Cumplimiento corporativo: del catálogo de obligaciones a una verdadera cultura de integridad

El cumplimiento corporativo suele comenzar con una lista de disposiciones que la empresa debe observar y puede terminar, si se administra deficientemente, convertido en un archivo de políticas, capacitaciones y constancias cuya relación con las decisiones reales resulta limitada. Una organización puede disponer de códigos, manuales, canales de denuncia y responsables formalmente designados y, al mismo tiempo, tolerar prácticas contrarias a esas mismas reglas cuando existe presión comercial suficiente. Por ello, el verdadero desafío no consiste solamente en conocer las obligaciones jurídicas, sino en construir una estructura capaz de traducirlas en conductas, controles, responsabilidades y mecanismos de escalamiento. Desde el gobierno corporativo, el consejo no necesita administrar diariamente cada requisito regulatorio, pero sí debe procurar que la organización cuente con un sistema razonable para identificar los riesgos de incumplimiento capaces de producir consecuencias materiales.

Esta función exige evitar dos extremos. El primero consiste en convertir al consejo en supervisor directo de miles de obligaciones operativas; el segundo, en suponer que cumplimiento pertenece exclusivamente al área jurídica y sólo merece atención cuando aparece una sanción. El órgano debe concentrarse en exposiciones relevantes, tendencias, investigaciones significativas, funcionamiento de los canales de denuncia y capacidad de la administración para corregir causas estructurales. El cumplimiento se vuelve materia de gobierno cuando una conducta puede afectar patrimonio, continuidad, reputación, responsabilidades de administradores o confianza de accionistas y terceros.

El mapa de obligaciones debe convertirse en un mapa de riesgos

Enumerar leyes, reglamentos, contratos, permisos y políticas internas constituye un punto de partida, pero no permite por sí mismo administrar cumplimiento. La empresa necesita identificar qué obligaciones son particularmente relevantes para sus actividades, quién debe atenderlas y qué consecuencias podrían derivarse de su incumplimiento. Esta priorización permite asignar recursos conforme al riesgo.

La estructura debe responder a las características del negocio. Una empresa intensiva en datos enfrenta exposiciones distintas de una organización industrial; una compañía con numerosas interacciones gubernamentales presenta riesgos diferentes de otra concentrada en ventas privadas. El programa debe construirse alrededor de las operaciones reales y actualizarse cuando cambian productos, geografías, tecnologías o modelos comerciales.

La responsabilidad pertenece a la operación

Un error frecuente consiste en considerar que el área de cumplimiento es responsable de que toda la organización cumpla. Esa expectativa resulta impracticable. Quienes venden, compran, contratan, producen, administran información o interactúan con terceros son responsables de ejecutar sus actividades conforme a los parámetros aplicables. La función especializada proporciona metodología, asesoría, monitoreo y escalamiento.

Un programa de cumplimiento no se mide por el número de políticas aprobadas, sino por la capacidad de la organización para conseguir que sus decisiones cotidianas respeten las reglas incluso cuando hacerlo resulte incómodo.

Esta separación resulta importante porque evita que las áreas operativas transfieran mentalmente sus responsabilidades. El responsable de cumplimiento puede advertir que determinada práctica genera un riesgo, pero la primera línea debe incorporar controles dentro del proceso cotidiano. La integridad debe formar parte de la operación y no aparecer como una revisión posterior realizada por otra área.

La autonomía necesita acceso, no aislamiento

La función de cumplimiento requiere suficiente autoridad para formular observaciones, acceder a información y comunicar asuntos relevantes. Si su responsable depende completamente de una persona cuyas decisiones puede necesitar cuestionar, el sistema presenta una debilidad evidente. Esto no significa que deba funcionar aislado de la administración; necesita colaborar estrechamente con ella.

Lo importante es disponer de una ruta de escalamiento cuando la gravedad del asunto lo justifique. Dependiendo de la estructura, el consejo o un órgano intermedio puede recibir periódicamente información sobre riesgos, investigaciones y tendencias. La comunicación directa adquiere particular relevancia cuando una situación involucra a integrantes de la alta dirección.

El código de conducta debe resolver situaciones reales

Los códigos demasiado abstractos pueden producir declaraciones impecables y escasa orientación práctica. Integridad, respeto y transparencia son principios necesarios, pero los empleados necesitan comprender cómo se aplican frente a regalos, proveedores, conflictos de interés, información confidencial, autoridades, competidores o relaciones personales.

Los ejemplos permiten traducir principios en decisiones. No deben intentar anticipar todas las circunstancias, porque siempre existirán situaciones nuevas; deben enseñar a reconocer cuándo una decisión necesita consulta. Un buen código no sustituye el juicio, pero proporciona parámetros para ejercerlo y señala los canales disponibles cuando existe duda.

La capacitación debe responder al riesgo

Exigir exactamente el mismo curso a todas las personas puede facilitar administración, pero no necesariamente mejora cumplimiento. Determinados puestos requieren formación especializada debido a sus responsabilidades. Compras, ventas, finanzas, recursos humanos, tecnología y quienes interactúan con autoridades pueden enfrentar exposiciones distintas.

La capacitación debería concentrarse en escenarios que las personas efectivamente pueden encontrar. También conviene medir comprensión y no solamente asistencia. Un registro que acredita que todos abrieron una presentación demuestra poco sobre la capacidad de reconocer un problema cuando aparece en una negociación real.

Los terceros amplían el perímetro de cumplimiento

Distribuidores, intermediarios, consultores, agentes, proveedores y socios comerciales pueden generar riesgos importantes. La organización no controla completamente su conducta, pero tampoco debería ignorar señales relevantes simplemente porque la actuación fue realizada por una entidad distinta.

La diligencia sobre terceros debe ser proporcional. No todos requieren el mismo análisis. La naturaleza del servicio, ubicación, interacción con autoridades, forma de remuneración y antecedentes pueden determinar la profundidad apropiada. También resulta necesario revisar relaciones existentes, pues un tercero razonable al inicio puede cambiar de propietarios, funciones o perfil de riesgo con el tiempo.

Las señales de alerta deben producir preguntas

Comisiones extraordinarias, pagos a cuentas no relacionadas, contratos poco definidos, intermediarios cuya aportación nadie puede explicar o solicitudes de documentación inusual pueden constituir señales que justifican mayor análisis. Ninguna de ellas demuestra automáticamente una conducta indebida; ignorarlas sistemáticamente, sin embargo, debilita el programa.

El valor de una señal se encuentra en activar una revisión proporcional. La organización debe evitar dos respuestas igualmente deficientes: paralizar cualquier operación ante la mínima anomalía o aceptar explicaciones superficiales porque existe presión por cerrar el negocio. Cumplimiento debe permitir decidir mejor, no impedir indiscriminadamente la actividad empresarial.

El canal de denuncias necesita credibilidad

Disponer de correo electrónico, línea telefónica o plataforma no significa que exista un mecanismo efectivo. Las personas deben confiar en que sus reportes serán recibidos, analizados con seriedad y protegidos frente a represalias. Cuando quienes denuncian observan que nunca ocurre nada, el canal pierde legitimidad rápidamente.

El consejo o el órgano intermedio correspondiente debería recibir información agregada sobre su funcionamiento y conocer asuntos de especial relevancia. Resulta útil observar tendencias, materias recurrentes, tiempos de investigación y acciones correctivas. El número de denuncias por sí mismo no permite concluir si la cultura es saludable o problemática; debe interpretarse dentro del contexto.

Investigar exige independencia proporcional al asunto

Una denuncia ordinaria puede ser atendida mediante procedimientos internos establecidos. Una acusación que involucra a la alta dirección, al responsable de cumplimiento o a personas capaces de influir en la investigación requiere salvaguardas adicionales. En ciertos casos puede resultar apropiado recurrir a personas independientes o asesores externos.

La investigación debe respetar confidencialidad, derechos de las personas involucradas, conservación de evidencia y marco jurídico aplicable. Tampoco debe confundirse una denuncia con una conclusión. La organización necesita investigar suficientemente antes de adoptar medidas y evitar tanto el encubrimiento como la condena anticipada.

Las consecuencias deben guardar consistencia

Un programa pierde credibilidad cuando una misma conducta produce consecuencias diferentes dependiendo de quién la realiza. La posición jerárquica o importancia comercial de una persona no debería convertir las políticas en opcionales. La proporcionalidad permite considerar gravedad, intención, reincidencia y circunstancias; no justifica tratamientos arbitrarios.

El consejo debe prestar atención cuando los asuntos involucran a ejecutivos relevantes porque allí se prueba el verdadero compromiso institucional. Una empresa que sanciona estrictamente incumplimientos menores de empleados y tolera conductas semejantes en la dirección transmite con claridad cuál es su regla real.

Los incentivos pueden contradecir el programa

La empresa puede invertir recursos considerables en cumplimiento y simultáneamente establecer objetivos comerciales prácticamente imposibles de alcanzar sin asumir conductas indebidas. Cuando los incentivos premian exclusivamente resultados y nadie pregunta cómo fueron obtenidos, las políticas pierden fuerza frente a la presión económica.

Por ello, remuneración y cumplimiento deben guardar coherencia. La evaluación de ejecutivos puede considerar comportamientos, calidad de controles y forma de alcanzar objetivos. No se trata de convertir cualquier error en pérdida de compensación, sino de evitar que el sistema recompense conscientemente resultados derivados de conductas incompatibles con las reglas.

La información al consejo debe mostrar tendencias

Los reportes de cumplimiento pueden caer en una acumulación de estadísticas: cursos impartidos, políticas actualizadas, denuncias recibidas y terceros revisados. Estos datos resultan útiles, pero necesitan interpretación. El consejo debe comprender qué cambió, dónde aumentó el riesgo y qué asuntos requieren atención.

Una tendencia de denuncias sobre un mismo proceso puede revelar un problema estructural; múltiples excepciones en determinada política pueden indicar que la regla está mal diseñada o que la operación la ignora. El reporte debe permitir formular preguntas, no limitarse a demostrar actividad del área.

La tecnología introduce nuevas exposiciones

El uso de plataformas digitales, automatización e inteligencia artificial puede mejorar controles y capacidad de monitoreo, pero también generar riesgos de privacidad, confidencialidad, propiedad intelectual y decisiones automatizadas. La política de cumplimiento debe evolucionar junto con estas herramientas.

La verdadera cultura de cumplimiento aparece cuando una oportunidad rentable es rechazada porque la forma de obtenerla resulta incompatible con la ley, los controles o los principios que la empresa afirma respetar.

Prohibirlas indiscriminadamente puede provocar utilización informal; permitirlas sin criterios puede exponer información sensible. La organización necesita clasificar casos de uso, establecer límites y definir cuándo se requiere revisión adicional. El consejo debe conocer estas exposiciones cuando alcancen materialidad suficiente para afectar estrategia o continuidad.

La LGSM y la responsabilidad de la administración

La Ley General de Sociedades Mercantiles (LGSM) no establece para todas las sociedades un programa uniforme denominado compliance o cumplimiento corporativo. Sin embargo, sus disposiciones relativas a administración, vigilancia y responsabilidades proporcionan parte del marco dentro del cual deben actuar los órganos societarios. En la sociedad anónima, los artículos 142 y siguientes regulan aspectos esenciales de la administración, mientras que los artículos 164 y siguientes contienen el régimen de vigilancia mediante comisarios.

La precisión resulta importante: adoptar un programa de cumplimiento no sustituye las obligaciones legales de administradores ni de los órganos de vigilancia. Tampoco la existencia de políticas demuestra automáticamente el cumplimiento de los deberes correspondientes. El programa constituye una herramienta organizacional que permite identificar y atender obligaciones de manera más sistemática.

La LMV eleva la estructura de supervisión cuando resulta aplicable

La Ley del Mercado de Valores (LMV) establece para las sociedades comprendidas en sus respectivos regímenes deberes específicos de administradores y estructuras de supervisión relacionadas con control, auditoría, información y cumplimiento. En las sociedades anónimas bursátiles, el régimen de deberes de diligencia y lealtad de los consejeros y las funciones de los comités correspondientes proporcionan un marco particularmente relevante.

Cuando resulte aplicable, el sistema de cumplimiento debe coordinarse con esas competencias y con las demás disposiciones regulatorias correspondientes. No resulta correcto trasladar automáticamente el régimen de la LMV a cualquier sociedad; sí puede resultar útil observar determinados mecanismos como referencia voluntaria para fortalecer supervisión y escalamiento.

El Código y la función de cumplimiento

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) proporciona referencias útiles al recomendar estructuras que permitan al consejo conocer y supervisar aspectos relevantes de control interno, riesgos, auditoría y cumplimiento de las disposiciones aplicables. Estas materias se encuentran estrechamente relacionadas: una obligación identificada pero sin controles ni responsables continúa siendo una exposición.

La aplicación del Código debe guardar proporción con las características de la organización. No todas necesitan una estructura independiente de gran dimensión, pero sí resulta conveniente que las responsabilidades se encuentren definidas, existan canales de comunicación y los asuntos materiales puedan llegar oportunamente al órgano que deba conocerlos.

La cultura comienza con las decisiones de la dirección

La expresión tone at the top suele utilizarse para describir la influencia de los órganos superiores sobre la conducta organizacional. Su verdadero contenido no se encuentra en discursos sobre integridad, sino en las decisiones adoptadas cuando cumplimiento entra en conflicto con ingresos, relaciones importantes o resultados del periodo.

Si el consejo y la dirección respaldan una política únicamente mientras no tenga costo, la organización aprende rápidamente que existen dos sistemas: las reglas escritas y las reglas que realmente determinan las decisiones. La cultura se construye observando cuál de ellos prevalece cuando ambos entran en tensión.

La causa raíz importa más que cerrar el expediente

Cuando se confirma una infracción, despedir o sancionar a la persona responsable puede ser necesario, pero no siempre suficiente. El consejo debe interesarse, tratándose de asuntos materiales, por aquello que permitió la conducta. ¿Falló un control?, ¿existía un incentivo inconveniente?, ¿otras personas conocían la práctica?, ¿la política era poco clara?, ¿se ignoraron alertas anteriores?

Sin esta revisión, la organización puede sustituir a la persona y conservar intactas las condiciones que hicieron posible el problema. El cumplimiento maduro utiliza los incidentes como fuente de aprendizaje institucional, sin disminuir la responsabilidad individual que corresponda.

El programa debe probarse antes de necesitar defenderlo

La existencia formal de políticas adquiere poco valor si nadie puede demostrar cómo funcionan. Revisiones periódicas, análisis de muestras, simulaciones y seguimiento de controles permiten conocer si el sistema opera antes de que una investigación externa obligue a demostrarlo.

El consejo debería preguntarse no solamente si existe un programa, sino si puede explicarse con evidencia cómo identifica riesgos, quién responde por ellos, cómo se detectan desviaciones y qué sucede cuando alguien incumple. Esa pregunta desplaza la conversación desde documentos hacia funcionamiento efectivo.

Una organización no puede garantizar que ninguna persona violará jamás una regla. Puede, sin embargo, construir condiciones que reduzcan la probabilidad, faciliten detección y permitan responder oportunamente. Ése es un estándar más realista y, al mismo tiempo, más exigente que acumular políticas.

El cumplimiento corporativo alcanza madurez cuando deja de ser una función que recuerda a los demás lo que no pueden hacer y se convierte en parte de la manera en que la empresa decide cómo sí puede hacer negocios. La integridad deja entonces de ser un discurso corporativo para transformarse en un criterio efectivo de decisión.