Models i registres · ISO 37301 · Apartat 4.6
Model de matriu de riscos de compliance ISO 37301
L'avaluació que creua cada obligació amb l'activitat que podria incomplir-la i decideix quins controls calen, àrea per àrea.
En una frase
La matriu de riscos de compliance identifica cada risc relacionant una obligació amb les activitats que podrien incomplir-la, l'analitza per probabilitat i conseqüències, l'avalua davant dels controls existents i en decideix les accions; ISO 37301 obliga a conservar aquesta avaluació i les accions per tractar els riscos (4.6), i a repetir-la periòdicament i davant de canvis.
- On ho demana la norma
- ISO 37301 · Apartat 4.6 Els apartats segueixen ISO 37301:2021, l'edició vigent, que va substituir la guia ISO 19600.
- Tipus d'informació
- Registre obligatori Informació documentada que cal conservar (4.6)
- Qui l'emplena
- Funció de compliance amb cada àrea Els responsables d'àrea aporten com es treballa de debò; compliance aporta el mètode
- Quan
- Com a mínim una vegada l'any I davant de canvis normatius, activitats o mercats nous o incompliments rellevants
- Quant de temps es conserva
- El fixa l'organització ISO 37301 no dona terminis. A Espanya convé tenir en compte els de prescripció dels delictes que el sistema vol prevenir, perquè el registre és la prova de diligència.
Què demana la norma
El que exigeix ISO 37301 i el que deixa al teu criteri
La norma demana identificar, analitzar i avaluar els riscos de compliance. El mètode d'identificació és concret: relacionar les obligacions del 4.5 amb les activitats, els productes, els serveis i els aspectes de l'operació. Una matriu que no parteix de les obligacions no respon al que demana.
L'avaluació es repeteix a intervals planificats i quan canvien les circumstàncies o l'organització. El que es conserva és l'avaluació i les accions decidides, de manera que es vegi com evolucionen els riscos.
No és la matriu de riscos i oportunitats d'ISO 9001: aquí el risc és incomplir una obligació, i les conseqüències inclouen sancions, responsabilitat penal i dany reputacional.
Estructura
Camps que ha de tenir el model
- Obligació de la qual neix el risc
- Activitat, procés o àrea on es podria incomplir
- Descripció del risc i causes
- Probabilitat i conseqüències (sancionadores, penals, reputacionals)
- Controls existents i la seva eficàcia
- Nivell de risc residual
- Accions decidides, responsable i termini
- Data de l'avaluació i propera revisió
Exemple
Exemple: risc de suborn a l'àrea comercial
Empresa, persones i xifres inventades: l'exemple només mostra com queda un registre ben emplenat.
| Camp | Contingut |
|---|---|
| Obligació | Contracte marc amb un hospital públic i codi ètic sectorial (fictici): prohibició de regals al personal de compres |
| Àrea | Direcció comercial · venda a centres públics |
| Risc | Invitacions o regals a personal amb capacitat de decisió en licitacions |
| Causes | Objectius comercials lligats a adjudicacions; absència de límits escrits |
| Valoració | Probabilitat mitjana · conseqüències molt altes (penals i exclusió de la contractació pública) |
| Controls existents | Codi ètic signat per la plantilla |
| Accions | Registre de regals i hospitalitats amb aprovació prèvia · Formació específica a l'equip comercial · Compliance · 31 de desembre |
| Data | Avaluació anual, 15 de setembre de 2026 |
A l'auditoria
Errors que solen assenyalar els auditors
- Riscos genèrics («incompliment normatiu») sense obligació ni activitat concretes.
- L'avaluació no es repeteix després d'un incompliment o d'una investigació.
- S'esborra l'avaluació anterior en actualitzar-la.
- Controls marcats com a eficaços que ningú no ha comprovat.
A Kimobox
Com es porta aquest registre a Kimobox
- 1La matriu de riscos de compliance es registra amb el seu responsable i la seva acció associada.
- 2Cada risc d'incompliment queda identificat i prioritzat per àrea.
- 3Després de cada incompliment rellevant, el mapa de riscos s'actualitza des de la mateixa investigació.
Preguntes freqüents
El que ens pregunten abans de començar
És el mateix que el mapa de riscos penals?
El mapa de riscos penals se centra en els delictes que poden generar responsabilitat de la persona jurídica segons l'art. 31 bis del Codi Penal. La matriu d'ISO 37301 és més àmplia: cobreix qualsevol obligació, encara que el seu incompliment no sigui delicte.
I el mapa de riscos fiscals d'UNE 19602?
És un subconjunt especialitzat. Qui porta tots dos sistemes pot tenir una matriu única amb els riscos tributaris desenvolupats amb més detall i el seu propi òrgan responsable.
Porta els registres de ISO 37301 sense plantilles soltes
Et mostrem el mòdul funcionant amb dades semblants a les teves.
Continua explorant
Pàgines relacionades
Matriu de riscos i oportunitats ISO 9001: model
Com muntar una matriu de riscos i oportunitats per a ISO 9001 (6.1): origen en el context, valoració…
Planificació
Planificar en compliance significa identificar on pot fallar el compliment i fixar objectius concrets per…
Model de registre d'obligacions de compliance ISO 37301
Com documentar les obligacions de compliance que demana ISO 37301: requisits obligatoris i compromisos…
Model de política de compliance ISO 37301
Què ha de contenir la política de compliance segons ISO 37301: compromisos, independència de la funció…
Fonts
D'on surt cada dada
Referències al text oficial vigent. Si una norma es revisa, aquesta pàgina s'actualitza i la data de revisió ho reflecteix.
- ISO 37301:2021 — Sistemes de gestió del compliance. Requisits amb orientació per al seu ús ISO · Abril de 2021
- Llei Orgànica 10/1995, Codi Penal, art. 31 bis BOE-A-1995-25444 · Text consolidat