La externalización de actividades no significa necesariamente que una organización deje de estar expuesta a determinados riesgos. Proveedores, contratistas, agentes, asesores e intermediarios pueden participar en procesos relevantes para una empresa y, dependiendo de sus funciones y del contexto en que operan, introducir nuevos riesgos o incrementar aquellos ya existentes. Frente a este escenario, la gestión de terceros adquiere especial relevancia dentro de los Modelos de Prevención de Delitos (MPD).
Para Rodrigo Fuentes, Director Asociado de C&P Assurance Compliance, el análisis debe ir más allá de una revisión de antecedentes y considerar qué hace efectivamente cada tercero, con quién se relaciona, y qué nivel de exposición puede generar para la organización.
Conocer al tercero más allá de sus antecedentes
De acuerdo con Rodrigo Fuentes, una de las hipótesis que debe considerarse en el levantamiento de riesgos asociados a la responsabilidad penal de la persona jurídica es la eventual comisión de delitos en el marco de la actividad de la organización, incluso cuando intervienen personas que no forman parte directamente de su estructura.
En este sentido, explica que: “Una organización no deja necesariamente de estar expuesta a riesgos por el solo hecho de externalizar una actividad”. Por el contrario, la participación de proveedores, contratistas, agentes, asesores o intermediarios puede introducir nuevos riesgos o aumentar el impacto de riesgos existentes, especialmente cuando disminuye la visibilidad sobre cómo determinadas actividades están siendo ejecutadas.
Por ello, desde la perspectiva del compliance, Rodrigo plantea que no resulta suficiente evaluar a un prestador únicamente a partir de sus antecedentes financieros o económicos. Sino que también es necesario conocer aspectos como las actividades que desarrollará, a nombre de quién actuará, con quién se relacionará, qué atribuciones tendrá, qué recursos administrará, cuáles son sus incentivos económicos y en qué procesos expuestos a delitos participará. Sumado a que resulta relevante determinar qué capacidad efectiva tiene la organización para supervisar su actuación.
Una gestión proporcional al nivel de riesgo
Para incorporar adecuadamente a los terceros dentro del MPD, el Director Asociado de C&P Assurance Compliance destaca la importancia de clasificarlos o segmentarlos según su nivel de riesgo, evitando aplicar exactamente la misma revisión a todos.
Entre los elementos que pueden considerarse se encuentran la naturaleza del servicio, las actividades y procesos involucrados, la estructura de propiedad y beneficiarios finales cuando corresponda, los antecedentes legales y reputacionales, eventuales conflictos de interés y relaciones con funcionarios públicos o contrapartes sensibles. También deben observarse características de la relación comercial, como pagos, comisiones, subcontrataciones, territorio de operación, duración del contrato y nivel de autonomía del tercero.
Esta evaluación permite generar una base para incorporar nuevos riesgos a la matriz y establecer controles proporcionales, que pueden incluir debidas diligencias reforzadas, niveles adicionales de aprobación, monitoreo de operaciones, certificaciones periódicas, capacitaciones, auditorías o cláusulas contractuales.
“En términos prácticos, la evaluación de terceros debería estar conectada con la matriz de riesgos del MPD y no funcionar como un procedimiento independiente de esta”, señala Fuentes.
Las señales de alerta requieren contexto
La identificación de señales de alerta constituye otro elemento relevante en la gestión de terceros. Sin embargo, Rodrigo enfatiza que estas señales no necesariamente significan que exista una conducta irregular, sino que deben entenderse como factores que pueden justificar una revisión adicional antes de contratar, realizar determinadas operaciones o continuar una relación comercial.
Entre ellas se encuentran estructuras societarias difíciles de comprender, resistencia injustificada a entregar información sobre propiedad o beneficiarios finales, antecedentes reputacionales o legales relevantes, potenciales conflictos de interés, vínculos con funcionarios públicos cuando el contexto lo haga pertinente, solicitudes de pagos a cuentas de terceros, comisiones sin justificación clara, servicios difíciles de verificar o subcontrataciones no informadas.
Sin embargo, el análisis no debería realizarse de manera mecánica. Como explica Rodrigo Fuentes: “Un elemento aislado puede tener una explicación perfectamente legítima, mientras que la concurrencia de varios factores puede justificar escalar el caso y aplicar procedimientos reforzados”.
Desde la revisión documental hasta el monitoreo continuo
Uno de los principales desafíos consiste en diferenciar una revisión inicial de antecedentes de un proceso efectivo de conocimiento, evaluación y monitoreo durante toda la relación comercial.
Para el Director Asociado de C&P, la diferencia está en pasar de la pregunta “¿Quién es mi tercero?” a cuestionamientos más profundos: “¿Entendemos quién es, ¿qué hará para nuestra organización, qué riesgos genera, qué controles necesita y si su comportamiento durante la relación sigue siendo consistente con lo que evaluamos inicialmente?”.
Esto adquiere especial importancia porque las relaciones comerciales pueden cambiar con el tiempo. Puede modificarse la naturaleza de la relación, la estructura organizacional del tercero, las personas a cargo o incluso las actividades que desarrolla. En consecuencia, también puede cambiar sustancialmente el nivel de riesgo inicialmente evaluado.
“Hay que tener presente que el compliance no es estático, es altamente dinámico”, sostiene Rodrigo Fuentes, quien agrega que los cambios regulatorios, tecnológicos y del propio negocio hacen necesario mantener una lógica de seguimiento o monitoreo continuo.
Medidas concretas para fortalecer la gestión
Una gestión efectiva de terceros no necesariamente implica aumentar indiscriminadamente los controles o formularios. De acuerdo con Rodrigo, requiere un proceso estructurado, proporcional al riesgo y conectado entre sus distintas etapas.
Entre las medidas que pueden implementar las organizaciones se encuentran la segmentación de terceros, niveles diferenciados de debida diligencia, integración de la gestión de terceros con la matriz de riesgos, cláusulas contractuales de cumplimiento, monitoreo periódico y procedimientos específicos para abordar alertas. También, resulta fundamental mantener evidencia suficiente de las evaluaciones, aprobaciones, excepciones, revisiones y medidas adoptadas.
En este último punto, la trazabilidad es esencial para demostrar la ejecución efectiva de los controles. Asimismo, Fuentes destaca la necesidad de una revisión periódica que permita determinar si los controles están cumpliendo el objetivo para el cual fueron diseñados, considerando la referencia del Artículo 4 de la Ley N.º 20.393 a las evaluaciones periódicas por terceros independientes y a los mecanismos de perfeccionamiento o actualización.
La gestión de terceros, por tanto, requiere una mirada que combine conocimiento, segmentación, controles proporcionales y monitoreo continuo. Para las organizaciones, el desafío no está únicamente en identificar quiénes forman parte de su cadena de relaciones, sino en comprender qué riesgos pueden generar sus actividades y cómo estos pueden evolucionar durante la relación comercial. En este escenario, integrar la gestión de terceros al Modelo de Prevención de Delitos permite fortalecer la capacidad de la organización para anticipar riesgos, evaluar la efectividad de sus controles y mantener su sistema de prevención conectado con la realidad del negocio.
Desde C&P Assurance Compliance acompañamos a las organizaciones en el fortalecimiento de sus Modelos de Prevención de Delitos, considerando los riesgos asociados a sus procesos, controles y relaciones con terceros. Nuestra experiencia en evaluación de modelos permite identificar brechas y oportunidades de mejora, aportando una mirada independiente y basada en evidencia. Conozca nuestros servicios y nuestra metodología de trabajo en www.cp-assurance.cl.
