Implementar ISO 9001 e ISO 37001 en el sector público mexicano responde a dos exigencias ciudadanas que hoy pesan más que nunca: trámites y servicios que funcionen de forma predecible, y una administración donde el soborno sea difícil de cometer y fácil de detectar. ISO 9001 ordena la prestación de servicios públicos alrededor de las necesidades del ciudadano; ISO 37001 construye controles concretos contra el soborno en los puntos donde la discrecionalidad y el contacto con particulares crean riesgo. Juntas, convierten la transparencia y la integridad de un discurso en un sistema auditable.
Esta guía está dirigida a titulares de dependencias y entidades, presidentes municipales, síndicos, contralores y titulares de órganos internos de control, directores de administración, responsables de mejora regulatoria y unidades de transparencia en los tres órdenes de gobierno. Explica cómo se aplican ambas normas en la administración pública, cómo se conectan con el Sistema Nacional Anticorrupción y la legislación de transparencia, qué evidencia pide un auditor y qué errores evitar.
Por qué ISO 9001 e ISO 37001 en el gobierno
La administración pública presta servicios masivos: licencias, permisos, registros, cobros de contribuciones, atención médica, seguridad, servicios urbanos. En muchos casos el ciudadano no puede elegir otro proveedor. Eso hace que la calidad y la integridad del servicio público sean una responsabilidad mayor que en el sector privado.
ISO 9001: servicios predecibles
- Requisitos de cada trámite claros y públicos (§8.2).
- Procesos estandarizados con tiempos de respuesta medidos (§8.5.1, §9.1).
- Atención de quejas ciudadanas con análisis de causa (§9.1.2, §10.2).
- Continuidad del servicio ante cambios de administración (§7.1.6, §7.5).
ISO 37001: integridad verificable
- Evaluación del riesgo de soborno por proceso (§4.5).
- Función de cumplimiento con independencia (§5.3.2).
- Debida diligencia de proveedores y personal en puestos expuestos (§8.2).
- Canal de denuncia e investigación (§8.9 y §8.10).
Además de mejorar el servicio, ambos sistemas aportan algo que en el sector público es especialmente valioso: continuidad institucional. Un proceso documentado, con indicadores y responsables, sobrevive a los cambios de administración mejor que la experiencia acumulada en unas cuantas personas.
Marco normativo y regulatorio aplicable
Normas ISO
- ISO 9001:2015 (y Enmienda 1:2024), sistema de gestión de la calidad. La nueva edición se publicó en septiembre de 2026; consulta ISO 9001:2026 para planificar la migración.
- ISO 18091:2019, directrices para la aplicación de ISO 9001 en el gobierno local, con un enfoque de diagnóstico integral del municipio.
- ISO 37001:2025, sistemas de gestión antisoborno. Desde el 31 de agosto de 2026 las auditorías iniciales y de recertificación se realizan contra esta edición; el detalle de la transición está en ISO 37001: antisoborno y compliance en México.
- Normas relacionadas: ISO 37301:2021 (compliance), ISO 37002:2021 (gestión de denuncias) e ISO 37000:2021 (gobernanza de las organizaciones).
Marco jurídico mexicano
- Ley General del Sistema Nacional Anticorrupción (DOF 18-07-2016), que coordina a las autoridades de prevención, detección y sanción de faltas administrativas y hechos de corrupción en los tres órdenes de gobierno.
- Ley General de Responsabilidades Administrativas (DOF 18-07-2016), que define las obligaciones de los servidores públicos, las declaraciones patrimoniales y de intereses, y las faltas administrativas graves, entre ellas el cohecho.
- Ley General de Transparencia y Acceso a la Información Pública (DOF 20-03-2025), que establece las obligaciones de transparencia y el procedimiento de acceso a la información.
- Ley General de Archivos (DOF 15-06-2018), que regula la gestión documental y la conservación de archivos públicos; resulta clave para el control de la información documentada (§7.5).
- Código Penal Federal, que tipifica el cohecho y otros delitos por hechos de corrupción, y los códigos penales estatales.
- Ley General de Mejora Regulatoria (DOF 18-05-2018), con obligaciones de simplificación de trámites y registro de trámites y servicios.
- Normativa de control interno emitida por la Secretaría Anticorrupción y Buen Gobierno y por los órganos estatales de control, así como la legislación de adquisiciones y obra pública federal y local.
Requisito normativo: requisitos legales como requisitos del servicio
ISO 9001:2015 §8.2.2 pide que los requisitos de los servicios incluyan los legales y reglamentarios aplicables. En una dependencia, esto significa que los plazos legales de respuesta, los requisitos publicados en el registro de trámites y las obligaciones de transparencia forman parte de la definición del servicio. Un trámite que se resuelve fuera del plazo legal es, en términos de la norma, una salida no conforme.
Requisitos y evidencia en una institución pública
| Norma y cláusula | Aplicación en gobierno | Evidencia esperada |
|---|---|---|
| ISO 9001 §4.3 | Trámites y servicios incluidos, unidades administrativas y sedes | Alcance coherente con el registro de trámites y la estructura orgánica |
| ISO 9001 §5.1 | Liderazgo del titular y de los mandos superiores | Participación en la revisión por la dirección y asignación de recursos |
| ISO 9001 §7.2 | Competencia de servidores públicos en ventanilla y áreas técnicas | Perfiles de puesto, capacitación y evaluación |
| ISO 9001 §8.2 | Requisitos del trámite y comunicación al ciudadano | Fichas de trámite publicadas, requisitos y plazos legales |
| ISO 9001 §8.5.1 | Control de la prestación del trámite o servicio | Procedimientos, sistema de turnos, control de expedientes |
| ISO 9001 §9.1.2 | Satisfacción ciudadana | Encuestas, buzones, quejas y su análisis |
| ISO 37001 §4.5 | Evaluación del riesgo de soborno | Matriz por proceso: licencias, inspecciones, adquisiciones, cobros, recursos humanos |
| ISO 37001 §5.2 | Política antisoborno | Política aprobada, alineada con el código de ética y de conducta |
| ISO 37001 §5.3.2 | Función de cumplimiento antisoborno | Nombramiento, independencia, recursos y acceso al titular |
| ISO 37001 §7.3 | Toma de conciencia y formación antisoborno | Programa de formación por nivel de riesgo y registros |
| ISO 37001 §8.2 | Debida diligencia | Verificación de proveedores y de personal en puestos de alto riesgo |
| ISO 37001 §8.7 | Regalos, hospitalidad y beneficios | Lineamientos y registro de obsequios ofrecidos o recibidos |
| ISO 37001 §8.9–8.10 | Denuncias e investigaciones | Canal confidencial, protección al denunciante, expedientes de investigación |
Evaluación del riesgo de soborno en procesos públicos
ISO 37001 §4.5 exige identificar, analizar y priorizar los riesgos de soborno de forma periódica. En el sector público, el riesgo se concentra donde coinciden tres factores: discrecionalidad del servidor público, valor de la decisión para el particular y baja visibilidad del proceso. Los procesos que con mayor frecuencia aparecen como críticos son:
- Licencias, permisos y autorizaciones de uso de suelo, construcción y funcionamiento.
- Inspecciones y verificaciones con facultad de clausura o sanción.
- Adquisiciones, arrendamientos, servicios y obra pública, en especial adjudicaciones directas.
- Recaudación, condonaciones y descuentos de contribuciones.
- Reclutamiento, ascensos y asignación de plazas.
- Pagos a proveedores y liberación de estimaciones.
- Inventariar procesos y puntos de decisión. Identifica en cada proceso quién decide, con qué criterios y con qué contacto con particulares.
- Calificar el riesgo inherente. Considera discrecionalidad, valor económico de la decisión, frecuencia de contacto y antecedentes de quejas o denuncias.
- Evaluar los controles existentes. Rotación, segregación de funciones, revisión colegiada, trámite en línea, criterios publicados, testigos sociales.
- Determinar el riesgo residual. Con criterios escritos que permitan comparar procesos de forma objetiva.
- Definir controles adicionales. Priorizando los que reducen discrecionalidad o contacto directo, como trámites digitales y criterios de resolución publicados.
- Revisar al menos anualmente y ante cambios de estructura, nuevos programas o denuncias relevantes.
Ejemplo resuelto: licencias de funcionamiento en un municipio
Ejemplo aplicado — Municipio de tamaño medio
Contexto: el "Municipio de Valle Sereno" (ficticio) decide implementar ISO 9001 en la Dirección de Desarrollo Económico e ISO 37001 en los procesos de licencias de funcionamiento, inspección de comercios y adquisiciones. El cabildo aprueba el proyecto y la contraloría municipal asume la coordinación de cumplimiento.
Diagnóstico inicial:
- Los requisitos de la licencia publicados en el portal no coinciden con los que se piden en ventanilla.
- El plazo legal de resolución es de 10 días hábiles, pero no se mide; los expedientes se resuelven en orden discrecional.
- Los inspectores eligen libremente qué comercios visitar y no existe registro de las visitas no programadas.
- Las quejas ciudadanas se reciben en tres canales distintos sin registro único.
- No existe lineamiento sobre obsequios a servidores públicos.
Evaluación del riesgo de soborno en inspección: discrecionalidad alta (elección de comercios y calificación de faltas), valor alto (posible clausura), contacto directo sin testigos → riesgo inherente alto. Controles existentes: ninguno documentado → riesgo residual alto.
Acciones implementadas:
- Requisitos homologados entre portal y ventanilla, con control de cambios aprobado por la dirección.
- Recepción digital con folio y orden de atención por fecha de ingreso; indicador semanal de trámites resueltos dentro del plazo legal.
- Programa de inspección con selección aleatoria y por riesgo, generado por sistema; actas con folio y fotografía georreferenciada; rotación de zonas entre inspectores.
- Registro único de quejas y canal de denuncia confidencial administrado por la contraloría, con protección al denunciante.
- Lineamiento de regalos y hospitalidad alineado con el código de conducta, con registro de ofrecimientos rechazados.
Resultado: con los controles operando durante cuatro meses, el riesgo residual de inspección baja a medio. En la auditoría de etapa 2, el organismo levanta una no conformidad menor porque la función de cumplimiento no había presentado informe al cabildo (§5.3.2 de ISO 37001). Se corrige con un calendario de informes trimestrales y el primer informe se presenta en la siguiente sesión.
Indicadores de desempeño para instituciones públicas
| Indicador | Definición operativa | Comentario de auditor |
|---|---|---|
| Trámites resueltos en plazo legal | Trámites resueltos dentro del plazo / trámites resueltos | El plazo debe ser el legal o el publicado, no uno interno más holgado |
| Trámites rechazados por requisitos no publicados | Rechazos por requisitos no incluidos en la ficha / rechazos totales | Debe tender a cero; indica discrecionalidad |
| Quejas ciudadanas por cada 1,000 trámites | Quejas registradas / trámites atendidos × 1,000 | Exige registro único de todos los canales |
| Satisfacción ciudadana | Resultado de encuesta posservicio | Revisa método de muestreo y tasa de respuesta |
| Solicitudes de información atendidas en plazo | Solicitudes respondidas en plazo / solicitudes recibidas | Conecta el sistema con las obligaciones de transparencia |
| Personal en puestos de riesgo formado en antisoborno | Personal formado y evaluado / personal en puestos de riesgo | Prioriza ventanilla, inspección y adquisiciones |
| Denuncias atendidas en plazo | Denuncias con investigación concluida en plazo / denuncias recibidas | Un número bajo de denuncias puede indicar falta de confianza en el canal |
Hallazgos típicos de auditoría en el sector público
| Hallazgo típico | Cláusula | Cómo corregir |
|---|---|---|
| Requisitos de trámite distintos entre portal, registro y ventanilla | ISO 9001 §8.2.1, §7.5.3 | Homologar y controlar cambios con una sola fuente oficial |
| Plazos legales de respuesta sin medición | ISO 9001 §9.1.1 | Indicador con folio de ingreso y fecha de resolución |
| Expedientes incompletos o sin clasificación archivística | ISO 9001 §7.5.3 | Alinear el control documental con la Ley General de Archivos |
| Evaluación de riesgos de soborno genérica, sin procesos ni puntos de decisión | ISO 37001 §4.5 | Rehacer por proceso con criterios de discrecionalidad, valor y visibilidad |
| Función de cumplimiento sin independencia ni informes al titular | ISO 37001 §5.3.2 | Nombramiento formal, recursos y calendario de informes |
| Proveedores adjudicados sin debida diligencia proporcional al riesgo | ISO 37001 §8.2 | Criterios de debida diligencia por monto y tipo de contratación |
| Canal de denuncia sin garantías de confidencialidad | ISO 37001 §8.9 | Canal administrado por área independiente con protección al denunciante |
| Revisión por la dirección sin participación del titular | ISO 9001 §9.3, ISO 37001 §9.3 | Agenda formal con el titular y decisiones registradas |
El riesgo del cambio de administración
El error más costoso en gobierno es certificar al final de una gestión sin preparar la transición. Si el nuevo equipo no conoce el sistema, las vigilancias se pierden y la certificación se suspende. Documenta responsables por puesto y no por persona, incluye el sistema en el proceso de entrega-recepción y programa la formación del nuevo equipo en sus primeras semanas.
Gobierno abierto y confianza ciudadana
México fue uno de los países fundadores de la Alianza para el Gobierno Abierto en 2011. Los principios de gobierno abierto, transparencia, participación ciudadana y rendición de cuentas, encuentran en estos sistemas un mecanismo operativo. Publicar los indicadores de tiempos de respuesta, los resultados de satisfacción y las acciones derivadas de quejas permite que la ciudadanía verifique el desempeño. La certificación por un organismo independiente añade una evaluación externa que no depende de la propia institución.
Conviene comunicar con precisión lo que significa la certificación: acredita que un sistema de gestión cumple los requisitos de la norma en un alcance definido, no que la institución esté libre de corrupción. ISO 37001 reconoce expresamente que ningún sistema puede eliminar por completo el riesgo de soborno; lo que aporta son controles razonables y proporcionales, y mecanismos para detectar y responder.
Checklist para dependencias y gobiernos locales
- El alcance incluye trámites, unidades y sedes definidos con claridad.
- El titular participa en la revisión por la dirección y asigna recursos.
- Los requisitos y plazos de cada trámite coinciden en portal, registro y ventanilla.
- Se mide el cumplimiento de plazos legales de respuesta.
- Las quejas ciudadanas se registran en un solo sistema y se analizan.
- La evaluación de riesgos de soborno cubre los procesos con discrecionalidad y contacto con particulares.
- La función de cumplimiento está nombrada, tiene independencia e informa periódicamente.
- La política antisoborno está alineada con el código de ética y de conducta.
- Existe debida diligencia proporcional para proveedores y puestos de alto riesgo.
- Hay lineamientos y registro de regalos y hospitalidad.
- El canal de denuncia es confidencial y protege al denunciante.
- El control documental es coherente con la Ley General de Archivos.
- El sistema está incluido en el proceso de entrega-recepción de la administración.
Si además tu institución contrata con proveedores que deben estar certificados, revisa la guía de certificación ISO para licitaciones de gobierno, y para integrar más normas consulta sistemas de gestión integrados.
Cómo lo abordamos en Quality College
Quality College no certifica: acompaña a dependencias, entidades y gobiernos locales para llegar a la auditoría de un organismo de certificación acreditado e independiente con sistemas ISO 9001 e ISO 37001 que funcionan en la operación diaria. Nuestro trabajo incluye diagnóstico por cláusula y por trámite, evaluación de riesgos de soborno por proceso, diseño de la función de cumplimiento y del canal de denuncia, formación de servidores públicos y auditores internos, auditoría interna y acompañamiento en etapa 1, etapa 2 y cierre de hallazgos, con un plan explícito para la continuidad ante cambios de administración. Hemos acompañado a más de 150 organizaciones en 8 años.
Qualitix Bot® acelera la documentación de procedimientos y fichas de trámite, e ISO Track® concentra quejas, denuncias, acciones correctivas, auditorías y revisiones por la dirección con trazabilidad. Conoce el enfoque sectorial en ISO para gobierno e instituciones públicas y las páginas de ISO 9001 e ISO 37001.