¿Cómo impactaron la pandemia y el contexto actual en el área de Compliance? ¿Qué cambios impusieron en este sector?

Por la pandemia la caída del PBI mundial ya es 40 veces superior a la de la crisis del 2008. En términos gráficos, representa nada menos que la totalidad de las economías de América del Sur y Oceanía. Además del impacto económico, hay otro factor singular: el de los cambios de conducta. Primero, en varios actores de la economía producto de la mayor presión económica; segundo, en las personas y organizaciones por el distanciamiento social y la mayor actividad en línea y tercero, en los gobiernos, por las urgencias. Quienes están familiarizados con la teoría del sociólogo y criminólogo Donald Cressey -quien en el siglo pasado dio un aporte fundamental para el entendimiento de la naturaleza de los fraudes- habrán advertido que estamos ante los tres factores típicos que promueven que una persona o institución cometa, voluntaria o involuntariamente, desvíos de conducta. Estos son: la necesidad (por la alta presión económica); la falta de control (por los rápidos cambios de procesos de trabajo donde sus controles internos asociados no necesariamente los acompañan con la misma velocidad) y la racionalización, es decir, la autojustificación de acciones en razón de las circunstancias por fuera de protocolos escritos, éticos o incluso morales, hoy potenciada por un contexto de urgencias.

Todo esto aumenta el riesgo de que haya desvíos de conducta en perjuicio de Gobiernos, Público Inversor, Consumidores y Empresas y, por ende, eleva la importancia del rol de las funciones de control dentro de las organizaciones.

Veamos por ejemplo, los fraudes en compras de insumos médicos de parte de diferentes gobiernos... Interpol descubrió un fraude por diez millones de euros por la compra de máscaras a través de un sitio web que usaba mails corporativos que estaban comprometidos (hackeados) por lo que el comprador del gobierno alemán realizó la negociación sin sospechar y se pagó un millón y medio de euros a una cuenta de Holanda y 850 mil a otra cuenta de Irlanda de forma anticipada. Y los insumos nunca llegaron. Este es un caso de fraude con gobiernos, provocado por la oportunidad que ve el defraudador y potenciado por la urgencia del comprador.

En cuanto a público inversor, la Securities and Exchange Commission de EE.UU. suspendió la cotización de 33 empresas por dar a conocer reportes, informes o incluso twits orientados a subir ficticiamente el precio de sus acciones. Por ejemplo, había una compañía que anunciaba que tenía la capacidad de fabricar rápidamente equipos de protección personal para satisfacer la demanda de la comunidad médica mundial durante la pandemia de Covid-19, sin los debidos “fundamentals”.

Con respecto a los consumidores, el tráfico de internet creció un 35 por ciento y -al mismo tiempo- aumentaron los delitos informáticos. Por ejemplo, sitios que recaudan donaciones para combatir el COVID, las páginas son legítimas, pero están hackeadas y el dinero va a parar a otro lado. O sitios similares a páginas en apariencia legales, con sutiles diferencias, que recolectan los datos bancarios e información personal de los usuarios... etc.

De igual forma las empresas y organismos incrementaron sus flujos de comunicación por internet. Con el home office, mucha información que antes era privativa de reuniones presenciales, o de autorizaciones hológrafas, hoy se trata a través de Zoom, Whatsapp... y se incrementa el riesgo en la seguridad de información si no se toman los debidos recaudos. Aquellas organizaciones que no trabajaban con protocolos sobre qué información es de uso público, cuál de uso interno, cuál confidencial y los medios admisibles para su tráfico, están más expuestas al robo de información confidencial o ataques como malware o ransomware.

Ante este contexto ¿Cuáles son los desafíos y oportunidades?

En este contexto en el sector de Cumplimiento se imponen algunos cambios. Desde el punto de vista de la comunicación, tenemos que mostrar que a pesar de que no estoy físicamente en la compañía, sigue habiendo presencia de la función dentro de la organización. Máxime si consideramos que Compliance es una función de todos.

Particularmente en aquellas organizaciones que vieron reducir su actividad, mi recomendación es tomar el tiempo para mapear el sistema normativo y avanzar en las políticas de cumplimiento y control interno faltantes o en el desarrollo de un sistema normativo si no existiera uno. Uno de los puntos a tener en cuenta es en ciberseguridad. Es una gran oportunidad de robustecer el sistema y fijar los protocolos de comunicación según el tipo y criticidad de la información que se trate. Otro es el mapeo de sus proveedores, porque cuando reactiven es probable que tengan que lidiar con proveedores que no se sabe si van a estar en condiciones de proveer como antes. En la misma línea, reevaluar los términos y condiciones acordados antes de la pandemia... los precios, objetivos, plazos... ¿Son aplicables ahora?
En cuanto a lo contable, será importante focalizar en la valuación de activos y pasivos, ¿Valen lo mismo los créditos y deudas? ¿Y las inversiones?

Por otro lado, en aquellas organizaciones que continuaron en movimiento atendiendo urgencias, hoy la cintura del Oficial de Cumplimiento está en transmitir que es tan importante atender las urgencias como tener y cumplir con protocolos que permitan sostener las decisiones en un contexto de urgencia. Pilares como niveles de aprobación, documentación, prevención de conflictos de intereses y mínima gestión de riesgos son inherentes a todo proceso decisorio de gestión. Y en contextos de crisis, aún más, ya que protegen tanto a quien toma las decisiones como a las instituciones afectadas por ellas.

¿Cree que estos cambios que se impusieron por la pandemia van a perdurar en el tiempo?

Los riesgos derivados de la pandemia como la falta de aprovisionamiento de proveedores o caída de los créditos por cobrar potencian los ya necesarios due-diligences, no solo por cuestiones de aseguramiento de calidad, prevención de lavado de activos o de corrupción, sino para asegurar el aprovisionamiento y el cobro. Creo que este proceso dará mayor impulso a los due-diligences para que sean percibidos por el management como parte esencial de un proceso de gestión y no de control.

Ciberseguridad y Protección de datos se potencian con la crisis y en mi opinión llegan para quedarse. Son focos que un Compliance Officer debería tener presente a la hora de evaluar los riesgos.

En el plano de las capacitaciones, la virtualidad ha incrementado las posibilidades de capacitarnos más y mejor. Por ejemplo, en el programa ejecutivo de Compliance y Control Interno en UADE que junto a otros colegas de empresas y entidades de control diseñamos y lanzamos este año para mi grata sorpresa no solo se sumaron profesionales de Argentina, sino también desde Perú, Colombia y República Dominicana. Algo impensado antes y cuya diversidad sin duda enriquece y eleva el conocimiento.

Finalmente, en mi opinión las crisis robustecen el sentido de la importancia de la previsibilidad y con ello el de la gestión de riesgos.

A futuro ¿Cuáles cree que serán las nuevas habilidades que se requerirán en su puesto?

Veo que el Compliance pasa a tener una función más integral. No solo vinculada con la responsabilidad penal de las personas jurídicas, sino también con otros aspectos esenciales para que el sistema de cumplimiento sea efectivo en la organización. Tiene que basarse tanto en el eje de Integridad (en el que podemos englobar Responsabilidad, Prevención de lavado de activos y Financiamiento de terrorismo, el esquema clásico...) como en otro eje fundamental, que es el de Control Interno. Si yo digo: “No toleramos actos de corrupción”, pero aguas abajo, en los procesos, permito que una misma persona haga un requerimiento, la compra, la certificación de servicios, el pago y contabilice, estoy generando un espacio propicio para la comisión de ilícitos. Control interno implica un manual de gobierno corporativo, niveles adecuados de aprobación de transacciones críticas y de registraciones contables, segregación de funciones incompatibles y debido acceso a los sistemas.

El tercer eje tiene que ver con cómo las organizaciones gestionan la información. En especial me refiero a grupos económicos que cotizan en Bolsa y a organismos públicos: prevención de uso indebido de información privilegiada, transparencia en las transacciones con partes relacionadas, políticas adecuadas de divulgación (incluido el uso responsable de redes sociales) son cuestiones esenciales que hacen al cuidado y reputación de las organizaciones.

El cuarto eje tiene que ver con la emisión de normas y gestión de riesgos. Es decir, la implementación de un sistema normativo que contemple el mapeo de los procesos principales del negocio (compras, almacenamiento, pagos, ventas, despacho, facturación, cobranzas, etc.), que guíe a los dueños de los procesos a identificar y contemplar en su gestión diaria cuáles los riesgos de fraude, de eficacia y eficiencia, de cumplimiento y contables y desarrolle los protocolos que mitigan esos riesgos. Es un punto que el Compliance Officer debería liderar o al menos supervisar, porque impacta en la reputación y la sostenibilidad.

En cuanto a las investigaciones, con la ley de responsabilidad penal empresaria y otras que van llegando en el mundo, muchas empresas comenzaron a tener líneas de denuncia. Esto por un lado es muy bueno, pero conlleva responsabilidad y altos riesgos tanto para la organización como para las personas involucradas si no se ejecuta correctamente. Considero que la profesionalización de los Oficiales de Cumplimiento en investigaciones y su capacidad de involucrar y transmitir la importancia de estos temas al directorio y el management será un concreto salto de calidad en la currícula y en las prácticas de buen gobierno.

¿La función será privativa de alguna profesión o área?

Definitivamente no. Desde los inicios, donde tuve la oportunidad de formarme en un grupo como Tenaris que invierte mucho en estos temas, veo oportunidades de formación tanto de profesionales de Ciencias Económicas como de Ciencias Jurídicas. Cito estas dos profesiones por ser las más típicas.

Por otro lado, y si bien aún no está establecido en todas las empresas, Compliance va hacia una función per se, segregada de Legales o de Auditoría Interna y con reporte a un órgano de gobierno como el Comité de Auditoría, pues su rol es de diseño de controles y supervisión de su cumplimiento, es decir, muy vinculado pero segregado del management.

En esto, también será importante el desarrollo de normas internacionales para el ejercicio profesional que tenga el consenso de distintas asociaciones profesionales, centros de estudio de universidades y de profesionales que ejercieron o ejercen la función en distintas organizaciones.

¿Qué le recomendarías a un profesional que se está iniciando en el área de Compliance?

Que se capacite en los 4 ejes del programa de Compliance Integral. Este es el enfoque que tuve el privilegio de implementar junto a un excelente equipo de colaboradores en Corporación América Airports, donde pudimos certificar con éxito las altas exigencias que enfrentábamos en materia de controles internos e integridad, de cara a la cotización de la bolsa de Nueva York.

Ya en el campo, que limite sus principales responsabilidades como segunda línea de defensa dentro de la organización y que busque para cada una de ellas a los socios estratégicos que contribuyan con la efectividad de las mismas.

Debido a que sus opiniones tendrán impacto en la organización y en los colaboradores que la integran, que estudie y conozca bien los procesos de negocio y que desarrolle una metodología de trabajo reflexiva y prudente.

En cuanto a la parte más blanda que incluye el tratamiento de dilemas éticos y la capacitación, el valor agregado lo encontrará en capacitar en riesgos concretos, previamente mapeados y comprendidos; en proveer de herramientas de control ágiles explicando el sentido de las mismas, en dar ejemplos de casos concretos de otras organizaciones tanto de los beneficios por actuar correctamente como de los costos por desvíos de conducta; en ser ejemplo de aquello que exige; y en involucrar en la discusión a quienes capacita.

En el plano más duro, recomendaría que se capacite y capacite al management en políticas de investigaciones, para desarrollar objetividad y desapego respecto de lo que se denuncia. Especialmente en ámbitos donde no hay una cultura de investigación interna, muchas veces se cometen errores al no cumplirse con los pasos que una investigación debiera cumplir, lo que pueden impactar en los colaboradores involucrados y en la reputación de la organización.

Que deje un plus porque vale la pena.

Estos son solo algunos elementos que considero pueden promover más fácilmente la efectividad de un programa, el posicionamiento de la función dentro de la organización y, con el paso del tiempo, verdaderos cambios culturales.