Guía completa del compliance, la ética y el gobierno corporativo en Ecuador 2026
Esta página es el pilar del clúster de compliance: desde este índice se entra a cada pieza. Las otras tres guías de la sección son la responsabilidad social empresarial, la memoria de sostenibilidad GRI y el Programa Ecuador Carbono Cero.
| Pieza del clúster | Qué resuelve |
|---|---|
| Código de ética | Qué contiene, cómo se redacta y cómo se hace exigible |
| ISO 37001 | El sistema de gestión antisoborno, que sí es certificable |
| Buen gobierno corporativo | Directorio, comités y reglas de decisión ante la SCVS |
| Conflicto de intereses | El riesgo que se declara y se abstiene, no se «maneja con cuidado» |
| Due diligence | La debida diligencia de proveedores, socios y contratistas |
| Ética empresarial | La pregunta que el cumplimiento no responde: «¿es correcto?» |
Qué es el compliance (y qué no es)
El compliance —cumplimiento normativo— es la función que identifica qué normas obligan a la empresa, asigna quién responde por cada una, define el control que la asegura y conserva la evidencia de que ese control se ejecutó. Es una función de gestión, con dueño y presupuesto, no una carpeta de documentos.
Tres cosas que no son compliance, y que en la práctica ecuatoriana se confunden con él a diario:
- No es tener el reglamento. Tener un reglamento interno aprobado, una política de regalos y un código firmado no es un programa: es papel. El programa empieza cuando alguien puede mostrar, para una obligación concreta, quién la controla, cada cuánto y con qué registro.
- No es el departamento legal. El área legal responde cuando el problema ya ocurrió. El cumplimiento actúa antes: en la selección del proveedor, en la aprobación del gasto, en el pago que no encaja con el contrato.
- No es ética. El compliance responde «¿esto es legal?»; la ética empresarial responde «¿esto es correcto y lo podríamos explicar en público?». Un acto puede ser legal y aun así hundir la reputación de la firma. Por eso las dos preguntas se hacen juntas.
El motivo por el que hoy interesa no es reputacional. Es que una empresa ecuatoriana puede ser condenada penalmente, y que el hecho de haber implantado un programa antes del delito es una circunstancia atenuante expresa de la ley.
¿Necesita aplicarlo en su empresa? Un especialista de Tagline revisa su caso, sin costo.
Conversar por WhatsAppPrograma de cumplimiento: los 8 elementos
Un programa de cumplimiento se sostiene sobre ocho elementos. No son ocho documentos: son ocho capacidades que la empresa debe poder demostrar con evidencia.
| # | Elemento | Qué se ve cuando existe de verdad |
|---|---|---|
| 1 | Evaluación de riesgos | Una matriz por proceso —compras, ventas, contratación, trámites, pagos— con el riesgo de incumplimiento identificado y valorado, no una lista genérica de «corrupción» |
| 2 | Políticas y código de ética | Reglas concretas con umbrales: monto máximo de regalos, prohibición de pagos de facilitación, obligación de declarar relaciones familiares |
| 3 | Oficial de cumplimiento | Una persona nombrada, con acceso directo al máximo órgano de gobierno y sin depender de quien controla |
| 4 | Capacitación | Registro de asistencia y evaluación por rol; el personal de compras y de relación con el Estado recibe una formación distinta a la del resto |
| 5 | Canal de denuncias | Un medio que no pasa por el jefe inmediato, con opción de anonimato y garantía de no represalia |
| 6 | Debida diligencia de terceros | Un expediente por proveedor, socio o intermediario, proporcional al riesgo, revisado antes de contratar |
| 7 | Control y auditoría | Controles financieros y no financieros que dejan rastro: doble firma, conciliación, revisión independiente |
| 8 | Mejora | Cada denuncia, hallazgo o incidente cierra con una acción, un responsable y una fecha |
El error más frecuente en Ecuador es empezar por el elemento 2 —redactar el código— y no llegar nunca al 1. Un código escrito sin evaluación de riesgos regula lo que se le ocurrió a quien lo redactó, no lo que la empresa realmente arriesga.
Los 11 requisitos mínimos que exige el COIP a un programa de cumplimiento
Esto no es doctrina: está en el texto del artículo 49 del Código Orgánico Integral Penal. Tras remitir a la circunstancia atenuante del artículo 45, el artículo enumera los requisitos mínimos que deben incorporar «los sistemas de integridad, normas, programas y/o políticas de cumplimiento, prevención, dirección y/o supervisión».
| # | Requisito mínimo (COIP, Art. 49) | Elemento del programa al que corresponde |
|---|---|---|
| 1 | Identificación, detección y administración de actividades en las que se presente riesgo | Evaluación de riesgos |
| 2 | Controles internos con responsables para procesos que representen riesgo | Control y auditoría |
| 3 | Supervisión y monitoreo continuo, interno y con evaluaciones independientes | Control y auditoría |
| 4 | Modelos de gestión financiera | Control y auditoría |
| 5 | Canal de denuncias | Canal de denuncias |
| 6 | Código de Ética | Código de ética |
| 7 | Programas de capacitación del personal | Capacitación |
| 8 | Mecanismos de investigación interna | Canal de denuncias |
| 9 | Obligación de informar al encargado de cumplimiento sobre posibles riesgos o incumplimientos | Oficial de cumplimiento |
| 10 | Normas para sancionar disciplinariamente las vulneraciones del sistema | Políticas y código de ética |
| 11 | Programas conozca a su cliente o debida diligencia | Debida diligencia |
Dos lecturas prácticas de esa lista. La primera: el código de ética es un requisito legal del programa, no un accesorio de comunicación. La segunda: el requisito 10 —sancionar disciplinariamente— solo funciona si la conducta está tipificada en el reglamento interno aprobado por el Ministerio del Trabajo. Sin ese anclaje, el programa tiene diez requisitos, no once.
Compliance penal en Ecuador: responsabilidad de la persona jurídica
El artículo 49 del COIP establece que las personas jurídicas nacionales o extranjeras de derecho privado son penalmente responsables por los delitos cometidos para beneficio propio o de sus asociados, por acción u omisión de quienes ejercen su propiedad o control, sus órganos de gobierno o administración, representantes, agentes, apoderados, y en general por quienes actúen bajo sus órdenes o instrucciones.
Tres consecuencias que conviene leer despacio, porque cambian el cálculo de riesgo de una gerencia:
- La responsabilidad de la empresa es independiente de la de las personas naturales que intervinieron.
- Subsiste aun cuando no haya sido posible identificar a la persona natural infractora. No hace falta que caiga alguien para que caiga la compañía.
- No hay responsabilidad de la persona jurídica cuando el delito se comete en beneficio de un tercero ajeno a ella.
Las penas específicas están en el artículo 71 del COIP, y son siete: multa; comiso penal; clausura temporal o definitiva de locales; realizar actividades en beneficio de la comunidad; remediación integral de los daños ambientales causados; disolución de la persona jurídica con liquidación de su patrimonio; y prohibición de contratar con el Estado, temporal o definitiva, según la gravedad.
Para una empresa que factura al sector público, la última pena es la que más pesa: no es una multa, es el fin de la línea de negocio. Y para cualquier empresa, la disolución es la pena capital societaria.
El contrapeso también está en la ley. El artículo 45, numeral 7, literal d) reconoce como circunstancia atenuante de la responsabilidad penal de la persona jurídica el haber implementado, antes de la comisión del delito, sistemas de integridad, normas, programas o políticas de cumplimiento, prevención, dirección o supervisión, «a cargo de un departamento u órgano autónomo en personas jurídicas de mayor dimensión, o una persona responsable en el caso de pequeñas y medianas empresas», cuyo funcionamiento se incorpore en todos los niveles de la organización.
Esa frase es la que decide el diseño del programa en una pyme: la ley no exige un departamento. Exige una persona responsable y que el sistema funcione en todos los niveles. Lo que no admite es implantarlo después: el atenuante premia lo que existía antes.
Los delitos que con más frecuencia aparecen en la matriz de riesgo de una empresa que se relaciona con el Estado son el peculado (Art. 278), el cohecho (Art. 280), la concusión (Art. 281) y el tráfico de influencias (Art. 285). Todos comparten un rasgo operativo: llegan a la empresa por la puerta de un intermediario o de un gasto mal documentado, no por una decisión de directorio.
Fuente del texto legal: Código Orgánico Integral Penal, publicado en el Registro Oficial Suplemento 180 de 10 de febrero de 2014, codificación con última modificación de 4 de abril de 2024, en la copia publicada por el Ministerio de Defensa Nacional (defensa.gob.ec). Verificado el 10 de septiembre de 2026.
Dato citable · fuente oficial
Qué delito arrastra a la empresa, en qué artículo está y qué pena le cabe
Los cuatro delitos que más aparecen en la matriz de riesgo de una empresa que se relaciona con el Estado, con su artículo del Código Orgánico Integral Penal y la puerta por la que la responsabilidad llega a la persona jurídica. Las penas no son las del funcionario: son las del artículo 71, que se aplican a la compañía.
| Delito | Artículo del COIP | Cómo llega a la persona jurídica |
|---|---|---|
| Peculado | Art. 278 | Por el Art. 49: la persona jurídica responde penalmente por los delitos cometidos para beneficio propio o de sus asociados, por acción u omisión de quienes ejercen su propiedad, control, gobierno, administración o representación, o de quienes actúan bajo sus órdenes. La responsabilidad subsiste aunque no se identifique a la persona natural infractora. |
| Cohecho | Art. 280 | |
| Concusión | Art. 281 | |
| Tráfico de influencias | Art. 285 | |
| Penas aplicables a la compañía | Art. 71: multa · comiso penal · clausura temporal o definitiva de locales · actividades en beneficio de la comunidad · remediación integral de daños ambientales · disolución y liquidación del patrimonio · prohibición de contratar con el Estado, temporal o definitiva. | |
| Atenuante | Art. 45, núm. 7, lit. d): haber implementado, antes del delito, sistemas de integridad, programas o políticas de cumplimiento, a cargo de un órgano autónomo o —en pymes— de una persona responsable, con funcionamiento en todos los niveles de la organización. | |
Sobre el número de empresas certificadas en ISO 37001 en Ecuador: no se publica una cifra que podamos citar. Desde 2025 el ISO Survey se compila a partir de IAF CertSearch y su conjunto de datos por país y por norma se descarga desde ahí, previo registro. Preferimos decirlo antes que repetir una cifra sin fuente.
Cómo citar: Tagline Soluciones Empresariales (2026). Compliance empresarial en Ecuador: qué es, programa de cumplimiento, código de ética e ISO 37001. Tabla elaborada sobre el Código Orgánico Integral Penal (Registro Oficial Suplemento 180 de 10 de febrero de 2014, codificación con última modificación de 4 de abril de 2024), artículos 45, 49, 71, 278, 280, 281 y 285. Verificado el 10 de septiembre de 2026. Disponible en tagline-soluciones.com/blog/responsabilidad-social/compliance-empresarial-ecuador-programa-de-cumplimiento/
Ver cómo se accede hoy al ISO Survey →Riesgo, control y evidencia: la tabla que sostiene el programa
Un programa de cumplimiento se audita con tres columnas. Si una de las tres está vacía, el control no existe a efectos prácticos.
| Riesgo | Control | Evidencia que lo prueba |
|---|---|---|
| Pago a un funcionario a través de un intermediario o «gestor» | Debida diligencia previa del intermediario y cláusula anticorrupción con derecho de auditoría | Expediente del tercero fechado antes del contrato; contrato firmado con la cláusula |
| Adjudicación a una empresa vinculada a un empleado | Declaración anual de partes relacionadas del personal de compras, tesorería y contratación | Declaraciones firmadas del año en curso y cruce contra el maestro de proveedores |
| Regalos y atenciones que condicionan una decisión | Umbral monetario y registro obligatorio por encima de ese umbral | Libro de regalos con fecha, monto, origen y aprobación |
| Gasto sin respaldo que financia un pago irregular | Doble aprobación por monto y conciliación independiente de caja y viáticos | Aprobaciones en el sistema y conciliación firmada por quien no ejecuta el gasto |
| Denuncia que muere en la línea de mando | Canal que no pasa por el jefe inmediato, con anonimato y no represalia | Registro de casos con fecha de ingreso, responsable, plazo y cierre |
| Personal que desconoce la regla que se le exige | Capacitación diferenciada por rol y por riesgo | Lista de asistencia, contenido y evaluación aprobada |
Código de ética
El código de ética es el requisito 6 del artículo 49 y el documento que traduce el programa a reglas que una persona puede seguir sin abogado al lado. Un código útil no enumera valores: fija alcance (a quién obliga, incluidos proveedores y contratistas), reglas concretas con umbrales, canal de reporte, procedimiento de investigación y consecuencias ancladas al reglamento interno.
La guía completa —qué debe contener, cómo redactarlo paso a paso y un ejemplo de estructura— está en la ficha de código de ética.
ISO 37001
ISO 37001 es la norma internacional de sistemas de gestión antisoborno y, a diferencia de la ISO 26000, sí es certificable. Sirve para dos cosas distintas: dar estructura al programa —contexto, liderazgo, función de cumplimiento antisoborno, evaluación de riesgos, debida diligencia, controles financieros y no financieros, denuncias e investigación— y, cuando el cliente lo pide, acreditar ante un tercero que ese sistema existe.
La edición vigente y los requisitos por capítulo están en la ficha de ISO 37001, sistema de gestión antisoborno.
Gobierno corporativo
El gobierno corporativo es el sistema con el que se dirige y controla una compañía: quién decide qué, con qué información, con qué contrapesos y ante quién responde. Es el marco donde se apoya el cumplimiento; sin reglas de decisión claras, el programa depende de personas y no de la estructura.
En Ecuador, la Superintendencia de Compañías, Valores y Seguros aprobó las Normas Ecuatorianas para el Buen Gobierno Corporativo mediante Resolución No. SCVS-INC-DNCDN-2020-0013, publicada en la Edición Especial del Registro Oficial No. 1076 de 25 de septiembre de 2020. La Superintendencia promueve su adopción por las compañías sujetas a su control; antes de afirmar que una práctica concreta es obligatoria para su compañía, conviene verificar el texto vigente de la resolución y el régimen que le aplique.
El desarrollo —diagnóstico, reglamento de directorio, comités y matriz de decisiones— está en el servicio de buen gobierno corporativo ante la SCVS.
Formato de Tagline
Código de ética empresarial: plantilla (Word)
Las diez secciones que hacen exigible un código: alcance —incluidos proveedores y contratistas—, conflictos de interés con declaración de partes relacionadas, umbral de regalos, relación con funcionarios públicos, canal de reporte con no represalia y consecuencias ancladas al reglamento interno. ⛔ Sin reglas ni umbrales precargados.
Descargar la plantilla →Compliance laboral, tributario, ambiental y de datos: quién lo exige
«Compliance» sin apellido no significa nada operativo. En una empresa ecuatoriana el cumplimiento se descompone en frentes con reguladores distintos, plazos distintos y evidencias distintas:
| Frente | Quién lo exige | Dónde está la guía |
|---|---|---|
| Laboral | Ministerio del Trabajo e IESS | Documentos para una inspección laboral |
| Seguridad y salud | Ministerio del Trabajo (Decreto Ejecutivo 255) | Decreto Ejecutivo 255 |
| Tributario | Servicio de Rentas Internas | Certificado de cumplimiento tributario |
| Ambiental | Autoridad ambiental | Licencia ambiental |
| Societario | Superintendencia de Compañías, Valores y Seguros | Buen gobierno corporativo |
| Datos | Autoridad de protección de datos personales | Gobierno de datos |
Cada frente ya tiene su dueña en este sitio; el programa de cumplimiento no los reemplaza, los ordena: una sola matriz de obligaciones, un solo responsable por cada una y un solo calendario.
Ejemplo: cómo se ve el programa en una empresa mediana ecuatoriana
Una empresa de servicios industriales de 180 trabajadores, con contratos con el sector público y una red de subcontratistas, arranca su programa. No compra software ni crea un departamento: nombra una persona responsable —gerente administrativa, con reporte directo a la junta— y trabaja seis meses en este orden.
- Riesgos primero. Cuatro procesos entran a la matriz: participación en procesos de contratación pública, compras, viáticos y contratación de personal. De ahí salen once riesgos concretos, no «corrupción».
- Reglas después. El código de ética se reescribe sobre esos once riesgos: umbral de regalos, prohibición de pagos de facilitación, declaración anual de partes relacionadas para compras y contratación, y prohibición de contratar gestores para trámites.
- Anclaje disciplinario. Las conductas se tipifican en el reglamento interno para que la sanción sea aplicable, no declarativa.
- Terceros. Los 60 proveedores se clasifican en tres niveles de riesgo; solo los 12 de riesgo alto reciben debida diligencia completa. El resto, verificación documental básica.
- Canal. Se contrata un buzón externo con anonimato, y se publica en cartelera y en la intranet.
- Evidencia. Cada control queda con un registro: quién, cuándo, contra qué.
El resultado no es un certificado. Es que, si mañana un subcontratista paga a un funcionario, la empresa puede demostrar qué hizo antes para impedirlo. Esa demostración es exactamente lo que la ley reconoce como atenuante.
¿Qué es el compliance en una empresa?
Es la función que identifica las normas que obligan a la empresa, asigna un responsable por cada obligación, define el control que la asegura y conserva la evidencia de su ejecución. Se distingue de la asesoría legal en el momento: el cumplimiento actúa antes de la decisión, el área legal responde después del hecho.
¿Es obligatorio tener un programa de compliance en Ecuador?
No existe una ley general que obligue a toda empresa a tener un programa. Lo que existe es el artículo 49 del COIP, que hace penalmente responsable a la persona jurídica y fija once requisitos mínimos para el programa, y el artículo 45 numeral 7, que reconoce como atenuante haberlo implementado antes del delito. En sectores regulados y en la contratación con clientes corporativos, además, el programa se exige por contrato.
¿Qué diferencia hay entre compliance y ética empresarial?
El compliance responde «¿esto es legal?» y se apoya en normas exigibles y evidencia. La ética empresarial responde «¿esto es correcto y lo podríamos explicar en público?» y se apoya en criterios que la ley no cubre. Un mismo acto puede ser legal y éticamente insostenible; por eso el código de ética y la matriz de obligaciones se trabajan juntos.
¿Qué es un oficial de cumplimiento y hace falta uno en una pyme?
Es la persona responsable de que el programa funcione y de recibir la información sobre riesgos e incumplimientos, con acceso directo al máximo órgano de gobierno. El COIP no exige un departamento: en pequeñas y medianas empresas basta una persona responsable, siempre que el sistema opere en todos los niveles de la organización.
¿Certificarse en ISO 37001 sustituye al programa de cumplimiento?
No. ISO 37001 cubre el riesgo de soborno; el programa de cumplimiento cubre todas las obligaciones de la empresa —laborales, tributarias, ambientales, societarias y de datos—. La certificación acredita ante terceros que el sistema antisoborno existe, pero no reemplaza la matriz de obligaciones ni los controles de los demás frentes.
¿Por dónde se empieza si no hay nada?
Por la evaluación de riesgos, nunca por el código. Media jornada con las áreas de compras, tesorería, contratación y relación con el Estado produce la lista de riesgos reales de la empresa; sobre esa lista se escriben las reglas que sí van a usarse. El orden inverso —código primero— produce un documento que nadie aplica.
¿Qué hace Tagline por usted?
En Tagline Soluciones Empresariales levantamos su matriz de riesgos de cumplimiento por proceso, redactamos el código de ética sobre esos riesgos y lo anclamos al reglamento interno para que sea exigible, diseñamos el canal de denuncias y la debida diligencia de terceros, y dejamos cada control con su evidencia. Si además necesita estructura de gobierno corporativo ante la SCVS o preparación para ISO 37001, lo trabajamos en el mismo proyecto. Conversemos su caso por WhatsApp 099 640 8902 o escriba a info@tagline-soluciones.com.