Modelos y registros · ISO 37301 · Apartado 4.5
Modelo de registro de obligaciones de compliance ISO 37301
La lista viva de todo lo que la empresa está obligada o se ha comprometido a cumplir, con su fuente, a quién afecta y quién vigila los cambios.
En una frase
El registro de obligaciones de compliance recoge los requisitos que la organización debe cumplir —leyes, reglamentos, licencias, resoluciones— y los compromisos que asume voluntariamente —contratos, códigos sectoriales—, con su fuente, el área afectada y su responsable; ISO 37301 exige identificarlos de forma sistemática y mantenerlos documentados (4.5).
- Dónde lo pide la norma
- ISO 37301 · Apartado 4.5 Los apartados siguen ISO 37301:2021, la edición vigente, que sustituyó a la guía ISO 19600.
- Tipo de información
- Documento obligatorio Información documentada que hay que mantener (4.5)
- Quién lo rellena
- Función de compliance Con asesoría jurídica y los responsables de cada área, que conocen sus obligaciones sectoriales
- Cuándo
- De forma continua Con revisión completa al menos una vez al año y ante cambios normativos o de actividad
- Cuánto se conserva
- Siempre vigente Se mantiene actualizado; las versiones anteriores muestran desde cuándo se conocía cada obligación
Qué pide la norma
Lo que exige ISO 37301 y lo que deja a tu criterio
La norma pide identificar de forma sistemática las obligaciones que nacen de las actividades, productos y servicios, y evaluar su impacto en la operación. Distingue los requisitos que se deben cumplir de los compromisos que se eligen cumplir, y ambos entran en el registro.
Exige además un proceso para detectar obligaciones nuevas o modificadas y evaluar el impacto del cambio. Un registro que no tiene a nadie vigilando las novedades legales se queda viejo en meses.
Es el punto de partida de la evaluación de riesgos del 4.6: cada riesgo de compliance se identifica cruzando una obligación con la actividad que podría incumplirla.
Estructura
Campos que debe tener el modelo
- Obligación y tipo: requisito o compromiso voluntario
- Fuente: norma, artículo, contrato, código o licencia
- Actividades, procesos o áreas afectadas
- Responsable de cumplirla
- Cómo se cumple: control o procedimiento
- Consecuencia del incumplimiento
- Fecha de identificación y de última revisión
- Cambios detectados y su impacto
Ejemplo
Ejemplo: cuatro obligaciones de una distribuidora de material sanitario
Empresa, personas y cifras inventadas: el ejemplo solo enseña cómo queda un registro bien cumplimentado.
| Campo | Contenido |
|---|---|
| Organización | Distribuciones Arlanza (ficticia) · 220 personas |
| Ley 2/2023 | Requisito · sistema interno de información · Responsable del Sistema · canal en el portal del empleado |
| Reglamento (UE) 2016/679 | Requisito · protección de datos de clientes y pacientes · delegada de protección de datos |
| Código ético de una patronal sanitaria (ficticia) | Compromiso voluntario · límites a la hospitalidad con profesionales sanitarios · dirección comercial |
| Contrato marco con un hospital público | Requisito contractual · prohibición de regalos al personal de compras · dirección comercial |
| Última revisión | 30 de junio de 2026 |
En la auditoría
Errores que suelen señalar los auditores
- Lista de leyes sin decir qué obligación concreta impone cada una ni a quién.
- Faltan los compromisos voluntarios: códigos éticos sectoriales y cláusulas de contratos.
- Nadie tiene asignada la vigilancia de cambios normativos.
- Obligaciones que no se reflejan en ningún riesgo de la matriz.
En Kimobox
Cómo se lleva este registro en Kimobox
- 1Las obligaciones de compliance se registran como registro versionado.
- 2Las partes interesadas y sus expectativas de cumplimiento se dan de alta en el mismo sistema.
- 3El mapa de procesos marca el riesgo de incumplimiento de cada proceso, enlazado a sus obligaciones.
Preguntas frecuentes
Lo que nos preguntan antes de empezar
¿Es lo mismo que el registro de requisitos legales de ISO 14001 o ISO 27001?
Es más amplio. Aquellos se limitan a lo ambiental o a la seguridad de la información; este recoge todas las obligaciones de cumplimiento. Si se tienen varios sistemas, conviene un único registro con filtros por ámbito.
¿Hay que incluir las obligaciones fiscales?
Si están en el alcance del sistema, sí. Quien además siga UNE 19602 suele llevar las tributarias en un registro propio, más detallado, con su calendario.
Lleva los registros de ISO 37301 sin plantillas sueltas
Te enseñamos el módulo funcionando con datos parecidos a los tuyos.
Sigue explorando
Páginas relacionadas
Registro de requisitos legales y contractuales de seguridad
Cómo documentar los requisitos legales, reglamentarios y contractuales de seguridad que pide ISO 27001…
Modelo de registro de obligaciones tributarias UNE 19602
Cómo documentar las obligaciones tributarias de la empresa para UNE 19602: impuesto, modelo, periodicidad…
Contexto de la organización
El sistema de compliance empieza por mapear qué obligaciones legales, regulatorias y voluntarias aplican a…
Modelo de matriz de riesgos de compliance ISO 37301
Cómo documentar la evaluación de riesgos de compliance de ISO 37301: obligación, actividad, causas…
Fuentes
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.