Modelos y registros · ISO 37301 · Apartado 4.6
Modelo de matriz de riesgos de compliance ISO 37301
La evaluación que cruza cada obligación con la actividad que podría incumplirla y decide qué controles hacen falta, área por área.
En una frase
La matriz de riesgos de compliance identifica cada riesgo relacionando una obligación con las actividades que podrían incumplirla, lo analiza por probabilidad y consecuencias, lo evalúa frente a los controles existentes y decide las acciones; ISO 37301 obliga a conservar esa evaluación y las acciones para tratar los riesgos (4.6), y a repetirla periódicamente y ante cambios.
- Dónde lo pide la norma
- ISO 37301 · Apartado 4.6 Los apartados siguen ISO 37301:2021, la edición vigente, que sustituyó a la guía ISO 19600.
- Tipo de información
- Registro obligatorio Información documentada que hay que conservar (4.6)
- Quién lo rellena
- Función de compliance con cada área Los responsables de área aportan cómo se trabaja de verdad; compliance aporta el método
- Cuándo
- Al menos una vez al año Y ante cambios normativos, nuevas actividades, mercados o incumplimientos relevantes
- Cuánto se conserva
- Lo fija la organización ISO 37301 no da plazos. En España conviene tener en cuenta los de prescripción de los delitos que el sistema quiere prevenir, porque el registro es la prueba de diligencia.
Qué pide la norma
Lo que exige ISO 37301 y lo que deja a tu criterio
La norma pide identificar, analizar y evaluar los riesgos de compliance. El método de identificación es concreto: relacionar las obligaciones del 4.5 con las actividades, productos, servicios y aspectos de la operación. Una matriz que no parte de las obligaciones no responde a lo que pide.
La evaluación se repite a intervalos planificados y cuando cambian las circunstancias o la organización. Lo que se conserva es la evaluación y las acciones decididas, de modo que se vea cómo evolucionan los riesgos.
No es la matriz de riesgos y oportunidades de ISO 9001: aquí el riesgo es incumplir una obligación, y sus consecuencias incluyen sanciones, responsabilidad penal y daño reputacional.
Estructura
Campos que debe tener el modelo
- Obligación de la que nace el riesgo
- Actividad, proceso o área donde podría incumplirse
- Descripción del riesgo y causas
- Probabilidad y consecuencias (sancionadoras, penales, reputacionales)
- Controles existentes y su eficacia
- Nivel de riesgo residual
- Acciones decididas, responsable y plazo
- Fecha de la evaluación y próxima revisión
Ejemplo
Ejemplo: riesgo de soborno en el área comercial
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Obligación | Contrato marco con un hospital público y código ético sectorial (ficticio): prohibición de regalos al personal de compras |
| Área | Dirección comercial · venta a centros públicos |
| Riesgo | Invitaciones o regalos a personal con capacidad de decisión en licitaciones |
| Causas | Objetivos comerciales ligados a adjudicaciones; ausencia de límites escritos |
| Valoración | Probabilidad media · consecuencias muy altas (penales y exclusión de contratación pública) |
| Controles existentes | Código ético firmado por la plantilla |
| Acciones | Registro de regalos y hospitalidades con aprobación previa · Formación específica al equipo comercial · Compliance · 31 de diciembre |
| Fecha | Evaluación anual, 15 de septiembre de 2026 |
En la auditoría
Errores que suelen señalar los auditores
- Riesgos genéricos («incumplimiento normativo») sin obligación ni actividad concretas.
- La evaluación no se repite tras un incumplimiento o una investigación.
- Se borra la evaluación anterior al actualizar.
- Controles marcados como eficaces que nadie ha comprobado.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1La matriz de riesgos de compliance se registra con su responsable y su acción asociada.
- 2Cada riesgo de incumplimiento queda identificado y priorizado por área.
- 3Tras cada incumplimiento relevante, el mapa de riesgos se actualiza desde la propia investigación.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Es lo mismo que el mapa de riesgos penales?
El mapa de riesgos penales se centra en los delitos que pueden generar responsabilidad de la persona jurídica según el art. 31 bis del Código Penal. La matriz de ISO 37301 es más amplia: cubre cualquier obligación, aunque su incumplimiento no sea delito.
¿Y el mapa de riesgos fiscales de UNE 19602?
Es un subconjunto especializado. Quien lleva ambos sistemas puede tener una matriz única con los riesgos tributarios desarrollados con más detalle y su propio órgano responsable.
Lleva los registros de ISO 37301 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Matriz de riesgos y oportunidades ISO 9001: modelo
Cómo montar una matriz de riesgos y oportunidades para ISO 9001 (6.1): origen en el contexto, valoración…
Modelo de mapa de riesgos fiscales UNE 19602
Cómo construir el mapa de riesgos fiscales de UNE 19602: proceso, impuesto, causa, probabilidad, impacto…
Planificación
Planificar en compliance significa identificar dónde puede fallar el cumplimiento y fijar objetivos…
Modelo de registro de obligaciones de compliance ISO 37301
Cómo documentar las obligaciones de compliance que pide ISO 37301: requisitos obligatorios y compromisos…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- ISO 37301:2021 — Sistemas de gestión del compliance. Requisitos con orientación para su uso ISO · Abril de 2021
- Ley Orgánica 10/1995, Código Penal, art. 31 bis BOE-A-1995-25444 · Texto consolidado