Arma la matriz de riesgos y cumplimiento

El ámbito de riesgo y control es, junto con continuidad y sucesión, el más rezagado de gobernanza: promedia 40,5 puntos sobre 100 sobre una muestra de 93 empresas medianas chilenas, y un 86% está apenas en el nivel básico de madurez. Muy pocas empresas llegan a un nivel donde las políticas y los controles estén realmente definidos y sostenidos.

El diagnóstico expone dónde está el vacío: un 30% de las empresas no logra confirmar si cuenta con políticas formales vigentes, ni de qué tipo, y un 28% no confirma si realiza auditorías internas o externas más allá de lo tributario. En el extremo más severo, un grupo pequeño de la muestra, insuficiente para reportar como cifra, no tiene ninguna política formal ni ninguna auditoría, y ese vacío por sí solo topa el puntaje del ámbito en apenas 2 sobre 5.

Esto ya no es solo una buena práctica de gestión. Desde septiembre de 2024, la Ley 21.595 de delitos económicos amplió de forma considerable el catálogo de delitos que activan la responsabilidad penal de la empresa bajo la Ley 20.393, que exige un modelo de prevención con políticas, canales de denuncia y auditoría periódica de su funcionamiento. Una empresa sin matriz de riesgos ni política escrita no solo gestiona peor: le cuesta más demostrar, si algo sale mal, que hizo lo razonable para prevenirlo. Conviene revisar con asesoría legal si tu empresa debería tener un modelo de prevención formal y qué tan lejos está de acreditarlo.

Qué hacer

• Escribir, aunque sea en una página, las políticas mínimas que hoy operan solo por costumbre: conflicto de interés, aprobación de gastos, manejo de información sensible.
• Calendarizar al menos una revisión o auditoría interna anual, no tributaria, sobre el cumplimiento de esas políticas.
• Nombrar un dueño de la matriz de riesgos, alguien que la actualice cada seis meses, para que no sea un documento que se hace una vez y se archiva.