El problema de fondo: una política en un cajón no protege a nadie

Muchas organizaciones disponen de políticas anticorrupción impecables sobre el papel. El problema aparece cuando se plantean preguntas como: ¿cómo demuestras que tus empleados las han leído? ¿Cómo acreditas que has gestionado los conflictos de interés? ¿Quién controla a tus proveedores, y con qué frecuencia?

Si las respuestas son “por correo electrónico”, “en una hoja de Excel” o “una vez al año”, el sistema tiene lagunas que pueden ser muy costosas.

La corrupción, los conflictos de interés y la falta de controles sobre terceros generan riesgos reputacionales, financieros y operativos enormes para las compañías. Las organizaciones se enfrentan a un entorno normativo cada vez más exigente —directivas europeas, leyes nacionales, el UK Bribery Act, estándares internacionales como la ISO 37001— que ya no admite un enfoque reactivo. Lo que se necesita son sistemas integrados que permitan prevenir, detectar y gestionar los riesgos de corrupción de forma trazable y eficiente.

Los cinco pilares de un sistema ABAC integrado

1. Canal de denuncias: la base de cualquier programa anticorrupción

El canal de denuncias —o whistleblowing— es el primer y más importante mecanismo para detectar conductas corruptas antes de que escalen y generen un mayor impacto. Es el núcleo operativo de cualquier sistema ABAC.

A nivel normativo, en España contamos con la Ley 2/2023 de protección del informante, que transpone la Directiva Europea 2019/1937 y obliga a las organizaciones con más de 50 empleados a disponer de un sistema interno de información. Pero más allá de la obligación legal, el valor real del canal reside en cómo se gestiona todo el proceso: desde la recepción de la denuncia hasta su cierre, pasando por la investigación, el seguimiento y, sobre todo, la protección del informante frente a cualquier tipo de represalia.

Todo esto debe estar correctamente integrado con el sistema disciplinario y con el modelo de prevención de la compañía, especialmente en línea con el artículo 31 bis del Código Penal español, que establece la responsabilidad penal de las personas jurídicas.

Un sistema eficaz debe garantizar:

• Anonimato real del informante, sin rastrear ningún dato que pueda identificarle (IP, localización, etc.).
• Comunicación bidireccional y trazable entre el informante y el equipo gestor, dentro de un entorno seguro.
• Plazos de respuesta cumplidos y documentados (acuse de recibo en 7 días, resolución en 3 meses).
• Colaboración interna con otros departamentos (Legal, RRHH) sin salir del entorno protegido de la plataforma.
• Auditoría completa de cada acción realizada sobre el caso.

Hay un dato que puede parecer contraintuitivo pero que resulta muy revelador: cuando las campañas de sensibilización funcionan bien, el número de denuncias recibidas aumenta. No porque haya más corrupción, sino porque las personas empiezan a confiar en el sistema y a utilizarlo. Una organización que recibe más denuncias, bien fundamentadas, es una organización más sana.

2. Políticas corporativas: distribución, acreditación y ciclo de vida

Una política anticorrupción eficaz debe, en primer lugar, definir con claridad qué se entiende por corrupción: activa y pasiva, y la denominada “zona gris” de los pagos de facilitación, cuya licitud varía considerablemente según el país en que se opera.

El ámbito de aplicación no puede limitarse a los empleados: debe extenderse a directivos, agentes comerciales, terceros y todos los socios de negocio. Los marcos normativos de referencia son múltiples: el Código Penal español, el UK Bribery Act (la normativa anticorrupción más estricta a nivel mundial), el Plan Estatal de Lucha contra la Corrupción y, en el plano internacional, la ISO 37001.

Sin embargo, disponer de una política bien redactada no es suficiente. El valor real está en su distribución trazable y en la evidencia de su recepción. Esto implica:

• Distribución digital con seguimiento de lectura y acuse de recibo firmado.
• Acreditación por parte de cada destinatario mediante firma electrónica, cuestionario de comprensión o casilla de confirmación.
• Segmentación de la audiencia: no todas las políticas son para todos. Una política específica para el área de ventas debe llegar solo a ese grupo.
• Versioning y actualización dinámica: las políticas tienen un ciclo de vida y deben revisarse siguiendo los cambios normativos.

Publicar un documento en la intranet o en una carpeta compartida no es suficiente: en caso de auditoría o procedimiento judicial, no será posible demostrar quién lo leyó ni cuándo.

La brecha entre lo que dice el papel y lo que ocurre en el día a día sigue siendo uno de los mayores retos del compliance. Las políticas, los códigos de conducta y los procedimientos son necesarios pero no suficientes. Lo que transforma el comportamiento es el ejemplo del liderazgo, la coherencia entre lo que se dice y lo que se hace, y la capacidad de hacer que los empleados sientan los valores como propios y no como una imposición externa.

Las organizaciones que están logrando avances reales en cultura ética comparten algunos elementos en común: capacitaciones basadas en casos reales y cercanos a la operación, reconocimiento visible de comportamientos íntegros, comunicación adaptada a cada perfil de empleado, y liderazgo coherente en todos los niveles de la organización —no solo desde la alta dirección.

Hay también una advertencia importante: sobre-regular es tan peligroso como no regular. Cuando los empleados se concentran en cumplir la norma en lugar de comprenderla, la cultura ética se convierte en una formalidad vacía. El objetivo debe ser hacer cotidiano, visible y celebrado lo que está escrito.

Y aquí también la tecnología juega un papel clave: un canal de denuncias que genere confianza real —accesible, confidencial y que demuestre con hechos que las alertas se atienden— es uno de los pilares más sólidos de una cultura ética auténtica.

3. Conflictos de interés y regalos e invitaciones: flujos de aprobación automatizados

Muchas veces el riesgo de corrupción no aparece en grandes operaciones complejas. Surge en las situaciones cotidianas, en pequeñas acciones que no han sido correctamente declaradas, evaluadas ni documentadas. Por eso es tan importante contar con procesos preventivos y centralizados.

Gestionar estas situaciones por correo electrónico o en hojas de cálculo plantea tres problemas fundamentales:

• Sin flujo trazable: no es posible garantizar que una solicitud haya sido aprobada por la persona correcta según el procedimiento establecido.
• Sin control sobre los límites: un empleado podría superar los umbrales anuales permitidos sin que nadie lo detecte.
• Sin historial verificable: en sede de auditoría es imposible reconstruir qué se autorizó, cuándo y por quién.

Un sistema digital permite configurar reglas automáticas (por ejemplo, regalos por debajo de 50 € aprobados automáticamente, entre 50 € y 200 € pendientes de aprobación manual, por encima de 200 € rechazados) y generar dashboards que detectan anomalías y tendencias. Si un determinado socio comercial genera un volumen inusualmente elevado de solicitudes de regalos, el sistema puede señalarlo como alerta temprana.

El UK Bribery Act es explícito en este punto: la única defensa ante una acusación de falta de prevención de la corrupción es demostrar la existencia de adequate procedures, procedimientos adecuados y documentados. Las normativas internacionales como el FCPA también ponen un foco muy importante en la trazabilidad y en la capacidad de demostrar controles efectivos.

4. Campañas de sensibilización: el compromiso empieza desde arriba

Ningún programa anticorrupción puede funcionar si la alta dirección no da el ejemplo. No basta con una declaración en el código ético: se necesita un compromiso constante, visible y reiterado en la lucha contra la corrupción. Comunicaciones periódicas sobre los valores éticos de la empresa, una posición clara de tolerancia cero. En definitiva, es un tema de comunicación y de cultura corporativa que ninguna tecnología puede sustituir.

La formación debe ser obligatoria y anual, no solo para quienes trabajan en áreas de riesgo, sino para todos los empleados. Los módulos deben estar diferenciados por función —quien trabaja en compras, ventas o finanzas tiene riesgos específicos de su rol— y combinarse con formatos participativos: newsletters periódicas, casos de estudio basados en situaciones reales, quizzes interactivos.

Los KPI que miden la eficacia del programa son tres: la tasa de finalización de la formación, los resultados de los tests (que indican si los conceptos se han consolidado) y el número de denuncias recibidas a través del canal de comunicación. Este último, lejos de ser una señal de alarma, es un indicador positivo: significa que las personas están confiando en el sistema.

Las campañas de sensibilización no son eventos puntuales. Una política no se “abandona” tras su distribución. Un recordatorio trimestral, o una campaña específica en las semanas previas a períodos de mayor riesgo como el cierre de año, forma parte de una estrategia de prevención madura.

5. Due diligence de terceros: monitoreo continuo, no fotografías estáticas

Estadísticamente, el riesgo de corrupción se concentra con mayor frecuencia en las relaciones con terceros: agentes, intermediarios, proveedores, distribuidores. Es en esta dirección desde donde llegan la mayoría de las sanciones y los casos documentados de soborno y corrupción.

El modelo tradicional —una verificación anual, un informe de la empresa, un cuestionario enviado una sola vez— ya no es suficiente. Una verificación estática es una fotografía de un momento concreto: si el perfil de riesgo de un proveedor cambia el día siguiente (por ejemplo, porque aparece en una lista de sanciones internacional), la empresa está expuesta durante meses sin saberlo.

Un sistema eficaz de due diligence debe operar en cuatro dimensiones:

• Sanciones: verificación binaria de si una entidad figura en listas restrictivas de gobiernos u organismos internacionales. La decisión es clara: si está sancionado, no se puede operar.
• Listas de vigilancia: registros oficiales que identifican individuos o entidades en situación de riesgo. No son listas definitivas, pero son señales de alerta importantes que deben investigarse.
• Personas Políticamente Expuestas (PEP): individuos que ocupan o han ocupado funciones públicas relevantes, considerados de mayor riesgo para la corrupción y el blanqueo de capitales. Su perfil cambia con el tiempo —un cambio de gobierno puede alterar toda la lista— lo que hace imprescindible el monitoreo continuo.
• Medios adversos: noticias que aparecen en fuentes locales, nacionales o internacionales y que pueden indicar implicación en actividades ilícitas. Su amplitud y variabilidad hacen que sean prácticamente imposibles de gestionar sin tecnología, pero tienen un alto valor como indicadores tempranos de riesgo.

El monitoreo debe ser continuo y automatizado, no episódico. Además, la verificación del UBO (Ultimate Beneficial Owner, es decir, quién es realmente el beneficiario final de una sociedad) es una exigencia cada vez más explícita en la normativa vigente.

Por qué la integración marca la diferencia

La palabra clave es integración. No se trata de disponer de cinco herramientas separadas que no se comunican entre sí: se necesita una única plataforma en la que el canal de denuncias, la gestión de políticas, los conflictos de interés, la formación y la due diligence de terceros compartan datos, flujos de trabajo y reporting.

Solo así es posible responder con certeza a las preguntas que realmente importan en caso de investigación o auditoría:

• ¿Esta política fue distribuida a todos los empleados correspondientes? ✓
• ¿Quién la leyó y cuándo? ✓
• ¿Este empleado recibió formación específica sobre el tema? ✓
• ¿Este proveedor fue objeto de screening en el momento del alta y ha sido monitoreado durante la relación comercial? ✓
• ¿Esta solicitud de regalo fue aprobada conforme a las reglas internas? ✓

Cuando todas estas respuestas están respaldadas por evidencias digitales trazables, el sistema ABAC deja de ser un conjunto de documentos y se convierte en una línea de defensa real.

Conclusión

Construir un sistema Anti-Bribery y Anti-Corruption integrado no es un ejercicio formal ni un trámite que marcar en una lista. Es una inversión en la sostenibilidad de la organización, en la protección de su reputación y, cada vez más, en la única defensa concreta disponible cuando algo sale mal.

El mensaje que emerge con claridad de la experiencia en el sector es este: la tecnología no sustituye los valores éticos de una organización, pero es el único instrumento que permite demostrar —de forma creíble, medible y defendible— que esos valores se han traducido en acciones concretas.

EQS Group lleva más de 26 años ayudando a las organizaciones a digitalizar sus procesos de compliance. Para profundizar en cómo construir un programa ABAC integrado adaptado a tu realidad, contacta con nuestro equipo aquí.