Centro de Recursos para el Oficial de Cumplimiento

Este recurso ofrece información educativa general. No determina los deberes legales, regulatorios, fiduciarios, laborales o de supervisión de una persona. El diseño apropiado de una función de cumplimiento depende de las actividades de la organización, las jurisdicciones, los documentos rectores, la condición regulatoria, el perfil de riesgo, el tamaño y los hechos. Los lectores deben consultar las fuentes primarias aplicables y a profesionales calificados sobre sus propias circunstancias.

01Qué es —y qué no es— un oficial de cumplimiento

Un oficial de cumplimiento ayuda a una organización a comprender y gestionar el riesgo de que sus actividades no cumplan las leyes, regulaciones, compromisos contractuales, políticas internas o estándares de conducta aplicables. En un programa maduro, el rol conecta la información de riesgo con acciones prácticas: políticas, capacitación, aprobaciones, monitoreo, escalamiento, investigaciones, informes y mejora.

El título no crea una descripción universal del puesto. En algunas organizaciones, un director de cumplimiento dirige una función dedicada. En otras, un responsable de cumplimiento trabaja dentro de una estructura legal, de riesgos, auditoría, operaciones o negocio. La pregunta relevante no es si un título determinado aparece en un organigrama. La pregunta es si la persona responsable tiene un mandato claro, información suficiente, acceso adecuado y la capacidad de plantear inquietudes sin ser desplazada.

El oficial de cumplimiento tampoco es dueño de todas las obligaciones de cumplimiento. Los líderes de negocio, empleados, propietarios de controles, ejecutivos y órganos de supervisión conservan la responsabilidad por las decisiones y conductas dentro de su autoridad. La función de cumplimiento puede identificar patrones, presentar observaciones, coordinar una respuesta y recomendar mejoras. No puede hacer eficaz un programa si los líderes operativos tratan el cumplimiento como una tarea documental o como un problema que se delega después de haber tomado una decisión.

02Comenzar con el perfil de riesgo real de la organización

Un programa de cumplimiento eficaz parte de las actividades de la organización, no de una lista de verificación genérica. Las preguntas relevantes pueden incluir:

• ¿Qué productos, servicios, clientes, mercados, jurisdicciones y terceros crean obligaciones o riesgos de conducta?
• ¿En qué lugares los incentivos, la presión de ventas, los planes de crecimiento, la autoridad delegada o las brechas de información hacen más probable una conducta indebida o un error?
• ¿Qué requisitos se aplican a varias líneas de negocio o entidades, y cuáles son específicos de una actividad?
• ¿Qué ha cambiado desde la última evaluación: un producto, una adquisición, una tecnología, una ubicación, un modelo de personal, un desarrollo regulatorio, un patrón de quejas o una falla de control?

Una evaluación de riesgos no necesita producir una puntuación matemáticamente exacta. Su valor está en hacer visibles las prioridades. Debe explicar cuáles son los riesgos materiales según la organización, por qué importan, quién es dueño de la respuesta, qué controles existen, qué evidencia respalda su funcionamiento y dónde el liderazgo debe tomar una decisión sobre recursos o aceptación del riesgo.

La guía de la Reserva Federal para organizaciones bancarias grandes describe un enfoque de toda la empresa que identifica, evalúa, controla, mide, monitorea e informa el riesgo de cumplimiento, al tiempo que proporciona capacitación en toda la organización.¹ La estructura se adapta a organizaciones bancarias, pero la disciplina subyacente es útil de manera más amplia: la información de riesgo debe viajar desde las operaciones hacia quienes deciden y regresar como propiedad concreta, controles y seguimiento.

03Un mandato que se pueda usar en la práctica

Una carta de cumplimiento o una descripción de rol útil hace comprensible la función para las personas que deben trabajar con ella. Puede abordar:

• el alcance de la función de cumplimiento y los asuntos que se espera que supervise;
• las líneas de reporte y el acceso regular a la alta dirección o al órgano de supervisión pertinente;
• los derechos de información, incluido el acceso oportuno a políticas, evaluaciones de riesgos, quejas, investigaciones, resultados de controles y cambios importantes;
• la autoridad para recomendar acciones correctivas, solicitar escalamiento y documentar inquietudes no resueltas;
• las expectativas sobre independencia, gestión de conflictos, confidencialidad y coordinación con los equipos legal, de riesgos, auditoría interna, recursos humanos, privacidad, seguridad y negocio; y
• la cadencia para informar, revisar y reevaluar.

La carta no debe fingir que todas las organizaciones requieren la misma línea de reporte o estructura de comité. La SEC ha señalado, en un contexto de asesores de inversión, que los arreglos de reporte dependen del tamaño de la organización, la estructura de liderazgo, la experiencia y la cultura. Como mínimo, el responsable de cumplimiento necesita una línea directa hacia la alta dirección y la capacidad de señalar debilidades directamente.² Ese principio es más útil que un diagrama copiado de otra organización.

Un mandato también necesita un límite práctico. Los profesionales de cumplimiento pueden asesorar sobre expectativas regulatorias y diseño de programas, pero no deben presentarse como los únicos responsables de cada juicio de negocio. Los límites claros ayudan a los líderes de negocio a entender cuándo deben asumir una decisión, cuándo se necesita asesoramiento legal o especializado y cuándo debe informarse a un órgano de supervisión.

04Autoridad, independencia y acceso constructivo

La independencia no significa aislamiento. Una función de cumplimiento que se entera de un nuevo producto, campaña de mercadotecnia, despliegue tecnológico o acuerdo con terceros solo después del lanzamiento se verá obligada a reaccionar. El trabajo de cumplimiento eficaz depende del acceso temprano a la planificación y de una relación de trabajo con los equipos que entienden cómo opera realmente el negocio.

Al mismo tiempo, la colaboración estrecha no debe comprometer la capacidad de cuestionar una propuesta. La Reserva Federal destaca que una independencia adecuada favorece la objetividad y ayuda a evitar conflictos que pueden impedir un programa eficaz, mientras reconoce que el personal de cumplimiento necesita relaciones de trabajo sólidas con la gerencia de las líneas de negocio.¹ El objetivo práctico es una observación informada: cumplimiento debe entender el contexto operativo, explicar la inquietud en términos útiles para quienes deciden y conservar una vía clara para documentar o escalar asuntos no resueltos.

Para asesores de inversión, la resolución de adopción de la SEC establece que un director de cumplimiento designado debe ser competente y conocedor de la Ley de Asesores de Inversión, y estar facultado con responsabilidad y autoridad para desarrollar y hacer cumplir políticas y procedimientos apropiados. También explica que el rol debe contar con suficiente antigüedad y autoridad para exigir su cumplimiento.³ Estas declaraciones son específicas de las reglas citadas y no deben generalizarse como un estándar legal universal. Sin embargo, ilustran por qué un título sin acceso, recursos o apoyo no constituye un diseño de cumplimiento significativo.

Una evaluación de independencia sólida plantea preguntas prácticas. ¿La función puede obtener información relevante sin obstáculos innecesarios? ¿Puede documentar un desacuerdo? ¿Su compensación, dotación de personal o evaluación están estructuradas de manera que desalienten una observación franca? ¿Tiene una vía hacia líderes superiores o un órgano de supervisión cuando un asunto involucra su línea normal de reporte? ¿Las inquietudes se investigan por personas con la experiencia adecuada y separación apropiada respecto de los hechos revisados?

05Construir el programa operativo

El trabajo del oficial de cumplimiento se vuelve visible a través de un programa operativo, no solo mediante una biblioteca de políticas. El programa debe ser proporcional al riesgo de la organización y conectar varias actividades recurrentes.

Políticas y procedimientos

Las políticas establecen expectativas; los procedimientos explican cómo las personas las llevan a la práctica. Ambos deben ser comprensibles para las personas que deben utilizarlos. Un conjunto útil de políticas identifica el público aplicable, el objetivo de conducta o control, los propietarios responsables, las vías de escalamiento, los registros relevantes, el momento de revisión y los estándares relacionados. Los procedimientos deben ser lo suficientemente específicos para orientar una acción coherente sin sustituir el juicio en situaciones que requieren escalamiento.

Las políticas necesitan control de cambios. La función de cumplimiento puede mantener un inventario, pero los propietarios de negocio y controles deben confirmar que sus procedimientos siguen coincidiendo con las operaciones. Un sistema, producto, proveedor, jurisdicción o cambio organizacional nuevo puede crear una brecha incluso cuando la política escrita siga siendo correcta en abstracto.

Capacitación y comunicación

La capacitación es más creíble cuando está relacionada con decisiones y roles reales. Un curso anual único puede ser necesario en algunos entornos, pero rara vez establece comprensión por sí solo. Los empleados necesitan información oportuna cuando cambia su trabajo, cuando se rediseña un control, cuando un incidente revela una confusión o cuando un patrón de preguntas sugiere que la orientación no es clara.

Los registros de finalización son útiles, pero no son el final de la investigación. El programa debe considerar si una persona puede reconocer el asunto relevante, sabe dónde obtener ayuda y entiende cuándo no debe avanzar sin revisión. Los gerentes también necesitan orientación sobre las señales de conducta que deben reforzar y las inquietudes que deben escalar.

Monitoreo y pruebas

El monitoreo pregunta si se realizan las actividades esperadas. Las pruebas preguntan si un control está diseñado y opera eficazmente para su propósito declarado. La diferencia importa porque una lista de verificación completada puede mostrar que ocurrió un paso sin demostrar que el paso fue adecuado.

Un plan basado en riesgos puede enfocar el monitoreo y las pruebas en áreas con exposición material, cambio reciente, quejas, incidentes, debilidades de control, tendencias inusuales o dependencia de juicio manual. Los resultados deben documentarse de una forma que respalde decisiones: qué se revisó, qué se encontró, qué tan serio es el asunto, quién es dueño de la corrección, qué evidencia demostrará su conclusión y cuándo el asunto se volverá a probar o reconsiderar.

Informes de preocupaciones e investigaciones

Un canal de denuncia vale solo si las personas entienden cómo usarlo y creen que las preocupaciones se tratarán de manera justa. La función de cumplimiento puede coordinar la recepción, clasificación, investigación o corrección, según la organización. También debe preservar la claridad de roles. Algunos asuntos pueden requerir asesoramiento legal, participación de recursos humanos, independencia de auditoría interna, experiencia en privacidad o seguridad, o un proceso a nivel de junta.

Un plan de investigación debe ser proporcional a la inquietud. Puede identificar la alegación o asunto, los registros relevantes, los responsables de decisión, posibles conflictos, protecciones de confidencialidad necesarias, necesidades de comunicación y el proceso para documentar hallazgos y correcciones. Un asunto cerrado todavía debe generar una pregunta de aprendizaje: ¿indica el caso una brecha de política, una necesidad de capacitación, una debilidad de control, un problema de incentivos, una preocupación de gobernanza o un patrón que merece una revisión más amplia?

06Informes a la dirección y a los órganos de supervisión

La alta dirección y las juntas no necesitan un gran volumen de actividad sin digerir. Necesitan información relevante y oportuna que permita supervisión y acción. Un informe de cumplimiento puede distinguir entre métricas rutinarias y asuntos que requieren atención, cuestionamiento, aprobación o escalamiento.

Los informes útiles pueden cubrir la evaluación de riesgos actual, cambios regulatorios o de negocio importantes, brechas de políticas y controles, resultados de pruebas, quejas o investigaciones materiales, estado de correcciones, temas de capacitación, necesidades de recursos, problemas recurrentes y asuntos que no pueden resolverse dentro de la gerencia. El formato correcto depende de la audiencia. Una junta o comité suele necesitar una explicación concisa de qué cambió, por qué importa, qué respuesta está en curso y dónde se necesita una decisión de supervisión.

En el contexto de sociedades de inversión, la resolución normativa de la SEC describe un informe anual por escrito a la junta que aborda la operación de políticas y procedimientos, cambios materiales y recomendaciones, así como asuntos de cumplimiento materiales. La regla también exige una reunión anual separada con los directores independientes.³ Estos requisitos pertenecen a un marco regulatorio específico. Son un ejemplo de cómo una obligación de informar definida puede hacer más concreta la supervisión; no crean una plantilla para todas las organizaciones.

El oficial de cumplimiento debe poder comunicar malas noticias sin tener que convertirlas en una historia de éxito. Un informe creíble explica qué se sabe, qué sigue siendo incierto, qué acciones se han tomado, quién es dueño de la corrección y su plazo, y el punto en que el liderazgo debe decidir si acepta, reduce, transfiere o investiga más a fondo un riesgo.

07Recursos y capacidad

No existe una referencia universal para un presupuesto o nivel de personal de cumplimiento. Una organización pequeña con una actividad focalizada puede necesitar un programa sencillo y bien gestionado. Una organización compleja que opera entre productos, jurisdicciones y entidades legales puede necesitar personal especializado, sistemas dedicados, líneas formales de reporte y pruebas más frecuentes.

Las decisiones de recursos deben estar vinculadas a la evaluación de riesgos. La organización debe considerar el volumen y complejidad del trabajo, el cambio regulatorio, la presencia geográfica, el uso de terceros, las dependencias de datos y tecnología, la demanda de investigaciones y la madurez de los controles existentes. También debe considerar si el líder de cumplimiento tiene tiempo y apoyo para desempeñar el rol, en lugar de limitarse a ostentar el título.

La SEC ha observado que no se puede esperar que un oficial de cumplimiento cree y haga cumplir políticas sin personal, sistemas, capacitación y apoyo de la dirección adecuados.² Esta observación es especialmente útil cuando una organización pregunta solo si el programa tiene una política. La pregunta más relevante es si las personas responsables pueden operar, monitorear y mejorar el programa.

08Cumplimiento durante periodos de cambio

La función de cumplimiento es más valiosa cuando el cambio se está diseñando, no solo cuando ya produjo un incidente. Nuevos productos, adquisiciones, mercados, acuerdos de distribución, herramientas tecnológicas, procesos habilitados por IA, usos de datos, planes de compensación y relaciones con terceros pueden alterar el perfil de riesgo de la organización.

Un proceso práctico de admisión puede preguntar por el propósito del cambio, las partes afectadas, requisitos aplicables, propiedad, datos y sistemas involucrados, controles esperados, derechos de decisión, pruebas, documentación, comunicación y vías de escalamiento. No todos los cambios requieren el mismo nivel de revisión. Un proceso escalonado ayuda a reservar la atención especializada para riesgos materiales o desconocidos y mantiene el trabajo rutinario utilizable.

El cambio relacionado con IA merece la misma disciplina. El oficial de cumplimiento puede no ser el propietario técnico de un sistema de IA, pero la función puede ayudar a asegurar que la organización identifique el uso previsto, propietarios responsables, riesgos relevantes de datos y modelos, supervisión humana, registros, monitoreo y vías de escalamiento. El Marco de Gestión de Riesgos de IA de NIST ofrece una referencia voluntaria para pensar en IA confiable y gestión de riesgos; no reemplaza la ley aplicable ni una evaluación técnica específica del contexto.⁴

09Contexto de los servicios financieros

Las organizaciones de servicios financieros suelen enfrentar requisitos detallados sobre conflictos, divulgaciones, activos de clientes o consumidores, supervisión, libros y registros, privacidad, comunicaciones y reglas específicas de productos. La condición regulatoria y las actividades de la organización son importantes. Un artículo general sobre cumplimiento no puede determinar qué requisitos se aplican a un asesor, corredor de bolsa, fondo, banco, aseguradora u otra empresa de servicios financieros en particular.

Para las organizaciones sujetas a las reglas de la SEC citadas, deben leerse directamente las reglas y resoluciones pertinentes. Por ejemplo, la regla de cumplimiento para asesores de inversión de la SEC exige políticas y procedimientos escritos razonablemente diseñados para prevenir violaciones de la Ley de Asesores de Inversión, una revisión anual de su adecuación y efectividad, y la designación de un director de cumplimiento para administrarlos.³ La aplicación precisa depende de la regla, el registrado y los hechos.

El oficial de cumplimiento no debe utilizarse como sustituto de la supervisión de los líderes de negocio, del asesoramiento legal sobre asuntos nuevos o de la garantía independiente de auditoría. Los programas sólidos definen cómo se relacionan estas funciones y evitan asignar a la misma persona roles incompatibles en una revisión sensible.

10Preguntas para el registro

1. ¿Cuáles son los riesgos materiales de cumplimiento de la organización y qué evidencia respalda esa evaluación?
2. ¿Tiene el líder de cumplimiento acceso oportuno a información, a los altos responsables de decisión y a una vía de escalamiento para inquietudes no resueltas?
3. ¿Qué políticas y controles son más importantes para las actividades actuales de la organización y cómo se prueba su funcionamiento en lugar de solo reconocerlos?
4. ¿Qué temas recurrentes aparecen en quejas, investigaciones, monitoreo, auditorías o preguntas de empleados?
5. ¿Los planes de corrección tienen propietario, plazo, evidencia y reconsideración después de su implementación?
6. ¿Cómo evalúa la organización el impacto de cumplimiento de cambios materiales antes de que se vuelvan operativos?
7. ¿Qué información necesita la dirección o el órgano de supervisión pertinente para ejercer una supervisión informada?