Una organización puede tener una tasa de finalización alta, una aceptación firmada por cada empleado y una política antisoborno totalmente documentada, y aun así tener a tres personas que gestionan el mismo regalo del mismo proveedor de tres formas distintas. Una lo rechaza. Otra lo registra. La tercera no dice nada, porque la relación le parecía más real que la norma.
Ninguno de ellos infringió una norma que comprendiera. Ese es el punto. El fallo no es una falta de conocimiento. Son los tres segundos previos a una decisión, cuando no hay ningún módulo, ningún documento de política ni ningún responsable de cumplimiento en la sala.
La norma ISO 37001 ofrece a las organizaciones un enfoque estructurado para la gestión antisoborno, y su valor es real. Pero la norma mide si el programa existe y está documentado. No mide si las personas se comportan de forma diferente cuando nadie las observa.
Los programas de cumplimiento están estructuralmente optimizados para la documentación. Los reguladores piden pruebas de formación. Los programas producen pruebas de formación. Los auditores las revisan. El ciclo se cierra.
Lo que no se cierra es el círculo entre el registro de formación y la decisión real. Una tasa de finalización alta cumple con el estándar probatorio. No protege a la organización del empleado que racionaliza un regalo en una zona gris porque "esta relación es diferente". La brecha de 43 puntos entre el 93 % que dice que hablaría y el 50 % que lo hace es esa suposición, medida.
La exposición al soborno se concentra en las zonas grises, no en las infracciones claras. El empleado que acepta un pago obviamente indebido es una excepción. El empleado que aplica la política de regalos de forma incoherente está en todas partes: mismo proveedor, mismo regalo, diferentes umbrales en todo el equipo.
Esos escenarios no son grises porque la gente desconozca la norma. Son grises porque la norma choca con una relación real, una dinámica social real o un plazo real que la formación nunca abordó. Y la incoherencia es visible antes de cualquier incidente: respuestas diferentes ante el mismo escenario, evitación de opciones en casos límite, diferentes umbrales aplicados por distintos equipos. Esas son señales medibles, que residen en cómo los empleados manejan las interacciones simuladas, no en un registro de finalización.
La coherencia, en otras palabras, es el verdadero control. La mayoría de los programas nunca la miden.
La tasa de finalización es una métrica de actividad retrospectiva. Te dice lo que se impartió, no lo que cambió. Las señales que realmente predicen la exposición al soborno son predictivas y conductuales: si el mismo escenario con un proveedor produce la misma decisión en todos los equipos, si las personas eligen la opción segura o evitan discretamente el caso límite, si el criterio converge con el tiempo o se dispersa.
Un programa que rastrea esto puede mostrar una tendencia en el comportamiento a lo largo de un trimestre. Un programa que solo rastrea la finalización solo puede mostrar la asistencia. Cuando una junta directiva pregunta "¿estamos menos expuestos que hace tres meses?", solo una de esas opciones es una respuesta.
El instinto cuando el comportamiento no cambia es mejorar la formación: más atractiva, más escenarios, con mayor frecuencia. Eso, en gran medida, no va al grano.
La brecha entre conocer una norma y aplicarla bajo presión no es una falta de conocimiento. Es una falta de hábito. Los hábitos se construyen mediante el refuerzo en el momento de la decisión, repetido hasta que la respuesta correcta sea automática, no en un módulo anual.
Un programa que entrega módulos y mide la finalización es una arquitectura para producir registros, no para construir hábitos. Cerrar la brecha de comportamiento requiere un diseño diferente: detectar una interacción en una zona gris y, a continuación, activar una simulación ISO 37001 específica para ese empleado —sobre el reconocimiento del riesgo de soborno y sobre el manejo de regalos y atenciones— antes de que llegue el siguiente escenario real. La respuesta informa la siguiente intervención. Un circuito cerrado, automatizado con supervisión humana, no un programa lineal.
Para los responsables de cumplimiento que evalúan un programa, la pregunta no es "¿cuál es nuestra tasa de finalización?". Es: ¿qué ocurre entre la formación y la siguiente interacción real de regalos o atenciones?
Tres preguntas que vale la pena plantear:
¿Puede ver cómo manejan realmente los empleados las situaciones ambiguas, o solo si completaron el módulo?
Cuando un equipo aplica la política de regalos de forma inconsistente, ¿se entera antes o después de que ocurra un incidente?
¿Podría demostrar a su junta directiva que el comportamiento mejoró este trimestre, y no solo que se impartió la formación?
La revisión de 2025 de la norma ISO 37001 introduce formalmente la cultura antisoborno como un elemento esencial para la eficacia del sistema de gestión (ISO 37001:2025). La norma bajo la cual se certifican las organizaciones establece ahora, en efecto, que la documentación es necesaria pero no suficiente, y que la cultura y el comportamiento son lo que hace que el sistema funcione.
Los programas que siguen tratando la norma como un ejercicio de documentación han quedado por detrás de la norma misma.
La norma ISO 37001 proporciona a las organizaciones una estructura que vale la pena tener. Pero una estructura describe lo que debería suceder; no produce la decisión que toma un empleado cuando la norma se enfrenta a una relación que valora. Esa decisión se moldea antes de que llegue el momento, y puede verse, medirse y mejorarse.
Los programas que reduzcan la exposición en los próximos años no serán los que tengan la documentación más completa. Serán los que cerraron la brecha entre lo que dice la política y lo que hace la gente cuando nadie está mirando.
Cómo Zepo ayuda a las empresas
.png)
Paula Pereira
Gerente de Seguridad de la Información Digital
“Recomendaría Zepo a colegas de otras empresas porque creo que ha satisfecho todas nuestras necesidades. Nos ha permitido ejecutar tres tipos de campañas que otras herramientas que hemos probado simplemente no pueden hacer. Y más allá del producto en sí, el apoyo de todo el equipo nos ha ayudado a sacarle mucho más partido.”
+9K
Empleados Protegidos
–10%
Tasa de clics en ataques
+18%
Tasa de finalización de la capacitación
.png)
Ramon Fernandez Blanco
Ciberseguridad y Gerente de Producto Digital
“Desde la implementación de Zepo, la concienciación de los empleados ha aumentado significativamente. Los empleados ahora debaten activamente sobre ciberseguridad y campañas de phishing, y los correos electrónicos sospechosos se reportan rápidamente en lugar de ser ignorados.”
+600
Empleados Protegidos
–15%
Credenciales enviadas
+26%
Tasa de finalización de la capacitación
.png)
Jonathan Nelson
Director de Inteligencia de Riesgos
“La visión de Zepo para una solución de ciberseguridad en tiempo real, hiperpersonalizada y multiplataforma es verdaderamente única y está muy por encima de la competencia”
+100
Empleados Protegidos
Anticípate antes de que ataquen.
.png)
