Norma ISO 37301 de 2021

ISO 37301 NORMA INTERNACIONAL Primera edición 2021-04 Traducción oficial Official translation Traduction officielle Sistemas de gestión del compliance — Requisitos con orientación para su uso Compliance management systems — Requirements with guidance for use Systèmes de management de la conformité — Exigences et recommandations pour la mise en oeuvre

iTeh STANDARD PREVIEW

(standards.iteh.ai) ISO 37301:2021 https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dc56eac19ba4c/iso-37301-2021 Grupo de Trabajo Spanish TPruabnlisclaatdioon p Toar slka FSoerccree t(SaTríTaF C)entral de ISO en Ginebra, Suiza, como traducción oficial en español avalada por el , que ha certificado la conformidad en relación con las versiones inglesa y francesa. Número de referencia ISO 37301:2021 (traducción oficial) © ISO 2021 ISO 37301:2021 (traducción oficial)

iTeh STANDARD PREVIEW

(standards.iteh.ai) ISO 37301:2021 https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dc56eac19ba4c/iso-37301-2021

DOCUMENTO PROTEGIDO POR COPYRIGHT

© ISO 2021 Reservados los derechos de reproducción. Salvo prescripción diferente, o requerido en el contexto de su implementación, no podrá reproducirse ni utilizarse ninguna parte de esta publicación bajo ninguna forma y por ningún medio, electrónico o mecánico, incluidos el fotocopiado, o la publicación en Internet o una Intranet, sin la autorización previa por escrito. La autorización puede

solicitarse a ISO en la siguiente dirección o al organismo miembro de ISO en el país solicitante. ISO copyright office CP 401 • Ch. de Blandonnet 8 CH-1214 Vernier, Ginebra, Suiza

Phone: +41 22 749 01 11

Fax: +41 22 749 09 47

Email: copyright@iso.org Website: www.iso.org Publicada en Suiza Versión española publicada en 2021

Traducción oficial/Official translation/Traduction officielle ii © ISO 2021 – Todos los derechos reservados ISO 37301:2021 (traducción oficial) Índice Página Prólogo v Prólogo de la versión en español vi ............................................................................................................................................................................................................................................... Introducción vii .......................................................................................................................................................................... 1 Objeto y campo de aplicación 1 ............................................................................................................................................................................................................................. 2 Referencias normativas 1 .................................................................................................................................................................. 3 Términos y definiciones 1 ................................................................................................................................................................................. 4 Contexto de la organización 5 ................................................................................................................................................................................ ...................................................................................................................................................................... 4.1 Comprensión de la organización y de su contexto ........... c... o... m..... p... l. i.. a... n... c... e..............................................................5 4.2 Comprensión de las necceosmidpalidaensc ey expectativas de las partes interesadas .......................................6 4.3 Determinación dceolm alpclaianncece del sistema de gestión del ...........................................................6 4.4 Sistema de gestión del compl .. i. a... n.... c.. e.............................................................................................................................6 4.5 Obligaciones de .........................................................................................................................................................6 5 Liderazgo 7 4.6 Evaluación de los riesgos de ..........................................................................................................................6 ...................................................................................................................................................................................................................... 5.1 Liderazgo y comprocmomispol .. i. a... n.... c.. e....................................................................................................................................................7

5.1.1 Órgano de gobiecronmo pyl aialtnac edirección ...............................................................................................................7 iTeh STANDARD PREVIEW 5.1.2 Cucltoumrap ldiaen ce .................................................................................................................................................8 5.1.3 Gobernanza del ....................................................................................................................................8 (standards.iteh.ai) 5.2 Política de .......................................................................................................................................................................8 5.3 Roles, responsabilidcaodmesp yli aanucteoridades ............................................................................................................................9 5.3.1 Órgano de gobiernIoS Oy a3l7t3a0 d1:i2r0e2c1ción ...............................................................................................................9 5.3.2h ttpsF://ustnancdióarnd sd.itee h.ai/catalog/stan ... d.. a... r. d... s.. /. s.. i. s.. t. /. d... b... b.. a... d.. 0... d.. f.. -.. 3.. 2... 5.. 6... -.. 4... d.. 4... e.. -.. b... 9.. 9... d.. -..................................................................9 5.3.3 Dirección ........ c... 5.. 6... e.. a.. c... 1.. 9... b.. a... 4.. c... /. i. s.. o.. -.. 3... 7... 3.. 0... 1.. -.. 2... 0... 2.. 1.........................................................................................................10 6 Planificación 11 5.3.4 Personal ................................................................................................................................................................................11 ........................................................................................................................................................................................................... compliance 6.1 Acciones para abordar los riesgos y oportunidades ...........................................................................................11 6.2 Objetivos de y planificación para lograrlos ....................................................................................11 7 Apoyo 12 6.3 Planificación de los cambios ....................................................................................................................................................12 ............................................................................................................................................................................................................................. 7.1 Recursos.....................................................................................................................................................................................................12

7.2 Competencia ...........................................................................................................................................................................................12 7.2.1 Generalidades ..................................................................................................................................................................12 7.2.2 Proceso de empleo ......................................................................................................................................................13 7.2.3 Formación ...........................................................................................................................................................................13 7.3 Toma de conciencia ..........................................................................................................................................................................13 7.4 Comunicación ........................................................................................................................................................................................14 7.5 Información documentada ........................................................................................................................................................14 7.5.1 Generalidades ..................................................................................................................................................................14 7.5.2 Creación y actualización de la información documentada .......................................................15 8 7.5.3 Control de la información documentada .................................................................................................15 Operación 15 .................................................................................................................................................................................................................. 8.1 Planificación y control operacional ....................................................................................................................................15 8.2 Establecimiento de controles y procedimientos .....................................................................................................16 8.3 Planteamiento de inquietudes ................................................................................................................................................16 9 Evaluación del desempeño 17 8.4 Procesos de investigación ...........................................................................................................................................................16 ...................................................................................................................................................................... 9.1 Seguimiento, medición, análisis y evaluación .................... c.. o... m..... p... l.. i.. a... n... c.. e..............................................................17 9.1.1 Generalidades ..................................................................................................................................................................17 9.1.2 Fuentes de opinión sobre el desempeño del ...........................................................17 Traducción oficial/Official translation/Traduction officielle © ISO 2021 – Todos los derechos reservados iii ISO 37301:2021 (traducción oficial) compliance 9.1.3 Desarrollo de indicadores .....................................................................................................................................17 9.1.4 Informes de ..........................................................................................................................................17 9.1.5 Mantenimiento de registros ................................................................................................................................18 9.2 Auditoría interna ................................................................................................................................................................................18 9.2.1 Generalidades ..................................................................................................................................................................18 9.2.2 Programa de auditoría interna .........................................................................................................................18 9.3 Revisión por la dirección .............................................................................................................................................................18

9.3.1 Generalidades ..................................................................................................................................................................18 9.3.2 Entradas para la revisión del sistema .........................................................................................................18 10 Mejora 19 9.3.3 Resultados de la revisión por la dirección ..............................................................................................19 ........................................................................................................................................................................................................................... 10.1 Mejora continua ..................................................................................................................................................................................19 Anexo A Guía para el uso de este documento 21 10.2 No conformidades y acciones correctivas ....................................................................................................................19 Bibliografía 43 (informativo) ..................................................................................................... ................................................................................................................................................................................................................................

iTeh STANDARD PREVIEW

(standards.iteh.ai) ISO 37301:2021 https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dc56eac19ba4c/iso-37301-2021 ISO 37301:2021 (traducción oficial) Prólogo ISO (Organización Internacional de Normalización) es una federación mundial de organismos nacionales de normalización (organismos miembros de ISO). El trabajo de elaboración de las Normas Internacionales se lleva a cabo normalmente a través de los comités técnicos de ISO. Cada organismo miembro interesado en una materia para la cual se haya establecido un comité técnico, tiene el derecho de estar representado en dicho comité. Las organizaciones internacionales, gubernamentales y no gubernamentales, vinculadas con ISO, también participan en el trabajo. ISO colabora estrechamente con la Comisión Electrotécnica Internacional (IEC) en todos los temas de normalización electrotécnica. En la Parte 1 de las Directivas ISO/IEC se describen los procedimientos utilizados para desarrollar este documento y aquellos previstos para su mantenimiento posterior. En particular debería tomarse nota de los diferentes criterios de aprobación necesarios para los distintos tipos de documentos ISO. Este

documento ha sido redactado de acuerdo con las reglas editoriales de la Parte 2 de las Directivas ISO/ IEC (véase www .iso .org/ directives). Se llama la atención sobre la posibilidad de que algunos de los elementos de este documento puedan estar sujetos a derechos de patente. ISO no asume la responsabilidad por la identificación de alguno o todos los derechos de patente. Los detalles sobre cualquier derecho de patente identificado durante el desarrollo de este documento se indicarán en la Introducción y/o en la lista ISO de declaraciones de patente recibidas (véase www .iso .org/ patents). iTeh STANDARD PREVIEW Cualquier nombre comercial utilizado en este documento es información que se proporciona para comodidad del usuario y no constituye una recomendación. (standards.iteh.ai) Para una explicación de la naturaleza voluntaria de las normas, el significado de los términos específicos de ISO y las expresiones relacionadas con la evaluación de la conformidad, así como la información ISO 37301:2021 acerca de la adhesión de ISO a los principios de la Organización Mundial del Comercio (OMC) respecto a https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dlos Obstáculos Técnicos al Comercio (OTC), véase www .iso .org/ iso/ forGeowbeorrnda .hntzma ld.e las organizaciones c56eac19ba4c/iso-37301-2021 Este documento ha sido elaborado por el Comité Técnico ISO/TC 309, . Esta primera edición de la Norma ISO 37301 anula y sustituye a la Norma ISO 19600:2014, que ha sido revisada técnicamente. Los principales cambios respecto de la Norma ISO 19600:2014 son los siguientes:

— este documento contiene ahora requisitos y orientación adicional basada en los mismos; — este documento sigue los requisitos de ISO para una estructura armonizada para las normas de sistemas de gestión. Cualquier comentario o pregunta sobre este documento deberían dirigirse al organismo nacional de normalización del usuario. En www .iso .org/ members .html se puede encontrar un listado completo de estos organismos. Traducción oficial/Official translation/Traduction officielle © ISO 2021 – Todos los derechos reservados v ISO 37301:2021 (traducción oficial) Prólogo de la versión en español Spanish Translation Task Force Gobernanza de las organizaciones Este documento ha sido traducido por el Grupo de Trabajo (STTF) del Comité Técnico ISO/TC 309, , en el que participan representantes de los organismos nacionales de normalización y representantes del sector empresarial de los siguientes países: Argentina, Bolivia, Chile, Colombia, Costa Rica, Ecuador, El Salvador, España, Guatemala, Panamá, Perú, Uruguay. Esta traducccoiómnp leias npcaerte del resultado del trabajo que el Grupo ISO/TC 309/STTF, viene desarrollando desde su creación en el año 2021 para lograr la unificación de la terminología en lengua española en el ámbito del .

iTeh STANDARD PREVIEW

(standards.iteh.ai) ISO 37301:2021 https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dc56eac19ba4c/iso-37301-2021 Traducción oficial/Official translation/Traduction officielle vi © ISO 2021 – Todos los derechos reservados ISO 37301:2021 (traducción oficial) Introducción

Lcoams polriagnacneizaciones que pretenden ser exitosas a largo plazo necesitan establecer y mantener una cultura de cumplimiento, considerando las necesidades y expectativas de las partes interesadas. El , por tanto, no sólo es la base, sino también una oportunidad para una organización exitosa y sosctoemnpiblilaen.ce compliance El es un proceso continuo y el resultado de que una organización cumpla con sus obligaciones. El se hace sostenible a través de csoum ipnltieagnrcaeción en la cultura de una organización y en el comportamiento y la actitud de las personas que trabajan para ella. Mientras mantenga su independencia, es preferible que la gestión del esté integrada con los demás procesos de gestión de la organización y econm suplsi arnecqeuisitos y procedimientos operacionales. Un sistema de gestión del eficaz y que abarque a toda la organización permite que la organización demuestre su compromiso de cumplir con las leyes, requisitos regulatorios, códigos de la industria y las normas de la organización pertinentes, así como con las normas de buena gobernanza, las mejores prácticas generalmente aceptacdoams,p llaia éntcieca y las expectativas de la comunidad. El enfoque de cuonmap loiarngcaenización para el consiste en que los líderes apliquen los valores fundamentales y las normas generalmente aceptadas de buena gobernanza, de ética y de la comunidad. Incorporar el en el comportamiento de las personas que trabajan para una organización depende, sobre todo, de sus líderes, en todos los niveles, y de que existan unos valores claros en la iTeh STANDARD PREVIEW organización, así ccoommpoli adnec lea aceptación e implementación de medidas que promuevan una conducta

de cumplimiento. Si eso no sucede así en todos los niveles de la organización, existe riesgo de no (standards.iteh.ai) cumplimiento de . En varias jurisdicciones, a la horcao mdep lidaentceerminar la sanción a imponer por contravenir las leyes ISO 37301:2021 pertinentes, los tribunales han tenido en cuenta el compromiso de cumplimiento de una organización a https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dtravés de su sistema de gestión del . Por ello, los organismos regulatorios y judiciales también c56eac19ba4c/iso-37301-2021 se pueden beneficiar de tener este documento como punto de referencia. compliance Lasc oomrgpalniaiznacceiones están cada vez másc ocmonpvlieanncciedas de que si aplican valores vinculanctoems py luiannac egestión adecuada del , pueden salvaguardar su integridad y evitar o minimizar locso mnop lciuanmcpelimientos de con las obligaciones de de la organización. Integridad y un eficaz son, por tanto, elementos clave para llevar una buena y diligente gestión. El también contribuye al comportamiento socialmente responsable de las organizaciones. compliance Uno de los objetivcooms pdleia ensctee documento es ayudar a las organizaciones a desarrollar y difundir una cultura positiva de , teniendo en cuenta que una gestión eficaz y sólida de los riesgos relacionados con debería considerarse como una oportunidad para perseguir y aprovechar, debido a los diversos beneficios que proporciona a la organización, como, por ejemplo: — mejorar las oportunidades de negocio y la sostenibilidad; — proteger y mejorar la reputación y la credibilidad de una organización;

— tener en cuenta las expectativas de las partes interesadas; compliance — demostrar el compromiso de la organización en la gestión de sus riesgos de de forma eficaz y eficiente; — aumentar la confianza de terceras partes en la capacidad de la organización para lograr un éxito sostenido; — minimizar el riesgo de que se produzca una infracción que conlleve costos y daños a la reputación. compliance Este documento especifica requisitos y, además, proporciona una guía de los sistemas de gestión del y prácticas recomendadas. Se pretende que tanto los requisitos como la guía que proporciona este documento sean adaptables, y su aplicación puede diferir dependiendo del tamaño y el nivel de Traducción oficial/Official translation/Traduction officielle © ISO 2021 – Todos los derechos reservados vii ISO 37301:2021 (traducción oficial) compliance madurez del sistema de gestión del de una organización y del contexto, la naturaleza y la complejidad de las actividades y los objetivos de la organización. compliance cEosmtep dlioacnucme ento es adecuado para mejorar los requisitos relacionados con en otros sistemas de gestión y para ayudar a la organización a que mejore la gestión global de todas sus obligaciones de . compliance La Figura 1 proporciona una visión general de los elementos comunes de un sistema de gestión del .

iTeh STANDARD PREVIEW

(standards.iteh.ai) ISO 37301:2021 https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dc56eac19ba4c/iso-37301-2021 Figura 1 — Elementos de un sistema de gestión del compliance Traducción oficial/Official translation/Traduction officielle viii © ISO 2021 – Todos los derechos reservados

ISO 37301:2021 (traducción oficial) En este documento se utilizan las siguientes formas verbales: — “debe” indica un requisito; — “debería” indica una recomendación; — “puede” indica un permiso, una posibilidad o una capacidad. La información indicada como “NOTA” se presenta a modo de orientación para la comprensión o clarificación del requisito correspondiente. El Anexo A proporciona orientación para el uso de este documento.

iTeh STANDARD PREVIEW

(standards.iteh.ai) ISO 37301:2021 https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dc56eac19ba4c/iso-37301-2021 Traducción oficial/Official translation/Traduction officielle © ISO 2021 – Todos los derechos reservados ix

iTeh STANDARD PREVIEW

(standards.iteh.ai) ISO 37301:2021 https://standards.iteh.ai/catalog/standards/sist/dbbad0df-3256-4d4e-b99dc56eac19ba4c/iso-37301-2021 NORMA INTERNACIONAL ISO 37301:2021 (traducción oficial) Sistemas de gestión del compliance — Requisitos con orientación para su uso 1 Objeto y campo de aplicación compliance Este documento especifica los requisitos y proporciona directrices para establecer, desarrollar, implementar, evaluar, mantener y mejorar un sistema de gestión del eficaz dentro de una organización. Este documento es aplicable a toda clase de organizaciones independientemente del tipo, tamaño y naturaleza de la actividad, así como a organizaciones del sector público, privado o sin fines de lucro. Todos los requisitos especificados en este documento que hagan referencia a un órgano de gobierno se

aplican a la alta dirección en aquellos casos en los que una organización no tenga un órgano de gobierno como función independiente. 2 Referencias normativas iTeh STANDARD PREVIEW No existen referencias normativas en este documento. 3 Términos y definicione(sstandards.iteh.ai) ISO 37301:2021

Para los fines de esthett pdso: //cstuamndearndtso.it,e she.a ia/cpaltaicloagn/s tlaonsd atrédrs/msisitn/dobsb ayd 0ddeff-i3n2i5c6i-o4nde4essbi9g9ud-ientes. c56eac19ba4c/iso-37301-2021

ISO e IEC mantienen bases de datos terminológicas para su utilización en normalización en las siguientes direcciones: — Plataforma de búsqueda en línea de ISO: disponible en https:// www .iso .org/ obp —3.1 Electropedia de IEC: disponible en https:// www .electropedia .org/ organización objetivos persona o grupo de personas que tienen sus propias funciones con responsabilidades, autoridades y relaciones para el logro de sus (3.6) Nota 1 a la entrada: El concepto de organización incluye, entre otros, un trabajador independiente, compañía, corporación, firma, empresa, autoridad, sociedad, organización benéfica o institución, o una parte o combinación de estas, ya estén constituidas o no, públicas o privadas. Nota 2 a la entrada: En el caso de que la organización forme parte de una entidad más grande, el término “3o.r2ganización” se refiere solo a aquella parte de la organización que está dentro del alcance del sistema de gestión. parte interesada organización persona u (3.1) que puede afectar, verse afectada, o percibirse como afectada por una

d3e.3cisión o actividad alta dirección organización persona o grupo de personas que dirigen y controlan una (3.1) al más alto nivel Nota 1 a la entrada: La alta dirección tiene el poder de delegar autoridad y proporcionar recursos dentro de la organización. 1 Traducción oficial/Official translation/Traduction officielle © ISO 2021 – Todos los derechos reservados ISO 37301:2021 (traducción oficial) sistema de gestión Nota 2 a la entrada: Si el alcance del (3.4) comprende solo una parte de una organización, entonces alta dirección se refiere a quienes dirigen y controlan esa parte de la organización. Nota 3 a la entrada: Para los fines de este documento, el término “alta dirección” se refiere al más alto nivel de la d3i.r4ección ejecutiva. sistema de gestión organización políticas objetivos procesos conjunto de elementos de una (3.1) interrelacionados o que interactúan para establecer (3.5), (3.6) y (3.8) para lograr esos objetivos Nota 1 a la entrada: Un sistema de gestión puede tratar una sola disciplina o varias disciplinas. Nota 2 a la entrada: Los elementos del sistema de gestión incluyen la estructura de la organización, los roles y las r3e.5sponsabilidades, la planificación y la operación. política organización alta dirección intenciones y dirección de una (3.1) como las expresa formalómrgeanntoe dseu g obierno (3.3) organización Nota 1 a la entrada: La política también puede ser expresada formalmente por el (3.21) de una 3.6 (3.1).

objetivo iTeh STANDARD PREVIEW resultado a lograr (standards.iteh.ai) Nota 1 a la entrada: Un objetivo puede ser estratégico, táctico u operativo. Nota 2 a la entrada: Los objetivos puepdreonc erseoferirse IaS Od i3fe7r3e0n1t:2e0s2 d1isciplinas (como las finanzas, la seguridad y salud y el medio ambiente). Phuttepds:e//nst asnedra, rpdos.rit eehje.ami/cpaltoal,o ogb/sjteatnidvaordss q/suiset/ dabbbaardq0udef-n3 2a5 t6o-d4da4 leabo9r9gda-nización o específicos para un proyecto, producto, servicio o c(536.8e)a.c19ba4c/iso-37301-2021 compliance Nota 3 a la entrada: Un objetivo se puede expresar de otras maneras, por ejemplo, como un resultado previsto, un propósito, un criterio operativo, un objetivo de (3.26), o mediante el uso de términos con un significado similar (por ejemplo, finalisdiasdte om mase dtae) g.estión compliance la organización compliance política compliance, Nota 4 a la entrada: En el contexto de (3.4) del , (3.1) establece los o3b.7jetivos de , en concordancia con la (3.5) de para lograr resultados específicos. riesgo objetivos efecto de la incertidumbre sobre los (3.6) Nota 1 a la entrada: Un efecto es una desviación de lo esperado, ya sea positiva o negativa. Nota 2 a la entrada: Incertidumbre es el estado, incluso parcial, de deficiencia de información relacionada con la

comprensión o conocimiento de un evento, su consecuencia o su probabilidad. Nota 3 a la entrada: Con frecuencia el riesgo se caracteriza por referencia a “eventos” potenciales (como se define en la Guía ISO 73) y “consecuencias” (como se define en la Guía ISO 73) , o a una combinación de estos. Nota 4 a la entrada: Con frecuencia el riesgo se expresa en términos de una combinación de las consecuencias de un evento (incluidos los cambios de las circunstancias) y la “probabilidad” (como se define en la Guía ISO 73) a3s.8ociada de que ocurra. proceso conjunto de actividades interrelacionadas o que interactúan, que emplean o transforman elementos de entrada para obtener resultados Nota 1 a la entrada: Que el resultado de un proceso se denomine salida, producto o servicio depende del contexto de referencia. 2 Traducc