Modelos y registros · ISO 37301 · Apartado 8.1 y 8.2
Modelo de due diligence de terceros para compliance
La comprobación, antes y durante la relación, de que un agente, distribuidor o proveedor no introduce en la empresa un riesgo de incumplimiento que no se puede asumir.
En una frase
La due diligence de terceros evalúa el riesgo de compliance de socios de negocio, agentes y proveedores —titularidad real, reputación, sanciones, sector y país—, aplica comprobaciones proporcionadas a ese riesgo y deja constancia de la decisión y de las cláusulas exigidas; ISO 37301 no la nombra como registro obligatorio, pero es como se controlan los procesos externalizados y los riesgos de terceros (8.1 y 8.2).
- Dónde lo pide la norma
- ISO 37301 · Apartado 8.1 y 8.2 Los apartados siguen ISO 37301:2021, la edición vigente, que sustituyó a la guía ISO 19600.
- Tipo de información
- Buena práctica Buena práctica que concreta los controles de los apartados 8.1 y 8.2
- Quién lo rellena
- Área que contrata, con compliance Compliance valida los casos de riesgo alto y puede vetar la relación
- Cuándo
- Antes de contratar Y periódicamente según el riesgo, o ante señales de alerta
- Cuánto se conserva
- Lo fija la organización ISO 37301 no da plazos. En España conviene tener en cuenta los de prescripción de los delitos que el sistema quiere prevenir, porque el registro es la prueba de diligencia.
Qué pide la norma
Lo que exige ISO 37301 y lo que deja a tu criterio
ISO 37301 pide controlar los procesos externalizados y establecer controles para gestionar las obligaciones y los riesgos de compliance. Cuando el riesgo nace de un tercero —un agente que vende en nombre de la empresa, un distribuidor en otro país—, la due diligence es el control natural.
La norma no fija el contenido. ISO 37001, para el soborno, sí lo desarrolla: evaluar la naturaleza y el alcance del riesgo de cada socio de negocio y aplicar comprobaciones proporcionadas. Es la referencia más usada aunque no se busque esa certificación.
No es la evaluación de proveedores de ISO 9001 ni la de seguridad de ISO 27001: aquí se pregunta quién es realmente el tercero y si su conducta puede hacer responsable a la empresa.
Estructura
Campos que debe tener el modelo
- Tercero, tipo de relación y servicio
- Nivel de riesgo: país, sector, interacción con funcionarios, forma de pago
- Titularidad real y administradores
- Comprobaciones: listas de sanciones, prensa, referencias, certificados
- Señales de alerta detectadas y cómo se resolvieron
- Cláusulas exigidas: cumplimiento, auditoría, resolución
- Decisión, quién la toma y condiciones
- Próxima revisión
Ejemplo
Ejemplo: alta de un agente comercial en el extranjero
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Tercero | Agente comercial (ficticio) para ventas a hospitales públicos en otro país · comisión del 8 % |
| Riesgo | Alto: interactúa con compradores públicos y cobra por éxito |
| Titularidad real | Persona física identificada; sin vínculos con el comprador público según declaración firmada |
| Comprobaciones | Listas de sanciones sin coincidencias · prensa sin noticias adversas · dos referencias contrastadas |
| Señal de alerta | Pidió el pago en una cuenta de un tercer país · rechazado: pago solo en cuenta a su nombre en el país del servicio |
| Cláusulas | Cumplimiento anticorrupción, derecho de auditoría y resolución inmediata |
| Decisión | Aprobado con condiciones por la responsable de compliance, 12 de mayo de 2026 |
| Revisión | Anual |
En la auditoría
Errores que suelen señalar los auditores
- La misma comprobación para todos los terceros, sin graduar por riesgo.
- Señales de alerta anotadas sin decisión sobre ellas.
- Due diligence hecha solo al alta y nunca revisada.
- Contratos con agentes sin cláusula de cumplimiento ni de resolución.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1La debida diligencia de cada tercero relevante se registra desde el portal de proveedores.
- 2La documentación del tercero se mantiene con sus caducidades vigiladas.
- 3La matriz de delegación de autoridad fija quién puede aprobar cada relación de riesgo.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Hay que hacer due diligence de todos los proveedores?
No con la misma intensidad. Lo razonable es una clasificación previa por riesgo: los de riesgo bajo pasan una comprobación básica y los de riesgo alto, la completa con revisión periódica.
¿Qué relación tiene con la diligencia debida fiscal de UNE 19602?
Es el mismo control con otra lente: UNE 19602 pone el foco en los riesgos tributarios de las operaciones con terceros. Quien lleva ambos sistemas puede usar una ficha única con los dos bloques.
Lleva los registros de ISO 37301 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Modelo de evaluación de seguridad de proveedores ISO 27001
Cómo evaluar y seguir la seguridad de los proveedores según los controles 5.19 a 5.22 de ISO 27001: acceso a…
Modelo de diligencia debida fiscal UNE 19602
Cómo documentar la diligencia debida fiscal de UNE 19602 sobre socios, proveedores y personal expuesto…
Operación
La operación traduce la política en controles reales: debida diligencia de socios y proveedores, y…
Modelo de registro de obligaciones de compliance ISO 37301
Cómo documentar las obligaciones de compliance que pide ISO 37301: requisitos obligatorios y compromisos…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO 37301:2021 — Sistemas de gestión del compliance. Requisitos con orientación para su uso ISO · Abril de 2021
- ISO 37001:2016 — Sistemas de gestión antisoborno ISO · Ed. 2016