.jpg)
Cuando los reguladores no prescriben métodos de verificación, los proveedores tecnológicos llenan el vacío. Analizamos quién define realmente el cumplimiento normativo en entornos SaaS y qué riesgos asume la empresa.
Los reguladores publican normas. Los mercados llenan los vacíos. Y las empresas, atrapadas en medio, asumen responsabilidades que ni han diseñado ni pueden transferir.
Este es el ciclo que los profesionales de cumplimiento normativo reconocen casi instintivamente, independientemente del sector donde trabajen. Lo vieron con la explosión de plataformas de gestión de consentimiento tras el RGPD. Lo vivieron con el software de reporting que creció al calor de la Directiva de Informes de Sostenibilidad Corporativa de la UE (CSRD). Lo observan ahora con las herramientas de trazabilidad que compiten por posicionarse como la respuesta práctica a sanciones con métodos de verificación no definidos. El mecanismo es siempre el mismo: el regulador redacta el qué, omite el cómo, y el mercado tecnológico —generalmente respaldado por capital privado, que rinde cuentas a sus inversores antes que al público— define el estándar operativo en la práctica.
La pregunta que muchas organizaciones no se hacen con suficiente rigor es esta: ¿qué implica para su posición de cumplimiento que sea un proveedor comercial, y no una autoridad pública, quien determine en última instancia si están dentro o fuera de la norma?
El caso más reciente y observable de este fenómeno se produjo en enero de 2024, cuando la UE y el G7 introdujeron restricciones sobre los diamantes de origen ruso. Las empresas importadoras quedaron obligadas a presentar declaraciones de debida diligencia que certifiquen el origen no ruso del producto. Hasta ahí, la norma es clara. El problema está en lo que no dice: no existe un método de verificación único exigible, ningún organismo público tiene capacidad de comprobación sistemática y no hay un registro centralizado que permita confirmar el origen con certeza científica.
Lo llamativo no es el vacío en sí —los vacíos normativos son endémicos—, sino la velocidad y la forma en que se llena. En cuestión de meses, varios proveedores tecnológicos privados se posicionaron como la solución práctica, cada uno con su metodología, sus propios criterios de validación y su propia definición implícita de qué constituye una verificación suficiente.
El Instituto Gemológico de América (GIA), máxima autoridad de certificación del sector, fue explícito al reconocer que más de cinco décadas de investigación no han producido ningún método científico capaz de determinar con certeza el país de origen de un diamante a partir del examen del propio mineral. La verificación, en consecuencia, descansa sobre documentación auditada, no sobre física. Y quién audita esa documentación, con qué criterios y bajo qué incentivos es exactamente donde el estándar real se construye, lejos del boletín oficial.
Este patrón no es exclusivo del comercio de diamantes. Es el modelo operativo de facto del cumplimiento normativo moderno en sectores tan diversos como la privacidad de datos, la sostenibilidad corporativa, la prevención del blanqueo de capitales o la ciberseguridad.
La dinámica tiene una lógica comprensible. Las agencias reguladoras en gran parte del mundo carecen de recursos técnicos, financiación suficiente y agilidad para construir y mantener infraestructuras de verificación. Un mercado competitivo de proveedores puede moverse mucho más rápido que cualquier proceso legislativo o administrativo. Y, en muchos casos, la innovación tecnológica genuinamente resuelve problemas que el regulador no podía prever cuando redactó la norma.
Pero hay un coste que rara vez se contabiliza con rigor: cuando un regulador delega la definición operativa del cumplimiento en un conjunto de plataformas privadas, también está delegando, en parte, el estándar mismo. Y con él, la coherencia, la neutralidad y la rendición de cuentas que deberían ser atributos del sistema regulatorio, no del modelo de negocio de un proveedor.
La competencia entre proveedores SaaS de compliance no es neutral. Cada plataforma tiene incentivos para que su metodología sea percibida como suficiente, para minimizar la fricción de onboarding, para retener clientes. En muchos casos, la lógica comercial empuja hacia la solución que el cliente adopta con menos esfuerzo, no necesariamente hacia la que ofrece mayor rigor verificador.
El problema de los incentivos: ¿a quién rinde cuentas la plataforma?
Este es el punto que los responsables de cumplimiento deben analizar con mayor detenimiento al evaluar cualquier proveedor tecnológico de compliance. La pregunta no es solo si la herramienta cumple con los requisitos normativos en su descripción comercial. La pregunta relevante es a quién rinde cuentas esa plataforma cuando sus resultados son cuestionados por un regulador, por un auditor externo o por un tribunal.
La respuesta casi siempre es la misma: a sus inversores y a sus clientes, en ese orden. No al organismo regulador. No al interés público. Eso no convierte automáticamente a los proveedores en actores de mala fe —muchos operan con rigor metodológico genuino—, pero sí define los límites de la confianza que una empresa puede depositar en ellos.
Cuando el modelo de ingresos de un proveedor depende de la retención de clientes, existe una tensión estructural entre el rigor verificador y la satisfacción del cliente. Un proveedor que hace el cumplimiento demasiado exigente pierde clientes frente a uno que lo hace más cómodo. Este es un riesgo sistémico que los marcos normativos actuales, en su mayoría, no abordan.
La gobernanza del propio proveedor importa tanto como su tecnología. Algunas plataformas han comenzado a migrar hacia estructuras de propiedad más diversificadas o hacia modelos de auditoría externa precisamente para reducir esta tensión percibida. Es un movimiento en la dirección correcta, pero no resuelve el problema de fondo: en ausencia de un estándar técnico público exigible, la metodología sigue siendo propiedad del proveedor.
La Autoridad Europea de Valores y Mercados (ESMA) lo formuló con precisión en el contexto de la tecnología regulatoria financiera: la tecnología puede delegar tareas, pero no responsabilidades. La obligación recae sobre la empresa regulada con independencia de cuánto trabajo de verificación se haya externalizado a un proveedor.
Esta distinción tiene consecuencias prácticas muy concretas. Cuando un regulador, un auditor o un tribunal pregunta cómo se obtuvo un dato, cómo se verificó un proveedor o cómo se documentó un proceso de debida diligencia, la respuesta «nuestro software lo genera automáticamente» o «el proveedor lo certifica» nunca ha sido suficiente. Nunca.
Las organizaciones que superan con solidez un escrutinio regulatorio son aquellas cuyos equipos de compliance entienden la metodología subyacente lo bastante bien como para defenderla como propia. No como algo que la plataforma hace por ellos, sino como algo que la organización hace, utilizando la plataforma como herramienta. La diferencia entre estas dos posiciones es la diferencia entre una organización que gestiona su cumplimiento y una que lo ha externalizado junto con la comprensión de qué significa estar en cumplimiento.
Esto tiene implicaciones directas en la forma en que las empresas documentan sus procesos, forman a sus equipos, diseñan sus contratos con proveedores y estructuran sus auditorías internas. El proveedor SaaS de compliance no puede ser el único depositario del conocimiento sobre por qué y cómo la empresa cumple con una norma concreta. Si lo es, existe un riesgo operativo, regulatorio y reputacional que no está siendo gestionado.
El mercado de soluciones SaaS para cumplimiento normativo —en privacidad, ESG, ciberseguridad, PBC, trazabilidad de cadena de suministro— seguirá creciendo. La cuestión no es si utilizarlas, sino cómo integrarlas sin perder el control sobre el estándar.
Existen criterios de evaluación que van más allá de las funcionalidades del producto y que deberían ser parte de cualquier proceso de selección y auditoría de proveedores de compliance.
El primero es la transparencia metodológica. ¿El proveedor documenta de forma exhaustiva y auditable cómo llega a sus resultados? ¿Permite a la empresa exportar y entender esa lógica, o la oculta como ventaja competitiva? Un proveedor cuya metodología es una caja negra es un proveedor que acumula el riesgo regulatorio de la empresa.
El segundo es la alineación con el marco normativo de referencia. ¿La plataforma referencia explícitamente las normas específicas que cubre —ISO 27001, RGPD, DORA, CSRD, NIS2, SOX—? ¿Actualiza su cobertura cuando esas normas evolucionan? ¿Quién valida esa alineación y con qué periodicidad?
El tercero, y probablemente el más olvidado, es la estructura de incentivos del propio proveedor. ¿Tiene mecanismos de gobernanza independientes? ¿Sus metodologías son auditadas por terceros? ¿Existe algún mecanismo por el que un cliente puede cuestionar o escalar una determinación de cumplimiento sin temor a consecuencias comerciales?
El cuarto es la transferibilidad del conocimiento. Los contratos con proveedores de compliance deben contemplar explícitamente los procedimientos de salida, la portabilidad de datos y, sobre todo, la documentación necesaria para que la empresa pueda demostrar su cumplimiento sin dependencia del proveedor. Esto no es solo una cuestión de resiliencia operativa; en muchos marcos normativos, es un requisito.
El quinto, finalmente, es la capacidad de los equipos internos para supervisar al proveedor. Una organización que no tiene el conocimiento técnico suficiente para evaluar críticamente lo que su plataforma de compliance genera no está gestionando su cumplimiento: está confiando en él. La diferencia, en caso de incidente regulatorio, es determinante.
Las lagunas normativas no van a desaparecer. Los reguladores publicarán marcos generales y los mercados seguirán llenando el espacio no definido. Esa es la realidad del cumplimiento normativo en sectores complejos y en rápida evolución. Pero la empresa que entiende este mecanismo —que sabe que el estándar operativo real se negocia entre el texto de la norma y la metodología del proveedor— está en una posición radicalmente distinta a la que simplemente compra una herramienta y asume que el problema está resuelto.
El cumplimiento no es un producto. Es un proceso que la organización debe ser capaz de entender, defender y documentar por sí misma, independientemente de las herramientas que utilice para ejecutarlo.
¿Tu organización necesita una revisión crítica de su arquitectura de cumplimiento normativo o quieres entender si tus proveedores SaaS de compliance realmente cubren tus obligaciones regulatorias? Los consultores de INTEDYA pueden ayudarte a mapear ese riesgo y a construir una posición de cumplimiento sólida y defendible. Contacta con el equipo más cercano.
En Intedya acompañamos a organizaciones de todos los tamaños en más de 20 países. Consultoría especializada en Riesgos y Cumplimiento, con resultados medibles y evidencias ante cualquier fiscalización.
Solicitar información sin compromiso →
