Protección de datos, sostenibilidad y prevención de lavado de activos muestran una misma transformación: el compliance está dejando de ser una función centrada exclusivamente en evitar contingencias para convertirse en una herramienta transversal de gobierno, gestión de riesgos y competitividad.
Las organizaciones que operan en América Latina enfrentan un entorno regulatorio cada vez más complejo. A las normas locales se suman estándares internacionales, expectativas de inversionistas, exigencias de entidades financieras, requerimientos de clientes y nuevas condiciones para acceder a determinados mercados o cadenas de valor.
En este escenario, el desafío ya no consiste solamente en identificar qué norma resulta aplicable y cumplir formalmente con ella. La pregunta relevante es otra: ¿cómo integrar esas exigencias dentro del negocio de manera que permitan gestionar mejor los riesgos, fortalecer los procesos y generar valor?
Esa fue una de las principales conclusiones del webinar “Compliance en América Latina: cómo transformar exigencias regulatorias en oportunidades de negocio”, organizado por B-Conex Latam en el marco de las actividades preparatorias del Congreso Latinoamericano de Gerencias Legales 2026.
La conversación reunió a Eugenio Rebolledo, Compliance Officer de EY Chile; María de los Ángeles Chévez, Senior Manager Compliance de Invenergy / Energía del Pacífico; y José Juan Gari, consultor estratégico y Oficial de Cumplimiento de Aiva, bajo la moderación de María Lucía Acosta, Directora de B-Conex Latam.
A partir de tres áreas -protección de datos, sostenibilidad y prevención de lavado de activos y financiamiento del terrorismo (PLAFT)- surgió una conclusión transversal: el compliance que realmente agrega valor es aquel que consigue traducir regulación, riesgo y expectativas del mercado en procesos concretos, proporcionales y funcionales a la operación.
Protección de datos: un desafío transversal de gobernanza
La protección de datos es probablemente uno de los mejores ejemplos de cómo una cuestión inicialmente percibida como especializada terminó convirtiéndose en un desafío transversal para toda la organización.
Las empresas procesan hoy cantidades crecientes de información en operaciones que involucran distintas áreas, proveedores, plataformas tecnológicas y jurisdicciones. Al mismo tiempo, los marcos regulatorios presentan diferencias relevantes entre países y evolucionan a velocidades distintas.
Esto obliga a abandonar una aproximación exclusivamente jurídica.
La primera tarea consiste en mapear adecuadamente los distintos marcos regulatorios y de gobernanza que atraviesan una operación, pero ese mapeo debe complementarse con capacidad de adaptación, ya que no todas las situaciones encuentran una respuesta normativa expresa y, en muchos mercados, persisten áreas grises o desajustes entre la legislación y su implementación práctica.
De allí surge la importancia de construir una relación adecuada con organismos estatales y entidades reguladoras. La comunicación temprana puede convertirse en una herramienta importante para resolver incertidumbres y evitar que problemas de interpretación terminen transformándose en contingencias.
De todas maneras, la regulación representa solamente una parte del problema.
Un programa de protección de datos efectivo requiere involucrar desde el inicio a diferentes áreas de la organización: legal, compliance, tecnología, seguridad de la información, operaciones y negocio. También exige revisar periódicamente la infraestructura, actualizar procesos y analizar dónde se encuentran realmente los puntos de vulnerabilidad.
La protección de datos deja así de ser un costo operativo o una obligación que debe administrarse en forma defensiva, y la forma en que una compañía gestiona la información incide directamente en su reputación y, sobre todo, en la confianza que construye con clientes, consumidores, proveedores y demás stakeholders.
Por eso, frente al incremento de la complejidad regulatoria, la respuesta no puede ser únicamente más documentación o más controles. Se necesita una gobernanza más sofisticada, capaz de determinar qué riesgos existen, dónde están concentrados y qué respuesta resulta adecuada para cada uno.
Sostenibilidad: cumplir para permanecer, gestionar para competir
La evolución de la agenda de sostenibilidad muestra una transformación similar.
Durante años, muchas organizaciones la asociaron principalmente con reputación corporativa o responsabilidad social. Hoy esa aproximación resulta insuficiente.
La sostenibilidad afecta decisiones de inversión, financiamiento, acceso a mercados, relaciones con comunidades, cadenas de suministro y, cada vez con mayor frecuencia, la posibilidad misma de desarrollar determinados negocios.
Esto obliga a poner sobre la mesa una diversidad de cuestiones y, en algunos casos, a revisar incluso el propósito de la compañía y la forma en que genera valor para sus diferentes grupos de interés.
El primer cambio relevante es pasar de una lógica reactiva a una gestión proactiva.
La relación con comunidades, la gestión ambiental o la respuesta frente a expectativas ESG no deberían activarse únicamente cuando aparece una contingencia. Incorporarlas tempranamente permite anticipar conflictos, mejorar operaciones y construir relaciones más sólidas con los distintos stakeholders.
Asimismo, existe una segunda dimensión todavía más importante: una gestión inadecuada de estos riesgos puede traducirse directamente en pérdida de oportunidades de negocio.
Las entidades financieras incorporan progresivamente criterios de sostenibilidad en sus evaluaciones; los inversionistas analizan estas variables; las grandes compañías trasladan exigencias a sus cadenas de suministro; determinadas jurisdicciones o mercados demandan estándares específicos como condición de acceso; por nombrar solo algunas.
En consecuencia, cumplir adecuadamente deja de ser solamente una cuestión de reputación, sino que puede determinar si una empresa obtiene financiamiento, puede participar de una cadena de valor o puede ingresar a determinado mercado.
Esto modifica también el rol de legal y compliance, pues ya no alcanza con explicar cuáles son las obligaciones legales. Por el contrario, los equipos deben poder comprender cómo esas obligaciones, riesgos y expectativas inciden en el modelo de negocio, y luego ayudar a traducirlas en decisiones concretas.
Para ello son necesarios procesos internos de monitoreo efectivo, métricas útiles y mecanismos que permitan verificar si las políticas realmente se están implementando.
Uno de los riesgos frecuentes es justamente la distancia entre la política y la operación. En sostenibilidad, muchas declaraciones corporativas continúan siendo más aspiracionales que operativas.
El verdadero desafío aparece cuando llega el momento de responder preguntas más incómodas: ¿quién es responsable?, ¿cómo se mide?, ¿qué información se produce?, ¿cómo se documenta?, ¿qué ocurre cuando el proceso no funciona?
Allí vuelve a aparecer un elemento que muchas veces queda relegado dentro de la agenda ESG: la “G” de governance.
Sin estructuras claras de decisión, responsabilidades definidas, mecanismos de supervisión y procesos de rendición de cuentas, difícilmente puedan implementarse de manera consistente las agendas ambientales o sociales.
Por eso, la profesionalización del gobierno corporativo es también una herramienta central de sostenibilidad.
PLAFT: ni checklist ni sobrerregulación
El tercer eje de la conversación (la prevención del lavado de activos y del financiamiento del terrorismo) permitió plantear otro desafío clave: cómo construir controles robustos sin convertir el compliance en una fuente innecesaria de fricción para el negocio.
La imagen de la “dosificación de la medicina” resulta especialmente ilustrativa.
Un sistema insuficiente expone a la organización, pero un sistema excesivamente complejo, burocrático o desproporcionado también puede generar efectos negativos: consume recursos, ralentiza operaciones, desplaza el foco hacia controles de bajo valor y puede terminar debilitando la propia efectividad del programa.
La sofisticación, por lo tanto, no consiste en acumular procedimientos, sino que consiste en identificar dónde se encuentra realmente el riesgo y asignar allí tiempo, tecnología, controles y capacidad humana.
Esto explica por qué el enfoque tradicional basado en checklists resulta cada vez menos suficiente. Tener políticas, formularios y documentación es necesario, pero no demuestra por sí solo que un sistema funcione. Las organizaciones deben preguntarse si los procesos son efectivos en la práctica: cómo se implementan, quién los ejecuta, cómo se monitorean y qué evidencia existe de su funcionamiento.
La documentación adquiere entonces una importancia central. No solamente debe existir cumplimiento, sino que debe ser posible demostrar cómo se cumplió, qué controles se aplicaron y cómo reaccionó la organización frente a los riesgos identificados.
Al mismo tiempo, la tecnología y la inteligencia artificial están abriendo nuevas posibilidades.
Determinadas tareas de monitoreo, revisión o análisis pueden automatizarse, permitiendo liberar recursos para aquellas decisiones que requieren criterio, conocimiento del negocio y evaluación humana.
La pregunta correcta deja entonces de ser “¿cuántos controles tenemos?” para pasar a ser: ¿en qué procesos estamos invirtiendo nuestro tiempo, nuestro foco y nuestro valor, y cuáles podrían realizarse de manera más eficiente?
Otro de los puntos relevantes es la necesidad de alinear a toda la organización.
La prevención no pertenece únicamente al oficial de cumplimiento. Requiere involucrar a quienes toman decisiones, administran equipos, contratan terceros o participan de operaciones sensibles. La creciente atención sobre la responsabilidad de empleadores y administradores refuerza precisamente esa dimensión: los sistemas funcionan cuando la organización asume el riesgo como propio y no cuando lo delega exclusivamente en un área.
GRC: integrar governance, risk y compliance
Los tres bloques convergen finalmente en un mismo concepto: GRC – Governance, Risk & Compliance.
La gobernanza define cómo se toman decisiones y quién responde por ellas. La gestión de riesgos permite identificar qué puede afectar los objetivos de la organización. El compliance, por su parte, establece los mecanismos necesarios para operar dentro del marco regulatorio y de los estándares asumidos.
Gestionados separadamente, estos tres componentes pueden generar estructuras paralelas, duplicación de controles y pérdida de información. Integrados, permiten construir sistemas mucho más consistentes.
Por eso, el compliance moderno exige cada vez más una mirada transversal. No puede desarrollarse exclusivamente desde el ámbito legal ni permanecer aislado del negocio. Necesita interactuar con tecnología, finanzas, operaciones, recursos humanos, sostenibilidad, auditoría y alta dirección.
La función del compliance pasa así de responder únicamente “qué no podemos hacer” a participar de una conversación más estratégica: “cómo podemos hacerlo de manera segura, sostenible y competitiva”.
De la obligación a la ventaja competitiva
Protección de datos, sostenibilidad y PLAFT presentan marcos regulatorios, riesgos y desafíos distintos. Sin embargo, la conversación permitió identificar una lógica común.
Las organizaciones más maduras no son necesariamente aquellas que acumulan más políticas o controles. Son aquellas capaces de: comprender sus riesgos, priorizarlos, traducirlos en procesos concretos, monitorear su funcionamiento y adaptarlos a la realidad del negocio.
Ese cambio de enfoque también redefine el rol de abogados y profesionales de compliance. Su aporte ya no se mide solamente por la capacidad de evitar una sanción, sino también por su capacidad para anticipar escenarios, facilitar decisiones, preservar acceso a mercados, fortalecer relaciones con stakeholders y ayudar a la organización a operar con mayor confianza.
En un contexto de creciente complejidad regulatoria, la diferencia competitiva puede estar precisamente allí.
Compliance no es hacer más. Es hacer mejor: con criterio, proporcionalidad, evidencia y una comprensión profunda del negocio. Cuando esa lógica se incorpora a la gobernanza de la organización, el cumplimiento deja de ser simplemente una obligación para convertirse en una verdadera herramienta de creación de valor.