En abril de 2021 se publicó el estándar internacional ISO 37301 sobre Sistemas de Gestión de Compliance. Requisitos con orientación para su uso
anulando y sustituyendo a la Norma ISO 19600:2013 Sistemas de Gestión de Compliance. Directrices.
En 2018 el Comité Técnico, responsable de este estándar, solicitó se revisase dicha Norma y adaptase su contenido y aplicabilidad a la actualidad de nuestros días.
La Norma ISO 37301 ha sido aprobada en más de 60 países – en el caso de España desde mayo de 2021- y su objetivo es demostrar por parte de las organizaciones su compromiso por cumplir y reducir los riesgos en materia de Compliance. Entre las novedades que nos trae este nuevo estándar destacamos las siguientes principales características:
• Certificable. Las normas ISO acabadas en 1 son certificables y, por tanto, se permitirá evaluar la conformidad de los Sistemas de Gestión de Compliance basados en esta Norma ante un organismo oficial acreditando unos estándares de cumplimiento determinados. Este Estándar certificará que la organización tiene una gestión centralizada de las obligaciones en Compliance que ella misma decida.
• Requisitos. El estándar pasa de dar orientaciones y directrices a requisitos, es decir, exigencias obligatorias contenidas en normativas y leyes de obligado cumplimiento. La Norma 19600 era una guía orientativa por desarrollar, por lo que la 37301 recoge las mejores prácticas de la anterior Norma y lo convierte en requisitos exigibles.
• Genérico. Si bien la Norma ISO 19600 ya hablaba de Sistemas de Gestión de Compliance en general, desde su publicación en 2013 y su adaptación en estándar nacional -UNE- en 2015, han acaecido novedades que dirigen los esfuerzos de las organizaciones no sólo al ámbito penal, sino también al Compliance en general. Así lo demuestra la Circular 1/2016 de la Fiscalía General del Estado cuando señala que los modelos de organización y gestión procurarán “cumplir con la legalidad en general y, por supuesto, con la legalidad penal pero no sólo con ella”.
La gran dificultad que nos presenta esta Norma es que habla de Compliance en un sentido muy amplio, por lo que la tarea de delimitar el alcance corresponde a las organizaciones.
• Alcance. Los requisitos de este estándar serán aplicables a todo tipo de empresas, independientemente del tamaño, actividad o sector de actividad.
• Cultura. Como objetivo fundamental encontramos que el Estándar quiere impregnar a las organizaciones de una cultura de Compliance, lo que significa que éstas deben estar convencidas plenamente de apostar por la gestión de riesgos y por el Compliance, existiendo un liderazgo y compromiso firme por parte del órgano de gobierno.
• Función de Compliance. La función de Compliance -comúnmente recogida en la figura del oficial de cumplimiento o Compliance Officer- es el responsable de supervisar que el Sistema de Gestión de Compliance se encuentra debidamente implementado, es eficaz y se revisa de manera continua, para garantizar que es un Sistema vivo y mejorable, adaptándolo a las necesidades reales de las organizaciones. De esta forma, se deja claro que el poder de decisión debe venir de la Junta de Administración y la alta dirección, dejando a la función de Compliance en una posición que le proteja ante desavenencias con respecto a éstos.
• No-conformidad y e incumplimiento de Compliance. La distinción entre no-conformidad e incumplimiento de Compliance seguirá vigente tal y como se estipulaba en su antecesora. Esta diferenciación no lo encontramos en ningún otro estándar como los estándares antisoborno -37001-, de Compliance Penal -19601- o el de Compliance Tributario -19602-, por lo que ciertamente ha sido un revulsivo en este sentido.
Recordamos que en nomenclatura de normalización de estándares internacionales la no conformidad es el incumplimiento de la normativa que afecta a la organización y un incumplimiento de Compliance, por su parte, consiste en no cumplir tanto con una norma de obligado cumplimiento por parte de la organización como un una práctica o compromiso asumido voluntariamente.
En definitiva, el Estándar ISO 37301 sobre Sistemas de Gestión de Compliance, contempla unos requisitos de cumplimiento con orientación para su uso. Aunque lo verdaderamente relevante, es, sin duda, que será certificable, pero basándose en los mismos elementos clave de todas las Normas ISO, el ciclo PDCA -Plan – Do – Check – Act.
En los siguientes artículos os hablaremos de casos concretos en el mercado donde empresas hayan integrado esta superestructura a sus modelos de organización y gestión.