La ISO 37.301 o cómo el compliance consigue alcanzar su madurez

Autor: David Fauquie Borrajo, socio de Auren Abogados y experto en Compliance.

Fuente: Lawyer Press

Lentamente, por desgracia, pero de manera inexorable se va produciendo la incorporación de la cultura del compliance en lugares en los que, hasta hace no tanto, conceptos como cumplimiento, ética o el mismo compliance resultaban extraños y ocasionales.

La muy reciente aprobación de la nueva UNE-ISO 37.301:2021 de Sistemas de gestión del compliance y requisitos con orientación para su uso (en adelante ISO 37.301) supone lo que, confiemos, será la consagración definitiva de la cultura del cumplimiento.

¿Qué ofrece de novedoso esta ISO 37.301? Las principales novedades se dirigen a reforzar la importancia del compliance en las organizaciones, a la par que se busca la normalización y estandarización de los Sistemas de gestión del compliance, facilitando así su implantación, operatividad y verificación. El compliance se configura como un proceso continuado en el tiempo, algo vivo y mutable.

Analizando los rasgos característicos de esta nueva ISO, conviene destacar que es el primer estándar internacional para certificar sistemas de compliance. De este modo y a partir de ahora, se establece la obligatoriedad de que un tercero independiente certifique el sistema de cumplimiento implementado, teniendo como marco de referencia la ISO 37.301. Las organizaciones han de aspirar a dotarse de un marco de seguridad por lo que, un sistema de compliance acorde con esta nueva norma y que pueda obtener con éxito la correspondiente certificación, les otorgará tal garantía.

La implementación de este estándar posibilita el desarrollo en un entorno en el que todos los actores se rijan conforme a unas pautas comunes a nivel internacional en materia de cumplimiento, que serán verificadas y verificables.

Por otro lado, la nueva norma desarrolla y concreta diversos aspectos vinculados con el compliance. Estos son algunos de los aspectos más destacados:

• La “Cultura del Compliance” se erige como piedra angular del sistema, estableciéndose la ética y los valores como elementos fundamentales sobre los que articular los comportamientos de las entidades y sus integrantes. Esta cultura ha de ser promovida desde el más alto nivel y permear a toda la organización.
• A diferencia de la ISO 19601 (centrada en la prevención de los riesgos penales) esta nueva ISO 37.301 amplia su ámbito de aplicación, posibilitando la integración de manera armónica de una pluralidad de sistemas de gestión de riesgos. La base del sistema es un enfoque de riesgos, tomando como puntos de partida las ISO 31000 y 31.010 (Gestión de Riesgos).
• Se desarrolla un elemento tan relevante en este contexto como es el Responsable de Cumplimiento, poniendo énfasis en la adecuada cualificación de la figura. Se incide nuevamente en que esta figura ha de reportar de manera directa a los más altos órganos de gobierno, garantizando su independencia y autoridad, así como la ausencia de conflicto de intereses.
• Se impulsa decididamente el empleo del canal de denuncias. Se potencia así la conciencia sobre la responsabilidad compartida en la detección y puesta de manifiesto de los riesgos por parte de todos los integrantes de la organización y de su entorno, así como la disponibilidad de herramientas adecuadas para “sacar a la luz” tales riesgos. Esta cuestión entronca con la ISO 37002 y habrá que tener muy en cuenta lo dispuesto en la normativa aplicable en la materia (en el caso de España, es inminente la aprobación de tal normativa, en tanto que el 17 de diciembre de 2021 finaliza el plazo para trasponer la Directiva de la Unión Europea 2019/1937, sobre protección del denunciante).

Como puede comprobarse, esta nueva ISO 37.301 posee vocación de durabilidad y pretende convertirse en un pilar sólido sobre el que desarrollar con éxito una siempre necesitada cultura del cumplimiento normativo en nuestra sociedad y sus agentes. Sea bienvenida, por tanto, la madurez del compliance.