Evaluación del DOJ de los programas de cumplimiento corporativo

01Definición del ECCP del DOJ

La Evaluación de Programas de Cumplimiento Corporativo (ECCP) de la División Criminal del Departamento de Justicia de los EE. UU. (DOJ) sirve como una guía crucial para los fiscales federales al evaluar la efectividad del programa de cumplimiento de una corporación. Actualizado en septiembre de 2024, este documento no es una lista de verificación rígida ni un estándar de cumplimiento universal, sino más bien un marco para informar determinaciones individualizadas en diversos puntos de decisión, incluyendo la imputación y la resolución. El ECCP enfatiza que las evaluaciones consideran las características únicas de una empresa, como su tamaño, industria, presencia geográfica y panorama regulatorio ¹. Este enfoque individualizado subraya que no existe un programa de cumplimiento único para todos; más bien, la efectividad se mide frente a los riesgos específicos y las realidades operativas de cada organización. La guía tiene como objetivo proporcionar transparencia en el proceso de toma de decisiones de la fiscalía, alentando a las empresas a invertir en programas de cumplimiento robustos que puedan prevenir y detectar genuinamente las conductas indebidas. Destaca el compromiso del DOJ de hacer que las corporaciones rindan cuentas, al tiempo que incentiva el desarrollo proactivo y el mantenimiento de culturas corporativas éticas.

02Las tres preguntas fundamentales que guían la evaluación

El ECCP organiza sus indagaciones recurrentes en torno a tres preguntas fundamentales que guían la evaluación de un fiscal sobre un programa de cumplimiento corporativo ¹. Estas preguntas están diseñadas para proporcionar una visión holística del diseño, la implementación y la efectividad práctica de un programa, yendo más allá del mero cumplimiento en papel para evaluar el verdadero impacto operativo.

1. ¿Está el programa bien diseñado? Esta pregunta profundiza en los elementos fundamentales y la estructura del programa de cumplimiento, examinando si está construido de manera reflexiva para abordar los riesgos pertinentes. Los fiscales evaluarán si las políticas, procedimientos y controles del programa están adaptados al perfil de riesgo específico de la empresa, en lugar de ser genéricos o estándar. Esto incluye evaluar la exhaustividad del alcance del programa, su claridad y su accesibilidad para todo el personal relevante. Un programa bien diseñado es proactivo, anticipa posibles conductas indebidas y establece límites y expectativas claros. Considera la naturaleza del negocio, los mercados en los que opera, el entorno regulatorio y los tipos de transacciones que realiza. Por ejemplo, se esperaría que una empresa que opera en sectores altamente regulados como el farmacéutico o los servicios financieros tenga un diseño de programa más intrincado y especializado que una en una industria menos regulada. El diseño también debe reflejar una comprensión de la Ley de Prácticas Corruptas en el Extranjero (FCPA) y otras leyes anticorrupción si la empresa opera internacionalmente.

1. ¿Se aplica el programa con seriedad y de buena fe? Esto evalúa la implementación práctica y los aspectos operativos, incluyendo si el programa cuenta con los recursos adecuados, está empoderado y es genuinamente aceptado dentro de la organización. Los fiscales miran más allá de las políticas escritas para determinar si el programa está verdaderamente integrado en la cultura de la empresa. Esto implica examinar el compromiso de la alta dirección, la independencia y autoridad del personal de cumplimiento, la adecuación del financiamiento y la dotación de personal, y la efectividad de los esfuerzos de capacitación y comunicación. Un programa aplicado de buena fe demuestra un compromiso genuino con la conducta ética, no simplemente una adhesión superficial a las reglas. Esto incluye asegurar que los oficiales de cumplimiento tengan acceso directo a la junta directiva y al liderazgo superior, participen en la toma de decisiones estratégicas y posean suficiente estatus dentro de la organización para efectuar cambios. Además, las acciones disciplinarias de la empresa por violaciones de cumplimiento, o la falta de ellas, pueden ser un fuerte indicador de si el programa se aplica verdaderamente o simplemente existe en el papel.

1. ¿Funciona el programa en la práctica? Esta pregunta final se centra en los resultados y la efectividad del programa, buscando evidencia de que logra su propósito previsto de prevenir y detectar conductas indebidas. Los fiscales considerarán el historial del programa, incluyendo su capacidad para detectar violaciones, la minuciosidad de las investigaciones internas y la idoneidad de las acciones disciplinarias. La presencia de monitoreo continuo, auditorías y revisiones periódicas para identificar y abordar las debilidades también es crítica. En última instancia, un programa que funciona en la práctica demuestra su capacidad para adaptarse, aprender de los errores pasados y mejorar continuamente su efectividad en la mitigación de riesgos. Esto incluye analizar datos de investigaciones internas, hallazgos de auditorías y comentarios de los empleados para identificar tendencias y áreas de mejora. El DOJ enfatiza que un programa verdaderamente efectivo es aquel que evoluciona en respuesta a nueva información y desafíos, en lugar de permanecer estático.

03Evaluación de riesgos: La piedra angular del diseño del programa

Según el ECCP, la evaluación de riesgos es el elemento fundamental para evaluar el diseño de un programa de cumplimiento. Los fiscales examinarán si una empresa tiene una comprensión profunda de su negocio comercial, si ha identificado y definido eficazmente sus riesgos de cumplimiento y si ha asignado el escrutinio y los recursos adecuados para mitigar esos riesgos. Esto implica un proceso dinámico de identificación, análisis y priorización de los riesgos de cumplimiento específicos que enfrenta una organización, considerando factores como su industria, operaciones geográficas, modelo de negocio y la naturaleza de sus productos y servicios. La guía también enfatiza la importancia de actualizar las evaluaciones de riesgos a medida que evolucionan las circunstancias internas y externas, particularmente en respuesta a nuevas regulaciones, cambios en el mercado o avances tecnológicos ¹. Una evaluación de riesgos estática es insuficiente; debe ser un documento vivo que refleje el panorama de riesgos actual. Esto incluye no solo los riesgos legales y regulatorios, sino también los riesgos reputacionales, operativos y financieros asociados con el incumplimiento. La profundidad y frecuencia de las evaluaciones de riesgos deben ser proporcionales al tamaño y la complejidad de la organización y a la naturaleza de sus actividades comerciales. Por ejemplo, una empresa global con operaciones diversas requeriría un proceso de evaluación de riesgos más sofisticado y frecuente que una pequeña empresa nacional.

04Políticas y procedimientos: Traducir la ética en acción

Un programa de cumplimiento bien diseñado se basa en políticas y procedimientos robustos para traducir las normas éticas en una guía procesable y para mitigar los riesgos identificados. El ECCP destaca que estas políticas deben incluir un código de conducta que articule los valores y expectativas de la empresa, responsabilidades claramente asignadas para las tareas de cumplimiento, programas de capacitación integrales para educar a los empleados sobre sus obligaciones y canales efectivos de reporte y comunicación para plantear inquietudes. Además, los incentivos adecuados para la conducta ética y las medidas disciplinarias consistentes para las violaciones son cruciales. Estas políticas y procedimientos deben integrarse en las operaciones y la fuerza laboral de la empresa, asegurando que el cumplimiento no sea una función aislada sino una parte intrínseca de las actividades comerciales diarias ¹. La efectividad de estas políticas no reside solo en su existencia, sino en su aplicación y cumplimiento prácticos. Esto significa que las políticas deben estar escritas con claridad, ser fácilmente accesibles y revisarse y actualizarse periódicamente para reflejar los cambios en las leyes, regulaciones y operaciones comerciales. La capacitación debe adaptarse a los diferentes roles y responsabilidades de los empleados, y los canales de comunicación deben alentar a los empleados a informar sus inquietudes sin temor a represalias. La presencia de un programa robusto de denunciantes, por ejemplo, puede ser un fuerte indicador del compromiso de una empresa con el fomento de un entorno abierto y ético.

05Navegando nuevas tecnologías y riesgos emergentes

La actualización de septiembre de 2024 del ECCP aborda explícitamente el impacto de las nuevas tecnologías, como la Inteligencia Artificial (IA), en el cumplimiento de las leyes penales. Esto refleja el reconocimiento por parte del DOJ del panorama tecnológico en rápida evolución y su potencial para introducir riesgos de cumplimiento novedosos. Se orienta a los fiscales a considerar preguntas relacionadas con el impacto potencial de la IA en el cumplimiento, la gobernanza, los controles, el uso previsto, la toma de decisiones humana, la rendición de cuentas y la capacitación de los empleados. Esto indica el enfoque del DOJ en cómo las empresas están adaptando sus programas de cumplimiento para abordar los riesgos únicos planteados por los avances tecnológicos ¹. Por ejemplo, las empresas que despliegan sistemas de IA deben considerar los riesgos relacionados con la privacidad de los datos, el sesgo algorítmico, la propiedad intelectual y el posible uso indebido que podría conducir a violaciones penales. El ECCP alienta la identificación y mitigación proactiva de estos riesgos emergentes dentro del marco de cumplimiento, enfatizando que las empresas deben evaluar cómo las nuevas tecnologías podrían crear nuevas vías para la conducta indebida o exacerbar las existentes. Esto incluye evaluar las implicaciones éticas del despliegue de la IA, garantizar la transparencia en los procesos de toma de decisiones de la IA y establecer líneas claras de responsabilidad para los resultados impulsados por la IA. La guía sugiere que las empresas no solo deben centrarse en los beneficios de las nuevas tecnologías, sino también evaluar y gestionar rigurosamente sus riesgos de cumplimiento asociados.

06Recursos y empoderamiento del personal de cumplimiento

Para que un programa de cumplimiento se aplique con seriedad y de buena fe, el ECCP destaca la importancia de una adecuada dotación de recursos y empoderamiento del personal de cumplimiento. Esto incluye asegurar que los oficiales de cumplimiento tengan la competencia, el conocimiento, la autoridad, la antigüedad y los recursos necesarios para desempeñar sus funciones de manera efectiva. Su inclusión temprana en los procesos de toma de decisiones, particularmente en aquellos que involucran riesgos comerciales significativos o nuevas iniciativas, también es una consideración clave. La función de cumplimiento no debe ser marginada ni carecer de fondos; más bien, debe ser vista como un socio comercial crítico con acceso directo al liderazgo superior y a la junta directiva. La capacidad del personal de cumplimiento para operar de manera independiente y para desafiar las decisiones comerciales cuando sea necesario es primordial para un programa efectivo ¹. Este empoderamiento se extiende a contar con suficiente presupuesto, tecnología y personal para ejecutar sus responsabilidades. El DOJ busca evidencia de que el personal de cumplimiento no son meros asesores, sino que son integrales para la planificación operativa y estratégica de la empresa, con la autoridad para detener o modificar actividades que planteen riesgos de cumplimiento inaceptables. Esto demuestra un compromiso genuino desde la cima para priorizar el cumplimiento.

07Mejora continua y monitoreo: Un panorama en evolución

El ECCP aboga implícita y explícitamente por la mejora continua y el monitoreo de los programas de cumplimiento. El énfasis en actualizar las evaluaciones de riesgos, adaptarse a las nuevas tecnologías y asegurar que el programa cuente con los recursos y el empoderamiento adecuados, y que funcione en la práctica, apunta a un panorama de cumplimiento dinámico y en evolución que requiere atención y adaptación constantes ¹. Esto incluye auditorías regulares, investigaciones internas y revisiones periódicas de la efectividad del programa. Se espera que las empresas aprendan de los incidentes pasados, tanto internos como externos, y ajusten sus programas en consecuencia. El objetivo no es simplemente establecer un programa de cumplimiento, sino mantener uno que esté continuamente evolucionando y mejorando para enfrentar nuevos desafíos y riesgos. Esto implica establecer métricas claras para la efectividad del programa, realizar análisis de causa raíz de las fallas de cumplimiento e implementar acciones correctivas. El DOJ espera que las empresas demuestren un compromiso con el aprendizaje y la adaptación, asegurando que sus programas de cumplimiento sigan siendo robustos y relevantes frente a las amenazas cambiantes y las expectativas regulatorias.

08Distinción entre reglas obligatorias y estándares o guías voluntarias

Es crucial distinguir entre los requisitos regulatorios obligatorios y los estándares o guías voluntarias. El ECCP en sí es una guía para los fiscales, no un requisito estatutario ni un estándar de cumplimiento universal. Su propósito es informar la discreción de la fiscalía, no dictar diseños específicos de programas de cumplimiento. Del mismo modo, los estándares internacionales como ISO 37301 para sistemas de gestión de cumplimiento e ISO 31000 para la gestión de riesgos ofrecen marcos y directrices. La norma ISO 37301 proporciona requisitos con orientación para establecer, desarrollar, implementar, evaluar, mantener y mejorar un sistema de gestión de cumplimiento efectivo ². Este estándar, publicado en abril de 2021, ofrece un amplio alcance de cumplimiento, distinguiéndolo de estándares más enfocados como ISO 37001 (antisoborno) ². Sin embargo, ISO 31000, aunque ofrece un enfoque integral para la gestión de riesgos, es declarado explícitamente por ISO como no certificable, sirviendo en su lugar como principios, un marco y un proceso ³. Es importante señalar que la adhesión a tales estándares voluntarios no garantiza el cumplimiento, la suficiencia legal o un resultado particular de aplicación de la ley ². Las organizaciones deben adoptar estos estándares como mejores prácticas cuando sea apropiado, pero comprender su naturaleza no obligatoria. La distinción es vital para que las empresas comprendan sus obligaciones legales frente a las mejores prácticas aspiracionales, lo que permite una asignación estratégica de recursos y el desarrollo de programas de cumplimiento.

09Servicios financieros y asuntos fiduciarios: Deberes dependientes del contexto

Al considerar el cumplimiento en el contexto de los servicios financieros o asuntos fiduciarios, es imperativo reconocer que los deberes y requisitos varían significativamente según la ley, el rol, la entidad y los hechos específicos. Por ejemplo, el Departamento de Trabajo de los EE. UU. (DOL) describe las responsabilidades fiduciarias bajo ERISA, que se aplican a personas o entidades que ejercen autoridad o control discrecional sobre la gestión o los activos de un plan cubierto, o que proporcionan asesoramiento de inversión cubierto por una compensación ⁴. La responsabilidad principal de un fiduciario de ERISA es operar el plan únicamente en interés de los participantes y beneficiarios, con deberes relacionados con la prudencia, la diversificación, los documentos del plan y los conflictos ⁴. Este es un ejemplo específico de la jurisdicción y el contexto y no debe generalizarse como una regla fiduciaria universal ⁴. El alcance del deber fiduciario depende del contexto y no debe aplicarse ampliamente a cada fideicomisario, asesor, director, propietario o empresa familiar ⁴. Las obligaciones legales y éticas específicas de los fiduciarios en los servicios financieros son complejas y requieren una consideración cuidadosa de los estatutos, regulaciones y principios de derecho consuetudinario aplicables. Por ejemplo, los deberes de un asesor de inversiones bajo la Ley de Asesores de Inversiones de 1940 difieren de los de un corredor de bolsa bajo las reglas de FINRA, aunque ambos puedan involucrar activos de clientes. Es crucial que las entidades de este sector comprendan su estatus fiduciario preciso y los deberes correspondientes.

Del mismo modo, la Regla 2010 de FINRA exige que un miembro, en la conducción de sus negocios, debe observar altos estándares de honor comercial y principios de comercio justos y equitativos ⁵. Esta regla se aplica específicamente a los miembros de FINRA, y los lectores deben consultar el texto de la regla aplicable.

10Principios de gobierno corporativo: Una arquitectura de rendición de cuentas

El gobierno corporativo puede entenderse como una arquitectura de derechos, responsabilidades, supervisión, información y rendición de cuentas. Los Principios de Gobierno Corporativo del G20/OCDE 2023 proporcionan un amplio punto de referencia internacional para que los formuladores de políticas evalúen y mejoren los marcos legales, regulatorios e institucionales para el gobierno corporativo ⁶. Estos principios ofrecen una guía práctica para la implementación y son relevantes para diversas partes interesadas, incluidos los mercados de valores, los inversores y las corporaciones ⁶. Abordan áreas como los derechos de los accionistas, el trato equitativo de los accionistas, el papel de las partes interesadas, la divulgación y la transparencia, y las responsabilidades de la junta directiva. Sin embargo, no son una ley corporativa universalmente vinculante ⁶. El gobierno corporativo no es una plantilla de junta única y universal, sino más bien un marco que se adapta a diferentes contextos legales y económicos ⁴. Un gobierno corporativo efectivo es crucial para fomentar la confianza de los inversores, promover mercados eficientes y garantizar la sostenibilidad a largo plazo de las corporaciones. Establece el marco a través del cual se fijan los objetivos de la empresa y se determinan los medios para alcanzar esos objetivos y monitorear el desempeño. Esto incluye la composición y el funcionamiento de la junta directiva, la integridad de los informes financieros y la efectividad de los controles internos.

11El rol empoderado del Chief Compliance Officer (CCO)

La efectividad de un programa de cumplimiento a menudo está intrínsecamente vinculada al rol y empoderamiento del Chief Compliance Officer (CCO). Un discurso de 2020 del entonces director de la Oficina de Inspecciones y Exámenes de Cumplimiento de la SEC destacó las expectativas para los CCO de asesores bajo la regla de cumplimiento de la Ley de Asesores. Estas expectativas incluyen competencia, conocimiento, autoridad, antigüedad, recursos, inclusión temprana en la toma de decisiones y empoderamiento ⁷. El discurso enfatizó que los CCO deben estar facultados para efectuar cambios, contar con recursos suficientes y ser incluidos en las discusiones comerciales críticas. Es importante presentar esto como material de discurso informativo, que refleja las opiniones del orador, en lugar de una guía vinculante del personal de la SEC o un mandato generalizado para los CCO ⁷. El papel del CCO es fundamental para fomentar una cultura de cumplimiento y garantizar la efectividad operativa del programa. Un CCO empoderado actúa como una figura central en el ecosistema de cumplimiento, responsable de supervisar el desarrollo, la implementación y el mantenimiento del programa de cumplimiento. Su capacidad para informar directamente a la junta, acceder a toda la información necesaria e influir en las decisiones comerciales sin presiones indebidas es un sello distintivo de una cultura de cumplimiento sólida.

12Programas de gestión de riesgos de cumplimiento en la banca: Un enfoque a medida

Para las grandes organizaciones bancarias con perfiles de cumplimiento complejos, la SR 08-8 / CA 08-11 de la Reserva Federal describe las expectativas para los programas de gestión de riesgos de cumplimiento. Esta guía, revisada en octubre de 2025, enfatiza que un programa de gestión de riesgos de cumplimiento efectivo y a medida debe estar presente en las organizaciones supervisadas, independientemente de su tamaño y complejidad. Describe un programa para toda la empresa como un marco para identificar, evaluar, controlar, medir, monitorear e informar los riesgos de cumplimiento, completo con capacitación y políticas/procedimientos documentados ⁸. Este marco es particularmente relevante para las organizaciones más grandes y complejas, donde un enfoque para toda la empresa ayuda a gestionar los riesgos interconectados. Sin embargo, es crucial no transferir estas expectativas de supervisión bancaria directamente a entidades no bancarias, organizaciones más pequeñas o entidades fuera de la población supervisada por la Reserva Federal ⁸. La guía destaca la importancia de un enfoque integral e integrado para el riesgo de cumplimiento dentro del sector bancario, reconociendo los riesgos sistémicos únicos asociados con las instituciones financieras. Esto incluye controles internos robustos, pruebas independientes y líneas claras de responsabilidad para gestionar los riesgos de cumplimiento en todas las líneas de negocio y ubicaciones geográficas.

13Marcos de gestión de riesgos de IA: Guiando la innovación responsable

Más allá del ECCP del DOJ, otros marcos abordan la gobernanza de la IA, reflejando un creciente enfoque global en el desarrollo y despliegue responsable de la inteligencia artificial. El Marco de Gestión de Riesgos de IA del NIST (AI RMF) 1.0 es un marco voluntario diseñado para mejorar la capacidad de incorporar consideraciones de confiabilidad en el diseño, desarrollo, uso y evaluación de productos, servicios y sistemas de IA ⁹. Sus cuatro funciones—Gobernar, Mapear, Medir y Gestionar—proporcionan un enfoque estructurado para gestionar los riesgos de la IA. El Libro de Estrategias (Playbook) del AI RMF del NIST sirve como guía complementaria voluntaria, ofreciendo acciones sugeridas y referencias para ayudar a lograr los resultados de estas funciones ¹⁰. Es importante identificar claramente estos marcos como voluntarios y explicar que su publicación o uso no determina el cumplimiento regulatorio ⁹. El Perfil de Inteligencia Artificial Generativa, lanzado en julio de 2024, ayuda aún más a las organizaciones a identificar riesgos específicos de la IA generativa ⁹. Los Principios de IA de la OCDE, actualizados en 2024, representan el primer estándar intergubernamental sobre IA, enfatizando los principios basados en valores como el crecimiento inclusivo, los derechos humanos, la transparencia, la explicabilidad, la robustez, la seguridad, la protección y la rendición de cuentas ¹¹. La rendición de cuentas, en este contexto, incluye la trazabilidad y la gestión sistemática y continua de los riesgos a lo largo del ciclo de vida de la IA ¹¹. Estos marcos colectivamente tienen como objetivo guiar a las organizaciones en el desarrollo y despliegue de la IA de manera responsable, mitigando los daños potenciales mientras se fomenta la innovación. Subrayan la importancia de la supervisión humana, las consideraciones éticas y la evaluación continua en el ciclo de vida del desarrollo de la IA.

14Elementos clave de la evaluación ECCP del DOJ

15Preguntas para el registro

1. ¿Cómo se alinea el programa de cumplimiento actual de su organización con las tres preguntas fundamentales planteadas por el ECCP del DOJ, y qué áreas requieren un mayor desarrollo para mejorar su efectividad y demostrar una implementación de buena fe?
2. ¿Qué pasos específicos ha tomado su organización para asegurar que su proceso de evaluación de riesgos sea dinámico y responda a los riesgos emergentes, particularmente aquellos relacionados con nuevas tecnologías como la IA, y cómo se comunican, implementan e integran estas actualizaciones en las estrategias de cumplimiento más amplias?
3. ¿De qué manera se integran sus políticas y procedimientos de cumplimiento en las operaciones diarias y la cultura de su fuerza laboral, y cómo se mide, revisa y mejora continuamente su efectividad para abordar los riesgos en evolución?
4. ¿Cómo empodera su organización a su personal de cumplimiento y qué recursos se dedican a asegurar su efectividad, independencia e inclusión temprana en los procesos de toma de decisiones estratégicas que pueden conllevar riesgos de cumplimiento significativos?
5. Más allá de las políticas formales, ¿qué elementos culturales dentro de su organización demuestran un compromiso serio y de buena fe con el cumplimiento, y cómo se fomentan, mantienen y evalúan estos para asegurar un entorno verdaderamente ético?