Kitabı oku: «Los ocho pilares de Compliance»
Matthias Kleinhempel
Los ocho pilares del compliance
Reflexiones y propuestas
Matthias Kleinhempel
Los ocho pilares del compliance / Matthias Kleinhempel. - 1a ed. revisada. - Ciudad Autónoma de Buenos Aires : Temas Grupo Editorial, 2021.
Libro digital, Amazon Kindle
Archivo Digital: descarga y online
ISBN 978-987-8387-30-7
1. Ética. 2. Responsabilidad Pública. I. Título.
CDD 658.001
© Matthias Kleinhempel, 2021
© TEMAS Grupo Editorial SRL, 2021.
Cerrito 136 Piso 3°A.
Ciudad Autónoma de Buenos Aires
C1010AAD. República Argentina
Teléfonos: (5411) 4381.1182 o 4383.6336
www.editorialtemas.com
ISBN 978-987-8387-30-7
1ra. edición, junio de 2021
Corrección general: Julieta Berardo
Comité TEMAS Grupo Editorial
Dirección: Jorge Scarfi
Supervisión general: Betiana Cabutti
Diagramación editorial: FLOTA Creativa
Conversión a formato digital: Libresque
Queda hecho el depósito que previene la ley 11.723 Prohibida la reproducción total o parcial de los contenidos de este libro en cualquier forma y medio sin previo permiso por escrito de los autores y/o titulares de Copyright.
A Nelita, Max y Nico.
AGRADECIMIENTOS
A todos los que de una u otra manera han contribuido a este libro con sus contribuciones, su expertise y experiencias compartidas en actividades del Centro de Gobernabilidad & Transparencia.
PRÓLOGO
Ser Compliance Officer en la América Latina de hoy:
una tarea desalentadora pero fascinante
Hay una gran cantidad de documentos y directrices disponibles sobre Ética y Cumplimiento (É&C), pero sólo unos pocos están diseñados para aquellos responsables de asegurarse de que los estándares de integridad lleguen a todas las partes de la organización. Esta obra, que se enfoca en los ocho pilares del compliance, arroja luz sobre el verdadero rol de la función, el lugar que ocupa en la vida corporativa y propone herramientas prácticas que resultan de gran valor para quienes ponemos el cuerpo en esta tarea fascinante.
El libro sobre los ocho pilares del compliance está especialmente dedicado a quienes estamos involucrados en la función de É&C, o lo estaremos en el futuro cercano. Podemos trabajar en compliance a tiempo parcial en una estructura pequeña o a tiempo completo en una organización más grande. Puede que seamos la única persona encargada de É&C en la empresa o que formemos parte de un equipo más grande. Si no estamos directamente involucrados en el cumplimiento, puede que nos encontremos estrechamente relacionado con él, por ejemplo, a través de una función de control en auditoría interna.
Para todos nosotros, esta obra ofrece orientación práctica y sugerencias útiles basadas en la experiencia del autor. Hace más de 10 años que dirige el Centro de Gobernabilidad y Transparencia del IAE Business School y, desde allí, ha podido realizar una meticulosa selección de artículos y papers que han sido la arcilla con la que el autor dió forma a esta obra.
Es, en esencia, una herramienta de capacitación, no un libro más sobre anticorrupción y responsabilidad penal de las organizaciones. No se detiene en consideraciones teóricas sobre la necesidad de que las empresas cumplan con las normas legales y éticas. Ha llegado el momento de profundizar en el verdadero mecanismo de toma de decisiones y darle a la función É&C la altitud de vuelo necesaria para ayudar al negocio a superar dilemas concretos y emitir juicios difíciles.
Lo que se espera de nosotros es que ayudemos a traducir la expectativa de transparencia e integridad a la realidad cotidiana de la gestión comercial. En última instancia, el éxito de nuestra organización para alcanzar altos estándares éticos dependerá (en gran parte, pero no exclusivamente) de los esfuerzos sostenidos para fomentar una cultura de integridad efectiva. Nuestra función es inculcar en la organización un nuevo conjunto de reflejos, permitiendo que los colaboradores actúen espontáneamente de la manera correcta.
Un primer paso será conocer los productos, servicios, procesos y procedimientos de nuestra organización. Deberíamos poder hablar con el mayor grado de credibilidad a todos en la empresa, del primero al último. Para estar en condiciones de aconsejar, alentar, advertir o sancionar, nuestros colaboradores deben reconocernos como “uno de ellos”, y no como paracaidistas que llegaron desde el exterior.
Vendrán a buscarnos con preguntas del tipo: “¿Debo aprobar este pago?”, “¿Debo aceptar el nombramiento de este intermediario?”, “¿Debo informar esta circunstancia?” Para ser totalmente creíbles, deberíamos ser capaces de demostrar que tenemos una comprensión completa de la situación, tanto en sus aspectos éticos como comerciales. Por lo tanto, será crucial que nos mantengamos al corriente de los desarrollos industriales, comerciales y financieros de la empresa. No deberíamos encerrarnos en nuestra función. Estemos atentos a los nuevos productos y servicios y tengamos en cuenta la expansión a nuevos mercados, nuevos canales de comercialización, y cambios en el modelo de gobierno de la organización.
Esto es parte de la gestión de riesgos. No se puede poner en marcha una política genuina de É&C sin comenzar con una evaluación de riesgos de la organización, tal como el autor nos explica en el Pilar 1. El mapeo de la exposición a riesgos de É&C nos permitirá evaluar las fortalezas y debilidades de nuestra organización y establecer las prioridades. Deberíamos identificar las áreas más sensibles, qué unidades de negocios presentan la mayor exposición al riesgo, y qué instancias o actividades han generado la mayor cantidad de incidentes.
Una evaluación exhaustiva del riesgo, que se actualiza periódicamente y permite dirigir el tiempo y la energía a las necesidades más urgentes, lleva a que É&C tome distancia de los temas estrictamente legales. El autor, en línea con los postulados del Centro de Gobernabilidad y Transparencia, nos recuerda que compliance es un tema de gestión, de management, donde las palabras clave son otras: Cultura organizacional, liderazgo, confianza, principios y aspectos psicológicos. Todos estos conceptos se integran en lo que hoy se conoce como behavioral compliance, behavioral ethics y behavioral risk.
De esta forma, cuando el autor se refiere al Pilar 2, nos destaca que la importancia de la cultura y los principios que guían a los empleados se expresa en la búsqueda de un adecuado tone (y Conducta) at the top. No es lo mismo que lo escrito en el código de conducta.
Con toda lucidez, el autor reconoce que el verdadero tone at the top se ve en los sistemas de incentivos. Si una parte importante de la remuneración es variable y depende del cumplimiento de objetivos de ventas a corto plazo, no sólo se convierte en una invitación al atajo, además crea entre los colaboradores un cinismo cruel y la convicción de que ”los de arriba” solo quieren crear una pantalla para mitigar sus riesgos personales.
Cuando falla el tone at the top, dice el autor, falta la base para una cultura de integridad, sin la cual ningún programa de compliance puede funcionar. Para que funcione, el autor nos propone poner en marcha cinco elementos esenciales, consistentes entre sí: Liderazgo; Justicia interna; Sistemas de incentivos; fomento de una cultura de speak up; e Integridad como valor absoluto, y no como ecuación de riesgo beneficio.
El autor indica que la prevención se logra con un mejor proceso de toma de decisiones. Plantea la pregunta: ¿Cómo se logra que la gente tome buenas decisiones en situaciones difíciles? Debemos tener presente que la toma de decisiones éticas involucra, necesariamente, no sólo a la cultura y las normas, sino también los sesgos cognitivos de las personas. Los entrenamientos cortos, frecuentes, interactivos y concretos, basados en la resolución de dilemas, serán clave para que el camino correcto sea la elección natural.
Sin embargo, en la mayoría de los casos, terminamos enmarcando nuestras comunicaciones y entrenamientos sin pensar mucho en cómo será percibido por nuestro público. Las políticas y mensajes tienden a ser redactados en un idioma formal, legal y de prohibición (convengamos que la mayoría de nosotros tiene un background legal). Desafortunadamente, es la forma más directa para llegar al razonamiento no deseado. Como dice el autor, la mente de las personas no es simplemente una máquina cableada para reaccionar de determinada forma; es, más bien, una obra de arte que actúa y reacciona en base a metáforas, narrativas y emociones.
Debido a que las presiones del entorno influyen fuertemente en nuestras decisiones, el autor nos recomienda identificar su índole y magnitud en los mapeos de riesgos de É&C. De esta forma, podremos contribuir a disminuir las presiones negativas del entorno.
Una pregunta frecuente que nos hacemos es “¿cómo hago para inspirar integridad en mi organización o, mejor dicho, a sus miembros, desde el CEO hasta el cadete?” El autor nos enseña que se trata de un proceso directo y “auto-administrado”, que se produce desde arriba hacia abajo y es continuo, se da todos los días. Es el tone at the top aplicado con el ejemplo. Requiere de mucha disciplina y justicia interna: un solo paso en falso daña enormemente la credibilidad.
El autor insiste a lo largo de esta obra con nuestro rol como trendspotters, como guías para la alta dirección detectando hacia dónde se dirige el tren de los comportamientos aceptados por la sociedad y los cambios regulatorios que los siguen. Adquiere mayor importancia nuestra faceta de guardián del comportamiento debido, y no solo la del comportamiento permitido. Así, para preservar la percepción positiva de la empresa entre sus stakeholders, no alcanza con una mirada legalista desde el entorno normativo actual. Opina el Prof. Kleinhempel que la clásica función de compliance ha muerto y se convirtió en una función más abarcativa de ética e integridad, la cual para el mundo de los negocios puede ser más seductora, pensando en sus efectos sobre la reputación.
Cuando el autor se refiere al Pilar 3 dedicado al rol del compliance officer, nos recuerda que el éxito depende básicamente de cuatro aspectos: 1) nuestra independencia de las divisiones de negocio y otras funciones que eventualmente puedan estar involucradas en actos inadecuados; 2) un posicionamiento de rango estratégico; 3) el acceso directo al Directorio en caso de cualquier irregularidad; 4) que contemos con la calificación técnica, la reputación y una gran capacidad de relacionamiento personal con todos los niveles jerárquicos de la organización.
No existe un patrón uniforme o incluso preferido para trazar la función de cumplimiento en el organigrama. Puede ubicarse dentro del departamento legal o puede establecerse como un departamento nuevo, independiente, enfatizando así su misión específica y, a menudo, novedosa. Puede integrarse como parte de la función de auditoría interna o en el departamento de finanzas. En realidad, el lugar de la función de cumplimiento en la organización será dictado de forma pragmática por el tamaño de la empresa, su estilo de gestión (que puede ser centralizado o descentralizado) y la naturaleza de sus actividades.
Si bien la localización de la función de cumplimiento puede no ser de una importancia abrumadora, su autonomía operativa y su capacidad para acceder a la alta gerencia/directorio/dueños de la empresa serán factores decisivos para nuestro éxito final. No hay que confundir “autonomía” con “independencia”. La independencia total de la función de É&C es una quimera poco realizable en la práctica: siempre van a existir personas ajenas a la función que, entre otros, definan los parámetros de recursos humanos aplicables, nuestra evaluación de desempeño, remuneración, beneficios, desarrollo profesional, etc. Otras personas, también fuera de la función, aprobarán, rechazarán o modificarán el presupuesto de É&C. Lo que realmente importa, entonces, es que tengamos autonomía, es decir, una genuina libertad de acción y de expresión. Deberíamos poder definir las prioridades (basadas en una evaluación de riesgos), redactar y enmendar el Programa de Integridad, establecer políticas sobre temas específicos, comunicar nuestros mensajes de manera eficiente en toda la organización, controlar actividades en todas partes en la empresa, y tomar medidas cada vez que la ética está en juego.
Estas libertades se caracterizan, sobre todo, por un acceso sin restricciones a la alta gerencia. Cada vez que se plantea un asunto serio, que puede poner en peligro la reputación, deberíamos poder llevar dicha preocupación a la cima de la organización. Si el acceso estuviera condicionado, obstaculizado, obstruido o denegado, no podríamos funcionar correctamente. El denominado acceso a la alta gerencia tampoco tiene una respuesta uniforme. Dependiendo de la sofisticación del gobierno del ente, la opción preferida sería el acceso al presidente del Comité de Auditoría, que generalmente será un director independiente, colocándolo por encima de posibles conflictos de interés. Pero resulta que en América Latina sólo un puñado de empresas tienen Comité de Auditoría. En el caso de una pyme criolla, habrá que asegurarse el acceso al patriarca, idealmente a intervalos regulares. La cuestión de género también incide en É&C y ojalá veamos más mujeres en posiciones clave en las organizaciones ya que, aparte de su importancia por otras razones como la calidad de las decisiones, tiene un efecto positivo sobre los niveles de corrupción. El resultado demuestra que hay menos corrupción cuando lideran mujeres. No es casualidad que el mundo de compliance esté decididamente comandado por mujeres. Enhorabuena, el verdadero matriarcado del compliance.
Ahora bien, lo novedoso de nuestra tarea, su dificultad, y la especificidad de nuestra función requerirán que sea definido, junto con la alta gerencia, los términos de referencia para nuestro trabajo. Podrán diferir de una organización a otra, pero generalmente estarán presentes algunos elementos explícitos como (i) la asignación de tareas básicas (lo que se supone que debemos hacer; (ii) los medios prácticos que utilizaremos para alcanzar los objetivos (las herramientas y los presupuestos que nos asignarán para realizar las tareas); y (iii) la autoridad que nos otorgarán para lograr lo que se espera (el poder real que detentaremos).
Cuando el autor se refiere al Pilar 4 sobre comunicación, educación y entrenamiento, anticipa que una parte importante de nuestro trabajo es influenciar, persuadir y convencer a otros. Afirma que tanto la alta dirección como los ejecutivos y empleados deben ser persuadidos del valor del programa de É&C para la compañía, y para ellos como individuos. Deberíamos saber cómo lograr este objetivo de comunicación efectiva, a través de los entrenamientos, las discusiones individuales y la infinita cantidad de reuniones que sostengamos por día.
Por otro lado, una de nuestras tareas centrales será liderar el proceso de redacción de Políticas y Procedimientos de compliance. El autor aborda el Pilar 5 sobre Políticas y Procedimientos afirmando que el Código de Conducta es la piedra fundamental y la base de todo sistema de É&C. Es su “constitución”. Vale, entonces, que le dediquemos a su elaboración tiempo y criterio. El Código de Conducta, dice el autor, es una guía para tomar decisiones difíciles. Cuando son cortos y los redactamos en tono positivo (no como un listado de prohibiciones) y usando lenguaje cotidiano, se convierten en un documento de consulta permanente.
En un mundo más globalizado y con productos y servicios cada vez más commodities, advierte el autor que la ventaja competitiva más importante está más asociada al “cómo” se hacen las cosas y no tanto al “qué” es lo que se produce o comercializa; porque el “qué” se copia o mejora cada vez más rápido. Entonces, dice el autor, para poder diseñar un programa de É&C en la organización y lograr que sea efectivo, hay que diseñarlo desde la percepción de los empleados. Solo si ellos lo compran, y las declamaciones desde “arriba” les resultan creíbles, lo van a aceptar e internalizar en sus procesos de toma de decisiones.
Otra tarea importante tiene que ver con la gestión del canal de reportes. El autor nos deja, cuando desarrolla el Pilar 6, una guía de consejos prácticos para que las líneas de denuncias funcionen. Entre ellos destaca que el canal más natural es la conversación con el superior directo o con nosotros. Cuanto más se usa la conversación, más sana es la cultura de la compañía: demuestra que no hay miedo a hablar de temas sensibles. También resultará relevante encontrar una solución que proteja a los denunciantes en forma más efectiva. Si están protegidos, más aún se animarán a dar el paso.
Ahora que tenemos una mejor idea de nuestras tareas y conocemos los medios que nos darán para realizarlas, la autoridad suficiente para hacer que nuestra voz se escuche en la organización es un paso clave, tal vez será la cuestión más delicada para abordar en el proceso de establecer nuestra misión. ¿Podremos cruzar líneas jerárquicas para dar recomendaciones o instrucciones? ¿Tendremos una opinión (decisiva) sobre la selección, el nombramiento y la remuneración de los terceros que trabajen para la empresa, por ejemplo, un derecho de veto? ¿De qué manera vamos a interactuar con ellos? En general, ¿qué autoridad tendremos para revisar la fiel implementación del Programa de Integridad?
Al principio, quizás algunas oportunidades comerciales de corto plazo habrá que dejar pasar, pero seguramente esto tendrá un menor impacto que el daño que podría ocasionar un único escándalo de compliance, tanto desde el punto de vista de los mercados, como desde la propia fuerza laboral cada vez más comprometida con altos valores éticos. Explicar la relevancia de los objetivos de É&C, a pesar de los inconvenientes inevitables en términos de efectividad comercial, nunca será tiempo perdido.
Recordemos siempre que nuestro primer objetivo no es controlar y castigar, sino crear un clima favorable de negocios, desde el lugar que nos toca. Tal tarea requiere de altas dosis de persuasión, y la capacidad de alentar y fomentar el proceso. Esto solo será posible en un ambiente de confianza, no en una atmósfera de sospecha sistemática. Seamos más educadores que fiscales; más asesores que inspectores.
El autor también nos recuerda que sin monitoreo y testeo es imposible saber lo que funciona y lo que no, lo que (todavía) sirve y lo que no en el Programa de Integridad. Según el Pilar 7 los controles son necesarios, pero no se puede controlar todo. Aquí el autor plantea la interesante idea del balance entre control y confianza. Los problemas surgen cuando se modifica ese equilibrio: cuando el nivel de controles sube, los miembros de la organización lo perciben como una pérdida de la confianza en ellos.
Los controles, explica el autor, requieren de un alto grado de alineación de los objetivos de la organización y de los empleados. Es en este aspecto donde sale otra vez a la luz la importancia de la cultura organizacional y del tone at the top, requerido por los reguladores en todo el mundo.
Ahora que hemos tomado el control total de la función de É&C, nuestra misión está bien definida, sabemos qué recursos están disponibles y está claro nuestro nivel de autoridad, podemos respirar aliviados. Pero, de repente, asoma el primer escándalo. Todos van a mirar en nuestra dirección: ¿no debimos haber prevenido semejante cuestión? ¿Hemos estado lo suficientemente activos? ¿Hemos hecho todo lo que estaba a nuestro alcance?
La crisis nos baja a tierra rápidamente. Por un lado, ningún sistema de prevención, por sofisticado que sea, podrá garantizar la ausencia total de fallas. Ningún Programa de Integridad estará escrito en piedra, debería ser un proceso de construcción continua. Mientras sigue tan vigente la cuestión sanitaria, en tiempos de COVID-19, podemos crear protocolos estrictos, difundirlos adecuadamente, asegurarnos de que todos los recipientes de alcohol en gel estén en su lugar, pero no podemos evitar la escena en la que vemos a los colaboradores conversar amablemente con sus barbijos por debajo de las narices. Indudablemente, no somos máquinas perfectas.
Por otro lado, hay una diferencia fundamental entre ser responsable de no cumplir adecuadamente con un deber profesional y ser responsable de un delito. El profesional de É&C debe hacer su mejor esfuerzo para evitar que se cometa la conducta irregular. Incluso pudo haber actuado de manera negligente, pero difícilmente será culpado por el delito. Este es el debate que se viene, es decir, cuál será el alcance de nuestra responsabilidad personal.
Cuando el autor se refiere a la responsabilidad personal del compliance officer, es decir, cuando los reguladores empiecen a investigarnos y penalizarnos por Programas de Integridad que no resultaron efectivos, nos deja una importante advertencia. La alta exposición a riesgos personales se encuentra cada vez más cerca. Sin embargo, la función de cumplimiento puede llevar, advierte el Prof. Kleinhempel, a una responsabilidad con límites vagamente definidos y a situaciones poco controlables por nosotros. Nuestra real capacidad de prevención, monitoreo y control de todos los aspectos del Programa de Integridad está limitada y depende de la cooperación de otras áreas. Nuestra función pertenece a la típica “segunda línea de defensa”, según el modelo COSO de las tres líneas de defensa. Responsabilizar al compliance officer por hechos ilícitos nos “promocionaría” a la primera línea de defensa, que típicamente asume la gerencia que hace negocios.
Ahora bien, más allá de la atribución de responsabilidad a nuestra función, la cuestión de la justicia interna (y cómo ella es percibida), afirma el autor, es el termómetro que les indica a los colaboradores los verdaderos valores que nutren el programa de É&C. La justicia interna requiere mucha disciplina y cuidado en el día a día del trato de los colaboradores: a quién premiar; a quién castigar; cómo y qué festejar; no comprometer los valores por un éxito económico de corto plazo. La gente observa y sabe mejor que nadie quién hace qué.
En este caso, los desincentivos permiten demostrar a todos que los comportamientos inadecuados traen sanciones y aumentan la aversión al riesgo. Pero imponer una sanción requiere de un mecanismo justo de investigación interna, como el autor desarrolla en el Pilar 8. A la postre, estas crisis resultan ser el motor principal de la evolución hacia un Programa de Integridad más efectivo. En esto, como en otras cosas, aprendemos a los golpes.
Ahora bien, el tradicional enfoque de los incentivos negativos también tiene un costado poco deseado: el miedo a sanciones, a la obstaculización de negocios y a entrevistas desagradables, lo que no nos ayuda mucho en nuestro rol. Para completar el panorama, muchas veces nos perciben como un mal necesario que agrega costos. Esta percepción imposibilita comunicar y crear el potencial valor de la función y opera en contra de su eficacia. El autor nos alienta a que apliquemos los conocimientos provenientes del comportamiento humano en compliance. Las personas tienden a cambiar el comportamiento cuando reflexionan, y no porque se les hayan impuesto sanciones, que evocan resistencia. Para convencerlas, hay que hacerles sentir que se respetan sus valores y creencias. Para eso necesitamos ayuda. Las áreas de Marketing y de Relaciones Públicas pueden hacer un aporte al cambio cultural, reforzando el tone at the top y sacándonos el estigma negativo del señor o la señora “No”. Tal como ocurre en otros ámbitos, concluye el autor, los incentivos positivos funcionan mejor que los castigos.
Si logramos sobrevivir a la crisis, entonces habrá que capitalizarla como un refuerzo al sistema preventivo. Muchos cooperarán y darán la bienvenida a las nuevas prácticas, pero también habrá resistencia. Ya desde la Introducción el autor nos advierte que las actividades del área de compliance, en muchos aspectos, pueden resultar un desafío para la manera tradicional de hacer negocios. Esto, a su vez, puede originar fricciones con la conducción operativa de los negocios e, incluso, con la alta dirección.
Para algunos, compliance rima con freno a la acción, controles exigentes y reportes rígidos. Los nuevos procedimientos significarán menos flexibilidad, reducción de agresividad comercial y procesos más prolongados de toma de decisiones. Los gerentes comerciales más ambiciosos tendrán una excelente excusa para culparnos de sus dificultades, la perdida de negocios (y los bonos que vienen con ellos). No dejamos de poner palos en la rueda, dirán sin pelos en la lengua.
A no desanimarse. Tomemos el tiempo para probar cada nuevo procedimiento y examinar su cumplimiento y eficiencia comercial. Al hacerlo, podremos distinguir las críticas inmerecidas de las objeciones legítimas. En resumen, busquemos un equilibrio entre las necesidades comerciales y los objetivos de É&C.
La guía brindada en este libro no está destinada sólo a grandes empresas multinacionales (muchas de las cuales ya han establecido sistemas anticorrupción), sino también al vasto universo de pequeñas empresas que a menudo se encuentran al comienzo del viaje. Estas empresas están frecuentemente expuestas al fraude y la corrupción, pero se han hecho pocos esfuerzos para abordar las circunstancias subyacentes.
La nuestra es una tarea desalentadora. Pero, una vez recorridos los ocho pilares tan elocuentemente explicados por el autor, descubriremos que también es una tarea fascinante. Ayudar a los colaboradores a que adopten nuevas prácticas de integridad es uno de los desafíos más grandes y emocionantes para las organizaciones de hoy. Se puede decir con certeza que, con una buena cuota de perseverancia, podremos contribuir de manera decisiva en la generación de un ambiente de negocios con mayores niveles de integridad y transparencia.
Raúl R. Saccani
Presidente de la Comisión de Anticorrupción del CPCECABA
Socio de Deloitte S-LATAM
Buenos Aires, 29 de marzo de 2021
INTRODUCCIÓN
Los textos de este libro son, en su mayoría, ensayos sobre los aspectos más importantes de ética y compliance; buscan y analizan soluciones, o al menos paliativos, para los desafíos de los directorios y los compliance officers.
Son una colección editada y actualizada de comentarios que su autor ha publicado a lo largo de varios años en el newsletter del Centro de Gobernabilidad y Transparencia del IAE Business School en Argentina.
En los talleres del centro se discute sobre el estado de compliance en las empresas. Como es de esperar, las interpretaciones varían en muchos puntos. Sin embargo, en algunos temas, especialmente los desafíos para los compliance officers, hubo bastante coincidencia de visión. La más importante: compliance no está muerto (ni siquiera “casi”). Las actividades del área de compliance, en muchos aspectos, pueden resultar un desafío para la manera tradicional de hacer negocios. Esto, a su vez, puede originar fricciones con la conducción operativa de los negocios e, incluso, con la dirección.
Las regulaciones tienen un valor más allá de sí mismas
Las regulaciones no suelen ser bien recibidas. Los compliance officers se quejan de ellas: son demasiadas, son complejas, no son claras, son burocráticas y tienen una tendencia a crecer y a multiplicarse. Parece que todas las semanas hay una regulación nueva, actualizada o modificada. En las encuestas a compliance officers en todo el mundo, las regulaciones y su aplicación se nombran como una de sus mayores preocupaciones.
Las regulaciones no caen del cielo sin motivo, son la respuesta a problemas detectados. Quizás no sean siempre la mejor respuesta, pero sin un manifiesto problema de la vida empresaria, no existirían. Típicamente, llegan (tarde) para evitar repeticiones de comportamiento inadecuado. Así pasó con el FCPA, que fue la respuesta a una ola de casos de corrupción de empresas de los Estados Unidos en el extranjero, así fue con Sarbanes Oxley después del caso Enron y así es con todas.
Se puede dar vuelta a la queja de los compliance officers: las regulaciones protegen a las empresas de sus propias falencias. Sin comportamiento inadecuado del lado empresarial, no habría (tantas) regulaciones y los compliance officers no se tendrían que quejar de ellas.
La mala noticia es que las regulaciones están creciendo, invaden nuevas áreas, tal como la protección de datos, y se profundizan en otras como en la prevención de lavado de activos. Se vuelven más sofisticadas como en la lucha contra la corrupción, se actualizan y complejizan en su intento de ganar, algún día, su carrera contra las falencias en el comportamiento empresarial. Su mera administración ya es costosa, y su aplicación, a veces, difícil de implementar y controlar.
Probablemente, por esta razón, son vistas por las compañías como molestias con las cuales hay que cumplir, como con cualquier otra imposición de afuera: con el esfuerzo mínimo necesario.
Cumplir con las regulaciones es una buena idea, pero ver en ellas solo una molestia con la cual hay que cumplir mínimamente es perder una oportunidad1.
Las regulaciones son un indicio de “para dónde va el viaje”: dónde están los problemas de compliance hoy, en qué áreas están creciendo o modificándose y dónde el Estado va a poner mayor atención regulatoria. Si las empresas ven a las regulaciones como un incentivo para diseñar e implementar buenas prácticas, se adelantan a la próxima ronda de actualización de la regulación y se ahorran los problemas relacionados con correr detrás de ellas, a las apuradas y con costos adicionales.
No sentarse como último pasajero que apenas llega al último vagón del tren de las regulaciones, sino subirse a su locomotora confiere ventajas. No solo protege mejor los intereses de la organización y la aleja del borde con pérdidas de reputación y consecuencias legales y financieras de un incumplimiento. Permite mirar no solo al presente, sino hacia adelante, anticipándose al cumplimiento de lo que viene en temas de regulaciones. Significa menos riesgos y menos estrés para los compliance officers y el resto de la organización. Pero también, un paso importante para cumplir con el rol del compliance officer como trendspotter para la alta dirección, que le permite no solo ver qué formas de hacer su negocio ya perdieron aceptación, sino también cuáles parecen aceptables hoy, pero están en riesgo, y cuáles son las condiciones esenciales para que una forma de negocio sea considerada válida en un futuro próximo. Analizando varios escándalos corporativos en las últimas décadas, muchos de ellos tienen su causa en la falta de un trendspotter que haya advertido a la alta dirección sobre los cambios en el entorno y la seriedad, con la cual nuevas y más estrictas regulaciones serían aplicadas.
Es todo un tema en estos tiempos, cuando aparecen los (no tan) nuevos aspectos con renovado vigor, como el propósito de la empresa2 o la triple bottomline.
En resumen, ver las regulaciones de compliance como una oportunidad para prepararse para el futuro, y no solo como una molestia, tiene sus ventajas.
1 www.forbes.com. Último acceso: 03/02/21.
2 www.gobernabilidadytransparencia.com. Último acceso: 03/02/21.
PILAR 1
MAPEO DE RIESGOS
Riesgos de ética & compliance
En su guía para el Foreign Corrupt Practices Act (FCPA), el Departamento de Justicia de los Estados Unidos dice que para desarrollar un programa de compliance efectivo hay que evaluar los riesgos, y que la Securities and Exchange Commission (SEC) y el Departamento de Justicia se fijarán en esta evaluación cuando la empresa tenga un incidente. Este aspecto se encuentra con toda claridad también en la Federal Sentencing Guidelines (FSGO) desde 2004.
Desde ahí, es estándar decir que todo programa de compliance debe basarse en una evaluación de los riesgos de ética y compliance (É&C) que enfrenta la empresa.
Suena lógico: los programas de É&C están ahí para prevenir actos contrarios a normas, regulaciones y valores de la organización (y mitigar sus consecuencias si, a pesar de todo, ocurren). Para organizar esta prevención, hay que saber cuáles son estos riesgos, dónde están, cuál es su importancia, cómo mitigarlos (o cuáles eventualmente asumir) y qué afectan si ocurren: aspectos financieros, organizacionales y/o la reputación.
Los riesgos de É&C son amenazas a la situación financiera, organizacional o reputacional por la violación de leyes, regulaciones, códigos de conducta o estándares y prácticas organizacionales. Esta es una, aunque hay miles de definiciones, pero, al final, son todas similares.
Tanto las FSGO como las leyes anticorrupción de Gran Bretaña y Brasil, la ley 27.401 de la responsabilidad penal de las personas jurídicas de la Argentina y las guías y manuales para estas leyes y regulaciones requieren de las empresas que se basen en los resultados de mapeos de riesgo para diseñar, implementar y modificar cada elemento de su programa de É&C.
Sin este punto de partida, sus programas no serán considerados “efectivos” y, por ende, no servirán como mitigador en caso de un “incidente”.
Estas leyes, regulaciones y guías no dicen mucho sobre cómo deben hacerse los mapeos de riesgos de É&C. Se limitan a aclarar que deben cubrir la naturaleza y seriedad de la posible conducta delictiva, los riesgos asociados con la actividad de la compañía, los riesgos asociados con su historia y una priorización de estos riesgos.
No dan una guía sobre cómo estos mapeos de riesgo se deben hacer, pero ahora el Departamento de Justicia de Estados Unidos, en un cuestionario para fiscales que investigan empresas, les requiere preguntar por la metodología que la organización bajo investigación ha utilizado para elaborar el mapeo. En otras palabras, en el futuro, los reguladores y fiscales se van a interesar más por la profesionalidad con la cual se han realizado.
Los mapeos de riesgos de É&C tienen sentido más allá de los requerimientos regulatorios para poder acceder a menores multas. Son necesarios para que la organización entienda su exposición a riesgos, la probabilidad, las razones por las que se pueden materializar y qué impacto pueden tener. Son necesarios, también, para poder priorizarlos, así como para asignarles dueños y recursos para su mitigación. Son la forma de focalizar esfuerzos y recursos, en vez de repartirlos con una “regadera” de manera cara e ineficiente en toda la organización.
Para entender la situación, muchas empresas tendrán que mejorar sus procesos de evaluación de riesgos para abarcar en forma más sistémica su exposición a riesgos de É&C. Las regulaciones internacionales y locales se multiplican y las expectativas de los stakeholders importantes de las organizaciones también. La consecuencia son riesgos de É&C no solo mayores, sino también más complejos de reconocer y de mitigar. Los riesgos típicamente nombrados en este contexto son los que presentan las regulaciones, contactos con la administración pública (como cliente, proveedor o a través de la aduana), el sector industrial, el modelo de negocio y los socios en el negocio. Otros recomiendan acercarse al tema desde las siguientes categorías: riesgos de la compañía, riesgos del país, riesgos del sector, riesgos transaccionales y riegos de socios en el negocio/cadena de valor.
Muchos enfoques nacieron desde las FSGO y, en consecuencia, tienen un fuerte componente de riegos de corrupción. En la evaluación de riesgos de É&C, es importante no perder de vista una gran cantidad de riesgos no necesariamente vinculados a la corrupción, como la seguridad de datos, los riesgos medioambientales o la discriminación.
Hay muchas formas para conducir un proceso de mapeo y evaluación de riesgos de É&C. Es importante, sin embargo, tener en mente algunos conceptos básicos: la evaluación de riesgos nunca es un ejercicio único. Se recomienda repetirlo periódicamente en forma anual o bianual. Los riesgos cambian con el tiempo y nuevos riesgos aparecen.
La evaluación de riesgos de É&C es una herramienta vital para tomar decisiones sobre el diseño y la implementación de los diferentes elementos del programa de É&C. Más allá de este objetivo, el mapeo y el análisis de estos riesgos en sí contribuyen a aumentar la sensibilidad para estos temas en la organización y constituyen una importante parte del tone at the top.
El mapeo y análisis de los riesgos de É&C tiene algunos aspectos particularmente desafiantes para el proceso mismo: incluye valores y aspectos de ética, conceptos blandos de, a veces, difícil acceso para su reconocimiento, definición y evaluación. Típicos ejemplos son los riesgos basados en la cultura organizacional, como por ejemplo la presión por resultados, la alineación de valores e incentivos, la lealtad de los empleados, la justicia interna, el clima de transparencia, la posibilidad de formular críticas, entre otros.
Su inclusión es de suma importancia, porque son determinantes importantes a tener en cuenta para un programa de É&C efectivo.
La evaluación de riesgos de É&C no debe hacerse como en una suerte de silo del área de Ética & Compliance, ya que comprende a toda la organización transversalmente. Pero como típicamente es el único proceso que busca identificar riesgos legales, regulatorios y éticos/culturales, requiere un enfoque más focalizado que el más amplio del Enterprise Risk Management (ERM). El dueño es el chief compliance officer.
Los determinantes de los riesgos de É&C se encontrarán mejor utilizando grupos interdisciplinarios y con la intervención de individuos de todos los niveles de la organización. Los “operativos” ven muchos riesgos más de cerca y con mayor claridad que los ejecutivos altos. Además, con la activa intervención de los dueños de los riesgos, los resultados del proceso y las mitigaciones tendrán mayor credibilidad.
El análisis de datos como estadísticas de la línea de denuncia, reportes de compliance, acumulaciones de ciertas transacciones sospechosas, tendencias y menciones en medios sociales, etc., proveen una buena base para el mapeo de riesgos.
Los resultados deben integrarse en el mapeo y análisis de riesgos de la organización.
Al final debe haber resultados prácticos: visibilidad de los determinantes de riesgo, la probabilidad de materialización de los riesgos y la gravedad de los impactos. Esto ayuda a priorizar los riesgos, designar dueños y asignar recursos para su mitigación.
Para que los resultados sean prácticos, deben ser operacionables, es decir, permitir tomar decisiones sobre el programa de É&C, como nuevas políticas o la adecuación de políticas existentes, fijación de objetivos de educación y entrenamiento, su contenido, periodicidad y formatos y audiencias específicas, adecuación, ampliación o eliminación de monitoreos y controles, formas de mitigación de los riesgos culturales y éticos.
En resumen, un proceso complejo que conviene realizar con un objetivo claro en mente: poder operativizar sus resultados en los elementos del programa de É&C con foco en los determinantes culturales, que suelen ser los más poderosos.
En un taller del Centro de Gobernabilidad y Transparencia del IAE, el 30 de marzo de 2017, realizamos una encuesta informal sobre el uso de mapeos de riesgo de É&C en las empresas. Participaron casi cien compliance officers y abogados de empresas internacionales y locales grandes. No es una encuesta que permita sacar conclusiones estadísticamente válidas, pero demuestra los grandes rasgos de la situación actual. Considerando la importancia regulatoria y organizacional de contar con un mapeo de riesgo de É&C bien diseñado, parece existir espacio para mejoras: el 74 % de las empresas presentes dijeron contar con una evaluación de riesgos de É&C y el 68 %, algo menos, dijeron basarla en un mapeo de riesgo formal.
Es decir, más del 25 % de las empresas grandes en el país no contaba con una evaluación de sus riesgos de É&C y casi el 30 % no realizaba mapeos de estos riesgos. Desde entonces estos porcentajes han cambiado. Sin embargo, hay muchas dudas respecto a la calidad de los mapeos de riesgos de ética & compliance que se realizan. Suelen limitarse a algunos riesgos de corrupción.. Solo algo más de la mitad de las empresas (el 55 %) manifestaba incluir en su mapeo de riesgo a los niveles operativos, que son precisamente los que conocen los riesgos mejor que nadie y deben necesariamente formar parte de la elaboración del mapeo. El dato quizás más preocupante es que solo en el 27 % de los casos decía que la evaluación de riesgos incluye riesgos de la cultura organizacional, que es el área donde residen la mayoría de los determinantes de riesgo de É&C, como la alta presión por resultados a corto plazo, el liderazgo autoritario, las inconsistencias entre valores declamados y sistemas de incentivos, entre otros.
Se plantea la pregunta de en base a qué estas empresas diseñan sus programas de É&C
Un minimanual con los puntos esenciales a observar al realizar un mapeo de riesgos de É&C y la definición de los mitigadores tendría los siguientes títulos y temas:
Cada mapeo es diferente, pero todos tienen algo en común: la metodología. El dueño del proceso es el compliance officer.
Hay que trabajar con un grupo multidisciplinario y multijerárquico. Es de importancia que el/los grupo/s de trabajo incluya/n no solo las diferentes áreas directa e indirectamente expuestas a riesgos de É&C, sino también a los diferentes niveles, empezando con la alta dirección y llegando hasta los niveles operativos, que a menudo ven con mayor claridad ciertos riesgos que los niveles gerenciales no. Además, un grupo diverso sufre menos de ceguera motivada.
Se utilizan los datos y demás información disponible de la línea de denuncias, entrevistas de salida, políticas y procesos, informes de auditorías y reportes de compliance. Se realizan entrevistas individuales, encuestas y talleres.
En un primer paso, se elabora un inventario de riesgos de É&C y se analizan sus determinantes. Puede servir de base un listado abarcativo de posibles riesgos para despertar la sensibilidad. Ejemplos son leyes y regulaciones: FCPA, Anti Trust, regulaciones de la industria, prevención de lavado de activos (PLA) y financiamiento del terrorismo (FT), seguridad de datos, riesgos en la cadena de valor, riesgos del programa de É&C, riesgos de compliance en recursos humanos, riesgos de la organización, riesgos del modelo de negocio, riesgos de conflictos de interés, etc.
Típicamente, surgen para cada riesgo varios determinantes. Los determinantes más importantes y, a la vez, más difíciles de encontrar y describir son los relacionados a la cultura: la presión por resultados, el tone at the top (y en el medio), la consistencia de los valores con los incentivos, la justicia interna, el clima de transparencia, así como el rol y la posición del compliance officer, las políticas y procesos, el entrenamiento y la comunicación.
Para priorizar los riesgos inventariados, hay que medir su probabilidad de ocurrencia y su impacto. Cómo hacerlo resulta a veces difícil. Una cuantificación no siempre es posible. Las estimaciones se pueden mostrar en escalas (bajo, medio, alto…).
Se otorgan prioridades a los riesgos de mayor impacto, o a los riesgos crecientes, y se asignan acciones de mitigación, responsables y planes de acción.
Una buena gestión de riesgos de É&C resulta en un programa de É&C calibrado a las áreas de mayor riesgo identificadas en este proceso, que es realimentado por la repetición periódica del proceso.
Riesgos en la cadena de valor
Los riesgos de terceros es uno de los temas que más preocupan a los compliance officers. Esto no sorprende, dado que el 90 % de las investigaciones en temas de corrupción involucran a un tercero: distribuidor, proveedor, consultor, etc.
En consecuencia, los reguladores exigen mayores esfuerzos para minimizarlos.
El Departamento de Justicia de los Estados Unidos incluyó el tema en su documento publicado en 2020 como una de las once claves para evaluar la efectividad de programas de compliance. La SEC demostró sus ventajas desistiendo en algunos casos de investigaciones contra empresas por tener un sólido programa de due diligence de sus proveedores o distribuidores. Está claro, la tercerización de procesos no conlleva a la tercerización de riesgos: estos se comparten a lo largo de la cadena de valor. No queda otra que invertir en los procesos de compliance de las terceras partes y su debido control. Esto incluye:
due diligence inicial y monitoreo continuo,
flowing down (de políticas de compliance a los subsiguientes niveles de proveedores o distribuidores),
entrenamiento y comunicación,
documentación y procesos,
derechos de auditoría y terminación.
Los pilares de un buen programa de compliance en la cadena de valor son conocidos y se ven reflejados en un sinnúmero de guías –un buen ejemplo es la guía de Trace3 o la del World Economic Forum (WEF4)–; en la práctica, sin embargo, aparecen muchos problemas. Estos problemas empiezan con dudas respecto a cómo realizar la evaluación de los riesgos que constituyen los terceros5, qué profundidad se debe dar a la due diligence en cada caso, cómo se la puede automatizar para ganar velocidad, bajar complejidad y costos, y cómo establecer un adecuado proceso de monitoreo periódico.
A estos problemas materiales se agregan problemas por la cantidad de relaciones cliente-proveedor que tiene cada empresa. Por un lado, es relativamente fácil imponerle a un proveedor o distribuidor un determinado proceso de compliance y monitorear su cumplimiento. Solo que las empresas no trabajan con un proveedor y un distribuidor, sino con cientos, si no miles.
La gran cantidad de relaciones con proveedores y distribuidores, y sobre todo la cantidad de niveles entre cliente final y proveedor original, complican la situación todavía más. Cada empresa suele tener su propio código con sus propias imposiciones a sus proveedores, que difiere parcialmente de las políticas de otros clientes o proveedores. Cada empresa es parte de varias cadenas de valor y, por ende, está expuesta a diferentes políticas de su mundo de clientes y proveedores. Parece una jungla de requerimientos que no siempre son posibles de cumplir (como el flow down a todas las demás empresas ad infinitum) y que causan costos enormes (administración, documentación, negociación de todas las obligaciones, controles, y defensa contra abusos, entre otros). Especialmente las empresas grandes juegan un juego de transferencia de riesgos: el que puede, el más fuerte, intenta transferir sus riesgos contractualmente al más débil. Cada uno intenta imponer su propio código para mantener el control sobre sus obligaciones y las de los demás, además de protegerse contra abusos de otros, que pueden estar escondidos en cláusulas legales del propio código y/o en los contratos mismos, como derechos de claw back, indemnizaciones, etc., en casos de incumplimientos, incluso, menores.
De cara a esta situación, y para evitar que simplemente se firmen todos los papeles que llegan, es recomendable desarrollar protocolos para el tratamiento de códigos de terceros: estándares de cláusulas (in)aceptables, procesos de escalación para cláusulas sensibles, procesos de solución vía negociación o la imposición del código propio. En este contexto, hay que definir quién se ocupa del tema en la organización, ya que dentro de las empresas se observan diferentes soluciones. Muchas veces, el compliance officer coordina un grupo con Legales, Riesgos y Recursos Humanos, que define estos lineamientos.
En resumen, los programas de compliance de las compañías, muchas veces muy sofisticados, tienen un flanco abierto: la relación con las empresas de su cadena de valor. Este flanco constituye un riesgo, que puede resultar grande, y que es más difícil de gestionar que los riesgos en la organización propia. Pero no queda otra, hay que empezar a construir a pesar de los problemas materiales y las complejidades que se presentan.
Compliance en la cadena de valor. ¿Hasta dónde?
Ante el siniestro que causó la muerte de más de 900 empleados en una fábrica de indumentaria en Daca, la capital de Bangladesh, que producía ropa para grandes marcas multinacionales, las reacciones por parte de las empresas con respecto a las precarias condiciones laborales que causaron la tragedia (instalaciones eléctricas en mal estado y medidas inexistentes contra incendios como, por ejemplo, salidas de emergencia) variaron de empresa a empresa.
Benetton revisó sus listados de productos elaborados en una de esas fábricas. GAP, Walmart y otras abrieron el debate sobre cómo mejorar a futuro las condiciones laborales y se reunieron con autoridades gubernamentales y ONG, mientras que otras consideraron retirarse del país, como fue finalmente el caso de Disney, que ordenó terminar con su producción allí y emitió nuevas regulaciones para todos sus proveedores a nivel mundial.
El espectro de reacciones que existieron en este caso muestra el difícil equilibrio que muchas veces las empresas que emplean a subcontratistas en países “complejos” e institucionalmente débiles intentan mantener cuando van detrás de la búsqueda de costos laborales lo más bajos posibles, evitando al mismo tiempo ser percibidas como violadoras de los derechos humanos.
La lista de casos como este es larga y no tiene final. Hay ejemplos quizás no tan extremos, pero igualmente perturbadores en todos los países.
El consumidor que compra ropa o pasajes aéreos a precios increíblemente bajos sabe o debe saber que alguien en algún lado paga por los costos bajos. Pero el consumidor tiende a mirar para otro lado hasta que alguien se lo dificulta mostrándole la cruel verdad en los titulares de diarios y medios sociales.
En este momento se responsabiliza a las empresas, muchas veces internacionales, al final de la cadena de valor, que son las marcas que venden los productos.
Compliance en la cadena de valor se convierte en un riesgo reputacional y los reguladores responsabilizan a las empresas por actos ilícitos de sus proveedores. Ellos focalizan su atención en riesgos de corrupción pero los riesgos de Ética & Compliance en la cadena de valor son mucho más numerosos y complejos.
En el fondo es un tema ético y del ahora re-descubierto propósito de la empresa.
Pronto puede convertirse, en algunos países, en un tema legal. El gobierno alemán está trabajando con muchas dificultades y discusiones en un proyecto que pronto se convertirá en ley y que hará a las empresas alemanas responsables de lo que hacen sus proveedores. La ¨ley de la cadena de suministro¨ obliga a las empresas a garantizar que sus proveedores en todo el mundo respeten los derechos humanos. Si no lo hacen, se les aplican sanciones. La cuestión quizás más compleja es hasta dónde en la cadena debe llegar la responsabilidad: ¿Sólo a los proveedores directos o también alcanza a los proveedores de sus proveedores y los subcontratistas de ellos?
Una ley que regula la responsabilidad en la cadena de suministro será un importante incentivo para que las empresas se ocupen de su cadena de valor. Tiene a la vez enormes desafíos. Entre ellos, cómo evitar desventajas en la competencia global, y cómo evitar que empresas dejen de operar en ciertos países para evitar problemas, causando allá problemas mayores.
Muchas compañías ya obligan a sus proveedores directos a adherirse a su programa de compliance y auditan la efectividad de sus elementos. Incluyen en sus códigos de conducta una cláusula de “cascadeo”, obligando a sus proveedores directos a exigir a sus proveedores aceptar el mismo código y a repetir la cláusula de “cascadeo” en la relación con sus propios proveedores.
Podría ser un camino efectivo si cada empresa tuviera un solo proveedor (o solo pocos proveedores). Pero no es el caso. Son cientos y muchas veces miles que a su vez dependen de cientos de proveedores. Ya en el 2do nivel de la cadena la cantidad de subproveedores crece exponencialmente y es casi imposible saber cuántos y quiénes están en la cadena.
Todas las empresas forman parte de muchas cadenas de valor y son al mismo tiempo receptores y originadores de demandas de compliance y de adhesión a una gran cantidad de códigos y programas de compliance con diferentes contenidos.
Se crea una jungla de obligaciones imposible de manejar. Termina en una lucha de todos contra todos en la cadena con el fin de transferir su responsabilidad a otro. En esta lucha ganan los fuertes: las empresas grandes con los recursos para crear estándares para cláusulas que siempre aceptan y otras que nunca aceptan, con procesos de escalación para la decisión sobre la aceptación de cláusulas sensibles y el poder de negar la aceptación de códigos ajenos imponiendo su propio código.
Las empresas más chicas, sin estos recursos terminan firmando todo, para no perder un negocio y sin la voluntad o capacidad de cumplir con lo firmado.
Así el compliance en la cadena de valor y el cascadeo ad infinitum se convierte en una mera formalidad que no sirve para nada y a nadie.
Parece que la problemática no se puede manejar desde el Área de Compliance ni de Gestión de Riesgos. La complejidad de tantas regulaciones diferentes es demasiado grande.
Las empresas empiezan a limitar la cantidad de proveedores para poder reconocer y gestionar mejor sus riesgos de ética & compliance y buscan acciones colectivas y acuerdos en las cámaras sectoriales para poder manejarlos en forma más proactiva.
Compañías como NIKE, Apple, Levi Strauss etc., evolucionaron su enfoque de compliance a coaching para mejorar fábricas. Trabajan con la Fair Labor Association,(FLA) en acciones colectivas para acordar estándares comunes.
Acciones colectivas pueden servir para unificar estándares de códigos aceptables en cadenas de valor e incluso regular derechos de auditoría o de confidencialidad y así simplificar y hacer más efectivo el compliance en la cadena de valor.
Las directrices de la ONU y de la OCDE para la responsabilidad en la cadena de valor, así como iniciativas legislativas como la actual en Alemania pueden constituir un importante empujón para el mundo corporativo a enfrentar el tema y encontrar formas más efectivas de autoregulación.
La guía del Departamento de Justicia de los Estados Unidos y compliance en la cadena de valor
Nunca se hizo tan claro como en esta guía actualizada en Junio de 2020 (que reemplaza y actualiza las guías anteriores, siendo la última la de abril 2019) que, sin un mapeo de riesgos de É&C, no hay un programa de compliance efectivo, capaz de mitigar riesgos y sanciones6.
Cada uno de los temas tratados comienza con la advertencia de que todo lo que se haga en compliance se debe basar en un adecuado mapeo de riesgos, sean estas las políticas, los recursos asignados al programa, el entrenamiento y comunicaciones, o la relación con terceros: sin una base en un mapeo de riesgo, difícilmente se considerará un programa de compliance “efectivo”. Como en la práctica justo los mapeos de riesgos de É&C muchas veces no se realizan o se realizan en forma deficiente, la guía para la evaluación de programas de compliance es una llamada a la acción para las empresas y sus compliance officers.
La relación con terceros aparece en la guía como uno de los temas destacados para la evaluación del diseño del programa de compliance. En la primera línea del texto se requiere un proceso de debida diligencia basada en riesgos de los terceros.
Las compañías deben conocer y comprender a los terceros con quienes trabajan. Especial énfasis deben poner en agentes, consultores y distribuidores, ya que son los típicos canales para el pago de sobornos. Deben conocer su reputación, sus relaciones con los funcionarios públicos y, sobre todo, si hay una apropiada razón para su contratación; una adecuada descripción de sus trabajos y si la compensación está de acuerdo con lo que es usual en el mercado. Contratos con consultores, por ejemplo, que reciben un porcentaje del monto de un proyecto se merecen una mirada especialmente profunda. Pocas veces pasarán el test de necesidad de contratación, de remuneración adecuada por los trabajos realizados y concordancia con las condiciones usuales en el mercado.
La guía no especifica cómo se debe (y puede) llegar a estos conocimientos de los terceros, pero sugiere pasos que no solo tienden a mantener este conocimiento actualizado, sino a adquirirlo y completarlo: monitoreo permanente, entrenamiento, actualización de procesos de debida diligencia, auditorías y/o certificaciones de compliance anuales.
El foco en la relación con terceros es bien entendible por el alto porcentaje de terceros involucrados en las investigaciones de casos de corrupción internacionales del Departamento de Justicia de los Estados Unidos.
Entre las preguntas que la guía sugiere hacer a los fiscales, se reconoce la intención del análisis de la real eficacia del programa de compliance en cuestión. Reiteradas veces se hace mención a la importancia de averiguar si el programa de compliance se vive en la práctica y si sirve para detectar los tipos de conducta ilegal en la empresa más probables. Hay todo un capítulo dedicado a la evaluación de la efectividad de la implementación del programa, y otro dedicado al análisis de cómo el programa funciona en la práctica. Explícitamente, la guía requiere que los programas de compliance no solo sean efectivos en los papeles, sino “realmente” efectivos.
Un tema importante en este contexto son los controles internos para asegurar que terceros se contraten solo para una razón apropiada, y que la descripción y realización de los trabajos, así como los pagos, sean apropiados. Para ver si el programa de compliance de terceros es una realidad o solo un papel, los puntos claves son los derechos de auditoría y si estos se ejercieron, así como el entrenamiento de ejecutivos de los terceros en riesgos de compliance y su gestión. Finalmente, y bajo el título “Acción real y consecuencias”, se pone énfasis en sanciones y monitoreo de alertas que surgen del proceso de due diligence de terceros.
En resumen, un programa de compliance de terceros “realmente” efectivo es ahora un deber para las compañías. La guía actualizada no lo describe solo como algo que hay que hacer, sino que da conceptos y descripciones de acciones concretas que espera ver en una eventual investigación para considerar el programa de compliance como “realmente efectivo”. Es una excelente noticia que agrega presión a las compañías y obligará a varias a revisar y adaptar su programa.
Mapeo de riesgos de ética & compliance. ¿Y después, qué?
Los mapeos de riesgos de É&C son la base de cualquier programa de integridad efectivo, tal como se ha mencionado, reiteradamente, en secciones anteriores. Los reguladores internacionales y, también, la legislación argentina los exigen, tal como lo he comentado. Son procesos complejos que incluyen el reconocimiento y la evaluación de riesgos no típicos en los mapeos de riesgos estratégicos y operativos, como los relacionados con la cultura, el gobierno corporativo, así como la organización y efectividad del área de É&C. En consecuencia, su ejecución resulta difícil y es muchas veces subóptima7.
Más allá de las dificultades de realizar un mapeo en sí, se suman cuestiones complejas a resolver mirando sus resultados: un mapa de riesgos de É&C suele abarcar una gran variedad de temas provenientes de muchas áreas de la organización. Para poder adjudicar los recursos para la mitigación a los riesgos más importantes, hay que priorizarlos. ¿Quién lo hace? La respuesta a esta pregunta importa: la relevancia y los recursos que se le da a su mitigación depende de la prioridad otorgada, y esta depende de la evaluación realizada por su responsable. Por más que el compliance officer es el responsable del proceso, la responsabilidad de los riesgos es compartida a través de la organización. Además, el mismo programa de compliance y la organización de compliance deben evaluarse como áreas de riesgo. Parece aconsejable que la priorización esté a cargo de una comisión integrada por los responsables de las áreas de Riesgo, Compliance, Legales y Auditoría Interna en colaboración con el área operativa en cuestión.
Una vez identificados, evaluados y priorizados los riesgos de É&C, se plantea la pregunta: ¿a quién(es) asignar el rol de dueño de los riesgos y, por ende, la responsabilidad de su mitigación y monitoreo?
Quizás, los riegos más grandes residan en las unidades de negocio. Pero, según un estudio de PwC, muy pocas veces son las unidades de negocio los dueños de alguno de estos riesgos8. Es discutible cuántos y cuáles de los riesgos de É&C sería adecuado asignar a las unidades de negocio. Al menos aquellos riesgos muy relacionados a su actividad deberían caer en su responsabilidad de gestión (con el apoyo y monitoreo del área de Compliance).
Una centralización de la responsabilidad de la mitigación de estos riesgos en el área de Compliance requiere su mayor involucramiento en el día a día de los negocios y, por ende, un mayor peso en la organización. La contracara, sin embargo, puede ser que esas unidades prefieran no consultar al área de Compliance para evitar las incomodidades relacionadas, o al menos, percibidas.
Los riesgos de É&C, con dueños dispersos en la organización, involucran más activamente a “la primera línea de defensa”, especialmente, las unidades de negocio. Facilita la aceptación de la organización en los objetivos de la mitigación de estos riesgos, y puede, además, contribuir a que el área de Compliance no sea vista como una función policial, que impone límites “desde afuera” y sin comprensión de las necesidades del negocio, sino como consultor y guía. Requiere de Compliance un mayor trabajo de coordinación y persuasión. Está en línea con el pensamiento de un área de Compliance que acompaña y guía a las unidades de negocio y a otras áreas centrales, como Recursos Humanos, en sus decisiones, pero no es responsable de las decisiones tomadas por ellas.
Dentro del rol de dueños del riesgo, es importante que las unidades de negocio también se involucren en los planes de contingencia (documentos que son de crucial ayuda en caso de que efectivamente un riesgo se materialice, ya que son ellas las que probablemente deban tomar algunas de las primeras medidas en forma urgente e inmediata; y en ese punto, es donde la situación puede recibir un balde de agua… o de combustible).
La definición de quién es el dueño de los riegos de É&C es crucial en la determinación de la estructura, forma de trabajo del área de Compliance y se debe reflejar en la descripción del puesto de trabajo del compliance officer. Una centralización de la mayoría de los riesgos de É&C en el área de Compliance (como pasa en la mayoría de los casos) lleva a que Compliance adquiera una posición más activa en el día a día de los negocios de la compañía y requiere mayores recursos, tanto de personal calificado como de recursos financieros. Lo que habrá que evitar es la combinación al revés: la centralización de la responsabilidad de los riesgos de É&C sin los recursos necesarios para poder ejercer esta función efectivamente.
3 www.traceinternational.org. Último acceso: 27/03/21.
4 www3.weforum.org. Último acceso: 27/03/21.
5 www.gobernabilidadytransparencia.com. Último acceso: 27/03/21.
6 www.justice.gov. Último acceso: 27/03/21.
7 www.gobernabilidadytransparencia.com y fcpacompliancereport.com. Último acceso: 03/02/21.
8 www.pwc.com Último acceso: 27/03/21.
PILAR 2
CULTURA ÉTICA
Tone at the top y directorios
Programas de compliance: ¿basados en riesgos, valores… o en ambos?
Compañías en todo el mundo implementan programas de compliance e invierten importantes recursos en su diseño y gestión. La evolución de estos programas sigue las recomendaciones y requerimientos de los reguladores, especialmente de la SEC y del Departamento de Justicia de los Estados Unidos, que marcan el paso globalmente. Desde programas basados en normas, evolucionaron a programas basados en valores y riesgos, que requieren ética como uno de los pilares para ser considerados “efectivos” y servir como mitigadores en caso de un incidente. Las compañías empezaron a modificar el contenido de sus programas en este sentido, al incluir palabras como “ética” o “integridad” en su denominación y poner el énfasis en el tone at the top, los valores de la organización y nuevas formas de entrenamiento.
Los reguladores y las compañías creen que un sofisticado programa de compliance, implementado y gestionado rigurosamente, puede hacer disminuir sustancialmente los actos inadecuados o ilegales de los ejecutivos y empleados. Desafortunadamente, ni siquiera los programas más espectaculares prometen este resultado, como lo demuestran los casos y escándalos permanentes en las empresas. Para esta situación, las empresas aspiran a que su programa sea considerado “efectivo”, y sirva de mitigador de las sanciones administrativas y judiciales.
Los reguladores piden, para que un programa de compliance sea considerado “efectivo”, que se base en un análisis de los riesgos de ética y compliance que enfrenta la empresa. Este pedido suena sensato desde muchos ángulos: es una suerte de seguro contra casos de alto impacto y/o alta probabilidad de ocurrencia que nunca deberían excluir; tampoco con un enfoque en valores. Concentrar el enfoque del programa y sus (escasos) recursos en áreas con mayores riesgos permite una utilización más efectiva de los recursos y es, además, un buen camino para demostrar el compromiso de la alta gerencia con el programa de compliance.
Sin embargo, este doble enfoque en valores y en riesgos presenta problemas no menores de consistencia y, en consecuencia, de credibilidad. Se puede argumentar que los dos enfoques no se contradicen. Mirar la situación desde la perspectiva de los riesgos y, también, desde los valores es consistente porque la base del programa puede ser sobre valores, y que la mirada desde los riesgos se dé en un nivel más operativo para aplicar consistentemente los recursos. Hay que considerar cómo este doble enfoque llega a los ejecutivos y los empleados. Si en un entrenamiento se habla de valores, al finalizar, se debería exigir a todos la firma del listado de asistencia. En caso de que los mitigadores para riesgos no sean entrenamiento y formación, sino solo controles, cuando el programa de compliance se orienta en los requerimientos mínimos legales (como por ejemplo la ley de la responsabilidad penal de las personas jurídicas en la Argentina) o cuando se trata de un programa “enlatado”, sin tener en cuenta la situación especial del sector industrial concreto y de la empresa en este sector, los participantes, probablemente, no lo perciban como basado en valores, sino como un mero mitigador de riesgos para proteger a la compañía como entidad y, especialmente, para el directorio contra riesgos legales y financieros.
El compliance a nivel corporativo (integridad, o como lo quieran llamar en las compañías) depende de las decisiones de cada uno de sus ejecutivos y empleados. Si se aspira a un programa “efectivo” en la realidad, hay que diseñar y gestionar el programa mirando más a los empleados, como a sus destinatarios, y cómo lo perciben, que al regulador. De otra forma, se prestará a malos entendidos y la efectividad “real” se verá afectada.
El verdadero tone at the top se ve en los sistemas de incentivos
Wells Fargo, uno de los bancos más grandes de Estados Unidos, tuvo que pagar una multa de US$ 3.000 millones9 por haber abierto alrededor de dos millones de cuentas “truchas”, a nombre de clientes que no las habían solicitado ni sabían de ellas. Un buen resumen de los diferentes análisis de este caso se encuentra en el FCPA Compliance Report10.
Pero lo más importante, me parece, es que no es un caso singular: refleja una realidad en el sector financiero y más allá. Es un ejemplo para mirarse en el espejo y aprender. Por supuesto, estaba expresamente prohibido en el banco abrir cuentas falsas. Desde, por lo menos, 2014, se hicieron campañas y se enviaron risk professionals a las sucursales para terminar con esta práctica11. Además de un código de conducta, el banco tenía un programa de compliance sofisticado, que preveía la formación de los empleados en ética y valores, y estas sesiones también se concretaron. La compañía ponía mucho énfasis en la cultura de speak up, alentando a su gente a hacerse las preguntas correctas y reportar cualquier comportamiento inadecuado, sin miedo a tener represalias. El CEO es uno de los considerados good guys en la industria financiera. ¿Qué pasó, entonces, que llevó al banco a esta situación de multas pesadas, una reputación severamente dañada y cinco mil trescientos despidos? Para hacerlo corto: básicamente, la cultura de la compañía, que se manifestaba en el sistema de incentivos y las presiones de los jefes, ejecutada desde arriba, y que bajaron en cascada hasta los supervisores y empleados.
Ningún sistema de compliance, por más sofisticado, bien elaborado e implementado que sea, puede ser eficaz si no está consistentemente relacionado con los sistemas de evaluación y remuneración. Si una parte importante de la remuneración es variable y depende en gran parte del cumplimiento de objetivos de ventas a corto plazo, se convierte en una invitación al atajo. Si, además, los jefes presionan a los vendedores diariamente aclarando que sus puestos de trabajo dependen del logro de los objetivos de venta, la realidad de todos los días se convierte en el real tone at the top traducido como “Vende como sea”. Esta contradicción, entre las sesiones de ética, valores y las claras prohibiciones, por un lado, y las presiones de arriba, por el otro, crea entre los empleados cinismo cruel y, además, la convicción de que ”los de arriba”, con el programa de compliance, solo quieren crear una pantalla para mitigar sus riesgos personales.
Quizás sea un ejemplo extremo. Presión por resultados hay y debe haber en todas las organizaciones. La cuestión es “cómo”, y si este “cómo” se corresponde con los valores declamados hacia afuera y adentro de la empresa. El caso de Wells Fargo ilumina una situación que existe en muchas organizaciones: está la aspiración de hacer las cosas bien. Es más, sea por esta aspiración o por experiencias desagradables en el pasado, se ha implementado un excelente programa de compliance, con todas sus implicaciones, entrenamientos, comunicaciones y mucho tone at the top escrito y dicho en charlas y conferencias abiertas. Pero son recursos mal gastados si los sistemas de evaluación de desempeño y de incentivos no están alineados. No solo no se llega a la aspiración, sino que la realidad opera en contra. Manda la realidad, en vez de la aspiración.
Y los cinco mil trescientos empleados que dejaron sus huellas operativas abriendo las cuentas falsas fueron quienes pagaron los platos rotos. Sería bueno saber si desde los ejecutivos, en la línea de comando, hasta el directorio, o sea, quienes diseñaron o aprobaron los sistemas de remuneración variable ejerciendo fuerte presión por las ventas también sintieron las consecuencias de su real tone at the top (y at the middle).
No asombra que, de acuerdo con los resultados de varias encuestas realizadas por el Centro de Gobernabilidad y Transparencia del IAE entre compliance officers en Argentina, ellos perciban como su mayor desafío la sensibilización de la alta dirección sobre el tema y el tone at the top (el 46 % en una encuesta online entre compliance officers, realizada en julio de 2020).
Las consecuencias para la cultura e integridad son claras: los esfuerzos de los programas de compliance se deben concentrar primero en los altos ejecutivos para asegurar la cultura deseada y un tone at the top consistente que incluye programas de incentivos alineados.
En resumen, la recomendación clara es invertir más tiempo y recursos en la sensibilización de los altos ejecutivos sobre temas de compliance. Allí se define la credibilidad, no solo de los sistemas de evaluación y remuneración, sino de todo el sistema de compliance de la compañía.
El premio es importante y el costo de no hacerlo, también: les hace bien tanto a ellos como a la organización en su conjunto. Es la receta para alcanzar la cultura deseada para todos, asegurar el tone at the top y el tone at the middle consistente y creíble. No solo hacen lo que les pide el compliance officer (con el énfasis en la cultura de la ética e integridad), sino que contribuyen a mitigar los riesgos financieros, legales y reputacionales de ellos mismos y de la organización. Wells Fargo lo ha demostrado una vez más.
El tone at the top no es un sonido
Los reguladores son claros: sin un adecuado tone at the top, no hay programas de integridad y compliance efectivos. El cuestionario del Departamento de Justicia de los Estados Unidos ya desde su versión publicada en Febrero de 2017 (y actualizada en Abril 2019 y Junio 2020) da un paso más, no habla del tone at the top, sino del conduct at the top y propone preguntar en el momento de evaluar la eficacia de un programa de compliance: ¿de qué manera los líderes más altos, a través de sus palabras y actos, han alentado o desalentado la falta de conducta en ciernes? ¿De qué manera el liderazgo y el ejemplo de los líderes más altos han modelado el comportamiento adecuado de la gente en la organización12?
La ley 27401 de responsabilidad penal de las personas jurídicas, en su art. 23 punto II, también le consigna un alto valor definiéndolo como: “El apoyo visible e inequívoco al programa de integridad por parte de la alta dirección y gerencia”. Los lineamientos para programas de integridad de la Oficina Anticorrupción13 lo trata como el primero entre los elementos, enumera diez puntos claves y aclara a continuación el punto más importante: “[…] el liderazgo ético aparezca impregnado en los procesos, se refleje en el discurso de los integrantes y, por sobre todo, en la toma de decisiones relevantes”.
En resumen y sin vueltas, el tone at the top no es un sonido, es la CONDUCTA at the top que debe ser adecuada, comunicada y comprendida por todos14.
Es una pena que en la alta dirección de muchas empresas no lo tengan claro. En encuestas y conversaciones, compliance officers nombran como obstáculo interno principal en su actividad la falta de sensibilidad de la alta dirección para la importancia del tone (y conducta) at the top. Las consecuencias son graves. Falta la base para una cultura de integridad, sin la cual ningún programa de compliance puede funcionar. Quizás, una de las consecuencias más visibles es la falta del tone at the middle, que para la operación del negocio es crucial; los empleados perciben cómo la empresa quiere que se hagan las cosas observando a sus jefes directos. Es una suerte de transmisión en cascada: cada nivel jerárquico recibe los valores de la compañía por el comportamiento de sus jefes inmediatos. Si esta cadena no comienza bien y no contiene ejemplos cotidianos en la toma de decisiones, el tone at the top, escrito y declamado, no sirve para nada. Existen algunas señales de alarma: si los compliance officers se lamentan de la falta del tone at the middle, algo anda mal con el tone at the top. Probablemente, sea solo un sonido.
Para que no sea solo un sonido, el tone (o conducta) at the top debe tener cinco elementos esenciales, consistentes entre sí:
Liderazgo: la gente observa a sus jefes todos los días y saca sus conclusiones sobre sus superiores directos e indirectos. Ven si hacen lo que dicen o si declaman un comportamiento impecable, pero cuando actúan hacen lo que hace falta para tener éxito, sea como sea. ¿Escuchan y aceptan razones? ¿O son autoritarios, es decir, solo aceptan buenas noticias?
Justicia interna: la justicia interna es el termómetro más sensible para medir la cultura ética y el compromiso con el programa de integridad. Los empleados y ejecutivos saben quiénes son los “malos” y quiénes son los “buenos” en la organización. Observan quiénes hacen carrera, consiguen mejoras de sueldo y premios, quiénes son castigados y qué y a quiénes se festeja. Si en este tema perciben injusticias, la credibilidad de cualquier programa de integridad se cae y se crea un cinismo dañino.
Sistemas de incentivos: son una demostración del verdadero tone at the top. Nada indica tan bien como el dinero lo que la empresa realmente espera de sus ejecutivos. Paquetes de ingresos anuales con altos porcentajes de ingresos variables que se logran alcanzando objetivos financieros a corto plazo son señales inequívocas de que lo que importa es solo una cosa: hacer los números, sea como sea. Es una invitación al atajo. La problemática está a la vista. Varias empresas están disminuyendo las partes variables en los paquetes de ingresos y atan su pago menos a objetivos individuales y más a objetivos grupales u organizacionales para desacoplarlos de acciones individuales.
Tolerancia (y mejor fomento) hacia una cultura de speak up: las denuncias de acciones inadecuadas son importantes para que las organizaciones se enteren de hechos que requieren correcciones. Cuanta más tolerancia hacia críticas y reportes de observaciones de hechos sospechosos existe en la organización, más probable es que las líneas de denuncia formales e informales se usen y que, incluso, los empleados y ejecutivos hablen antes de que hechos inadecuados se concreten.
Integridad: como valor absoluto, y no como ecuación de riesgo beneficio. Ciertas conductas no se toleran. Tampoco cuando el beneficio es grande y el riesgo percibido, bajo.
No es muy difícil observar si estos cinco elementos están dados. Si falta uno o varios, habrá que actuar. La sensibilización del directorio y la alta dirección es un importante primer paso. Deben seguir otros pasos a dar con la alta dirección y el directorio:
educación y entrenamiento en integridad y compliance en forma periódica,
inclusión de un director con conocimientos profundos de la materia,
responsabilidad explícita en el programa de integridad,
apoyo visible para el programa de integridad y el compliance officer.
Por el futuro de la organización, o para mitigar sus riesgos de É&C, contar con una adecuada conducta o tone at the top es esencial. Los elementos mencionados son la base del análisis y pueden servir para remediar eventuales deficiencias.
Superar el umbral de audición promedio puede no ser tan difícil, pero un verdadero tone at the top requiere ver a los músicos en vivo, actuando.
Directorio y compliance
La así llamada “privatización de compliance” no solo está aumentando fuertemente la carga de trabajo para directorios, CEO y CFO, sino que requiere de una supervisión más proactiva por parte de los directores y, especialmente, de los comités de auditoría.
Los directores representan a los accionistas, votan temas de importancia para la compañía y nombran y monitorean al management, mientras que este último realiza las actividades clave y reporta al directorio. Esto vale tanto para compañías grandes como para medianas y chicas. Deben conocer la compañía y su operación para poder supervisar y monitorear las operaciones adecuadamente. No son ejecutores y no deben mezclar su actividad de director con la del ejecutivo. Frecuentemente, la línea divisora entre ejecutivo y director es delgada, especialmente si se trata de directores internos de la compañía.
El directorio tiene una responsabilidad de supervisión: si conoce una situación y toma una mala decisión, esta no es justiciable. Pero si desconoce un problema, y por eso dejan de tomar una decisión, los directores son responsables ante la Justicia por falta de supervisión. La ley requiere que investiguen en caso de que se presenten red flags (banderas rojas). Son responsables por la falta de acción, si saben o deberían saber de un acto indebido. Si, por ejemplo, en la cultura de una compañía, se observa una tendencia a priorizar el crecimiento de ventas en forma agresiva, y con una supervisión débil del directorio o un sistema de compensación para la alta dirección, que incluye altos bonos por la superación de targets financieros a corto plazo, el riesgo de que el management use atajos y comportamientos no éticos para alcanzar sus objetivos es alto y constituye, por consiguiente, una bandera roja importante.
Esta responsabilidad de supervisión del programa de compliance de la organización ha convertido al compliance en un tema crucial para los directorios.
El compliance se encuentra, muchas veces, bajo el título organizacional de “gobierno, riesgo y compliance” (GRC), pero está moviéndose hacia “gobierno, cultura y liderazgo”, uniendo un fuerte liderazgo a una efectiva y persuasiva cultura corporativa. Con este enfoque, el compliance se aleja de ser un intento meramente legalista, de balancear el comportamiento de la empresa y sus individuos sobre la cornisa, entre lo todavía legalmente aceptable y el abismo de la ilegalidad, y se orienta hacia un enfoque de valores.
Sin un involucramiento activo de la alta dirección, el compromiso de toda la organización y un efectivo sistema de comunicación, el programa de compliance está destinado al fracaso.
El compliance officer de la organización tiene un rol crucial en el buen gobierno corporativo. Tiene la responsabilidad del diseño, la implementación y la conducción del programa de compliance. Es el guía y consejero para directores y ejecutivos en temas de compliance. Es un trendspotter que ayuda al directorio y al CEO a identificar cambios en lo que la sociedad acepta y espera del comportamiento de las empresas. Así puede evitar brechas entre la forma tradicional de hacer negocios de la empresa y las expectativas de los stakeholders externos que, si no se cierran a tiempo, se pueden convertir en un comportamiento inadecuado y dañino para la organización. Apoya al CEO y al directorio para la creación y promoción de valores y estándares de la organización en temas de compliance, y es el coach del CEO y de los directores para elaborar y ajustar un adecuado tone at the top.
Si el compliance officer es eficiente y cumple con su rol, les cubre las espaldas a los directores y contribuye a una cultura de integridad. Si no lo es, contribuye a que los directores tengan problemas legales y de reputación, además de problemas y costos impredecibles para la compañía.
Los compliance officers tienen un valor genuino en el gobierno corporativo: el compliance es una de las responsabilidades fundamentales del directorio. Delega la función, aunque no puede delegar la responsabilidad al compliance officer. El trabajo exitoso del compliance officer determina, de esta manera, en gran medida, la confianza de los mercados de capitales en la compañía, lo cual, a su vez, es esencial para su éxito.
La responsabilidad de los directores
Monitorear, siempre, requiere conocimiento y pericia. Y esto no se limita al entendimiento de los temas financieros, en los que, demasiado a menudo, los directores concentran su atención. Incluye a los desarrollos tecnológicos, los productos, el entorno competitivo y la “salud” organizacional. La fuente de información más importante suele ser el CEO de la compañía. Por ende, el poder del directorio depende mucho de la relación con el CEO y otros altos directivos. Los directores pueden pedir a cualquiera todo tipo de información, pero solo les sirve si la saben interpretar.
Los directores protegen los intereses de los accionistas. Este deber de protección se circunscribe a dos pilares que lo explicitan y, a la vez, limitan. Por un lado, la así llamada duty of care en la toma de decisiones, que no es otra cosa que la actuación de buena fe y el empleo de la misma diligencia como en asuntos propios. En este contexto, es de importancia el segundo pilar que puede proteger a los directores frente a los accionistas, la business judgement rule: este principio significa que las decisiones tomadas en base a información adecuada y de buena fe no son pasibles de ser juzgadas judicialmente. Los tribunales no deciden sobre decisiones de negocio, si los directores actúan en base a información adecuada y de buena fe.
La ley requiere que investiguen en caso de que se presenten alertas rojas, tal como se comentó anteriormente. Son responsables de la falta de acción, si saben o deberían saber de un acto indebido. En resumen, la protección de la business judgement rule no depende de los resultados de una decisión tomada, sino de la calidad del proceso que terminó en la decisión tomada.
Esta responsabilidad de supervisión del programa de compliance de la organización ha convertido al compliance en un tema crucial para los directorios.
No sorprende que haya ganado fuerza, en los últimos tiempos, la propuesta de darle al compliance officer un asiento en los directorios de las empresas, como un representante mismo de compliance en el órgano central del gobierno corporativo de la organización. Es decir, brindarle a la posición del jefe de compliance de la empresa un estatus superior que le permita evaluar y monitorear de manera directa los aspectos de cumplimiento con respecto a la dirección estratégica de su organización. Aunque muchos ven lejos la materialización de esta idea, no deja de ser un indicador de la creciente preocupación por la importancia crítica y sensible que esta función conlleva para el gobierno corporativo de la empresa. Por lo pronto, el compliance officer ya está tenido en cuenta como parte de los ejecutivos con más poder dentro de la empresa, tendencia que ha venido para quedarse; los directorios parecen ser la próxima instancia lógica de integración de compliance officer.
El enfoque de valores que se mencionó anteriormente requiere de los directores que (se) hagan preguntas claves para poder cumplir con su responsabilidad de supervisar la efectividad del sistema de compliance. Se pueden leer varias listas con preguntas pertinentes. Usualmente incluyen las siguientes:
¿El tone at the top, tal como se comunica a todos los empleados, se vive en la realidad o es una mera declamación?
¿La cultura empresarial apoya y ayuda a una toma de decisiones éticas?
¿Se realizan entrenamientos y comunicaciones adecuados a ejecutivos, empleados y directores?
¿Se hacen evaluaciones periódicas de la efectividad del programa de compliance?
¿Se realizan periódicamente mapeos de los riesgos de É&C de la compañía?
¿Existe un compliance officer con recursos adecuados y un acceso directo al directorio?
¿Se distribuyó el código de conducta dentro y fuera de la organización, incluyendo la cadena de valor? ¿Se comprobó que este código se leyó efectivamente y se comprendió?
¿Existe un proceso que asegure que el directorio esté permanentemente informado sobre temas de compliance y las decisiones tomadas al respecto?
¿Los temas de compliance forman parte de las agendas de las reuniones del directorio?
¿Existe un sistema efectivo de denuncias?
¿Se revisan el código de conducta y el sistema de compliance anualmente en concordancia con eventuales actualizaciones por cambios en normas y regulaciones y lo que la sociedad espera del comportamiento de las empresas?
¿Se realizan regularmente encuestas entre los empleados sobre el estado de su programa de compliance?
La alta dirección: ¿aliada de ética & compliance o un gran riesgo?
Los programas de É&C están evolucionando. Pueden ser sofisticados, pero no son más que mecanismos, procesos en sí casi perfectos. Pero la reacción del programa depende del insumo, y esto último comprende, básicamente, el comportamiento humano, que es, notoriamente, complejo. Esta es la parte “floja” de los programas de É&C. Por eso, las organizaciones incrementan su foco en ese “punto débil” para no sufrir escándalos por temas de compliance. Compliance ya no es tanto “cumplimiento con normas externas e internas”, sino más la respuesta a la pregunta: “¿Cómo hago para que mi gente tome buenas decisiones en situaciones difíciles?”.
Esta pregunta hace que las empresas (y sus É&C officers) trabajen más sobre aspectos de procesos de toma de decisiones, principios y liderazgo. Liderazgo es, por un lado, el famoso tone at the top (y at the middle), liderazgo con ejemplo, justicia interna, etc.
También es, y se expresa allí, la relación de la alta dirección con el É&C officer. La calidad de esta relación es una prueba del compromiso de la organización con el tema y, por ende, de la efectividad del programa de É&C. La alta dirección que no está convencida constituye, por el gran alcance de sus decisiones, un riesgo importante de causar un “incidente” con potencial de escándalo. Esta relación parece no siempre ser fácil: É&C officers, al ser preguntados por sus obstáculos internos más importantes, muchas veces señalan hacia arriba. Si el directorio y la alta dirección son un obstáculo, hay que trabajar este tema porque si no, todos los esfuerzos del É&C officer serán en vano. Si falta el tone at the top, la organización lo percibe y el área de É&C patalea en el vacío.
No es tarea fácil iniciar esta operación, crear esa “empatía” entre la alta dirección y el É&C officer, y hasta puede resultar algo incómodo por las resistencias a superar, pero vale la pena intentarlo. Un buen comienzo puede ser plantearse la siguiente lista de preguntas (bien conocida desde hace años) para hacerse un cuadro de la situación:
1 ¿La compañía tiene un programa de entrenamiento periódico para la alta dirección? Esta es la piedra fundamental para la sensibilización de la alta dirección y una buena relación con el área de É&C.
2 ¿Los miembros de la alta dirección participan en los entrenamientos en É&C? Es una importante señal de su compromiso con el tema y demostración del tone at the top a toda la organización.
3 ¿Participan los miembros de la alta dirección de los mapeos de riesgo de É&C? Los mapeos de riesgo de É&C son complejos porque incluyen riesgos cualitativos como la cultura, estilo de liderazgo, modelos de negocio que requieren de la participación de todos los niveles de la organización. La participación de la alta dirección es, además, una muestra de su compromiso con el tema.
4 ¿El É&C officer tiene acceso y comunicación directa con el directorio? El É&C officer debe tener acceso directo al directorio para poder plantear temas y reportes sin filtros.
5 ¿El É&C officer reporta al menos trimestralmente al directorio sobre el estado del programa de É&C y sobre incidentes en forma presencial? Es obligación del directorio informarse del programa de É&C y de incidentes y sospechas. La periodicidad depende del sector, la situación de la organización y la exposición a riesgos.
6 ¿En estas reuniones hay discusión de fondo, suficiente tiempo y seguimiento de temas? Reuniones meramente formales de lectura de un reporte serían más bien una señal de desinterés por parte del directorio.
7 ¿Participa el É&C officer de reuniones de estrategia de negocios? Su participación –desde el principio de las negociaciones y acuerdos– le proporciona una comprensión global de los negocios de la compañía y su exposición a riesgos de É&C. Además, le da la oportunidad de considerar a tiempo eventuales riesgos de É&C de nuevos negocios y modelos de negocio.
8 ¿Los directores tienen reuniones informales con el É&C officer y piden información sobre el programa de É&C y sobre temas y casos relacionados? Los directores tienen el derecho (y la obligación) de buscar información relevante libremente en toda la organización.
9 ¿Los miembros de la alta dirección buscan consejos y guía del É&C officer? El É&C officer exitoso es aquel que sirve de guía y coach a la alta dirección y se convierte en una suerte de trendspotter de mejores prácticas.
10 ¿La línea de reporte del É&C officer es adecuada? Muchos É&C officers todavía reportan al área de Legales. Esta no nos parece una línea de reporte adecuada: no garantiza su independencia y no corresponde a su posición estratégica en la organización. Mejor práctica es un reporte al directorio, comité de auditoría o similar.
El listado antes descripto (y sus respuestas) pueden servir de base para comenzar conversaciones con el directorio e iniciar un proceso de mejora de la relación con la alta dirección. No se dará de golpe, pero a veces el camino es la meta. Un É&C officer con la capacidad (y voluntad) de buscar soluciones va a tener más éxito en esta operación que un Sr. o Sra. “No”.
Ücretsiz ön izlemeyi tamamladınız.
