Actualidad

Hay una distinción que muchas organizaciones tardan demasiado en aprender: tener un programa de cumplimiento no es lo mismo que tener un programa de cumplimiento que funciona. Las políticas existen. Los códigos de conducta están publicados. Los entrenamientos anuales se completan. Pero cuando llega la presión real —una due diligence comprometida, un tercero con exposición a sanciones, una decisión de negocio bajo ambigüedad regulatoria— el sistema muestra exactamente qué tan sólido es.

La integridad corporativa, en última instancia, no es una declaración de valores. Es una capacidad operativa.

La trampa de las buenas intenciones: cuando las políticas no son suficientes

Las organizaciones raramente fallan porque sus líderes tienen mala voluntad. Fallan porque sus sistemas no están diseñados para absorber la complejidad real de las operaciones. Una política anticorrupción redactada con rigor jurídico puede ser completamente ineficaz si los equipos comerciales no entienden cómo aplicarla cuando un agente local pide un "apoyo" para gestionar trámites gubernamentales en un mercado emergente.

El Departamento de Justicia de Estados Unidos lo ha articulado con claridad en su evaluación de programas de cumplimiento corporativo: la pregunta que importa no es si el programa existe, sino si funciona en la práctica. ¿Tiene los recursos adecuados? ¿Está integrado en las decisiones de negocio? ¿Se actualiza cuando cambian los riesgos?

Esta distinción —entre política como documento y política como capacidad operativa— define la brecha entre las organizaciones que detectan los problemas antes de que escalen y las que los descubren después, generalmente con consecuencias regulatorias, reputacionales y económicas importantes.

ISO 37301 y el ciclo PDCA como arquitectura del cumplimiento

La norma ISO 37301 establece los requisitos para un sistema de gestión del cumplimiento normativo. No es un checklist. Es una arquitectura: define cómo debe diseñarse, operarse, medirse y mejorarse un programa de compliance para que sea fiable bajo condiciones cambiantes.

El núcleo metodológico que sustenta ISO 37301 es el ciclo PDCA —Planificar, Hacer, Verificar, Actuar—. Un método que tiene décadas de historia en industrias donde el fallo operativo tiene consecuencias directas: manufactura, salud, infraestructura crítica. Aplicado al cumplimiento, transforma el programa de compliance en algo vivo, que aprende, que se ajusta.

De las políticas al rendimiento operativo

Un sistema de cumplimiento maduro, alineado con ISO 37301, no pregunta solo «¿tenemos una política sobre esto?». Pregunta: ¿entienden los equipos cómo aplicarla? ¿Disponemos de controles que detecten desviaciones antes de que generen daño? ¿Existe un mecanismo real para que quien identifica un riesgo pueda reportarlo sin miedo? ¿Revisamos los controles cuando cambia el entorno regulatorio o el modelo de negocio?

Esas preguntas concretas son las que separan el cumplimiento como formalidad del cumplimiento como función crítica de negocio.

Riesgos que se cruzan: el problema de gestionar el cumplimiento en silos

Uno de los errores más comunes en la gestión del compliance es tratar cada área de riesgo como un compartimento separado. Anticorrupción por un lado. Prevención del blanqueo de capitales por otro. Privacidad de datos en un tercer departamento. Sanciones internacionales, en algún lugar de legal. ESG, posiblemente en sostenibilidad.

El problema es que los riesgos no operan en silos. Una sola decisión de negocio —incorporar a un nuevo proveedor estratégico en un mercado frontera, por ejemplo— puede activar simultáneamente exposiciones en anticorrupción, sanciones, lavado de activos, privacidad de datos y criterios ESG. Si cada equipo analiza solo su parte sin comunicarse con los demás, ninguno ve el riesgo completo.

Las organizaciones que gestionan bien estos entornos han desarrollado marcos integrados de gestión de riesgos donde las funciones de compliance, legal, auditoría interna y operaciones trabajan con una visión compartida del perfil de riesgo de cada decisión relevante. No es una cuestión de tamaño empresarial. Es una cuestión de diseño organizativo.

Operar en entornos regulatorios desiguales: el caso de América Latina y otras regiones complejas

Cuando una multinacional expande operaciones a regiones con alta fragmentación regulatoria, la distancia entre un marco de cumplimiento diseñado en la sede central y la realidad operativa local puede ser enorme.

América Latina ilustra bien este desafío. La madurez regulatoria varía significativamente entre países. La exposición a riesgos como el crimen organizado transnacional, el lavado de activos a través del comercio exterior, la influencia informal en procesos públicos o la opacidad en cadenas de suministro no es marginal: es estructural en muchos sectores y mercados.

Las directrices de buenas prácticas de la OCDE en materia de controles internos, ética y cumplimiento son explícitas al respecto: los sistemas de compliance deben adaptarse a la exposición geográfica específica, a la dependencia de terceros y a las condiciones operativas locales. Un programa estándar diseñado para operar en Europa Occidental o Norteamérica puede ser técnicamente correcto y funcionalmente inadecuado en otro contexto.

La solución no es diseñar programas distintos para cada jurisdicción desde cero. Es establecer principios globales robustos con mecanismos de implementación localmente adaptables. Las organizaciones que mejor navegan estos entornos estandarizan el qué —los principios, los umbrales de riesgo, los procesos de escalado— y permiten flexibilidad en el cómo, según las particularidades regulatorias y culturales de cada mercado.

Lo mismo aplica en otras regiones con alta complejidad: Asia-Pacífico, Oriente Medio o África presentan sus propias combinaciones de opacidad, dependencia de terceros y superposición de obligaciones regulatorias que exigen la misma lógica de adaptación inteligente.

Qué diferencia a las organizaciones con programas de compliance maduros

Las organizaciones que obtienen resultados consistentes en materia de cumplimiento comparten algunas características que vale la pena analizar con precisión.

Primero, entienden dónde está el riesgo real, no solo el riesgo declarado. Los organigramas y los mapas de procesos formales raramente señalan los puntos donde el riesgo emerge de verdad: las relaciones con terceros de confianza histórica, los incentivos comerciales que crean presiones en zonas grises, las estructuras informales de toma de decisiones. Un programa maduro mapea la exposición donde vive, no donde es más cómodo mirarla.

Segundo, miden cosas que importan. La tasa de finalización de formaciones o el número de políticas aprobadas son indicadores de actividad, no de eficacia. Las organizaciones avanzadas miden si los controles detectan lo que deben detectar, si los canales de denuncia generan información accionable, si los procesos de due diligence de terceros realmente reducen la exposición.

Tercero, el compliance está integrado en las decisiones de negocio, no añadido como capa posterior. Cuando el equipo comercial no consulta a compliance hasta que el contrato está prácticamente cerrado, compliance no puede hacer su trabajo. La integración temprana en los procesos de negocio es lo que convierte el cumplimiento en una función preventiva y no solo reactiva.

Cuarto, actualizan sus sistemas cuando cambia el entorno. La gobernanza de la inteligencia artificial, las nuevas obligaciones de reporte ESG, la evolución del régimen de sanciones internacionales o los cambios en la legislación de protección de datos son todos ejemplos de áreas donde el riesgo se mueve rápido. Un programa que no tiene un mecanismo formal para incorporar cambios regulatorios queda obsoleto sin que nadie lo declare formalmente.

---

**¿Tu organización sabe exactamente cómo respondería su sistema de compliance ante un escenario de riesgo convergente hoy?** Si la respuesta genera dudas, ese es precisamente el punto de partida.

Desde INTEDYA acompañamos a organizaciones en el diseño, implantación y mejora continua de sistemas de gestión del cumplimiento normativo alineados con ISO 37301, adaptados a la realidad operativa de cada sector y región. Consulta con nuestros especialistas y construye un programa de compliance que funcione cuando más lo necesitas.

Preguntas frecuentes