ithikios: evolucionando del canal de denuncias al compliance operacional

Fundada en 2020, ithikios nació para facilitar la implantación de canales internos de información. Seis años después, más de 1.000 organizaciones utilizan su tecnología en 10 países y la compañía ha evolucionado hacia una plataforma modular de compliance operacional que conecta políticas, terceros, riesgos, incidentes, controles, evidencias y confianza digital.

Desde World Compliance Association entrevistamos a Jordi Blecua, director de ithikios, para hablar sobre la evolución del compliance, los nuevos retos a los que se enfrentan las empresas y el papel de la tecnología para hacer el cumplimiento más sencillo, integrado y operativo.

Para empezar, ¿qué es ithikios?

Somos una empresa tecnológica española especializada en software de compliance y gobernanza corporativa. Nacimos con una solución de canal interno de información y hoy reunimos en un único entorno la gestión de denuncias, políticas, terceros, riesgos, incidentes, controles, evidencias y confianza digital.

Nuestro objetivo es ayudar a las organizaciones a gestionar el cumplimiento de una forma más sencilla, integrada y demostrable.

¿Cómo y por qué nació la compañía?

ithikios se fundó en 2020, cuando muchas empresas debían prepararse para la Directiva Europea de Whistleblowing y necesitaban una herramienta para implantar un canal interno seguro y fácil de utilizar.

Desde el principio quisimos unir dos mundos que solían estar separados: el conocimiento tecnológico y las necesidades reales de quienes gestionan el compliance en el día a día.

¿Cuál fue el punto de inflexión que llevó a ampliar la solución?

Hablando con cientos de clientes vimos que el canal de denuncias era solo una pieza. Las empresas seguían gestionando políticas, proveedores, riesgos, incidentes y evidencias mediante correos electrónicos, documentos y hojas de cálculo.

El problema no era la falta de otra herramienta, sino la falta de coordinación entre obligaciones y procesos que están relacionados entre sí. Ahí decidimos evolucionar hacia una plataforma de compliance operacional.

Las grandes corporaciones llevan años resolviendo estas necesidades con grandes plataformas GRC, equipos especializados y proyectos complejos. Las pequeñas y medianas empresas necesitan el mismo rigor, pero con soluciones adaptadas a su estructura, sus recursos y su forma de trabajar.

¿Qué entendéis por compliance operacional?

Compliance operacional significa llevar el cumplimiento a la práctica: saber qué hay que hacer, quién debe hacerlo, cuándo debe hacerse y disponer de las evidencias que demuestran que se ha hecho.

Significa pasar de tener políticas y procedimientos a gestionar de forma continua riesgos, controles, terceros, incidentes, evaluaciones y evidencias.

En definitiva, se trata de pasar de tener el compliance documentado a tener el compliance funcionando.

Creemos que esto responde a dos transformaciones importantes que estamos viendo en el mercado.

Por un lado, el compliance está pasando de obligación legal a obligación comercial. Cada vez más pymes adoptan medidas de cumplimiento no solo porque una ley se lo exija directamente, sino porque sus grandes clientes se lo piden para poder contratar. Ciberseguridad, privacidad, ética, sostenibilidad o gobernanza de la inteligencia artificial se están trasladando progresivamente a toda la cadena de proveedores.

Para una pyme, demostrar que cumple ya no es únicamente una cuestión regulatoria: cada vez más es también una condición para hacer negocios.

Por otro lado, el compliance está pasando del documento a la evidencia. Tener un manual de políticas ya no basta. Hay que poder demostrar que los controles se ejecutan, los incidentes se gestionan, los proveedores se revisan y las personas conocen las políticas, de forma trazable y recuperable cuando sea necesario.

Eso es lo que convierte al software en algo más que un repositorio documental: en la herramienta que permite hacer operativo y demostrable el cumplimiento.

¿Cómo ha evolucionado ithikios desde 2020?

Hoy más de 1.000 organizaciones utilizan nuestra tecnología en 10 países, gestionamos procesos que afectan a más de 250.000 empleados y contamos con más de 30 partners certificados.

Además, tenemos certificación ISO 27001 y una valoración media de 4,9 sobre 5 entre nuestros clientes en Capterra.

Pero probablemente la evolución más importante no sea solo cuantitativa. Hemos pasado de resolver un proceso concreto a construir una plataforma desde la que las organizaciones pueden gestionar de forma integrada diferentes ámbitos de su cumplimiento.

¿Qué soluciones integra actualmente la plataforma?

Canal de denuncias, gestión de políticas, homologación y evaluación de terceros, gestión de riesgos e incidentes, controles, Trust Center y automatización del compliance, entre otras capacidades.

La plataforma es modular. Cada organización puede empezar por su necesidad más urgente e incorporar nuevas capacidades a medida que evoluciona.

No creemos que una pyme deba abordar desde el primer día un gran proyecto GRC. La tecnología debe adaptarse a la madurez y las necesidades de cada organización, y no al revés.

¿Por qué la gestión de terceros se ha vuelto tan relevante?

Porque una parte creciente del riesgo de las empresas está fuera de su perímetro directo, en su cadena de proveedores.

Las organizaciones necesitan conocer y evaluar aspectos como la ciberseguridad, privacidad, ética, sostenibilidad o utilización de inteligencia artificial de determinados proveedores, además de solicitar documentación y realizar un seguimiento periódico.

Cuando una organización trabaja con decenas o cientos de terceros, mantener todo este proceso mediante correo electrónico y hojas de cálculo deja de ser eficiente y resulta muy difícil garantizar una trazabilidad adecuada.

¿Qué es el Trust Center y qué valor aporta?

Es el espacio donde una organización puede mostrar de forma ordenada cómo gestiona su seguridad, privacidad y cumplimiento: certificaciones, políticas, controles, subencargados y otras evidencias.

Su valor es también comercial. Permite responder de manera más eficiente a las solicitudes de información de clientes y reducir los cuestionarios repetitivos.

En cierta forma, convierte el cumplimiento en algo visible y demostrable, en lugar de limitarlo a una declaración de intenciones.

¿A qué tipo de empresa os dirigís?

Nuestro principal foco está en la pequeña y mediana empresa, especialmente aquella que empieza a recibir exigencias crecientes de clientes, reguladores o de su propia cadena de valor.

Estas organizaciones necesitan gestionar el cumplimiento con el mismo rigor que una gran corporación, pero sin asumir su complejidad, estructura ni costes.

También trabajamos con una red de partners —despachos, consultoras de compliance, protección de datos o ciberseguridad— que incorporan la tecnología de ithikios a sus propios servicios.

Las empresas se enfrentan a la Ley 2/2023, RGPD, NIS2, ENS, AI Act, normativa ESG... ¿Cómo se gestiona esa acumulación de requisitos?

El error es tratar cada normativa como un compartimento estanco.

Muchas exigencias se solapan: gobernanza, evaluación de riesgos, terceros, políticas, formación, gestión de incidentes, controles o evidencias.

Un mismo control o una misma evidencia puede responder a varias normativas.

Nuestra aproximación consiste en organizar esas capacidades comunes y relacionarlas con los diferentes marcos aplicables. De esta manera, la empresa puede reutilizar el trabajo realizado y evitar gestionar cinco veces la misma obligación desde cinco lugares diferentes.

La idea es sencilla: una única fuente de información para múltiples necesidades de cumplimiento.

¿Qué papel va a tener la inteligencia artificial?

La IA no sustituye el criterio del profesional de compliance, pero puede liberarle de una parte importante del trabajo mecánico y repetitivo.

Nuestra visión es que primero hay que estructurar correctamente los procesos y la información y, sobre esa base, aplicar inteligencia.

Estamos trabajando en agentes que ayuden al compliance officer en tareas del día a día: revisar información, identificar pendientes, preparar evaluaciones, localizar evidencias o proponer actuaciones.

La ambición no es que la IA decida, sino que el profesional llegue a la decisión con el trabajo previo ya hecho.

Y en compliance esto debe hacerse de forma especialmente responsable, teniendo en cuenta la confidencialidad, la protección de la información y la necesaria supervisión humana.

¿Cuál es la visión de futuro de la compañía?

Que cualquier organización, independientemente de su tamaño, pueda gestionar su cumplimiento desde un único lugar y convertirlo en una fuente de confianza frente a clientes, proveedores y otras partes interesadas.

Eso pasa por conectar riesgos, terceros, políticas, controles, incidentes y evidencias; automatizar el trabajo repetitivo; reutilizar la información entre diferentes marcos de cumplimiento y aplicar inteligencia artificial de forma responsable.

Porque el objetivo de la tecnología debería ser reducir la burocracia asociada al compliance, no crear más.

Si tuvierais que resumir ithikios en una frase, ¿cuál sería?

Hacemos operativo el compliance: que sea fácil de gestionar, esté integrado en el día a día de la empresa y pueda demostrarse con evidencias, no solo con un manual.

Ficha rápida de ithikios