UNE 19601 e ISO 37001 integradas: un solo sistema de compliance penal y antisoborno

Por qué integrarlas

Las dos normas responden a preguntas distintas que se tocan en un punto. UNE 19601 organiza la prevención de todos los delitos de los que puede responder una empresa en España por el artículo 31 bis del Código Penal. ISO 37001 se ocupa solo del soborno, el que la organización podría pagar y el que podría recibir, pero con más detalle y con reconocimiento internacional. El soborno está en las dos.

Integrarlas tiene tres ventajas prácticas:

• Un solo análisis de riesgos. El cohecho o la corrupción en los negocios se evalúan una vez, con una metodología, en vez de en dos mapas que el auditor puede comparar.
• Una sola estructura. Las dos siguen la estructura armonizada de los capítulos 4 a 10, así que el contexto, los roles, la formación, la auditoría interna y la revisión por la dirección se organizan una vez.
• Una auditoría conjunta. La entidad de certificación puede auditar las dos normas a la vez y, si el sistema está realmente integrado, reducir el tiempo total (más abajo).

Lo que no cambia es que son dos certificaciones: cada norma tiene sus requisitos propios y un certificado propio. Las guías de compliance penal y UNE 19601 y de ISO 37001 antisoborno explican cada una por separado.

Qué comparten y qué es propio de cada norma

Donde se solapan: los delitos de soborno

En un mapa de riesgos penales, los delitos de soborno son una parte más del catálogo. En ISO 37001 son todo el catálogo. Cuando las dos normas comparten matriz, estos delitos aparecen dos veces si no se decide qué hacer con ellos. El tráfico de influencias es un caso aparte: puede cometerse sin ofrecer ni pagar nada, y entonces no es soborno.

La regla práctica: un riesgo, una puntuación. Si un riesgo del catálogo penal y otro del catálogo de soborno describen el mismo escenario, quédate con uno y retira el otro con una justificación. Si describen escenarios distintos (por ejemplo, una comisión a un intermediario y un pago de facilitación), mantén los dos. La guía de riesgo inherente y residual explica cómo puntuarlos antes y después de los controles.

Una documentación para dos normas

Integrar no significa fundir los dos sistemas en un documento único. Significa no repetir lo que es común y mantener separado lo que cada norma pide como propio:

• Una sola vez: la evaluación de riesgos y su plan de tratamiento, la diligencia debida sobre el personal y sobre terceros, los compromisos contractuales de los socios de negocio, el canal y su procedimiento de investigación, el régimen disciplinario, la formación, las evidencias de los controles, la auditoría interna y la revisión por la dirección. Cada pieza tiene que cubrir lo que pide cada norma.
• Una por norma: la política, el alcance, los objetivos y la designación de cada función. Un mismo documento puede servir a las dos normas, pero tiene que contener lo que pide cada una.
• Propio de cada norma: en UNE 19601, los protocolos por familia de delito; en ISO 37001, lo específico del soborno, como la gestión de los conflictos de interés o las reglas de regalos y hospitalidad.

Cada documento compartido debería indicar a qué apartado de cada norma responde. Así, cuando el auditor de una norma pide una evidencia, se encuentra a la primera, y cuando se cambia, se sabe a qué dos requisitos afecta.

La auditoría conjunta

Las entidades de certificación acreditadas planifican las auditorías de sistemas integrados con el documento obligatorio IAF MD 11:2023, que sigue en vigor tras la integración del IAF en la Global Accreditation Cooperation en 2026. Lo que establece:

• Una auditoría, dos normas. Una auditoría de sistema integrado examina el sistema frente a dos o más normas a la vez.
• El tiempo parte de la suma. La entidad calcula el tiempo de cada norma por separado y los suma. Desde ahí puede reducirlo según el grado de integración, la capacidad del personal para responder sobre las dos normas y la disponibilidad de auditores competentes en ambas. La reducción no puede pasar del 20 %.
• La integración se comprueba. La solicitud declara el grado de integración, la auditoría de fase 1 lo confirma y las auditorías de seguimiento comprueban que se mantiene durante todo el ciclo.
• Informe conjunto o separado. En un informe conjunto, cada hallazgo tiene que poder atribuirse a la norma o normas a las que afecta, y la entidad valora si una no conformidad en una norma afecta al cumplimiento de la otra.
• Los certificados se vigilan juntos. Si se suspende o retira la certificación de una norma, la entidad investiga el efecto en la otra.

La certificación acreditada de UNE 19601 se apoya además en la norma UNE 165019, con los requisitos específicos para auditar sistemas de compliance penal. Pregunta a tu entidad cómo combina los dos esquemas y qué grado de integración necesita ver para reducir el tiempo de auditoría.

Dos transiciones a la vez

Las dos normas estrenaron edición en 2025, y sus plazos de transición acaban con pocos meses de diferencia. Si vas a integrar, conviene hacerlo ya con las dos ediciones nuevas:

Cómo integrarlas paso a paso

1. 1

   Decide el alcance y el gobierno

   Qué sociedades, actividades y países entran, quién ejerce el órgano de compliance penal y quién la función antisoborno, y cómo informan al órgano de gobierno.
2. 2

   Una evaluación de riesgos

   Una sola matriz por actividad con el catálogo penal y el de soborno. Retira los riesgos duplicados con una justificación y puntúa cada escenario una vez.
3. 3

   Controles comunes

   Cada control se conecta con todos los riesgos que reduce, sean de una norma o de las dos. La diligencia debida sobre socios de negocio sale de esa evaluación.
4. 4

   Documentación sin duplicados

   Lo común, una vez; lo propio de cada norma, en su documento. Cada pieza indica a qué apartado de cada norma responde.
5. 5

   Canal, formación y régimen disciplinario

   Un canal, una formación según la exposición de cada puesto y un régimen disciplinario para los incumplimientos de las dos normas.
6. 6

   Auditoría interna y revisión conjuntas

   Un programa de auditoría interna que cubre las dos normas y una revisión por la dirección que trata las dos.
7. 7

   Auditoría de certificación conjunta

   Solicítala como sistema integrado, declara el grado de integración y prepárate para que la fase 1 lo compruebe.

Si la empresa opera en Andorra

UNE 19601 está construida sobre el artículo 31 bis del Código Penal español. El Codi penal andorrano no prevé la responsabilidad penal directa de las personas jurídicas, aunque sí les impone consecuencias accesorias por corrupción. Para la parte andorrana del negocio, ISO 37001 es la referencia más reconocible; la guía de ISO 37001 en España y Andorra compara las dos legislaciones. Un sistema integrado sigue teniendo sentido si la empresa también opera en España.

Preguntas frecuentes