Una empresa puede tener un manual de cumplimiento perfectamente redactado.
Puede contar con políticas internas, procedimientos, controles, formularios y programas de capacitación.
Incluso puede exigir a cada nuevo colaborador que confirme que ha leído y comprendido todas esas disposiciones.
Y, aun así, algo puede fallar.
Las personas pueden conocer las reglas y no incorporarlas realmente a su forma de trabajar.
Esta diferencia es fundamental.
Porque tener políticas de cumplimiento no significa necesariamente tener una cultura de cumplimiento.
Una política establece qué espera la organización.
Una cultura influye en lo que las personas hacen cuando tienen que tomar una decisión.
Y entre ambas existe un espacio que muchas empresas todavía necesitan aprender a gestionar.
Una política puede escribirse. Una cultura tiene que construirse.
Pensemos en una situación cotidiana.
Una organización dispone de un procedimiento que establece claramente cómo debe actuar un colaborador ante determinada situación de riesgo.
El procedimiento está disponible.
El colaborador recibió una capacitación.
Incluso existe constancia de que asistió.
Pero cuando aparece la situación real, decide actuar de otra manera.
¿Qué ha fallado?
La respuesta fácil sería pensar que el colaborador no cumplió el procedimiento.
Formalmente puede ser cierto.
Pero para una organización que realmente quiera mejorar, esa respuesta resulta insuficiente.
Hay preguntas mucho más útiles:
¿Comprendía realmente qué debía hacer?
¿Entendía por qué era importante hacerlo?
¿Sabía a quién debía comunicar la situación?
¿El procedimiento era suficientemente claro?
¿Su responsable actuaba de forma coherente con ese mismo mensaje?
¿Existía presión para priorizar un objetivo comercial u operativo sobre el procedimiento?
¿Se sentía suficientemente seguro para comunicar una preocupación?
De repente, lo que parecía simplemente un problema individual empieza a revelar algo mucho más amplio.
Comunicación.
Liderazgo.
Procesos.
Formación.
Incentivos.
Confianza.
Comportamiento.
Todo ello forma parte de la cultura de una organización.
Cumplir no es lo mismo que comprender
Uno de los errores más frecuentes consiste en asumir que comunicar una política equivale a conseguir que las personas la comprendan.
No es así.
Enviar un documento por correo electrónico demuestra que el documento fue enviado.
Solicitar una firma puede demostrar que alguien confirmó su recepción.
Registrar la asistencia a una capacitación permite demostrar que una persona estuvo presente.
Pero ninguna de estas evidencias demuestra, por sí sola, que el mensaje haya sido comprendido ni que vaya a modificar una conducta.
Esta diferencia es especialmente importante en cumplimiento.
El verdadero objetivo no debería ser únicamente conseguir que las personas sepan que existe una regla.
Deberían comprender:
qué intenta proteger esa regla;
qué riesgo intenta prevenir;
cómo afecta a su función;
qué deben hacer cuando aparece una situación concreta;
y dónde pueden acudir cuando tienen dudas.
Cuando una organización consigue responder esas preguntas de manera sencilla, el cumplimiento comienza a dejar de percibirse como un conjunto de instrucciones externas al trabajo.
Empieza a formar parte del propio trabajo.
La cultura de cumplimiento no pertenece a un departamento
Otro error habitual consiste en imaginar el cumplimiento como una responsabilidad concentrada exclusivamente en una persona o área.
La organización tiene un Oficial de Cumplimiento.
Por tanto, el Oficial de Cumplimiento «se ocupa del cumplimiento».
Esta visión resulta demasiado limitada.
La función de cumplimiento puede coordinar, asesorar, supervisar, evaluar y desarrollar numerosas actividades esenciales.
Pero ninguna persona puede construir por sí sola la cultura de toda una organización.
La cultura aparece en muchos otros lugares.
Cuando un gerente responde ante una irregularidad.
Cuando un supervisor decide cómo actuar frente a un incumplimiento.
Cuando Recursos Humanos incorpora a una nueva persona.
Cuando el área comercial evalúa una oportunidad.
Cuando un colaborador comunica una preocupación.
Cuando la Alta Dirección establece prioridades.
Cuando una persona observa cómo se comportan realmente sus responsables.
Por eso el cumplimiento efectivo necesita ser transversal.
La norma internacional ISO 37301 sobre sistemas de gestión del cumplimiento parte precisamente de una concepción organizacional: establece un marco para desarrollar, implementar, evaluar, mantener y mejorar continuamente un sistema de cumplimiento.
Su lógica resulta muy diferente de considerar el cumplimiento como una carpeta de documentos.
Estamos hablando de un sistema de gestión.
Y los sistemas necesitan personas, responsabilidades, liderazgo, procesos, evaluación y mejora continua.
Lo que la empresa tolera también forma parte de sus políticas
Existe una regla no escrita que puede llegar a ser más poderosa que cualquier manual:
las personas observan lo que realmente ocurre.
Una organización puede afirmar que determinada conducta es inaceptable.
Pero si los colaboradores observan que esa conducta se tolera cuando quien la realiza genera buenos resultados, el mensaje real puede terminar siendo muy diferente al mensaje escrito.
Puede suceder también lo contrario.
Una empresa puede afirmar que quiere que sus colaboradores comuniquen posibles irregularidades.
Pero si quien plantea una preocupación recibe indiferencia, críticas o consecuencias negativas, el resto de la organización aprenderá rápidamente otra lección:
es mejor permanecer en silencio.
Ahí aparece una de las dimensiones más importantes de la cultura de cumplimiento.
Las personas no aprenden únicamente mediante capacitaciones.
También aprenden observando.
Observan qué comportamientos se reconocen.
Qué decisiones se cuestionan.
Qué situaciones se toleran.
Qué hace un responsable cuando aparece un problema.
Y qué ocurre con quien decide comunicarlo.
Por eso el comportamiento de los líderes puede tener un impacto considerable sobre la eficacia de cualquier programa de cumplimiento.
El liderazgo convierte las políticas en señales
Una política puede decir:
Debemos actuar con integridad.
Pero un líder convierte esa afirmación en una señal concreta cuando decide renunciar a una oportunidad porque las condiciones no son suficientemente transparentes.
Una política puede establecer:
Debemos comunicar las situaciones de riesgo.
Pero un responsable convierte esa frase en cultura cuando escucha seriamente a un colaborador que plantea una preocupación.
Una política puede exigir:
Debemos realizar determinadas verificaciones antes de establecer una relación.
Pero la dirección transmite el verdadero mensaje cuando evita presionar a los equipos para saltarse esas verificaciones con el objetivo de cerrar una operación más rápidamente.
Esta coherencia entre lo que la organización dice y lo que sus responsables hacen resulta esencial.
Por eso la cultura de cumplimiento comienza desde arriba, pero no termina allí.
La Alta Dirección puede establecer el tono.
Los responsables intermedios lo convierten en comportamiento cotidiano.
Y los colaboradores determinan finalmente si esos principios forman parte de la manera real de trabajar.
La cultura no significa que todo el mundo tenga que convertirse en especialista
Construir una cultura de cumplimiento tampoco significa convertir a todos los colaboradores en expertos regulatorios.
Un responsable comercial no necesita necesariamente conocer una norma con el mismo nivel de profundidad que un especialista en cumplimiento.
Un miembro de la Junta Directiva necesitará información diferente a la de una persona que realiza tareas operativas.
Recursos Humanos tendrá necesidades distintas a Tecnología.
Precisamente por eso, uno de los errores que debemos evitar es intentar comunicar exactamente lo mismo, de la misma manera, a todas las personas.
El objetivo debería ser otro:
que cada persona comprenda aquello que necesita para desempeñar correctamente su responsabilidad.
Eso implica adaptar la comunicación.
No necesariamente el principio.
El principio puede ser el mismo.
La forma de explicarlo puede cambiar completamente.
Y ahí encontramos uno de los grandes desafíos de la cultura de cumplimiento moderna:
conseguir que toda la organización hable el mismo idioma sin pretender que todas las personas necesiten escuchar el mismo mensaje de la misma manera.
Cuando capacitar una vez al año deja de ser suficiente
Durante años, muchas organizaciones han estructurado la formación en cumplimiento alrededor de un modelo relativamente sencillo:
se programa una capacitación, se convoca al personal, se imparte el contenido y se registra la asistencia.
Desde una perspectiva documental, el proceso puede estar perfectamente organizado.
Pero existe una pregunta mucho más importante:
¿qué recuerda el colaborador tres meses después?
Y otra todavía más relevante:
¿sabrá aplicar lo aprendido cuando aparezca una situación real?
Esta diferencia nos obliga a separar dos conceptos.
Cumplir con una actividad de capacitación y conseguir que esa capacitación influya en el comportamiento no son necesariamente lo mismo.
Una sesión extensa una vez al año puede ser útil y, dependiendo de las obligaciones aplicables a la organización, incluso formar parte de sus programas formativos.
El problema aparece cuando se convierte en el único contacto que las personas tienen con el cumplimiento durante todo el año.
Una cultura no puede activarse durante unas horas y permanecer en silencio los siguientes once meses.
Necesita continuidad.
De la capacitación como evento a la formación como proceso
Pensemos en cómo aprendemos cualquier otra actividad.
Difícilmente esperaríamos dominar una herramienta después de utilizarla una sola vez.
Tampoco desarrollaríamos una habilidad profesional asistiendo únicamente a una sesión anual.
¿Por qué esperar entonces que determinados comportamientos relacionados con cumplimiento se consoliden mediante una única intervención?
La alternativa no consiste necesariamente en organizar más cursos largos.
Puede ser mucho más sencilla.
Recordatorios breves.
Casos prácticos.
Videos.
Infografías.
Preguntas.
Talleres.
Mensajes internos.
Pequeñas cápsulas formativas.
Situaciones reales adaptadas al trabajo de cada equipo.
El webinar de TP Panamá plantea precisamente esta evolución hacia formatos como el microlearning, talleres, sesiones participativas, procesos de incorporación y diferentes herramientas de comunicación interna.
El objetivo es mantener el conocimiento activo.
Porque una capacitación puede transmitir información.
La repetición contextualizada ayuda a convertir esa información en conocimiento aplicable.
El mismo mensaje no necesita el mismo formato
Aquí aparece otra cuestión fundamental.
Imagine una organización que necesita comunicar una modificación importante en uno de sus procedimientos.
Entre las personas que necesitan comprenderla encontramos:
- miembros de la Junta Directiva;
- Alta Dirección;
- responsables de equipos;
- personal comercial;
- colaboradores operativos;
- nuevos ingresos.
¿Deberían todos recibir exactamente la misma presentación?
Probablemente no.
No porque la organización deba transmitir principios diferentes, sino porque cada audiencia necesita comprender aspectos distintos de esos principios.
Un miembro de Junta Directiva puede necesitar saber:
¿Qué riesgo estamos gestionando y cuál es nuestra exposición?
Un gerente:
¿Qué responsabilidad tiene mi área?
Un supervisor:
¿Cómo debo actuar si mi equipo encuentra esta situación?
Un colaborador operativo:
¿Qué tengo que hacer cuando esto ocurra?
Un nuevo ingreso:
¿Dónde puedo consultar el procedimiento y a quién debo acudir si tengo dudas?
La obligación puede ser la misma.
La necesidad de información es diferente.
Por eso una estrategia madura de formación comienza antes de diseñar la presentación.
Comienza preguntando:
¿Quién necesita saber qué?
Segmentar no significa complicar
Puede parecer que adaptar la formación a diferentes audiencias exige crear numerosos programas completamente distintos.
No necesariamente.
Una organización puede disponer de un núcleo común de principios y posteriormente adaptar la profundidad, los ejemplos y el formato.
Por ejemplo:
Para Junta Directiva y Alta Dirección
La comunicación puede concentrarse en:
- principales riesgos;
- evolución del programa;
- situaciones relevantes;
- efectividad de controles;
- necesidades de recursos;
- responsabilidades;
- decisiones que requieren atención.
El objetivo no es convertir a la Junta en especialista operativa.
Es proporcionarle información suficiente para ejercer adecuadamente sus responsabilidades.
Para líderes y supervisores
El enfoque debería acercarse mucho más a situaciones cotidianas.
¿Qué hago si alguien de mi equipo comunica una preocupación?
¿Cómo respondo?
¿Cuándo debo escalar una situación?
¿Qué comportamientos debo evitar?
¿Cómo puedo reforzar las políticas mediante mi propia conducta?
Los responsables intermedios son especialmente importantes porque representan el punto de contacto cotidiano entre la cultura que la organización declara y la cultura que los colaboradores experimentan.
Para personal operativo
Aquí la claridad resulta fundamental.
Menos teoría cuando no sea necesaria.
Más situaciones reconocibles.
¿Qué debe observar?
¿Qué debe hacer?
¿Qué no debe hacer?
¿A quién debe comunicarlo?
¿Dónde encuentra ayuda?
La mejor capacitación para este público no es necesariamente la que contiene más información.
Es aquella que consigue que la persona reconozca una situación y sepa cómo actuar.
Para nuevos colaboradores
El proceso de incorporación ofrece una oportunidad extraordinaria.
Durante sus primeros días, una persona está aprendiendo cómo funciona realmente la organización.
No solamente sus sistemas y responsabilidades.
También sus normas informales.
Qué se espera.
Qué se tolera.
Cómo se toman decisiones.
A quién se consulta.
Cómo se responde ante un error.
Incorporar el cumplimiento desde este momento ayuda a transmitir algo mucho más profundo que una lista de políticas:
“Así trabajamos aquí.”
Recursos Humanos tiene mucho que aportar a la cultura de cumplimiento
Cuando hablamos de cumplimiento, Recursos Humanos puede quedar injustamente relegado a un segundo plano.
Sin embargo, participa en numerosos momentos capaces de influir directamente en la cultura.
Selección.
Incorporación.
Formación.
Evaluación.
Desarrollo.
Liderazgo.
Gestión de situaciones internas.
Salida de colaboradores.
Esto convierte a Recursos Humanos en un aliado natural del área de Cumplimiento.
Por ejemplo, si una organización afirma que determinados comportamientos son fundamentales pero sus sistemas de reconocimiento recompensan exclusivamente resultados comerciales sin considerar cómo se consiguieron, puede aparecer una contradicción.
El mensaje formal dice una cosa.
Los incentivos pueden estar diciendo otra.
De la misma manera, si el cumplimiento forma parte de la cultura declarada pero desaparece después del proceso inicial de incorporación, se pierde una oportunidad importante para reforzarlo durante toda la relación laboral.
La colaboración entre Recursos Humanos y Cumplimiento permite integrar estos principios en diferentes momentos de la experiencia del colaborador.
No para convertir Recursos Humanos en Cumplimiento.
Sino para conseguir que ambas funciones trabajen sobre un objetivo compartido:
favorecer comportamientos coherentes con los valores, políticas y responsabilidades de la organización.
Comunicación Interna: mantener vivo el mensaje
Existe otro aliado que a menudo recibe poca atención dentro de los programas de cumplimiento: Comunicación Interna.
Cumplimiento conoce el contenido.
Pero conocer un contenido y saber comunicarlo eficazmente son competencias diferentes.
Una política de veinte páginas puede ser necesaria.
Eso no significa que sea el mejor formato para recordar a un colaborador qué debe hacer ante una situación concreta.
Comunicación Interna puede ayudar a transformar contenidos complejos en mensajes más accesibles mediante diferentes recursos.
Una infografía.
Un correo breve.
Una pregunta semanal.
Una cápsula audiovisual.
Una historia basada en una situación práctica.
Un recordatorio.
Una campaña.
Un contenido dentro de la intranet.
Esto no sustituye a la política ni a la capacitación formal cuando sean necesarias.
Las complementa.
El webinar resume muy bien esta lógica: el mensaje debe mantenerse vivo utilizando diferentes canales y formatos durante el año.
El papel crítico de los líderes intermedios
Podemos diseñar excelentes materiales.
Podemos crear campañas.
Podemos impartir capacitaciones.
Pero existe una persona que probablemente influya más en la experiencia cotidiana de un colaborador:
su responsable directo.
Esto convierte a los líderes intermedios en una pieza decisiva.
Supongamos que una capacitación explica claramente que determinadas verificaciones deben completarse antes de continuar con una operación.
Al día siguiente, un gerente dice:
“Hazlo después. Necesitamos cerrar esto hoy.”
¿Qué mensaje tendrá mayor impacto?
Probablemente el segundo.
No porque la capacitación fuera incorrecta.
Sino porque las personas interpretan las prioridades de la organización observando qué comportamientos reciben realmente de sus responsables.
Por eso formar a los líderes merece una atención específica.
No únicamente sobre qué establece una política.
También sobre cómo deben responder cuando sus equipos se enfrentan a situaciones relacionadas con ella.
Un líder puede reforzar la cultura.
O puede neutralizar en segundos meses de comunicación.
La Alta Dirección establece algo más importante que un discurso
Hablar del compromiso de la Alta Dirección puede convertirse fácilmente en una frase corporativa.
Por eso conviene llevarlo a comportamientos observables.
La dirección demuestra su compromiso cuando:
- proporciona recursos suficientes;
- permite que los controles funcionen incluso cuando generan alguna fricción operativa;
- solicita información sobre riesgos;
- responde ante situaciones relevantes;
- exige coherencia a los responsables;
- participa en determinadas actividades de formación;
- y evita transmitir que los resultados justifican cualquier forma de conseguirlos.
El verdadero mensaje de la Alta Dirección no está únicamente en lo que comunica.
Está en qué decisiones toma cuando cumplir tiene un costo, exige tiempo o implica renunciar a una oportunidad.
Es ahí donde las personas comprueban qué importancia tiene realmente el cumplimiento.
¿Cómo sabemos si una capacitación está funcionando?
Esta es probablemente una de las preguntas más importantes de todo el artículo.
El indicador más sencillo suele ser la asistencia.
¿Cuántas personas realizaron la capacitación?
Es útil.
Pero insuficiente.
También podemos medir conocimiento:
¿Comprendieron el contenido?
Podemos utilizar preguntas, evaluaciones o ejercicios prácticos.
Pero todavía podemos avanzar más.
¿Saben aplicar ese conocimiento?
Aquí pueden utilizarse escenarios o casos.
Y todavía queda otro nivel:
¿Está cambiando el comportamiento?
Esto requiere observar otros indicadores.
Por ejemplo:
- calidad de las consultas recibidas;
- utilización de los canales internos;
- errores recurrentes;
- situaciones detectadas;
- cumplimiento de procedimientos;
- resultados de controles;
- hallazgos de auditoría;
- reincidencias;
- resultados de evaluaciones;
- percepción de los colaboradores.
No existe un único indicador capaz de demostrar que una organización tiene una buena cultura.
Lo importante es combinar información.
Medir para mejorar, no para buscar culpables
Existe una diferencia importante entre utilizar los datos para mejorar el sistema y utilizarlos únicamente para identificar quién cometió un error.
Supongamos que varias personas fallan repetidamente en el mismo punto de un procedimiento.
Podemos concluir:
“Los colaboradores no están siguiendo las instrucciones.”
Pero también podemos preguntar:
“¿Por qué tantas personas están fallando exactamente en el mismo punto?”
Quizá la capacitación no sea suficientemente clara.
Quizá el procedimiento sea demasiado complejo.
Quizá exista una contradicción con la operativa.
Quizá la herramienta utilizada dificulte el proceso.
Quizá los responsables estén transmitiendo instrucciones diferentes.
El error también contiene información.
Una organización con una cultura madura no utiliza esa información únicamente para señalar responsabilidades.
La utiliza para identificar qué puede mejorar en el sistema.
De “hemos capacitado” a “sabemos si están aprendiendo”
Este cambio parece pequeño, pero transforma completamente la conversación.
En lugar de preguntar:
¿Ya impartimos la capacitación anual?
Podemos comenzar a preguntar:
¿Qué queremos que las personas sepan hacer después de esta capacitación?
¿Cómo comprobaremos si lo comprendieron?
¿Cómo reforzaremos ese conocimiento durante el año?
¿Qué indicadores nos dirán si está funcionando?
¿Qué haremos si descubrimos que no está funcionando?
Aquí la formación deja de ser una actividad aislada.
Se convierte en un ciclo:
Comunicar → comprender → aplicar → observar → medir → mejorar.
Y ese ciclo nos acerca mucho más a una verdadera cultura de cumplimiento que cualquier certificado de asistencia por sí solo.
Cuando las personas conocen la política, pero actúan de otra manera
Llegados a este punto aparece una pregunta incómoda.
¿Qué ocurre cuando las personas sí conocen la política?
Han recibido capacitación.
Saben dónde encontrar el procedimiento.
Comprenden, al menos formalmente, qué espera la organización.
Y, aun así, cuando llega el momento de actuar, toman una decisión diferente.
Es fácil interpretar inmediatamente esta situación como una falta individual.
Y en determinados casos puede serlo.
Las personas son responsables de sus decisiones y una cultura de cumplimiento no puede construirse eliminando esa responsabilidad.
Pero detener el análisis ahí puede impedir que la organización detecte problemas más profundos.
Porque el comportamiento de las personas no depende únicamente de lo que saben.
También está influido por el entorno en el que trabajan.
Los objetivos que deben alcanzar.
Los incentivos que reciben.
La conducta de sus responsables.
La presión existente.
La facilidad o dificultad de seguir un procedimiento.
La respuesta que observan ante situaciones anteriores.
Y las consecuencias reales —no solamente las escritas— de actuar de una determinada manera.
Por eso, cuando un comportamiento contrario a una política comienza a repetirse, la organización debería analizar tanto la actuación individual como el contexto que la rodea.
La presión por resultados puede competir con el cumplimiento
Pensemos en una organización que comunica constantemente la importancia de realizar correctamente determinados controles antes de iniciar una relación comercial.
La política es clara.
La capacitación también.
Pero, al mismo tiempo, los equipos reciben objetivos comerciales exigentes y perciben que la velocidad para cerrar operaciones es uno de los principales criterios utilizados para evaluar su desempeño.
¿Qué ocurre cuando ambos mensajes entran en conflicto?
Formalmente, la organización dice:
“Realice todas las verificaciones necesarias antes de continuar.”
Pero el entorno puede estar transmitiendo:
“Lo importante es cerrar la operación cuanto antes.”
Si esto sucede de forma recurrente, el problema ya no puede analizarse únicamente como una cuestión de capacitación.
Existe una contradicción entre el comportamiento esperado y los incentivos percibidos.
Una cultura de cumplimiento sólida necesita identificar estas contradicciones.
Porque las personas no responden únicamente a lo que aparece escrito en una política.
También responden a aquello que perciben que la organización realmente valora.
Los incentivos también comunican
Cuando hablamos de incentivos, no debemos pensar exclusivamente en bonificaciones económicas.
Un incentivo puede ser:
- reconocimiento;
- promoción;
- acceso a determinadas oportunidades;
- valoración por parte de un superior;
- presión del equipo;
- cumplimiento de objetivos;
- evitar una conversación incómoda;
- o simplemente terminar una tarea más rápidamente.
Todo aquello que hace más probable una determinada conducta puede influir en la cultura.
Esto significa que una empresa debería preguntarse si sus sistemas de evaluación y reconocimiento están alineados con los comportamientos que declara importantes.
Por ejemplo:
¿Premiamos exclusivamente el resultado o también la forma en que se consigue?
¿Un responsable que alcanza excelentes cifras pero ignora reiteradamente determinados procedimientos recibe el mismo reconocimiento?
¿Las personas que detectan problemas y los comunican son consideradas colaborativas o problemáticas?
¿Se reconoce a quien detiene una operación cuando identifica una circunstancia que requiere análisis adicional?
Las respuestas a estas preguntas dicen mucho sobre la cultura real de una organización.
El peligro de las excepciones que dejan de ser excepcionales
Prácticamente toda organización necesita gestionar excepciones.
Un procedimiento puede no contemplar todas las situaciones posibles.
Puede existir una urgencia legítima.
Una circunstancia extraordinaria.
Una operación que requiera un tratamiento diferente.
El problema no es necesariamente que existan excepciones.
El problema aparece cuando dejan de gestionarse como tales.
Primero ocurre una vez.
Después otra.
Más tarde, alguien recuerda:
“La última vez lo hicimos así.”
Y progresivamente una práctica excepcional puede convertirse en una nueva forma de trabajar sin que nadie haya decidido formalmente modificar el procedimiento.
Este fenómeno resulta especialmente peligroso porque puede producir una separación progresiva entre:
la organización documentada y la organización real.
En los documentos existe un procedimiento.
En la práctica existe otro.
Una cultura de cumplimiento madura necesita mecanismos para detectar estas diferencias.
Si una excepción aparece constantemente, quizá el problema no sea que las personas estén intentando evitar el procedimiento.
Quizá el procedimiento necesite ser revisado.
Cuando el procedimiento correcto es demasiado difícil de seguir
Esta cuestión merece especial atención.
A veces las personas incumplen porque deciden hacerlo.
Pero otras veces desarrollan atajos porque el proceso diseñado resulta excesivamente complejo, lento o desconectado de la realidad operativa.
Esto no justifica el incumplimiento.
Pero sí proporciona información valiosa para mejorar el sistema.
Supongamos que un procedimiento exige introducir la misma información en tres herramientas diferentes.
O requiere varias aprobaciones para situaciones de bajo riesgo.
O utiliza formularios difíciles de comprender.
O establece pasos que ya no corresponden con la forma actual de trabajar.
Con el tiempo pueden aparecer soluciones informales:
hojas de cálculo paralelas;
mensajes fuera del sistema;
aprobaciones verbales;
documentación completada posteriormente;
o controles realizados simplemente para poder marcar una casilla.
El procedimiento continúa existiendo.
Pero el comportamiento real ha encontrado una manera de rodearlo.
Por eso el diseño de los controles importa.
Un buen control no debería ser únicamente técnicamente correcto.
También debe ser suficientemente comprensible, aplicable y proporcional al riesgo para funcionar dentro de la operación.
Cumplimiento y eficiencia no deberían ser enemigos
Existe una idea que conviene cuestionar:
si un control genera más trabajo, entonces debe ser mejor.
No necesariamente.
Un control eficaz es aquel que ayuda a gestionar adecuadamente un riesgo.
La cantidad de pasos, documentos o autorizaciones no constituye por sí sola una medida de calidad.
Un proceso excesivamente complejo puede incluso generar nuevas debilidades.
Las personas pueden dejar de prestar atención.
Pueden completar actividades mecánicamente.
Pueden aparecer duplicidades.
Los equipos pueden concentrar tanto esfuerzo en tareas administrativas que disponen de menos tiempo para analizar las situaciones que realmente requieren atención.
Esto conecta directamente con el enfoque basado en riesgo.
La organización debería destinar mayor atención y recursos allí donde la exposición lo justifique.
No necesariamente tratar todas las situaciones como si presentaran exactamente el mismo nivel de riesgo.
La eficiencia, correctamente entendida, no debilita el cumplimiento.
Puede fortalecerlo.
Compliance by Design: hacer que cumplir sea parte del proceso
Aquí aparece un concepto especialmente útil: Compliance by Design.
Su lógica es sencilla.
En lugar de diseñar primero un proceso empresarial y preguntarse al final qué controles debemos añadir, podemos incorporar los requisitos de cumplimiento desde el momento en que diseñamos ese proceso.
La diferencia puede ser considerable.
Modelo reactivo
Diseñamos → implementamos → detectamos riesgos → añadimos controles → corregimos.
Compliance by Design
Identificamos objetivos y riesgos → diseñamos proceso y controles conjuntamente → implementamos → medimos → mejoramos.
En el segundo modelo, el cumplimiento deja de aparecer como una capa adicional.
Forma parte de la arquitectura del proceso.
Esto puede aplicarse a numerosos escenarios:
incorporación de clientes;
selección de proveedores;
contratación;
pagos;
gestión documental;
aprobaciones;
desarrollo de productos;
implantación de tecnología;
tratamiento de información;
o procesos de debida diligencia.
La pregunta cambia.
En lugar de:
“¿Qué control tenemos que añadir?”
comenzamos a preguntar:
“¿Cómo podemos diseñar este proceso para que actuar correctamente sea la opción natural?”
Ese cambio tiene un enorme componente cultural.
El miedo a comunicar también modifica comportamientos
Existe otro elemento que puede hacer fracasar incluso un excelente sistema de cumplimiento.
El miedo.
Una organización puede disponer de canales para comunicar inquietudes, irregularidades o posibles incumplimientos.
Pero su existencia técnica no garantiza que las personas quieran utilizarlos.
Antes de comunicar una preocupación, un colaborador puede preguntarse:
¿Me van a escuchar?
¿Tendré problemas con mi responsable?
¿Van a pensar que estoy creando conflictos?
¿Pasará algo realmente?
¿Mi información será tratada adecuadamente?
Si la respuesta percibida a estas preguntas es negativa, el canal puede existir y, sin embargo, permanecer prácticamente vacío.
Esto crea un riesgo adicional.
La dirección puede interpretar la ausencia de comunicaciones como una señal de que no existen problemas.
Pero también podría significar que las personas no se sienten suficientemente seguras para hablar de ellos.
Por eso medir exclusivamente el número de comunicaciones puede conducir a conclusiones equivocadas.
Más reportes no significan necesariamente una peor cultura.
En determinados contextos, pueden reflejar precisamente lo contrario: mayor conocimiento de los canales y mayor confianza en utilizarlos.
La respuesta de la organización determina si las personas volverán a hablar
Tan importante como disponer de un canal es lo que ocurre después.
Imagine que un colaborador comunica una situación que considera relevante.
No recibe respuesta.
No sabe si alguien la revisó.
Meses después observa que nada parece haber cambiado.
¿Qué probabilidad existe de que vuelva a comunicar algo?
¿Y qué mensaje transmitirá su experiencia a sus compañeros?
La cultura se construye también en esos momentos.
Una organización no siempre podrá informar todos los detalles de una revisión o investigación.
Pueden existir razones de confidencialidad que lo impidan.
Pero sí puede desarrollar mecanismos que transmitan que las comunicaciones son recibidas, evaluadas y tratadas de acuerdo con procedimientos definidos.
Las personas necesitan comprobar que el sistema funciona.
El silencio no siempre significa que todo esté bien
Este principio resulta especialmente importante para la Alta Dirección.
Una organización con cero incidentes reportados, cero consultas y cero inquietudes durante largos periodos puede parecer extraordinariamente saludable.
Pero también debería provocar algunas preguntas.
¿Las personas conocen los canales?
¿Saben qué situaciones deberían comunicar?
¿Confían en ellos?
¿Los líderes facilitan que las personas planteen dudas?
¿Existe miedo a equivocarse?
¿Se considera una consulta como señal de desconocimiento?
Una cultura madura no es aquella donde nadie pregunta.
Es aquella donde las personas saben cuándo deben preguntar y se sienten capaces de hacerlo.
La cultura escrita y la cultura real
Podemos resumir todo este problema distinguiendo dos dimensiones.
La cultura escrita
Es la que aparece en:
- códigos;
- políticas;
- procedimientos;
- declaraciones de valores;
- presentaciones;
- manuales;
- comunicaciones corporativas.
La cultura real
Es la que observamos en:
- decisiones;
- comportamientos;
- incentivos;
- excepciones;
- reacciones de los líderes;
- utilización de canales;
- forma de responder ante errores;
- consecuencias reales.
Una organización madura intenta reducir la distancia entre ambas.
No significa alcanzar una perfección imposible.
Significa detectar incoherencias y corregirlas.
Porque el objetivo de un programa de cumplimiento no debería ser conseguir que la organización parezca comprometida.
Debería ayudar a que el compromiso pueda observarse en su manera cotidiana de operar.
¿Cómo detectar la distancia entre lo escrito y lo real?
No existe una única herramienta.
Necesitamos combinar diferentes fuentes.
Las auditorías pueden identificar desviaciones.
Los controles pueden mostrar errores recurrentes.
Las consultas pueden revelar áreas de incertidumbre.
Los canales internos pueden detectar situaciones que no aparecen en los indicadores tradicionales.
Las encuestas pueden ayudar a conocer percepciones.
Las entrevistas pueden descubrir diferencias entre departamentos.
Los datos de capacitación pueden mostrar áreas con dificultades.
Las excepciones pueden revelar procedimientos que necesitan revisión.
Y los incidentes pueden proporcionar información sobre vulnerabilidades que antes no habíamos identificado.
La clave está en no observar cada indicador de manera aislada.
Un programa de cumplimiento maduro busca patrones.
Cuando algo falla repetidamente, debemos mirar el sistema
Supongamos que una persona incumple un procedimiento.
Puede ser un problema individual.
Pero si veinte personas cometen exactamente el mismo error, deberíamos hacernos otra pregunta:
¿Qué está ocurriendo en el sistema?
- Quizá la política no es clara.
- Quizá la formación no funciona.
- Quizá el proceso es excesivamente complejo.
- Quizá existe presión operativa.
- Quizá los incentivos están mal alineados.
- Quizá una herramienta genera errores.
- Quizá los responsables están transmitiendo instrucciones diferentes.
- O quizá exista una combinación de varios factores.
Esta forma de analizar los problemas no elimina la responsabilidad individual.
La hace más útil.
Porque permite corregir tanto la conducta concreta como las condiciones que pueden provocar que vuelva a repetirse.
Una cultura de cumplimiento también aprende
Llegamos así a una característica fundamental de las organizaciones maduras:
no esperan que nunca ocurra un error. Esperan ser capaces de aprender cuando ocurre.
- Cada incidencia.
- Cada consulta.
- Cada hallazgo.
- Cada excepción.
- Cada investigación.
- Cada evaluación.
Puede convertirse en información para mejorar el sistema.
Esto transforma completamente la forma de entender el cumplimiento.
Ya no hablamos solamente de evitar incumplimientos.
Hablamos de desarrollar una organización capaz de detectar, comprender, responder y mejorar.
Y ahí aparece una de las diferencias fundamentales entre tener políticas y tener cultura:
las políticas nos dicen cómo deberíamos actuar.
La cultura determina cómo actuamos realmente y qué hacemos cuando descubrimos que ambas cosas no coinciden.
Cómo construir una cultura de cumplimiento que funcione en la práctica
Después de analizar liderazgo, capacitación, comunicación, incentivos, procesos y comportamiento, puede parecer que construir una cultura de cumplimiento requiere transformar toda la organización simultáneamente.
No necesariamente.
La cultura se desarrolla mediante decisiones consistentes mantenidas en el tiempo.
No existe una campaña, capacitación o política capaz de crearla por sí sola.
Lo importante es construir un sistema en el que diferentes elementos se refuercen entre sí.
Podemos resumir ese proceso en ocho pasos.
1. Comenzar por el liderazgo
La primera pregunta no debería ser:
¿Qué nueva política necesitamos?
Debería ser:
¿Qué comportamiento esperamos de quienes dirigen la organización?
La Alta Dirección establece prioridades mediante sus decisiones.
Los líderes intermedios convierten esas prioridades en experiencias cotidianas para sus equipos.
Por eso el compromiso con el cumplimiento debe poder observarse.
No basta con incluirlo en un discurso institucional.
Debe reflejarse cuando existe presión.
Cuando una oportunidad comercial entra en conflicto con un control.
Cuando aparece una irregularidad.
Cuando un colaborador plantea una preocupación.
Cuando cumplir requiere dedicar recursos.
Es en esos momentos donde la organización demuestra cuáles son realmente sus prioridades.
2. Definir responsabilidades claras
Una cultura transversal no significa que todo el mundo sea responsable exactamente de lo mismo.
Significa que cada persona comprende cuál es su responsabilidad.
La Alta Dirección tiene unas funciones.
La Junta Directiva, cuando corresponda, otras.
Cumplimiento tiene responsabilidades específicas.
Auditoría mantiene su propia función.
Recursos Humanos aporta desde su ámbito.
Los líderes gestionan a sus equipos.
Los colaboradores deben conocer y aplicar los procedimientos que corresponden a su actividad.
Cuando las responsabilidades no están claramente definidas aparecen dos riesgos.
El primero es la duplicidad.
Varias personas hacen lo mismo.
El segundo puede ser todavía más peligroso:
todos asumen que otra persona lo está haciendo.
Una cultura sólida necesita claridad.
- Quién decide.
- Quién ejecuta.
- Quién supervisa.
- Quién informa.
- Y cuándo una situación debe escalarse.
3. Identificar los comportamientos que queremos conseguir
Esta pregunta cambia por completo la forma de diseñar un programa.
En lugar de decir:
“Necesitamos capacitar sobre esta política.”
podemos preguntar:
“¿Qué queremos que una persona haga de manera diferente después de conocer esta política?”
Quizá queremos que:
- identifique una señal de alerta;
- solicite determinada información;
- no continúe una operación sin autorización;
- comunique una situación;
- proteja determinada información;
- consulte antes de tomar una decisión;
- o documente correctamente una actuación.
Cuanto más concreto sea el comportamiento esperado, más sencillo será diseñar formación, controles e indicadores alrededor de él.
4. Adaptar la comunicación a cada audiencia
No todas las personas necesitan el mismo nivel de información.
Pero todas necesitan comprender aquello que afecta a su responsabilidad.
Por eso una estrategia de comunicación debería preguntarse:
- ¿Quién necesita conocer este mensaje?
- ¿Qué necesita comprender?
- ¿Qué queremos que haga?
- ¿Cuál es la mejor forma de explicárselo?
Una presentación técnica puede funcionar perfectamente para un especialista.
Un caso práctico puede resultar mucho más útil para un equipo operativo.
Una Junta Directiva puede necesitar un cuadro ejecutivo.
Un nuevo colaborador puede necesitar una explicación sencilla dentro de su proceso de incorporación.
La efectividad del mensaje importa más que su complejidad.
5. Diseñar procesos que faciliten hacer lo correcto
Si cumplir correctamente exige luchar constantemente contra el proceso, existe un problema de diseño.
Los controles deben responder al riesgo.
Pero también necesitan integrarse en la operación.
Aquí cobra especial importancia el principio que hemos analizado anteriormente de Compliance by Design.
Incorporar los requisitos desde el diseño permite preguntarnos:
- ¿Podemos automatizar esta validación?
- ¿Podemos evitar solicitar dos veces la misma información?
- ¿Podemos establecer una autorización clara?
- ¿Podemos introducir una alerta?
- ¿Podemos facilitar que el usuario sepa qué debe hacer?
- ¿Podemos concentrar los controles más intensos donde exista mayor riesgo?
El objetivo no consiste en eliminar controles para conseguir procesos más rápidos.
Consiste en diseñar mejores controles dentro de mejores procesos.
6. Crear espacios donde las personas puedan preguntar
Una organización donde nunca aparecen dudas no es necesariamente una organización donde todo está claro.
Las personas necesitan saber dónde acudir cuando encuentran una situación que no comprenden.
Eso puede incluir:
- canales formales;
- responsables;
- consultas al área de Cumplimiento;
- supervisores;
- mecanismos de comunicación;
- o procedimientos de escalamiento.
Lo importante es que exista una respuesta suficientemente clara a una pregunta muy sencilla:
“Tengo una duda. ¿Qué hago ahora?”
Esta capacidad de consultar antes de actuar puede evitar numerosos problemas.
Además, convierte el cumplimiento en una función de acompañamiento y prevención, no exclusivamente de control.
7. Medir comportamiento, no solamente actividad
Esta es una de las transformaciones más importantes.
Una organización puede medir:
- número de políticas actualizadas;
- número de capacitaciones;
- personas asistentes;
- comunicaciones enviadas;
- controles ejecutados.
Todos estos datos pueden ser útiles.
Pero fundamentalmente miden actividad.
Para comprender la cultura necesitamos acercarnos también al resultado.
Por ejemplo:
- ¿Las personas saben cómo actuar?
- ¿Los errores recurrentes disminuyen?
- ¿Se utilizan los canales disponibles?
- ¿Los responsables escalan correctamente las situaciones?
- ¿Los controles identifican problemas?
- ¿Las personas comprenden dónde consultar?
- ¿Las excepciones están aumentando?
- ¿Los mismos hallazgos aparecen repetidamente?
- ¿Las medidas correctivas están funcionando?
Aquí empezamos a medir algo mucho más relevante:
si el sistema está influyendo realmente en la forma de trabajar.
8. Utilizar los resultados para mejorar
Medir sin actuar aporta poco valor.
Una cultura de cumplimiento necesita un ciclo de mejora.
Si una capacitación no está funcionando, debe revisarse.
Si un procedimiento genera errores constantes, debe analizarse.
Si un control no detecta aquello para lo que fue diseñado, debe evaluarse.
Si las personas no utilizan un canal, debemos intentar comprender por qué.
Si una auditoría identifica repetidamente el mismo hallazgo, quizá la medida correctiva no está resolviendo la causa.
La pregunta final debería ser siempre:
¿Qué hemos aprendido y qué debemos cambiar?
Este enfoque convierte el cumplimiento en un sistema dinámico.
No en una fotografía tomada una vez al año.
¿Cómo medir una cultura de cumplimiento?
Llegamos a una de las cuestiones más complejas.
La cultura no puede medirse mediante un único indicador.
No existe un porcentaje universal que permita afirmar:
“Nuestra cultura de cumplimiento tiene una puntuación muy alta.”
Una evaluación útil necesita combinar diferentes tipos de información.
Indicadores de conocimiento
Permiten conocer si las personas comprenden los principios y procedimientos relevantes.
Por ejemplo:
- resultados de evaluaciones;
- comprensión de situaciones prácticas;
- conocimiento de canales;
- capacidad para identificar determinadas situaciones de riesgo.
Indicadores de comportamiento
Intentan observar qué ocurre realmente.
Por ejemplo:
- errores recurrentes;
- incumplimientos de procedimientos;
- utilización de mecanismos de escalamiento;
- excepciones;
- consultas;
- comportamiento ante situaciones simuladas o reales.
Indicadores del sistema
Evalúan si los mecanismos de cumplimiento están funcionando.
Por ejemplo:
- resultados de controles;
- hallazgos de auditoría;
- reincidencias;
- cumplimiento de planes de acción;
- tiempos de respuesta;
- actualización de evaluaciones de riesgo.
Indicadores de percepción
Ayudan a conocer cómo experimentan las personas la cultura.
Podemos preguntar:
¿Consideran que sus responsables actúan de manera coherente?
¿Saben dónde acudir ante una duda?
¿Se sienten capaces de comunicar una preocupación?
¿Perciben que las políticas se aplican de manera consistente?
¿Comprenden por qué existen determinados controles?
Ninguno de estos indicadores proporciona por sí solo una respuesta definitiva.
El valor aparece cuando se analizan conjuntamente.
Una autoevaluación rápida para su organización
Llegados a este punto, proponemos un ejercicio.
No necesita documentación.
No necesita una auditoría.
Responda simplemente sí, parcialmente o no a estas diez preguntas:
- ¿La Alta Dirección demuestra mediante decisiones concretas que el cumplimiento es una prioridad?
- ¿Cada área comprende claramente qué responsabilidad tiene dentro del sistema de cumplimiento?
- ¿Los colaboradores comprenden el propósito de las políticas que afectan a su trabajo?
- ¿La formación está adaptada a las diferentes responsabilidades y audiencias?
- ¿El cumplimiento se comunica durante todo el año y no únicamente durante una capacitación?
- ¿Los líderes saben cómo responder cuando un colaborador comunica una inquietud?
- ¿Los procedimientos son suficientemente claros y aplicables a la realidad operativa?
- ¿Las personas saben dónde acudir cuando tienen dudas?
- ¿La organización analiza patrones de comportamiento además de registrar actividades?
- ¿Los resultados de auditorías, controles, incidentes y consultas se utilizan para mejorar procesos?
Si la mayoría de respuestas son sí, existen señales de una estructura cultural que merece seguir fortaleciéndose.
Si aparecen numerosos parcialmente, probablemente existe una buena oportunidad de evolución.
Y si varias respuestas son no, el problema no debería interpretarse automáticamente como una falta de compromiso de las personas.
Puede indicar que el sistema necesita fortalecerse.
Esta autoevaluación no sustituye una evaluación formal de cumplimiento ni permite determinar por sí sola la efectividad de un programa.
Su propósito es mucho más sencillo:
provocar las preguntas correctas.
De las políticas a los comportamientos
Volvamos a la pregunta con la que comenzamos.
¿Por qué las políticas no cambian comportamientos?
- Porque una política, por sí sola, no puede hacerlo.
- Necesita liderazgo.
- Necesita comunicación.
- Necesita formación.
- Necesita procesos.
- Necesita controles.
- Necesita responsabilidades.
- Necesita confianza.
- Necesita medición.
- Y necesita capacidad para aprender cuando algo no funciona.
Una organización puede escribir en pocas semanas un excelente manual.
Construir una cultura requiere mucho más tiempo.
Porque la cultura no está únicamente en los documentos.
Está en la decisión de un gerente cuando existe presión.
En la reacción de un supervisor ante una preocupación.
En la manera en que un colaborador actúa cuando nadie lo está observando.
En aquello que la empresa premia.
En aquello que tolera.
En las preguntas que permite hacer.
Y en la forma en que responde cuando descubre que algo necesita mejorar.
Ese es el verdadero salto entre tener un programa de cumplimiento y conseguir que el cumplimiento forme parte de la organización.
Una cultura de cumplimiento se construye todos los días
Las organizaciones no necesitan perseguir una cultura perfecta.
Necesitan construir una cultura capaz de aprender.
Una donde las políticas sean suficientemente claras.
Donde los líderes actúen de manera coherente.
Donde las personas comprendan sus responsabilidades.
Donde comunicar una preocupación sea posible.
Donde los controles respondan al riesgo.
Y donde los errores y hallazgos permitan mejorar.
La cultura de cumplimiento no debería entenderse únicamente como una herramienta para responder a obligaciones regulatorias.
También puede contribuir a fortalecer la toma de decisiones, la gestión de riesgos, la transparencia y la confianza dentro de la organización.
Por eso la pregunta final no debería ser:
“¿Tenemos políticas de cumplimiento?”
Debería ser:
“¿Podemos observar nuestros principios de cumplimiento en la forma en que nuestra organización toma decisiones todos los días?”
La respuesta a esa pregunta nos dice mucho más sobre la cultura que cualquier manual por sí solo.