Norma ISO 37001 e ISO 37301: certificación y beneficios en licitaciones y banca en Perú

ISO 37001 e ISO 37301: por qué hoy son clave para las empresas peruanas

En el entorno empresarial actual, contar con buenas intenciones ya no es suficiente. Las empresas necesitan demostrar, con evidencia objetiva, que tienen controles para prevenir el soborno, gestionar riesgos de incumplimiento y actuar con integridad frente a clientes, proveedores, bancos, inversionistas y entidades del Estado. En ese contexto, la ISO 37001 y la ISO 37301 se han convertido en referentes internacionales para fortalecer la gobernanza corporativa y el sistema de compliance.

En Perú, esta necesidad se ha intensificado por varios factores: mayores exigencias en licitaciones, procesos de debida diligencia más rigurosos por parte de bancos, presión de casas matrices y socios internacionales, y un marco legal que promueve la prevención de actos de corrupción y el cumplimiento normativo. Para muchas organizaciones, certificarse ya no es un elemento decorativo, sino una herramienta concreta para competir mejor y reducir contingencias.

Desde una perspectiva práctica, la certificación puede marcar diferencias relevantes. Por ejemplo, una empresa constructora que participa en concursos con entidades públicas o una empresa proveedora del sector minero puede ser evaluada no solo por precio y capacidad técnica, sino también por la madurez de su sistema de integridad. Del mismo modo, una empresa que solicita una línea de crédito importante puede enfrentar preguntas del banco sobre políticas antisoborno, canal de denuncias, conflictos de interés y controles sobre terceros.

En este artículo explicamos qué son estas normas, cómo se relacionan, qué beneficios concretos generan en licitaciones y banca, y qué pasos deben seguir las empresas peruanas para su implementación y certificación.

¿Qué es la ISO 37001 y qué regula?

La ISO 37001:2016, Sistemas de gestión antisoborno — Requisitos con orientación para su uso, es una norma internacional diseñada para ayudar a las organizaciones a prevenir, detectar y abordar el soborno. Su enfoque no garantiza que nunca ocurra un acto indebido, pero sí exige que la empresa implemente controles razonables y proporcionales al riesgo.

La norma puede aplicarse a empresas privadas, entidades públicas, asociaciones, fundaciones y organizaciones sin fines de lucro. En Perú, su adopción ha crecido especialmente en sectores expuestos a interacción con autoridades, permisos, contrataciones complejas o cadenas de suministro extensas, como construcción, minería, salud, transporte, energía y servicios empresariales.

Entre los componentes centrales de la ISO 37001 se encuentran:

• Política antisoborno aprobada por la alta dirección.
• Liderazgo y compromiso del órgano de gobierno.
• Evaluación periódica de riesgos de soborno.
• Debida diligencia sobre personal, socios de negocio y operaciones sensibles.
• Controles financieros y no financieros.
• Canales de denuncia e investigación interna.
• Monitoreo, auditoría y mejora continua.

La lógica es sencilla: identificar dónde puede presentarse el riesgo y establecer controles antes de que el problema se materialice. Esto incluye pagos de facilitación, regalos indebidos, comisiones sospechosas, intermediarios sin sustento, donaciones mal canalizadas o conflictos de interés no revelados.

Ejemplo práctico

Una empresa peruana de servicios de mantenimiento industrial tiene contratos con municipalidades y empresas privadas. Antes de implementar ISO 37001, permitía que los jefes comerciales aprobaran atenciones, obsequios y contratación de gestores externos sin validación central. Luego de mapear riesgos, detectó que esas prácticas podían generar observaciones serias. Con la implementación, estableció topes de regalos, matriz de aprobación, debida diligencia de terceros y revisión documentaria de comisiones. El resultado fue una reducción sustancial del riesgo y una mejor posición frente a clientes corporativos.

¿Qué es la ISO 37301 y cómo complementa a la ISO 37001?

La ISO 37301:2021, Compliance management systems — Requirements with guidance for use, establece los requisitos para implementar, desarrollar, mantener y mejorar un sistema de gestión de compliance. Su alcance es más amplio que la ISO 37001, porque no se enfoca solo en soborno, sino en el cumplimiento de obligaciones legales, regulatorias, contractuales y éticas.

En términos simples, si la ISO 37001 es una norma especializada en antisoborno, la ISO 37301 funciona como un marco integral de cumplimiento. Una empresa puede tener ambas: la primera para profundizar en corrupción y la segunda para ordenar el universo completo de compliance.

La ISO 37301 suele abarcar materias como:

• Cumplimiento tributario.
• Protección de datos personales.
• Libre competencia.
• Prevención de lavado de activos.
• Seguridad y salud en el trabajo.
• Cumplimiento laboral.
• Relaciones con consumidores.
• Ética corporativa y gobierno interno.

En el mercado peruano, esta norma es especialmente valiosa para grupos empresariales, empresas reguladas, organizaciones con múltiples sedes o compañías que operan con clientes internacionales que exigen un sistema de compliance verificable.

Diferencias entre ISO 37001 e ISO 37301

En la práctica, muchas empresas inician con ISO 37001 por una necesidad puntual vinculada a licitaciones o integridad corporativa, y luego evolucionan hacia ISO 37301 para consolidar un modelo completo de cumplimiento.

Marco legal peruano y relación con compliance

Aunque la certificación ISO no reemplaza el cumplimiento legal, sí puede servir como evidencia importante de diligencia empresarial. En Perú, esto se conecta con diversas normas.

Uno de los referentes más importantes es la Ley N.° 30424, Ley que regula la responsabilidad administrativa de las personas jurídicas por el delito de cohecho activo transnacional, posteriormente ampliada a otros delitos. Su artículo 17 desarrolla los elementos del modelo de prevención, y su enfoque guarda relación directa con componentes presentes en ISO 37001 e ISO 37301, como identificación de riesgos, encargado de prevención, procedimientos de denuncia, difusión y monitoreo.

Asimismo, el Decreto Supremo N.° 002-2019-JUS, Reglamento de la Ley N.° 30424, detalla criterios de evaluación del modelo de prevención, incluyendo tono desde la alta dirección, autonomía del encargado de prevención, evaluación de riesgos y mecanismos de reporte. Una empresa certificada no queda automáticamente exenta de responsabilidad, pero sí puede demostrar un mayor nivel de organización y control.

En materia de contrataciones con el Estado, la Ley N.° 30225, Ley de Contrataciones del Estado, y su reglamento exigen integridad, veracidad y cumplimiento de requisitos durante los procedimientos de selección y ejecución contractual. Aunque la norma no impone de manera general la certificación ISO 37001 o ISO 37301, en la práctica estas acreditaciones fortalecen el perfil del postor y mejoran su capacidad para atender requerimientos de due diligence, declaraciones juradas y controles de integridad.

Desde el punto de vista societario, la Ley General de Sociedades, Ley N.° 26887, reconoce deberes de diligencia y lealtad de administradores. Por ejemplo, el artículo 171 regula la responsabilidad de directores, lo que refuerza la necesidad de contar con sistemas que permitan evidenciar una gestión prudente de riesgos de cumplimiento.

Beneficios de ISO 37001 e ISO 37301 en licitaciones

Uno de los mayores incentivos para implementar estas normas es su impacto en procesos de contratación, tanto públicos como privados. En un mercado donde la confianza pesa cada vez más, una certificación reconocida puede convertirse en un factor diferenciador.

1. Mejora la percepción de integridad del postor

Cuando una empresa acredita que cuenta con un sistema certificado, transmite un mensaje claro: ha invertido en políticas, controles, capacitación y supervisión. Esto es especialmente relevante en sectores donde existen riesgos altos de soborno o conflictos de interés.

2. Facilita procesos de due diligence

En licitaciones privadas, grandes clientes suelen pedir códigos de ética, políticas antisoborno, matrices de riesgo, procedimientos de denuncia y evidencia de entrenamiento. Una empresa con ISO 37001 o ISO 37301 suele tener esta documentación ordenada y actualizada, lo que acelera la evaluación.

3. Reduce observaciones documentarias y contractuales

Muchas controversias surgen porque la empresa no puede sustentar cómo controla a sus terceros, cómo aprueba gastos sensibles o cómo investiga denuncias. Un sistema de gestión bien implementado reduce vacíos y mejora la trazabilidad documental.

4. Fortalece la competitividad en cadenas de suministro

Empresas mineras, energéticas, farmacéuticas y multinacionales exigen cada vez más estándares de compliance a sus proveedores críticos. La certificación puede abrir puertas a contratos que antes eran inaccesibles.

Ejemplo práctico

Una empresa mediana de ingeniería en Lima postulaba a contratos con una compañía minera. Técnicamente era competitiva, pero en la evaluación de proveedores quedaba rezagada por debilidades en compliance. Tras implementar ISO 37001, formalizó su política de regalos y hospitalidades, creó un canal de denuncias, evaluó terceros y capacitó a su personal clave. En la siguiente ronda, superó la etapa de homologación y logró ingresar al panel de proveedores.

Beneficios de ISO 37001 e ISO 37301 frente a bancos y entidades financieras

La relación entre compliance y banca es cada vez más estrecha. Los bancos no solo evalúan estados financieros y capacidad de pago; también analizan reputación, gobierno corporativo, origen de fondos, exposición a investigaciones y calidad de controles internos.

1. Mejor perfil de riesgo reputacional

Una empresa con certificación transmite mayor madurez institucional. Esto puede ser relevante en procesos de apertura de cuentas, ampliación de líneas de crédito, financiamiento estructurado o evaluación de clientes corporativos.

2. Respuesta más sólida a cuestionarios de cumplimiento

Los bancos suelen requerir información sobre beneficiario final, políticas anticorrupción, prevención de lavado de activos, conflictos de interés y relación con funcionarios públicos. Con ISO 37301 o ISO 37001, la empresa suele tener estos procesos documentados.

3. Menor probabilidad de alertas por operaciones inusuales

Si la organización tiene controles sobre pagos a terceros, comisiones, donaciones y gastos de representación, disminuye el riesgo de transacciones que generen alertas internas o requerimientos adicionales del sistema financiero.

4. Ventaja frente a inversionistas y fondos

No solo la banca tradicional valora estos estándares. Fondos de inversión, fintechs, entidades de factoring y socios estratégicos también incorporan variables ESG, integridad y compliance en sus decisiones.

Ejemplo práctico

Una empresa familiar del sector agroexportador buscaba una línea de capital de trabajo de S/ 4,500,000 para ampliar operaciones. El banco solicitó información sobre gobierno corporativo, controles sobre intermediarios y políticas de cumplimiento debido a operaciones con clientes del exterior. La empresa ya había avanzado en ISO 37301, por lo que presentó su matriz de obligaciones, políticas aprobadas, mapa de riesgos y evidencias de capacitación. Esto facilitó la revisión y redujo observaciones en el proceso de evaluación.

¿Cómo es el proceso de implementación y certificación?

La certificación no se obtiene solo por redactar políticas. Requiere diseñar e implementar un sistema vivo, proporcional al tamaño y riesgo de la organización. En términos generales, el proceso incluye las siguientes etapas:

1. Diagnóstico inicial o gap analysis

Se evalúa la situación actual de la empresa frente a los requisitos de la norma. Aquí se identifican brechas en políticas, controles, estructura, registros, capacitación y monitoreo.

2. Evaluación de riesgos

En ISO 37001, el foco está en riesgos de soborno. En ISO 37301, se analiza el universo de obligaciones de compliance. Esta etapa es crítica, porque define el nivel de controles que realmente necesita la empresa.

3. Diseño documental

Incluye políticas, procedimientos, matrices, protocolos de denuncias, lineamientos de debida diligencia, controles financieros y formatos de registro. La documentación debe ser clara, útil y aplicable, no solo formal.

4. Implementación operativa

Se ponen en marcha los controles: capacitaciones, aprobaciones, revisiones de terceros, declaraciones de conflicto de interés, investigaciones internas, monitoreo y reportes a la dirección.

5. Auditoría interna

Antes de buscar la certificación, conviene realizar una revisión independiente del sistema. Aquí resulta útil aplicar criterios de auditoría basados en la NIA 315, Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno, y la NIA 330, Respuestas del auditor a los riesgos valorados, adaptando el enfoque al entorno de control y cumplimiento.

6. Revisión por la dirección

La alta dirección debe evaluar el desempeño del sistema, recursos asignados, hallazgos, denuncias, incidentes y oportunidades de mejora.

7. Auditoría de certificación

La realiza un organismo certificador acreditado. Normalmente comprende revisión documental y verificación en campo de la aplicación real del sistema.

Errores frecuentes en empresas peruanas al buscar la certificación

• Copiar políticas genéricas sin adaptarlas al sector, tamaño y operación real de la empresa.
• Delegar todo al área legal sin involucrar a gerencia general, directorio, finanzas, compras y comercial.
• No evaluar terceros, pese a que agentes, consultores y proveedores son una fuente crítica de riesgo.
• Capacitar solo una vez y no mantener evidencia suficiente.
• Implementar controles sin trazabilidad, lo que impide demostrar su ejecución ante clientes, bancos o certificadores.
• Confundir certificación con blindaje legal absoluto; ninguna norma elimina por sí sola la posibilidad de incumplimientos.

¿Qué tipo de empresas deberían considerar ISO 37001 e ISO 37301?

Aunque cualquier organización puede beneficiarse, estas normas resultan especialmente recomendables para:

• Empresas que participan en licitaciones públicas o concursos privados complejos.
• Proveedores de minería, energía, construcción, salud y telecomunicaciones.
• Empresas con operaciones en varias regiones del Perú.
• Organizaciones con intermediarios, gestores o fuerza comercial intensiva.
• Empresas que buscan financiamiento bancario o inversión externa.
• Grupos empresariales que desean ordenar su gobierno corporativo y compliance.
• ONGs y asociaciones que administran fondos de cooperación o donaciones relevantes.

Ejemplo práctico

Una ONG con proyectos financiados por cooperación internacional en Cusco, Loreto y Lima manejaba compras descentralizadas y múltiples contrapartes locales. Aunque no participaba en licitaciones estatales, sus cooperantes exigían mayores estándares de integridad. La implementación de controles alineados con ISO 37301 le permitió ordenar su matriz de cumplimiento, fortalecer la revisión de proveedores y documentar mejor sus procesos de denuncia y supervisión.

Relación con auditoría, control interno y estados financieros

Un sistema de compliance robusto no solo mejora la reputación; también impacta positivamente en el control interno y en la calidad de la información financiera. Pagos indebidos, contratos simulados, comisiones sin sustento o gastos de representación mal documentados pueden derivar en contingencias tributarias, distorsiones contables y observaciones de auditoría.

Desde la óptica financiera, una cultura de cumplimiento fortalece la confiabilidad de registros y soportes. Esto se relaciona con la NIA 240, Responsabilidades del auditor en la auditoría de estados financieros con respecto al fraude, ya que la existencia de controles de integridad y canales de denuncia ayuda a reducir oportunidades de fraude y facilita su detección temprana.

Asimismo, si existen provisiones o contingencias asociadas a sanciones, investigaciones o incumplimientos, debe evaluarse su adecuada revelación conforme a la NIC 37, Provisiones, Pasivos Contingentes y Activos Contingentes. En otras palabras, compliance y contabilidad no son mundos separados; están profundamente conectados.

Conclusión

La ISO 37001 y la ISO 37301 no deben verse como simples certificados para exhibir. Bien implementadas, son herramientas de gestión que ayudan a prevenir riesgos, ordenar procesos, fortalecer la cultura ética y mejorar la posición competitiva de la empresa frente a licitaciones, clientes corporativos, bancos e inversionistas.

En el contexto peruano, donde la debida diligencia es cada vez más exigente y los riesgos reputacionales pueden afectar seriamente la continuidad del negocio, contar con un sistema antisoborno y de compliance bien diseñado puede generar beneficios concretos: acceso a nuevas oportunidades, mayor confianza del mercado y mejor capacidad de respuesta ante auditorías, fiscalizaciones o revisiones de terceros.

Si su empresa está evaluando implementar o certificar un sistema alineado con ISO 37001 o ISO 37301, en Carlos Lingan & Asociados S.C. podemos ayudarle a diagnosticar brechas, diseñar controles y acompañar el proceso con enfoque práctico y alineado a la realidad peruana. Para consultas, escríbanos a auditor@carloslingan.pe.