En las últimas semanas hemos escuchado propuestas para suspender, postergar o revisar regulaciones que imponen nuevas exigencias a las empresas. La Ley Karin y la nueva legislación sobre protección de datos personales están entre ellas. También hemos discutido los alcances y costos de la Ley de Delitos Económicos.
Hay buenas razones para discutir calidad regulatoria, gradualidad, costos y proporcionalidad. No toda regulación está necesariamente bien diseñada ni toda exigencia debiera implementarse de la misma manera en una gran y en una pequeña empresa. Pero hay una pregunta anterior: ¿qué ocurre con el riesgo mientras discutimos la regulación?
El acoso laboral no nació con la Ley Karin. El riesgo de tratar inadecuadamente los datos de clientes, trabajadores o proveedores tampoco nació con la nueva Ley de Protección de Datos. Y los riesgos de corrupción, fraude, delitos ambientales o conductas indebidas ciertamente no aparecieron con la Ley de Delitos Económicos.
Las leyes los visibilizan, establecen obligaciones y consecuencias. A veces incluso nos obligan a mirar riesgos que habíamos subestimado. Pero no los crean. Una buena prueba para evaluar cuánto hemos avanzado en nuestras organizaciones sería preguntarnos qué haríamos si mañana una de esas leyes se suspendiera.
¿Dejaríamos de preocuparnos de quién accede a los datos que otros nos confiaron? ¿Reduciríamos los controles destinados a prevenir conductas que pueden generar responsabilidad penal, daño reputacional o pérdida de confianza? Si la respuesta es sí, probablemente nunca internalizamos el riesgo. Solo la obligación.
Una organización madura construye su sistema de gestión identificando los riesgos que pueden impedir alcanzar los objetivos, evaluándolos y decidiendo cómo tratarlos para llevarlos a niveles compatibles con el apetito de riesgo. Es la lógica que recogen estándares como ISO 31000, COSO ERM y los Principios de Gobierno Corporativo G20/OCDE.
Desde esa perspectiva, la regulación es un piso, no el mapa de riesgos de la organización. Esta distinción importa en compliance. Durante demasiado tiempo hemos asociado cumplir con agregar políticas, matrices, declaraciones, capacitaciones y cláusulas contractuales. Cada nueva ley genera una nueva capa. Rara vez nos detenemos a preguntar si ese riesgo ya estaba siendo gestionado, si los controles existentes sirven o si podemos incorporar la nueva exigencia a procesos que ya existen.
El resultado puede ser mucho cumplimiento y poca gestión. Las organizaciones que hacen bien las cosas recorren el camino inverso. Entienden qué quieren proteger, identifican sus riesgos y diseñan controles proporcionales a su realidad. Cuando llega una nueva regulación, determinan qué cambia, las brechas y qué deben reforzar. No empiezan de cero.
Podemos discutir cuándo una regulación debe entrar en vigencia, revisar sus costos, corregir excesos y mejorar su diseño. Lo que no podemos es confundir la discusión sobre la ley con la desaparición del riesgo.
Las organizaciones maduras no gestionan riesgos porque la ley se los ordena. Cumplen la ley porque muchos de esos riesgos ya forman parte de aquello que saben que deben gestionar. Las leyes pueden suspenderse. Los riesgos, no.
Tamara Agnic, Presidenta de Eticolabora
Columna publicada originalmente en el Diario Financiero. Leer el original aquí.
