Cómo afrontar el reto de la gestión ética empresarial

El Congreso “Compliance en la Actividad Empresarial” celebrado el 1 de julio de 2025 consiguió colgar el cartel de “aforo completo”  en la sala Ferrer-Salat de la CEOE.

El grupo ASCOM de Compliance en la Actividad Empresarial llevaba meses organizando este evento que fue un éxito absoluto, por la calidad del programa que habían preparado y por el hecho que todos los ponentes que intervinieron son integrantes del grupo.

El modelo de gestión ética de las organizaciones, un hilo conductor para el Congreso

Tras las palabras de bienvenida institucional de nuestro presidente, José Zamarriego, se inauguró el Congreso con la primera ponencia a cargo de Francisco Bonatti, secretario de ASCOM y responsable del Grupo ASCOM- Compliance en la actividad empresarial.  

Bajo el título “El Compliance como herramienta de gestión de las empresas” inauguró el evento transmitiendo el mensaje de que “Compliance está el eje de la gestión ética de las empresas del siglo XXI”, para justificar cómo el desarrollo de la ética corporativa y el buen gobierno como pilares de las empresas que operan en un mundo globalizado han colocado a la función de Compliance en el eje sobre el que pivota la gestión de las organizaciones.

Enfatizando que en el siglo XXI la empresa no puede basar sus logros sólo en la calidad o los beneficios, sino que debe demostrar integridad, sostenibilidad y compromiso ético: “No basta con cumplir; hay que construir confianza, ser predecibles, ser ejemplares. Eso exige gobernanza. Y la gobernanza exige Compliance”.

Estructuró su intervención en los tres pilares –ética, gobernanza y Compliance– subrayando que un modelo de buen gobierno necesita Compliance con el fin de asegurar que todos los integrantes están alineados con los compromisos éticos de la organización, para terminar afirmando que el Compliance ha pasado de ser una función aislada o inexistente en muchas organizaciones a convertirse en una función transversal.

Francisco explicó cómo el programa del congreso se había dividido en dos partes con la finalidad de ir desgranando en la primera parte la relación entre ética, gobernanza y Compliance para centrarnos en la segunda parte en la evolución que han  vivido la mayoría de las empresas, desde el Compliance Penal hacia los nuevos retos regulatorios y tecnológicas que están conformando esta segunda era del Compliance.

Terminó deseando haber ofrecido a los asistentes argumentos suficientes para que en el futuro puedan demostrar que Compliance es una función imprescindible para la correcta gestión de las organizaciones del S XXI.

Gobernanza del Compliance: análisis de los retos y modelos actuales

Este panel analizó las estructuras de cumplimiento en las organizaciones y los diversos modelos existentes de gobernanza del sistema de Compliance. Se compararon modelos centralizados, descentralizados e híbridos, con sus ventajas e inconvenientes, y se destacó la importancia de asegurar la autonomía e independencia del Compliance Officer dentro del organigrama.

El panel estaba integrado por Paula García Arango (Vocal de la Junta Directiva y Head Compliance and Corporate Governance ACS) quien explicó el modelo descentralizado con que funciona su organización, Edurne Sánchez (Directora de Compliance de Grupo Mahou-San Miguel y premio ASCOM 2024) quien explicó cómo funciona el modelo fundamentalmente centralizado de su compañía y Olga Polo (Chief Compliance Officer de ABERTIS) que explicó las bondades e inconvenientes del modelo hibrido que mantiene su grupo.

Las ponentes abordaron diversas  tendencias emergentes para analizar el impacto que comportan en los modelos de gobernanza del Compliance, se trata de los temas clave de futuro, con los que se esté conformando una segunda etapa histórica del Compliance: las nuevas Directivas europeas de sostenibilidad (CSRD y CS3D) –aunque retrasadas, “no suponen un retroceso; han generado expectativas de transparencia que siguen vigentes”, los cambios legislativos en España (se prevé ampliar el Código Penal para incluir delitos como el incumplimiento de sanciones internacionales y delitos medioambientales) y las nuevas tecnologías (incluyendo la gobernanza de la IA).

En este bloque se enfatizó que el Compliance debe adaptarse a estos nuevos alcances: integrar los aspectos ESG y sociolaborales sin descuidar el Compliance penal clásico, dejando abierta la puerta al tratamiento en profundidad de estos temas en la segunda parte del Congreso.

Aspectos clave de la Función de Compliance en las empresas: el Libro Blanco de ASCOM

Alain Casanovas (Director de Compliance en KPMG y presidente del Consejo Asesor de ASCOM) analizó cómo está evolucionando la Función de Compliance a través del comentario de la nueva revisión del Libro Blanco de la Función de Compliance, una guía de referencia en España.

Alain destacó que este documento marcó un “antes y después” en la profesionalización del sector ya que por primera vez, en 2017 definió con rigor qué es el Compliance Officer y cuáles son sus funciones mínimas exigibles.

La edición actualizada  del Libro Blanco (noviembre 2024) identifica el “núcleo duro” de responsabilidades que el Compliance no puede delegar –p.ej. la evaluación de riesgos– distinguiéndolas de aquellas otras funciones en que participa y que son fiel reflejo de la expansión del Compliance en la organizaciones como consecuencia de los nuevos retos regulatorios, aportando claridad en un contexto de posible responsabilidad personal por omisión del Compliance Officer.

“Ya no vale decir que Compliance hace muchas cosas: importa identificar qué cosas son responsabilidad directa, porque no hacerlas puede implicar responsabilidad legal”, señaló el ponente, que también abogó por un enfoque menos burocrático y más cultural: “No podemos vigilar a todo el mundo todo el tiempo; lo importante es que las personas actúen bien por convicción, no por miedo”.

En suma, este bloque sentó la bases conceptuales del modelo de gestión ética de las empresas en el S XXI: la gobernanza ética requiere una Función de Compliance empoderada, con una misión clara y respaldada por la alta dirección.

La segunda parte del Congreso analizó con gran éxito cómo ha evolucionado el desempeño de la función de Compliance en España, desde el Compliance Penal hasta los nuevos resto tecnológicos.

15 años de Compliance Penal en España- actualidad y tendencias

Beatriz Bustamante (Counsel en Garrigues) ofreció una ponencia conmemorando los 15 años de Compliance penal. Recordó que la responsabilidad penal de las personas jurídicas introducida en 2010 (y reforzada en 2015) fue un catalizador para implantar modelos de prevención de delitos y que muchas empresas españolas pasaron de ver el Compliance como “algo voluntario” a “esencial para evitar sanciones penales”.

Beatriz repasó logros y asignaturas pendientes: hoy el 75% de grandes empresas cuentan con programas de cumplimiento, pero es vital actualizar los mapas de riesgos ante nuevas amenazas (p.ej. delitos de elusión de sanciones internacionales derivados de la coyuntura geopolítica). Insistió en la necesidad de mecanismos de autorregulación eficaces y en la cultura corporativa ética como barrera frente a conductas ilícitas, alineándose con la visión integradora expuesta por Francisco Bonatti en la apertura.

La función de Compliance en la implantación de políticas ESG y otros riesgos en las empresas

En este panel los paneles abordaron la evolución de la Función de Compliance Penal de muchas organizaciones y su  papel  en la implantación de políticas de medio ambiente, responsabilidad social, buen gobierno o defensa de la competencia.

Moderado por Estela Martín (Directora Compliance Laboral), incluyó voces de diferentes ámbitos: Montserrat González (Compliance Lawyer, Cellnex), Pablo García (Abogado, Cuatrecasas) y Cristina Ordoñez (Chief Compliance & Sustainability Officer, Arteche) quienes pusieron de relieve la necesidad de articular mecanismos que garanticen la coexistencia del Compliance penal tradicional con los nuevos ámbitos de riesgo sin solapamientos ni lagunas.

Por ejemplo, integrar los procesos de debida diligencia en derechos humanos y cadena de suministro (que exigen las directivas europeas en discusión) dentro del marco general de Compliance. También se discutió cómo valorar la función de Compliance sociolaboral, encargada de prevenir riesgos como acoso, discriminación o incumplimientos en PRL.

Esta función, a veces subestimada, es clave para proteger a los empleados y la cultura ética interna. Se destacó la importancia de la comunicación interna: el Compliance debe explicar a toda la organización “qué hacemos y por qué existimos”, logrando que áreas como Recursos Humanos y mandos intermedios perciban al Compliance no como policía, sino como aliado en la mejora del clima ético.

Un tema candente fue la futura Directiva de Debida Diligencia en Sostenibilidad (CS3D) coincidiendo los ponentes en que, aunque su aprobación se retrasó (“stop the clock” europeo), las empresas deben prepararse ya para evaluar impactos ambientales y sociales de sus operaciones, pues la agenda ESG sigue en pie.

Asimismo, Pablo García aportó la perspectiva de cumplimiento en libre competencia, enfatizando la colaboración de ASCOM con la CNMC: recientemente la presidenta de la CNMC anunció la revisión de la Guía de Programas de Compliance en Competencia tras 5 años de vigencia, y subrayó que un buen programa antitrust es “una ventaja competitiva” para las empresas, no una carga. En conjunto, este panel concluyó que la misión del Compliance Officer se expande: debe orquestar un sistema que cubra desde la prevención de delitos hasta el cumplimiento de exigencias sociales, laborales y medioambientales, sin perder eficacia. Esto exige recursos adecuados, metodologías integradas y respaldo explícito de la dirección.

Cómo contribuye la Función de Compliance a afrontar los retos tecnológicos: IA, Ciberseguridad, Privacidad, Blockchain

El último panel abordó la implicación de Compliance en la gestión de los riegos de la Cuarta Revolución Industrial.

Moderado por Alicia González (IBM), contó con Jesica Hita (consultora Compliance), Yolanda Castilla (Data Protection Officer & Compliance, B2 Impact) y Juan Manuel Galdón (Instituto de Innovación). Desde la primera intervención quedó claro que la disrupción tecnológica exige que el Compliance evolucione de “guardián normativo” a “arquitecto estratégico”.

Alicia González abrió afirmando que “La IA y el big data están transformando el tejido empresarial con una fuerza superior a la llegada de Internet… esto exige que el Compliance deje de ser un freno para convertirse en un motor de liderazgo ético, estratégico y tecnológico”.

En efecto, la Inteligencia Artificial plantea dilemas éticos y de cumplimiento sin precedentes: Jesica Hita recalcó que el Compliance debe involucrarse “desde el minuto uno” en proyectos de IA, evaluando impactos algorítmicos, gobernanza del dato y posibles sesgos o violaciones de derechos.

“Hablar de riesgos tecnológicos ya no es hablar de futuro, es una realidad transversal”, afirmó, insistiendo la necesidad de un Compliance Officer proactivo y formado que colabore estrechamente con áreas de TI, seguridad de la información y privacidad. También alertó de las dificultades en PYMEs, donde no hay departamentos dedicados y el Compliance Officer deberá asumir un enfoque práctico e integrador, adaptado a recursos limitados.

Por su parte, Yolanda Castilla se centró en un reto urgente: la alfabetización digital y ética en el uso de IA por empleados. Contó un caso real donde trabajadores usaban herramientas como ChatGPT sin coordinación ni control, creando un riesgo oculto pero real. Defendió implantar programas de formación escalonados según rol y exposición, políticas claras sobre qué herramientas están aprobadas y cómo utilizarlas, e incluir al Compliance en el diseño de dichas formaciones.

“La alfabetización no es solo técnica, sino también ética y normativa”, subrayó, recordando que el cumplimiento normativo es el “sistema operativo” de las empresas que quieren competir seriamente en la era digital.

El Compliance es el nuevo sistema operativo de las empresas

De hecho, Juan Manuel Galdón acuñó una de las frases referentes del congreso: “El Compliance no es una carga. Es el nuevo sistema operativo de las empresas que quieren competir en serio. Si lo hacemos con inteligencia, lo transforma todo”. Galdón presentó un modelo de madurez digital del Compliance en tres niveles (reactivo, estructurado y avanzado) e ilustró cómo muchas organizaciones aún operan de forma manual y reactiva.

Destacó una iniciativa concreta: un autodiagnóstico online para que las empresas evalúen si su modelo de Compliance está preparado frente a riesgos tecnológicos emergentes. A modo de conclusión, se acordó que la transformación digital va de la mano de la transformación del Compliance: ya no como barrera, sino como arquitecto de confianza, transparencia y competitividad en el siglo XXI.

La mesa coincidió en que el Compliance de 2025 debe saber de ciberseguridad, privacidad y algoritmos casi tanto como de leyes, para guiar a sus empresas en un entorno donde la innovación corre más rápido que la regulación.

Cierre y Plan de Acción 2025-2026: Tras esta intensa jornada, los integrantes del Grupo ASCOM “Actividad Empresarial” elaboraron las conclusiones clave en forma de un Plan de Acción para los órganos de Compliance de empresas y directivos de cara a 2025.