ISO 37302: la nueva hoja de ruta para medir la efectividad del compliance y la cultura organizacional
Por Betina Duré y Paula Honisch, Directoras de la Comisión de Diversidad & Cultura Ética, AAEC.
Introducción
En los últimos años, el compliance ha dejado de ser un concepto limitado a políticas y procedimientos para convertirse en un verdadero sistema de gestión estratégico. La norma ISO 37301:2021 dio un salto importante al establecer los requisitos de un Sistema de Gestión de Compliance (o programa de compliance o de integridad, como prefiramos llamarlo), certificable y reconocido globalmente.
Sin embargo, la evolución natural de esta disciplina plantea una pregunta central: ¿cómo demostrar que el sistema realmente funciona en la práctica? La respuesta llega con la nueva ISO 37302:2025, que ofrece directrices para evaluar la eficacia de un Sistema de Gestión de Compliance (SGC), poniendo un énfasis inédito en la cultura de las organizaciones.
Este artículo busca explicar la lógica y contenido de la ISO 37302, con foco en cómo puede implementarse y, especialmente, en cómo ayuda a medir la cultura ética. Una mirada que permite a las organizaciones pasar del “compliance en papel” al compliance vivo, tangible y confiable.
El aporte de la ISO 37302: más allá de la certificación
La ISO 37302:2025 no es una norma de requisitos (como lo es la ISO 37301), sino una guía de apoyo. Su objetivo es proporcionar criterios e indicadores para evaluar si el sistema realmente cumple con lo que promete: prevenir incumplimientos, fomentar la integridad y generar confianza en las partes interesadas.
La lógica de la norma se articula en tres grandes dimensiones de análisis:
- Políticas y procedimientos: existencia, coherencia e integración con otros procesos organizacionales.
- Conducta y cultura: la manera en que las personas adoptan y viven los valores de compliance.
- Resultados e impactos: evidencias concretas de que el sistema contribuye a mitigar riesgos, mejorar la reputación y fortalecer la sostenibilidad.
Estas dimensiones son importantes, entre otras cuestiones, porque reflejan la idea de que las políticas y procedimientos son fundamentales para el diseño de implementación de un programa de compliance, pero sin lugar a dudas, no son suficientes para impactar en las conductas de las personas. Las políticas y procedimientos se cumplen, logran vivirse, cuando forman parte del ADN de la organización.
Siguiendo con la lógica de la norma, cada una de estas tres dimensiones se mide a través de indicadores y escalas de madurez, que van del Nivel 1 (procesos incompletos y resultados nulos) hasta el Nivel 5 (procesos integrados, cultura consolidada y resultados plenamente alineados con los objetivos organizacionales).
Este enfoque permite a la alta dirección y a los órganos de gobierno contar con un diagnóstico objetivo y trazable sobre el grado de efectividad del sistema, lo que representa un cambio significativo: ya no basta con tener un programa “implementado”, ahora se trata de probar su eficacia real.
Cultura organizacional: el corazón del compliance
Uno de los aportes más disruptivos de la ISO 37302 es la inclusión de la cultura de compliance como objeto de evaluación específica.
La ISO 37301 ya había reconocido que la cultura es un elemento fundamental del éxito del sistema. Ahora, la ISO 37302 avanza un paso más y establece que la efectividad del sistema depende directamente de la conducta, actitudes y valores compartidos dentro de la organización.
¿Cómo entiende ISO la cultura de compliance?
La norma la define como el conjunto de valores, percepciones y comportamientos que reflejan la importancia real que la organización otorga al cumplimiento. En otras palabras, la cultura de compliance no se mide en manuales, sino en la forma en que las personas toman decisiones cotidianas, enfrentan dilemas éticos y priorizan la integridad frente a la presión por resultados.
¿Cuáles son los Indicadores culturales que se consideran?
- Valores y normas éticas:
- Qué mide la norma: si la organización ha definido valores éticos claros, conocidos y compartidos.
- Creencias y comportamientos observables
- Qué mide la norma: si las conductas diarias de las personas que conforman la organización reflejan la cultura de compliance.
- Compromiso del órgano de gobierno y alta dirección
- Qué mide la norma: que exista un compromiso visible y coherencia del liderazgo en predicar y practicar integridad.
- Participación del personal y partes interesadas
- Qué mide la norma: el involucramiento de empleados, socios de negocio y otros terceros en sostener y mejorar la cultura.
- Reconocimiento externo de la cultura
- Qué mide la norma: si la cultura es percibida también fuera de la organización, incluidos socios de negocio, a medida que se alcanza un nivel de madurez superior
¿Cuál es la escala de efectividad cultural (cap. 6.1.6, Tabla 14) que se establece?
La norma define cinco niveles de madurez para la cultura de compliance:
- Nivel 1 – Inicial: no hay valores éticos claros ni comportamientos consistentes. Ejemplo: códigos inexistentes o desconocidos.
- Nivel 2 – Básico: existen valores y normas, pero aplicados de forma parcial e inconsistente. Ejemplo: políticas en documentos, pero sin práctica real.
- Nivel 3 – Intermedio: valores y comportamientos comienzan a implementarse y difundirse, aunque no en toda la organización. Ejemplo: algunas áreas aplican el código, otras no.
- Nivel 4 – Avanzado: la cultura de compliance está integrada en los procesos, monitoreada y evaluada. Ejemplo: indicadores regulares de clima ético; auditorías internas sobre conducta.
- Nivel 5 – Consolidado: la cultura es parte del ADN organizacional y reconocida también por terceros. Ejemplo: empleados y socios externos perciben a la empresa como referente ético.
De la teoría a la práctica: cómo implementar la evaluación cultural
La ISO 37302 no se limita a definir principios, sino que establece una metodología de aplicación (capítulos 5 y 6) alineada con la estructura de alto nivel de las normas ISO. Así, para implementar la evaluación cultural en una organización, la norma propone:
- Analizar el contexto (art. 6.1.1)
Revisar el entorno interno y externo, los requisitos regulatorios y las expectativas de las partes interesadas. - Identificar las obligaciones de compliance y riesgos (art. 6.1.2 y 6.1.3)
Esto incluye riesgos vinculados con la cultura organizacional, por ejemplo, falta de confianza en los canales de denuncia o percepción de incoherencia en el liderazgo. - Evaluar el mantenimiento y promoción de la cultura (art. 6.1.6, Tabla 14)
Aplicar los indicadores de valores, normas, creencias y comportamientos para ubicar a la organización en el nivel de madurez correspondiente (del 1 al 5). - Planificar acciones de mejora (art. 6.1.9 y 6.3.5)
Una vez identificado el nivel, se deben definir acciones preventivas y correctivas para fortalecer la cultura: formación, comunicación, rediseño de incentivos, revisión de procesos de contratación o participación activa del órgano de gobierno. - Integrar la evaluación en el ciclo PDCA (art. 6.3.5 y 7)
La medición cultural debe formar parte del ciclo de Planificar–Hacer–Verificar–Actuar, lo que garantiza su carácter continuo y su aporte a la mejora del CMS.
Por qué importa medir la cultura: beneficios tangibles
En línea con lo que venimos diciendo en trabajos anteriores, medir la cultura de compliance ya no es opcional. Los beneficios de aplicar la ISO 37302 incluyen:
- Evidencia objetiva para stakeholders: se puede mostrar con claridad en qué nivel de madurez cultural está la organización.
- Mejor gestión de riesgos: una cultura sólida reduce la probabilidad de incumplimientos y aumenta la detección temprana.
- Reputación sostenible: la cultura ética se convierte en un activo diferenciador, difícil de replicar por la competencia.
- Conexión con ESG: la evaluación de la cultura fortalece los pilares de gobernanza y el compromiso con la sostenibilidad.
La ISO 37302:2025 marca un hito en la evolución del compliance: por primera vez, la efectividad y la cultura de compliance son medibles con criterios internacionales armonizados.
Para las organizaciones, esto significa pasar de tener un programa formal a demostrar su eficacia en la práctica, reforzando la confianza de inversores, clientes, reguladores y sociedad en general.
Para los profesionales de compliance, representa una oportunidad única: mostrar que el cumplimiento no es solo un conjunto de procesos, sino una cultura ética viva, gestionada y evaluada.
