Normas anticorrupción e ISO 37001

1) Introducción: por qué ISO 37001

Los riesgos de corrupción en iGaming/Fintech se ven amplificados por complejas cadenas de proveedores, afiliados, licencias y marketing en diferentes mercados. ISO 37001 (Sistema de Gestión Anti-Bribery, ABMS) es un estándar internacional que establece un sistema de gestión para prevenir, detectar y responder al soborno/extorsión. Su objetivo es reducir la probabilidad de incidentes y demostrar a los reguladores/socios que la empresa gestiona los riesgos de forma sistémica.

2) Principios clave de ABMS

Tono superior (tone at the top): la junta directiva/alta dirección acepta y demuestra tolerancia cero.
Enfoque basado en riesgos: identificación, evaluación, plan de procesamiento, priorización de áreas de alta exposición.
Medidas proporcionales: los controles se ajustan a la escala y perfil de riesgo.
Independencia de la función de cumplimiento: suficiente autoridad y recursos.
Mejora continua: monitoreo, auditorías, acciones correctivas.

3) Alcance de los riesgos de corrupción

Soborno directo/indirecto, soborno comercial, «lubricación» (pagos de facilidades, donde está prohibido), retrocesos.
Regalos, hospitalidad, patrocinio, caridad... como canales de soborno oculto.
Afiliados/agentes/intermediarios, asesores de licencias, socios de marketing.
Sector público: licencias, inspecciones, permisos, fiestas estatales, casinos/loterías estatales.
Conflicto de intereses y acuerdos de información privilegiada.
Fusiones y adquisiciones (M&A) y Joint Ventures (JV).

4) Marco del sistema: lo que requiere ISO 37001 en la práctica

1. Política y código anticorrupción + política de regalos/conflictos de intereses/donados y patrocinios.
2. El papel del «Oficial Anticorrupción» (ABCO) y el reparto de responsabilidades.
3. Evaluación de riesgos por líneas de negocio, geografías, tipos de contrapartes.
4. Due diligence de terceros (risk-based) con cribado sancionador y judicial.
5. Control de transacciones y monitoreo de «banderas rojas».
6. Formación y comunicación para empleados y socios.
7. Líneas de informantes y prohibición de represalias (relacionada con la política de informantes).
8. Investigaciones, medidas disciplinarias y remediación.
9. Auditoría/Monitoreo Interno, Gestión de Rugidos y CAPA (Acciones Correctivas y Preventivas).
10. Preparación para la certificación por un organismo externo.

5) Matriz de riesgo (ejemplo)

6) Política de regalos, hospitalidad y gastos (G&H)

Límites: equivalentes monetarios y «nature» (por ejemplo, hasta X EUR por persona/evento; límite anual).
Prohibición de efectivo, tarjetas de regalo, viajes de lujo sin justificación de servicio.
Acuerdo: todos los que superan el umbral - a través de ABCO; inscripción obligatoria en el registro.
Sector público: reglas más estrictas/prohibición total.
Transparencia: los registros de regalos y hospitalidad están disponibles para auditoría interna.

7) Conflicto de intereses

Declaración anual de todos los ejecutivos/compras/BD/marketing/abogados.
Declaración de eventos en la contratación/transición a un nuevo rol/lanzamiento de un proyecto.
Medidas: retsuzal (recusación), rotación, prohibición de servicio a «sus» proveedores.

8) Due diligence de terceros (especialmente afiliados e intermediarios)

Cribado: sanciones, PEP, casos legales, medios negativos, beneficiarios.
Cuestionario y justificantes: registro, licencias, situación fiscal, política anticorrupción, código.
Obligaciones contractuales: cláusula anticorrupción, derecho de auditoría, prohibición de sub-intermediarios sin acuerdo, ruptura en caso de infracción.
Riesgo-gradación: niveles KYC de contrapartes (bajo/medio/alto), frecuencia de revisiones (por ejemplo, anual para alto riesgo).
Señales de pago: prohibición de pago en cuentas extraterritoriales/personales, factura/actos obligatorios.

9) Banderas rojas (indicadores operativos)

El «consultor» sin un examen explícito, exige una comisión en efectivo/alta, insiste en los «resultados inmediatos».
Solicitudes para dividir un pago o enviar fondos a cuentas de terceros.
Insistir en afiliados/agentes «sin nombre» e informes.
Exclusión de la competencia en las licitaciones bajo pretexto falso.
Actividad en países con alta exposición a la corrupción sin controles reforzados.

10) Formación y comunicación

Formación obligatoria anual + casos interactivos (G&H, agencias gubernamentales, afiliados, M&A).
Módulo Onboarding para nuevos empleados y pruebas «refrescantes» para roles de alto riesgo.
Comunicaciones desde arriba: cartas regulares de SEO/Bord, página interna de ABMS, preguntas frecuentes.

11) Líneas de denuncia e investigación

Canal anónimo 24/7, prohibición de represalias, confirmaciones de SLA y respuestas (ver política separada de informantes).
Legal hold y preservación de pruebas, un equipo de investigación independiente.
Medidas disciplinarias hasta la rescisión o rescisión de los contratos; En casos graves, recurrir a las fuerzas del orden.

12) Supervisión, auditoría y presentación de informes

KPI ABMS: cobertura de entrenamiento, número/proporción de casos cerrados, tiempo de reacción, proporción de terceros con DD superado, resultados de pruebas de cumplimiento de G & H.
Auditorías internas del plan de riesgo (trimestral/anual).
Revisión de gestión: al menos una vez al año: revisión de riesgos, incidentes, CAPA, soluciones de recursos.
Mejora continua: ajuste de límites, actualización de la matriz de riesgo, nuevos controles.

13) Integración con procesos iGaming/Fintech

Afiliados y marketing: verificación rigurosa, informes transparentes, auditoría de redes y fuentes de tráfico.
Licencias e interacciones regulatorias: protocolo de reuniones, regla de «cuarto ojo», prohibición de regalos a funcionarios.
Socios de pago/PSP: cláusulas anticorrupción en los contratos, derecho de auditoría, prohibición de intermediarios sin acuerdo.
Proveedores de juegos/estudios: controles de recompensas, descuentos/rebajas transparentes, exclusión de acuerdos «grises».
M & A/JV: objetivos anticorrupción due diligence, plan de integración para ABMS.

14) Hoja de ruta para la implementación y certificación (6-9 meses)

Fase 0 - Diagnóstico (0-4 semanas): Análisis Gap vs ISO 37001, mapa de procesos, matriz de riesgos, plan de proyecto, asignación de ABCO.
Fase 1 - Políticas y diseño de controles (1-2 mes): Políticas anticorrupción, G&H, Conflictos de intereses, Plantillas contractuales, Procedimientos DD, Investigaciones e Informantes.
Fase 2 - Implementación y capacitación (2-4 meses): Registro de regalos, registro de contactos con agencias gubernamentales, inicio del proceso DD, capacitación, KPI de dashboard.
Fase 3 - Supervisión y auditoría (4-6 meses): Pruebas piloto, prueba de casos, auditoría interna de ABMS, CAPA.
Etapa 4 - Certificación (6-9 mes): Preaudito, luego Etapa 1/Stage 2 con una entidad de certificación externa; emisión de un certificado si se ha completado correctamente.
Después - mantenimiento: auditoría anual de supervisión, revisión de riesgos y KPI.

15) Matriz de control (simplificado)

16) RACI por ABMS

17) Reservas de plantilla (fragmentos)

Cláusula anticorrupción en el contrato: "Las partes confirman el cumplimiento de las leyes aplicables contra el soborno... la violación es esencial y da derecho a la terminación inmediata".
Regalos y hospitalidad: "Los regalos/entretenimiento más allá de los límites o cualquier forma de pago en efectivo están prohibidos. Cualquier excepción estará sujeta a acuerdo previo por escrito con ABCO".
Intermediarios/afiliados: "Se prohíbe la participación de sub-intermediarios sin consentimiento por escrito; Una Parte dará acceso a los documentos para una auditoría selectiva".
Denuncias de infracciones: «La compañía proporciona canales confidenciales y prohíbe cualquier represalia contra informantes de buena fe».

18) Errores frecuentes y cómo evitarlos

«Políticas en papel» sin registros y monitoreo. Solución: KPI dashboard, inspecciones trimestrales.
No hay DD para afiliados/agentes. Solución: cuestionarios estándar, cribado sancionador, informes auditados.
No hay un único propietario de ABMS. Solución: nombrar una ABCO con mandato y recursos.
General «cero límites» para regalos. Solución: límites razonables + excepciones a través del comité.
Ignora las «banderas rojas». Solución: automatización de alertas y escalamiento por SLA.

19) Paquete de artefactos (mantener en el repositorio)

Política ABMS, Política G&H, Política de conflictos de intereses.
Plantillas de cláusulas contractuales contra la corrupción.
Registros de regalos/hospitalidad y contactos con agencias gubernamentales.
Procedimiento Due Diligence + formularios y hojas de comprobación.
Plan de entrenamiento + contenido de cursos/pruebas.
Procedimiento de investigación + Runbook informantes.
Plan de auditoría, informes de auditoría interna, CAPA.
Matriz de riesgo y Control Matrix (ABMS ↔ ISO 37001).

la Conclusión

La ISO 37001 no es solo un certificado, sino un circuito de gestión sostenible: riesgos → políticas → due diligence → capacitación → monitoreo → investigación → mejora. Para una empresa de iGaming/fintech, disciplina el trabajo con afiliados, licencias y marketing, reduce la probabilidad de incidentes y aumenta la confianza de los reguladores y socios. Comience con la evaluación de riesgos y las políticas básicas, luego con la implementación de registros y DD, capacitación y auditoría interna; después de «terminar» los procesos, salga a certificar.