La Cultura de integridad: El verdadero punto de partida de un programa de Compliance

Introducción
Durante los últimos años, el concepto de Compliance ha evolucionado significativamente. Lo que anteriormente era considerado una función orientada al cumplimiento de leyes, regulaciones y políticas internas, hoy constituye uno de los pilares del gobierno corporativo y de la gestión integral de riesgos.
Las organizaciones invierten cada vez más recursos en fortalecer sus programas de cumplimiento mediante códigos de ética, políticas, procedimientos, certificaciones y controles. Sin embargo, una pregunta continúa vigente:

¿Por qué empresas con programas de Compliance aparentemente sólidos siguen enfrentando casos de fraude, corrupción, conflictos de interés o conductas poco éticas?

Después de participar en auditorías internas, auditorías forenses e investigaciones de fraude ocupacional, he comprobado que las organizaciones rara vez enfrentan problemas por la ausencia de políticas. Con mayor frecuencia, las irregularidades surgen cuando la cultura organizacional permite normalizar pequeñas excepciones que, con el tiempo, evolucionan hacia riesgos mucho más significativos.

Por ello, el primer control de cualquier organización no es un procedimiento; es su cultura de integridad.

El Compliance comienza con la cultura

La ISO 37301, referente internacional para los Sistemas de Gestión de Compliance, reconoce que el liderazgo, la cultura organizacional y el compromiso de la Alta Dirección constituyen elementos esenciales para lograr un cumplimiento efectivo.

Asimismo, los Principios de Gobierno Corporativo de la OCDE destacan la responsabilidad del Consejo de Administración para promover una cultura basada en la ética, la transparencia y la rendición de cuentas.

Estos marcos internacionales coinciden en un aspecto fundamental: el cumplimiento no depende exclusivamente de las normas, sino del comportamiento de las personas que las aplican.

Las organizaciones pueden disponer de políticas impecablemente redactadas, sofisticados sistemas tecnológicos y procesos perfectamente documentados; sin embargo, si las decisiones diarias no reflejan los valores que promueven, el programa de Compliance terminará perdiendo credibilidad.

La cultura no sustituye al Compliance; lo hace posible.

El Ambiente de Control: donde realmente inicia el Compliance

El Marco Integrado de Control Interno COSO establece que el Ambiente de Control constituye el fundamento sobre el cual descansan todos los demás componentes del sistema de control interno.

Este componente comprende aspectos como la integridad, los valores éticos, el liderazgo, la asignación de responsabilidades, la competencia profesional y la rendición de cuentas.

Desde la perspectiva de la Auditoría Interna, estos elementos representan mucho más que conceptos teóricos; constituyen indicadores que permiten evaluar si la organización cuenta con las condiciones necesarias para que sus controles funcionen de manera efectiva.

La experiencia en auditoría forense demuestra que, cuando una organización enfrenta un fraude, las evidencias permiten reconstruir cómo ocurrió el hecho. Sin embargo, casi siempre revelan algo más importante: mucho antes de que existiera una pérdida económica ya estaban presentes señales de deterioro en la cultura organizacional, en el liderazgo y en el ambiente de control. Esas señales existían, pero nadie las interpretó oportunamente.

Por ello, fortalecer el Ambiente de Control no solo representa una buena práctica de gobierno corporativo; constituye una de las herramientas más eficaces para prevenir riesgos antes de que se materialicen.

De un Código de Ética a un Sistema Integral de Integridad

Uno de los errores más frecuentes consiste en asumir que elaborar un Código de Ética equivale a contar con un programa de Compliance.

La realidad demuestra que un documento, por sí solo, no modifica conductas.

La integridad debe administrarse como un sistema permanente y no como un requisito documental.

Desde mi experiencia profesional, existen cuatro elementos fundamentales para fortalecer una cultura organizacional basada en la integridad:

• Un Código de Ética y Conducta, que establezca claramente los principios y comportamientos esperados.
• Un Comité de Ética independiente, responsable de analizar objetivamente posibles incumplimientos y garantizar investigaciones imparciales. 
• Una estrategia permanente de comunicación y capacitación, que mantenga presentes los valores organizacionales en todos los niveles de la empresa. 
• Un canal de denuncias confiable e independiente, que permita detectar oportunamente conductas indebidas y fortalezca la confianza de colaboradores, clientes y proveedores. 

Estos elementos no deben implementarse únicamente para cumplir una disposición normativa. Deben integrarse como parte del modelo de gobierno corporativo y de una estrategia preventiva de gestión de riesgos.

Auditoría Interna y Compliance: una alianza estratégica

Con frecuencia se percibe a Auditoría Interna y Compliance como funciones similares. En realidad, ambas se complementan.
El Modelo de las Tres Líneas, desarrollado por el Institute of Internal Auditors (IIA), reconoce que Compliance forma parte de la segunda línea, apoyando a la administración mediante políticas, monitoreo y asesoría especializada.

Auditoría Interna, como tercera línea, proporciona aseguramiento independiente sobre la eficacia del gobierno corporativo, la gestión de riesgos y los controles.

Sin embargo, desde la perspectiva de la auditoría forense, investigar un fraude no significa únicamente identificar responsables. También implica comprender qué controles fallaron, qué decisiones facilitaron la conducta indebida y qué cambios deben implementarse para evitar que el evento vuelva a repetirse.

Precisamente ahí reside el mayor valor que la Auditoría puede aportar al Compliance: transformar cada hallazgo en una oportunidad para fortalecer los controles, reducir riesgos y consolidar una cultura de integridad.

Reflexión final

Las organizaciones invierten importantes recursos en políticas, controles y certificaciones. Sin embargo, ninguno de estos elementos sustituye el compromiso de las personas con la integridad.

La experiencia demuestra que las empresas no fracasan por carecer de normas; fracasan cuando su cultura permite ignorarlas.

Construir una cultura ética requiere liderazgo, consistencia y compromiso permanente. No es responsabilidad exclusiva del área de Compliance ni de Auditoría Interna; es una responsabilidad compartida por el Consejo de Administración, la Alta Dirección y cada integrante de la organización.

Como auditores, nuestra responsabilidad no termina cuando identificamos un incumplimiento. Nuestro mayor aporte consiste en ayudar a las organizaciones a comprender por qué fallaron los controles y cómo evitar que esos riesgos vuelvan a materializarse.

Porque, al final, el mejor programa de Compliance no es el que cuenta con más políticas, sino aquel en el que las personas hacen lo correcto aun cuando nadie las observa.

Reflexión del autor

Toda investigación forense explica cómo ocurrió un fraude; un programa de Compliance maduro evita que ese fraude vuelva a repetirse.