Cuando termina el año, muchas áreas de Compliance atraviesan un proceso conocido: revisar el plan de trabajo, constatar que las capacitaciones programadas se realizaron, verificar que las políticas fueron publicadas, repasar las denuncias gestionadas y confirmar que los controles previstos fueron ejecutados.

Pero cumplir con el calendario no responde necesariamente la pregunta más importante:

¿El programa de Compliance fue realmente efectivo durante 2026?

La diferencia es sustancial. Un programa puede haber completado el 100% de sus actividades y, aun así, mantener riesgos relevantes sin detectar, controles que perdieron efectividad o brechas que pueden comprometer a la organización durante el siguiente ejercicio.

Por eso, la evaluación de cierre debería permitir responder tres preguntas: qué funcionó, qué brechas continúan abiertas y qué necesita cambiar para que el programa siga siendo adecuado frente a los riesgos y exigencias de 2027.

Evaluar la efectividad no implica únicamente comprobar que existen políticas, capacitaciones, una Línea Ética o procedimientos de investigación. Supone analizar si esas herramientas funcionan en la práctica, producen información útil y permiten prevenir, detectar y responder adecuadamente frente a los riesgos.

Cumplir el plan anual no significa que el programa sea efectivo

Los organismos reguladores y las mejores prácticas internacionales coinciden en que la evaluación de un Programa de Compliance no debería limitarse a verificar la existencia formal de controles, políticas o capacitaciones.

La guía Evaluation of Corporate Compliance Programs del U.S. Department of Justice pone especial énfasis en analizar si el programa está bien diseñado, se aplica efectivamente y funciona en la práctica para prevenir y detectar conductas indebidas.

Esto obliga a distinguir entre indicadores de actividad e indicadores de efectividad.

Saber cuántas capacitaciones se realizaron, cuántas políticas se publicaron, cuántos controles se ejecutaron o cuántas comunicaciones se enviaron es necesario. Pero esos datos no permiten, por sí solos, determinar si el programa está alcanzando sus objetivos.

La pregunta que debería hacerse todo responsable de Compliance es otra:

¿Las herramientas implementadas están generando los resultados esperados en materia de gestión de riesgos, conducta ética y cumplimiento normativo?

Esta mirada también permite anticipar un problema frecuente: programas que fueron correctamente diseñados en su origen, pero dejaron de evolucionar al mismo ritmo que la organización.

Los riesgos cambian cuando una empresa incorpora nuevas tecnologías, utiliza herramientas de inteligencia artificial, ingresa a nuevos mercados, adquiere otras compañías, incrementa la tercerización, procesa nuevos tipos de datos personales o modifica su modelo operativo.

En esos escenarios, controles que anteriormente eran adecuados pueden perder capacidad de prevención o detección.

10 preguntas para evaluar el programa de Compliance antes de planificar 2027

Una evaluación de cierre debería ir más allá de una revisión documental. Estas preguntas pueden ayudar a identificar brechas y temas que requieren un análisis más profundo:

• ¿El mapa de riesgos fue actualizado durante los últimos 12 meses?

• ¿Las denuncias recibidas coinciden con los riesgos identificados formalmente?

• ¿Existen indicadores que permitan medir la efectividad del programa y no solo sus actividades?

• ¿Las investigaciones realizadas derivaron en mejoras concretas de controles o procesos?

• ¿Los proveedores críticos fueron reevaluados durante el año?

• ¿Las capacitaciones se diseñaron utilizando información proveniente de incidentes reales?

• ¿Se evaluó el nivel de conocimiento de las políticas internas?

• ¿Los cambios regulatorios previstos para 2027 fueron analizados y asignados a responsables?

• ¿La Dirección recibe información suficiente para tomar decisiones sobre riesgos emergentes?

• ¿Existe presupuesto asignado para cerrar las principales brechas identificadas?

Responder estas preguntas permite obtener una visión más completa sobre el estado del programa y, sobre todo, identificar qué temas deberían convertirse en prioridades durante el próximo ejercicio.

Qué debería revisar una organización al evaluar su programa de Compliance

Una evaluación integral debería conectar distintas fuentes de información. Políticas, denuncias, investigaciones, capacitaciones, terceros e indicadores no deberían analizarse como compartimentos aislados: en conjunto pueden mostrar patrones y riesgos que no siempre son visibles desde una única perspectiva.

Políticas, comunicación y trazabilidad: ¿siguen respondiendo a los riesgos actuales?

Las organizaciones cambian y sus políticas necesitan evolucionar con ellas.

Al cierre del año conviene revisar la fecha de última actualización, los riesgos contemplados, la existencia de nuevos procesos sin lineamientos formales y el nivel real de conocimiento y aceptación por parte de los colaboradores.

Pero actualizar una política no es suficiente.

También debería ser posible conocer qué versión fue comunicada, a quiénes alcanzó, cuándo fue distribuida y qué nivel de conocimiento existe entre las personas que deben aplicarla.

La trazabilidad se vuelve especialmente relevante cuando las organizaciones administran múltiples políticas, diferentes poblaciones, distintas jurisdicciones o modificaciones frecuentes en sus procedimientos internos.

La existencia formal de una política no garantiza que sea conocida, comprendida o aplicada.

Línea Ética: una fuente clave para interpretar riesgos y señales culturales

Muchas organizaciones analizan el canal de denuncias principalmente desde una perspectiva operativa: cantidad de reportes, tiempo de resolución o tipologías recibidas.

Sin embargo, la Línea Ética también puede convertirse en una fuente estratégica de información sobre lo que sucede dentro de la organización.

• Al evaluar su funcionamiento conviene analizar:

• evolución del volumen de reportes;

• tipologías denunciadas;

• áreas o procesos recurrentes;

• casos de represalias;

• tiempos de gestión;

• proporción entre denuncias anónimas e identificadas;

• recurrencia de determinadas conductas.

Una pregunta particularmente relevante es:

¿Las denuncias reflejan los riesgos identificados en el mapa formal o están revelando situaciones que el programa todavía no reconoce?

Caso práctico: la Línea Ética que parecía funcionar

Una compañía industrial latinoamericana reportaba un indicador que generaba tranquilidad en el Directorio: menos de cinco denuncias por año.

Sin embargo, una evaluación de cierre que incorporó entrevistas, focus groups y encuestas de percepción mostró una realidad diferente: más de la mitad de los colaboradores desconocía cómo denunciar, existía temor a represalias y el canal era percibido como poco confiable.

La baja cantidad de reportes no reflejaba necesariamente una cultura sólida, sino una cultura de silencio.

Después de reforzar la comunicación, capacitar a los líderes y fortalecer la protección de quienes denunciaban, la organización registró un aumento significativo de reportes durante el año siguiente.

Las métricas de una Línea Ética nunca deberían interpretarse de manera aislada. Necesitan contexto para transformarse en información útil sobre riesgos y cultura organizacional.

Investigaciones: pasar del incidente a la causa raíz

Cada investigación puede aportar información que trasciende el caso individual.

Al revisar los casos gestionados durante 2026, resulta útil identificar causas raíz recurrentes, debilidades de supervisión, vacíos procedimentales, conflictos de interés no detectados y áreas donde determinados comportamientos se repiten.

Cuando distintos casos apuntan hacia una misma causa, la organización deja de estar frente a incidentes aislados y comienza a identificar una vulnerabilidad sistémica.

La evaluación anual debería preguntarse no solamente cuántas investigaciones se realizaron o cuánto demoraron, sino también:

¿Qué cambió dentro de la organización como consecuencia de lo aprendido en esas investigaciones?

Ese análisis puede derivar en nuevos controles, modificaciones de procesos, actualizaciones de políticas, cambios en supervisión o necesidades específicas de capacitación.

Capacitaciones: medir impacto, no solamente asistencia

Una capacitación completada no necesariamente implica aprendizaje ni cambio de conducta.

Por eso, la evaluación anual debería considerar la cobertura por población de riesgo, los resultados obtenidos, los temas más consultados, los riesgos todavía no abordados y la percepción de utilidad de los contenidos.

Los programas más maduros utilizan información proveniente de denuncias, auditorías e investigaciones para actualizar sus capacitaciones y priorizar temáticas críticas.

Esto permite pasar de un calendario de formación genérico a una estrategia de capacitación basada en los riesgos que efectivamente enfrenta la organización.

Gestión de terceros: revisar cómo cambió el riesgo durante el año

Los terceros continúan siendo una fuente relevante de exposición regulatoria, financiera y reputacional.

Según información publicada por LSEG Risk Intelligence, muchas organizaciones mantienen miles de relaciones con proveedores, distribuidores y socios comerciales, mientras una proporción significativa de esos terceros nunca atraviesa procesos completos de debida diligencia (due diligence).

La evaluación anual debería contemplar, entre otros aspectos:

• due diligence inicial;

• reevaluaciones periódicas;

• clasificación de riesgos;

• monitoreo continuo;

• gestión de subcontratistas;

• acceso a datos sensibles;

• cláusulas de Compliance y privacidad.

Una forma práctica de abordar esta revisión es clasificar a los proveedores críticos en función de cuatro criterios:

• Acceso a datos personales: bajo / medio / alto

• Interacción con funcionarios públicos: bajo / medio / alto

• Impacto operativo crítico: bajo / medio / alto

• País o jurisdicción de riesgo: bajo / medio / alto

Los terceros que acumulen dos o más factores de riesgo alto deberían incorporarse automáticamente al plan prioritario de revisión para 2027.

Caso práctico: cuando un proveedor tecnológico se convierte en una brecha regulatoria

Una empresa de servicios financieros utilizaba desde hacía años una plataforma externa para gestionar información de clientes.

Como no se habían registrado incidentes previamente, el proveedor dejó de formar parte de las revisiones prioritarias.

Al comenzar los procesos de adecuación frente a nuevas exigencias de protección de datos, la organización descubrió contratos desactualizados, ausencia de obligaciones de reporte de incidentes, falta de procedimientos para solicitudes de titulares y controles insuficientes.

La compañía debió afrontar renegociaciones urgentes, auditorías extraordinarias e inversiones no previstas.

El caso muestra un punto central para cualquier evaluación anual: un tercero que fue considerado adecuado en un determinado contexto puede requerir una revisión diferente cuando cambian los riesgos, los procesos o las exigencias regulatorias.

Qué indicadores permiten medir la efectividad del programa de Compliance

Una evaluación madura necesita combinar indicadores operativos con información que permita comprender resultados, tendencias y posibles brechas.

Cultura y ética

Conviene analizar el uso de la Línea Ética, la proporción de denuncias fundadas, la confianza en el canal y los resultados de encuestas de integridad.

¿Qué puede revelar? Señales culturales, niveles de confianza y riesgos emergentes que pueden no aparecer en otros indicadores formales.

Investigaciones

Entre los principales indicadores se encuentran el tiempo de resolución, la recurrencia de incidentes, las acciones correctivas implementadas y la existencia de casos reabiertos.

¿Qué puede revelar? Fallas sistémicas, problemas recurrentes y el nivel de efectividad de las medidas adoptadas después de cada investigación.

Capacitación

Es importante observar la cobertura de las poblaciones de riesgo, los resultados de las evaluaciones y las brechas temáticas identificadas.

¿Qué puede revelar? El nivel de comprensión de los contenidos y las necesidades de formación que deberían incorporarse al plan del próximo año.

Gestión de terceros

La revisión puede considerar las reevaluaciones realizadas, los niveles de riesgo asignados, los incidentes registrados y la exposición de terceros a datos sensibles o funcionarios públicos.

¿Qué puede revelar? Cambios en el perfil de riesgo de proveedores, distribuidores y otros socios comerciales que pueden requerir nuevas medidas de control.

Cambios regulatorios

Conviene monitorear las nuevas normativas identificadas, los procesos afectados, los responsables asignados, los recursos necesarios y el estado de implementación.

¿Qué puede revelar? El nivel de preparación de la organización frente a nuevas exigencias y su capacidad para anticiparse a cambios regulatorios.

¿Qué hacen diferente los programas de Compliance más maduros?

El informe 2025 Ethics & Compliance Program Effectiveness Report de LRN, basado en la consulta a miles de profesionales y colaboradores a nivel global, concluye que los programas considerados de alto impacto utilizan benchmarking, analítica de datos y monitoreo continuo casi el doble que los programas de desempeño medio.

El mismo estudio identifica tres desafíos recurrentes: sistemas y procesos desactualizados, creciente complejidad regulatoria y restricciones presupuestarias y de recursos.

Una forma de interpretar el nivel de evolución del programa es observar en qué instancia de madurez se encuentra:

Nivel 1: cumplimiento documental

Existen políticas, capacitaciones y un canal de denuncias. La organización mide principalmente actividad.

Pregunta crítica: ¿sabemos si realmente funciona?

Nivel 2: cumplimiento basado en riesgos

Existe una evaluación periódica, se utilizan indicadores, se analizan denuncias e investigaciones y los controles se priorizan según la exposición.

Pregunta crítica: ¿estamos anticipando los riesgos futuros?

Nivel 3: Compliance estratégico

El área participa en decisiones de negocio, el monitoreo es continuo, la información genera acciones preventivas y los cambios regulatorios se gestionan anticipadamente.

Pregunta crítica: ¿el programa genera valor o solamente evita sanciones?

La madurez no depende únicamente de contar con más controles o herramientas. También implica desarrollar la capacidad de utilizar la información que produce el propio programa para tomar mejores decisiones.

Cambios regulatorios: qué debería anticipar Compliance para 2027

Una evaluación enfocada exclusivamente en lo ocurrido durante 2026 corre el riesgo de quedar desactualizada antes de comenzar el siguiente ejercicio.

Por eso, los cambios regulatorios previstos deben formar parte de cualquier evaluación anual.

Un ejemplo particularmente relevante es la Ley 21.719 de Chile, que modifica el régimen de protección de datos personales y entra en vigencia el 1 de diciembre de 2026.

La normativa moderniza el sistema chileno de privacidad, regula el tratamiento de datos personales, crea la Agencia de Protección de Datos Personales e incorpora nuevos derechos para los titulares y mayores responsabilidades para las organizaciones.

Su entrada en vigencia muestra por qué una evaluación de cierre no debería limitarse a observar el pasado: 2027 será el primer ejercicio completo bajo el nuevo régimen y las organizaciones alcanzadas necesitan llegar preparadas.

¿Qué puede implicar una nueva regulación de protección de datos para Compliance?

La privacidad dejó de ser un asunto exclusivamente tecnológico.

Una modificación regulatoria de este alcance puede obligar a revisar:

• inventarios de tratamiento de datos;

• relaciones y contratos con proveedores;

• gestión de incidentes y controles de seguridad;

• políticas de privacidad y gobernanza de la información;

• procedimientos para atender los derechos de los titulares;

• capacitación de las personas involucradas;

• responsabilidades internas y mecanismos de control.

Para Compliance, el desafío es transversal: coordinar a Legal, Riesgos, Tecnología, Compras, Recursos Humanos y Seguridad de la Información para asegurar una implementación efectiva.

El caso chileno es también un ejemplo de una situación más amplia: cada cambio normativo relevante debería traducirse en preguntas concretas sobre procesos, responsables, terceros, capacitación, controles y presupuesto.

Cómo transformar los hallazgos de 2026 en prioridades para 2027

El verdadero valor de una evaluación anual aparece cuando los hallazgos dejan de ser observaciones y se convierten en decisiones.

No todas las brechas tienen la misma criticidad ni necesitan la misma respuesta. Por eso, una vez concluido el diagnóstico, conviene ordenar los hallazgos a partir de cuatro preguntas:

1. ¿Qué riesgos requieren atención prioritaria?

La recurrencia de incidentes, una nueva exigencia regulatoria, una debilidad detectada en investigaciones o un tercero crítico pueden modificar la exposición de la organización.

La planificación debería priorizar esos riesgos y no limitarse a repetir las actividades ejecutadas durante 2026.

2. ¿Qué capacidades necesita fortalecer la organización?

Una evaluación puede revelar la necesidad de mejorar la recepción y gestión de denuncias, desarrollar investigaciones más especializadas, reforzar determinadas capacitaciones, actualizar políticas o mejorar su comunicación y trazabilidad.

Identificar esas necesidades permite diferenciar entre problemas que requieren ajustes de proceso y aquellos que exigen incorporar nuevas capacidades.

3. ¿Quién será responsable de cada acción y en qué plazo?

Las brechas que no tienen responsables, plazos y mecanismos de seguimiento difícilmente se conviertan en mejoras reales.

Cada prioridad debería traducirse en un plan de acción verificable.

4. ¿Qué recursos y presupuesto serán necesarios?

La planificación presupuestaria debería ser una consecuencia del diagnóstico.

Si la evaluación identifica necesidades en tecnología, formación, investigaciones, gestión de terceros o adecuación regulatoria, esas prioridades deberían reflejarse en la asignación de recursos para 2027.

De esta manera, el presupuesto deja de construirse únicamente sobre la continuidad de actividades del año anterior y comienza a responder a los riesgos que la organización necesita gestionar.

De la evaluación al fortalecimiento del programa

Una evaluación de cierre puede revelar brechas muy diferentes.

En algunos casos, el desafío estará en mejorar cómo las personas acceden a la Línea Ética y cómo se gestionan los reportes. En otros, será necesario profundizar investigaciones, trabajar sobre causas recurrentes, fortalecer la formación de líderes y colaboradores o mejorar la trazabilidad de políticas y comunicaciones internas.

La experiencia de Resguarda en Líneas Éticas, investigaciones internas, capacitaciones y herramientas para la comunicación y trazabilidad de políticas permite acompañar a las organizaciones justamente en esas capacidades que el diagnóstico puede mostrar que necesitan evolucionar.

La clave no está en incorporar soluciones de manera aislada, sino en entender qué brechas enfrenta cada organización y qué capacidades necesita fortalecer para responder a ellas.

Evaluar 2026 para decidir mejor en 2027

Evaluar un programa de Compliance al cierre del año no debería ser un trámite administrativo destinado a completar reportes o archivar planillas.

Es una oportunidad para determinar si la organización continúa preparada para prevenir, detectar y responder frente a sus riesgos.

Las denuncias, las investigaciones, las capacitaciones, los terceros, las políticas, los indicadores y los cambios regulatorios producen información que puede ayudar a identificar vulnerabilidades antes de que se conviertan en incumplimientos, incidentes o problemas operativos.

Las organizaciones más maduras no utilizan la evaluación anual solamente para demostrar qué hicieron durante el año.

La utilizan para decidir qué necesita cambiar.

Y esa es probablemente la pregunta más importante para comenzar a planificar 2027: ¿qué aprendimos durante 2026 y dónde debemos concentrar nuestros esfuerzos y recursos a partir de ahora?