ISO 37001 gestiona el riesgo de soborno, ISO 37301 gestiona el cumplimiento en general e ISO 37002 orienta cómo recibir y tratar denuncias. Las dos primeras son normas de requisitos que una organización puede implementar y certificar; la tercera es una guía de buenas prácticas.
Esta guía explica qué cubre cada norma, en qué se diferencian, cómo se relacionan entre sí y con la Ley 30424 en Perú, y cómo decidir por cuál empezar según el riesgo y el tamaño de tu organización.
Las tres normas en una tabla
| Aspecto | ISO 37001:2025 | ISO 37301:2021 | ISO 37002:2021 |
|---|---|---|---|
| Título | Sistemas de gestión antisoborno: requisitos con orientación para su uso | Sistemas de gestión del compliance: requisitos con orientación para su uso | Sistemas de gestión de denuncias de irregularidades: directrices |
| Foco | Prevenir, detectar y responder al soborno | Cumplir las obligaciones legales y los compromisos voluntarios de la organización | Recibir, evaluar, tratar y cerrar denuncias |
| Tipo de norma | Requisitos | Requisitos | Guía (directrices) |
| ¿Se puede certificar? | Sí | Sí | No: es una guía de apoyo |
| Alcance | Un riesgo concreto, el soborno | Todo el cumplimiento de la organización | Un proceso, el canal de denuncias |
Fuente: catálogo de ISO. ISO 37001:2025 es la segunda edición y sustituye a la de 2016.
ISO 37001: sistemas de gestión antisoborno
Es la norma más conocida para organizaciones que contratan con el sector público, intervienen en licitaciones o trabajan con intermediarios y terceros en mercados de riesgo. Fija requisitos para establecer, implementar, mantener y mejorar un sistema que prevenga, detecte y responda al soborno.
ISO publicó la segunda edición, ISO 37001:2025, en febrero de 2025, y cancela y reemplaza la de 2016. Entre las novedades figuran la atención a la cultura de cumplimiento, a los efectos del cambio climático y a la gestión de conflictos de interés, una mayor claridad sobre la función antisoborno y un lenguaje armonizado con las demás normas de sistemas de gestión.
Si ya trabajas con la edición 2016, conviene revisar con tu organismo de certificación el plazo y las condiciones de la transición a la edición 2025.
ISO 37301: sistemas de gestión del compliance
Es el estándar de requisitos para un sistema de gestión del compliance. Su ángulo es más amplio que el del soborno: ayuda a identificar las obligaciones que aplican a la organización (normas, contratos, compromisos voluntarios), evaluar los riesgos de incumplirlas y asignar responsabilidades, controles, indicadores y mejora continua.
Encaja bien en empresas reguladas, con operaciones en varios países o con muchos frentes de cumplimiento a la vez (anticorrupción, protección de datos, competencia, laboral, ambiental). Un solo sistema ordena todos esos frentes en lugar de multiplicar manuales.
ISO 37002: gestión de denuncias
ISO 37002 es una guía para diseñar un sistema de denuncias de irregularidades confiable. Orienta sobre el ciclo completo: recibir la denuncia, evaluarla, tratarla, cerrarla, proteger a quien denuncia y garantizar un trato imparcial.
Al ser una guía, no se certifica por sí sola, pero un buen canal de denuncias alimenta a las otras dos normas: el soborno y el incumplimiento suelen salir a la luz por una persona que se atreve a hablar. En Perú, además, los procedimientos de denuncia son uno de los cinco elementos mínimos del modelo de prevención de la Ley 30424 (artículo 17.2.3).
Relación con la Ley 30424
La Ley 30424 no exige certificarse con ninguna ISO. Lo que valoran el fiscal y el juez es que el modelo de prevención sea adecuado y esté en funcionamiento, y el informe técnico de la SMV tiene en cuenta los estándares internacionales (artículo 18). Una norma ISO funciona entonces como un método ordenado para construir ese modelo, no como un sustituto.
Los elementos mínimos del modelo (encargado de prevención, mitigación de riesgos, denuncia, capacitación y monitoreo) se parecen mucho a lo que piden las normas ISO de gestión: política, roles, evaluación de riesgos, controles, formación, canal de denuncias y mejora continua. Para ver el marco legal completo, lee la guía del modelo de prevención de la Ley 30424.
Cuál implementar: una forma práctica de decidir
- Empieza por ISO 37001 si tu mayor exposición es el soborno: contratación con el Estado, intermediarios, agentes o clientes que te lo piden como requisito.
- Elige ISO 37301 si necesitas un sistema que cubra varios frentes de cumplimiento y quieres un único marco de gestión.
- Usa ISO 37002 si tu primer problema es que las denuncias no llegan, llegan mal o no se tratan con garantías. Es el complemento natural de cualquiera de las otras dos.
- Combínalas cuando la organización ya tiene madurez: las normas comparten estructura de sistema de gestión y pueden integrarse en un solo sistema.
Antes de decidir, define el alcance (qué áreas, qué países, qué terceros) y quién será el responsable del sistema. Una certificación sin alcance claro ni responsable suele terminar en un archivo.
Tampoco confundas implementar con certificar. Implementar una norma significa que tu organización la aplica y puede demostrarlo; certificarla es un paso adicional, voluntario, en el que un organismo independiente verifica ese sistema. Hay organizaciones que implementan sin certificar porque su objetivo es ordenar sus controles y responder ante un fiscal o un cliente, y otras que certifican porque un contrato o una licitación se lo piden. Decide con base en lo que tu negocio necesita demostrar y ante quién.
Formación para implementarlas
Si vas a liderar la implementación o a auditarla, tiene sentido formarte con docentes que ya lo han hecho. En Compliance360 puedes profundizar en cada norma con el Experto en ISO 37001:2025 Sistemas de Gestión Antisoborno, el Experto en Sistemas de Gestión de Compliance (ISO 37301) y el Programa Ejecutivo en Gestión de Denuncia de Irregularidades e Investigaciones Internas (ISO 37002 e ISO 37008).
Preguntas frecuentes
¿Cuál es la diferencia entre ISO 37001 e ISO 37301?
ISO 37001 se concentra en un riesgo, el soborno, y fija requisitos para prevenirlo, detectarlo y responder a él. ISO 37301 abarca el cumplimiento en general: las obligaciones legales y los compromisos voluntarios de la organización. Ambas son normas de requisitos certificables.
¿ISO 37002 se puede certificar?
No. ISO 37002 es una norma de directrices, no de requisitos, así que sirve como guía para diseñar el sistema de denuncias, pero no es la base de una certificación por sí sola.
¿Qué cambió en ISO 37001:2025?
Es la segunda edición, publicada en febrero de 2025, y reemplaza a la de 2016. Incorpora la cultura de cumplimiento, la atención a los efectos del cambio climático, la gestión de conflictos de interés y una redacción armonizada con las demás normas de sistemas de gestión.
¿Necesito una ISO para cumplir con la Ley 30424?
No. La ley pide un modelo de prevención adecuado y en funcionamiento con elementos mínimos. Las normas ISO son una forma reconocida de construirlo y evidenciarlo, pero no son un requisito legal.
¿Puedo implementar las tres normas a la vez?
Pueden integrarse, porque comparten la lógica de un sistema de gestión, pero conviene escalonarlas. Muchas organizaciones empiezan por la que cubre su mayor riesgo y suman las demás cuando el primer sistema ya funciona.
Programas para profundizar
Fuentes
- ISO 37001:2025, Anti-bribery management systems — Requirements with guidance for use (catálogo de ISO) (se abre en otra pestaña)
- ISO 37301:2021, Compliance management systems — Requirements with guidance for use (catálogo de ISO) (se abre en otra pestaña)
- ISO 37002:2021, Whistleblowing management systems — Guidelines (catálogo de ISO) (se abre en otra pestaña)
- Ley 31740, que modifica la Ley 30424 (Congreso de la República) (se abre en otra pestaña)
Esta guía es informativa y no reemplaza la asesoría legal de un profesional. Las normas se modifican con frecuencia: confirma siempre el texto vigente en la fuente oficial.
