Telefónica España ha renovado las certificaciones de su sistema de compliance penal y antisoborno conforme a UNE 19601:2025 e ISO 37001:2025, respectivamente. La evaluación ha sido realizada por EQA, entidad acreditada por ENAC para este tipo de certificaciones. El movimiento llega tras la revisión de ambas referencias en 2025 y obliga a trasladar los nuevos requisitos desde el plano documental a procesos de control que afectan a áreas jurídicas, compras, negocio, dirección y supervisión interna.
La compañía mantiene estas certificaciones desde hace más de seis años y ahora adapta el sistema a las versiones publicadas en 2025. Telefónica sostiene que figura entre las primeras empresas del sector de telecomunicaciones en España que han completado esta transición. La afirmación procede de la propia empresa y sitúa el alcance competitivo de la renovación en el terreno de la gobernanza, un ámbito vinculado a la relación con clientes corporativos, administraciones, inversores y socios.
Telefónica adapta su compliance penal a UNE 19601:2025
La revisión de UNE 19601 sustituye a la edición de 2017 y actualiza los requisitos aplicables a los sistemas de gestión de compliance penal. UNE explica que la nueva versión alinea mejor la función de cumplimiento con las normas ISO modernas, separa conceptualmente la formación de las actividades de toma de conciencia y racionaliza el nivel de supervisión y control sobre inversiones puramente financieras. También aproxima la estructura del estándar a otros sistemas de gestión, algo relevante para grupos que integran distintas capas de control dentro de una misma arquitectura corporativa.
Para una empresa del tamaño y complejidad de Telefónica España, esa adaptación tiene una dimensión operativa concreta. El sistema certificado cubre actividades de telecomunicaciones y negocio digital y contempla análisis de riesgo penal, controles de prevención y mecanismos de detección. La renovación supone que esos elementos han sido revisados frente a la edición de 2025, aunque el mapa de riesgos requiere actualizaciones conforme cambian los servicios, la organización, los proveedores o los procesos automatizados.
El marco español añade otra capa. El artículo 31 bis del Código Penal contempla la responsabilidad penal de las personas jurídicas en determinados supuestos y concede relevancia a las medidas de organización, vigilancia y control implantadas para prevenir delitos o reducir de forma significativa el riesgo de su comisión. Ese encaje explica la creciente presencia de los sistemas de compliance penal en decisiones de gobierno corporativo, auditoría, contratación y gestión del riesgo.
ISO 37001:2025 amplía las exigencias antisoborno
La segunda renovación afecta a ISO 37001:2025, la norma internacional para sistemas de gestión antisoborno. ISO define este estándar como un marco para establecer, implantar, mantener, revisar y mejorar mecanismos destinados a prevenir, detectar y responder al soborno. La edición de 2025 refuerza aspectos relacionados con la cultura de cumplimiento, la gestión de conflictos de interés y la función antisoborno, además de alinearse con la estructura utilizada en otras normas de sistemas de gestión.
La actualización adquiere especial relevancia en organizaciones con cadenas extensas de terceros. Distribuidores, proveedores, consultores, intermediarios y socios tecnológicos pueden introducir riesgos fuera del perímetro jerárquico inmediato de una compañía, aunque terminen afectando a su exposición legal y reputacional. El estándar ordena esa gestión mediante responsabilidades, evaluación del riesgo, diligencia debida, controles y mecanismos de revisión adaptados a las circunstancias de cada organización.
En Telefónica, EQA ha certificado la conformidad con la edición de 2025. ENAC señala que la certificación acreditada constituye una declaración de tercera parte sobre el cumplimiento de los requisitos de una norma, mientras la acreditación aporta garantías sobre la competencia técnica y la imparcialidad de la entidad certificadora. EQA dispone de acreditación de ENAC para certificar sistemas de compliance penal según UNE 19601 y sistemas antisoborno conforme a UNE-ISO 37001.
El compliance penal certificado mantiene riesgo residual
El alcance del certificado tiene límites concretos. La conformidad indica que el sistema evaluado cumple los requisitos definidos por el estándar dentro del perímetro certificado, pero no garantiza que una organización quede libre de posibles conductas ilícitas. En sectores regulados y con operaciones complejas, la eficacia diaria depende igualmente de cómo se ejecutan los controles, de la información disponible y de la capacidad de la organización para detectar y corregir desviaciones. ENAC define precisamente la certificación de sistemas de gestión como una declaración de tercera parte sobre el cumplimiento de una norma de referencia.
Las versiones de 2025 desplazan parte de la atención hacia la aplicación efectiva de los mecanismos de cumplimiento. La distinción entre formación y toma de conciencia en UNE 19601, por ejemplo, obliga a mirar más allá del número de cursos impartidos. Para un consejo o un comité de dirección, adquieren peso cuestiones como la actualización de los riesgos, la autonomía de los responsables de control o la capacidad de convertir señales procedentes de canales internos, auditorías y revisiones de terceros en cambios concretos dentro de los procesos.
Telefónica vincula la renovación con su política de tolerancia cero frente a la corrupción y la comisión de delitos. Lidón Safont, directora de Compliance de Telefónica España, relaciona además el liderazgo tecnológico con una gestión «ambiciosa, rigurosa y eficaz» y con el papel institucional que la compañía pretende mantener en materia de integridad y buen gobierno. La formulación amplía el perímetro del cumplimiento más allá de una exigencia jurídica y lo acerca a la supervisión empresarial de actividades tecnológicas cada vez más complejas.
Seis años de compliance y una nueva fase operativa
Más de seis años de continuidad permiten observar la renovación desde una perspectiva diferente a la de una primera certificación. El desafío está en mantener el sistema mientras cambian la regulación, los negocios y la tecnología. En una operadora que combina infraestructura de telecomunicaciones y servicios digitales, el riesgo penal y el antisoborno pueden atravesar múltiples unidades y procesos. La actualización de los estándares obliga a revisar esa arquitectura de forma recurrente. Telefónica afirma que durante este periodo ha mantenido y mejorado tanto el análisis de riesgo penal como sus medidas de prevención y detección.
La revisión de las normas añade, además, un componente de integración. UNE señala que las modificaciones introducidas en UNE 19601 y UNE-ISO 37001 responden en parte a su alineación con la estructura armonizada utilizada en los sistemas de gestión. Para organizaciones que acumulan certificaciones y marcos de control en seguridad de la información, calidad, continuidad, privacidad o compliance, esa convergencia puede facilitar procesos comunes de supervisión, aunque también eleva la necesidad de definir con precisión quién responde de cada riesgo.
Para los equipos de dirección, el valor práctico de una renovación de este tipo se juega después de la auditoría. Los nuevos estándares aumentan la necesidad de documentar responsabilidades, revisar conflictos de interés, actualizar el análisis de riesgos y conectar la función de compliance con decisiones adoptadas fuera del área jurídica. También crece la exigencia de demostrar que los controles funcionan de manera consistente cuando la organización incorpora servicios, automatiza procesos o amplía su ecosistema de terceros.
Telefónica ha completado la transición de sus certificaciones a UNE 19601:2025 e ISO 37001:2025. La siguiente fase dependerá de la capacidad para mantener la eficacia del sistema mientras el negocio digital modifica procesos, proveedores y formas de decisión con mayor frecuencia que los ciclos tradicionales de certificación. Para una gran empresa, la derivada empresarial aparece ahí: conseguir que un estándar actualizado funcione como capacidad de control durante la operación cotidiana y genere evidencias suficientes cuando un riesgo penal o de corrupción deja de ser una hipótesis.
