NORMA TÉCNICA PERUANA NTP-ISO 37301:2021 SISTEMA

DE GESTIÓN DE COMPLIANCE. REQUISITOS CON

ORIENTACIÓN PARA SU USO

Superintendencia Adjunta de Riesgos

Modelo de Prevención
Septiembre,2021
CONTENIDO:

1. Introducción a la NTP-ISO 37301:2021. Sistema de Gestión de Compliance. Requisitos con orientación para
su uso.
2. Beneficios o ventajas de implementar un Sistema de Gestión de Compliance.
3. Principios del Sistema de Gestión de Compliance.
4. Implementación de la NTP-ISO 37301:2021. Sistema de Gestión de Compliance. Requisitos con orientación
para su uso.
4.1. Contexto de la organización.
4.2. Liderazgo.
4.3. Planificación.
4.4. Apoyo.
4.5. Operaciones.
4.6. Evaluación del desempeño.
4.7. Mejora.
1. Introducción a la NTP-ISO 37301:2021. Sistema de Gestión de Compliance. Requisitos con orientación para su uso

Esta nueva ISO reemplaza a su antecesora,

la ISO 19600:2014 y a diferencia de esta, la
reciente ISO 37301:2021 es certificable.

Especifica los requisitos y proporciona

Es de aplicación a toda clase de directrices para establecer, desarrollar,
organización independientemente del implementar, evaluar, mantener y mejorar
tipo, tamaño y naturaleza de la un sistema de gestión del compliance eficaz
actividad, así como a organizaciones del dentro de una organización. Estos requisitos
sector público, privado o sin fines de y directrices son de cumplimiento
lucro. obligatorio.

NTP-ISO 37301:2021
Sistema de Gestión de Compliance. Una organización puede elegir implementar
Requisitos con orientación para su uso este sistema de gestión del compliance como
un sistema aparte, sin embargo, lo ideal sería
implementarlo junto con el resto de sus
sistemas de gestión, como los de riesgos,
antisoborno, calidad, entre otros.
2. Beneficios o ventajas de implementar un Sistema de Gestión de Compliance

Los beneficios o ventajas que tendrían las organizaciones al implementar un Sistema de Compliance son:

Mejorar las oportunidades de negocio y la sostenibilidad.

Proteger y mejorar la reputación y la credibilidad de una organización.

Tener en cuenta las expectativas de las partes interesadas.

Demostrar el compromiso de la organización en la gestión de sus riesgos de compliance de forma eficaz y

eficiente.

Aumentar la confianza de terceras partes en la capacidad de la organización para lograr un éxito sostenido
en el relacionamiento con terceros.

Minimizar el riesgo de que se produzca una infracción que conlleve costos y daños a la reputación de la
organización.
23 Principios del Sistema de Gestión de Compliance

El sistema de gestión del compliance debería basarse en los principios de:

INTEGRIDAD TRANSPARENCIA

BUENA GOBERNANZA RENDICIÓN DE CUENTAS

37301
PRINCIPIOS

PROPORCIONALIDAD SOSTENIBILIDAD
4. Implementación de la NTP-ISO 37301:2021. Sistema de Gestión de Compliance. Requisitos con orientación para su uso

Estructura: 4.1. Contexto de

la organización

4.7. Mejora 4.2. Liderazgo

4.6. Evaluación 4.3.

del desempeño Planificación

4.5. Operación 4.4. Apoyo

4.1. Contexto de la organización

 La organización debe determinar cuáles son las cuestiones externas e internas que le son pertinentes para su propósito
y que afectan su capacidad para lograr los resultados previstos de su Sistema de Gestión de Compliance (SGC).

Factores internos Factores externos

 Modelo de negocio, que incluye la estrategia,  Naturaleza y alcance de las relaciones
naturaleza, tamaño, nivel de complejidad y comerciales con las terceras partes.
sostenibilidad de las actividades y operaciones
de la organización.  Contexto legal y regulatorio.

 Estructura, política, procesos, procedimientos y  Situación económica.

recursos internos, incluyendo la tecnología.
 Contexto social, cultural y ambiental.
 Cultura de Compliance.

 La organización debe determinar las partes interesadas que son pertinentes al sistema de gestión del compliance.
 La organización debe determinar los límites y la aplicabilidad del sistema de gestión del compliance para establecer su
alcance.
 La organización debe identificar, analizar y valorar sus riesgos de compliance basándose en una evaluación de los riesgos
de compliance
4.2. Liderazgo

El órgano de gobierno y la alta dirección deben La organización debe desarrollar, mantener

y promover una cultura de compliance a
demostrar liderazgo y compromiso con respecto al todos los niveles de la organización.
sistema de gestión del compliance:
• Asegurando que se establezcan la política y objetivos de compliance
y que estos sean compatibles con la dirección estratégica de la
organización. El órgano de gobierno y la alta dirección
• Asegurando la integración de los requisitos del sistema de gestión deben asegurar que se implementan
del compliance en los procesos de negocio de la organización. los siguientes principios:
• Asegurando que los recursos que se necesitan para el sistema de
gestión del compliance están disponibles. • El acceso directo de la función de compliance al
• Comunicando la importancia de una gestión del compliance eficaz y órgano de gobierno;
conforme con los requisitos del sistema de gestión del compliance. • La independencia de la función de compliance;
• Asegurando que el sistema de gestión del compliance logre sus • La autoridad y la competencia adecuadas de la
resultados previstos. función de compliance.
• Dirigiendo y apoyando a las personas, para contribuir a la eficacia
del sistema de gestión del compliance.
• Promoviendo la mejora continua. La función de compliance debe
responsabilizarse de la operación del sistema
de gestión del compliance.
4.3. Planificación

Al planificar el sistema de La organización debe establecer los

gestión del compliance, la objetivos de compliance en las
organización debe considerar: funciones y niveles pertinentes.
• La comprensión de la organización y de
su contexto.
• Comprensión de las necesidades y
expectativas de las partes interesadas. Cuando la organización determina la
• Determinar los riesgos y oportunidades necesidad de hacer cambios en el sistema
que necesitan abordarse. de gestión del compliance, los cambios
• Sus objetivos de compliance. deben realizarse de forma planificada.
• Las obligaciones de compliance
identificadas.
• Los resultados de la evaluación de los
riesgos de compliance.
4.4. Apoyo

Recursos: La organización debe determinar y proporcionar los recursos necesarios para el establecimiento,
implementación, mantenimiento y mejora continua del sistema de gestión del compliance.

Competencia: La organización debe determinar la competencia de las personas que realizan un trabajo que
afecta al desempeño del compliance, asimismo, debe asegurarse que estas sean competentes, basándose en la
educación, formación o experiencia.

Concienciación: Las personas que realizan el trabajo bajo el control de la organización deben tomar conciencia
de la política de compliance, su contribución a la eficacia del sistema de gestión de compliance, las implicancias
de no cumplir los requisitos del sistema de gestión de compliance, los medios y procedimientos para plantear
inquietudes de compliance, entre otros.

Comunicación: La organización debe determinar las comunicaciones internas y externas pertinentes al sistema
de gestión del compliance, que incluyan: el contenido de la comunicación, cuándo comunicar, a quién
comunicar y cómo comunicar.

Información documentada: El sistema de gestión del compliance de la organización debe incluir la información
documentada que la organización ha determinado como necesaria para la eficacia del sistema de gestión del
compliance.
4.5. Operaciones

1. Planificación y control operacional 2. Establecimiento de controles y procedimientos

La organización debe planificar, implementar y La organización debe implementar controles para
controlar los procesos necesarios para cumplir los gestionar sus obligaciones de compliance y los
requisitos y para implementar las acciones riesgos de compliance asociados. Estos controles
planificadas mediante: se deben mantener, revisar y probar
 El establecimiento de criterios para los periódicamente para asegurarse de que continúan
procesos. siendo eficaces.
 La implementación del control de los procesos
de acuerdo con los criterios.

4. Procesos de investigación
3. Planteamiento de inquietudes
La organización debe desarrollar, establecer,
La organización debe establecer, implementar y implementar y mantener procesos para valorar,
mantener un proceso para animar y permitir que evaluar, investigar y cerrar los informes sobre
se informe sobre los intentos de infracción, las casos supuestos o reales de no cumplimiento de
infracciones supuestas o reales de la política o de compliance. Estos procesos deben asegurar que la
las obligaciones de compliance. toma de decisiones es justa e imparcial.
Los procesos de investigación deben realizarse de
forma independiente y sin ningún conflicto de
intereses por parte del personal competente.
4.6. Evaluación del desempeño

Seguimiento, medición, análisis

Auditoría interna Revisión por la dirección
y evaluación

La organización debe realizar La organización debe llevar a cabo El órgano de gobierno y la alta dirección deben
seguimiento del sistema de gestión de auditorías internas a intervalos revisar el sistema de gestión del compliance de
compliance para asegurar que se planificados, para proporcionar la organización a intervalos planificados, para
alcanzan los objetivos de compliance, información acerca de si el sistema de asegurarse de su idoneidad, adecuación y
para tal efecto debe determinar: gestión de compliance: eficacia continuas.
 Qué debe ser objeto de  Cumple con los requisitos propios de La revisión por la dirección debe incluir:
seguimiento y qué es necesario la organización para su sistema de
 El estado de las acciones de las revisiones por
medir. gestión de compliance y los requisitos la dirección previas.
 Los métodos de seguimiento, de la ISO 37301.  Los cambios en las cuestiones externas e
medición, análisis y evaluación,  Se implementa y mantiene internas que sean pertinentes para el sistema
según sea aplicable, para asegurar eficazmente. de gestión de compliance.
resultados válidos. La organización debe planificar,  Los cambios en las necesidades y las
 Cuándo se deben llevar a cabo el establecer, implementar y mantener expectativas de las partes interesadas.
seguimiento y la medición. programas de auditoría que incluyan la  La información sobre el desempeño del
 Cuándo se deben analizar y frecuencia, los métodos, compliance.
evaluar los resultados del responsabilidades, requisitos de  Las oportunidades de mejora.
seguimiento y la medición.
planificación e informes.
4.7. Mejora

Mejora continua:
La organización debe mejorar continuamente la idoneidad, adecuación y eficacia del sistema de gestión del compliance.

No conformidades y acciones correctivas:

Cuando ocurra una no conformidad o un no cumplimiento de compliance, la organización debe:
1. Reaccionar ante la no conformidad o no cumplimiento de compliance y, según sea aplicable:
 Tomar acciones para su control y corrección
 Hacer frente a las consecuencias
2. Evaluar la necesidad de acciones para eliminar las causas de la no conformidad y/o no cumplimiento de compliance, con el
fin de que no vuelva a ocurrir ni ocurra en otra parte, mediante:
 La revisión de la no conformidad y/o no cumplimiento de compliance
 La determinación de las causas de la no conformidad y/o no cumplimiento de compliance
 La determinación de si existen no conformidades y/o no cumplimientos de compliance similares, o que
potencialmente podrían ocurrir
3. Implementar cualquier acción necesaria.
4. Revisar la eficacia de las acciones correctivas tomadas.
5. Si es necesario, hacer cambios en el sistema de gestión del compliance.

Las acciones correctivas deben ser adecuadas a los efectos de las no conformidades y/o no cumplimientos de compliance
encontrados
NORMA TÉCNICA PERUANA NTP-ISO 37301:2021 SISTEMA
DE GESTIÓN DE COMPLIANCE. REQUISITOS CON
ORIENTACIÓN PARA SU USO

Superintendencia Adjunta de Riesgos

Modelo de Prevención
Septiembre,2021