Desde la entrada en vigencia de la Ley N°21.595, que reformó profundamente la Ley N°20.393, el desafío para las empresas chilenas es: Cómo demostrar que ese modelo funciona.
Y ahí aparece un requisito que muchas organizaciones todavía no han operativizado.
El artículo 4 de la Ley N°20.393, en su redacción actual, establece que un modelo de prevención adecuado debe contemplar, entre otros elementos, la evaluación periódica por terceros independientes y mecanismos de perfeccionamiento o actualización a partir de esa evaluación.
Es parte material de lo que define si un modelo es adecuado o no.
La evaluación independiente no solo es un plus reputacional. Hoy forma parte de los requisitos que determinan si un modelo de prevención puede eximir de responsabilidad penal a la organización.
¿Por qué cambió el estándar?
Durante años, el ecosistema chileno funcionó con un esquema de certificación de modelos de prevención. Una empresa certificadora registrada revisaba el modelo y emitía un certificado con vigencia acotada.
Ese esquema fue eliminado con la reforma. En su lugar, el legislador optó por algo más exigente y menos formalista: una evaluación periódica, realizada por terceros independientes, que además debe traducirse en mejoras concretas del modelo.
La evaluación independiente responde a la pregunta: “¿este modelo está efectivamente implementado y opera frente a los riesgos reales de esta organización?”. ¿En otras palabras, está efectivamente implementado?
Un modelo puede tener todos sus documentos en orden y, aun así, no resistir un análisis de efectividad. Ese es exactamente el escenario que hoy revisan fiscales, reguladores y directorios.
Qué problemas genera no revisar periódicamente el modelo de prevención
Las consecuencias de postergar la evaluación no aparecen el día uno. Aparecen, muchas veces, cuando ya es tarde.
- El modelo queda desalineado del negocio. Las organizaciones cambian. Abren filiales, incorporan proveedores, entran a nuevos mercados, digitalizan procesos, cambian estructuras de incentivos. La matriz de riesgos que se levantó hace tres años describe una empresa que ya no existe.
- Los controles se degradan en silencio. Un control que dejó de ejecutarse sigue figurando en el manual. Nadie lo nota hasta que alguien lo audita. La brecha entre el control diseñado y el control ejecutado es el hallazgo más frecuente en cualquier evaluación seria.
- No hay evidencia utilizable en un escenario probatorio. Si la empresa enfrenta una investigación, deberá acreditar que el modelo estaba implementado y operando antes del hecho. La documentación generada después de la crisis tiene un valor probatorio muy distinto.
- El directorio pierde visibilidad del riesgo penal. Sin evaluaciones externas, el directorio depende exclusivamente del reporte de quien administra el modelo. Es el mismo problema de diseño que se observa en la mayoría de los casos internacionales de fallas de compliance.
- Se pierde la posibilidad de corregir a tiempo. Una brecha detectada por un evaluador se corrige. La misma brecha detectada por un fiscal se defiende.
Un modelo no envejece bien por sí solo. Sin revisión externa, la distancia entre lo documentado y lo real crece exponencialmente.
Por qué las empresas descuidan la evaluación independiente
En nuestra experiencia trabajando con organizaciones públicas y privadas, las razones se repiten con bastante consistencia.
- Se confunde con la auditoría interna. Auditoría interna es una función valiosa, pero no cumple el requisito de independencia respecto del modelo cuando participa en su diseño o depende de la misma línea de reporte.
- Se asume que la certificación anterior sigue sirviendo. Muchas empresas mantienen certificados emitidos bajo el régimen previo y creen tener resuelto el requisito actual.
- Se posterga por presupuesto. La evaluación compite con proyectos que muestran retorno visible. El costo de no hacerla es invisible hasta que se materializa.
- No hay un responsable claro. Cuando el encargado de prevención de delitos también debe contratar a quien lo evalúa, el incentivo natural es postergar.
- Se subestima el alcance. Se cree que basta con una revisión documental de dos días. Una evaluación con valor probatorio requiere pruebas de operación efectiva.
Cómo organizar una evaluación periódica externa: seis pasos
Una evaluación bien estructurada no debería improvisarse. Este es el esquema que recomendamos.
- Definir el alcance antes de cotizar. ¿La evaluación cubre todo el modelo o se focaliza en procesos críticos? ¿Incluye filiales? ¿Incluye terceros y cadena de proveedores? Un alcance mal definido produce informes genéricos.
- Verificar la independencia real del evaluador. El tercero no debe haber diseñado el modelo que va a evaluar, ni prestar servicios que comprometan su objetividad sobre la misma materia. Esta condición debe quedar documentada, no solo asumida.
- Levantar la línea base. Matriz de riesgos vigente, políticas, procedimientos, evidencia de capacitaciones, registros del canal de denuncias, actas del directorio, reportes del encargado de prevención.
- Probar operación efectiva, no solo existencia. Aquí está la diferencia entre una revisión superficial y una evaluación útil: pruebas de recorrido, muestreo de transacciones, entrevistas con líneas operativas, revisión de excepciones y validación de que las alertas llegan a quien debe decidir.
- Emitir hallazgos con severidad y responsable. Un informe sin priorización no es accionable. Cada hallazgo debe tener criticidad, causa raíz, responsable y plazo.
- Cerrar el ciclo con un plan de remediación verificado. La ley no pide solo evaluar. Pide mecanismos de perfeccionamiento a partir de esa evaluación. Sin seguimiento del plan, el ciclo queda incompleto.
¿Con qué frecuencia? Como referencia práctica: evaluación integral anual, y revisiones focalizadas cuando ocurre un cambio relevante —fusión, nueva línea de negocio, cambio regulatorio, incidente reportado o rotación del encargado de prevención—. Empresas de menor tamaño pueden trabajar con alcances proporcionales a su estructura, pero no con ausencia de evaluación.
Las preguntas que hoy debería hacerse un directorio
- ¿Cuándo fue la última vez que un tercero independiente evaluó nuestro modelo?
- ¿Los hallazgos de esa evaluación llegaron al directorio o se quedaron en la gerencia?
- ¿Podemos acreditar hoy, con documentación, que nuestros controles operaron durante los últimos doce meses?
- ¿Quién contrata al evaluador y a quién reporta?
¿Tu organización puede demostrar que su modelo de prevención de delitos está efectivamente implementado?
En C&P Assurance Compliance realizamos evaluaciones periódicas por terceros independientes conforme a la Ley N°20.393 y su modificación por la Ley N°21.595.
👉 Conoce el servicio de Evaluación Periódica por terceros independientes
