Compliance que funciona más allá del manual

hace 14 minutos

5 min de lectura

Casi todas las organizaciones medianas y grandes de América Latina tienen hoy un código de ética, una política antisoborno y un canal de denuncias. La pregunta incómoda es otra: ¿ese programa funciona de verdad o solo existe en un manual? Esa fue la conversación del nuevo episodio de Un Café con las ISO, nuestro podcast, con Sandra Yaneth García Aragón, oficial de cumplimiento del Hospital Pablo Tobón Uribe.

Este artículo recoge las tres ideas centrales del episodio, el contexto que las hace urgentes en la región y lo que piden las normas para pasar del papel a la práctica.

Escuche el episodio: Un Café con las ISO en Spotify

Por qué importa en América Latina

El estudio más amplio sobre fraude en empresas, el Reporte a las Naciones de la Asociación de Examinadores de Fraude Certificados (ACFE), analizó 2.402 casos en 143 países en su edición de 2026. En América Latina y el Caribe, el 61 % de los casos involucró corrupción, frente al 45 % en el conjunto mundial (ACFE, 2026).

A eso se suma un cambio legal de fondo. En la última década, la mayoría de los países de la región adoptó reglas que hacen responsable a la empresa, no solo a las personas, por actos de corrupción, y que valoran que exista un programa de prevención real:

País	Norma	Qué valora
Colombia	Programa de Transparencia y Ética Empresarial (PTEE), Capítulo XIII de la Circular Básica Jurídica de Supersociedades (Supersociedades)	Programa basado en riesgos, con oficial de cumplimiento y compromiso de la alta dirección
México	Ley General de Responsabilidades Administrativas, artículo 25 (Cámara de Diputados)	Política de integridad: manual, código de conducta, controles, canales de denuncia y capacitación
Perú	Ley 30424 y su reglamento (D. S. 002-2019-JUS) (Congreso del Perú)	Modelo de prevención adecuado a la naturaleza y riesgos de la empresa
Chile	Ley 20.393, reformada por la Ley de Delitos Económicos 21.595 de 2023 (BCN)	Modelo de prevención de delitos efectivo, no solo formal
Argentina	Ley 27.401 de responsabilidad penal de las personas jurídicas (Argentina.gob.ar)	Programa de integridad adecuado a los riesgos, dimensión y capacidad de la empresa
Brasil	Lei 12.846 de 2013, Ley Anticorrupción (Planalto)	Mecanismos internos de integridad, auditoría y denuncia

El hilo común es claro: las autoridades no preguntan si el programa existe, sino si funciona. Y eso nos lleva a las tres ideas del episodio.

Idea 1: La cultura no se decreta

La cultura de cumplimiento se construye con coherencia, y esa coherencia empieza en la alta dirección. Un programa puede tener políticas impecables, pero si un directivo pide "resolver" un trámite por fuera de las reglas, la organización entera aprende cuál es la regla real.

Las normas internacionales lo recogen. ISO 37301, la norma de sistemas de gestión del compliance, dedica un requisito específico a la cultura de cumplimiento y pide a la alta dirección demostrar liderazgo y compromiso de forma visible. ISO 37001, la norma antisoborno, exige que el órgano de gobierno y la alta dirección aprueben la política, asignen recursos y supervisen el sistema.

Para llevar a la práctica: incluya la conducta de los directivos en la evaluación del programa. Revise cómo deciden en situaciones de presión (contratación, regalos, cobros pendientes, metas comerciales) y no solo si firmaron la política.

Idea 2: Un código de ética que nadie conoce no protege a nadie

El código de ética suele ser el documento más visible del programa y, a la vez, uno de los menos usados. Que exista no basta: tiene que conocerse, entenderse y aplicarse. Y lo que más pesa en ese aprendizaje no es la capacitación anual, sino el ejemplo de los jefes.

El Reporte a las Naciones asocia la presencia de un código de conducta con pérdidas por fraude 50 % menores en promedio (ACFE, 2026). Es una asociación, no una garantía: el efecto aparece cuando el código vive en las decisiones diarias.

Para llevar a la práctica: convierta el código en casos. Diez situaciones reales de su sector, discutidas por cada equipo con su jefe directo, enseñan más que cien páginas leídas una vez al año.

Idea 3: Un canal de denuncias vale lo que vale la confianza

El canal de denuncias es el control con mayor poder de detección. Según la ACFE, el 43 % de los fraudes se descubre por una denuncia, casi tres veces más que por cualquier otro método. Pero un canal solo funciona si quien denuncia confía en que será escuchado y protegido contra represalias.

ISO 37301 y ISO 37001 piden canales que permitan reportar de buena fe, con confidencialidad o anonimato, y con protección para quien reporta. La confianza se gana con hechos: respuestas oportunas, investigaciones serias y consecuencias coherentes, sin importar el cargo del implicado.

Para llevar a la práctica: mida el canal. Número de reportes, tiempo de respuesta, porcentaje de casos investigados y cerrados, y percepción de seguridad de los colaboradores. Un canal sin reportes rara vez significa que no pasa nada.

Otros temas del episodio

En la conversación también abordamos qué pasa cuando el soborno se vuelve cultural y cómo se rompe ese ciclo, dónde trazar la línea en la política de regalos, cómo medir la cultura de cumplimiento más allá de la asistencia a capacitaciones y por qué vale la pena implementar ISO 37001 e ISO 37301 como marco de gestión.

ISO 37001 e ISO 37301: el sistema detrás del programa

Las leyes de la región dicen qué se espera de un programa; las normas ISO dicen cómo gestionarlo. Ambas comparten la estructura armonizada de ISO, por lo que se integran con ISO 9001, ISO 14001 o ISO 45001 en un solo sistema. ISO 37001 se enfoca en el soborno y es certificable; ISO 37301 cubre el cumplimiento en general y también admite certificación. Una organización puede usar ISO 37301 como paraguas y ISO 37001 para el riesgo de soborno.

El valor está en la auditoría: un auditor interno competente es quien puede responder, con evidencia, si el programa funciona o solo existe en el manual.

Preguntas frecuentes

¿Qué diferencia hay entre ISO 37001 e ISO 37301? ISO 37001 trata solo el riesgo de soborno. ISO 37301 gestiona el cumplimiento de todas las obligaciones de la organización, legales y voluntarias. Pueden implementarse juntas.

¿Cumplir ISO 37001 equivale a cumplir la ley de mi país? No automáticamente. La norma da una estructura reconocida, pero cada ley tiene requisitos propios, como el PTEE en Colombia o el modelo de prevención en Perú y Chile. Lo recomendable es mapear ambos.

¿Cómo se sabe si un programa de cumplimiento funciona? Con indicadores de conducta y no solo de documentos: reportes en el canal, tiempos de respuesta, resultados de investigaciones, percepción de los colaboradores y hallazgos de auditoría interna.

Formación en Academy 180

En Academy 180 formamos auditores internos en ISO 37001 e ISO 37301, con casos de la región y el enfoque de este episodio: evaluar si el programa funciona en la práctica.

Escríbanos a proyectos180grados@gmail.com o visite 180gradosconsultores.org.