El mundo de los negocios tiene como una de sus líneas base la colaboración: la participación de dos o más partes en una dinámica comercial, generalmente entre proveedor y cliente, aunque también existen asociaciones, consorcios y otros modelos de agrupación para ejercer una actividad económica. Esa colaboración requiere un elemento indispensable: la confianza mutua.
Cuando hablamos de responsabilidad compartida en el Compliance, conviene iniciar por reconocer qué responsabilidades asumimos quienes formamos parte de una empresa, de un acuerdo o de un negocio. Por ello, es común escuchar que “el compliance es asunto de todos”. Desde un enfoque preventivo, de gestión de riesgos y de buen gobierno, las empresas modernas reconocemos que sostener un estándar superior no puede recaer en una sola persona o departamento; debe entenderse como un sistema de gestión cuyas actividades de control corresponden a distintas áreas de la organización, según su rol en el flujo del negocio.
El compliance, como mecanismo que materializa la gobernanza corporativa, es crucial para proteger la reputación y la sostenibilidad de la empresa. Esa estabilidad es un activo que valoramos colectivamente. Para preservarla, necesitamos conciencia sobre los riesgos legales, regulatorios, operativos y reputacionales, así como sobre los mecanismos de prevención que debemos implementar de acuerdo con nuestras funciones. En esa línea, ISO 37301 plantea que un sistema de gestión de compliance requiere liderazgo, roles, responsabilidades, comunicación, controles, evaluación y mejora continua (International Organization for Standardization [ISO], 2021).
Pensemos en una empresa de servicios tecnológicos que tiene, entre sus obligaciones regulatorias, proteger los datos personales y sensibles frente a usos no autorizados o distintos de los informados al titular. Bajo esa premisa, podríamos preguntarnos: ¿quiénes somos responsables de cumplir las normas que aseguran el uso correcto de esos datos? La respuesta es tan amplia como la responsabilidad que comparten los distintos actores. Contamos, en primer lugar, con un gobierno corporativo liderado por una junta directiva que debe mantenerse actualizada sobre obligaciones, riesgos y mejores prácticas para tomar decisiones informadas. A su vez, la alta gerencia debe identificar oportunidades de mejora, atender incidencias y reportar oportunamente cualquier situación que pueda representar un escenario de riesgo. Las áreas operativas deben cumplir los procedimientos estándar, prestar atención al detalle y reportar internamente posibles exposiciones o vulnerabilidades en los sistemas de tratamiento de información. La primera línea debe conocer de primera mano el alcance del uso de los datos para informar con claridad a los titulares sobre sus derechos, mientras que las áreas de control asumen responsabilidades propias de su función de supervisión, asesoría y monitoreo. Esta distribución coincide con el Modelo de las Tres Líneas, que diferencia responsabilidades de gestión, supervisión y aseguramiento independiente para crear y proteger valor (The Institute of Internal Auditors [IIA], 2020).
En las empresas solemos hablar mucho de trabajo en equipo; sería aún más valioso aplicarlo para distribuir responsablemente las cargas, multiplicar esfuerzos y asegurar, en conjunto, el funcionamiento correcto y sostenible de la organización. Pensemos en una entidad financiera utilizada para blanquear capitales. Sus controles han sido auditados y, en apariencia, han demostrado efectividad; sin embargo, el área comercial mantiene un sistema de bonificaciones o comisiones por ventas excesivamente agresivo. Este incentivo puede distorsionar la conducta de algunos ejecutivos comerciales que, al conocer bien el sistema, identifican una puerta de entrada, una vulnerabilidad o una forma de esquivar controles de debida diligencia que inciden en la aceptación o rechazo de clientes según su nivel de riesgo. Si en lugar de reportarlo internamente aprovechan ese vacío para alcanzar metas de ventas a toda costa, la calidad del negocio y de la cartera disminuye, mientras los riesgos no identificados aumentan.
A nivel directivo y gerencial también encontramos decisiones de negocio basadas en una confianza externa desmedida hacia quien podríamos llamar “cliente VIP”. No obstante, los controles —que suelen ser indicadores objetivos de la calidad de una relación comercial— pueden arrojar resultados distintos a los esperados. En esos casos, el amiguismo o la presión comercial pueden llevar a esquivar controles, minimizar señales de alerta o dejar sin efecto recomendaciones del equipo de compliance, asumiendo riesgos que quizá la entidad no está en capacidad de gestionar. Por ello, los estándares internacionales y las normas suelen exigir que la aprobación de clientes de alto riesgo quede en manos de la junta directiva o de un comité autorizado. Cuando una excepción se vuelve regla y la decisión regresa sin controles suficientes a la operación, el sistema se expone a errores, omisiones y conflictos de interés. La buena gobernanza exige estructuras transparentes, rendición de cuentas y supervisión efectiva para sostener la confianza en los mercados y en las organizaciones (Organisation for Economic Co-operation and Development [OECD], 2023).
Un compliance bien documentado deja evidencia clara del qué, quién, cuándo y dónde; y esa trazabilidad permite atribuir responsabilidades individuales dentro de la cadena de valor o del flujo de trabajo de una organización. La responsabilidad compartida nos ayuda a integrar las gestiones de cada área en un sistema concatenado que permite desarrollar las operaciones del negocio con estándares adecuados de calidad, control y evaluación de riesgos. No se trata de trasladar culpas ni de diluir responsabilidades, sino de reconocer que la prevención funciona mejor cuando todos entendemos nuestro papel, comunicamos alertas a tiempo y actuamos con integridad. Así protegemos la continuidad del negocio, fortalecemos la reputación corporativa y contribuimos a una cultura organizacional más ética, sostenible y confiable.
Referencias
International Organization for Standardization. (2021). ISO 37301:2021 Compliance management systems — Requirements with guidance for use. ISO.
Organisation for Economic Co-operation and Development. (2023). G20/OECD principles of corporate governance 2023. OECD Publishing.
The Institute of Internal Auditors. (2020). El modelo de las tres líneas del IIA 2020: Una actualización de las tres líneas de defensa. The IIA.
Artículo por Zuleymmi Velasco Pérez – Miembro del Comité de Ética y Cumplimiento LATAM de LEC
Las opiniones contenidas en esta publicación son de responsabilidad exclusiva de la autora y no representan necesariamente la opinión de LEC ni de sus socios.
