Compliance y gestión del fraude: ISO 37003:2025
La nueva norma ofrece un marco común para prevenir irregularidades, mejorar la detección y optimizar la gestión de riesgos.
26 agosto, 2026
1 min
Han pasado casi 17 años desde que se introdujo en España la responsabilidad penal de la persona jurídica. Desde esa atalaya de tiempo, vemos el rol de la Norma UNE 19601 para armonizar la prevención penal en España y su empleo como referente de la diligencia de las organizaciones y sus gestores.
El régimen de responsabilidad penal de las personas jurídicas se introdujo en España en el año 2010, sin demasiado entusiasmo, por lo que fue necesaria otra modificación del Código penal en 2015 para impulsar el compliance penal en su concepción actual. El Código penal determinó entonces unos parámetros mínimos en forma de “modelos de organización y gestión” inspirados en la normativa italiana del año 2001 y, por consiguiente, lejos de prácticas coetáneas.
En enero de 2015, la Asociación Española de Normalización (UNE) decidió elaborar una Norma sobre un sistema de gestión de compliance penal que no solo cubriese los requisitos del Código Penal, sino que además estuviese alineada con buenas prácticas internacionales. España había participado activamente en la normalización de los estándares ISO sobre compliance, de modo que podía trasladar esas experiencias al contexto español.
Durante el proceso de elaboración de la Norma, se publicó la Circular 1/2016 de la Fiscalía General del Estado y el Tribunal Supremo emitió las primeras sentencias sobre la responsabilidad penal de las personas jurídicas. Todo ello se consideró durante las sesiones de normalización, que culminaron en mayo de 2017 con la publicación de la Norma UNE 19601.
Migrar de los requisitos básicos del Código Penal a un texto medible con sus coetáneos internacionales fue un paso de gigante. En cualquier caso, la Norma española incorporó un Anexo A vinculando sus contenidos a las exigencias de la normativa española y dejando claro que el resto obedecía a buenas prácticas generalmente aceptadas a nivel internacional.
Este anexo permite realizar análisis de proximidad con doble alcance: (i) evaluar el nivel de adecuación de un modelo de compliance penal a los requisitos del Código Penal y (ii) hacer lo propio respecto de otros componentes adicionales presentes en textos internacionales.
La Norma UNE es el referente en España sobre los modelos de prevención penal, habiéndose utilizado en el contexto de pruebas periciales judiciales, en cláusulas administrativas condicionantes de ayudas públicas, etc. Sin embargo, el transcurso del tiempo produce la obsolescencia de las normas y, por eso, las entidades de normalización prevén procesos para su revisión. Fruto de ello se publicó la versión actualizada UNE 19601:2025.
Aunque se trata de un estándar robusto y reconocido, esta actualización no introdujo cambios drásticos, sino más bien prácticas recogidas en nuevos estándares internacionales, considerando también el marco legal español actual. Sobre esto último, procedía alinear su contenido con la Directiva (UE) de protección al informante y la Ley 2/2023 que la traspuso en España. Se aprovechó esta necesidad para incorporar conceptos y buenas prácticas provenientes del estándar internacional ISO 37002:2021 sobre whistleblowing lines.
No obstante, la mayor influencia de la normalización internacional proviene del estándar ISO 37301:2021 sobre sistemas de gestión de compliance. Destaca la concreción de las responsabilidades del órgano de compliance penal, distinguiendo ahora entre las que son “core” respecto de otras que no lo son. Desde una perspectiva filosófica, también cabe subrayar la alineación del concepto de “cultura” con la corriente internacional que ilustra la secuencia: valores, ética, creencias y conductas.
La revisión de la Norma UNE sirvió también para adaptarla a la estructura armonizada HS de ISO y clarificar algunos redactados.
En este vídeo tratamos la Norma UNE 19601:2025, su utilidad y los aspectos prácticos más destacados de su última actualización.
Deja un comentario