Un sistema de compliance que no se mide no se puede mejorar. La mayoría de las organizaciones implantan, documentan y certifican. Luego gestionan por inercia, sin indicadores que revelen si el sistema funciona, se deteriora o simplemente existe sobre el papel.
Un sistema de gestión de cumplimiento que no se mide es un sistema que no se puede mejorar. Esta afirmación, aparentemente sencilla, esconde uno de los problemas más frecuentes en las funciones de compliance de organizaciones de cualquier tamaño y sector: se invierte en implantar el sistema, se documenta, se certifica y luego se gestiona por inercia, sin indicadores que permitan saber si el sistema está funcionando, deteriorándose o simplemente existiendo en papel.
La gestión de riesgos y cumplimiento exige preparar a las organizaciones para identificar y administrar cualquier evento que pueda generar un impacto negativo en cuatro dimensiones simultáneas: económica, legal, operacional y reputacional. Ninguna de estas dimensiones avisa antes de convertirse en un problema grave. Por eso la medición no es un ejercicio burocrático: es la única forma de ver el deterioro antes de que se vuelva irreversible.
De todos los indicadores posibles, hay tres que resultan especialmente críticos porque actúan como termómetros del estado real del sistema, no de su apariencia documental.
Este KPI mide la relación entre el total de denuncias recibidas, las que están pendientes de gestión y las que han sido efectivamente resueltas. No basta con saber cuántas denuncias llegan: lo que revela la madurez del sistema es cuántas se gestionan, en qué plazo y con qué resultado. Un canal con alta afluencia pero baja tasa de resolución indica sobrecarga, falta de recursos o ausencia de un proceso estructurado de investigación. Un canal con pocas denuncias en una organización de tamaño considerable no es necesariamente una buena noticia: puede ser una señal de desconfianza en el sistema, de desconocimiento de su existencia o de una cultura que desincentiva la comunicación de irregularidades. El número de visitas al canal es un indicador complementario imprescindible: permite distinguir entre un canal que no se usa porque no se conoce y uno que se consulta pero no se activa por otras razones. Los tres datos juntos —total recibidas, pendientes y gestionadas— ofrecen una radiografía real del estado del sistema interno de información.
Este KPI mide en qué proporción el mapa de riesgos de la organización cubre las cuatro dimensiones críticas —económica, legal, operacional y reputacional— y cuándo fue revisado por última vez en cada una de ellas. La antigüedad del análisis es, en sí misma, un indicador de riesgo: una organización cuyo mapa de riesgos no ha sido actualizado desde hace más de doce meses está, con alta probabilidad, operando con una imagen distorsionada de su exposición real. Este KPI debe desagregarse por las cuatro dimensiones y por los cuatro vectores de exposición más relevantes para cualquier organización: personas, procesos, activos y socios de negocio. La diligencia debida sobre terceros —proveedores, distribuidores, intermediarios, socios estratégicos— es uno de los ámbitos donde la brecha entre el mapa formal y la exposición real suele ser mayor. Medirla de forma explícita es la única manera de gestionarla.
Este KPI mide qué proporción de las obligaciones normativas identificadas como aplicables a la organización han sido verificadas en cuanto a su vigencia y tienen asignado un responsable, una evidencia de cumplimiento y una fecha de próxima revisión. Es el indicador que más directamente ataca el principal origen de los errores de cumplimiento: la desactualización silenciosa. Una norma modificada, un umbral revisado, un nuevo plazo de adaptación que entra en vigor sin que nadie en la organización lo haya detectado. La tasa de cobertura de este indicador debería incluir tanto la normativa legal aplicable como los requisitos derivados de las normas de sistemas de gestión bajo las que opera la organización. Un Compliance Officer que no puede responder con precisión a cuántas de sus obligaciones están verificadas y actualizadas en tiempo real no tiene, en la práctica, control sobre su perímetro de cumplimiento.
Por qué estos tres KPI y no otros
Existen decenas de indicadores posibles en una función de compliance bien estructurada. Estos tres se destacan porque actúan en niveles distintos del sistema: el primero mide la capacidad de respuesta ante irregularidades ya detectadas; el segundo mide la calidad del análisis preventivo; el tercero mide la actualización continua del perímetro normativo. Juntos ofrecen una visión de 360 grados sobre el estado real del cumplimiento: lo que se detecta, lo que se previene y lo que se mantiene vigente.
Ninguno de los tres requiere tecnología sofisticada para empezar a medirse. Sí requieren disciplina, responsabilidades claras y un proceso que convierta cada indicador en una decisión de gestión concreta, no en un número que aparece en un informe y nadie discute.
La diferencia entre un sistema de cumplimiento que protege a la organización y uno que solo la representa en el organigrama se mide, precisamente, en la capacidad del Compliance Officer de responder a estas tres preguntas en cualquier momento: ¿cómo están mis denuncias?, ¿cuándo actualicé mi mapa de riesgos por última vez?, ¿qué porcentaje de mis obligaciones tienen evidencia verificada y responsable asignado? Quien no pueda responderlas con datos tiene, en el mejor de los casos, un sistema que existe. No uno que funciona.
En Intedya acompañamos a organizaciones de todos los tamaños en más de 20 países en la implantación y mejora de sistemas de gestión de cumplimiento. Sofidya integra los tres KPI en un entorno centralizado, trazable y auditable.
Solicitar más información →
