La certificación ISO de compliance, principalmente regulada por la norma ISO 37301:2021 sobre sistemas de gestión de compliance, se ha convertido en un elemento cada vez más relevante para empresas españolas que buscan acreditar de forma objetiva su compromiso con el cumplimiento normativo. Aunque no es obligatoria por ley, su implantación tiene efectos jurídicos directos, especialmente en materia de responsabilidad penal de las personas jurídicas.
¿Qué es exactamente la certificación ISO 37301?
La ISO 37301 sustituyó en 2021 a la anterior ISO 19600 (que era solo una guía, no certificable) y estableció por primera vez un estándar internacional certificable para los sistemas de gestión de compliance. A diferencia de otras normas ISO centradas en un ámbito concreto (calidad, medioambiente, seguridad de la información), la ISO 37301 exige a la organización identificar todas las obligaciones de cumplimiento aplicables —legales, contractuales y voluntarias— y establecer un sistema de gestión capaz de prevenir, detectar y responder a los incumplimientos.
La certificación es otorgada por entidades acreditadas (como AENOR en España) tras una auditoría externa que verifica que el sistema de gestión implantado cumple los requisitos de la norma y funciona de forma efectiva, no solo documental.
Relación con la responsabilidad penal de las personas jurídicas
El artículo 31 bis del Código Penal, tras las reformas introducidas por las Leyes Orgánicas 5/2010 y 1/2015, establece que las personas jurídicas pueden quedar exentas de responsabilidad penal si acreditan que, antes de la comisión del delito, habían adoptado y ejecutado eficazmente un modelo de organización y gestión (compliance program) que incluya medidas de vigilancia y control idóneas para prevenir delitos o reducir significativamente el riesgo de su comisión.
Aunque la certificación ISO 37301 no constituye por sí sola una eximente automática de responsabilidad penal —los tribunales analizan la eficacia real del modelo en el caso concreto—, sí aporta un elemento probatorio de gran valor: acredita ante un juez, mediante auditoría independiente, que el sistema de compliance no es meramente cosmético, sino que responde a un estándar internacional verificado.
Beneficios prácticos de certificarse
- Refuerzo de la defensa penal corporativa: facilita acreditar la diligencia debida del artículo 31 bis del Código Penal en caso de investigación penal.
- Acceso a licitaciones y contratos: muchas administraciones públicas y grandes clientes privados valoran o exigen certificaciones de compliance en sus procesos de contratación y homologación de proveedores.
- Mejora de la gobernanza corporativa: obliga a formalizar canales de denuncia, mapas de riesgos y protocolos de actuación, mejorando la organización interna.
- Reducción de riesgos reputacionales: anticipa y mitiga situaciones que podrían derivar en sanciones administrativas, penales o daños de imagen.
- Sinergias con otras normativas: facilita el cumplimiento simultáneo de otras obligaciones como el Reglamento General de Protección de Datos (RGPD), la Ley 2/2023 reguladora de la protección de las personas que informen sobre infracciones normativas (canal de denuncias) o la normativa de prevención de blanqueo de capitales (Ley 10/2010).
Fases del proceso de certificación
1. Diagnóstico y mapa de riesgos normativos
Identificación de todas las obligaciones legales y contractuales aplicables al sector y actividad concreta de la empresa, así como de los riesgos de incumplimiento asociados a cada proceso.
2. Diseño e implantación del sistema de gestión
Elaboración de políticas de compliance, protocolos de actuación, canal de denuncias conforme a la Ley 2/2023, formación del personal y designación de un responsable de cumplimiento con autonomía e independencia suficientes, tal como exige el propio artículo 31 bis del Código Penal.
3. Auditoría interna y revisión por la dirección
Antes de la auditoría externa, se realizan auditorías internas para verificar el funcionamiento real del sistema y corregir desviaciones.
4. Auditoría de certificación
Una entidad acreditada externa evalúa el sistema de gestión y, si se cumplen los requisitos, emite el certificado ISO 37301, sujeto a auditorías periódicas de seguimiento para mantener su vigencia.
El papel del asesoramiento jurídico especializado
Implantar un sistema de compliance certificable exige combinar conocimiento normativo penal, mercantil, laboral y de protección de datos con metodología de gestión de riesgos. Un diseño deficiente del programa —por ejemplo, un canal de denuncias que no garantice la confidencialidad, o un mapa de riesgos incompleto— puede restar eficacia probatoria al sistema precisamente quesirve. Contar con especialistas capaces de elaborar los informes de responsabilidad profesional necesarios para sustentar el modelo de compliance resulta clave tanto en la fase de diseño como en la eventual defensa ante una investigación.
Auditorías de seguimiento y mantenimiento de la certificación
Obtener la certificación ISO 37301 no es un hito puntual, sino el inicio de un ciclo de mejora continua: las entidades certificadoras realizan auditorías de seguimiento anuales y una auditoría de recertificación cada tres años, verificando que el sistema de gestión de compliance sigue funcionando de forma efectiva y se adapta a los cambios normativos y organizativos de la empresa. Un sistema que se descuida tras la certificación inicial pierde rápidamente su valor probatorio ante un eventual requerimiento judicial, precisamente porque el artículo 31 bis del Código Penal exige que el modelo de organización y gestión se ejecute de forma efectiva, no que exista solo sobre el papel.
Por ello, es habitual integrar el sistema de compliance certificado con otros procesos de gestión de riesgos ya existentes en la empresa —prevención de riesgos laborales, protección de datos personales conforme al RGPD y la Ley Orgánica 3/2018, prevención de blanqueo de capitales— evitando duplicidades y logrando que el compliance se perciba internamente como parte de la gestión ordinaria y no como una carga burocrática añadida.
Diferencias con otras certificaciones relacionadas
Conviene distinguir la ISO 37301 de otras normas afines que en ocasiones se confunden: la ISO 37001 se centra específicamente en sistemas de gestión antisoborno, mientras que la UNE 19601 es una norma española específica sobre sistemas de gestión de compliance penal, muy alineada con los requisitos del artículo 31 bis del Código Penal español. Muchas empresas optan por certificarse simultáneamente en varias de estas normas, dado que comparten una estructura de alto nivel común (Anexo SL) que facilita su integración en un único sistema de gestión.
Coste y retorno de la inversión en compliance
La implantación y certificación de un sistema ISO 37301 supone una inversión inicial en consultoría, formación y auditoría que las pymes suelen percibir como elevada. Sin embargo, el coste de no disponer de un sistema eficaz —sanciones penales, exclusión de licitaciones, pérdida de contratos con grandes clientes que exigen certificación a sus proveedores— suele superar ampliamente esa inversión inicial a medio plazo.
El responsable de compliance: perfil y garantías de independencia
La norma ISO 37301 exige que la organización designe una función de compliance con autoridad, recursos y acceso directo al órgano de administración, garantizando su independencia frente a las áreas operativas que debe supervisar. En sociedades de cierto tamaño, esta función suele materializarse en un comité de compliance o en la figura del compliance officer, cuya idoneidad y autonomía son, precisamente, uno de los elementos que los tribunales españoles valoran de forma más estricta a la hora de apreciar la eficacia real del modelo de prevención penal.
Canal de denuncias y protección del informante
La Ley 2/2023, de protección de las personas que informen sobre infracciones normativas, obliga a empresas de más de 50 trabajadores a disponer de un canal de denuncias interno, con garantías de confidencialidad y prohibición expresa de represalias contra el denunciante de buena fe. Este canal, exigido también por la norma ISO 37301 como elemento central del sistema de gestión de compliance, constituye frecuentemente la principal fuente de detección temprana de incumplimientos dentro de la organización.
Conclusión
La certificación ISO de compliance no es un mero sello decorativo: es una herramienta jurídica que puede marcar la diferencia entre la exención y la condena penal de tu empresa, además de abrir puertas comerciales y reforzar la gobernanza interna. En TorreonLegal ayudamos a diseñar, implantar y auditar sistemas de compliance sólidos y certificables. Contacta con nosotros y protege a tu organización frente a los riesgos normativos.