ISO 37002:2021 es una norma internacional que proporciona directrices para establecer, implementar y mantener un sistema de gestión de denuncias de irregularidades. Su enfoque se basa en tres principios: confianza, imparcialidad y protección, y comprende cuatro etapas: recepción, evaluación, tratamiento y conclusión de los casos.

Para una empresa, estas directrices ofrecen un marco para organizar lo que ocurre después de recibir una denuncia: quién la evalúa, cómo se decide su tratamiento, qué medidas de protección se consideran y con qué fundamentos se cierra el caso.

Qué es un SIGI y cómo se relaciona con el canal de denuncias

Un Sistema de Gestión de Irregularidades (SIGI) reúne políticas, responsabilidades y procesos para gestionar reportes sobre posibles conductas indebidas. El canal de denuncias es el medio de ingreso de esos reportes; el sistema organiza su tratamiento y seguimiento.

Esta distinción tiene una consecuencia práctica: habilitar un canal requiere definir también cómo actuará la organización ante la información recibida. Conviene establecer quién puede acceder a cada caso, quién decide los pasos siguientes y cómo se documentan las actuaciones.

ISO 37002 permite ordenar esa gestión con un marco común. Sus directrices pueden aplicarse a organizaciones de distintos tamaños y sectores, y el sistema puede funcionar de manera independiente o integrado en un sistema de gestión más amplio.

Qué alcance tiene ISO 37002 y cómo interpretar su adopción

ISO 37002 ofrece orientación para la gestión de denuncias. Es una norma de directrices, no una norma de requisitos concebida para certificación, como aclaran las preguntas frecuentes del comité ISO/TC 309.

Por eso, al comunicar su adopción, conviene describir qué políticas y procesos toman sus lineamientos como referencia y qué evidencias respaldan esa aplicación. Una declaración genérica de “cumplimiento ISO 37002” aporta poca información sobre el funcionamiento efectivo del sistema.

La organización también necesita evaluar las obligaciones legales aplicables en cada jurisdicción. Utilizar estas directrices no permite concluir, por sí solo, que todos los aspectos regulatorios del canal estén resueltos.

La ficha oficial de ISO 37002:2021 permite consultar su alcance y distinguir el estándar de las interpretaciones comerciales sobre su implementación.

Confianza, imparcialidad y protección: cómo llevar los principios a la gestión

Los tres principios de ISO 37002 ofrecen una referencia para evaluar las decisiones que se toman durante todo el proceso. Como aplicación práctica, la organización puede considerar:

- Confianza: comunicar qué situaciones pueden reportarse, cómo se tratará la información y qué seguimiento puede esperar quien utiliza el canal.

- Imparcialidad: definir mecanismos para identificar conflictos de interés y reasignar casos cuando una persona encargada de gestionarlos esté involucrada.

- Protección: establecer medidas para cuidar la información y prevenir, detectar y responder a posibles represalias.

En este diseño conviene distinguir confidencialidad y anonimato. La confidencialidad se refiere al tratamiento restringido de la información; el anonimato, a la posibilidad de reportar sin revelar la identidad. La política del canal debería explicar las condiciones y los límites de cada modalidad.

La protección también necesita seguimiento. Adoptar ISO 37002 no garantiza que las represalias no ocurran; el marco puede ayudar a organizar su prevención, detección y respuesta.

Las cuatro etapas de gestión de denuncias según ISO 37002

ISO 37002 estructura la gestión en recepción, evaluación, tratamiento y conclusión. Los siguientes criterios permiten llevar esas etapas a la operación. Son recomendaciones de gestión que cada organización puede adaptar a su estructura y contexto.

1. Recepción: registrar el reporte y organizar su ingreso

La recepción requiere un punto de entrada accesible y un procedimiento para registrar la información disponible. Conviene diferenciar los hechos relatados, las personas mencionadas y los documentos aportados, sin asumir que la denuncia acredita por sí misma una irregularidad.

Responsable sugerido: una función designada para recibir y registrar reportes, con criterios claros de derivación.

Evidencias de gestión: registro de ingreso, fecha de recepción, información aportada y constancia de las comunicaciones realizadas cuando sea posible.

2. Evaluación: decidir cómo abordar el caso

La evaluación inicial permite analizar el alcance del reporte, su gravedad potencial, la información faltante y los riesgos que requieren atención. También es una instancia para identificar posibles conflictos de interés y considerar medidas de protección.

Conviene documentar el fundamento de la decisión: continuar el tratamiento, solicitar información adicional, derivar el asunto o cerrar el reporte con una justificación.

Responsable sugerido: la función o instancia autorizada para evaluar y asignar los casos.

Evidencias de gestión: evaluación inicial, decisión de tratamiento, responsable asignado y medidas consideradas.

3. Tratamiento: investigar cuando corresponda y definir acciones

El tratamiento comprende la respuesta al reporte y puede incluir una investigación. Por eso, “tratamiento” tiene un alcance más amplio que “investigación”: permite contemplar las actuaciones necesarias según la naturaleza del caso.

Cuando se investigue, resulta útil delimitar el objeto, organizar la información y diferenciar las alegaciones de los hallazgos respaldados. Las decisiones posteriores necesitan fundamentos acordes con la evidencia disponible.

Responsable sugerido: personas con competencia para el caso y condiciones de imparcialidad, con participación de Compliance, RRHH, Legales u otras áreas cuando resulte pertinente.

Evidencias de gestión: actuaciones realizadas, documentación analizada, hallazgos, limitaciones y decisiones fundamentadas.

4. Conclusión: documentar el resultado y el seguimiento

La conclusión permite dejar constancia del resultado y de las razones que lo sustentan. También conviene identificar las acciones pendientes, quién las ejecutará y cómo se verificará su avance.

Cerrar un caso puede requerir actuaciones posteriores. Por ejemplo, revisar un procedimiento o comprobar la ejecución de una medida acordada.

Responsable sugerido: la instancia autorizada para aprobar el cierre y asignar el seguimiento.

Evidencias de gestión: fundamento de cierre, comunicaciones pertinentes, acciones acordadas, responsables y constancias de seguimiento.

Cómo organizar las responsabilidades del SIGI dentro de la empresa

Las cuatro etapas necesitan una coordinación que permita avanzar de una decisión a la siguiente. Como criterio de implementación, conviene definir quién puede asignar casos, solicitar apoyo de otras áreas, aprobar medidas y verificar las acciones pendientes.

La distribución puede variar según la estructura de la empresa. Compliance puede coordinar la gestión; RRHH, participar en asuntos vinculados con relaciones laborales; y Legales, evaluar las cuestiones jurídicas del caso. La participación de cada área debería responder a una necesidad concreta, con acceso a la información pertinente para su intervención.

También resulta útil distinguir entre investigar, decidir y supervisar. Una persona puede reunir información sin tener autoridad para aprobar una medida disciplinaria. Del mismo modo, quien autoriza el cierre necesita contar con fundamentos suficientes para comprender el resultado.

Cómo actuar ante conflictos de interés

Conviene prever una vía alternativa cuando el reporte involucre a una persona que normalmente recibe, evalúa o decide sobre las denuncias. Dejar esa definición para cuando aparece el caso puede dificultar una respuesta imparcial.

Por ejemplo, si una denuncia menciona al responsable habitual del canal, la organización puede establecer previamente quién asumirá su tratamiento y cómo se restringirá el acceso de la persona involucrada. Este es un criterio práctico de gobernanza que cada empresa puede adaptar a su estructura.

La integración del canal de denuncias con políticas internas y procesos disciplinarios permite profundizar cómo articular estas responsabilidades con las decisiones organizacionales.

Cómo revisar si el SIGI funciona en la práctica

Una revisión útil consiste en seleccionar casos y reconstruir su recorrido: ingreso, evaluación, tratamiento, decisión y seguimiento. Este ejercicio permite observar si las responsabilidades están claras y si los registros explican por qué se actuó de determinada manera.

Compliance, RRHH, Legales y la Dirección pueden considerar estas preguntas:

¿Cada caso tiene un responsable y un estado identificables?

¿Las decisiones de derivación o cierre están fundamentadas?

¿Los cambios de responsable conservan la información necesaria para continuar el tratamiento?

¿Existe una alternativa cuando aparece un conflicto de interés?

¿Las medidas de protección se revisan durante el proceso?

¿Las acciones acordadas tienen responsables y seguimiento?

Protección del denunciante: eje transversal del sistema

La norma establece que la protección del denunciante debe estar presente desde el inicio hasta el cierre del proceso, incluyendo:

• Principio fundamental: la protección implica confidencialidad, posibilidad de anonimato, no represalias y soporte emocional y organizacional.
• Durante el proceso: Desde la recepción hasta la conclusión del caso, se deben aplicar medidas que garanticen la seguridad del denunciante y de los actores involucrados.
• En la gestión organizacional: La protección fortalece la confianza en el sistema y fomenta la participación activa.

Este enfoque es indispensable para generar confianza y fomentar una cultura de transparencia.

Resguarda y la implementación efectiva de un SIGI

Resguarda ofrece soluciones integrales alineadas con la ISO 37002, adaptadas al marco normativo local en Latinoamérica. Su propuesta incluye:

• Plataforma segura con trazabilidad completa.
• Soporte experto en investigación de denuncias.
• Integración con sistemas de compliance existentes.
• Capacitación continua y acompañamiento regional.

Soluciones Línea Ética Empresarial Resguarda: cumplimiento de la ISO 37002:2021

Resguarda ofrece un servicio integral caracterizado por su experiencia especializada, innovación constante y adaptación a las últimas tendencias tecnológicas. Su enfoque se basa en la escucha activa de las necesidades de sus clientes, promoviendo la mejora continua, el cumplimiento de las regulaciones locales e internacionales para los canales de denuncia.

Para conocer más sobre nuestras soluciones y solicitar una demo personalizada, ingresa a www.resguarda.com

Conclusión

La implementación de un SIGI según los lineamientos de la norma ISO 37002 es una decisión estratégica para consolidar la integridad institucional. No se trata solo de una buena práctica, sino de una necesidad frente a un entorno regulatorio, social y empresarial cada vez más exigente.

Solicite una demo con Resguarda y asegure el cumplimiento ético y normativo de su organización.