ISO 37301, ISO 37001 y UNE 19601: guía comparativa para pymes

TL;DR Las tres son normas de sistemas de gestión, voluntarias y certificables por un organismo externo, pero miran cosas distintas. La ISO 37301 ordena todo el cumplimiento de la empresa. La ISO 37001 se centra en el soborno. La UNE 19601 se diseñó para el compliance penal español. Ninguna es obligatoria por sí misma, y un certificado no exime de responsabilidad penal: el artículo 31 bis del Código Penal exime a la empresa con un modelo idóneo y ejecutado con eficacia, y el certificado es solo un elemento más. Elige la norma según quién te la exija y qué riesgo quieras cubrir; si no te la exige nadie, empieza por un modelo penal proporcionado y decide después si certificarlo.

¿Qué son estas tres normas y por qué se confunden?

Se confunden porque las tres hablan de «compliance» y se pueden certificar, pero responden a preguntas diferentes.

• ISO 37301:2021, sistemas de gestión de compliance. Según el ISO/TC 309, el comité que la elaboró, se publicó el 13 de abril de 2021 y fija los requisitos de un sistema de gestión de compliance eficaz. Es genérica: se aplica a cualquier organización. Sustituyó a la ISO 19600:2014, retirada.
• ISO 37001:2025, sistemas de gestión antisoborno. La ficha de ISO la presenta como la segunda edición, publicada en febrero de 2025. Sustituye a la ISO 37001:2016 y a su enmienda de 2024.
• UNE 19601, sistemas de gestión de compliance penal. UNE, la Asociación Española de Normalización, publicó el 24 de abril de 2025 la nueva versión, la UNE 19601:2025, que sustituye a la de 2017 (Revista UNE n.º 80). La describe como un modelo de gestión para prevenir delitos «alineado con las exigencias del Código Penal».

Si en una oferta o un contrato ves «UNE 19601:2017», es la edición anterior. ENAC fijó el calendario en su plan de transición: las certificadoras acreditadas dejaron de hacer auditorías iniciales y de recertificación con la versión de 2017 el 30 de octubre de 2026, y los certificados de 2017 pierden la condición de acreditados a partir del 30 de abril de 2027.

Tabla comparativa

Las normas ISO y UNE son de pago; aquí se resume lo que sus organismos publican en abierto (fuentes al final).

Qué dice el Código Penal y qué no dice

El artículo 31 bis hace responsable penalmente a la persona jurídica de ciertos delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, por sus representantes legales o por quienes pueden decidir en su nombre o tienen facultades de organización y control (apartado 1.a), y por empleados cuando los directivos han incumplido gravemente sus deberes de supervisión (apartado 1.b). Solo ocurre «en los supuestos previstos en este Código», es decir, para los delitos del catálogo. El cohecho, por ejemplo, lo prevé el artículo 427 bis, y la corrupción en los negocios, el artículo 288 con los artículos 286 bis a 286 quater.

La empresa queda exenta si cumple las cuatro condiciones del apartado 2 cuando el delito lo comete un directivo: el órgano de administración adoptó y ejecutó con eficacia, antes del delito, modelos de organización y gestión con medidas de vigilancia y control idóneas para prevenir delitos de esa naturaleza o reducir de forma significativa su riesgo (1.ª); la supervisión se confió a un órgano con poderes autónomos de iniciativa y control, o con la función legal de supervisar los controles internos (2.ª); los autores eludieron fraudulentamente el modelo (3.ª); y no hubo omisión o ejercicio insuficiente de la supervisión (4.ª). Si solo se acreditan en parte, se valora para atenuar la pena.

Para delitos de empleados, el apartado 4 exige un modelo adecuado y eficaz antes del delito. Si el modelo llega tarde, el artículo 31 quater.1.d) permite atenuar la pena a quien establezca medidas eficaces de prevención y detección antes del juicio oral.

El apartado 5 lista seis requisitos del modelo: identificar las actividades de riesgo, fijar protocolos de decisión, gestionar los recursos financieros para impedir los delitos, imponer la obligación de informar al órgano de vigilancia, establecer un sistema disciplinario y verificar el modelo periódicamente. El apartado 3 permite que, en personas jurídicas de pequeñas dimensiones (las que pueden presentar cuenta de pérdidas y ganancias abreviada), el propio órgano de administración asuma la supervisión.

El artículo no menciona ninguna norma ISO o UNE ni ninguna certificación. Un juez valora si el modelo existía, estaba ejecutado con eficacia y era idóneo para ese delito. La Fiscalía lo dice en su Circular 1/2016 (conclusión 19.ª.3): las certificaciones «podrán apreciarse como un elemento adicional más de la adecuación del modelo pero en modo alguno acreditan su eficacia».

Los propios organismos lo dicen con matices. UNE afirma que las organizaciones que implementen eficazmente su modelo «pueden llegar a ver atenuada su responsabilidad penal o incluso ser eximidas de la misma». ISO advierte en las FAQ de la 37301 que usar la norma, con o sin certificación, no protege de forma absoluta: puede servir como prueba de que se adoptaron medidas adecuadas, lo que puede reducir o excluir la responsabilidad, y la certificación puede reforzarla.

ISO 37001 y soborno: cuándo tiene sentido

La ISO 37001 es la más estrecha de las tres. Según la propia ISO, cubre el soborno directo e indirecto en el sector público, privado y sin ánimo de lucro. Entre sus componentes clave están la política antisoborno, la debida diligencia, los controles financieros y no financieros, la formación y los mecanismos de seguimiento, información y mejora. Tiene sentido si vendes a administraciones, trabajas con intermediarios u operas en países de riesgo.

Si ya tienes la ISO 37001:2016, el Foro Internacional de Acreditación fija en su documento IAF MD 30 que las certificaciones acreditadas de la edición anterior dejan de ser válidas después del 28 de febrero de 2027 y que, desde el 31 de agosto de 2026, la certificación inicial y la recertificación acreditadas ya solo se hacen con la edición 2025.

ISO 37301: la norma paraguas

La ISO 37301 es la opción cuando quieres ordenar todo el cumplimiento y no solo un delito. ISO la define como una norma de sistema de gestión de «tipo A», que se puede integrar con la ISO 9001, la ISO 14001 y la ISO 37001. Se basa, entre otros, en el principio de proporcionalidad, que permite adaptar el sistema al tamaño y a los riesgos de la empresa.

Según las FAQ de ISO, la certificación no es obligatoria con carácter general, aunque puede serlo por ley o por contrato (por ejemplo, en contratación pública). Tampoco exige un programa aparte: sus medidas se integran con los procesos existentes, así que entra en el sistema integrado de gestión que ya tengas. Su límite en España: no está pensada para el catálogo de delitos del Código Penal, así que para un modelo penal tendrás que añadir el análisis de los delitos que te afectan y los requisitos del artículo 31 bis.

UNE 19601: el modelo penal con acento español

La UNE 19601 existe para el caso que ocupa el artículo 31 bis. UNE explica que su comité (CTN-UNE 165/SC 3) la revisó para alinearla con la estructura armonizada de ISO y con las normas de compliance y de denuncias aparecidas desde 2017.

Tiene más sentido si quieres un modelo que hable el idioma del Código Penal y que tus interlocutores en España ya conocen. Que sea «norma UNE» no la hace obligatoria ni le da valor legal especial.

El canal de denuncias, en tres capas

1. El Código Penal. El artículo 31 bis 5.4.º exige que el modelo imponga la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilarlo.
2. La Ley 2/2023. El artículo 10 obliga a tener un sistema interno de información a las empresas privadas con cincuenta o más trabajadores y, sin importar la plantilla, a las de sectores con normativa europea propia (servicios financieros, blanqueo de capitales, seguridad del transporte y medio ambiente). Las demás pueden establecerlo voluntariamente, con los mismos requisitos. El artículo 5.2 fija sus requisitos. El artículo 8 regula al Responsable del Sistema, y el artículo 2.1.b protege a quien informa de posibles infracciones penales o administrativas graves o muy graves.
3. La norma elegida. Las tres se relacionan con la gestión de denuncias, pero ninguna sustituye a la obligación legal, ni al revés.

En la práctica, un canal que cumpla la Ley 2/2023 puede servir también al modelo penal si informa al órgano de supervisión. La propia ley (art. 8.6) permite que el responsable de cumplimiento sea también el Responsable del Sistema, si cumple sus requisitos. Si dudas de si estás obligado, usa la herramienta ¿me obliga un canal de denuncias?.

Cómo elegir según tu situación

Estos criterios son míos, no requisitos de ninguna norma.

• Un cliente o una licitación te pide una norma concreta. Esa, con el alcance que diga el pliego o el contrato.
• Tu exposición principal es el soborno (contratación pública, intermediarios, países de riesgo). ISO 37001.
• Quieres ordenar todo el cumplimiento y ya tienes otras ISO. ISO 37301, integrada en tu sistema de gestión.
• Quieres un modelo penal reconocible en España y tu riesgo es amplio. UNE 19601, o un modelo penal equivalente que cubra el artículo 31 bis.
• No te exige nadie nada. Implanta primero el modelo y decide después si certificarlo.

Al certificar, comprueba que el certificado sea acreditado. ENAC acredita la certificación de la UNE 19601 y de la ISO 37001. Para la ISO 37301, anunció el 25 de septiembre de 2026 la primera acreditación de una certificadora (Bureau Veritas Iberia). Mira también cómo comprobar que una certificadora está acreditada por ENAC.

Qué implica implantar uno

1. Decisión de la dirección. El órgano de administración asume el proyecto y asigna recursos. El artículo 31 bis 2 pone en él la adopción y la ejecución eficaz del modelo.
2. Alcance y evaluación de riesgos. Qué actividades, delitos u obligaciones aplican y dónde puede fallar la empresa. Aquí encaja la gestión de riesgos.
3. Diseño del modelo. Política, roles y órgano de supervisión (condición 2.ª del artículo 31 bis 2), más los protocolos de decisión, la gestión de recursos financieros, la obligación de informar al órgano de supervisión y el régimen disciplinario (artículo 31 bis 5, requisitos 2.º a 5.º). El 1.º es la evaluación de riesgos de la fase 2, y el 6.º es la verificación de la fase 5.
4. Puesta en marcha con evidencias. Formación, comunicación a la plantilla y registros de que los controles se aplican.
5. Verificación periódica. Revisión del modelo, auditoría interna y corrección de lo que falle (artículo 31 bis 5.6.º).

Errores frecuentes

• Creer que la certificación exime. El Código Penal no dice eso. Dice que el modelo debe ser idóneo y estar ejecutado con eficacia.
• Nombrar un órgano de supervisión que no supervisa. La condición 2.ª pide poderes autónomos de iniciativa y control; si es el mismo administrador que decide, queda en entredicho, salvo en las empresas de pequeñas dimensiones del apartado 3.
• Montar un canal que no cumple la Ley 2/2023. Un buzón de correo sin garantías de confidencialidad ni responsable designado no basta.

Preguntas frecuentes

¿La ISO 37001 sirve como compliance penal?

Solo en parte. Cubre el soborno (cohecho y corrupción en los negocios), pero no el resto del catálogo penal. Si tu riesgo va más allá, necesitas un modelo más amplio.

¿Una certificación me exime de responsabilidad penal?

No. Lo que puede eximir es el modelo, no el certificado: el artículo 31 bis exige modelos de organización y gestión idóneos, ejecutados con eficacia antes del delito y supervisados por un órgano autónomo. Lo decide un juez caso a caso.

¿Es obligatorio tener alguna de las tres?

No. Son voluntarias. Pueden volverse exigibles por contrato o por pliego de contratación pública. Lo obligatorio, con cincuenta o más trabajadores o en ciertos sectores regulados, es el sistema interno de información de la Ley 2/2023.

¿Sigue valiendo un certificado de la UNE 19601:2017?

Sí, pero desde el 30 de abril de 2027 deja de ser un certificado acreditado, según el plan de transición de ENAC. Además, desde el 30 de octubre de 2026 las certificadoras acreditadas ya no hacen auditorías iniciales ni de recertificación con esa versión. Pide a tu certificadora el calendario para pasar a la nueva.

¿Cuánto cuesta y cuánto tarda implantar la ISO 37301 o la ISO 37001?

La consultoría de implantación va de 4.000 a 25.000 € y de 2 a 6 meses, según el tamaño y las circunstancias de cada empresa. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente. Los honorarios de la certificadora van aparte.

Consultoría de implantación de ISO 37301 o ISO 37001

Acompaño a pymes en la implantación de ISO 37301 e ISO 37001, desde el diagnóstico hasta la preparación de la auditoría de certificación. La tarifa es de 4.000 a 25.000 € según el tamaño y las circunstancias de la empresa, con un plazo de 2 a 6 meses. Son cifras orientativas: cada caso está siempre sujeto a valoración, porque la situación de cada empresa es diferente.

La UNE 19601 se presupuesta aparte.

Si no tienes claro por cuál empezar, reserva una consulta y lo vemos con tus contratos y tu mapa de riesgos delante. Antes, cómo elegir una consultoría ISO en España.

Fuentes

• Código Penal, texto consolidado, BOE: artículos 31 bis, 31 quater, 286 bis a 286 quater, 288 y 427 bis.
• Circular 1/2016 de la Fiscalía, BOE: conclusión 19.ª.3.
• Ley 2/2023, texto consolidado, BOE: artículos 2, 5, 8 y 10.
• Ficha de ISO 37301 y su enmienda de 2024, ISO/TC 309 y FAQ de ISO 37301.
• Ficha de ISO 37001:2025.
• IAF MD 30:2025.
• Plan de transición UNE 19601:2025, ENAC y primera acreditación ISO 37301, ENAC.
• Nota de prensa de UNE, 23-4-2025 y Revista UNE n.º 80.