Embedded Files
La consolidación del compliance como disciplina jurídica y como función de gobierno corporativo ha modificado progresivamente la forma de entender el cumplimiento normativo dentro de las organizaciones.
Ya no resulta suficiente identificar las normas aplicables y exigir su observancia. El modelo contemporáneo demanda estructuras capaces de identificar riesgos, asignar responsabilidades, prevenir incumplimientos, detectarlos tempranamente, responder frente a ellos y revisar continuamente la eficacia de los mecanismos adoptados.
Dentro de esta evolución, ISO 37301:2021 sobre sistemas de gestión de compliance ocupa una posición central.
La norma internacional establece requisitos y orientaciones para crear, desarrollar, implementar, evaluar, mantener y mejorar un sistema de gestión de compliance eficaz. Puede ser aplicada a organizaciones de cualquier tamaño, naturaleza o sector y se estructura sobre principios de buena gobernanza, proporcionalidad, transparencia y sostenibilidad.
Su importancia jurídica, sin embargo, requiere algunas precisiones.
ISO 37301 no es una ley
ISO 37301 no es una ley
Las normas ISO son estándares internacionales elaborados dentro de procesos de normalización técnica. No constituyen normas jurídicas estatales ni crean, por sí mismas, delitos, sanciones u obligaciones legales equivalentes a las emanadas del legislador.
En consecuencia, adoptar ISO 37301 no reemplaza el cumplimiento de la legislación aplicable a cada organización.
Tampoco una certificación puede ser interpretada como garantía absoluta de legalidad.
Esta distinción resulta esencial porque uno de los riesgos actuales del compliance consiste en confundir certificación con cumplimiento.
Son conceptos diferentes.
Una organización puede implementar un sistema alineado con un determinado estándar internacional y continuar obligada, naturalmente, a cumplir toda la legislación, regulación y normativa sectorial que le resulte aplicable.
Pero afirmar que ISO 37301 no es una ley tampoco significa que jurídicamente resulte irrelevante.
La creciente fuerza de los estándares voluntarios
La creciente fuerza de los estándares voluntarios
El Derecho contemporáneo se encuentra rodeado de estándares técnicos, códigos de conducta, recomendaciones, principios de gobernanza y mecanismos de autorregulación cuya obligatoriedad no siempre surge directamente de una ley.
Este universo suele vincularse con el concepto de soft law.
Sin embargo, su influencia práctica puede ser considerable.
Un estándar voluntario puede incorporarse contractualmente, utilizarse como requisito dentro de una relación comercial, integrar procesos de homologación de proveedores o convertirse en parámetro técnico empleado para valorar la diligencia de una determinada organización.
La verdadera cuestión jurídica, por lo tanto, no consiste solamente en determinar si ISO 37301 es formalmente obligatoria.
También debe analizarse qué función puede desempeñar como parámetro de organización y diligencia.
Compliance y defecto de organización
Compliance y defecto de organización
Esta cuestión adquiere especial importancia dentro del Derecho Penal Económico.
Los modelos modernos de responsabilidad empresarial han trasladado progresivamente la atención desde la actuación individual aislada hacia la manera en que la propia organización administra los riesgos derivados de su actividad.
Cuando ocurre un hecho ilícito dentro de una estructura empresarial, investigar exclusivamente quién ejecutó materialmente la conducta puede resultar insuficiente.
También será necesario preguntarse cómo funcionaban los controles.
¿El riesgo había sido identificado?
¿Existían responsables?
¿La información llegaba a quienes debían adoptar decisiones?
¿Había mecanismos de denuncia?
¿Las alertas eran investigadas?
¿Existían controles respecto de terceros?
¿La dirección había proporcionado recursos suficientes?
¿Las deficiencias detectadas generaban acciones correctivas?
Estas preguntas trasladan la discusión al terreno de la organización empresarial.
ISO 37301 proporciona una estructura sistemática para abordarlas.
Un sistema y no una colección de documentos
Un sistema y no una colección de documentos
Este es probablemente uno de los puntos más relevantes de la norma.
El compliance no debería consistir en una acumulación de códigos, protocolos y declaraciones.
Debe funcionar como sistema.
Eso supone conocer el contexto de la organización, identificar las obligaciones de compliance, analizar riesgos, definir responsabilidades, establecer controles, capacitar, comunicar, recibir información, investigar desviaciones, medir resultados y mejorar continuamente.
El valor de esta concepción es eminentemente jurídico.
Permite abandonar una visión estática del programa para ingresar en una lógica dinámica de gestión del riesgo.
Un código de ética puede demostrar la existencia de una regla.
Un sistema efectivo debería poder demostrar qué hizo la organización para conseguir que esa regla fuera conocida, aplicada, supervisada y corregida cuando resultara vulnerada.
ISO 37301 y los programas de integridad en Argentina
ISO 37301 y los programas de integridad en Argentina
La legislación argentina permite observar claramente este proceso.
La Ley 27.401 de Responsabilidad Penal de las Personas Jurídicas reconoce expresamente los Programas de Integridad.
Su artículo 22 exige que dichos programas guarden relación con los riesgos propios de la actividad, con la dimensión de la organización y con su capacidad económica.
El artículo 23 incluye herramientas que actualmente forman parte del núcleo del compliance contemporáneo: políticas y procedimientos, capacitación periódica, análisis de riesgos, apoyo de la alta dirección, canales de denuncia, protección de denunciantes, investigaciones internas, due diligence de terceros, evaluación continua y existencia de un responsable interno.
La Oficina Anticorrupción desarrolló además Lineamientos de Integridad destinados a orientar el diseño, implementación y autoevaluación de estos programas.
Existe, por tanto, una fuerte convergencia conceptual entre la lógica de la Ley 27.401 y la arquitectura de los sistemas de gestión propuesta por ISO 37301.
No existe, sin embargo, identidad jurídica entre ambos instrumentos.
Una certificación ISO 37301 no sustituye el análisis exigido por la legislación argentina, del mismo modo que la existencia formal de un Programa de Integridad no equivale automáticamente a poseer un sistema eficaz conforme al estándar internacional.
La comparación debe realizarse funcionalmente, no mediante equivalencias automáticas.
La relevancia probatoria del sistema de compliance
La relevancia probatoria del sistema de compliance
Uno de los aspectos menos explorados de ISO 37301 es su eventual valor probatorio.
Cuando una organización debe reconstruir retrospectivamente cómo administró determinado riesgo, la documentación generada por un sistema de gestión puede permitir conocer qué obligaciones fueron identificadas, qué evaluaciones se realizaron, qué controles se establecieron, cómo fueron supervisados y qué medidas se adoptaron frente a incumplimientos.
Esto puede ser relevante en procedimientos regulatorios, controversias contractuales, investigaciones administrativas o procesos vinculados con responsabilidad empresarial.
Pero nuevamente aparece una advertencia.
La documentación no puede sustituir a la realidad.
Un sistema de compliance construido exclusivamente para generar evidencia defensiva puede convertirse precisamente en prueba de su propia ineficacia cuando exista una distancia sistemática entre los procedimientos escritos y las prácticas reales.
Por ello, la verdadera fortaleza jurídica de un sistema no proviene de la cantidad de documentos que produce sino de la trazabilidad entre riesgo, decisión, control y respuesta.
Certificación y responsabilidad
Certificación y responsabilidad
ISO 37301 es certificable, una diferencia relevante respecto de la anterior ISO 19600, que tenía carácter orientativo.
La certificación aporta una evaluación externa respecto del cumplimiento de los requisitos del estándar.
Pero desde una perspectiva jurídica debe evitarse cualquier automatismo.
Tener una certificación no significa que una empresa no pueda cometer una infracción.
Tampoco demuestra necesariamente que todas las decisiones adoptadas por sus integrantes fueron lícitas.
Mucho menos constituye por sí misma una causa general de exclusión de responsabilidad.
Su verdadero valor reside en otro lugar: puede contribuir a acreditar la existencia de un marco organizacional, cuya efectividad concreta deberá evaluarse atendiendo a las circunstancias de cada caso.
En compliance, la forma nunca debería sustituir al funcionamiento.
ISO 37301 en 2026: un estándar que continúa evolucionando
ISO 37301 en 2026: un estándar que continúa evolucionando
ISO 37301:2021 fue revisada sistemáticamente por la Organización Internacional de Normalización durante 2026 y confirmada el 3 de agosto de ese año, manteniéndose vigente su primera edición.
A ello debe agregarse la Enmienda 1:2024, vinculada con la incorporación de consideraciones relacionadas con el cambio climático dentro del contexto organizacional de los sistemas de gestión.
El marco internacional de compliance también comenzó a especializarse. En 2025 se publicaron ISO 37302, con orientaciones para evaluar la efectividad de los sistemas de gestión de compliance, e ISO 37303, relativa a la gestión de competencias.
Esta evolución resulta especialmente significativa.
El debate internacional parece desplazarse desde la pregunta acerca de qué elementos debe tener un programa hacia una cuestión mucho más exigente: cómo demostrar que esos elementos son realmente eficaces.
De la apariencia de cumplimiento a la gobernanza del riesgo
De la apariencia de cumplimiento a la gobernanza del riesgo
ISO 37301 debe ser comprendida dentro de una transformación mayor del compliance.
La organización contemporánea ya no puede limitarse a afirmar que cumple.
Debe estar en condiciones de explicar cómo identifica sus obligaciones, cómo evalúa sus riesgos, cómo distribuye responsabilidades, cómo controla, cómo obtiene información sobre posibles desviaciones y cómo aprende de sus propias fallas.
Por ello, el mayor aporte jurídico de ISO 37301 no reside necesariamente en la certificación.
Reside en haber contribuido a consolidar una idea más exigente:
el compliance efectivo es, antes que un conjunto de documentos, una forma de organización del poder, de la información, del control y de la responsabilidad dentro de la empresa.
Y cuando el Derecho debe valorar la diligencia de una organización, esa arquitectura deja de ser una cuestión exclusivamente técnica para convertirse en una cuestión jurídicamente relevante.
Page updated
Google Sites
Report abuse