Umfassende Rechtsberatung, um die Zertifizierung nach ISO 37301:2021 zu erlangen und dauerhaft zu halten: Compliance-Diagnose, Konzeption des Compliance-Management-Systems (CMS), Vorbereitung auf das Audit durch die Zertifizierungsstelle und Integration mit UNE 19601, ISO 37001 und UNE 19602.
Kostenlose Beratung zu ISO 37301
Wir antworten Ihnen innerhalb von 24 Std.
Sechs juristisch-technische Arbeitsbereiche, um ein Compliance-Management-System nach ISO 37301:2021 zu konzipieren, einzuführen und zertifizieren zu lassen.
Analyse der Lücken zwischen dem aktuellen Stand der Organisation und den 10 Abschnitten der Norm: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung.
Dokumentation und Einführung des Compliance-Management-Systems: Richtlinie, Verfahren, Matrix der Verpflichtungen und Risiken, Kontrollen, Schulung und Hinweisgebersystem.
Objektives internes Auditprogramm und seine Durchführung, Erfassung der Feststellungen, Korrekturmaßnahmen und Vorbereitung des Dossiers für die Zertifizierungsstelle.
Vorbereitung und Unterstützung während des Zertifizierungsaudits (Stufe 1: Dokumentenprüfung, Stufe 2: vor Ort) durch AENOR, Bureau Veritas oder eine andere akkreditierte Stelle.
Abstimmung der ISO 37301 mit UNE 19601 (strafrechtliche Compliance), ISO 37001 (Korruptionsbekämpfung), UNE 19602 (Tax Compliance) und ISO 27001 in einem einzigen integrierten Rahmen.
PDCA-Zyklus des CMS: Managementbewertung, Überwachung der KPIs, Aktualisierung des Pflichtenkatasters und Umgang mit regulatorischen Änderungen.
Die ISO 37301 ist die einzige internationale zertifizierbare Norm für Compliance-Management-Systeme. Sie ersetzt die frühere ISO 19600 (die nicht zertifizierbar war) und ermöglicht es dem Leitungsorgan, durch einen unabhängigen Dritten nachzuweisen, dass das Compliance-Programm funktioniert.
„Die ISO 37301 konzentriert sich darauf, die Verpflichtungen zu ermitteln, die für die Organisation gelten, und das Risiko ihrer Nichteinhaltung zu bewerten. Sie geht damit über einen rein strafrechtlichen Ansatz hinaus.“
„Das Zertifizierungsaudit durch AENOR, Bureau Veritas oder eine andere akkreditierte Stelle liefert einen öffentlichen, transparenten und glaubwürdigen Nachweis für das Bekenntnis zur Compliance.“
„Sie teilt die High Level Structure (HLS) der Managementsystemnormen. Das erleichtert die Integration mit Qualitätsmanagement, Informationssicherheit oder Korruptionsbekämpfung.“
„Sie stärkt die Compliance-Funktion und gibt der obersten Führungsebene geeignete Kontrollmechanismen an die Hand, im Einklang mit internationalen Standards guter Unternehmensführung.“
Es geht nicht nur um ein Siegel auf der Website. Die Zertifizierung des CMS senkt Risiken, schützt die Mitglieder der Geschäftsleitung, verbessert Ihren Ruf bei Kunden, Aufsichtsbehörden und Investoren und erleichtert Aufträge von Großkunden und öffentlichen Auftraggebern, die Compliance-Standards verlangen.
Umfassender Blick auf Compliance: Sie beschränkt sich nicht auf das Strafrecht. Sie umfasst die gesetzlichen, vertraglichen und freiwilligen Verpflichtungen, die die Organisation eingegangen ist.
Compliance-Kultur: Sie fördert Schulung und Sensibilisierung der Mitarbeitenden und stärkt die Compliance-Funktion als Schlüsselelement der Nachhaltigkeit.
Nachweis gegenüber Aufsichtsbehörden: In beaufsichtigten Sektoren (CNMV, Banco de España, SEPBLAC) ist ein zertifiziertes CMS ein greifbares Zeichen von Reife.
Internationale zertifizierbare Norm, veröffentlicht im April 2021. Sie ersetzte die ISO 19600:2014, die nur ein Leitfaden war.
Immer mehr öffentliche Ausschreibungen und Einkaufsprozesse von Unternehmen berücksichtigen oder verlangen akkreditierte Compliance-Zertifizierungen.
Die ISO 37301 ersetzt die UNE 19601 nicht im Hinblick auf Art. 31 bis des spanischen Strafgesetzbuchs (Código Penal): Für eine Strafmilderung oder Strafbefreiung ist ein vollständiges Modell erforderlich.
Wir helfen Ihnen, ein belastbares, realistisches und auditierbares CMS aufzubauen, das Stufe 1 und Stufe 2 der Zertifizierung besteht und vor allem bei der tatsächlichen Steuerung Ihrer Organisation hilft.
Neu · 25. September 2026
Die ENAC, die spanische nationale Akkreditierungsstelle, hat die erste Akkreditierung für die Zertifizierung von Compliance-Management-Systemen nach UNE-EN ISO 37301 erteilt. So ist der Stand bei den drei Compliance-Normen, nach denen wir am häufigsten gefragt werden:
| Vorschrift | Was sie abdeckt | ENAC-Akkreditierung | Wichtige Termine |
|---|---|---|---|
| UNE-EN ISO 37301 | Compliance-Management: alle Verpflichtungen der Organisation | Erste akkreditierte Stelle: Bureau Veritas Iberia (Meldung der ENAC vom 25-09-2026) | Geltende Fassung: ISO 37301:2021 |
| UNE 19601 | Strafrechtliche Compliance (Art. 31 bis CP) | Ja | Fassung 2025 (April 2025). Zertifikate nach der Fassung von 2017 gelten ab dem 30-04-2027 nicht mehr als akkreditiert |
| ISO 37001 | Managementsysteme zur Korruptionsbekämpfung | Ja | Fassung 2025 (Februar 2025). Zertifikate nach der Fassung von 2016 gelten ab dem 28-02-2027 nicht mehr als akkreditiert |
Wenn eine Ausschreibung oder ein Kunde ein akkreditiertes Compliance-Zertifikat verlangt, ist die ISO 37301 in Spanien jetzt eine Option. Prüfen Sie vor der Beauftragung des Audits in der Suchfunktion der ENAC, ob die Stelle die Norm in ihrem Akkreditierungsumfang hat.
Ein Zertifikat befreit für sich allein nicht von der strafrechtlichen Verantwortlichkeit: Entscheidend ist, dass das Modell wirksam eingeführt und umgesetzt wurde (Art. 31 bis CP). Die Unterschiede erläutern wir in ISO 37301 im Vergleich zur UNE 19601 (auf Spanisch).
Ja. Am 25. September 2026 hat die ENAC die erste Akkreditierung für die Zertifizierung von Compliance-Management-Systemen nach UNE-EN ISO 37301 bekannt gegeben. Sie wurde Bureau Veritas Iberia erteilt. Seitdem kann ein Zertifikat nach ISO 37301 das ENAC-Zeichen tragen. Den Akkreditierungsumfang jeder Stelle können Sie in der Suchfunktion der ENAC für akkreditierte Stellen prüfen.
Sie kann die Grundlage sein. Das Modell muss aber die sechs Anforderungen von Art. 31 bis.5 des Strafgesetzbuchs erfüllen, und keine Zertifizierung befreit für sich allein: Für die spanische Staatsanwaltschaft ist sie ein zusätzliches Element, das die Wirksamkeit des Modells nicht belegt (Rundschreiben 1/2016). Für das strafrechtliche Risiko wird sie üblicherweise mit der UNE 19601 kombiniert.
Quellen: ENAC, Meldung vom 25-09-2026; ENAC, Übergangsplan zur UNE 19601:2025; ENAC, Übergangsplan zur ISO 37001:2025; Rundschreiben 1/2016 der spanischen Generalstaatsanwaltschaft (Fiscalía General del Estado); Strafgesetzbuch (BOE-A-1995-25444). Geprüft am 5. November 2026.
Die ISO 37301:2021 ist die internationale Norm, die die Anforderungen an ein Compliance-Management-System (CMS) festlegt. Sie wurde im April 2021 von der Internationalen Organisation für Normung (ISO) veröffentlicht und in Spanien als UNE-ISO 37301:2021 übernommen.
Sie ersetzt die frühere ISO 19600:2014, die nur ein nicht zertifizierbarer Leitfaden war. Die ISO 37301 ist dagegen zertifizierbar und übernimmt die High Level Structure (HLS), die auch ISO 9001, ISO 27001 und ISO 37001 zugrunde liegt.
Die UNE 19601 ist die spanische Norm für Managementsysteme für strafrechtliche Compliance. Sie ist auf Art. 31 bis des spanischen Strafgesetzbuchs abgestimmt und dient dazu, eine Strafmilderung oder Strafbefreiung der juristischen Person zu begründen.
Die ISO 37301 hat einen deutlich breiteren Anwendungsbereich (gesetzliche, vertragliche und freiwillige Verpflichtungen), reicht aber für sich allein nicht aus, um alle Anforderungen von Art. 31 bis CP abzudecken. Beide Normen ergänzen sich und lassen sich integrieren.
Die Norm folgt der HLS-Struktur der ISO: 1. Anwendungsbereich, 2. Normative Verweisungen, 3. Begriffe, 4. Kontext der Organisation, 5. Führung, 6. Planung, 7. Unterstützung, 8. Betrieb, 9. Bewertung der Leistung und 10. Verbesserung.
Die Abschnitte 4 bis 10 enthalten die auditierbaren Anforderungen.
Jede Organisation: privat, öffentlich, staatlich oder gemeinnützig, unabhängig von Größe, Branche oder Tätigkeit. Besonders nützlich ist die Norm für:
Im Großen und Ganzen: Gap-Analyse, Konzeption des CMS, Einführung und Schulung, internes Audit, Auswahl einer akkreditierten Zertifizierungsstelle (AENOR, Bureau Veritas, BSI, TÜV...) und externes Zertifizierungsaudit in zwei Stufen (Dokumentenprüfung + vor Ort).
Werden beide Stufen ohne schwerwiegende Nichtkonformitäten bestanden, stellt die Zertifizierungsstelle das Zertifikat aus. Es ist in der Regel drei Jahre gültig, mit jährlichen Überwachungsaudits.
Die Kosten hängen von Größe und Komplexität der Organisation ab und setzen sich zusammen aus den Honoraren für die Beratung bei der Einführung, den internen Arbeitsstunden des Teams und den Gebühren der Zertifizierungsstelle.
Üblich sind 6 bis 12 Monate vom Projektstart bis zur Ausstellung des Zertifikats. In Organisationen mit bereits etablierten Managementsystemen kann es schneller gehen.
Die wichtigsten dokumentierten Vorteile: präventiver Compliance-Ansatz, Minderung rechtlicher, reputationsbezogener und sanktionsrechtlicher Risiken, besseres Unternehmensimage bei Kunden, Aufsichtsbehörden und Investoren sowie operative Optimierung durch klare Prozesse und Kontrollen.
Hinzu kommt der Wettbewerbsvorteil bei Ausschreibungen und Einkaufsprozessen von Unternehmen, die akkreditierte Zertifizierungen verlangen.
Ja. Dank der High Level Structure lässt sich die ISO 37301 ohne Weiteres mit ISO 9001 (Qualität), ISO 14001 (Umwelt), ISO 27001 (Informationssicherheit), ISO 37001 (Korruptionsbekämpfung) und UNE 19601 (strafrechtliche Compliance) integrieren.
In der Praxis wird häufig ein integriertes Managementsystem konzipiert, das gemeinsame Audits ermöglicht und Dokumentationsaufwand spart.
Eine Zertifizierung nach ISO 37301 bedeutet nicht, „ein Siegel zu kaufen“: Es geht darum, ein echtes Managementsystem aufzubauen, das zur Tätigkeit der Organisation passt, von oben geführt und dauerhaft gelebt wird. Dieser Leitfaden fasst zusammen, wie Sie dabei vorgehen, ohne Zeit oder Budget zu verschwenden.
UNE-ISO 37301:2021 (Anforderungen), UNE 19601 (strafrechtliche Compliance), ISO 37001 (Korruptionsbekämpfung), UNE 19602 (Tax Compliance), ISO 27001 (Informationssicherheit), ISO 31000 (Risikomanagement) und Art. 31 bis des spanischen Strafgesetzbuchs.
Die Norm stützt sich auf zwei Säulen: die Verpflichtungen ermitteln, die für die Organisation gelten, und die Risiken der Nichteinhaltung bewerten, um verhältnismäßige Kontrollen zu konzipieren.
Ein zertifizierbares CMS, bei dem es nur um das Siegel geht, ist meist fragil. Der eigentliche Wert liegt darin, dass das System das tatsächliche Verhalten der Organisation misst, korrigiert und verbessert.
Die ISO 37301 eignet sich sehr gut als Dach für weitere branchenspezifische Verpflichtungen: zum Beispiel die Beachtung der FATF-Liste (GAFI) bei geldwäscherechtlich Verpflichteten, die Anforderungen an eine Fondsverwaltungsgesellschaft (SGIIC), die Rolle des unabhängigen Verwaltungsratsmitglieds in Wertpapierinstituten (ESI), Tests in der spanischen Finanz-Sandbox oder die Regeln für Emittenten von E-Geld-Token (EMT) nach MiCA. Zur zusätzlichen Bestätigung lässt sie sich mit einem Bericht des externen Prüfers ergänzen.
Ein nach ISO 37301 zertifizierbares Compliance-Management-System stützt sich auf vier Hebel: Führung, Risiken und Verpflichtungen, Kontrollen und Kultur sowie laufende Bewertung. Jeder davon muss dokumentiert und durch Nachweise belegt sein.
1) FührungVerabschiedete Compliance-Richtlinie, Bereitstellung von Ressourcen, Bestellung der Compliance-Funktion und regelmäßige Überwachung der Leistung des CMS.
2) RisikenBestandsaufnahme der für die Organisation geltenden Verpflichtungen, Bewertung des Risikos der Nichteinhaltung und Priorisierung der Kontrollen nach objektiven Kriterien.
3) KontrollenVerfahren, operative Kontrollen, Schulung, Hinweisgebersystem, Umgang mit Interessenkonflikten und interne Kommunikation, um eine echte Compliance-Kultur aufzubauen.
4) BewertungKPIs, interne Audits, Managementbewertung, Korrekturmaßnahmen und fortlaufende Verbesserung: Der PDCA-Zyklus trägt ein CMS, das auditierbar ist und sich gegenüber jeder Aufsichtsbehörde verteidigen lässt.
IntegrationUNE 19601: Abdeckung von Art. 31 bis CP für Strafmilderung oder Strafbefreiung.
ISO 37001: Prävention und Aufdeckung von Bestechung und Korruption.
UNE 19602 (Tax Compliance), ISO 27001 (Informationssicherheit), ISO 9001 (Qualität).
Interne und externe Faktoren sowie interessierte Parteien verstehen und den Anwendungsbereich des CMS festlegen.
SWOT-Analyse, Stakeholder-Übersicht, Dokument zum Anwendungsbereich des Systems.
Engagement des Leitungsorgans, Richtlinie, Rollen und Verantwortlichkeiten für Compliance.
Genehmigungsprotokoll, unterzeichnete Richtlinie, Organigramm, Mandat des Compliance-Organs (OCC) bzw. des Ausschusses.
Risiken und Chancen des CMS angehen, Ziele und geplante Maßnahmen festlegen.
Risikomatrix, Jahresplan, messbare Ziele und zugehörige KPIs.
Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information.
Schulungsplan, Kompetenzmatrizen, gelenktes Dokumentationssystem.
Operative Kontrollen, Lieferantenmanagement, Hinweisgebersystem und Reaktion auf Verstöße.
Verfahren, Due-Diligence-Unterlagen, funktionsfähiger Meldekanal, Reaktionsplan.
Überwachung, Messung, interne Audits und Managementbewertung des CMS.
KPI-Berichte, Programm und Protokolle der internen Audits, Protokoll der Managementbewertung.
Nichtkonformitäten, Korrekturmaßnahmen und fortlaufende Verbesserung des Systems.
Vorfallregister, Ursachenanalyse, Verbesserungsplan und Nachverfolgung.
Anzeichen, die beim Zertifizierungsaudit häufig zu Nichtkonformitäten führen.
Wenn Sie eine Zertifizierung nach ISO 37301 anstreben, begegnen Ihnen diese Begriffe in der Norm, in Auditberichten und in den Verträgen mit Zertifizierungsstellen.
Gesamtheit zusammenhängender Elemente (Richtlinie, Prozesse, Ressourcen), um Compliance-Ziele festzulegen und zu erreichen.
Gemeinsame Struktur der ISO-Normen für Managementsysteme. Sie erleichtert die Integration mit ISO 9001, 14001, 27001 und 37001.
Erfüllung aller gesetzlichen, regulatorischen, vertraglichen und freiwillig eingegangenen Verpflichtungen durch eine Organisation.
Anforderung, die die Organisation erfüllen muss, ob verpflichtend oder freiwillig eingegangen. Sie ist die Grundlage des Ansatzes der ISO 37301.
Person oder Einheit, die das CMS überwacht und dafür über angemessene Kompetenz, Befugnisse und Unabhängigkeit verfügt.
Spanische Norm für Managementsysteme für strafrechtliche Compliance, abgestimmt auf Art. 31 bis des spanischen Strafgesetzbuchs.
Internationale Norm speziell für die Prävention und Aufdeckung von Bestechung und die Reaktion darauf.
Zyklus der fortlaufenden Verbesserung, auf dem die ISO-Managementsysteme aufbauen: planen, umsetzen, prüfen und handeln.
Akkreditierte Stelle (AENOR, Bureau Veritas, BSI, TÜV...), die das CMS auditiert und das Zertifikat nach ISO 37301 ausstellt.
Schildern Sie uns den Ausgangspunkt Ihrer Organisation. Wir erklären Ihnen, wie Sie mit einem realistischen Plan und ohne Mehrkosten zur Zertifizierung nach ISO 37301 kommen.
Die Zertifizierung nach ISO 37301 ist die Bestätigung durch eine unabhängige, akkreditierte Zertifizierungsstelle, dass eine Organisation ein Compliance-Management-System eingeführt hat, das die Anforderungen der internationalen Norm UNE-ISO 37301:2021 erfüllt. Sie ist heute die weltweite Referenz für das Compliance-Management.
Die ISO 37301:2021 wurde im April 2021 von der Internationalen Organisation für Normung veröffentlicht und ersetzte die ISO 19600:2014. Der entscheidende Unterschied: Die ISO 19600 war nur ein nicht zertifizierbarer Leitfaden, die ISO 37301 ist eine Typ-A-Norm mit auditierbaren Anforderungen und damit durch einen unabhängigen Dritten zertifizierbar.
Die Norm übernimmt die High Level Structure (HLS), die allen Managementsystemnormen gemeinsam ist (ISO 9001, ISO 14001, ISO 27001, ISO 37001). Sie besteht aus 10 Abschnitten, von denen die Abschnitte 4 bis 10 auditierbar sind: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung.
Die ISO 37301 stützt sich auf zwei miteinander verbundene Säulen: die Verpflichtungen ermitteln, die für die Organisation gelten (gesetzliche, regulatorische, vertragliche und freiwillige), und die Risiken der Nichteinhaltung bewerten, um Kontrollen zu priorisieren, die dem Risiko angemessen sind. Dadurch ist die Norm auf jede Organisation anwendbar, unabhängig von Größe, Branche oder Rechtsform.
Die ISO 37301 ist ein übergreifender Rahmen, der sich mit spezifischen Compliance-Lösungen integrieren lässt: UNE 19601 (strafrechtliche Compliance, für Strafmilderung oder Strafbefreiung nach Art. 31 bis CP), ISO 37001 (Korruptionsbekämpfung) und UNE 19602 (Tax Compliance). Ein integriertes System ermöglicht gemeinsame Audits und vermeidet doppelte Dokumentation.
Die Zertifizierung erfolgt durch ein externes Audit einer akkreditierten Stelle (AENOR, Bureau Veritas, BSI, TÜV oder andere). Das Audit läuft in zwei Stufen ab: Stufe 1 (Dokumentenprüfung und Vorbereitung) und Stufe 2 (vor Ort, Prüfung der Umsetzung). Werden beide ohne schwerwiegende Nichtkonformitäten bestanden, stellt die Stelle das Zertifikat aus. Es ist in der Regel drei Jahre gültig, mit jährlichen Überwachungsaudits.
Für das Leitungsorgan ist die Zertifizierung nach ISO 37301 der verlässlichste Weg, das Bekenntnis zur Compliance nachzuweisen: gegenüber Aufsichtsbehörden, Investoren und Kunden sowie bei öffentlichen Ausschreibungen. Sie bringt einen präventiven Ansatz, einen besseren Ruf, geringere Risiken und operative Effizienz, sofern das System für den Betrieb konzipiert ist und nicht zur Dekoration.