Si mañana surgiera un incumplimiento relevante dentro de su empresa, ¿tendría claro quién debe detectarlo, quién puede investigarlo, a quién debe reportarlo y quién tiene autoridad para actuar?
La respuesta permite reconocer una necesidad concreta de gestión: que las obligaciones de la empresa tengan responsables, controles y mecanismos de respuesta que funcionen en la operación diaria. Esa es una de las aportaciones de Compliance a la dirección.
Qué entendemos por Compliance
Cuando se habla de Compliance, muchas veces la primera asociación es con prevención de lavado de dinero o anticorrupción. Su alcance también comprende la gestión de otras obligaciones aplicables a la organización y de los compromisos que esta asume.
Esto implica identificar qué debe cumplir la empresa, evaluar dónde puede fallar, establecer controles, documentar decisiones y atender posibles incumplimientos. ISO 37301 ofrece un marco internacional para desarrollar y mejorar un sistema de gestión del cumplimiento [1].
Según la actividad, el país y los riesgos de cada empresa, ese trabajo puede abarcar obligaciones laborales, protección de datos, conflictos de interés y relaciones con proveedores, además de anticorrupción y prevención de lavado cuando correspondan.
Las responsabilidades dentro de la empresa
Para llevarlo a la práctica, cada área debe conocer las obligaciones de su actividad y los controles que le corresponde ejecutar. Recursos Humanos, Finanzas, Compras, Legal y las demás áreas mantienen responsabilidades propias. La función de Compliance articula el sistema y supervisa su funcionamiento según la estructura adoptada.
La dirección debe dar respaldo, recursos y autoridad a quienes intervienen. También necesita recibir información suficiente para decidir, supervisar correcciones y revisar si los controles siguen siendo adecuados. La capacitación ayuda a que las personas reconozcan señales de alerta y sepan cómo reportarlas.
Como referencia comparada, la guía del Departamento de Justicia de Estados Unidos examina el diseño de los programas, sus recursos y autoridad, y su funcionamiento efectivo [2]. Estos criterios ayudan a plantear preguntas de gestión y deben distinguirse de las obligaciones legales específicas de cada país.
Un conflicto de interés en la contratación
Pensemos en un caso hipotético: una empresa evalúa contratar a un proveedor en el que participa un familiar de uno de sus directivos. La relación exige una revisión que permita conocer el conflicto y decidir cómo gestionarlo.
Un procedimiento útil debería establecer cómo declarar esa relación, quién verifica la información y quién resuelve sobre la contratación sin la intervención decisoria de la persona en conflicto. También debe indicar qué documentos sustentan la decisión y cómo se vigila el cumplimiento de las condiciones aprobadas.
Si la relación se descubre después de contratar, conviene tener una vía de reporte, criterios para preservar la información y una investigación a cargo de personas competentes y sin conflictos de interés. Las medidas posteriores dependerán de los hechos, las facultades de quienes deciden y las reglas aplicables.
La coordinación entre una matriz y sus filiales
En una operación internacional, la matriz puede establecer criterios comunes de integridad, selección de terceros y reporte. Cada filial necesita identificar las obligaciones de su jurisdicción y adaptar la ejecución a su actividad y estructura local.
Por ejemplo, una alerta recibida por la matriz requiere responsables definidos para su atención local, acceso autorizado a la información y claridad sobre quién puede decidir medidas en la filial. Antes de compartir datos entre países, corresponde revisar las reglas aplicables a esa información.
Para una empresa que opera en México, Perú o Colombia, esa coordinación requiere un análisis específico por país. La política del grupo debe traducirse en procedimientos que puedan ejecutarse y documentarse en cada operación.
Una ruta inicial para la dirección
- Identificar obligaciones y riesgos prioritarios. Revisar la actividad, los mercados, los terceros y los compromisos asumidos. Priorizar los posibles incumplimientos según su probabilidad y sus consecuencias.
- Asignar responsables y facultades. Precisar quién ejecuta cada control, quién supervisa, quién recibe alertas y quién decide. Asegurar recursos, acceso a información y capacitación adecuados.
- Establecer controles y vías de reporte. Definir procedimientos utilizables, evidencia de su ejecución y mecanismos para atender alertas con confidencialidad y protección frente a represalias, conforme al marco aplicable.
- Comprobar y corregir. Revisar si los controles funcionan, investigar las incidencias cuando corresponda y dar seguimiento a las medidas correctivas. Actualizar el sistema cuando cambie la operación.
La profundidad de este trabajo debe corresponder al tamaño, la actividad y la exposición de la empresa. Como primer ejercicio, la dirección puede seleccionar una obligación relevante y comprobar si existen un responsable, un control verificable y una vía de respuesta ante fallas.
Fuentes y referencias
- ISO 37301:2021 — Sistemas de gestión del cumplimiento
Referencia sobre el enfoque de gestión del cumplimiento. - U.S. Department of Justice — Evaluation of Corporate Compliance Programs
Actualización de septiembre de 2024. Referencia comparada estadounidense sobre evaluación de programas.