La ISO 37001 es la norma internacional certificable del sistema de gestión antisoborno. Desde febrero de 2025 existe una segunda edición, ISO 37001:2025, que sustituye a la de 2016 y a su modificación de 2024, ambas retiradas del catálogo de ISO. Si tu organización está certificada o tiene la certificación en el plan de este año, el calendario de transición ya está corriendo y conviene tenerlo escrito en algún sitio que no sea la cabeza del responsable de compliance.
Lo esencial
- ISO 37001:2025 es la edición vigente. Se publicó el 28 de febrero de 2025, tiene 47 páginas y la desarrolla el comité técnico ISO/TC 309, Governance of organizations.
- ISO 37001:2016 y su Amd 1:2024 figuran como retiradas en el catálogo oficial de ISO.
- Los cambios son de calado moderado. Entra el concepto de cultura antisoborno, se refuerza el papel del órgano de gobierno y se renombra la función de cumplimiento antisoborno.
- La certificación no es obligatoria en España, pero sí es un elemento de prueba del modelo de prevención de delitos ante un tribunal.
- Los organismos de certificación han fijado el 28 de febrero de 2027 como fecha límite para completar la transición de los certificados vigentes.
¿Qué es la ISO 37001 y para qué sirve?
La ISO 37001 especifica los requisitos de un sistema de gestión antisoborno y ofrece orientación para implantarlo. Su objetivo declarado es ayudar a las organizaciones a prevenir, detectar y responder al soborno, y a cumplir las leyes antisoborno y los compromisos voluntarios aplicables a su actividad. Cubre el soborno directo e indirecto, y se aplica al sector público, al privado y al no lucrativo, con independencia del tamaño de la organización.
Es una norma certificable, y eso la distingue de una guía de buenas prácticas. Se puede implantar como sistema independiente o integrarla en un marco de gestión ya existente, que es lo habitual en organizaciones que ya conviven con otras normas de sistemas de gestión. Los componentes centrales son reconocibles para cualquiera que venga del mundo compliance: política antisoborno, procedimientos de diligencia debida, controles financieros y no financieros, formación, y mecanismos de seguimiento, reporte y mejora.
¿Qué cambia en la ISO 37001:2025 respecto a la edición de 2016?
Los cambios existen y son relevantes en el enfoque, pero no obligan a rehacer el sistema desde cero. La propia comunidad certificadora los describe como una evolución razonable, no como una ruptura. Estos son los bloques que concentran la revisión:
| Bloque | Edición 2016 | Edición 2025 |
|---|---|---|
| Cultura antisoborno | No aparece como concepto formal | Nuevo apartado 5.1.3: desarrollar, mantener y promover una cultura que rechaza el soborno, con orientación de implantación en el anexo A.5 |
| Función responsable | Función de cumplimiento antisoborno | Función antisoborno, con responsabilidades e independencia operativa descritas con más detalle |
| Órgano de gobierno y alta dirección | Responsabilidades definidas | Mayor énfasis en su supervisión del sistema y de los resultados previstos |
| Conflictos de interés | Tratamiento general | Orientación más detallada para identificarlos, gestionarlos y mitigarlos, con nuevos supuestos en el anexo A.8.3.1 |
| Cambio climático | No contemplado | Incorpora la nota sobre cambio climático procedente de la enmienda Amd 1:2024, ya consolidada en esta edición |
| Revisión por la dirección | Entradas y salidas de revisión clásicas | Apartado 9.2.3: evalúa además los cambios en necesidades y expectativas de las partes interesadas |
| Estructura | Estructura de alto nivel anterior | Estructura armonizada ISO actualizada. La segunda edición son 47 páginas |
Fuente de los apartados y anexos citados: ficha oficial de ISO 37001:2025 en ISO.org (segunda edición, febrero de 2025, 47 páginas, anula ISO 37001:2016 e ISO 37001:2016/Amd 1:2024). Consultado el 20 de octubre de 2026.
El cambio con más recorrido práctico es el primero. Introducir la cultura antisoborno como concepto formal significa que la auditoría deja de conformarse con que existan los documentos y empieza a preguntar si el sistema se vive en la organización. Traducido a evidencias: registros de formación con asistencia real, canales de consulta usados, decisiones documentadas en las que un riesgo de soborno pesó de verdad, y comunicación desde la alta dirección que no sea un correo anual.
El segundo cambio con efecto directo es el refuerzo del órgano de gobierno. Si en tu organización el consejo recibía un informe antisoborno anual de dos páginas, la nueva edición empuja a que esa supervisión sea documentada, periódica y con capacidad real de pedir cuentas.
¿Qué plazo tienes para la transición a ISO 37001:2025?
ISO publica la norma, pero el calendario de transición de los certificados lo fijan los esquemas de acreditación y los organismos de certificación. La referencia que están comunicando es el 28 de febrero de 2027: a esa fecha, los certificados emitidos bajo ISO 37001:2016 deberían haber completado la migración. Conviene confirmarlo con tu organismo certificador, porque es quien te marca la ventana concreta y la encaja con tu ciclo de auditorías.
La planificación razonable es hacer coincidir la transición con una auditoría ya prevista, de seguimiento o de renovación, en lugar de contratar una auditoría extraordinaria. Para eso hay que mirar el calendario con tiempo: si tu renovación cae en 2027, la transición debería ir en la de 2026 o, como muy tarde, en la primera de 2027.
Si todavía no estás certificado y estás valorando empezar, no tiene sentido implantar contra la edición de 2016. Arranca directamente con la de 2025.
¿Es obligatoria la ISO 37001 en España?
No, es una norma voluntaria. Ninguna ley española exige certificarse en ISO 37001. Lo que sí existe es un incentivo jurídico indirecto y bastante potente: el artículo 31 bis del Código Penal permite eximir o atenuar la responsabilidad penal de la persona jurídica cuando acredita un modelo de organización y gestión idóneo para prevenir delitos, y el cohecho está entre ellos.
Ahí es donde la certificación aporta. No blinda a nadie de forma automática, y conviene decirlo sin ambages porque se vende mal con demasiada frecuencia. Lo que hace es dar a un tercero independiente la oportunidad de verificar que el modelo existe, se aplica y se revisa, y eso pesa en un procedimiento penal mucho más que un manual interno sin contraste externo. La relación entre norma y modelo de prevención la desarrollamos en nuestra guía sobre el modelo de prevención de delitos y la responsabilidad penal de la empresa.
Hay además un segundo vector, el comercial. En licitaciones públicas, en homologación de proveedores y en operaciones corporativas, la certificación antisoborno funciona como filtro. Cada vez más pliegos y cuestionarios de diligencia debida preguntan por ella, y no tenerla te deja fuera antes de que nadie mire tu propuesta.
¿Qué diferencia hay entre ISO 37001, ISO 37301 y UNE 19602?
Las tres se confunden con frecuencia porque las tres hablan de cumplimiento, pero cubren ámbitos distintos y no son intercambiables:
| Norma | Alcance | Ámbito | Certificable |
|---|---|---|---|
| ISO 37001:2025 | Sistema de gestión antisoborno | Internacional | Sí |
| ISO 37301:2021 | Sistema de gestión del compliance, todas las obligaciones | Internacional | Sí |
| UNE 19601:2017 | Sistema de gestión de compliance penal | España | Sí |
| UNE 19602:2019 | Sistema de gestión de compliance tributario | España | Sí |
La forma sencilla de elegir es mirar el riesgo dominante. Si tu exposición principal es el soborno, por sector, por geografía o por relación con el sector público, la ISO 37001 es la específica. Si lo que necesitas es gobernar el conjunto de tus obligaciones de cumplimiento, la ISO 37301 es el paraguas. Y si tu preocupación es el riesgo fiscal, la referencia española es la UNE 19602. Se pueden combinar, y de hecho ISO vende la 37001 y la 37301 empaquetadas.
Falta una cuarta en la mayoría de las comparativas y es la que más veces debería ganar en España: la UNE 19601, que es la norma de sistemas de gestión de compliance penal. No la confundas con la 19602, que es la tributaria. Nuestra recomendación, y aquí hablamos de criterio profesional y no de lo que dicen las normas: si operas en España y el motor del proyecto es la responsabilidad penal de la persona jurídica del artículo 31 bis del Código Penal, empieza por la UNE 19601 y añade la ISO 37001 si además necesitas el certificado internacional para licitar o para un cliente extranjero.
Hacerlo al revés es habitual y deja un hueco: te certificas en antisoborno y sigues sin modelo de prevención para el resto de delitos corporativos. El orden inverso solo tiene sentido en un caso, cuando un cliente o un pliego exige explícitamente ISO 37001 con fecha. Entonces la certificación es un requisito comercial, no una decisión de diseño del programa, y se trata como tal.
¿Necesitas ISO 37001, UNE 19601 o ninguna de las dos?
Depende de tres cosas: qué te exigen por contrato, a qué riesgo estás expuesto de verdad y qué quieres poder demostrar en un procedimiento. La ISO 37001 es la respuesta cuando el soborno es tu riesgo dominante o cuando un cliente lo pide por escrito. La UNE 19601 es la respuesta cuando lo que necesitas es cubrir el modelo de prevención de delitos completo en España.
Esta tabla ordena las cuatro normas que se confunden entre sí en las licitaciones españolas.
| Norma | Edición vigente | Qué cubre | ¿Certificable? | A quién le encaja |
|---|---|---|---|---|
| ISO 37001 | 2025 (28-02-2025) | Solo soborno: regalos, hospitalidad, pagos de facilitación, terceros | Sí | Obra pública, licitaciones, sectores regulados y empresas con operación internacional |
| UNE 19601 | 2025 (24-04-2025) | Todo el catálogo de delitos imputables a la persona jurídica en España | Sí | Cualquier empresa española que quiera documentar su modelo del artículo 31 bis |
| UNE 19602 | 2019 | Riesgos tributarios y relación con la Administración tributaria | Sí | Empresas con contingencia fiscal relevante |
| ISO 37301 | 2021 | Cumplimiento normativo en sentido amplio, de cualquier obligación | Sí | Grupos que integran varios sistemas de gestión bajo un paraguas común |
La regla corta, si tienes que decidir hoy: si operas en España y tu preocupación es la responsabilidad penal de la sociedad, empieza por el modelo del artículo 31 bis y la UNE 19601, y añade ISO 37001 solo si el soborno es un riesgo real de tu actividad o alguien te lo exige. Hacerlo al revés es frecuente y sale caro, porque te deja certificado en un riesgo y descubierto en los otros treinta. El encaje entre ambas lo desarrollamos en la guía de compliance penal y modelo de prevención de delitos, y la pieza fiscal, en la de UNE 19602.
¿Qué aporta la ISO 37001 frente al artículo 31 bis del Código Penal?
Aporta una estructura reconocible y una verificación externa, no una exención automática. El artículo 31 bis.5 fija seis requisitos de contenido mínimo para el modelo de prevención, y un sistema ISO 37001 bien implantado cubre varios de ellos con solvencia: identificación de actividades de riesgo, protocolos de decisión, modelo de gestión de recursos financieros y canal de información.
Lo que no cubre es el resto del catálogo penal. Si tu exposición está en delitos contra la Hacienda Pública, contra los derechos de los trabajadores o en materia de datos, la ISO 37001 no dice nada de eso. Y en sede judicial lo que se valora es si el modelo era idóneo y funcionaba antes del delito, no si había un certificado colgado en la pared. Un certificado ayuda como indicio, nunca como salvoconducto.
¿Cómo se implanta un sistema de gestión antisoborno paso a paso?
La implantación sigue la lógica de cualquier sistema de gestión, con el matiz de que aquí el análisis de riesgo es el que sostiene todo lo demás. La secuencia habitual es esta:
- Contexto y alcance. Determinar qué partes de la organización quedan dentro y qué factores internos y externos condicionan el riesgo de soborno.
- Evaluación del riesgo de soborno. Por actividad, por geografía, por tipo de contraparte y por interacción con funcionarios públicos. Es el documento que un auditor mira primero.
- Política antisoborno y función antisoborno. Aprobada por el órgano de gobierno, con una función designada que tenga independencia operativa y medios.
- Diligencia debida. Sobre socios, proveedores, intermediarios, agentes y personal en puestos sensibles, con profundidad proporcional al riesgo detectado. Lo desarrollamos en nuestra guía de diligencia debida.
- Controles financieros y no financieros. Aprobaciones, segregación de funciones, límites a regalos, hospitalidad, donaciones y patrocinios.
- Formación y comunicación. Diferenciada por nivel de exposición, no un curso genérico para toda la plantilla.
- Canal de denuncias. Con confidencialidad, posibilidad de anonimato y protección frente a represalias.
- Seguimiento, auditoría interna y revisión por la dirección. Con indicadores y evidencia de las acciones correctivas.
El punto del canal merece un apunte, porque en España ya no es solo un requisito de la norma. Las entidades sujetas a la Ley 2/2023 están obligadas a disponer de un Sistema Interno de Información, así que el canal que exige la ISO 37001 y el que exige la ley pueden y deben ser el mismo sistema, bien montado una sola vez. Si aún no lo tienes resuelto, revisa nuestra guía de implantación del canal de denuncias de la Ley 2/2023.
¿Qué evidencias te pide el auditor en un sistema antisoborno?
Registros, no políticas. El auditor da por hecho que tienes una política antisoborno firmada, porque la tiene todo el mundo, y dedica el tiempo a comprobar si esa política ha producido decisiones trazables durante los últimos meses. Estas son las cinco evidencias que marcan la diferencia entre un sistema vivo y uno de escaparate.
- Evaluación del riesgo de soborno fechada y revisada. Por actividad, por tipo de contraparte y por país, con criterio escrito para decidir qué es riesgo alto. Si la última revisión es de hace tres años, el sistema no está vivo.
- Diligencia debida sobre terceros, con expedientes. Intermediarios, agentes comerciales, distribuidores y socios de proyecto. Tiene que poder verse qué se comprobó de cada uno y qué se decidió, incluidos los casos en los que se rechazó a alguien.
- Registro de regalos, hospitalidad y donaciones. Con umbrales definidos, autorizaciones y entradas reales. Un registro vacío en una empresa que viaja y invita a clientes es una señal de que nadie lo rellena, no de que no haya nada que registrar.
- Trazabilidad del canal de información. Comunicaciones recibidas, tramitación, plazos y cierre. Sin registro de tramitación no hay forma de demostrar que el canal funciona.
- Formación con alcance demostrable. Quién la recibió, cuándo y con qué contenido, prestando atención a los puestos expuestos: compras, comercial, relaciones institucionales y dirección.
El patrón se repite en todas las normas de sistemas de gestión: lo que se audita es el rastro, no el documento fundacional. Un sistema con cinco expedientes de diligencia debida bien cerrados convence más que un manual de cien páginas sin una sola decisión documentada detrás.
¿Cuánto cuesta y cuánto tarda certificarse?
No hay una cifra única, y desconfía de quien te la dé sin preguntar nada antes. El coste depende del número de emplazamientos, de la plantilla, del perfil de riesgo y de cuánto sistema tengas ya montado. Lo que sí es estable es la estructura: implantación interna o con apoyo externo, auditoría de certificación en dos fases, auditorías de seguimiento anuales y renovación a los tres años.
En plazo, una organización que parte de un modelo de prevención razonablemente maduro suele moverse entre seis y doce meses hasta la auditoría de certificación. Partiendo de cero, la horquilla se alarga, y el cuello de botella casi nunca es documental: es reunir evidencia de funcionamiento real durante un periodo suficiente. Un sistema aprobado la semana pasada no tiene registros que auditar.
¿Qué haces si un cliente te exige ISO 37001 y no estás certificado?
Lo primero es leer con cuidado qué pide el pliego o el contrato, porque muchas veces no exige el certificado sino medidas antisoborno equivalentes y demostrables. Si acepta equivalencia, un modelo de prevención documentado, con evaluación de riesgo de soborno, código ético vigente y canal operativo suele bastar.
Si el certificado es requisito literal, el plazo manda. Una certificación inicial en ISO 37001 sigue el mismo esquema que cualquier sistema de gestión: implantación, auditoría interna, revisión por la dirección y auditoría de certificación en dos fases. No se resuelve en el mes que queda para presentar la oferta, así que la respuesta honesta al cliente es un calendario, no una promesa. Mientras tanto, tener el código ético aprobado y difundido es la evidencia que más rápido se enseña.
Preguntas frecuentes sobre la ISO 37001
¿Cuál es la versión vigente de la ISO 37001?
ISO 37001:2025, segunda edición, publicada el 28 de febrero de 2025. Sustituye a ISO 37001:2016 y a ISO 37001:2016/Amd 1:2024, que aparecen como retiradas en el catálogo de ISO. Tiene 47 páginas y la mantiene el comité ISO/TC 309.
¿Tengo que renovar mi certificado si estoy certificado en la edición de 2016?
Sí, hay que migrar a la edición de 2025. Los organismos de certificación están comunicando el 28 de febrero de 2027 como fecha límite para completar la transición. Confirma la ventana concreta con tu certificador y, si puedes, encájala en una auditoría de seguimiento o de renovación ya prevista.
¿La ISO 37001 me exime de responsabilidad penal?
No de forma automática. El artículo 31 bis del Código Penal exige acreditar un modelo de organización y gestión idóneo y eficazmente implantado, y esa valoración la hace el tribunal. La certificación aporta la verificación de un tercero independiente sobre la existencia y el funcionamiento del sistema, que es un elemento de prueba relevante, no un salvoconducto.
¿Sirve la ISO 37001 para una pyme?
Sí. La norma es aplicable a cualquier organización con independencia de su tamaño o sector, y los requisitos se modulan según el riesgo de soborno identificado. Una pyme con exposición alta, por ejemplo por contratación pública o por operar en mercados de riesgo, tiene más motivos para plantearla que una gran empresa con exposición baja.
¿Puedo integrar la ISO 37001 con otros sistemas de gestión que ya tengo?
Sí, y es lo recomendable. La edición de 2025 adopta la estructura armonizada actualizada, lo que facilita compartir contexto, liderazgo, planificación, evaluación del desempeño y mejora con otras normas de sistemas de gestión que ya estén implantadas.
¿En qué se diferencia el soborno del cohecho a efectos de la norma?
La norma usa un concepto amplio de soborno que cubre modalidades directas e indirectas y abarca tanto el ámbito público como el privado. El cohecho es la figura del Código Penal español, con sus propios tipos y requisitos. El sistema de gestión se diseña sobre el concepto amplio, precisamente para que el control llegue antes de que la conducta encaje en un tipo penal.
¿Qué es la certificación ISO 37001 antisoborno y qué demuestra?
Es la acreditación, emitida por una entidad independiente, de que tu organización tiene implantado un sistema de gestión diseñado para prevenir, detectar y responder al soborno. Demuestra que existen controles sobre regalos, pagos de facilitación, terceros e intermediarios, y que alguien con autonomía supervisa que funcionan.
¿Cuál es el objetivo principal de un sistema de gestión antisoborno?
Hacer que el soborno sea difícil de cometer y fácil de detectar dentro de la organización. Se consigue con cuatro piezas: una evaluación del riesgo de soborno por actividad y por país, controles sobre las operaciones expuestas, una función de cumplimiento antisoborno con autoridad real, y un canal para informar sin miedo a represalias.
¿Quién puede certificar la ISO 37001?
Una entidad de certificación acreditada para este esquema. Antes de firmar, comprueba la acreditación y que emite contra la edición de 2025, porque un certificado emitido hoy contra la de 2016 nace con fecha de caducidad en febrero de 2027.
Por dónde empezar si esto te pilla a medias
Si tu organización tiene modelo de prevención de delitos pero no sistema antisoborno certificable, la distancia suele ser menor de lo que parece: buena parte del análisis de riesgo, los controles y la formación ya existen, y lo que falta es estructurarlos con los requisitos de la norma y generar evidencia de seguimiento. Si además tienes que cumplir con la Ley 2/2023, tiene todo el sentido montar el canal una sola vez y que sirva para las dos cosas.
En Laworatory ayudamos a ordenar ese mapa y a sostenerlo con tecnología, desde el canal de denuncias hasta la trazabilidad de la evidencia que después mira un auditor. Puedes ver cómo lo abordamos en nuestro software para cumplimiento normativo y en el enfoque de ética y cumplimiento, o situar la ISO 37001 dentro del cuadro general con la guía de qué es el compliance y qué obligaciones tienen las empresas en España. La norma completa se adquiere en iso.org.
