ISO 37001. 4.- Contexto de la organización
4.1 Comprensión de la organización y de su contexto
La organización debe determinar las cuestiones externas e internas que son pertinentes para su propósito y que afectan a su capacidad para lograr los resultados previstos de su sistema de gestión antisoborno.
Estas cuestiones incluyen, entre otras, los siguientes factores:
-
el tamaño, la estructura y la delegación de autoridad con poder de decisión dentro de la organización;
-
los lugares y sectores en los que la organización opera o prevé operar;
-
la naturaleza, escala y complejidad de las actividades y operaciones de la organización;
-
el modelo de negocio de la organización;
-
las entidades sobre las que la organización ejerce control y las entidades que ejercen control sobre la organización;
-
los socios de negocios de la organización;
-
la naturaleza y el alcance de las interacciones con funcionarios públicos;
-
las obligaciones legales, reglamentarias, contractuales y profesionales aplicables.
4.2 Comprensión de las necesidades y expectativas de las partes interesadas
La organización debe determinar:
a) las partes interesadas que son pertinentes para el sistema de gestión antisoborno;
b) los requisitos pertinentes de dichas partes interesadas;
c) cuáles de esos requisitos se abordarán a través del sistema de gestión antisoborno.
4.3 Determinación del alcance del sistema de gestión antisoborno
La organización debe determinar los límites y la aplicabilidad del sistema de gestión antisoborno para establecer su alcance.
Al determinar dicho alcance, la organización debe considerar:
-
las cuestiones externas e internas mencionadas en 4.1;
-
los requisitos identificados en 4.2;
-
los resultados de la evaluación del riesgo de soborno mencionados en 4.5.
El alcance debe estar disponible como información documentada y debe describir las partes de la organización, las funciones y las actividades que están cubiertas por el sistema de gestión antisoborno.
4.4 Sistema de gestión antisoborno
La organización debe establecer, implementar, mantener y mejorar de forma continua un sistema de gestión antisoborno, que incluya los procesos necesarios y sus interacciones, conforme a los requisitos de la presente norma.
El sistema de gestión antisoborno debe incorporar medidas diseñadas para identificar, evaluar, prevenir y abordar los riesgos de soborno, de manera proporcional al nivel de riesgo identificado por la organización.
4.5 Evaluación del riesgo de soborno
4.5.1 Generalidades
La organización debe llevar a cabo evaluaciones del riesgo de soborno a intervalos planificados y de manera sistemática, con el fin de:
a) identificar los riesgos de soborno que la organización pueda prever razonablemente, teniendo en cuenta los factores definidos en 4.1;
b) analizar, evaluar y priorizar dichos riesgos;
c) evaluar la idoneidad y eficacia de los controles existentes destinados a mitigar los riesgos de soborno identificados.
4.5.2 Criterios de evaluación
La organización debe establecer criterios para evaluar su nivel de riesgo de soborno, los cuales deben considerar las políticas, objetivos y obligaciones de cumplimiento de la organización.
4.5.3 Revisión de la evaluación del riesgo
La organización debe revisar la evaluación del riesgo de soborno:
a) a intervalos regulares, con base en una frecuencia y periodo definidos;
b) cuando se produzcan cambios significativos en la estructura, actividades, contexto o riesgos de la organización;
c) cuando surja nueva información que pueda afectar la validez de los resultados de la evaluación.
4.5.4 Información documentada
La organización debe conservar información documentada que demuestre que la evaluación del riesgo de soborno se ha llevado a cabo y que los resultados se han utilizado para diseñar, implementar, mantener o mejorar el sistema de gestión antisoborno.