El cuello de botella en el mercado mexicano
Para los organismos de certificación, IAF MD 30:2025 les impuso tareas concretas: desarrollar su arreglo de transición, presentar auto-declaración a su acreditador, ajustar procesos de auditoría y capacitar a su personal técnico. La transición de clientes puede hacerse durante vigilancia, recertificación o por auditoría separada, e incluso ser remota si se cumplen los objetivos.
En México, la ema acredita organismos de certificación de SGAS/ISO 37001 —la carretera existe. El problema es el tráfico: algunos organismos ya ofrecen exámenes y seminarios para 2025, mientras otros portales públicos aún listan referencias a 2016.
| Escenario | Certificados activos est. | % migrado jul-2026 | Resultado probable | Espera estimada |
|---|---|---|---|---|
| Optimista | 150 | 40% | Sin cuello de botella relevante | 4 a 8 semanas |
| Central | 170 | 25% | Ligera saturación, riesgo en Q4 2026 | 8 a 14 semanas |
| Estrés | 200 | 15% | Retraso material; algunas empresas podrían perder fecha | 3 a 6 meses |
Estimaciones basadas en un proxy de 144 certificados en México (ISO Survey 2024) y capacidad práctica observable; no son datos oficiales descargados.
Costos directos e indirectos
La norma en la tienda oficial de ISO cuesta CHF 196. En México, ejemplos de tarifas públicas muestran entre $16,875 y $21,000 MXN por día de auditoría para ISO 37001, más cargos por auditorías especiales o cierre de no conformidades mayores.
Los costos indirectos suelen doler más que la factura del auditor: dedicación de dirección y compliance para rehacer la evaluación de contexto, actualizar matrices de conflicto de interés, reestructurar programas de capacitación y renegociar agenda con el certificador.
Riesgos por tipo de organización
Las organizaciones con más exposición son las que tienen relación intensa con gobierno, uso de intermediarios o comisionistas, operaciones multi-sitio, expansión M&A, cadenas de suministro complejas, regalos y hospitalidades frecuentes, o alta rotación de personal. Para ellas, 2025 pega especialmente porque junta cultura, conflicto de interés, función antisoborno y formación a socios de negocio.
Cronograma sugerido agosto 2026 – febrero 2027
Ago 2026: confirmar alcance y fecha con el certificador; comprar la norma y capacitar al equipo núcleo.
Sep 2026: gap assessment 2016 vs 2025; actualizar contexto, partes interesadas y riesgos.
Oct 2026: matriz de conflictos de interés y gobierno; ajustar función antisoborno y delegaciones.
Nov 2026: programa de conciencia y formación; actualizar auditoría interna y revisión de dirección.
Dic 2026: cerrar hallazgos y recopilar evidencia.
Ene 2027: auditoría de transición combinada y cierre de no conformidades.
Feb 2027: decisión y certificado 2025 —antes del 28 de febrero, límite de validez de 2016.
Checklist mínimo con responsables
| Hito | Responsable | Entregable |
|---|---|---|
| Confirmar transición acreditada del certificador | Compliance / Compras / Calidad | Carta o correo formal con plan y ventana de auditoría |
| Adquirir norma y matriz de diferencias | Compliance | Matriz 2016 vs 2025 aprobada |
| Reevaluar contexto, riesgo y partes interesadas | Compliance + Riesgos + Jurídico | Matriz de contexto y riesgos actualizada |
| Diseñar gestión formal de conflictos de interés | Jurídico + RH + Compliance | Política, registro y criterios de escalamiento |
| Revisar función antisoborno y delegaciones | Dirección + Compliance | Organigrama y segregación de funciones |
| Reestructurar programas de formación | RH + Compliance | Plan anual con evidencias y evaluación |
| Ejecutar revisión por la dirección | Dirección General / Órgano de gobierno | Acta con entradas, resultados y decisiones |
| Completar auditoría de transición | Compliance + Certificador | Certificado o decisión favorable 2025 |
Fuentes de referencia
Conclusión estratégica
Si tu empresa ya está certificada en ISO 37001:2016, el objetivo es tener el SGAS listo para auditoría de transición antes de terminar 2026 —no jugar a la ruleta de febrero de 2027. Si aún no estás certificado y tu proyecto arranca tarde en 2026, ve directo a 2025: no tiene caso implementar 2016 para migrar después.