas de gestión. Por último, sus usos van más allá de la certificación: sirve también de referencia para evaluar a un socio, o de condición de entrada en una cadena de valor.
Por ejemplo, un proveedor de automoción de la región de Tánger, certificado ISO 9001, recibe de su cliente europeo un código de conducta de proveedores y un cuestionario sobre corrupción, datos personales y sanciones. No necesita un segundo sistema: añade a su mapa de procesos un registro de obligaciones, una evaluación de los riesgos de cumplimiento y un canal de denuncias, y los mantiene vivos en sus auditorías internas y en su revisión por la dirección.
¿Qué recomienda ISO 37000 para la gobernanza de las organizaciones?
ISO 37000:2021, Governance of organizations — Guidance («Gobernanza de las organizaciones — Orientación»), ofrece al consejo de administración y a la dirección principios para dirigir, supervisar y rendir cuentas, de modo que la organización cumpla su propósito. Es una guía: no se certifica y no añade ninguna obligación reglamentaria.
Según su página en iso.org, la norma (primera edición, septiembre de 2021, 36 páginas, ISO/TC 309) se revisó y confirmó en 2026. Se dirige a los órganos de gobierno y a las partes interesadas en la gobernanza, y se aplica a cualquier organización, sean cuales sean su tipo, su tamaño, su ubicación, su estructura o su finalidad. El comité ISO/TC 309 la describe como un referencial que no introduce regulación adicional, sino que complementa los textos existentes.
El comité resume la norma en once temas. La tabla los traduce en preguntas que un consejo puede plantearse.
Principio ISO 37000 (según el ISO/TC 309) | Pregunta para el consejo | Prueba esperada |
|---|---|---|
Propósito | ¿Por qué existe la empresa, para quién crea valor? | Propósito escrito y validado |
Generación de valor | ¿Cómo se crea y se reparte el valor? | Modelo de negocio descrito |
Estrategia | ¿Sirve la estrategia al propósito? | Plan estratégico aprobado |
Supervisión | ¿Sigue el consejo el desempeño, con un control interno y un aseguramiento fiables? | Comité de auditoría, informes de control interno |
Rendición de cuentas | ¿Rinden cuentas quienes han recibido una delegación? | Delegaciones de poderes, información periódica |
Implicación de las partes interesadas | ¿Se conocen las expectativas de las partes interesadas? | Cartografía y diálogo documentados |
Liderazgo | ¿Marcan los directivos el tono ético? | Código de conducta respaldado por la dirección |
Datos y decisiones | ¿Se basan las decisiones en datos fiables? | Gobernanza de los datos |
Gobernanza del riesgo | ¿Se gestiona el efecto de la incertidumbre sobre la estrategia? | Apetito de riesgo aprobado |
Responsabilidad social | ¿Son las decisiones transparentes y coherentes con las expectativas de la sociedad? | Política de RSC, informe ESG |
Viabilidad y desempeño en el tiempo | ¿Sigue siendo viable la empresa sin comprometer a las generaciones futuras? | Plan a largo plazo, riesgos climáticos |
El comité insiste en dos puntos: una supervisión eficaz, mediante un sistema de control interno claro y procesos de aseguramiento fiables, y la rendición de cuentas en todos los niveles, ya que el órgano de gobierno responde en última instancia de las acciones y omisiones de la organización. ISO 37301 es la herramienta que hace verificables estos dos principios en materia de cumplimiento: ISO 37000 dice lo que el consejo debe supervisar, ISO 37301 organiza lo que supervisa.
Para la responsabilidad social en sentido amplio, la referencia sigue siendo ISO 26000, que tampoco se certifica; nuestra página RSC, sello CGEM e ISO 26000 detalla su plantilla y el sello de la Confederación General de Empresas de Marruecos (CGEM).
¿Dónde se sitúa ISO 37001:2025 y cómo combinar las tres normas?
ISO 37001:2025, que sustituye a ISO 37001:2016, es la norma certificable de sistemas de gestión antisoborno: trata un único riesgo, mientras que ISO 37301 cubre todas las obligaciones de cumplimiento. Ambas comparten la misma estructura y se integran en un mismo sistema, bajo la gobernanza descrita por ISO 37000.
Según su página en iso.org, ISO 37001:2025 (segunda edición, febrero de 2025, ISO/TC 309) ayuda a las organizaciones a prevenir, detectar y tratar el soborno, directo o indirecto, y a cumplir las leyes contra el soborno y los compromisos voluntarios aplicables a sus actividades, en los sectores público, privado y sin ánimo de lucro. ISO 37001:2016 y su modificación de 2024 están anuladas. La página de ISO 37301 resume la diferencia: ISO 37001 se centra en el soborno, ISO 37301 cubre un ámbito de cumplimiento más amplio.
Su situación | Norma prioritaria | Por qué |
|---|---|---|
Licitaciones públicas, intermediarios comerciales, socios que exigen un programa antisoborno | ISO 37001:2025 | El riesgo principal es el soborno, y la exigencia apunta a ese riesgo |
Cuestionarios de clientes sobre varios temas (corrupción, datos, sanciones, competencia, derechos humanos) | ISO 37301:2021 | Un único registro responde a todas las preguntas |
Sociedad cotizada o emisora: informe ESG y balance de gobierno corporativo anuales | ISO 37000:2021 como plantilla, ISO 37301 para la función de compliance | El código marroquí de gobierno corporativo pide un sistema de cumplimiento y un informe |
Ya certificada ISO 37001 | Ampliar a ISO 37301 | Misma estructura: se amplían el registro de obligaciones y la cartografía de riesgos |
Grupo con varios centros o filial de un grupo europeo | ISO 37301 en el perímetro expuesto | La norma puede cubrir solo una parte de la organización |
El orden importa menos que la base común: una sola política de ética y cumplimiento, una sola función, un solo canal de denuncias, un solo programa de auditoría interna. Un centro certificado ISO 9001:2026 (antes ISO 9001:2015) o ISO 14001:2026 (antes ISO 14001:2015) conserva su mapa de procesos, su control documental y su revisión por la dirección; nuestra guía ISO 14001 y ESG muestra cómo un sistema certificado alimenta la información ESG.
¿Por qué pasa la «G» del ESG por estas normas en Marruecos?
Porque los reguladores, los clientes y los bancos piden ahora pruebas de gobernanza, y no solo declaraciones. En Marruecos, el código de buen gobierno 2025 de las sociedades que recurren al ahorro público espera un sistema de deontología y de cumplimiento; en Europa, las normas de información de los clientes piden datos de gobernanza a sus proveedores.
El código de buen gobierno corporativo 2025
Según sus prioridades de acción 2026, la Autoridad Marroquí del Mercado de Capitales (AMMC) participó, dentro de la Comisión Nacional de Gobierno Corporativo (CNGE), en la modernización del código marroquí de buenas prácticas de gobierno corporativo de 2008. El marco adoptado en 2025 incluye un código general y cinco códigos específicos. El código específico de las empresas que recurren al ahorro público, publicado por la AMMC en francés, recuerda los cinco perfiles cubiertos por los códigos específicos: empresas que recurren al ahorro público, entidades de crédito, empresas de seguros y reaseguros, empresas y establecimientos públicos, y pymes y microempresas, incluidas las familiares. Una pyme no cotizada también tiene, por tanto, un código de referencia.
Este código entró en vigor el 18 de diciembre de 2025. Lo que pide, y lo que aportan las normas ISO:
Lo que dice el código (APE, 2025) | Sección | Aportación de las normas ISO |
|---|---|---|
El informe ESG anual refleja el grado de conformidad con las prácticas del código; toda divergencia se explica («cumplir o explicar») | Introducción | ISO 37000 como plantilla de autoevaluación del balance anual de gobierno corporativo |
La sociedad cotizada en la Bolsa de Casablanca designa un responsable de deontología (normativa vigente) | 6 | La función de compliance de ISO 37301, con acceso directo al órgano de gobierno |
Un sistema que incluye una cartografía de riesgos, la formación del personal más expuesto, una política anticorrupción publicada y un sistema de alerta confidencial que protege frente a las represalias | 6.3 | Evaluación de riesgos y canal de denuncias de ISO 37301; política y diligencia debida de ISO 37001 |
Una política de gestión de los conflictos de intereses aprobada por el consejo y publicada | 6.4 | Obligación inscrita en el registro, controles y auditoría interna |
Tres líneas: operaciones, luego gestión de riesgos y cumplimiento, luego auditoría interna independiente | 7.C | Funciones y responsabilidades, seguimiento y auditoría de ISO 37301 |
Informe ESG basado en un referencial internacional reconocido, con un balance anual de gobierno corporativo; posible verificación por un organismo externo independiente | 8.3 | Indicadores de cumplimiento extraídos del sistema, trazables para el verificador |
El código no cita las normas ISO y no exige ninguna certificación. Fija prácticas; ISO 37301 e ISO 37001 aportan un método probado para implantarlas y conservar sus pruebas. El marco público de prevención de la corrupción se basa, por su parte, en la ley n.º 46-19, promulgada por el dahír n.º 1-21-36 de 21 de abril de 2021, que encomienda a la Instancia Nacional de la Probidad, la Prevención y la Lucha contra la Corrupción (INPPLC) la misión, entre otras, de consolidar los principios de buena gobernanza (art. 4).
Lo que piden los clientes europeos
Los proveedores no cotizados reciben la gobernanza por otra vía: la información de sostenibilidad de sus clientes. La norma VSME, anexo I del Reglamento Delegado (UE) 2026/1560, pide en su módulo básico el número de condenas y el importe total de las multas por infracción de la legislación contra la corrupción y el soborno durante el periodo, si las ha habido (B11, apartado 43). Su módulo completo pide la ratio de diversidad de género del órgano de gobierno, si existe (C9, apartado 64). Nuestra guía de la norma VSME detalla estos puntos. Las grandes empresas sujetas a la CSRD aplican las ESRS, entre ellas la norma de gobernanza G1; nuestro artículo sobre las ESRS simplificadas ofrece su calendario, y nuestra comparativa ESRS, VSME, GRI y NIIF S2 ayuda a elegir el marco.
Un sistema ISO 37301 simplifica estas respuestas: el registro de litigios alimenta B11, el acta de composición del consejo alimenta C9, y el código de conducta, el canal de denuncias y las formaciones responden a las preguntas sobre conducta empresarial de los cuestionarios y de la diligencia debida de sus clientes.
¿Se puede certificar ISO 37301 y cómo se prepara el proyecto?
Sí. ISO 37301 es una norma de requisitos: un organismo de certificación independiente puede verificar que un sistema es conforme. La certificación no es obligatoria, salvo cuando la exige un contrato o una licitación, y no garantiza la ausencia de incumplimientos.
Las preguntas frecuentes del comité ISO/TC 309 aportan los matices útiles:
- La ISO no emite certificados. La ISO publica las normas; organismos de certificación externos auditan y certifican.
- No hay protección absoluta. Aplicar ISO 37301, con o sin certificado, no protege a la organización frente a acciones judiciales. El sistema puede servir de prueba de que había adoptado medidas adecuadas, lo que puede reducir o excluir su responsabilidad según el derecho aplicable; la certificación por un tercero refuerza esa prueba.
- No hay garantía de resultado. La norma ayuda a prevenir, detectar y tratar el riesgo de incumplimiento; no asegura que no se produzca ningún incumplimiento.
- Organismos competentes. Los organismos de certificación aplican ISO/IEC 17021-1, completada para los sistemas de compliance por una especificación técnica de competencias propia (ISO/IEC TS 17021-13). La acreditación no es obligatoria, pero confirma la competencia de forma independiente. En Marruecos, el Servicio Marroquí de Acreditación (SEMAC) publica la lista de los organismos que acredita: compruebe el alcance.
Las etapas de un proyecto ISO 37301
- Encuadre. El consejo o la dirección general fija el alcance (entidades, centros, actividades) y designa la función de compliance.
- Registro de obligaciones. Leyes y reglamentos aplicables, contratos de clientes, códigos de conducta firmados, compromisos públicos.
- Evaluación de los riesgos de cumplimiento. Probabilidad y consecuencias por obligación y por proceso; prioridades.
- Política y organización. Política de compliance, código de conducta, conflictos de intereses, canal de denuncias, procedimiento de investigación.
- Despliegue. Controles integrados en los procesos existentes, formación por nivel de exposición, comunicación a los socios de negocio.
- Verificación. Indicadores, auditoría interna, revisión por la dirección y, después, auditoría previa antes de la auditoría de certificación, si aspira a ella.