¿Por qué fracasan los programas de Compliance? Cinco reflexiones desde la Auditoría Forense

Introducción

El Compliance ha evolucionado de manera significativa. Hoy las organizaciones cuentan con códigos de ética, políticas anticorrupción, canales de denuncia, evaluaciones de riesgos y sistemas de gestión alineados con estándares internacionales como la ISO 37301.

Sin embargo, continúan presentándose casos de fraude, corrupción, conflictos de interés y otras conductas indebidas incluso en empresas que, aparentemente, disponen de programas de Compliance sólidos.

La pregunta resulta inevitable:

¿Por qué ocurre esto?
Después de participar en auditorías internas, auditorías forenses e investigaciones de fraude ocupacional, he observado que los programas de Compliance rara vez fracasan por falta de políticas o procedimientos. En la mayoría de los casos, el problema radica en que esos controles dejan de formar parte de la cultura organizacional.

Las siguientes reflexiones surgen de la experiencia profesional y encuentran respaldo en marcos internacionales como COSO, ISO 37301, el Modelo de las Tres Líneas del Institute of Internal Auditors (IIA) y los Principios de Gobierno Corporativo de la OCDE.

Cinco Reflexiones como auditor forense:

1.    Un Código de Ética firmado no significa una cultura ética

Muchas organizaciones consideran que el proceso concluye cuando todos los colaboradores firman el Código de Ética.

Sin embargo, durante diversas investigaciones forenses he encontrado una realidad distinta: numerosos colaboradores desconocían cómo actuar frente a un conflicto de interés, ignoraban los mecanismos para reportar una irregularidad o simplemente asumían que determinadas conductas eran aceptables porque siempre habían ocurrido de esa manera.
ISO 37301 establece que un Sistema de Gestión de Compliance requiere liderazgo, cultura organizacional, comunicación y mejora continua.

En otras palabras, el cumplimiento no depende únicamente de documentos; depende de las decisiones que las personas toman diariamente.
Una organización desarrolla una verdadera cultura ética cuando sus líderes actúan conforme a los principios que esperan de los demás.

2.    El fraude casi nunca comienza con una gran irregularidad
Existe la percepción de que los fraudes aparecen de forma repentina.
La experiencia demuestra exactamente lo contrario.
Generalmente comienzan con pequeñas excepciones:

• una autorización fuera del procedimiento;
• un conflicto de interés no revelado;
• un proveedor favorecido;
• una conciliación que nunca se revisó;
• una política que dejó de aplicarse solo por esta ocasión. 

Cuando estas prácticas dejan de corregirse, comienzan a formar parte de la cultura organizacional.

El fraude no surge de un solo evento.

Normalmente es la consecuencia de múltiples decisiones equivocadas que la organización permitió acumular con el paso del tiempo.

3.    Los controles fallan antes que las personas

Uno de los mayores aprendizajes que deja la Auditoría Forense consiste en comprender que, antes de que exista una pérdida económica, normalmente ya existían señales de alerta.

El Marco Integrado de Control Interno COSO identifica al Ambiente de Control como el fundamento de todo sistema de control interno.

Cuando el liderazgo pierde credibilidad, las responsabilidades dejan de cumplirse, las excepciones se vuelven habituales o la supervisión disminuye, el Ambiente de Control comienza a deteriorarse.

Ese deterioro afecta posteriormente la evaluación de riesgos, las actividades de control, la información y comunicación y el monitoreo.

En la práctica, la Auditoría Forense demuestra que muchas organizaciones no perdieron dinero por falta de controles; lo perdieron porque las primeras señales de deterioro nunca fueron atendidas.

Por ello, evaluar el Ambiente de Control representa una de las herramientas preventivas más importantes para Auditoría Interna y Compliance.

4.    Un canal de denuncias solo funciona cuando genera confianza

Cada vez más organizaciones implementan canales de denuncia como parte de sus programas de Compliance.

No obstante, un canal de denuncias no genera valor únicamente por existir.

Su efectividad depende de la confianza que inspire entre colaboradores, proveedores y terceros.
Cuando las personas perciben que las denuncias no serán investigadas, que pueden sufrir represalias o que determinadas personas nunca serán investigadas, simplemente dejan de utilizar el sistema.

Desde la perspectiva de Auditoría, el éxito de un canal de denuncias no debe medirse únicamente por el número de reportes recibidos, sino por la oportunidad de las investigaciones, la calidad de las acciones correctivas y la capacidad de la organización para aprender de cada incidente.

5.    Auditoría Interna y Compliance son aliados estratégicos

Con frecuencia ambas funciones se analizan de manera independiente.

Sin embargo, el Modelo de las Tres Líneas del Institute of Internal Auditors establece claramente que Compliance y Auditoría Interna cumplen responsabilidades complementarias dentro del gobierno corporativo.

Mientras Compliance promueve el cumplimiento mediante políticas, asesoría y monitoreo, Auditoría Interna proporciona aseguramiento independiente respecto de la eficacia del sistema de control interno y de la gestión de riesgos.

La Auditoría Forense agrega un componente adicional: analizar por qué fallaron los controles, identificar las causas raíz y proponer mejoras que reduzcan la probabilidad de recurrencia.

En consecuencia, una investigación no debe concluir con la identificación de responsables.

Debe convertirse en una oportunidad para fortalecer el programa de Compliance.

Después de concluir una investigación, una de las preguntas más importantes no es quién cometió la irregularidad.

La pregunta verdaderamente relevante es:

¿Qué permitió que esto ocurriera?

Con frecuencia la respuesta no está en una sola persona. Se encuentra en procesos débiles, supervisión insuficiente, conflictos de interés no administrados, controles que dejaron de aplicarse o una cultura que normalizó pequeñas excepciones.

Precisamente ahí es donde Auditoría aporta su mayor valor al Compliance.
No únicamente explicando el pasado. Sino ayudando a prevenir el siguiente evento.

Reflexión final

La experiencia demuestra que las organizaciones no fracasan por carecer de políticas. Fracasan cuando su cultura permite ignorarlas.

Los estándares internacionales proporcionan un marco de referencia indispensable; sin embargo, la verdadera efectividad de un programa de Compliance depende de la capacidad de la organización para convertir esos principios en comportamientos cotidianos.

Desde la perspectiva de la Auditoría Forense, cada investigación representa una oportunidad para fortalecer controles, mejorar procesos y consolidar una cultura de integridad.

Porque el verdadero valor de una investigación no consiste únicamente en explicar cómo ocurrió un fraude. Consiste en ayudar a que nunca vuelva a repetirse.