La ISO 37001 es una norma internacional que establece requisitos y proporciona orientación para implementar, mantener, revisar y mejorar un Sistema de Gestión Antisoborno (SGAS). Su propósito es ayudar a las organizaciones a prevenir, detectar y responder ante situaciones de soborno, así como a cumplir las leyes antisoborno y los compromisos voluntarios que sean aplicables a sus actividades.
La norma puede aplicarse en organizaciones de diferentes tamaños y sectores, tanto públicas como privadas y sin fines de lucro. Además, puede implementarse como un sistema independiente o integrarse con otros sistemas de gestión existentes.
Actualmente, la referencia vigente es ISO 37001:2025, segunda edición, publicada en febrero de 2025. En Perú, INACAL aprobó la NTP-ISO 37001:2025, segunda edición, mediante la Resolución Directoral N.° 017-2025-INACAL/DN, publicada el 7 de agosto de 2025. Esta norma reemplazó a la NTP-ISO 37001:2016.
¿Qué busca prevenir la ISO 37001?
La ISO 37001 está diseñada específicamente para gestionar el riesgo de soborno dentro de una organización.
Esto significa que su objetivo no es únicamente establecer una política que prohíba entregar o recibir sobornos. El enfoque de la norma es construir un Sistema de Gestión capaz de identificar dónde pueden presentarse riesgos de soborno, determinar controles proporcionales y comprobar posteriormente si esos controles funcionan.
La norma contempla distintas situaciones relacionadas con el soborno, incluyendo el soborno directo e indirecto. Su alcance comprende situaciones relacionadas con la propia organización, su personal y sus socios de negocio, de acuerdo con las actividades y relaciones comprendidas en el sistema.
Por esta razón, implementar ISO 37001 implica analizar procesos y relaciones comerciales concretas. Una organización puede estar expuesta a riesgos diferentes dependiendo de sus operaciones, estructura, ubicación, sector, tipo de clientes, proveedores, intermediarios y relación con entidades públicas o privadas.
El sistema debe responder a ese contexto en lugar de utilizar controles idénticos para todas las organizaciones.
¿Qué es un Sistema de Gestión Antisoborno?
Un Sistema de Gestión Antisoborno es el conjunto estructurado de políticas, responsabilidades, procesos, controles, mecanismos de comunicación, evaluación y mejora que una organización utiliza para gestionar sus riesgos de soborno.
La ISO 37001 no plantea el antisoborno como una actividad aislada del resto de la empresa.
El sistema debe integrarse en la forma en que la organización dirige sus operaciones. Esto implica que la prevención del soborno debe considerar las responsabilidades de la alta dirección, los procesos donde existen riesgos, las relaciones con socios de negocio y los mecanismos mediante los cuales se reportan y tratan posibles incumplimientos.
Entre los elementos que ISO identifica dentro de un sistema antisoborno se encuentran la política antisoborno, el liderazgo y compromiso, la función antisoborno, la evaluación periódica del riesgo, la debida diligencia, los controles financieros y no financieros, la capacitación, los mecanismos de reporte, la investigación, la auditoría y la mejora continua.
Por ello, ISO 37001 debe entenderse como un Sistema de Gestión y no simplemente como un código de conducta.
¿A quién se aplica la norma ISO 37001?
Una de las características de ISO 37001 es que puede aplicarse a organizaciones de cualquier tamaño y sector, incluyendo entidades públicas, empresas privadas y organizaciones sin fines de lucro.
La norma no está limitada a empresas que tengan un determinado nivel de facturación o número de trabajadores.
Su aplicación debe considerar el contexto particular de cada organización. Una empresa industrial, una entidad pública, una empresa de servicios o una organización sin fines de lucro pueden tener estructuras y riesgos de soborno diferentes.
Esto también significa que implementar ISO 37001 no consiste en copiar un sistema desarrollado para otra organización. La organización debe determinar cuáles son sus procesos relevantes, qué partes interesadas y socios de negocio son pertinentes y qué riesgos necesitan controles específicos.
¿Cómo funciona la gestión del riesgo de soborno en ISO 37001?
Uno de los fundamentos de la ISO 37001 es el enfoque basado en riesgos.
La organización debe evaluar los riesgos de soborno a los que está expuesta y utilizar esa información para determinar la naturaleza y el nivel de los controles que necesita.
Por ejemplo, una relación comercial que implique un intermediario que interactúa con autoridades públicas puede requerir controles de debida diligencia diferentes a los aplicados a una relación comercial de menor exposición.
La lógica no es establecer controles sin considerar el riesgo. Es determinar qué situaciones pueden generar exposición al soborno y establecer medidas razonables y proporcionales.
La propia ISO identifica la evaluación periódica del riesgo de soborno como uno de los componentes fundamentales del sistema.
Esto convierte a la evaluación de riesgos en una herramienta de gestión y no solamente en un documento que se prepara para una auditoría.
¿Qué controles contempla la ISO 37001?
La norma contempla diferentes tipos de controles para abordar los riesgos identificados.
Uno de ellos son los controles financieros, relacionados con la forma en que se autorizan, registran y supervisan determinadas operaciones económicas.
También contempla controles no financieros, que pueden ser relevantes en procesos como compras, contratación, selección de socios de negocio y otras actividades donde pueden existir riesgos de soborno.
La ISO también establece elementos relacionados con la debida diligencia, capacitación, comunicación, mecanismos de reporte, investigación y auditoría.
La importancia de esta combinación está en que el riesgo de soborno no necesariamente se manifiesta mediante una transacción financiera evidente. Puede estar asociado con decisiones, relaciones, intermediarios, contrataciones o beneficios indebidos.
Por ello, el sistema necesita controles que permitan prevenir y detectar diferentes escenarios.
¿Qué papel cumple la alta dirección en ISO 37001?
La responsabilidad de un sistema antisoborno no puede recaer exclusivamente en el área de cumplimiento, legal, auditoría o recursos humanos.
La ISO 37001 incorpora requisitos relacionados con el liderazgo, compromiso y responsabilidad de la alta dirección. La organización debe demostrar que existe una dirección efectiva del sistema y que la prevención del soborno forma parte de la gestión organizacional.
Este aspecto es especialmente importante porque un sistema antisoborno puede tener procedimientos formalmente aprobados y, aun así, no funcionar si la dirección no respalda su aplicación.
La política debe traducirse en responsabilidades, recursos, controles y decisiones coherentes con los objetivos del sistema.
Por ello, durante la implementación no basta con aprobar una política antisoborno. La organización debe demostrar cómo esa política se incorpora a sus procesos y cómo la dirección supervisa el desempeño del sistema.
¿Qué es la función antisoborno?
ISO 37001 contempla una función responsable de supervisar el sistema antisoborno.
Esta función debe contar con las condiciones necesarias para desempeñar sus responsabilidades y participar en actividades como la supervisión del sistema, asesoramiento, seguimiento y otras funciones relacionadas con la gestión antisoborno.
Su existencia es importante porque permite establecer una responsabilidad definida dentro de la organización.Sin embargo, esto no significa que el sistema antisoborno pertenezca exclusivamente a esa función.
La prevención del soborno involucra diferentes niveles y áreas de la organización. Compras, finanzas, recursos humanos, operaciones, comercial, dirección y otras funciones pueden intervenir en procesos donde existan riesgos.
Por eso, la función antisoborno coordina y supervisa, pero la eficacia del sistema depende de que los controles sean aplicados por las áreas responsables de cada proceso.
¿Qué importancia tiene la debida diligencia en ISO 37001?
La debida diligencia es otro elemento central del sistema antisoborno.
Su propósito es obtener y evaluar información relevante antes de establecer o mantener determinadas relaciones, operaciones o actividades que puedan presentar riesgos.
ISO identifica la debida diligencia sobre proyectos y socios de negocio como uno de los componentes del sistema antisoborno.
En términos prácticos, esto significa que una organización debe tener criterios para determinar cuándo necesita analizar con mayor profundidad a un socio de negocio.
El nivel de revisión debe estar relacionado con el riesgo. No todas las relaciones necesariamente presentan la misma exposición, por lo que la organización debe establecer un enfoque proporcional.
Esto permite que la gestión antisoborno se integre con procesos como selección de proveedores, contratación de terceros, intermediarios y otras relaciones comerciales relevantes.
¿ISO 37001 exige capacitación sobre antisoborno?
Sí. La capacitación y toma de conciencia forman parte de los elementos identificados por ISO para el sistema antisoborno.
La razón es sencilla: los controles escritos no son suficientes si las personas que intervienen en los procesos no conocen las políticas y responsabilidades que les corresponden.
La capacitación debe estar vinculada con las funciones y riesgos relevantes para la organización.
Además de comunicar la política antisoborno, la organización necesita generar conocimiento sobre las responsabilidades del personal, los mecanismos para comunicar preocupaciones y los controles aplicables a sus actividades.
De esta manera, la capacitación se convierte en parte del funcionamiento del sistema y no solamente en una actividad aislada.
También puedes ver nuestro articulo: Gestión de riesgos en ISO 9001 para empresas alimentarias
¿Cómo se detectan y tratan posibles casos de soborno?
Un sistema antisoborno necesita mecanismos que permitan reportar, investigar y responder ante posibles situaciones de soborno.
ISO 37001 contempla actividades de reporte, monitoreo, investigación y auditoría, además de acciones correctivas y mejora continua.
Esto permite establecer una secuencia de gestión: identificar una situación potencial, recibir la información mediante los canales establecidos, analizarla de acuerdo con los procedimientos aplicables, investigar cuando corresponda y determinar las acciones necesarias.
La existencia de mecanismos de reporte es particularmente relevante porque permite que la organización reciba información sobre situaciones que podrían no ser detectadas mediante los controles rutinarios.
La eficacia del sistema, por tanto, también depende de que las personas conozcan cómo comunicar una preocupación y de que la organización tenga mecanismos para tratarla adecuadamente.
¿ISO 37001 se puede integrar con otros sistemas de gestión?
Sí. ISO señala expresamente que ISO 37001 puede implementarse como un sistema independiente o integrarse en un marco de gestión existente.
Esto resulta especialmente relevante para organizaciones que ya cuentan con sistemas basados en otras normas ISO.
La integración puede facilitarse mediante elementos comunes de los sistemas de gestión, como la definición del contexto, liderazgo, planificación, evaluación del desempeño, auditoría y mejora.
Sin embargo, integrar sistemas no significa eliminar los requisitos específicos de ISO 37001.
El sistema antisoborno debe conservar los controles propios de su materia, incluyendo la evaluación del riesgo de soborno, debida diligencia, controles financieros y no financieros, capacitación, mecanismos de reporte e investigación.
La integración debe permitir aprovechar estructuras existentes sin diluir los controles antisoborno.
¿Qué beneficios puede aportar implementar ISO 37001?
La finalidad de ISO 37001 es establecer un sistema para prevenir, detectar y responder al soborno, pero su implementación puede producir efectos adicionales en la gestión organizacional.
ISO identifica entre sus beneficios la reducción de los riesgos asociados al soborno, el fortalecimiento del cumplimiento de leyes antisoborno, el aumento de la confianza de las partes interesadas y el fortalecimiento de la reputación e integridad de la organización.
Estos beneficios deben entenderse como resultados potenciales de un sistema correctamente implementado, no como una consecuencia automática de obtener un certificado.
La certificación demuestra que un organismo de certificación ha evaluado el sistema frente a los requisitos correspondientes. La eficacia real dependerá de cómo la organización mantenga y mejore sus controles en el tiempo.
También puedes ver nuestro articulo: ¿Qué papel tienen los sindicatos en la certificación ISO 45001?
¿Qué versión de ISO 37001 está vigente actualmente?
La versión internacional vigente es ISO 37001:2025, segunda edición, publicada el 28 de febrero de 2025. La versión ISO 37001:2016 se encuentra oficialmente retirada por la organización ISO.
En el Perú, INACAL aprobó la NTP-ISO 37001:2025, segunda edición, el 7 de agosto de 2025, reemplazando de forma definitiva a la NTP-ISO 37001:2016.
Además, el proceso de transición internacional tiene una fecha relevante para las organizaciones certificadas.
Siguiendo las disposiciones internacionales del documento IAF MD 30:2025, desde el 31 de agosto de 2026 todas las auditorías iniciales y de recertificación se realizan obligatoriamente bajo la versión ISO 37001:2025. El periodo de transición global finaliza el 28 de febrero de 2027, fecha a partir de la cual las certificaciones bajo la versión antigua dejarán de ser válidas. Por lo tanto, para cualquier organización que busque implementar o certificar actualmente su sistema, la única referencia aplicable es la versión 2025.
¿ISO 37001 es una certificación o una norma?
ISO 37001 es una norma de Sistemas de Gestión. La certificación es un proceso independiente mediante el cual un organismo de certificación evalúa si el sistema implementado por una organización cumple los requisitos aplicables de la norma.
Una organización puede implementar los controles de la norma ISO 37001 de manera interna sin necesidad de buscar la certificación. Por ello, decir que una empresa “implementó ISO 37001” se refiere a la adopción operativa del sistema, mientras que decir que “está certificada bajo ISO 37001” implica que ha superado con éxito una auditoría formal externa.
¿Por qué ISO 37001 es relevante para las organizaciones en Perú?
En el contexto peruano, la gestión antisoborno tiene relevancia tanto para organizaciones públicas como privadas.
INACAL señala que la norma proporciona un marco para prevenir, detectar y responder ante situaciones de soborno y que puede aplicarse a organizaciones de cualquier sector y tamaño.
Además, la adopción de la NTP-ISO 37001:2025 permite que las organizaciones peruanas trabajen con la edición actual de la norma internacional dentro del marco nacional de normalización.
Esto resulta especialmente relevante para organizaciones que mantienen relaciones con múltiples partes interesadas, participan en procesos de contratación, gestionan proveedores o intermediarios o necesitan demostrar ante clientes y otras partes interesadas que cuentan con mecanismos estructurados para gestionar los riesgos de soborno.
Conclusión: ¿Qué es realmente ISO 37001?
La ISO 37001 es una norma internacional para establecer y gestionar un Sistema de Gestión Antisoborno, orientado a prevenir, detectar y responder ante riesgos de soborno.
Su importancia no está únicamente en contar con una política que prohíba estas prácticas. El verdadero alcance de la norma está en construir un sistema capaz de identificar riesgos, establecer controles proporcionales, evaluar relaciones con socios de negocio, capacitar al personal, recibir reportes, investigar situaciones y mejorar continuamente.
La edición vigente es ISO 37001:2025, y en Perú ya existe la correspondiente NTP-ISO 37001:2025.
Para una organización que está evaluando integrar esta norma, el punto de partida debería ser comprender su propio contexto y exposición al riesgo de soborno. A partir de allí, el sistema debe diseñarse de manera proporcional a sus actividades, estructura y relaciones.
En otras palabras, ISO 37001 no consiste simplemente en tener documentos antisoborno: consiste en establecer un sistema de gestión que permita demostrar que los riesgos son identificados, tratados, supervisados y mejorados de manera sistemática. Conoce los beneficios de la norma ISO 37001:2025 en nuestra pagina web.
Si deseas conocer más de nuestros servicios de certificación, visítanos en lsq.com.pe
Preguntas frecuentes sobre ISO 37001
¿Qué significa ISO 37001?
ISO 37001 es la norma internacional que establece requisitos y orientación para implementar, mantener, revisar y mejorar un Sistema de Gestión Antisoborno.
¿Cuál es la versión vigente de ISO 37001?
Actualmente, la versión vigente es ISO 37001:2025, segunda edición, publicada en febrero de 2025. ISO 37001:2016 se encuentra retirada.
¿Qué es un Sistema de Gestión Antisoborno?
Es un sistema estructurado de políticas, responsabilidades, procesos y controles destinado a gestionar los riesgos de soborno de una organización y prevenir, detectar y responder ante posibles situaciones de soborno.
