UNE-ISO 37301, una nueva solución de compliance

Cuando el término compliance empezó a tomar impulso, fueron muchas las voces que en ese momento ya afirmaron que no se trataba de una moda pasajera, sino de un factor fundamental para que la sostenibilidad y el buen gobierno alcanzara el nivel deseado en las organizaciones. Hoy está demostrado que sin un compromiso con el cumplimiento y, sobre todo, si no se aborda la cultura de compliance como algo que debe llegar a todos los niveles de la organización es imposible alcanzar objetivos en un valor en alza como es el buen gobierno.

En este sentido, la Asociación Española de Normalización, UNE, acaba de publicar la Norma UNE-ISO 37301 Sistemas de gestión de compliance. Requisitos con orientación para su uso, que viene a sumarse y a completar las soluciones de evaluación de la conformidad que ya ofrece AENOR en este ámbito dentro de su Plataforma de Confianza: “Escalar valores corporativos”. Esto es, las certificaciones de Sistema de Gestión de Compliance Penal UNE 19601, Antisoborno UNE-ISO 37001 y Compliance Tributario UNE 19602.

La nueva Norma UNE-ISO 37301 sustituye a la UNE-ISO 19600:2015, que constituye una guía de directrices para la implantación de sistemas de gestión de compliance en las organizaciones, pero que no era certificable. Y es que, la Norma UNE-ISO 37301 contiene requisitos, por lo que se trata de una norma certificable. Además, completa su contenido con una guía que recoge directrices no obligatorias, pero que pueden resultar de gran ayuda para la aplicación y correcta interpretación de dichos requisitos.

Asimismo, la Norma UNE-ISO 37301 comparte la Estructura de Alto Nivel de las normas de sistemas de gestión internacionales ISO, lo que favorece la integración con otros sistemas.

Partiendo, como en otros sistemas de gestión, de un análisis de contexto y de partes interesadas, el sistema de gestión de compliance descrito en la UNE-ISO 37301 implica que la organización debe contar con una sistemática para la identificación y actualización de las principales obligaciones que afectan a sus actividades, productos o servicios.

Cuando se habla de obligaciones, la Norma UNE-ISO 37301 no pone el foco solo en las derivadas de leyes o reglamentos, sino en aquellas otras obligaciones relevantes para la organización y que pueden provenir de compromisos adquiridos por vía contractual, por ejemplo. La organización tiene que realizar una evaluación para analizar y valorar los riesgos derivados de los posibles incumplimientos de esas obligaciones, establecer los mecanismos de control adecuados para evitar o minimizar esos riesgos, y verificar periódicamente que esos controles son eficaces.

Como en otras soluciones de compliance son muy relevantes los requisitos relativos al liderazgo -ya que estos sistemas deben ser impulsados desde los órganos de gobierno-, los requisitos de cultura de compliance (formación, sensibilización, comunicación al personal) y la necesidad de poner a disposición los canales de comunicación adecuados para facilitar que se pueda informar de posibles incumplimientos o irregularidades.

En los Sistemas de Compliance Penal UNE 19601 y Gestión Antisoborno UNE-ISO 37001, las organizaciones tienen que identificar las potenciales situaciones de riesgo a las que podrían enfrentarse y evaluar el riesgo de que se materialicen. Con la UNE-ISO 37301, las organizaciones tienen que identificar las obligaciones y evaluar los riesgos asociados a sus posibles incumplimientos.

Asimismo, la Norma UNE-ISO 37301 establece el conjunto de requerimientos de gestión del cumplimiento. Es decir, no se trata de cumplir con las obligaciones, sino de acreditar que se dispone de los recursos, procedimientos y procesos adecuados para gestionar adecuadamente ese cumplimiento.

Probablemente, los elementos de control que se asocian a los riesgos en las Normas UNE 19601, UNE-ISO 37001, UNE 19602 y UNE-ISO 37301 van a ser coincidentes total o parcialmente. Esto facilita la integración de todas las soluciones de compliance, además de otros requisitos entre las distintas normas.

Otra cuestión que se plantea en la Norma UNE-ISO 37301 es el alcance del sistema de gestión de compliance que define la organización. Este alcance debe abarcar, como mínimo, las obligaciones más relevantes a las que la organización debe hacer frente en el ejercicio de sus actividades, elaboración de sus productos o prestación de sus servicios. Es decir, el sistema de gestión de compliance debe tener una cobertura razonable de las obligaciones cuyo incumplimiento supone un riesgo importante para la organización, tanto por las posibles sanciones derivadas como por el impacto reputacional y de pérdida de confianza que puede causar en sus partes interesadas.

La auditoría externa de certificación del sistema de gestión de compliance de acuerdo con la Norma ISO 37301 realizada por un tercero independiente, como es el caso de AENOR, es una de las maneras más fiables, eficaces y transparentes de evidenciar el compromiso explícito y público de la organización y sus líderes con la cultura de cumplimiento.

AENOR ha certificado en el ámbito del compliance más de 900 centros de empresas en el ámbito nacional e internacional.