A dos años de la entrada en vigor de la Ley 21.595, que modificó la Ley 20.393 sobre responsabilidad penal de las personas jurídicas, las compañías chilenas enfrentan un nuevo estándar. Ya no basta con tener un Modelo de Prevención de Delitos en el papel, sino que deben demostrar que este funciona. En este escenario, las evaluaciones independientes periódicas se han convertido en una herramienta central para acreditar su efectividad ante una eventual investigación.
Octubre es el Mes de la Ciberseguridad, una fecha que invita a las organizaciones a revisar cómo están protegiendo su información, sus sistemas y a las personas que los usan, teniendo un vínculo directo con el cumplimiento normativo.
Los delitos informáticos forman parte del catálogo de delitos que pueden generar responsabilidad penal para las empresas bajo la Ley 20.393. Es decir, un acceso indebido a sistemas, una filtración de datos o un fraude informático cometido en el contexto de la organización no son solo un problema tecnológico, sino también un riesgo legal que el Modelo de Prevención de Delitos debe abordar.
“La ciberseguridad ya no puede gestionarse en un silo del área de TI. Si los riesgos informáticos no están en la matriz de riesgos y no tienen controles asociados, el modelo de prevención tiene una brecha importante”, advierte Ricardo Espinoza, Analista de Compliance de C&P Assurance Compliance.
La Ley de Delitos Económicos amplió de forma significativa el catálogo de delitos que pueden generar responsabilidad penal para las empresas y elevó la exigencia sobre los sistemas de prevención. El foco cambió desde la existencia formal de un modelo hacia su implementación efectiva: matrices de riesgo actualizadas, controles que operan en la práctica, canales de denuncia confiables y una cultura de cumplimiento que alcance a toda la organización.
“El cambio de paradigma es profundo. Antes muchas empresas entendían el modelo de prevención como un requisito documental. Hoy la pregunta que hará un fiscal o un juez es otra: ¿Este modelo efectivamente previno, detectó o mitigó el riesgo?”, agrega Espinoza.
La normativa contempla que los modelos sean sometidos a evaluaciones independientes periódicas, lo que reemplaza el antiguo esquema de certificación. Esta modificación llevó a reorganizar el mercado de servicios de cumplimiento y explica el nacimiento de C&P Assurance Compliance, continuadora del área de Certificación de ICR, separada a raíz de la nueva regulación.
Qué revisa una evaluación independiente
Según Ricardo Espinoza, una evaluación rigurosa no se limita a revisar políticas y procedimientos. “Analizamos si la matriz de riesgos refleja la realidad del negocio, si los controles están siendo ejecutados por las personas responsables y si existe evidencia de ello. También miramos el rol del Encargado de Prevención de Delitos: si tiene autonomía, recursos y acceso real a la alta administración”, detalla.
El analista agrega que uno de los puntos más débiles que observan en las organizaciones es la actualización. “Las empresas cambian. Entran a nuevos mercados, incorporan proveedores, adquieren otras compañías o digitalizan sus procesos. Si el modelo no acompaña esos cambios, rápidamente queda obsoleto. Un modelo desactualizado puede ser tan riesgoso como no tener uno”, advierte.
Otro aspecto crítico es la independencia de quien realiza la revisión. “El valor de una evaluación está en la mirada externa y objetiva. Un evaluador independiente puede identificar brechas que, desde dentro, cuesta ver o reconocer. Y esa independencia es justamente lo que le da peso al informe frente a terceros”, sostiene Espinoza.
Cumplimiento hasta la gestión del riesgo
Para el especialista, las compañías que mejor se han adaptado son aquellas que dejaron de ver el compliance como un costo y lo integraron a su gestión. “Los directorios están entendiendo que un buen sistema de prevención protege la reputación, la continuidad del negocio y la relación con inversionistas, bancos y clientes. No es solo una defensa penal; es buena gobernanza”, afirma.
En esa línea, el especialista recomienda a las organizaciones comenzar por un diagnóstico honesto. “El primer paso es saber dónde están parados. Una evaluación permite priorizar: qué riesgos son más relevantes, qué controles fortalecer y qué capacitaciones hacen falta. A partir de ahí, el modelo se convierte en una herramienta viva”, concluye.
C&P Assurance Compliance acompaña actualmente a grandes empresas chilenas en la evaluación independiente de sus Modelos de Prevención de Delitos bajo la Ley 20.393, aportando la experiencia acumulada por su equipo durante años de trabajo en certificación y cumplimiento.
