Guía de Evaluación de Riesgos de Cumplimiento

Esta guía proporciona información educativa sobre los principios y prácticas de la evaluación de riesgos de cumplimiento. No tiene como objetivo brindar asesoría legal, una declaración de requisitos regulatorios ni sustituir el asesoramiento profesional. Las organizaciones deben consultar con profesionales legales y de cumplimiento calificados para abordar sus circunstancias y obligaciones específicas.

01¿Qué es una evaluación de riesgos de cumplimiento?

Una evaluación de riesgos de cumplimiento es un proceso sistemático llevado a cabo por una organización para identificar, analizar y evaluar la posibilidad de incumplimiento de las leyes, regulaciones, políticas internas y estándares éticos aplicables. El objetivo es comprender la naturaleza y el alcance de los riesgos de cumplimiento, priorizarlos en función de su probabilidad e impacto, e informar el diseño e implementación de controles efectivos y estrategias de mitigación. Este enfoque proactivo ayuda a las organizaciones a proteger su reputación, evitar sanciones legales y fomentar una cultura de integridad. Es un proceso dinámico que requiere monitoreo continuo y adaptación a los entornos internos y externos en evolución, incluidos los cambios en las operaciones comerciales, los panoramas regulatorios y los avances tecnológicos. Una evaluación de riesgos de cumplimiento bien ejecutada proporciona una imagen clara de las vulnerabilidades de cumplimiento de una organización, permitiendo una asignación de recursos específica y una toma de decisiones estratégica para mejorar la efectividad general del cumplimiento.

02Fundamentos de los sistemas de gestión de riesgos y cumplimiento

La evaluación efectiva del riesgo de cumplimiento se basa en sistemas robustos de gestión de riesgos y cumplimiento. Los estándares internacionales proporcionan marcos que guían a las organizaciones en el establecimiento y mantenimiento de estos sistemas. Por ejemplo, la norma ISO 37301:2021, titulada Sistemas de gestión del cumplimiento — Requisitos con orientación para su uso, describe los requisitos y la orientación para establecer, desarrollar, implementar, evaluar, mantener y mejorar un sistema de gestión del cumplimiento efectivo y receptivo ¹. Esta norma es aplicable a organizaciones de cualquier tamaño y se centra en un amplio alcance de cumplimiento, distinguiendo su alcance más general del enfoque anticorrupción de la norma ISO 37001 ¹. Es importante señalar que un sistema alineado con la norma ISO 37301 proporciona un marco para gestionar el cumplimiento, pero no garantiza la suficiencia legal ni resultados de ejecución específicos ¹⁵. Las organizaciones deben considerarlo como una herramienta para mejorar su postura de cumplimiento, proporcionando un enfoque estructurado para gestionar los riesgos de cumplimiento, en lugar de un escudo definitivo contra todas las fallas de cumplimiento. Su orientación ayuda a las organizaciones a integrar las consideraciones de cumplimiento en sus procesos operativos y cultura corporativa.

Complementando la gestión del cumplimiento, la norma ISO 31000:2018, Gestión del riesgo — Directrices, ofrece directrices integrales para la gestión de riesgos ². Esta norma describe un enfoque sistemático para identificar, analizar, evaluar, tratar, monitorear y comunicar el riesgo. Enfatiza los principios, un marco y un proceso para gestionar el riesgo en lugar de proporcionar un estándar certificable ². Por lo tanto, las organizaciones no pueden certificarse en ISO 31000 ¹⁴. Ambas normas ISO sirven como marcos valiosos para desarrollar los elementos fundamentales necesarios para una evaluación exhaustiva de los riesgos de cumplimiento, promoviendo un enfoque estructurado e integrado para gestionar tanto el cumplimiento como los riesgos organizacionales más amplios. Fomentan que las organizaciones integren la gestión de riesgos en todas las actividades y procesos de toma de decisiones, promoviendo una cultura consciente del riesgo que es crucial para un cumplimiento efectivo. La integración de estas dos normas permite una visión holística del riesgo, donde los riesgos de cumplimiento se consideran dentro del contexto más amplio del perfil de riesgo general de una organización.

03Expectativas regulatorias: La perspectiva del Departamento de Justicia de los EE. UU.

Los organismos reguladores a menudo proporcionan orientación sobre lo que constituye un programa de cumplimiento efectivo, lo que inherentemente incluye la evaluación de riesgos. La Evaluación de Programas de Cumplimiento Corporativo (ECCP) del Departamento de Justicia de los EE. UU. (DOJ), actualizada en septiembre de 2024, sirve como referencia clave para los fiscales que evalúan el programa de cumplimiento de una corporación al momento de una infracción y en los puntos de decisión de imputación, resolución o relacionados [3, 13]. Es fundamental comprender que la ECCP es una guía para la evaluación de los fiscales, no una lista de verificación, un puerto seguro, asesoría legal o un estándar de cumplimiento universal ¹⁶. El DOJ enfatiza que no utiliza una fórmula rígida, sino que realiza determinaciones individualizadas que consideran el tamaño, la industria, la huella geográfica, el panorama regulatorio y otros factores de una empresa ¹³. Este enfoque adaptado subraya que los programas de cumplimiento efectivos no son una solución única para todos, sino que deben adaptarse al perfil de riesgo específico y al contexto operativo de una organización ¹⁶. La ECCP proporciona un marco para que los fiscales evalúen la efectividad del programa de cumplimiento de una empresa, centrándose en su diseño, implementación y funcionamiento real.

La ECCP organiza su investigación recurrente bajo tres preguntas fundamentales ¹³:

Estas preguntas resaltan la importancia de un programa de cumplimiento bien diseñado, implementado efectivamente y que funcione en la práctica, donde la evaluación de riesgos sirve como un punto de partida crítico para evaluar el diseño del programa ¹⁴. El enfoque del DOJ en estas áreas señala que una evaluación de riesgos de cumplimiento robusta no es simplemente un ejercicio teórico, sino una necesidad práctica para demostrar un compromiso con la conducta ética y la adherencia legal. Las organizaciones deben utilizar estas preguntas como una guía para la autoevaluación y la mejora continua de sus programas de cumplimiento.

04Marcos de gobernanza: Fiduciaria, corporativa y de servicios financieros

Las evaluaciones de riesgos de cumplimiento deben considerar varios marcos de gobernanza, que pueden imponer deberes y expectativas distintos. Por ejemplo, las responsabilidades fiduciarias son conceptos legales y éticos que dependen del contexto ²⁸. En los EE. UU., el Departamento de Trabajo explica que la Ley de Seguridad de los Ingresos de Jubilación de los Empleados (ERISA) aplica responsabilidades fiduciarias a personas o entidades que ejercen autoridad o control discrecional sobre la gestión o los activos de un plan cubierto, o que proporcionan asesoramiento de inversión cubierto a cambio de una compensación ⁴. La responsabilidad principal de un fiduciario de ERISA es operar el plan únicamente en interés de los participantes y beneficiarios, con deberes relacionados con la prudencia, la diversificación, la adherencia a los documentos del plan y la evitación de conflictos de interés ⁴. Es importante no generalizar los deberes de ERISA a cada fideicomisario, asesor, director, propietario o empresa familiar, ya que este recurso es específico de la jurisdicción y el contexto ²⁸. El alcance y la naturaleza de los deberes fiduciarios varían significativamente según la ley, el rol, la entidad y los hechos específicos, requiriendo un análisis cuidadoso en cada contexto. Para asuntos de servicios financieros o fiduciarios, es crucial aclarar que los deberes y requisitos varían según la ley, el rol, la entidad y los hechos.

La gobernanza corporativa proporciona una arquitectura de derechos, responsabilidades, supervisión, información y rendición de cuentas dentro de una organización ²⁹. Los Principios de Gobernanza Corporativa del G20/OCDE 2023 ofrecen un amplio punto de referencia internacional para que los formuladores de políticas evalúen y mejoren los marcos legales, regulatorios e institucionales para la gobernanza corporativa ⁵. Estos principios son relevantes para las bolsas de valores, inversionistas, corporaciones y otros involucrados en la buena gobernanza corporativa, pero no son leyes corporativas universalmente vinculantes ⁵. Promueven la transparencia, el trato justo a los accionistas, el reconocimiento de los derechos de las partes interesadas y la supervisión efectiva de la junta, sirviendo como una guía flexible en lugar de una plantilla rígida ²⁹. Estos principios enfatizan la importancia de una junta efectiva, la divulgación transparente y el papel de las partes interesadas en la gobernanza corporativa, todo lo cual contribuye a un entorno de cumplimiento sólido.

En los servicios financieros, las expectativas de conducta dependen en gran medida de la firma, el rol, el producto, el cliente, la transacción, la jurisdicción y el marco de supervisión aplicable ³⁰. Por ejemplo, la Regla 2010 de FINRA, Estándares de Honor Comercial y Principios de Comercio, ordena que un miembro, en el ejercicio de sus negocios, debe observar altos estándares de honor comercial y principios de comercio justos y equitativos ⁶. Esta regla se aplica específicamente a los miembros de FINRA, y los lectores deben consultar el texto de la regla aplicable, los materiales interpretativos y los asesores calificados para sus propias circunstancias ⁶. De manera similar, la Regla 3110 de FINRA, Supervisión, requiere que los miembros de FINRA establezcan y mantengan un sistema de supervisión razonablemente diseñado para lograr el cumplimiento de las leyes de valores, regulaciones y reglas de FINRA aplicables, recayendo la responsabilidad final en el miembro ¹². Esta regla incluye requisitos específicos para procedimientos escritos e inspección ¹². Estas reglas ilustran que las expectativas de conducta en los servicios financieros son altamente específicas para la entidad regulada y sus actividades, enfatizando la necesidad de evaluaciones de riesgos de cumplimiento adaptadas que tengan en cuenta la intrincada red de regulaciones específicas de la industria y los marcos de supervisión ³⁰. Distinguir las reglas obligatorias de los estándares voluntarios y la guía de evaluación del regulador es primordial en este sector.

05Riesgos emergentes: Gobernanza de la IA

La rápida evolución de la inteligencia artificial (IA) introduce nuevos riesgos de cumplimiento que las organizaciones deben evaluar. Están surgiendo marcos para la gobernanza de la IA para ayudar a gestionar estos riesgos. El Marco de Gestión de Riesgos de IA de NIST (AI RMF) 1.0 es un marco voluntario destinado a mejorar la capacidad de incorporar consideraciones de confiabilidad en el diseño, desarrollo, uso y evaluación de productos, servicios y sistemas de IA ⁷. Sus cuatro funciones son Gobernar, Mapear, Medir y Gestionar ⁷. La función Gobernar aborda las políticas y procedimientos organizacionales, Mapear se enfoca en identificar los riesgos de IA, Medir en cuantificar y evaluar los riesgos, y Gestionar en mitigar y responder a los riesgos identificados. El AI RMF 1.0 está siendo revisado actualmente, y en julio de 2024 se lanzó un Perfil de Inteligencia Artificial Generativa para ayudar a las organizaciones a identificar riesgos específicos de la IA generativa, incluidos los relacionados con la integridad de los datos, el sesgo, la propiedad intelectual y la explicabilidad ⁷. El Libro de Jugadas (Playbook) del AI RMF de NIST sirve como guía complementaria voluntaria, ofreciendo acciones sugeridas, referencias y orientación relacionada para ayudar a lograr los resultados de las cuatro funciones del AI RMF ⁸. Es adaptable en lugar de obligatorio, permitiendo a las organizaciones flexibilidad en su implementación ⁸. Es importante identificar claramente el AI RMF de NIST y su Playbook como marcos voluntarios y explicar que su publicación o uso no determina el cumplimiento regulatorio ⁴². Proporcionan un enfoque estructurado para gestionar los riesgos de IA pero no imponen obligaciones legales, sirviendo en cambio como herramientas valiosas para que las organizaciones desarrollen sus propias prácticas de IA responsable.

A nivel internacional, los Principios de IA de la OCDE representan el primer estándar intergubernamental sobre IA, adoptado en 2019 y actualizado en 2024 ⁹. Estos principios se basan en valores, incluyendo el crecimiento inclusivo, los derechos humanos y los valores democráticos, la transparencia y la explicabilidad, la robustez/seguridad/protección y la rendición de cuentas ⁹. El principio de rendición de cuentas, en este contexto, incluye la trazabilidad y la gestión sistemática continua de riesgos a lo largo del ciclo de vida de la IA, desde el diseño hasta el despliegue y el monitoreo ⁹. Si bien estos principios proporcionan un punto de referencia global para el desarrollo y uso responsable de la IA, no son regulaciones de IA independientes ni un marco completo de gobernanza de la IA ⁷³. Sirven como guía para los formuladores de políticas y las organizaciones en el desarrollo de sus propias estrategias de gobernanza de la IA, enfatizando la supervisión humana, la transparencia, la trazabilidad, la seguridad, la privacidad y la equidad como consideraciones de gobernanza que dependen del contexto en lugar de garantías técnicas universales ⁴⁴. Las organizaciones deben integrar estos principios en sus evaluaciones de riesgos para abordar de manera proactiva los desafíos éticos y de cumplimiento planteados por la IA.

06Programas de gestión de riesgos de cumplimiento en la práctica

Los programas efectivos de gestión de riesgos de cumplimiento integran la evaluación de riesgos en sus operaciones centrales, asegurando que los riesgos identificados sean monitoreados y abordados continuamente. La SR 08-8 / CA 08-11 de la Reserva Federal, Programas de Gestión de Riesgos de Cumplimiento y Supervisión en Grandes Organizaciones Bancarias con Perfiles de Cumplimiento Complejos, (revisada el 1 de octubre de 2025) analiza los programas de gestión de riesgos de cumplimiento y la supervisión en grandes organizaciones bancarias con perfiles de cumplimiento complejos ¹⁰. Establece que un programa de gestión de riesgos de cumplimiento efectivo y adaptado debe estar presente en las organizaciones supervisadas, independientemente de su tamaño y complejidad, siendo un enfoque a nivel de toda la empresa particularmente relevante para las organizaciones más grandes y complejas ¹⁰. Dicho programa proporciona un marco integral para identificar, evaluar, controlar, medir, monitorear y reportar los riesgos de cumplimiento, respaldado por programas de capacitación robustos y políticas y procedimientos documentados ¹⁰. Es importante no transferir las expectativas de supervisión bancaria directamente a entidades no bancarias, organizaciones más pequeñas o entidades fuera de la población supervisada por la Reserva Federal, ya que las expectativas regulatorias a menudo se adaptan a los riesgos y complejidades específicos de la entidad supervisada ⁵⁷. Esta guía subraya la importancia de un enfoque holístico e integrado para la gestión de riesgos de cumplimiento, donde la evaluación de riesgos es un proceso continuo y en evolución.

El papel del Oficial Principal de Cumplimiento (CCO) es central en estos programas, sirviendo como una figura clave en el fomento de una cultura de cumplimiento y la supervisión del proceso de evaluación de riesgos. Un discurso de 2020 del entonces Director de la Oficina de Inspecciones y Exámenes de Cumplimiento de la SEC, titulado El papel del CCO – Empoderado, Senior y con Autoridad, analizó las expectativas del CCO bajo la regla de cumplimiento de la Ley de Asesores ¹¹. El discurso destacó la importancia de la competencia, el conocimiento, la autoridad, la antigüedad, los recursos adecuados, la inclusión temprana en los procesos de toma de decisiones y el empoderamiento del CCO dentro de la organización ¹¹. El material de este discurso es informativo, pero no debe representarse como una guía vinculante del personal de la SEC ni como un mandato generalizado para el CCO, ya que las opiniones expresadas fueron las del orador ⁵⁸. No obstante, proporciona información valiosa sobre las cualidades y estructuras de apoyo que los reguladores esperan ver en un liderazgo de cumplimiento efectivo, enfatizando la necesidad de que los CCO cuenten con el apoyo adecuado y estén integrados en el tejido de toma de decisiones de la organización.

07Elementos clave de una evaluación de riesgos conforme al DOJ

La ECCP del DOJ detalla explícitamente las expectativas para la evaluación de riesgos como un punto de partida para evaluar el diseño del programa. Los fiscales deben considerar si la evaluación de riesgos de la empresa es exhaustiva, si se actualiza periódicamente y si los resultados de la evaluación de riesgos se utilizan para diseñar el programa de cumplimiento, asignar recursos y actualizar políticas y procedimientos [3, 13].

Además, la ECCP enfatiza el papel de las políticas y procedimientos en un programa bien diseñado ¹⁵. Estos documentos dan contenido y efecto a las normas éticas y mitigan los riesgos identificados a través de la evaluación de riesgos ¹⁵. Los elementos clave incluyen un código de conducta claro, responsabilidad asignada para el cumplimiento, capacitación regular para los empleados, líneas establecidas de reporte y comunicación para inquietudes, incentivos apropiados para la conducta ética, medidas disciplinarias consistentes para las violaciones y la integración del cumplimiento en todas las operaciones y la fuerza laboral ¹⁵. Una evaluación de riesgos puede influir en el diseño del programa, la asignación de recursos, las actualizaciones de políticas, las pruebas de control, la capacitación y el escalamiento, pero no elimina la exposición legal ⁷². Es una herramienta para la gestión proactiva de riesgos, no una garantía contra todos los desafíos legales o regulatorios. La guía del DOJ subraya que las políticas y procedimientos deben ser documentos vivos, revisados y actualizados regularmente para seguir siendo relevantes y efectivos en la mitigación de los riesgos en evolución, y que deben ser comunicados claramente y ser accesibles para todos los empleados.

08Pasos en una evaluación de riesgos de cumplimiento

Llevar a cabo una evaluación integral de riesgos de cumplimiento generalmente implica varios pasos clave:

1. Definir el alcance y los objetivos: Delinear claramente el alcance de la evaluación, incluyendo las unidades de negocio, los procesos y los dominios regulatorios que se cubrirán. Establecer los objetivos, como identificar áreas de alto riesgo, priorizar recursos o prepararse para un examen regulatorio.
2. Identificar las obligaciones de cumplimiento: Compilar una lista completa de todas las leyes, regulaciones, estándares de la industria, políticas internas y directrices éticas aplicables relevantes para el alcance definido. Este paso requiere una investigación y comprensión exhaustivas del panorama legal y regulatorio.
3. Identificar riesgos potenciales: Para cada obligación identificada, determinar los escenarios o eventos potenciales que podrían conducir al incumplimiento. Esto implica una lluvia de ideas, la revisión de incidentes pasados y la consideración de riesgos emergentes (por ejemplo, IA, ciberseguridad). Considerar tanto factores internos (por ejemplo, conducta de los empleados, fallas del sistema) como factores externos (por ejemplo, nuevas regulaciones, cambios en el mercado).
4. Analizar y evaluar los riesgos: Evaluar la probabilidad de que ocurra cada riesgo identificado y el impacto potencial si ocurre. El impacto puede ser financiero (multas, sanciones), reputacional (pérdida de confianza), operativo (interrupción) o legal (litigios). Utilizar una metodología consistente para calificar los riesgos, a menudo involucrando una matriz que combina las calificaciones de probabilidad e impacto. Este paso ayuda a priorizar los riesgos, enfocando los recursos en las amenazas más significativas.
5. Evaluar los controles existentes: Evaluar la efectividad de los controles actuales para mitigar los riesgos identificados. Esto implica revisar políticas, procedimientos, programas de capacitación, actividades de monitoreo y salvaguardas tecnológicas. Identificar cualquier brecha o debilidad en el entorno de control existente.
6. Desarrollar estrategias de mitigación: Para los riesgos donde los controles existentes son insuficientes, desarrollar e implementar estrategias de mitigación nuevas o mejoradas. Estas pueden incluir la revisión de políticas, la implementación de nuevas tecnologías, la mejora de la capacitación o el fortalecimiento de los procesos de monitoreo. Asignar una propiedad clara y plazos para la implementación.
7. Documentar y reportar los hallazgos: Documentar exhaustivamente todo el proceso de evaluación de riesgos, incluyendo la metodología, los riesgos identificados, las evaluaciones de control, los planes de mitigación y los riesgos residuales. Reportar los hallazgos a las partes interesadas relevantes, incluyendo la alta gerencia y la junta, para asegurar la conciencia y el apoyo a las iniciativas de cumplimiento.
8. Monitorear y revisar: La evaluación de riesgos de cumplimiento es un proceso continuo. Monitorear regularmente la efectividad de los controles, rastrear los cambios en el panorama regulatorio y revisar y actualizar periódicamente la evaluación de riesgos. Este ciclo continuo asegura que el programa de cumplimiento permanezca dinámico y receptivo a los riesgos en evolución.

09El papel del oficial de cumplimiento en la evaluación de riesgos

El oficial de cumplimiento desempeña un papel fundamental en el proceso de evaluación de riesgos de cumplimiento. Sus responsabilidades generalmente incluyen liderar la identificación de riesgos de cumplimiento, supervisar la metodología de evaluación y asegurar que los hallazgos de la evaluación se documenten y comuniquen con precisión a las partes interesadas relevantes. Esto implica colaborar con varios departamentos para recopilar información, interpretar los requisitos regulatorios y mantenerse al tanto de las mejores prácticas de la industria y los riesgos emergentes, como los planteados por las nuevas tecnologías. El oficial de cumplimiento también es fundamental para traducir los resultados de la evaluación de riesgos en recomendaciones accionables para mejoras de control y del programa. Su experiencia ayuda a distinguir las reglas obligatorias de los estándares voluntarios y la guía de evaluación del regulador, asegurando que los esfuerzos de cumplimiento de la organización se prioricen y cuenten con los recursos adecuados. Los oficiales de cumplimiento efectivos están empoderados, son de alto nivel y poseen la autoridad y los recursos necesarios para cumplir con estas funciones críticas, como se destaca en las discusiones sobre el papel del CCO [11, 58]. Su participación estratégica asegura que el cumplimiento se integre en la estrategia comercial en lugar de ser una ocurrencia tardía.

10Mejora continua y monitoreo

La evaluación de riesgos de cumplimiento no es un ejercicio estático sino un ciclo continuo de mejora constante. Las organizaciones deben establecer mecanismos para monitorear regularmente los riesgos identificados y la efectividad de los controles implementados. Esto incluye revisiones periódicas de la metodología de evaluación de riesgos, actualizaciones de los registros de riesgos y reevaluación de las calificaciones de riesgo basadas en nueva información o cambios en el entorno operativo. Las actividades de monitoreo pueden involucrar auditorías internas, pruebas de control y análisis de incidentes de cumplimiento. Los conocimientos obtenidos del monitoreo continuo se retroalimentan al proceso de evaluación de riesgos, lo que permite ajustes oportunos y asegura que el programa de cumplimiento permanezca robusto y receptivo. Este enfoque iterativo es esencial para mantener un sistema de gestión del cumplimiento efectivo y demostrar la debida diligencia ante los reguladores y las partes interesadas. El reporte regular sobre el estado del riesgo de cumplimiento y la efectividad del control a la alta gerencia y a la junta también es un componente crítico de la mejora continua, fomentando la rendición de cuentas y la toma de decisiones informada.

11Preguntas para el registro

1. ¿Cómo identifica y evalúa su organización actualmente los riesgos de cumplimiento, y qué marcos o estándares guían este proceso?
2. ¿Qué mecanismos existen para asegurar que las evaluaciones de riesgos de cumplimiento se actualicen regularmente para reflejar los cambios en el panorama regulatorio, las operaciones comerciales y las tecnologías emergentes como la IA?
3. ¿Cómo se integran los hallazgos de las evaluaciones de riesgos de cumplimiento en el diseño e implementación del programa de cumplimiento de su organización, incluyendo políticas, procedimientos y capacitación?
4. ¿Qué recursos (humanos, financieros, tecnológicos) se asignan a la función de cumplimiento y cómo apoya esta asignación la efectividad de su proceso de evaluación de riesgos de cumplimiento?
5. ¿Cómo mide su organización la efectividad de su proceso de evaluación de riesgos de cumplimiento y los controles implementados para mitigar los riesgos identificados?