Models i registres · ISO 37301 · Apartat 8.1 y 8.2
Model de due diligence de tercers per a compliance
La comprovació, abans de la relació i durant aquesta, que un agent, distribuïdor o proveïdor no introdueix a l'empresa un risc d'incompliment que no es pot assumir.
En una frase
La due diligence de tercers avalua el risc de compliance de socis de negoci, agents i proveïdors —titularitat real, reputació, sancions, sector i país—, aplica comprovacions proporcionades a aquest risc i deixa constància de la decisió i de les clàusules exigides; ISO 37301 no l'anomena com a registre obligatori, però és la manera de controlar els processos externalitzats i els riscos de tercers (8.1 i 8.2).
- On ho demana la norma
- ISO 37301 · Apartat 8.1 y 8.2 Els apartats segueixen ISO 37301:2021, l'edició vigent, que va substituir la guia ISO 19600.
- Tipus d'informació
- Bona pràctica Bona pràctica que concreta els controls dels apartats 8.1 i 8.2
- Qui l'emplena
- Àrea que contracta, amb compliance Compliance valida els casos de risc alt i pot vetar la relació
- Quan
- Abans de contractar I periòdicament segons el risc, o davant de senyals d'alerta
- Quant de temps es conserva
- El fixa l'organització ISO 37301 no dona terminis. A Espanya convé tenir en compte els de prescripció dels delictes que el sistema vol prevenir, perquè el registre és la prova de diligència.
Què demana la norma
El que exigeix ISO 37301 i el que deixa al teu criteri
ISO 37301 demana controlar els processos externalitzats i establir controls per gestionar les obligacions i els riscos de compliance. Quan el risc neix d'un tercer —un agent que ven en nom de l'empresa, un distribuïdor en un altre país—, la due diligence és el control natural.
La norma no en fixa el contingut. ISO 37001, per al suborn, sí que el desenvolupa: avaluar la naturalesa i l'abast del risc de cada soci de negoci i aplicar comprovacions proporcionades. És la referència més utilitzada encara que no es busqui aquesta certificació.
No és l'avaluació de proveïdors d'ISO 9001 ni la de seguretat d'ISO 27001: aquí es pregunta qui és realment el tercer i si la seva conducta pot fer responsable l'empresa.
Estructura
Camps que ha de tenir el model
- Tercer, tipus de relació i servei
- Nivell de risc: país, sector, interacció amb funcionaris, forma de pagament
- Titularitat real i administradors
- Comprovacions: llistes de sancions, premsa, referències, certificats
- Senyals d'alerta detectats i com es van resoldre
- Clàusules exigides: compliment, auditoria, resolució
- Decisió, qui la pren i condicions
- Propera revisió
Exemple
Exemple: alta d'un agent comercial a l'estranger
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Tercer | Agent comercial (fictici) per a vendes a hospitals públics d'un altre país · comissió del 8 % |
| Risc | Alt: interactua amb compradors públics i cobra per èxit |
| Titularitat real | Persona física identificada; sense vincles amb el comprador públic segons una declaració signada |
| Comprovacions | Llistes de sancions sense coincidències · premsa sense notícies adverses · dues referències contrastades |
| Senyal d'alerta | Va demanar el pagament en un compte d'un tercer país · rebutjat: pagament només en un compte a nom seu al país del servei |
| Clàusules | Compliment anticorrupció, dret d'auditoria i resolució immediata |
| Decisió | Aprovat amb condicions per la responsable de compliance, 12 de maig de 2026 |
| Revisió | Anual |
A l'auditoria
Errors que solen assenyalar els auditors
- La mateixa comprovació per a tots els tercers, sense graduar-la per risc.
- Senyals d'alerta anotats sense cap decisió al respecte.
- Due diligence feta només a l'alta i mai revisada.
- Contractes amb agents sense clàusula de compliment ni de resolució.
A Kimobox
Com es porta aquest registre a Kimobox
- 1La diligència deguda de cada tercer rellevant es registra des del portal de proveïdors.
- 2La documentació del tercer es manté amb les seves caducitats vigilades.
- 3La matriu de delegació d'autoritat fixa qui pot aprovar cada relació de risc.
Preguntes freqüents
El que ens pregunten abans de començar
Cal fer due diligence de tots els proveïdors?
No amb la mateixa intensitat. El més raonable és una classificació prèvia per risc: els de risc baix passen una comprovació bàsica i els de risc alt, la completa amb revisió periòdica.
Quina relació té amb la diligència deguda fiscal d'UNE 19602?
És el mateix control amb una altra lent: UNE 19602 posa el focus en els riscos tributaris de les operacions amb tercers. Qui porta tots dos sistemes pot fer servir una fitxa única amb els dos blocs.
Porta els registres de ISO 37301 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Model d'avaluació de seguretat de proveïdors ISO 27001
Com avaluar i seguir la seguretat dels proveïdors segons els controls 5.19 a 5.22 d'ISO 27001: accés a…
Operació
L'operació tradueix la política en controls reals: deguda diligència de socis i proveïdors, i procediments…
Model de registre d'obligacions de compliance ISO 37301
Com documentar les obligacions de compliance que demana ISO 37301: requisits obligatoris i compromisos…
Model de matriu de riscos de compliance ISO 37301
Com documentar l'avaluació de riscos de compliance d'ISO 37301: obligació, activitat, causes, probabilitat…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO 37301:2021 — Sistemes de gestió del compliance. Requisits amb orientació per al seu ús ISO · Abril de 2021
- ISO 37001:2016 — Sistemes de gestió antisuborn ISO · Ed. 2016