La entrada en vigencia del nuevo Código Penal dominicano introduce un cambio importante en la manera en que las empresas deben entender y gestionar sus riesgos legales. La responsabilidad penal de las personas jurídicas coloca el cumplimiento en un nivel que va mucho más allá de contar con políticas escritas, códigos de ética o un manual de compliance archivado en una carpeta.
Este cambio exige que las empresas comiencen a hacerse una pregunta fundamental: ¿podemos demostrar que nuestro sistema de cumplimiento realmente funciona?
Durante mucho tiempo, cuando en República Dominicana se hablaba de compliance, la conversación estuvo fuertemente vinculada a la prevención del lavado de activos, el financiamiento del terrorismo y las obligaciones derivadas de la normativa aplicable a determinados sujetos obligados. Sin embargo, desde hace años el concepto de compliance ha evolucionado considerablemente.
Hoy hablamos de una visión mucho más amplia: cumplimiento penal, anticorrupción, gobierno corporativo, seguridad y salud en el trabajo, medioambiente, protección de datos, prevención del fraude, conflictos de interés, relaciones con terceros, debida diligencia y otros riesgos derivados de las actividades propias de cada organización.
El nuevo Código Penal hace todavía más relevante esa evolución.
El error de pensar que basta con un manual
Una de las principales preocupaciones que observo actualmente es que algunas empresas están interpretando la necesidad de implementar programas de compliance como una obligación esencialmente documental.
Se piensa: “Necesitamos un manual de compliance”. Se contrata su elaboración, se aprueba, se distribuye y, en ocasiones, termina archivado hasta que alguien vuelve a solicitarlo.
Eso no es compliance.
Un manual puede ser una pieza importante del sistema, pero el documento por sí solo no demuestra que la empresa tenga una verdadera cultura de cumplimiento ni que esté gestionando efectivamente sus riesgos.
Incluso un manual técnicamente impecable pierde gran parte de su valor si la organización no puede demostrar que identifica sus riesgos, aplica controles, capacita a su personal, supervisa su cumplimiento, investiga incidentes, adopta acciones correctivas y revisa periódicamente la eficacia del sistema.
El verdadero desafío no es tener un documento. Es poder demostrar implementación y efectividad.
Del manual al sistema de gestión
Aquí resulta especialmente importante comprender la vinculación entre compliance, gestión de riesgos y los estándares internacionales.
Las normas ISO han contribuido durante años a consolidar una cultura basada en sistemas de gestión: planificar, implementar, verificar, medir, corregir y mejorar continuamente.
Ese mismo principio debe trasladarse al compliance.
Un programa serio debe partir del contexto particular de cada empresa. No tiene los mismos riesgos una estación de combustibles, una empresa de transporte, una institución financiera, una industria manufacturera o una empresa de servicios.
Por eso, copiar un manual genérico tampoco resuelve el problema.
La organización debe identificar cuáles son sus riesgos reales y establecer controles proporcionales a ellos.
Un sistema efectivo de compliance debe integrar, entre otros elementos:
- liderazgo y compromiso de la alta dirección;
- identificación y evaluación periódica de riesgos;
- políticas, procedimientos y controles internos;
- definición clara de responsabilidades;
- debida diligencia sobre empleados, proveedores, contratistas, socios y terceros relevantes;
- mecanismos de consulta y canales de denuncia;
- capacitación periódica;
- mecanismos de investigación y respuesta;
- documentación y conservación de evidencias;
- indicadores para medir el desempeño;
- auditorías internas;
- acciones correctivas y preventivas;
- revisión periódica por la dirección; y
- mejora continua.
Esto significa que el compliance no termina cuando se entrega el manual. Ahí comienza.
Implementar, medir, auditar y corregir
La lógica de un verdadero sistema de gestión implica un ciclo permanente.
Primero identificamos los riesgos. Después diseñamos los controles. Los implementamos. Capacitamos a las personas responsables de aplicarlos. Posteriormente verificamos si realmente están funcionando.
Y cuando encontramos desviaciones, las corregimos.
Por eso las auditorías internas son fundamentales. Permiten determinar si lo que la organización dice que hace coincide con lo que realmente sucede en sus operaciones.
También debemos establecer indicadores. ¿Cuántos colaboradores fueron capacitados? ¿Qué porcentaje de proveedores críticos pasó por debida diligencia? ¿Cuántos hallazgos se detectaron? ¿Cuánto tiempo tomó corregirlos? ¿Los controles establecidos están reduciendo efectivamente los riesgos identificados?
Lo que no se mide difícilmente puede gestionarse adecuadamente.
Compliance y cultura organizacional
Hay además un componente que ningún manual puede sustituir: la cultura.
Una empresa puede tener excelentes políticas escritas y, al mismo tiempo, mantener prácticas internas completamente contrarias a ellas.
Por eso el compromiso de la alta dirección es determinante.
El mensaje de cumplimiento debe comenzar desde arriba y reflejarse en las decisiones cotidianas de la organización. No puede existir una política de integridad para fines formales mientras internamente se toleran conductas que contradicen esa política.
Compliance significa establecer reglas, pero también crear mecanismos para que esas reglas sean conocidas, aplicadas, supervisadas y exigidas.
¿Qué deberían hacer ahora las empresas?
La entrada en vigencia del Código Penal debe aprovecharse como una oportunidad para revisar integralmente los sistemas de cumplimiento existentes.
Las empresas que ya cuentan con políticas o manuales deberían realizar un análisis de brecha para determinar qué tienen, qué realmente aplican y qué necesitan fortalecer.
Las que todavía no cuentan con un sistema deberían comenzar por evaluar sus riesgos y no simplemente descargar o adquirir un modelo estándar.
El objetivo debe ser construir un sistema adaptado al tamaño, sector, estructura, operaciones y nivel de exposición de cada organización.
También será necesario mantener evidencia. En materia de compliance, no solamente importa hacer las cosas correctamente; resulta fundamental poder demostrar que se hicieron correctamente.
Actas, matrices de riesgo, registros de capacitación, evaluaciones de terceros, informes de auditoría, investigaciones, planes de acción, seguimiento de hallazgos y revisiones periódicas forman parte de esa trazabilidad.
El Código Penal debe cambiar la conversación empresarial
La entrada en vigencia del nuevo Código Penal debe provocar una transformación en la cultura corporativa dominicana.
La conversación ya no debería ser:
“¿Tenemos un manual de compliance?”
Debería ser:
“¿Tenemos un sistema de compliance implementado, funcionando, medido, auditado y mejorado continuamente?”
Esa diferencia es fundamental.
El compliance moderno no es un documento ni una carpeta que se prepara para enseñarla cuando llega una auditoría, un cliente o una autoridad. Es un sistema vivo de gestión, integrado a las operaciones y a la toma de decisiones de la organización.
El Código Penal puede ser el catalizador que muchas empresas necesitaban para comprenderlo.
Porque, al final, tener un manual demuestra que existe un documento. Tener un sistema efectivo demuestra que existe cumplimiento.
Isabel Puig
Abogada y consultora especializada en compliance, sistemas de gestión y gestión de riesgos
