Casi ningún programa de cumplimiento falla por estar mal escrito. Falla por estar solo escrito.
El marco metodológico con el que se implanta — lo que una organización contrata cuando quiere que su programa deje de ser papel y empiece a sostener decisiones.
Acompaño a organizaciones que ya intuyen que su programa no las protege de lo que de verdad puede ocurrirles. El trabajo empieza donde termina el manual: en cómo se decide aquí cuando nadie mira. Y termina en algo auditable — evidencia de diligencia que sostiene una inspección, y un equipo interno capaz de mantenerla sin mí.
El mapa de riesgos de su organización se dibujó antes de todo esto.
Ninguno de estos seis riesgos requiere que alguien actúe de mala fe. Todos ocurren por prisa, por hábito o por una herramienta que entró sin que nadie la aprobara. Por eso son difíciles de ver: no se parecen a un delito, se parecen al trabajo de todos los días.
- 01
Inteligencia artificial sin gobernanza
Nadie decidió usarla. Se usa igual.
Alguien de su equipo pegó esta semana información confidencial en una herramienta pública de IA. No hubo mala fe: hubo prisa. Cuando el uso no está gobernado, la organización asume decisiones automatizadas que no puede explicar, sesgos que no puede auditar y fugas de información que no puede rastrear.
- 02
Suplantación sintética
La voz del director ya no prueba nada.
La llamada de confirmación dejó de ser un control. Clonar una voz cuesta minutos y un audio público; un vídeo de una reunión, poco más. Los procedimientos de aprobación de pagos de la mayoría de las organizaciones se diseñaron cuando reconocer a alguien equivalía a autenticarlo.
- 03
La organización paralela del chat
Donde se decide de verdad no hay acta.
Grupos de mensajería donde se aprueba, se presiona y a veces se acosa. Es el terreno de la sextorsión y de la violencia simbólica, y no aparece en ningún mapa de riesgo porque no genera documento. Cuando estalla, la organización descubre que el hecho llevaba dos años ocurriendo.
- 04
El riesgo está en el tercero; la responsabilidad, en usted
Su cadena no está en su nómina.
Proveedores, intermediarios, socios locales, agentes comerciales. La exposición penal y reputacional se traslada hacia dentro con una facilidad que sorprende a los consejos la primera vez que ocurre. La debida diligencia de terceros sigue siendo, en la práctica, un formulario que nadie lee.
- 05
La crisis viaja más rápido que el comité
Una captura de pantalla no espera.
El daño reputacional se consuma en horas; el protocolo de crisis tarda días en convocarse. En ese intervalo la organización no decide: reacciona. Y lo que se dice en las primeras seis horas determina el resto.
- 06
La norma se endureció mientras nadie miraba
Cumplir dejó de ser voluntario.
Canales de denuncia obligatorios, protección del informante, debida diligencia en cadena de suministro, obligaciones ESG, reglas emergentes sobre sistemas de IA. Un programa diseñado hace cinco años ya no acredita diligencia: acredita que se dejó de mirar hace cinco años.
- Revisar esto con la Dra. Mancebo
Ocho frases que se dicen en voz baja.
Tenemos un código de ética que nadie ha vuelto a abrir desde que lo firmó.
El canal de denuncias lleva meses sin una sola entrada — y lo leemos como buena noticia.
Nadie sabría decir qué herramientas de IA se usan aquí, ni con qué datos.
Los controles los diseñó el área legal sola, sin hablar con quien los tiene que cumplir.
Se aprueban pagos y excepciones por mensaje.
La formación anual es un vídeo y un cuestionario de diez preguntas.
Hay asuntos que solo se hablan en pasillo, nunca en reunión.
Si mañana ocurriera algo, no sabríamos demostrar que hicimos lo debido.
- Pedir un diagnóstico
Implantación de programa de cumplimiento
El encargo completo, de principio a fin: diagnóstico, mapa de riesgo, diseño de controles, canal, formación y medición. Para organizaciones que parten de cero o que tienen un programa que existe solo en papel.
- Para quién
- Dirección general y consejo de administración
- Duración
- De cuatro a nueve meses, por fases
- Qué queda
- Programa operativo, evidencia de diligencia y equipo interno capaz de sostenerlo
Diagnóstico de cultura ética
Encargo acotado. Entrevistas, revisión de incidentes y lectura de los silencios. Un informe con lo que la organización no se estaba diciendo a sí misma, y un orden de prioridades.
- Para quién
- Comité de dirección, área de cumplimiento
- Duración
- De cuatro a seis semanas
- Qué queda
- Informe con hallazgos, riesgos invisibles y hoja de ruta
Formación in-company
Sesiones diseñadas sobre los casos reales de la organización, no sobre ejemplos genéricos. Incluye una versión específica para consejo y alta dirección, que es donde el tono se decide.
- Para quién
- Equipos de cumplimiento, mandos, consejo
- Duración
- Media jornada o jornada completa
- Qué queda
- Material propio y guía de conversación para los mandos
Sesión individual, 60 minutos
Para oficiales de cumplimiento y directivos con un problema concreto sobre la mesa: un incidente, una decisión de diseño, una conversación difícil que hay que tener esta semana.
- Para quién
- Oficial de cumplimiento, director de área
- Duración
- 60 minutos
- Qué queda
- Un criterio y los siguientes tres pasos, por escrito
Ecosistema Bienestar y Cumplimiento
Seis fases. Las tres primeras no producen ningún documento, y son las que deciden si el programa va a servir para algo.
- 01
Diagnóstico de cultura ética
Qué hace realmente la gente cuando nadie mira. Entrevistas, análisis de incidentes previos y lectura de los silencios de la organización.
- 02
Mapa de riesgo, incluido el invisible
El mapa convencional más las capas que no dejan rastro documental: violencia simbólica, sextorsión, presión jerárquica, uso no declarado de inteligencia artificial.
- 03
Diseño del programa
ISO 37301 y 37001 como armazón. Pero el orden importa: primero el lugar donde cumplir sea razonable, después el documento.
- 04
Conversación, no capacitación
La formación que funciona no informa: cambia lo que una persona se atreve a decir en voz alta.
- 05
Canales que alguien usa
Un canal de denuncia sin confianza es un buzón vacío. Se diseña la confianza, no solo el formulario.
- 06
Medición y acompañamiento
Indicadores de cultura, no solo de actividad. Cuántos cursos se dieron importa mucho menos que cuántas conversaciones difíciles ocurrieron — y que si la integridad ya se sostiene sin supervisión.
El armazón técnico es estándar. Lo que cambia es el orden en que se construye.
- ISO 37301:2021 — sistemas de gestión de compliance
- ISO 37001:2016 — sistemas antisoborno
- Prevención de legitimación de capitales
- Matriz de riesgo con perspectiva de género
- Gobernanza de sistemas de inteligencia artificial
- Investigaciones internas y justicia restaurativa
Treinta minutos, sin propuesta comercial de por medio.
No es una llamada de ventas: es un diagnóstico rápido. Usted describe cómo se toman hoy las decisiones difíciles en su organización y yo le digo, con franqueza, si hace falta un encargo o si lo que hace falta es otra cosa. Si la respuesta es la segunda, se lo diré igual.
- 01
Qué expone hoy a la organización y a sus administradores, en concreto.
- 02
Qué de lo que ya tienen sirve, y qué solo ocupa espacio en la intranet.
- 03
Qué haría yo primero si fuera el próximo trimestre y el presupuesto fuera limitado.