¿Qué es el cumplimiento empresarial?

Este documento proporciona información educativa general sobre el cumplimiento empresarial únicamente con fines informativos. No está destinado a ser asesoramiento legal, financiero o regulatorio, y no debe considerarse como tal. Las obligaciones de cumplimiento específicas y las mejores prácticas varían significativamente según la jurisdicción, la industria, la estructura organizacional y las circunstancias particulares. Los lectores deben consultar con profesionales legales y de cumplimiento calificados para obtener asesoramiento adaptado a sus situaciones individuales.

01¿Qué es el cumplimiento empresarial?

El cumplimiento empresarial se refiere a la adhesión de una organización a las leyes, regulaciones, estándares y prácticas éticas relevantes para sus operaciones. Abarca los sistemas, procesos y controles diseñados para prevenir, detectar y responder a violaciones, salvaguardando así la reputación, la estabilidad financiera y la posición legal de la organización. El cumplimiento empresarial eficaz va más allá del simple seguimiento de reglas para integrar la conducta ética y la gestión de riesgos en la estrategia comercial principal, fomentando una cultura de integridad en toda la organización. Este enfoque holístico garantiza que el cumplimiento no sea meramente una función reactiva, sino un elemento proactivo de la planificación estratégica y la excelencia operativa. Implica cultivar una cultura donde la conducta ética sea primordial y todos los empleados comprendan su papel en la defensa de la integridad de la organización y el cumplimiento de sus obligaciones legales y éticas. Esto incluye comprender tanto el espíritu como la letra de la ley, y promover activamente un entorno de trabajo donde las inquietudes puedan plantearse y abordarse sin temor a represalias. En última instancia, el cumplimiento empresarial se trata de construir y mantener la confianza con las partes interesadas, incluidos clientes, inversores, reguladores y la comunidad en general.

02Sistemas de gestión de cumplimiento: Un enfoque estructurado

Un sistema de gestión de cumplimiento (CMS, por sus siglas en inglés) proporciona un marco estructurado para que las organizaciones establezcan, desarrollen, implementen, evalúen, mantengan y mejoren sus esfuerzos de cumplimiento ¹. El estándar internacional ISO 37301:2021 ofrece una guía integral aplicable a organizaciones de cualquier tamaño, distinguiendo su amplio alcance de estándares más especializados como el ISO 37001, que se centra específicamente en medidas antisoborno ¹. Un CMS robusto ayuda a una organización a identificar sistemáticamente sus obligaciones de cumplimiento, evaluar los riesgos asociados y establecer controles para cumplir con esas obligaciones. Esto incluye la identificación de leyes, regulaciones, códigos de la industria y políticas internas pertinentes, y luego el diseño de procesos para asegurar su cumplimiento. El estándar enfatiza la mejora continua, asegurando que los procesos de cumplimiento sigan siendo efectivos y respondan a los cambios en el panorama regulatorio y el contexto organizacional. Este proceso iterativo implica un monitoreo regular, auditorías internas y revisiones de gestión para identificar áreas de mejora y adaptarse a nuevos desafíos. Los componentes clave de un CMS eficaz a menudo incluyen una política de cumplimiento clara, funciones y responsabilidades definidas, capacitación y comunicación continuas, mecanismos para informar e investigar el incumplimiento y un compromiso de la alta dirección. Es importante señalar que la alineación con la norma ISO 37301 no garantiza el cumplimiento, la suficiencia legal o un resultado de aplicación particular, sino que proporciona un marco para gestionar el cumplimiento de manera efectiva y demostrar un compromiso con la buena gobernanza ¹. Las organizaciones deben ver la norma ISO 37301 como una herramienta para mejorar su postura de cumplimiento, no como un escudo definitivo contra todas las responsabilidades potenciales. El enfoque del estándar en un método sistemático ayuda a las organizaciones a integrar el cumplimiento en sus operaciones diarias y planificación estratégica, fomentando una cultura de integridad y rendición de cuentas.

03Gestión de riesgos: El fundamento del cumplimiento

El cumplimiento eficaz está intrínsecamente ligado a una gestión de riesgos sólida. La norma ISO 31000:2018 proporciona directrices integrales para identificar, analizar, evaluar, tratar, monitorear y comunicar el riesgo ². Este estándar describe principios, un marco y un proceso para la gestión de riesgos, sirviendo como un punto de referencia fundamental para las organizaciones ². Alienta a las organizaciones a integrar la gestión de riesgos en todos los aspectos de su toma de decisiones, en lugar de tratarla como una actividad separada. El proceso implica comprender el contexto de la organización, identificar riesgos potenciales —incluidos los riesgos estratégicos, operativos, financieros y de cumplimiento—, analizar su probabilidad e impacto, evaluar su importancia y luego seleccionar e implementar opciones adecuadas de tratamiento de riesgos. Este enfoque sistemático permite a las organizaciones priorizar los riesgos y asignar recursos de manera eficiente para mitigar las amenazas más significativas. La evaluación de riesgos, un componente crítico, implica un examen minucioso de los factores internos y externos que podrían afectar el logro de los objetivos. Esto incluye evaluar el apetito de riesgo y los niveles de tolerancia de la organización. A diferencia de otros estándares, la norma ISO 31000 no puede utilizarse para certificación, lo que subraya su papel como guía para establecer y mantener prácticas eficaces de gestión de riesgos en lugar de un punto de referencia certificable ². Su valor reside en proporcionar un marco universalmente aplicable para gestionar cualquier tipo de riesgo de manera estructurada e integral, promoviendo la resiliencia y la toma de decisiones informada.

Para las organizaciones en sectores regulados, como la banca, los programas de gestión de riesgos de cumplimiento son particularmente críticos. La Reserva Federal, por ejemplo, enfatiza la necesidad de programas de gestión de riesgos de cumplimiento adaptados y efectivos en las organizaciones supervisadas, independientemente de su tamaño y complejidad ¹⁰. Para las instituciones más grandes y complejas, un enfoque a nivel de toda la empresa es especialmente relevante. Tal programa establece un marco integral para identificar, evaluar, controlar, medir, monitorear e informar los riesgos de cumplimiento, respaldado por programas de capacitación sólidos y políticas y procedimientos claramente documentados ¹⁰. Este marco garantiza que los riesgos de cumplimiento se identifiquen en todas las líneas de negocio y funciones, se evalúen por su impacto potencial y se gestionen a través de controles adecuados. Es crucial presentar las evaluaciones de riesgos de cumplimiento como un proceso disciplinado de información y decisión, diseñado para informar la toma de decisiones y la asignación de recursos, en lugar de un medio para cuantificar cada riesgo o establecer una tolerancia al riesgo legalmente aceptable ¹⁰. Además, las expectativas de supervisión bancaria no deben transferirse directamente a entidades no bancarias, organizaciones más pequeñas o entidades fuera de la población supervisada por la Reserva Federal, ya que los requisitos y expectativas regulatorios varían significativamente en diferentes contextos y jurisdicciones ¹⁰. Cada entidad debe desarrollar un programa de gestión de riesgos que sea proporcionado a su perfil de riesgo específico y escala operativa, reflejando los desafíos y oportunidades únicos que enfrenta.

04Evaluación de programas de cumplimiento corporativo del DOJ

En los Estados Unidos, el Departamento de Justicia (DOJ) proporciona orientación para los fiscales que evalúan los programas de cumplimiento corporativo, particularmente en el momento de una infracción y en los puntos de decisión de acusación, resolución o relacionados [3, 13]. La "Evaluación de Programas de Cumplimiento Corporativo" (ECCP, por sus siglas en inglés) del DOJ no es una lista de verificación, un puerto seguro o un estándar de cumplimiento universal, sino más bien una lente evaluativa que considera el riesgo, la implementación y la operación específicos de la empresa [3, 13]. La División de lo Criminal enfatiza que no utiliza una fórmula rígida, sino que realiza una determinación individualizada que puede considerar el tamaño de una empresa, la industria, la presencia geográfica, el panorama regulatorio y otros factores ¹³. Este enfoque matizado reconoce que los programas de cumplimiento efectivos no son una solución única para todos, sino que deben adaptarse a las circunstancias únicas de cada organización. El ECCP sirve como una referencia crítica para las empresas que buscan comprender cómo sus esfuerzos de cumplimiento podrían ser vistos por los fiscales federales, ofreciendo perspectivas sobre los factores que influyen en las decisiones de procesamiento.

El ECCP organiza su indagación en torno a tres preguntas fundamentales ¹³:

1. ¿Está el programa bien diseñado? Esta pregunta indaga si el programa está construido de manera reflexiva para abordar el perfil de riesgo específico de la organización, incluidas sus operaciones comerciales, alcance geográfico y la naturaleza de sus productos y servicios. Examina si las políticas y procedimientos del programa son claros, accesibles y se comunican eficazmente a todos los empleados, y si se actualizan regularmente para reflejar los cambios en las leyes, regulaciones y prácticas comerciales. Un programa bien diseñado también considera la efectividad de sus controles internos y la integración del cumplimiento en las operaciones diarias, asegurando que las consideraciones de cumplimiento se incorporen desde el inicio de cualquier nueva iniciativa o desarrollo de producto.
2. ¿Se aplica el programa con seriedad y de buena fe? Esto implica evaluar si el programa cuenta con los recursos adecuados, está empoderado y se implementa genuinamente en toda la organización. Los fiscales buscan evidencia de un compromiso con el cumplimiento por parte de la alta dirección, personal y experiencia suficientes dentro de la función de cumplimiento, e incentivos y medidas disciplinarias apropiadas para reforzar la conducta ética. Esto incluye asegurar que el personal de cumplimiento tenga acceso directo a la junta directiva y a la alta gerencia, y que sus recomendaciones reciban la debida consideración. La independencia operativa y la autoridad del programa son indicadores clave de su aplicación seria, demostrando que el cumplimiento no es meramente un ejercicio en papel, sino un componente vivo y vital de la estructura de gobernanza de la organización.
3. ¿Funciona el programa en la práctica? Esto evalúa la efectividad del programa para prevenir y detectar conductas indebidas, y para responder adecuadamente cuando surgen problemas. Considera si la organización realiza evaluaciones de riesgo periódicas, monitorea el cumplimiento, investiga a fondo las presuntas violaciones y toma las acciones correctivas apropiadas. El DOJ también examina la capacidad de la organización para analizar y remediar las causas subyacentes de la conducta indebida, y para mejorar continuamente su programa de cumplimiento basándose en las lecciones aprendidas de incidentes pasados o debilidades identificadas. Esto incluye evaluar la efectividad de los mecanismos de denuncia, la rigurosidad de las investigaciones y la consistencia de las acciones disciplinarias.

La evaluación de riesgos se destaca como un punto de partida para evaluar el diseño del programa ¹⁴. Los fiscales consideran si una empresa comprende su negocio comercialmente, identifica y define el riesgo, asigna el escrutinio y los recursos de manera adecuada, y actualiza su enfoque a medida que evolucionan las circunstancias ¹⁴. La actualización de septiembre de 2024 incluye explícitamente preguntas sobre nuevas tecnologías como la IA, su impacto potencial en el cumplimiento de las leyes penales, la gobernanza, los controles, el uso previsto, la toma de decisiones humana, la rendición de cuentas y la capacitación de los empleados ¹⁴. Un programa bien diseñado también utiliza políticas y procedimientos para dar efecto a las normas éticas y mitigar los riesgos identificados, cubriendo aspectos como códigos de conducta, responsabilidad asignada, capacitación, líneas de reporte, incentivos y disciplina ¹⁵. Es importante recordar que el contenido de IA del ECCP representa preguntas de evaluación para los fiscales, no una regulación de IA independiente o un marco de gobernanza de IA completo ¹⁴. El ECCP enfatiza que una evaluación de riesgos puede influir en el diseño del programa, la asignación de recursos, las actualizaciones de políticas, las pruebas de control, la capacitación y el escalamiento sin afirmar que una evaluación de riesgos elimine la exposición legal ⁷². Es una herramienta para que los fiscales evalúen la rigurosidad y el compromiso genuino de los esfuerzos de cumplimiento de una empresa, proporcionando un marco para comprender los elementos de un programa de cumplimiento efectivo.

05Gobernanza fiduciaria y corporativa

El cumplimiento se extiende a las estructuras de gobernanza fundamentales, incluida la gobernanza fiduciaria y corporativa. Los deberes fiduciarios, aunque a menudo se generalizan, son conceptos legales y éticos que dependen del contexto ²⁸. Estos deberes surgen de relaciones de confianza y confianza, requiriendo que una parte (el fiduciario) actúe en el mejor interés de otra (el beneficiario). El alcance y la naturaleza de estos deberes suelen estar definidos por la ley, el contrato o la naturaleza específica de la relación. Por ejemplo, el Departamento de Trabajo de los EE. UU. explica que bajo ERISA, las responsabilidades fiduciarias se aplican a personas o entidades que ejercen autoridad o control discrecional sobre la gestión o los activos de un plan cubierto, tienen responsabilidad de administración discrecional o proporcionan asesoramiento de inversión cubierto por una compensación ⁴. La responsabilidad principal de un fiduciario de ERISA es operar el plan únicamente en interés de los participantes y beneficiarios, con deberes relacionados con la prudencia, la diversificación, la adhesión a los documentos del plan y la evitación de conflictos de intereses ⁴. Esto ilustra un entorno estatutario definido y no debe generalizarse como una regla fiduciaria universal, ya que los deberes y requisitos varían significativamente según la ley, la función, la entidad y los hechos específicos [4, 28]. Es crucial evitar transferir los deberes de ERISA a cada fideicomisario, asesor, director, propietario o empresa familiar sin una consideración cuidadiva del contexto legal y fáctico específico ²⁸. La existencia y el alcance de los deberes fiduciarios dependen en gran medida de los hechos y requieren un análisis legal cuidadoso, a menudo necesitando la consulta con un asesor legal para determinar las obligaciones precisas.

La gobernanza corporativa, por otro lado, se refiere al sistema por el cual las empresas son dirigidas y controladas. Implica un conjunto de relaciones entre la gerencia de una empresa, su junta directiva, sus accionistas y otras partes interesadas. Una gobernanza corporativa eficaz proporciona el marco para alcanzar los objetivos de una empresa, abarcando prácticamente todas las esferas de la gestión, desde los planes de acción y los controles internos hasta la medición del desempeño y la divulgación corporativa. Los Principios de Gobernanza Corporativa del G20/OCDE 2023 proporcionan un punto de referencia internacional amplio para que los responsables de las políticas, las bolsas de valores, los inversores y las corporaciones evalúen y mejoren los marcos legales, regulatorios e institucionales ⁵. Estos principios describen la gobernanza corporativa como una arquitectura de derechos, responsabilidades, supervisión, información y rendición de cuentas, en lugar de una plantilla de junta directiva única y universal [5, 29]. Ofrecen una guía práctica para la implementación, pero no son leyes corporativas universalmente vinculantes. En cambio, sirven como un punto de referencia para las buenas prácticas, reconociendo que los marcos de gobernanza corporativa eficaces deben adaptarse a las circunstancias nacionales y a los contextos específicos de las empresas ⁵. Las áreas clave cubiertas por estos principios incluyen los derechos de los accionistas, el trato equitativo de los accionistas, el papel de las partes interesadas, la divulgación y transparencia, y las responsabilidades de la junta directiva. Una buena gobernanza corporativa es esencial para fomentar la confianza del mercado, alentar la inversión a largo plazo y asegurar el crecimiento sostenible de las empresas.

06Ética y supervisión de servicios financieros

En el sector de servicios financieros, el cumplimiento está moldeado por reglas específicas y expectativas de supervisión rigurosas debido al papel crítico de la industria en la economía y su impacto en la confianza pública. La compleja red de regulaciones tiene como objetivo proteger a los inversores, mantener la integridad del mercado y prevenir los delitos financieros. Por ejemplo, la Regla 2010 de FINRA exige que los miembros observen altos estándares de honor comercial y principios de comercio justos y equitativos en la conducción de sus negocios ⁶. Esta regla se aplica específicamente a los miembros de FINRA, que incluyen firmas de corretaje y sus personas asociadas, y los lectores deben consultar los estatutos y asesores aplicables para obtener una guía específica sobre su aplicación.

La supervisión es otro aspecto crítico del cumplimiento de los servicios financieros. La Regla 3110 de FINRA requiere que los miembros de FINRA establezcan y mantengan un sistema de supervisión razonablemente diseñado para lograr el cumplimiento de las leyes de valores aplicables, las regulaciones y las reglas de FINRA ¹². Esto incluye procedimientos escritos detallados, un sistema de inspecciones internas y una asignación clara de responsabilidades de supervisión. La regla especifica los requisitos para supervisar las actividades de los representantes registrados, las sucursales y la conducta comercial general de la firma. La responsabilidad final de una supervisión adecuada recae en la firma miembro, lo que subraya la importancia de una estructura de supervisión robusta y eficaz ¹². Es crucial explicar la supervisión de FINRA solo en el contexto de una firma miembro y dirigir a los lectores de servicios financieros a los estatutos, reglas, avisos y asesores calificados aplicables, ya que estos requisitos son específicos de las entidades reguladas por FINRA y no deben generalizarse a todas las organizaciones de servicios financieros [12, 59]. La efectividad de un sistema de supervisión es evaluada continuamente por los reguladores, y las deficiencias pueden llevar a sanciones significativas.

El papel del Director de Cumplimiento (CCO, por sus siglas en inglés) es central para el cumplimiento de los servicios financieros, particularmente para los asesores de inversión. Un discurso de 2020 de un ex Director de la Oficina de Inspecciones y Exámenes de Cumplimiento de la SEC discutió las expectativas del CCO bajo la regla de cumplimiento de la Ley de Asesores, destacando la importancia de la competencia, el conocimiento, la autoridad, la antigüedad, los recursos, la inclusión temprana en la toma de decisiones y el empoderamiento ¹¹. El discurso enfatizó que un CCO debe ser un profesional senior con suficiente autoridad y recursos para implementar y hacer cumplir el programa de cumplimiento de la firma de manera efectiva. Esto incluye el acceso directo a la junta directiva, la independencia de las líneas de negocio y un presupuesto y personal adecuados. El material de este discurso es informativo y ofrece perspectivas sobre los puntos de vista regulatorios, pero no debe representarse como una guía vinculante del personal de la SEC o un mandato general de CCO aplicable a todas las entidades [11, 58]. Las expectativas de conducta en los servicios financieros dependen significativamente de la firma, el rol específico, el producto que se ofrece, el tipo de cliente, los detalles de la transacción, la jurisdicción relevante y el marco de supervisión aplicable ³⁰. Por lo tanto, una comprensión integral del entorno regulatorio específico es esencial para cualquier entidad de servicios financieros para asegurar una conducta adecuada y evitar infracciones regulatorias.

07Gobernanza de la IA: Navegando nuevas fronteras

El surgimiento de la inteligencia artificial (IA) introduce nuevos y complejos desafíos de cumplimiento, lo que lleva al rápido desarrollo de marcos especializados de gobernanza de la IA. Estos marcos tienen como objetivo abordar los riesgos únicos asociados con la IA, como el sesgo, la transparencia, la rendición de cuentas y la seguridad, mientras se fomenta la innovación. El Marco de Gestión de Riesgos de IA de NIST (AI RMF) 1.0 es un marco voluntario diseñado para mejorar la capacidad de incorporar consideraciones de confiabilidad en el diseño, desarrollo, uso y evaluación de productos, servicios y sistemas de IA ⁷. Sus cuatro funciones —Gobernar, Mapear, Medir y Gestionar— proporcionan un dispositivo organizador para la gestión de riesgos de IA, ayudando a las organizaciones a abordar sistemáticamente los riesgos de IA a lo largo de su ciclo de vida [7, 43]. El AI RMF Playbook de NIST ofrece una guía complementaria voluntaria con acciones sugeridas y referencias para ayudar a lograr resultados para estas funciones, enfatizando su naturaleza adaptable en lugar de un cumplimiento obligatorio [8, 42]. Es importante identificar claramente el AI RMF de NIST y su Playbook como marcos voluntarios y explicar que su publicación o uso no determina el cumplimiento regulatorio, sino que proporciona una herramienta flexible para la gestión de riesgos ⁴². El Perfil de Inteligencia Artificial Generativa, publicado en julio de 2024, ayuda aún más a las organizaciones a identificar riesgos específicos de la IA generativa dentro de este marco, demostrando la naturaleza evolutiva de la gobernanza de la IA y la necesidad de una adaptación continua ⁷.

A nivel internacional, los Principios de IA de la OCDE, adoptados en 2019 y actualizados en 2024, representan el primer estándar intergubernamental sobre IA ⁹. Estos principios se basan en valores y abarcan el crecimiento inclusivo, los derechos humanos y los valores democráticos, la transparencia y explicabilidad, la robustez, la seguridad, la protección y la rendición de cuentas ⁹. La rendición de cuentas, en este contexto, incluye la trazabilidad y la gestión sistemática y continua del riesgo a lo largo del ciclo de vida de la IA, asegurando que las organizaciones puedan explicar y asumir la responsabilidad de los resultados del sistema de IA ⁹. Al discutir la gobernanza de la IA, es importante describir la supervisión humana, la transparencia, la trazabilidad, la seguridad, la privacidad y la equidad como consideraciones de gobernanza que dependen del contexto, en lugar de garantías técnicas universales ⁴⁴. La aplicación de estos principios requiere una consideración cuidadosa del sistema de IA específico, su uso previsto y el impacto potencial en las personas y la sociedad. Estos principios sirven como base para desarrollar políticas y regulaciones nacionales e internacionales para una IA responsable, promoviendo un entendimiento común del desarrollo y despliegue ético de la IA.

08Marcos de cumplimiento clave y su enfoque

09Preguntas para el registro

1. ¿Cómo define y mide actualmente su organización la efectividad del cumplimiento, y qué métricas se utilizan para seguir el progreso?
2. ¿Qué mecanismos existen para identificar los riesgos de cumplimiento emergentes, particularmente aquellos relacionados con nuevas tecnologías o panoramas regulatorios en evolución?
3. ¿Cómo se integra el cumplimiento en los procesos de toma de decisiones estratégicas de su organización, más allá del simple cumplimiento de los requisitos legales mínimos?
4. ¿Qué recursos (humanos, financieros, tecnológicos) se asignan a la función de cumplimiento y cómo se evalúa regularmente su suficiencia?
5. ¿Cómo fomenta su organización una cultura de cumplimiento y conducta ética entre todos los empleados, desde el liderazgo hasta el personal de primera línea?