Introducción
En Colombia, el derecho de compliance y el gobierno corporativo se han convertido en pilares de gestión empresarial: ayudan a prevenir riesgos legales y regulatorios (multas, sanciones, demandas, escándalos reputacionales), y a demostrar que la compañía actuó con debida diligencia y controles razonables.
Este artículo explica cómo se conectan ambos frentes y ofrece una ruta práctica para diseñar un sistema de control interno y cumplimiento ajustado a la realidad de tu organización.
1. ¿Qué es compliance en sentido jurídico y por qué importa?
Compliance no es solo “políticas” o “manuales”. En términos jurídicos, es el conjunto de medidas, procesos y controles para prevenir, detectar y gestionar riesgos de incumplimiento frente a:
- normativa aplicable (laboral, tributaria, ambiental, protección de datos, consumo, competencia, etc.);
- reglas internas y estándares éticos;
- riesgos de integridad (corrupción, sobornos, conflictos de interés, fraude, terceros);
- deberes de las personas con rol de administración y dirección.
Su valor se materializa en una idea clave: poder evidenciar que la empresa implementó controles y actuó de manera razonable antes de que el riesgo se materializara.
2. Gobierno corporativo: el “sistema nervioso” de las decisiones y los controles
El gobierno corporativo regula cómo se toman decisiones dentro de la sociedad: roles, facultades, deberes, actas, comités, mecanismos de supervisión y rendición de cuentas.
Sin gobierno corporativo, el compliance puede quedar “desconectado” de la operación. Con buen gobierno, en cambio, compliance se vuelve una función que influye realmente en:
- la aprobación de políticas;
- el presupuesto y recursos para el control;
- la supervisión del riesgo;
- la gestión de hallazgos y sanciones internas;
- la toma de decisiones con enfoque de riesgo.
3. La relación práctica entre compliance y gobierno corporativo
Una forma útil de verlo:
- Gobierno corporativo: define quién decide, supervisa y responde (estructura de poder y control).
- Compliance: define cómo se previene y gestiona el riesgo (métodos, procedimientos y evidencia).
- Auditoría/aseguramiento: verifica que lo diseñado funciona y se cumple.
En escenarios reales, las fallas suelen ocurrir por dos causas: (i) controles sin respaldo de decisiones del órgano competente, o (ii) decisiones del órgano sin una arquitectura de cumplimiento para ejecutarlas y monitorearlas.
4. Fase 1: diagnóstico de riesgos (mapa legal y operativo)
El diseño de un programa de compliance robusto inicia con un diagnóstico que identifique:
- Riesgos legales por actividad y procesos (ej.: contratación, datos personales, relacionamiento con clientes/consumidores, licenciamiento, operación con terceros).
- Riesgos de integridad (conflictos de interés, regalos, pagos a terceros, escenarios de presión comercial o desviación de políticas).
- Riesgos de terceros: agentes, distribuidores, intermediarios, proveedores críticos y su control.
- Riesgos disciplinarios y de cultura: desconocimiento, incentivos mal alineados o falta de canales de reporte.
- Brechas: lo que la empresa “dice” vs. lo que realmente ejecuta.
El resultado debe ser un mapa de riesgos priorizado con criterios de probabilidad e impacto y un plan para cerrar brechas.
5. Fase 2: políticas, procedimientos y controles (diseño “auditable”)
Para que el sistema sea útil (y defendible), las políticas deben traducirse en controles operativos. Recomendaciones prácticas:
- Código de conducta y reglas claras de integridad, conflictos de interés, regalos/hospitalidad y uso de recursos.
- Debida diligencia de terceros: verificación de hojas de vida, reglas para contratación, gestión de alertas y cláusulas contractuales.
- Canal de denuncias: confidencialidad, protección contra represalias, procedimiento de recepción y evaluación.
- Procedimiento de entrenamiento: periodicidad, registros de asistencia, evaluación de comprensión.
- Controles documentales: formatos, aprobaciones, trazabilidad de decisiones, actas y soportes.
- Gestión de incidentes: protocolo de respuesta, investigación interna, reporte a instancias correspondientes y correctivos.
Un buen compliance se reconoce por ser medible y por dejar “evidencia” (no solo intención).
6. Fase 3: rol y responsabilidades del órgano de dirección
El éxito depende de que el gobierno corporativo respalde y supervise. Un esquema típico incluye:
- Junta/Asamblea u órgano equivalente: aprobación del marco de cumplimiento, supervisión general y seguimiento de indicadores.
- Alta gerencia: implementación, recursos y decisiones de mejora.
- Oficial o responsable de cumplimiento (cuando aplique por tamaño): coordinación del programa y monitoreo.
- Comités (auditoría, riesgos, ética, etc.): revisión de hallazgos y recomendaciones.
- Auditoría interna o externa: aseguramiento independiente y evaluación de efectividad.
Además, el gobierno corporativo debe definir qué se reporta, cada cuánto, y qué decisiones se toman a partir de esos reportes.
7. Fase 4: capacitación, cultura y gestión del cambio
Los controles fallan si la cultura no acompaña. Por eso, el programa debe incluir:
- capacitaciones por rol (no una sola charla para todos);
- comunicación interna recurrente;
- alineación de incentivos (evaluaciones y metas no deben premiar conductas riesgosas);
- gestión de cambios cuando se actualicen políticas y procedimientos.
8. Fase 5: monitoreo, métricas y mejora continua
Para sostener el sistema, se requiere monitoreo con indicadores, por ejemplo:
- porcentaje de cobertura de capacitación;
- tiempos de gestión de denuncias e investigaciones;
- hallazgos de auditoría y nivel de cierre;
- resultados de pruebas de controles (efectividad);
- estado de acciones correctivas (responsables y fechas);
- tendencias de riesgos por proceso.
La mejora continua se refleja en actualizaciones documentadas y decisiones del órgano competente.
9. Casos frecuentes: dónde se rompen los sistemas
En la práctica, las debilidades más comunes son:
- Programas “de papel” sin trazabilidad ni evidencia operativa.
- Falta de due diligence sobre terceros (intermediarios, agentes, contratistas).
- Canal de denuncias sin procedimiento real o sin protección efectiva.
- Capacitación genérica que no aterriza a decisiones cotidianas.
- Ausencia de decisiones documentadas del órgano de dirección ante hallazgos.
- Sin métricas: no se mide y, por tanto, no se mejora.
10. Checklist de implementación (guía rápida)
- ¿Se elaboró un mapa de riesgos con prioridad e impacto?
- ¿Existen políticas y procedimientos aterrizados a procesos reales?
- ¿Hay trazabilidad (aprobaciones, actas, soportes) y formatos?
- ¿El órgano de dirección hace seguimiento con reportes periódicos?
- ¿Se definieron roles y responsabilidades claras?
- ¿Hay canal de denuncias con reglas de confidencialidad y no represalias?
- ¿Se hace debida diligencia a terceros críticos?
- ¿Existe plan de capacitación por rol y registro?
- ¿Hay monitoreo y métricas con acciones correctivas?
- ¿Se documentan las mejoras y se aprueban por las instancias competentes?
Conclusión
El derecho de compliance y el gobierno corporativo trabajan juntos: uno diseña el sistema de control y gestión de riesgos; el otro asegura que ese sistema esté respaldado por decisiones, supervisión y responsabilidades claras. En Colombia, la diferencia entre un programa “decorativo” y uno efectivo suele estar en dos elementos: evidencia (trazabilidad y procedimientos) y supervisión (reportes, métricas y decisiones del órgano competente).
Si quieres reducir contingencias y fortalecer la defensa organizacional ante inspecciones, investigaciones o controversias, el primer paso es un diagnóstico de riesgos y una arquitectura de controles auditable.
¿Quieres que revisemos tu caso?
Podemos ayudarte a:
- realizar un diagnóstico de riesgos (legal, operativo e integridad);
- estructurar un programa de compliance con políticas, procedimientos y evidencia;
- definir la gobernanza (roles, comités, reportes y decisiones documentadas);
- implementar un canal de denuncias y un protocolo de investigaciones internas;
- diseñar un esquema de debida diligencia de terceros y cláusulas contractuales;
- establecer métricas y un plan de mejora continua.