Cultura antisoborno: cómo ISO 37001 protege la reputación y el patrimonio de tu empresa

El nuevo contexto regulatorio en México

México opera hoy bajo un marco anticorrupción significativamente más exigente que hace una década. La Ley General de Responsabilidades Administrativas, la Ley General del Sistema Nacional Anticorrupción y las obligaciones derivadas del USMCA y de la OCDE imponen responsabilidad real a personas físicas y morales por actos de corrupción.

A esto se suman las exigencias de clientes corporativos —especialmente multinacionales sujetas a FCPA o UK Bribery Act— que trasladan estándares antisoborno a sus cadenas de proveedores. Quien quiera operar con seriedad en sectores regulados ya no puede ignorar la conversación.

Qué es realmente ISO 37001:2025

ISO 37001 es la norma internacional que establece los requisitos para un Sistema de Gestión Antisoborno (SGA). La versión 2025 actualiza la edición original con mejoras en gestión de riesgos, debida diligencia, integración con otros sistemas y reconocimiento explícito de la cultura organizacional como elemento central.

Lo que la norma no es:

• No garantiza que en tu empresa nunca ocurra un acto de soborno.
• No es una declaración pública de pureza moral.
• No reemplaza al cumplimiento legal: lo refuerza y estructura.

Lo que la norma sí es:

• Un sistema documentado de prevención, detección y respuesta.
• Evidencia objetiva de diligencia debida por parte de la dirección.
• Un marco que permite responder a un evento de manera estructurada y, si llega el caso, demostrar ante autoridad o cliente la existencia de controles razonables.

Los cinco pilares de un SGA eficaz

1. Liderazgo y compromiso visible: la alta dirección y el órgano de gobierno deben asumir y comunicar su compromiso explícitamente. Sin este pilar, todo lo demás es papel.
2. Evaluación de riesgos de soborno: identificación de los puntos de exposición (clientes, proveedores, gobiernos, intermediarios, geografías) con un análisis honesto, no decorativo.
3. Controles proporcionales al riesgo: políticas, procedimientos y verificaciones que correspondan al nivel real de exposición, no a un molde genérico.
4. Función de cumplimiento independiente: un responsable con autoridad real, acceso directo a la dirección y recursos suficientes.
5. Monitoreo, auditoría y mejora: revisión continua del sistema con indicadores propios, auditorías internas con auditores capacitados y revisión por la dirección.

Debida diligencia: el control más subestimado

La debida diligencia es, en la práctica, el control que más previene incidentes reales. Consiste en evaluar, antes y durante la relación, a las contrapartes con las que la empresa interactúa: socios comerciales, proveedores críticos, agentes, distribuidores e intermediarios.

Una debida diligencia eficaz responde a cinco preguntas:

• ¿Quién es esta contraparte y quién la controla realmente?
• ¿Cuál es su trayectoria pública en materia de cumplimiento?
• ¿Tiene exposición a personas políticamente expuestas o a gobiernos?
• ¿En qué jurisdicciones opera y con qué nivel de riesgo país?
• ¿Existen señales rojas en su modelo de negocio (comisiones inusuales, intermediarios opacos, urgencias injustificadas)?

El nivel de profundidad debe ser proporcional al riesgo. Una debida diligencia básica para todas las contrapartes, complementada con diligencia reforzada para las de alto riesgo, es el estándar razonable.

Regalos, hospitalidad y donativos

Pocos temas generan más confusión que el de regalos y hospitalidad. La realidad práctica es que no se trata de prohibir, sino de delimitar:

• Umbrales de valor claros y por nivel jerárquico.
• Prohibición explícita en contextos de licitación, decisión pendiente o relación con autoridad.
• Registro de regalos recibidos y entregados sobre cierto monto.
• Aprobación previa para excepciones.
• Comunicación al equipo en términos comprensibles, no jurídicos.

Una política de regalos no debe leerse como código penal. Debe leerse como reglas que un empleado puede recordar el día que tenga que decidir frente a un cliente.

El canal de denuncia: termómetro real de la cultura

Un canal de denuncia es, sin exageración, el indicador más confiable de la salud cultural de un SGA. Si nadie usa el canal, hay dos opciones: no hay nada que reportar o nadie confía. La segunda es lo habitual.

Un canal efectivo cumple con cinco condiciones:

• Disponible para empleados y terceros (proveedores, clientes, contrapartes).
• Confidencial y, cuando aplica, anónimo. Operado por un tercero independiente o por un área con autonomía real.
• Multiformato: teléfono, web, correo. No todos denuncian igual.
• Con protocolo de seguimiento: cada denuncia se registra, evalúa, investiga y cierra con decisión documentada.
• Sin represalias: compromiso visible y verificable. Una sola represalia destruye la confianza para años.

El valor estratégico de la certificación

Más allá de cumplimiento, la certificación ISO 37001 entrega tres ganancias estratégicas:

1. Protección probatoria: ante un incidente, la existencia de un SGA certificado es evidencia objetiva de diligencia debida que puede atenuar responsabilidades.
2. Acceso a clientes y mercados: licitaciones gubernamentales internacionales, contratos con multinacionales sujetas a FCPA o cadenas de suministro de sectores regulados están privilegiando proveedores certificados.
3. Cultura interna fortalecida: la implementación, si se hace bien, transforma las conversaciones internas y empodera a quien toma decisiones difíciles.

En iCIEN diseñamos sistemas antisoborno que se integran al SGC y al programa OEA cuando aplica, evitando duplicidades y maximizando el valor de cada control. Si tu organización opera en sectores expuestos —comercio exterior, gobierno, infraestructura, servicios profesionales— el momento de tener esta conversación es ahora.