ISO 37304 entra en su fase final: así cambiará la certificación de los sistemas de gestión de compliance

La futura ISO 37304 pretende cubrir una de las principales carencias existentes en la certificación de los sistemas de gestión de compliance: establecer reglas internacionales específicas para los organismos que auditan y certifican sistemas implantados conforme a ISO 37301. Hasta ahora, los organismos de certificación debían apoyarse fundamentalmente en los requisitos generales de ISO/IEC 17021-1 y en la especificación técnica ISO/IEC TS 17021-13:2021. La nueva norma consolidará, ampliará y sistematizará estos criterios en un único documento, incorporando requisitos concretos sobre competencia de los auditores, definición del alcance, muestreo multisitio, auditorías de sistemas integrados y, especialmente, cálculo del tiempo de auditoría. El proyecto se encuentra actualmente en fase FDIS —Final Draft International Standard—. La votación final comenzó el 31 de julio de 2026 y concluirá el 25 de septiembre de 2026. Por tanto, todavía no debe presentarse formalmente como una norma internacional publicada, aunque su texto se encuentra ya en la última fase del procedimiento de aprobación.

Una norma dirigida a los organismos de certificación, no a las empresas certificadas

ISO 37304 no establece los requisitos que una organización debe cumplir para implantar un sistema de gestión de compliance. Esa función corresponde a ISO 37301:2021. La nueva norma se dirige a los organismos que realizan la auditoría y certificación de esos sistemas. Su objetivo es asegurar que la certificación se lleve a cabo de manera:

• competente;

• coherente;

• imparcial;

• técnicamente rigurosa;

• comparable entre distintos organismos y países.

El texto complementa ISO/IEC 17021-1, que contiene los requisitos generales aplicables a los organismos de certificación de sistemas de gestión. ISO 37304 introduce las reglas sectoriales necesarias para aplicar ese marco general al ámbito específico del compliance.  La norma también sustituirá a ISO/IEC TS 17021-13:2021. El propio borrador indica que se trata de una revisión técnica y que los requisitos de competencia incluidos en aquella especificación técnica se incorporan ahora dentro de ISO 37304.

Un respaldo internacional prácticamente unánime

El proyecto superó ampliamente la votación correspondiente a la fase DIS. Los 36 miembros participantes con condición de P-member votaron favorablemente, lo que supuso un respaldo del 100 %. En el conjunto de organismos nacionales participantes se registró únicamente un voto negativo entre 38 votos computados, por lo que el proyecto fue aprobado.  Tras resolver los comentarios recibidos, el grupo de trabajo remitió el texto final para su tramitación como FDIS.  Este amplio consenso resulta especialmente significativo porque la norma aborda cuestiones que durante años han generado diferencias relevantes entre organismos de certificación: la experiencia exigible a los auditores, el número mínimo de jornadas, la consideración del personal relevante, las auditorías multisitio o la forma de delimitar el alcance de una certificación de compliance.

La certificación ISO 37301 no es una auditoría legal ni forense

Uno de los mensajes más importantes de ISO 37304 es la delimitación de lo que representa realmente una certificación de compliance.

La auditoría de certificación:

• no es una auditoría forense;

• no es una revisión jurídica integral;

• no es una auditoría financiera;

• no garantiza que la organización cumpla todas las leyes y obligaciones aplicables;

• no certifica que nunca se hayan producido incumplimientos.

La certificación confirma que el sistema de gestión de compliance cumple los requisitos de ISO 37301 y que ha sido evaluado conforme a un proceso de certificación estructurado.  Esta distinción es esencial. Un sistema certificado puede reducir riesgos, mejorar los controles y reforzar la capacidad de prevención, detección y respuesta, pero no convierte automáticamente a la organización en inmune frente a infracciones. Por esta razón, la norma obliga a los organismos de certificación a controlar el uso de los certificados y de las marcas. El cliente certificado no podrá utilizar la certificación para afirmar que cumple todas sus obligaciones o que todas sus actividades empresariales cumplen las leyes y los reglamentos aplicables.

Competencias reforzadas para los equipos auditores

La competencia de los auditores constituye uno de los ejes centrales de ISO 37304. El equipo auditor deberá combinar la competencia general exigida por ISO/IEC 17021-1 con conocimientos específicos sobre ISO 37301 y sobre los elementos propios de un sistema de gestión de compliance. La norma no exige necesariamente que todos los integrantes del equipo tengan exactamente los mismos conocimientos. Lo determinante será que la competencia colectiva del equipo resulte suficiente para alcanzar los objetivos de la auditoría.

Conocimiento del contexto de la organización

Los auditores deberán comprender:

• las actividades y procesos de negocio;

• el sector en el que opera la organización;

• el contexto interno y externo;

• la relación entre las actividades y las obligaciones de compliance;

• los riesgos de compliance derivados de esas actividades;

• las partes interesadas relevantes.

Además, deberán disponer de capacidad para investigar e identificar las obligaciones y riesgos que resulten aplicables al alcance auditado.  Esto implica que una auditoría ISO 37301 no puede limitarse a comprobar la existencia de políticas, procedimientos o matrices de riesgos. El equipo debe comprender el negocio real y la forma en que los riesgos se materializan en los procesos.

Conocimiento jurídico suficiente, pero sin exigir necesariamente un título en Derecho

La norma exige que el equipo conozca los distintos sistemas jurídicos, pueda interpretar diferentes tipos de textos legales y comprenda su relevancia para las obligaciones de compliance de la organización. También deberá conocer el marco legal aplicable al cliente y otras fuentes de obligaciones, como:

• licencias;

• contratos;

• códigos voluntarios;

• normas sectoriales;

• códigos de conducta;

• compromisos con comunidades u organizaciones no gubernamentales.

No obstante, el propósito no es transformar la auditoría de certificación en una revisión jurídica ni exigir necesariamente que cada auditor sea abogado. La competencia debe ser adecuada para evaluar el sistema de gestión, no para emitir una opinión legal exhaustiva sobre cada obligación.

Evaluación de riesgos y controles de compliance

El equipo deberá conocer cómo se realizan las evaluaciones de riesgos de compliance, los métodos de evaluación y tratamiento de riesgos y la forma de valorar los controles establecidos por la organización.  Esto refuerza un enfoque basado en riesgos. El auditor no debería concentrarse exclusivamente en comprobar si existe documentación, sino analizar si:

• los riesgos han sido correctamente identificados;

• la evaluación resulta razonable;

• los controles guardan relación con los riesgos;

• los controles están implantados;

• existen evidencias sobre su funcionamiento;

• las medidas adoptadas son proporcionales.

Conocimiento específico del sistema de gestión de compliance

La norma identifica una serie de materias que deben formar parte de la competencia del equipo:

• cultura de compliance;

• liderazgo;

• función de compliance;

• formación;

• seguimiento, medición y reporte;

• sistemas de comunicación de inquietudes;

• investigación de incumplimientos.

Por tanto, la auditoría debe abarcar tanto la arquitectura formal del sistema como sus elementos conductuales y operativos.

El alcance de la certificación deberá ser mucho más preciso

ISO 37304 exige que el organismo de certificación verifique que la organización ha definido claramente:

• los límites organizativos del sistema;

• si el sistema cubre toda la organización, determinadas unidades o funciones específicas;

• las obligaciones de compliance vinculadas al sistema, cuestión en la que llevo personalmente años insistiendo pese a la obstinación por no entender una de las grandes diferencias embebidas en esta norma frente a otra y que muchas entidades de certificación, e incluso organismos de acreditación parecerían no haber entendido.

Esto evitará certificados excesivamente genéricos o ambiguos.

Los certificados deberán identificar las áreas de riesgo de compliance

Una de las novedades más visibles es que los documentos de certificación deberán identificar las áreas de riesgo de compliance relevantes a las que se aplica el alcance.

La norma cita como ejemplos:

• prevención del soborno;

• defensa de la competencia;

• prevención del blanqueo de capitales.

Esto puede modificar significativamente la redacción actual de muchos certificados ISO 37301. No bastará con una fórmula genérica del tipo «sistema de gestión de compliance aplicado a las actividades de la organización». El certificado tendrá que permitir comprender qué ámbitos de obligaciones y riesgos quedan comprendidos dentro de la evaluación.

Tratamiento de información confidencial y sensible

Las auditorías de compliance suelen implicar acceso a información especialmente sensible:

• investigaciones internas;

• denuncias;

• expedientes disciplinarios;

• asesoramiento jurídico;

• datos personales;

• análisis de operaciones sospechosas;

• comunicaciones protegidas;

• documentación sobre posibles ilícitos.

ISO 37304 exige que, antes de la auditoría, el organismo solicite al cliente que identifique la información que no puede facilitarse por su carácter confidencial o sensible. El organismo deberá valorar si los objetivos de auditoría pueden alcanzarse sin revisar esa información. Cuando la ausencia de acceso impida una evaluación adecuada, la auditoría no podrá continuar hasta que se establezcan mecanismos apropiados de acceso.  La confidencialidad, por tanto, no puede utilizarse como una exclusión automática de evidencias relevantes. El organismo deberá encontrar soluciones proporcionales, como accesos restringidos, revisión presencial, anonimización, muestreo controlado o intervención de personas con autorizaciones específicas.

Mayor rigor en la etapa 1

La etapa 1 adquiere una función especialmente relevante.

Durante esta fase, el organismo deberá obtener información documentada sobre el diseño del sistema y alcanzar una comprensión suficiente de:

• el contexto de la organización;

• las actividades del cliente;

• las obligaciones de compliance;

• la evaluación y tratamiento de riesgos;

• la política y los objetivos;

• la preparación para la etapa 2.

Además, deberá verificar que la evaluación de riesgos refleja adecuadamente todas las obligaciones incluidas en el alcance.  Los resultados de la etapa 1 deberán documentarse. Antes de autorizar la etapa 2, el organismo tendrá que revisar el informe de etapa 1 y confirmar que los miembros seleccionados para el equipo de etapa 2 disponen de la competencia necesaria. Esta exigencia hace difícil defender una etapa 1 puramente formal, limitada a completar una lista de comprobación documental.

El cambio más relevante: un método propio para calcular el tiempo de auditoría

Probablemente la novedad con mayor impacto operativo sea el Anexo B, de carácter normativo, dedicado al cálculo del tiempo de auditoría.Hasta ahora, la determinación de jornadas para ISO 37301 podía variar considerablemente entre organismos.

¿Qué cambia para las organizaciones certificadas?

Aunque ISO 37304 no se dirige formalmente a las empresas, tendrá efectos directos sobre ellas. Las organizaciones deberán estar preparadas para:

• definir con mayor precisión el alcance;

• justificar qué obligaciones están cubiertas;

• identificar las áreas de riesgo incluidas;

• explicar cómo se determinó la evaluación de riesgos;

• aportar evidencias sobre el funcionamiento de los controles;

• permitir acceso suficiente a información sensible;

• facilitar datos sobre las personas efectivas del sistema;

• demostrar la aplicación del sistema en centros y unidades;

• evitar declaraciones exageradas sobre el significado de la certificación.

También es previsible que determinados procesos de certificación requieran más tiempo que en la actualidad, especialmente cuando las jornadas previamente calculadas no respondan al nuevo criterio de personas efectivas, complejidad y exposición al riesgo.

Un paso hacia una certificación más homogénea y creíble

ISO 37304 puede convertirse en una pieza fundamental del ecosistema internacional de compliance. ISO 37301 establece cómo debe ser el sistema de gestión. ISO 37304 determinará cómo debe evaluarse y certificarse ese sistema por una tercera parte independiente. Su aportación principal no consiste en añadir nuevos controles a las organizaciones, sino en reforzar la credibilidad de la certificación mediante reglas comunes y específicas.

Calendario previsto

La fase FDIS comenzó el 31 de julio de 2026 y finalizará el 25 de septiembre de 2026. Si el texto supera esta votación final, el siguiente paso será la publicación como ISO 37304:2026. Hasta ese momento debe seguir denominándose ISO/FDIS 37304, evitando anunciarla como una norma ya publicada. En todo caso, los organismos de certificación y acreditación deberían comenzar ya el análisis de brechas. El contenido del FDIS muestra que la adaptación no se limitará a modificar un procedimiento: afectará a la cualificación de personas, la configuración de equipos, el cálculo de tiempos, el diseño de certificados y la propia metodología de auditoría.