Esta guía forma parte de la Compliance empresarial. Para completar la consulta, revise Código de ética y Ética empresarial.
La ISO 37001 es la norma internacional de sistemas de gestión antisoborno: establece requisitos y orientación para que una organización prevenga, detecte y responda al soborno, y cumpla las leyes antisoborno y los compromisos voluntarios aplicables a su actividad. Cubre el soborno directo e indirecto en los sectores público, privado y sin fines de lucro. Su edición vigente es la ISO 37001:2025, segunda edición, publicada en febrero de 2025, que sustituyó a la ISO 37001:2016 —hoy retirada del catálogo de ISO junto con su enmienda ISO 37001:2016/Amd 1:2024— e incorpora disposiciones reforzadas sobre cultura de cumplimiento, gestión de conflictos de interés y aclaraciones sobre la función de cumplimiento antisoborno. A diferencia de la ISO 26000 y de la ISO 31000, la ISO 37001 sí es certificable: contiene requisitos auditables y una organización puede acreditar su conformidad ante un tercero. En Ecuador su interés práctico es doble: ordena el programa de cumplimiento que el artículo 49 del Código Orgánico Integral Penal exige a la persona jurídica, y responde al cuestionario de proveedores de clientes corporativos y multinacionales.
Cualquier organización —pública, privada o sin fines de lucro, de cualquier tamaño— expuesta a riesgo de soborno propio o de terceros
Qué es la ISO 37001
La ISO 37001 es la norma internacional de sistemas de gestión antisoborno. Fija los requisitos para que una organización establezca, implemente, mantenga y mejore un sistema destinado a prevenir, detectar y responder al soborno, y a cumplir las leyes antisoborno y los compromisos voluntarios que le apliquen. Cubre el soborno directo e indirecto, el que la organización comete y el que se comete en su nombre o en su beneficio por un tercero.
Lo que la norma no hace conviene decirlo de entrada: no garantiza que no ocurra un soborno. Lo que ofrece es un sistema razonable y proporcionado al riesgo, y —esto es lo que interesa jurídicamente— la evidencia de que ese sistema existía y funcionaba.
Edición vigente: ISO 37001:2025
La edición vigente es la ISO 37001:2025, segunda edición, publicada en febrero de 2025, en estado «International Standard published» y a cargo del comité técnico ISO/TC 309. La primera edición, ISO 37001:2016, figura en el catálogo de ISO como retirada, igual que su enmienda ISO 37001:2016/Amd 1:2024.
El cambio importa a la hora de contratar: una oferta de certificación o una capacitación que siga hablando de «ISO 37001:2016» está trabajando sobre una edición retirada. Antes de firmar, conviene pedir por escrito la edición sobre la que se va a auditar. La edición de 2025 refuerza, según la propia ISO, la cultura de cumplimiento, la gestión de los conflictos de interés y las aclaraciones sobre la función de cumplimiento antisoborno, además de alinearse con la estructura común de las normas de sistemas de gestión.
Verificado en el catálogo oficial de ISO el 10 de septiembre de 2026 (fichas de ISO 37001:2016 e ISO 37001:2025 en iso.org).
Sí es certificable (y en qué se diferencia de la ISO 26000 y la ISO 31000)
La ISO 37001 contiene requisitos, redactados con «debe», y por eso es certificable por un organismo de certificación acreditado. Es la diferencia que más se confunde en el mercado:
| Norma | Qué es | ¿Certificable? |
|---|---|---|
| ISO 37001 | Sistema de gestión antisoborno, con requisitos auditables | Sí |
| ISO 26000 | Guía de responsabilidad social, sin requisitos | No |
| ISO 31000 | Directrices para la gestión del riesgo | No |
Un proveedor que ofrece «certificar ISO 26000» o «certificar ISO 31000» está vendiendo algo que no existe. Con la ISO 37001, en cambio, la certificación sí es posible —y lo que se certifica es el sistema, no la ausencia de soborno.
Requisitos por capítulo: qué hay que montar
| Bloque | Qué exige en la práctica |
|---|---|
| Contexto | Determinar las cuestiones internas y externas, las partes interesadas y el alcance del sistema; el punto de partida es una evaluación del riesgo de soborno por actividad, país, sector, contraparte y tipo de transacción |
| Liderazgo | Compromiso del órgano de gobierno y de la alta dirección, política antisoborno comunicada dentro y fuera, y asignación de roles con autoridad real |
| Función de cumplimiento antisoborno | Una función con independencia y acceso directo al órgano de gobierno; en organizaciones pequeñas puede recaer en una persona, siempre que no dependa de quien controla |
| Planificación | Objetivos antisoborno medibles y acciones para tratar los riesgos identificados |
| Debida diligencia | Debida diligencia proporcional al riesgo sobre operaciones, proyectos, socios de negocio y personal en puestos expuestos |
| Controles financieros y no financieros | Segregación de funciones, doble aprobación por monto, verificación de pagos; y controles sobre compras, licitaciones y contratación de intermediarios |
| Terceros y socios de negocio | Compromisos antisoborno contractuales, derecho de auditoría y capacidad de terminar la relación |
| Regalos, atenciones y donaciones | Umbrales, prohibiciones y registro; el tratamiento explícito de los pagos de facilitación |
| Denuncias e investigación | Canal de reporte con confidencialidad y no represalia, y un procedimiento de investigación con responsable y plazos |
| Evaluación del desempeño y mejora | Seguimiento, auditoría interna, revisión por la dirección y por el órgano de gobierno, no conformidades y acciones correctivas |
Relación con el COIP: por qué interesa en Ecuador
El artículo 49 del Código Orgánico Integral Penal hace penalmente responsable a la persona jurídica y enumera once requisitos mínimos que deben incorporar los sistemas de integridad, normas, programas o políticas de cumplimiento. La lectura comparada es directa: identificación de riesgos, controles internos con responsables, supervisión y monitoreo, gestión financiera, canal de denuncias, código de ética, capacitación, investigación interna, deber de informar al encargado de cumplimiento, sanción disciplinaria y debida diligencia. Todos ellos tienen su correlato en la ISO 37001.
Certificarse no es obligatorio ni sustituye al programa: la norma cubre el riesgo de soborno, mientras que el programa de cumplimiento cubre todas las obligaciones de la empresa. Lo que aporta es método y un lenguaje que el auditor, el cliente corporativo y el banco reconocen. El desarrollo completo está en la guía de compliance empresarial en Ecuador.
Una norma hermana aparece a menudo en los mismos pliegos: la ISO 37301:2021, de sistemas de gestión del compliance en sentido amplio. La ISO 37001 se ocupa del soborno; la ISO 37301, del conjunto de obligaciones. No compiten: se integran.
Cómo le ayuda Tagline
Levantamos la evaluación de riesgo de soborno por proceso y contraparte, redactamos la política antisoborno y el código de ética sobre ese riesgo real, diseñamos la debida diligencia de terceros y los controles financieros y no financieros, y dejamos el sistema con la evidencia que una auditoría —o una fiscalía— va a pedir. Si además necesita ordenar el directorio y las reglas de decisión, lo trabajamos junto al buen gobierno corporativo ante la SCVS. Solicite el diagnóstico antisoborno o escríbanos por WhatsApp al 099 640 8902.
¿Cuál es la edición vigente de la ISO 37001?
La <strong>ISO 37001:2025</strong>, segunda edición, publicada en <strong>febrero de 2025</strong>. La primera edición, ISO 37001:2016, consta como <strong>retirada</strong> en el catálogo de ISO, igual que su enmienda ISO 37001:2016/Amd 1:2024. Si una propuesta de certificación o de capacitación menciona la edición de 2016, conviene pedir por escrito sobre qué edición se auditará antes de firmar.
¿La ISO 37001 es certificable?
Sí. Contiene requisitos auditables y una organización puede certificar su sistema de gestión antisoborno ante un organismo de certificación. Lo que se certifica es el <strong>sistema</strong>, no la ausencia de soborno: la propia norma advierte que ningún sistema puede garantizar que no ocurra. Es la diferencia con la ISO 26000 y la ISO 31000, que son guías y <strong>no</strong> son certificables.
¿Certificar ISO 37001 cumple con lo que exige el COIP?
Ayuda, pero no equivale. El artículo 49 del COIP exige once requisitos mínimos para el programa de cumplimiento y todos tienen correlato en la ISO 37001; sin embargo, el programa que la ley reconoce cubre <strong>todas</strong> las obligaciones de la empresa —laborales, tributarias, ambientales, societarias y de datos—, no solo el soborno. La certificación es evidencia útil; la matriz de obligaciones sigue siendo necesaria.
¿Una pyme puede implementar ISO 37001 sin crear un departamento?
Sí. La norma exige que la función de cumplimiento antisoborno tenga <strong>independencia</strong> y acceso directo al órgano de gobierno, no que sea un departamento. En una empresa pequeña o mediana puede recaer en una persona con esa autoridad, siempre que no dependa de las áreas que debe controlar. El COIP recoge el mismo criterio al admitir «una persona responsable» en pymes.