La Operación Tokio abrió una pregunta incómoda para el mundo empresarial chileno: ¿son suficientes los actuales sistemas de cumplimiento para detectar amenazas que ya no provienen solo de fallas internas, sino de estructuras criminales capaces de infiltrarse en organizaciones formales?

El caso, investigado por el Ministerio Público, ha sido descrito como uno de los mayores golpes financieros contra el Tren de Aragua en Chile. La red habría lavado más de US$ 80 millones y tuvo entre sus imputados a personas vinculadas al sistema bancario, lo que encendió las alertas sobre el rol de los controles internos, la banca, la Unidad de Análisis Financiero y los modelos de prevención de delitos.

En este nuevo capítulo de Diálogos Sostenibles, conversamos con Cristián Figueroa, abogado, director de SustainaValue, experto en gobierno corporativo y compliance,  sobre cómo el crimen organizado está cambiando la forma en que las empresas deben mirar sus riesgos.

La conversación nace a partir de la columna Tienes la matriz perfecta. Felicitaciones. ¿Y el modelo funciona? que el propio experto escribió en ESGHOY, tras analizar las nuevas alertas para los sistemas de cumplimiento empresarial.

Y el punto de partida es claro: el compliance no puede quedar atrapado en matrices extensas, controles formales o discusiones burocráticas. En un escenario donde el lavado de activos, el cibercrimen y la infiltración criminal se vuelven amenazas reales para distintos sectores, los directorios deben preguntarse si sus modelos están preparados para detectar aquello que ocurre dentro y fuera de la organización.

El compliance no es algo estático

Partamos de lo más básico. ¿Qué revela este caso sobre el estado actual de los sistemas de compliance en Chile?

Nos revela muchas cosas. Yo te diría que, de partida, nos revela que la realidad siempre supera la imaginación. Es una frase cliché, pero la podemos ver en distintos ámbitos. Segundo, nos revela que cuando existen organizaciones criminales, probablemente el compliance se queda corto. Sobre todo porque el compliance está pensado, de alguna manera, para solucionar brechas que se producen al interior de empresas dedicadas a hacer negocios correctos.

El mundo del compliance es: «asegurémonos no solamente de cumplir la ley, sino que también de actuar de manera ética». Pero cuando te enfrentas a nuevos tipos de criminalidad, donde intervienen múltiples actores, como la Unidad de Análisis Financiero, los bancos, la Comisión para el Mercado Financiero, el Ministerio Público, estamos frente a un proceso que todavía está en desarrollo y en plena investigación.

A partir de los titulares, uno puede decir: algo falló. Y eso nos lleva a preguntarnos si el compliance está fallando o si los recursos que las compañías han implementado están respondiendo realmente a las realidades actuales. Eso conduce a una conclusión que puede ser obvia, pero es muy importante: el compliance no es algo estático. Tiene que estar en movimiento y, en lo posible, tratar de anticiparse.

¿Dónde deberían estar puestas hoy las principales alertas?

Una de las principales herramientas que tenemos son las matrices de riesgo. La pregunta es cómo identificamos y analizamos esos riesgos. Pero el riesgo ya no puede mirarse solamente desde dentro de la compañía. No basta con preguntarse qué podría ocurrir internamente en materia de lavado de activos, por ejemplo. También hay que mirar qué está pasando en el entorno.

Nuestra regulación, desde hace tiempo, incorpora el lavado de activos como un área de preocupación. Es un delito base establecido en la Ley 19.913, tenemos una agencia reguladora especial y también fue incorporado como delito económico con la reforma de la Ley 21.595.

Desde el punto de vista del marco institucional, existen herramientas. Sin embargo, siempre van a ocurrir cosas. Entonces la pregunta es si las herramientas existentes hoy son suficientes, si están bien usadas y si la realidad al interior de las compañías es buena o mala. Probablemente hay de todo.

Se confunde la herramienta con el fin

¿Cuál es tu diagnóstico de lo que ocurre hoy dentro de las compañías?

Te voy a hablar desde mi experiencia, porque obviamente no tengo la visión de todo lo que pasa dentro de las compañías. Pero creo que probablemente los consultores hemos pecado de perder un poquito el foco: hemos confundido la herramienta con el fin. Vengo del mundo forestal y hay un dicho bien sabio que dice que el árbol no te deja ver el bosque. Cuando transformamos la herramienta en el fin, estamos perdiendo la esencia. ¿Qué significa esto? Que si voy a hacer un análisis de riesgo y voy a usar determinadas herramientas, como una matriz de riesgo o un sistema de gestión de riesgo, no puedo perder de vista cuál es mi negocio.

Porque si pierdo de vista cuál es mi negocio, voy a terminar analizando múltiples riesgos que pueden ser relevantes desde el punto de vista de la normativa interna o de la ética que queremos con nuestros colaboradores, pero puedo estar perdiendo de vista lo esencial.

En la industria bancaria, que probablemente es precursora en temas de compliance en un sentido restringido, ¿dónde está el Pareto? Está justamente en los temas vinculados al lavado de activos. Ese es un tema central.

Más que discutir si estamos o no aceptando el típico regalo de fin de año, como una botella de vino. Eso puede ser interesante, pero no puede quitar el foco de lo verdaderamente crítico.

Matrices de riesgo no pueden en sábanas eternas

¿Ves una debilidad en cómo se están aplicando los modelos de cumplimiento?

Sí. Esa debilidad se nota, por ejemplo, en matrices de riesgo eternas, que son verdaderas sábanas de riesgos. Cuando uno las ve, se pregunta: «Bueno, ¿pero dónde está realmente mi riesgo?». También se ve cuando empezamos a discutir cuestiones meramente burocráticas: si el análisis debe considerar riesgo inherente, riesgo residual u otros conceptos que se usan mucho. El problema es que, cuando distraemos recursos y distraemos a la organización en tantos riesgos, perdemos, por una cuestión humana y natural, la capacidad de focalizarnos en aquello donde realmente pueden pasar cosas.

En este caso, la prensa ha dicho que hubo alertas. Probablemente eso será parte de la investigación. Es decir, aparentemente sí se reaccionó, o no. Pero la pregunta es si se reaccionó lo suficiente como para decir: «Detengámonos acá». Qué pasó en toda la secuencia todavía no lo sabemos. Probablemente será una investigación larga.

«El crimen organizado está cambiando todo»

¿El crimen organizado cambia el concepto, la urgencia y el foco que debería tener el compliance en las compañías?

Yo creo que sí. Definitivamente. El crimen organizado está cambiando todo. Está requiriendo nueva institucionalidad, policías más capacitadas y organismos mucho más especializados. Hay que mirar también cómo está estructurada la Unidad de Análisis Financiero. El Ministerio Público ya tiene unidades especializadas en investigación de lavado de activos, pero estamos hablando de fenómenos internacionales, de situaciones que también ocurren en países mucho más desarrollados que nosotros.

Por eso, una de las primeras cosas que tenemos que hacer es actuar con humildad. Chile es un país en vías de desarrollo, o de desarrollo medio, como se quiera definir. Si esto está pasando en países que tienen estructuras más poderosas, es evidente que también nos puede pasar.

Entonces, ya no tenemos que pensar tanto solo en la prevención tradicional. Tenemos que reforzar, actuar de manera conjunta y generar acciones coordinadas. Los gremios también tienen que tener una acción concertada.

Prepararse para otros fenómenos delictivos

¿A qué tipo de herramientas deberían empezar a mirar las empresas?

Hay que estar preparados para otros fenómenos delictivos. No quiero decir necesariamente que hay un cambio de paradigma, pero sí que tenemos que recurrir a otras herramientas y a otro tipo de expertos.

El abogado, dentro de los cuales me incluyo, probablemente puede aportar mucho en términos normativos. Pero quizás las compañías van a tener que incorporar otro tipo de especialistas, que vengan de otros mundos.

¿Como el cibercrimen, por ejemplo?

Exactamente. Cibercrimen, análisis de datos, inteligencia, investigación. Hay una comparación que puede sonar curiosa: durante años, los bancos contrataban a personas que habían sido capaces de defraudarlos para identificar fraudes bancarios. No estoy diciendo que traigamos gente del crimen organizado. Pero sí que algo hay que cambiar para que esto no nos pase.

No podemos perder el foco ni distraer tantos recursos en discusiones semánticas o en cuestiones más o menos obvias, como si el regalo es de 50 o 60 dólares. Eso puede verlo recursos humanos. Pero el compliance y el control interno tienen que irse donde realmente pueden estar los problemas.

Directorios deben preguntarse por el crimen organizado

¿Tenemos una realidad mucho más compleja de lo que las empresas pensaban en materia de compliance y delitos?

Es una pregunta muy interesante. Si estuviéramos conversando hace uno o dos años, uno diría que los directorios hoy tienen que preocuparse de fenómenos muy relevantes. Un directorio no puede no tratar temas como el cambio climático o la ciberseguridad. La pregunta ahora es: ¿será que llegó el minuto en que los directorios y las juntas de accionistas también tienen que empezar a valorar el riesgo de que el crimen organizado penetre sus organizaciones?

Hemos tenido una evolución importante en la elaboración de memorias y reportes anuales. Pasamos desde la antigua Norma de Carácter General 30, a la NCG 461, que incorporó una mirada más amplia. Luego vino la 519, que suma otros aspectos y hace más global el enfoque. También se han difundido las normas IFRS vinculadas a reportes en materias como cambio climático, sostenibilidad y materialidad financiera. Ustedes mismos han tenido una labor muy proactiva en esa difusión.

Hasta ahora yo no he visto, es un tema en desarrollo, si los directores y las juntas de accionistas están preguntándose si  por el riesgo de penetración del crimen organizado en sus organizaciones. Quizás hay empresas que lo están haciendo y no tienen por qué divulgarlo. Pero si hacemos un recorrido de las obligaciones de reporte, todavía parece haber un campo importante por desarrollar.

Hay empresas sujetas a la Ley 19.913 sobre lavado de activos, que tienen que reportar operaciones sospechosas. Pero eso es más bien una pincelada, una cuestión reactiva. La pregunta que deberían empezar a hacerse las organizaciones es: ¿mi empresa es vulnerable?

«La primera pregunta es cuál es mi exposición»

Si tuvieras que recomendarle hoy a una empresa cuáles son las preguntas clave que debería hacerse, ¿por dónde partirías?

Es una pregunta difícil. Pero usemos la lógica del análisis de riesgo: cuál es la probabilidad y cuál podría ser el impacto. En el impacto sabemos que, en este tipo de situaciones, puede ser grande, grave o incluso catastrófico. Entonces hay que mirar la probabilidad, y la probabilidad normalmente está dada por la exposición.

La empresa debería preguntarse: ¿qué tipo de organización tengo? ¿Podría ser utilizada, por ejemplo, para tráfico de drogas si me dedico a la exportación? ¿Podría ser utilizada para lavar activos? ¿Mi industria tiene características que puedan hacerla atractiva para una organización criminal?

Lo vimos hace poco con madera que venía de Bolivia. Si puede pasar en una industria, ¿por qué no podría pasar en otras? También hay industrias que ya tienen mucha normativa, como los casinos. Pero todos sabemos que el lavado de activos puede estar presente en distintas escalas y sectores. Entonces hay que hacerse la pregunta con honestidad.

¿Y qué pasa dentro de las propias organizaciones?

También hay que mirar a las personas. En diciembre de este año entra en vigencia la nueva Ley de Protección de Datos Personales, que tiene un propósito loable, pero probablemente limite el acceso a cierta información que puede ser relevante.  Va a generar limitaciones, pero también contempla bases de licitud para poder acceder a información en ciertos casos. ¿Por qué digo esto? Porque si una empresa tiene trabajadores cuyo patrimonio crece de una manera extraña o curiosa, algo podría estar pasando. Puede ser algo ilícito, pero también algo completamente lícito. La creación de riqueza no tiene por qué ser consecuencia de una actividad ilícita.

Pero la pregunta es si tendremos que monitorear de mejor manera ciertas señales, siempre dentro del marco legal y con los resguardos adecuados. Lo mismo ocurre con los conflictos de interés. Hoy muchas veces los manejamos de manera muy esquematizada: declaraciones, formularios, revelar que soy amigo de tal persona, que tengo un familiar en determinada empresa o que conozco a un funcionario público. Quizás tenemos que preguntarnos si podemos cruzar mejor los datos.

Compliance de papel: por qué la gobernanza es clave para que las empresas no se queden solo en manuales

¿Faltan nuevas leyes o con la normativa que tenemos se puede avanzar mejor?

Creo que tenemos que crear una institucionalidad más robusta. Durante muchos años hemos tenido la Agencia Nacional de Inteligencia, pero es una organización que pocas personas saben realmente cómo funciona. Hay que robustecerla y pensar la inteligencia en un sentido amplio, no solamente desde la lógica tradicional vinculada a países limítrofes o a temas geopolíticos. Porque estos también son temas geopolíticos. Si no logramos controlar de manera adecuada el crimen organizado, la posibilidad de intervención de otros Estados crece significativamente.

Tiene que haber una institucionalidad, llámese como se quiera, que agrupe a distintas reparticiones: Aduanas, Servicio de Impuestos Internos, Unidad de Análisis Financiero y otros organismos relevantes. La institucionalidad tiene que anticiparse y mirar buenos ejemplos. Esa es una parte más bien política. Y a nivel de empresa, el mensaje es que este fenómeno llegó y hay que abordarlo.