En México, una empresa puede ser sancionada por un soborno que pagó un gestor, un agente aduanal o un distribuidor en su nombre, aunque la dirección nunca lo haya autorizado. La Ley General de Responsabilidades Administrativas permite sancionar a las personas morales por faltas de particulares y considera, al determinar su responsabilidad, si contaban con una política de integridad. Por eso ISO 37001, el estándar antisoborno y de compliance, dejó de ser un tema de grandes corporativos: hoy lo piden empresas tractoras, licitaciones y socios internacionales a proveedores de todos los tamaños.
Esta guía está escrita para directores generales, oficiales de cumplimiento, contralores, responsables jurídicos y gerentes de sistemas en México. Al terminar sabrás qué exige la segunda edición, ISO 37001:2025, cuáles son los plazos de transición desde la edición 2016, cómo se conecta con la LGRA y el Código Penal Federal, cómo evaluar riesgos de soborno y realizar la debida diligencia, qué evidencia pide el auditor y qué hallazgos aparecen con más frecuencia.
ISO 37001:2025: qué es y qué cambió en la segunda edición
ISO 37001 establece requisitos para un sistema de gestión antisoborno (SGAS) que ayuda a prevenir, detectar y responder al soborno, tanto activo como pasivo, en el sector público, privado y social. Es certificable por un organismo acreditado conforme a ISO/IEC 17021-1 y aplica a organizaciones de cualquier tamaño.
La segunda edición se publicó en febrero de 2025 y sustituye a ISO 37001:2016. Sus cambios principales son:
- Alineación con la Estructura Armonizada más reciente, lo que facilita la integración con ISO 9001, ISO 14001, ISO 45001 e ISO 37301 (sistemas de gestión de compliance).
- Cambio climático como posible cuestión pertinente del contexto (§4.1) y necesidad de partes interesadas (§4.2), conforme a la enmienda transversal aplicada a las normas de sistemas de gestión.
- Mayor énfasis en la cultura antisoborno: la dirección debe promover activamente una cultura de integridad y cumplimiento, no solo aprobar una política.
- Precisiones sobre la función de cumplimiento antisoborno: independencia, recursos, autoridad y acceso directo al órgano de gobierno.
- Conflictos de interés y requisitos de formación desarrollados con mayor detalle, incluida su extensión a socios de negocio cuando el riesgo lo justifica.
Plazos de transición: la ventana se está cerrando
Conforme al documento obligatorio IAF MD 30:2025, el periodo de transición es de 24 meses desde la publicación. Desde el 31 de agosto de 2026, toda auditoría inicial o de recertificación debe realizarse contra ISO 37001:2025, y el 28 de febrero de 2027 pierden validez todos los certificados emitidos conforme a la edición 2016. Si tu organización está certificada, coordina con tu organismo certificador la auditoría de transición cuanto antes.
Marco legal anticorrupción en México y su relación con ISO 37001
ISO 37001 no sustituye la ley, pero ofrece un método reconocido para demostrar que la organización hizo lo razonable para prevenir el soborno. En México, el marco relevante es el siguiente:
| Ordenamiento | Disposiciones relevantes | Vínculo con ISO 37001 |
|---|---|---|
| Ley General de Responsabilidades Administrativas (LGRA), DOF 18-07-2016 | Faltas de particulares, incluido el soborno a servidores públicos; responsabilidad de personas morales (art. 24); política de integridad (art. 25); sanciones a personas morales (art. 81) | Los elementos de la política de integridad del art. 25 se cubren con el SGAS |
| Ley General del Sistema Nacional Anticorrupción | Coordinación de autoridades en prevención, detección y sanción | Contexto de partes interesadas (§4.2) |
| Código Penal Federal | Delito de cohecho, incluido el cohecho a servidores públicos extranjeros; responsabilidad penal de personas jurídicas | Riesgos legales en la evaluación de riesgos de soborno (§4.5) |
| Código Nacional de Procedimientos Penales | Procedimiento para personas jurídicas, que considera si existía un debido control en la organización | El SGAS como evidencia de debido control |
| Leyes extranjeras con alcance extraterritorial (FCPA de EE. UU., UK Bribery Act) | Aplican a empresas emisoras, filiales o socios de compañías sujetas a esas jurisdicciones | Requisitos de clientes y socios (§4.2, §8.5) |
Requisito legal: los siete elementos de la política de integridad (LGRA art. 25)
Al determinar la responsabilidad de una persona moral, la autoridad valora si contaba con una política de integridad que incluya: manual de organización y procedimientos claro y completo; código de conducta publicado y socializado; sistemas de control, vigilancia y auditoría; sistemas de denuncia internos y hacia autoridades, con procesos disciplinarios; sistemas de capacitación sobre integridad; políticas de recursos humanos que eviten incorporar personas que representen riesgo; y mecanismos de transparencia y publicidad de intereses. Un SGAS conforme a ISO 37001 aporta evidencia estructurada de todos ellos.
Requisitos clave de ISO 37001 y evidencia que pide el auditor
El organismo certificador audita en dos etapas y busca evidencia de que los controles operan, no solo de que existen. Estos son los requisitos centrales y la evidencia habitual:
| Requisito | Qué verifica el auditor | Evidencia aceptable |
|---|---|---|
| §4.1 / §4.2 Contexto y partes interesadas | Exposición al soborno por sector, países, interacción con gobierno y socios | Análisis de contexto con mapa de interacciones con servidores públicos y terceros |
| §4.5 Evaluación del riesgo de soborno | Metodología, criterios y revisión periódica | Matriz de riesgos por proceso, socio y ubicación, aprobada y revisada |
| §5.1 Órgano de gobierno y alta dirección | Supervisión activa y tono desde arriba | Actas del consejo o comité con revisión del SGAS, comunicaciones de la dirección |
| §5.2 Política antisoborno | Prohibición del soborno, compromiso de cumplimiento, consecuencias | Política aprobada, difundida a personal y socios de negocio |
| §5.3.2 Función de cumplimiento antisoborno | Competencia, independencia, recursos y acceso al órgano de gobierno | Nombramiento, descripción de puesto, informes periódicos al órgano de gobierno |
| §7.2 / §7.3 Competencia, formación y toma de conciencia | Formación según exposición al riesgo | Programa diferenciado por puesto, registros de asistencia y evaluación |
| §8.2 Debida diligencia | Evaluación de socios, transacciones y personal en puestos de riesgo | Cuestionarios, verificaciones en listas, análisis de beneficiario final, decisión documentada |
| §8.3 Controles financieros | Segregación de funciones, autorizaciones, soporte de pagos | Matriz de autorizaciones, revisión de pagos a terceros, conciliaciones |
| §8.4 Controles no financieros | Compras, ventas, contratación, licitaciones | Procedimientos con criterios objetivos, evaluaciones competitivas documentadas |
| §8.5 Organizaciones controladas y socios de negocio | Extensión de controles y compromisos antisoborno | Cláusulas contractuales, declaraciones de cumplimiento, derecho de auditoría |
| §8.7 Regalos, hospitalidad y donaciones | Límites, aprobaciones y registro | Política con umbrales, registro de regalos y hospitalidades, aprobaciones |
| §8.9 Planteamiento de inquietudes | Canal confidencial y protección contra represalias | Línea de denuncia, registro de reportes, evidencia de no represalia |
| §8.10 Investigación | Investigación independiente y acciones | Procedimiento, expedientes de investigación, decisiones y sanciones |
Evaluación de riesgos de soborno y debida diligencia paso a paso
La evaluación de riesgos (§4.5) es la base de todo el sistema: define qué controles necesitas y con qué intensidad. Esta secuencia funciona para empresas medianas y grandes en México:
- Mapea los puntos de contacto con el gobierno. Permisos, licencias, inspecciones, aduanas, licitaciones, trámites fiscales, verificaciones sanitarias o ambientales. Cada interacción es un punto de exposición.
- Identifica a los socios de negocio de riesgo. Gestores, agentes aduanales, consultores que tramitan ante autoridades, distribuidores, subcontratistas de obra y cualquier tercero que actúe en tu nombre.
- Define criterios de evaluación. Probabilidad (frecuencia de interacción, discrecionalidad del funcionario, historial del sector) e impacto (legal, financiero, reputacional, contractual).
- Evalúa por proceso, socio y ubicación. Un mismo proceso puede tener riesgos distintos en diferentes estados o aduanas.
- Clasifica a los socios y define la debida diligencia por nivel. Riesgo bajo: declaración y verificación en listas. Medio: cuestionario, referencias y beneficiario final. Alto: investigación ampliada, entrevista, revisión de antecedentes y aprobación de la función de cumplimiento.
- Diseña controles proporcionales. Cláusulas antisoborno, pagos solo contra entregables verificables, prohibición de pagos en efectivo, doble firma, rotación de personal en puestos críticos.
- Documenta las decisiones. Si apruebas un socio de riesgo alto, registra por qué y qué controles adicionales aplicas.
- Revisa periódicamente. Al menos una vez al año y ante cambios significativos: nuevos mercados, adquisiciones, incidentes o cambios regulatorios.
Consejo de auditor
Los pagos de facilitación (pequeñas cantidades para "agilizar" un trámite) son soborno conforme a la ley mexicana y a ISO 37001. Tu política debe prohibirlos expresamente y tu formación debe incluir casos reales del sector: la ventanilla que "pide una ayuda", el inspector que sugiere una "multa sin recibo".
Ejemplo resuelto: constructora que participa en licitaciones públicas
Ejemplo aplicado: "Edificaciones del Pacífico", 180 personas, Jalisco
Contexto. Constructora ficticia certificada en ISO 9001 que participa en licitaciones estatales y municipales y en obras para corporativos privados. Un cliente corporativo le exige ISO 37001 para renovar su contrato marco.
Mapa de exposición. Licencias de construcción, permisos ambientales, licitaciones públicas, recepción de obra por supervisión gubernamental, contratación de gestores para trámites y subcontratistas locales.
Evaluación de riesgos (P × I, escala 1–5; tratamiento prioritario ≥ 12).
| Riesgo | P | I | Nivel | Controles | Residual |
|---|---|---|---|---|---|
| Gestor externo paga a funcionario para acelerar licencia de construcción | 4 | 5 | 20 | Debida diligencia ampliada, honorarios fijos contra entregables, cláusula antisoborno con terminación, prohibición de pagos en efectivo | 2 × 5 = 10 |
| Regalo o atención a integrantes del comité evaluador de una licitación | 3 | 5 | 15 | Prohibición total de regalos a servidores públicos, registro de interacciones durante procesos de licitación | 1 × 5 = 5 |
| Supervisor de obra solicita pago para firmar estimaciones | 3 | 4 | 12 | Canal de denuncia, protocolo de respuesta ante solicitudes, escalamiento inmediato a cumplimiento, documentación de la recepción | 2 × 4 = 8 |
| Conflicto de interés de residente de obra con subcontratista | 3 | 3 | 9 | Declaración anual de intereses, selección de subcontratistas por comité con criterios objetivos | 1 × 3 = 3 |
Gestión del residual. El riesgo del gestor quedó en 10. La dirección decidió internalizar los trámites de licencias en los municipios con mayor volumen de obra y mantener gestores solo donde no hay alternativa, con revisión trimestral de sus pagos por la función de cumplimiento.
Resultado. Se nombró a la contralora como responsable de la función de cumplimiento antisoborno con reporte directo al consejo, se capacitó a 42 personas en puestos de exposición alta y se habilitó una línea de denuncia administrada por un tercero. En la etapa 2, el auditor revisó cinco expedientes de debida diligencia y dos reportes de la línea con su seguimiento. Las cifras son ilustrativas.
Indicadores del sistema de gestión antisoborno
El desempeño de un SGAS no se mide por "cero denuncias": un canal sin reportes puede significar desconfianza, no ausencia de riesgo. Estos indicadores dan una visión equilibrada:
| Indicador | Fórmula | Criterio sugerido (ajústalo) | Referencia |
|---|---|---|---|
| Socios de riesgo alto con debida diligencia vigente | Socios con diligencia vigente ÷ socios de riesgo alto | 100 % | §8.2 |
| Contratos con cláusula antisoborno | Contratos con cláusula ÷ contratos con socios de riesgo medio y alto | 100 % | §8.5 |
| Formación en puestos de exposición alta | Personal capacitado en 12 meses ÷ personal en puestos de riesgo | 100 % | §7.3 |
| Tiempo de atención de denuncias | Días promedio desde el reporte hasta la resolución | Definido en el procedimiento, p. ej. ≤ 60 días | §8.10 |
| Regalos y hospitalidades registrados y aprobados | Registros con aprobación ÷ registros totales | 100 % | §8.7 |
| Declaraciones de conflicto de interés | Declaraciones recibidas ÷ personal obligado | 100 % | §5.2, §7.2 |
| Excepciones en pagos a terceros | Pagos sin soporte completo detectados en revisión | Tendencia a cero; cada caso analizado | §8.3 |
Hallazgos típicos de auditoría ISO 37001
Estos hallazgos se repiten en auditorías internas y de certificación de sistemas antisoborno en México:
| Hallazgo | Cláusula | Corrección y acción correctiva |
|---|---|---|
| Evaluación de riesgos genérica que no distingue procesos, socios ni ubicaciones | §4.5 | Rehacer con mapa de interacciones con gobierno y clasificación de socios |
| Función de cumplimiento asignada a alguien que reporta al área que debe supervisar | §5.3.2 | Garantizar independencia y acceso directo al órgano de gobierno |
| Gestores y agentes sin debida diligencia ni cláusula antisoborno | §8.2, §8.5 | Diligencia por nivel de riesgo, renegociación de contratos |
| Política de regalos sin umbrales ni registro | §8.7 | Definir límites, aprobaciones y registro centralizado |
| Línea de denuncia sin opción anónima o sin medidas contra represalias | §8.9 | Canal confidencial con opción anónima, política de no represalia comunicada |
| Formación idéntica para todos, sin casos de los procesos de mayor exposición | §7.3 | Programa diferenciado por puesto con casos reales del sector |
| Pagos a terceros sin soporte del servicio prestado | §8.3 | Pago solo contra entregable verificable; revisión periódica por cumplimiento |
| Órgano de gobierno sin evidencia de supervisión del SGAS | §5.1.1, §9.3 | Informes periódicos de la función de cumplimiento y actas con decisiones |
| Sistema certificado en edición 2016 sin plan de transición | IAF MD 30:2025 | Análisis de brechas contra ISO 37001:2025 y auditoría de transición antes del 28-02-2027 |
Checklist de preparación para ISO 37001:2025
- Contexto con mapa de interacciones con servidores públicos y socios de negocio, incluido el cambio climático (§4.1, §4.2).
- Evaluación de riesgos de soborno por proceso, socio y ubicación, aprobada y con fecha de revisión (§4.5).
- Política antisoborno aprobada, que prohíbe pagos de facilitación y se comunica a socios (§5.2).
- Función de cumplimiento con independencia, recursos y acceso directo al órgano de gobierno (§5.3.2).
- Código de conducta y política de conflictos de interés con declaraciones periódicas.
- Debida diligencia por nivel de riesgo para socios, transacciones y personal en puestos críticos (§8.2).
- Controles financieros: segregación, autorizaciones, prohibición de efectivo, soporte de pagos (§8.3).
- Cláusulas antisoborno en contratos con socios de riesgo medio y alto (§8.5).
- Política de regalos, hospitalidad y donaciones con umbrales y registro (§8.7).
- Canal de denuncia confidencial con protección contra represalias y procedimiento de investigación (§8.9, §8.10).
- Formación diferenciada por exposición al riesgo (§7.3).
- Correspondencia documentada con los siete elementos de la política de integridad de la LGRA (art. 25).
- Si estás certificado en la edición 2016: análisis de brechas y fecha acordada de auditoría de transición.
Para profundizar en el sector público, revisa ISO 9001 e ISO 37001 en el sector público; para requisitos de compras públicas, la guía de certificación ISO para licitaciones de gobierno; y para integrar el SGAS con otros sistemas, la de sistemas de gestión integrados. Más información en la página de ISO 37001 y en la de licitaciones y proveedores.
Cómo lo abordamos en Quality College
Iniciamos con un diagnóstico que contrasta tus controles actuales con ISO 37001:2025 y con los elementos de la política de integridad de la LGRA; si ya estás certificado en la edición 2016, realizamos el análisis de brechas para la transición. Acompañamos la evaluación de riesgos de soborno, el diseño de la debida diligencia, los controles financieros y no financieros, el canal de denuncia, la formación por nivel de exposición, la auditoría interna y la preparación para la auditoría frente al organismo certificador acreditado que elijas. Los proyectos típicos van de 8 a 16 semanas según alcance y madurez.
Para acelerar la documentación usamos Qualitix Bot®, nuestra IA que genera borradores de políticas y procedimientos a partir de tu contexto real, siempre revisados por un consultor; e ISO Track®, nuestro SaaS para gestionar riesgos, debida diligencia, auditorías, acciones e indicadores. Hemos acompañado a más de 150 organizaciones en su certificación desde 2018 y ofrecemos garantía contractual de certificación.