Qué pasó con ISO 37001
En febrero de 2025 ISO publicó la segunda edición de la norma de sistemas de gestión antisoborno: ISO 37001:2025, que sustituye a la versión de 2016. No es una norma nueva ni una reescritura: el corazón del sistema —evaluación de riesgos de soborno, debida diligencia, controles financieros y no financieros, función de cumplimiento antisoborno y canal de denuncias— se mantiene.
Lo que cambia es la estructura (ahora sigue la Estructura Armonizada que comparten todas las normas ISO de sistemas de gestión) y el énfasis en temas que en 2016 estaban implícitos: la cultura antisoborno, los conflictos de intereses y la gestión de cambios.
Si tu empresa está certificada en ISO 37001:2016, tu certificado sigue vigente por ahora, pero tiene fecha de caducidad. La transición no es opcional: o migras a la versión 2025 dentro del plazo, o pierdes la certificación.
Plazos de la transición
Los organismos certificadores aplican un periodo de transición de dos años a partir de la publicación. En la práctica:
- Febrero de 2025: publicación de ISO 37001:2025.
- Durante el periodo: las auditorías de seguimiento, renovación o una auditoría específica pueden usarse para migrar.
- 28 de febrero de 2027: fecha límite. Los certificados bajo ISO 37001:2016 que no hayan migrado dejan de ser válidos.
La fecha límite es el 28 de febrero de 2027. Confirma por escrito con tu organismo certificador la fecha exacta que aplica a tu certificado y reserva tu auditoría de transición cuanto antes: al final del periodo las agendas de los auditores se saturan.
Los cambios, cláusula por cláusula
Estos son los ajustes que la propia norma y los organismos certificadores señalan como principales:
- Estructura Armonizada: la redacción y numeración se alinean con ISO 9001, 14001, 27001 y 37301. Si tienes un sistema integrado, la convivencia entre normas se simplifica.
- Cambio climático (4.1 y 4.2): el análisis de contexto y de partes interesadas debe considerar si el cambio climático es un tema pertinente. Este requisito ya se había agregado en 2024 mediante una enmienda; ahora forma parte del texto.
- Cultura antisoborno (nueva 5.1.3): la cultura deja de ser un tema implícito y tiene su propia cláusula. La alta dirección debe promoverla y demostrarla.
- Función de cumplimiento antisoborno: se aclara su papel, autoridad e independencia.
- Planificación de los cambios (nueva 6.3): los cambios al sistema deben planificarse de forma controlada.
- Conflictos de intereses (7.2.2): se incorporan de forma explícita en los controles del proceso de contratación de personal.
- Toma de conciencia y formación (7.3): se reorganizan los requisitos y la formación de los socios de negocio tiene su propio apartado (7.3.3).
- Controles no financieros (8.4): se agregan las fusiones y adquisiciones como área de riesgo.
- Mejora (capítulo 10): se invierte el orden; primero mejora continua (10.1) y después no conformidad y acción correctiva (10.2).
La mayoría de los cambios son de forma. Los que sí exigen trabajo real son la cultura antisoborno, los conflictos de intereses y la formación a socios de negocio: ahí es donde un auditor buscará evidencia nueva.
Qué revisará el auditor
En una auditoría de transición, espera preguntas y evidencia sobre:
- Cultura: cómo la dirección comunica y refuerza la cultura antisoborno; encuestas, mensajes, decisiones visibles, consecuencias aplicadas.
- Conflictos de intereses: declaraciones del personal, cómo se identifican, registran y gestionan, y cómo se vinculan al proceso de contratación.
- Socios de negocio: qué formación reciben los socios con riesgo más que bajo de soborno y cómo se evidencia.
- Gestión de cambios: cómo se planificó la propia migración a la versión 2025.
- Contexto actualizado: evaluación de riesgos de soborno revisada, incluyendo la consideración del cambio climático y, si aplica, fusiones y adquisiciones.
Construcción y comercio exterior: dónde pega más
Empresas constructoras
La construcción concentra varios de los puntos de mayor exposición al soborno: permisos y licencias, licitaciones y contratos con el sector público, inspecciones de obra y cadenas largas de subcontratistas. Para una constructora, los cambios de 2025 se traducen en:
- Declaraciones de conflicto de intereses para quienes intervienen en licitaciones, compras y supervisión de obra.
- Formación antisoborno documentada para subcontratistas y proveedores críticos.
- Controles reforzados en la relación con autoridades para trámites de permisos.
Agencias aduanales, logística y comercio exterior
La interacción constante con autoridades aduaneras hace que la cultura antisoborno y la debida diligencia sobre socios de negocio sean especialmente sensibles. Si además operas bajo OEA o un sistema de compliance ISO 37301, la Estructura Armonizada facilita integrar ambos sistemas y presentar evidencia común frente a la Reforma Aduanera 2026.
Plan de migración en cinco etapas
1. Análisis de brecha contra ISO 37001:2025
Comparación cláusula por cláusula entre tu sistema actual y la versión 2025. El resultado es una lista corta de acciones, con responsables y fechas.
2. Actualización de contexto y evaluación de riesgos de soborno
Revisión del contexto, partes interesadas y riesgos, incorporando los temas nuevos (cambio climático, conflictos de intereses, fusiones y adquisiciones si aplican).
3. Ajuste de información documentada y controles
Política, procedimientos y formatos con modificaciones puntuales: declaración de conflictos de intereses, programa de cultura, plan de formación para socios de negocio y procedimiento de gestión de cambios.
4. Formación al personal y a socios de negocio
Sesiones enfocadas en lo que cambió, no el curso completo de la norma. Incluye a la alta dirección y a la función de cumplimiento antisoborno.
5. Auditoría interna y revisión por la dirección bajo la versión 2025
Al menos un ciclo interno completo con los criterios nuevos antes de la auditoría de transición. Es la única forma de llegar con la migración realmente cerrada.
Preguntas frecuentes
¿Mi certificado ISO 37001:2016 sigue siendo válido?
Sí, hasta que concluya el periodo de transición. Después del 28 de febrero de 2027, los certificados que no hayan migrado a la versión 2025 dejan de ser válidos.
¿Necesito una auditoría extraordinaria para migrar?
No necesariamente. La transición puede hacerse en una auditoría de seguimiento o de renovación que ya tengas programada, normalmente con tiempo adicional de auditoría. Confírmalo con tu organismo certificador.
¿Cuánto tiempo toma la migración?
En un sistema bien mantenido, entre 6 y 12 semanas: análisis de brecha, ajustes documentales, formación y auditoría interna. Si el sistema tiene rezagos, conviene empezar de inmediato.
Qué hacer este mes
- Pide a tu organismo certificador la fecha límite de tu certificado y las fechas disponibles para la auditoría de transición.
- Solicita un análisis de brecha contra ISO 37001:2025 para dimensionar el trabajo real.
- Asigna responsables a cultura, conflictos de intereses y formación de socios de negocio: son los tres frentes con evidencia nueva.
En iCIEN acompañamos transiciones a ISO 37001:2025 en México, Estados Unidos y Latinoamérica, con análisis de brecha, actualización documental, formación y preparación de la auditoría. Si quieres saber qué implica en tu caso, agenda una sesión de diagnóstico sin costo.
Hacemos el análisis de brecha y te entregamos el plan de transición con tiempos reales. Agenda una sesión sin costo.
Solicitar diagnóstico gratuito