ISO 37001 en España y Andorra: cómo implantar un sistema de gestión antisoborno

Qué es ISO 37001 y qué no es

ISO 37001 es la norma internacional de sistemas de gestión antisoborno. Sirve para cualquier organización, pública, privada o sin ánimo de lucro, y cubre el soborno en las dos direcciones: el que la organización o su personal podrían pagar y el que podrían recibir, directamente o a través de terceros. En España se publica como UNE-ISO 37001:2025, idéntica a la internacional.

Tres ideas evitan los malentendidos más comunes:

• Solo trata el soborno. El fraude, la competencia desleal o el blanqueo quedan fuera, aunque un sistema puede integrarlos con otros (ver más abajo).
• No garantiza que no haya sobornos. La norma pide medidas razonables y proporcionadas al riesgo; ninguna organización puede eliminarlo del todo.
• Es certificable. Una entidad de certificación acreditada puede auditar el sistema y emitir un certificado, que muchas licitaciones y grandes clientes valoran.

Según el documento de transición del IAF, la edición de 2025 introduce estos cambios:

• apartados sobre el cambio climático en el contexto y las partes interesadas, que ya añadía la modificación de 2024;
• más peso a la cultura antisoborno, que la dirección tiene que promover;
• los conflictos de interés como asunto propio;
• una definición más clara de la función de cumplimiento antisoborno;
• la estructura armonizada más reciente de las normas de sistemas de gestión.

El soborno en el Código Penal español

En España, el soborno es uno de los delitos de los que puede responder una empresa por el artículo 31 bis del Código Penal. Hay varios tipos, y una misma organización puede estar expuesta a todos:

El juez puede añadir las demás penas del artículo 33.7, de la suspensión de actividades a la disolución. Y hay una consecuencia que muchas veces pesa más que la multa: la Ley 9/2017 de Contratos del Sector Público (art. 71.1 a) prohíbe contratar con el sector público a las empresas condenadas por cohecho, corrupción en los negocios o tráfico de influencias.

La salida que ofrece el Código es la misma que para el resto de delitos: haber implantado antes un modelo de prevención adecuado y eficaz, con los seis requisitos del artículo 31 bis 5. La guía de compliance penal y UNE 19601 los explica uno a uno.

El soborno en el Codi penal andorrano

Andorra parte de un principio distinto. Su Codi penal (Llei 9/2005) descarta la responsabilidad penal directa de las personas jurídicas: solo responden las personas físicas. Eso no deja a la empresa a salvo. Para los delitos de corrupción y de tráfico de influencias, el artículo 386 ter manda aplicar, además del comiso, las consecuencias accesorias del artículo 71, que alcanzan a la sociedad:

• disolución, suspensión de actividades hasta seis años o cierre de locales;
• una multa a la sociedad de hasta 300.000 euros, o hasta el cuádruple del beneficio obtenido o que se pretendía obtener, si es mayor;
• administración judicial y publicación de la sentencia;
• prohibición de contratar con las administraciones públicas.

Los delitos de corrupción del Codi (arts. 380 a 386 bis) se refieren al soborno de autoridades y funcionarios, incluidos los extranjeros y los de organizaciones internacionales, y de jueces y magistrados. En el texto refundido que hemos consultado no hay un tipo de corrupción entre particulares como el artículo 286 bis español. Que no sea delito en Andorra no lo vuelve aceptable: si tu negocio cruza la frontera, la ley española puede aplicarse a lo que pase en España, y tus clientes pedirán lo mismo en los dos lados.

España y Andorra, lado a lado

La nueva Directiva europea contra la corrupción

La Directiva (UE) 2026/1021, publicada el 11 de mayo de 2026, armoniza en la UE los delitos de corrupción, en el sector público y en el privado, y los niveles mínimos de sus penas máximas. Para las empresas, la multa máxima de cada país tiene que llegar al menos al 5 % de la facturación mundial o 40 millones de euros por soborno y malversación, y al 3 % o 24 millones por tráfico de influencias y otros delitos; cada Estado puede fijarla más alta. Los Estados miembros tienen hasta el 1 de junio de 2028 para incorporarla.

Lo relevante para un sistema antisoborno: la Directiva incluye los controles internos y los programas de ética y cumplimiento eficaces y evaluados entre las posibles circunstancias atenuantes, no los que existen solo sobre el papel. Que lo sean en cada caso depende del Derecho nacional y de la valoración del juez. Andorra no es Estado miembro, así que la Directiva no le obliga directamente.

Qué pide la norma

ISO 37001 sigue la estructura de los capítulos 4 a 10, como ISO 27001 o UNE 19601. Lo propio del sistema antisoborno está sobre todo en estos apartados:

El Anexo A de la norma da orientación sobre cómo aplicar cada requisito, pero no añade obligaciones. Su texto está protegido por derechos de autor: para implantarla hay que adquirir la norma en ISO, en UNE o en un distribuidor autorizado.

La evaluación del riesgo de soborno

Como en el mapa de riesgos penales, la unidad de análisis no es «la empresa», sino cada actividad donde el soborno podría ocurrir: quién decide, con quién trata y qué gana. Un ejemplo ficticio:

Cada pareja se puntúa con probabilidad e impacto antes y después de los controles. La guía de riesgo inherente y residual explica el método con un simulador. Lo que la norma añade es que el resultado tiene que decidir cosas: dónde aplicar diligencia debida, qué socios necesitan compromisos y qué puestos reciben más formación.

Cómo implantar el sistema paso a paso

1. 1

   Compromiso y política

   El órgano de gobierno aprueba la política antisoborno, dota de recursos al sistema y lo supervisa. La alta dirección lo hace visible.
2. 2

   Función antisoborno

   Una persona o un equipo con autoridad, independencia y acceso directo al órgano de gobierno. Puede compartirse con la función de compliance penal.
3. 3

   Contexto y alcance

   Países, sectores, tamaño, relación con administraciones públicas, socios de negocio y organizaciones controladas: lo que define dónde está el riesgo.
4. 4

   Evaluación del riesgo

   Por actividad y escenario, con criterios documentados. Revísala cada año y siempre que entres en un mercado, un producto o una relación nueva.
5. 5

   Controles

   Diligencia debida, controles financieros y no financieros, regalos y hospitalidad, conflictos de interés y compromisos de los socios, proporcionados al riesgo.
6. 6

   Formación y canal

   Formación según la exposición de cada puesto y un canal para plantear inquietudes sin represalias, con investigaciones documentadas.
7. 7

   Seguimiento y mejora

   Indicadores, auditoría interna, informes de la función antisoborno y revisiones por la dirección y por el órgano de gobierno.

ISO 37001 y UNE 19601: un sistema o dos

Si ya tienes un modelo de compliance penal con UNE 19601, gran parte del trabajo está hecho: las dos normas comparten estructura, canal de denuncias, régimen disciplinario y buena parte de la evaluación de riesgos. La diferencia es de alcance. UNE 19601 cubre todos los delitos que pueden atribuirse a una empresa en España; ISO 37001 solo el soborno, pero con más detalle y con reconocimiento internacional.

Para una empresa que opera en Andorra, donde no hay una exención penal por tener un modelo, ISO 37001 es la referencia más reconocible ante clientes, bancos y administraciones. Y si eres además sujeto obligado de prevención del blanqueo, la guía de PBC en España y Andorra explica cómo compartir el canal, la diligencia debida y las evidencias.

Calendario de transición a la edición de 2025

Qué demuestra la certificación

Un certificado ISO 37001 acredita que una entidad independiente ha auditado el sistema y lo considera conforme con la norma. Es una evidencia valiosa ante clientes, licitaciones y socios. Pero, como recuerda la Circular 1/2016 de la Fiscalía General del Estado para los modelos de prevención, una certificación no prueba por sí sola que el sistema funcione: eso se demuestra con registros de diligencia debida, aprobaciones, formaciones, investigaciones y revisiones.

Preguntas frecuentes