Un riesgo de cumplimiento permanece oculto por una de dos razones: nadie lo está buscando o nadie sabe que debería hacerlo.
Los del primer tipo son molestos y tienen solución. Políticas desactualizadas, un proceso de baja de personal que deja accesos abiertos, un proveedor que alguien pagó con su tarjeta personal hace tres años y que ahora almacena datos de clientes. Una persona decidida, con una hoja de cálculo y una semana disponible, puede descubrir todo eso. Es un problema de disciplina, y los problemas de disciplina se resuelven con esfuerzo.
Los del segundo tipo no se resuelven con esfuerzo, porque ese esfuerzo apunta en la dirección equivocada. Nadie está mirando fuera de la organización.
Este artículo aborda ambos tipos y explica cómo evaluarlos y mapearlos. Primero, los internos, porque son los que de verdad puedes resolver este mes y porque prefiero no ser el proveedor que pasa por alto las soluciones gratuitas para llegar a la de pago.
¿Qué es el riesgo de cumplimiento?
El riesgo de cumplimiento es la exposición que asumes cuando tu organización incumple, o podría incumplir, una obligación legal, regulatoria o contractual que le corresponde.
Tres expresiones de esa frase tienen un peso especial.
“Organización” es la que suele malinterpretarse, y buena parte de este artículo explica por qué. Sus límites van más allá de tu nómina.
“Podría” importa porque el riesgo de cumplimiento existe antes de que algo salga mal. Una deficiencia es un riesgo, se haya aprovechado o no, y una empresa que nunca ha tenido un incidente no necesariamente tiene un programa que funcione. Tal vez solo haya tenido suerte, y desde fuera ambas situaciones se ven iguales.
“Que le corresponde” importa porque la mitad de la preocupación por el cumplimiento en muchas empresas gira en torno a obligaciones que en realidad no les aplican, mientras desatienden las que sí. Determinar cuáles son unas y otras es, de verdad, la primera tarea, y la lista suele ser más corta y menos previsible de lo que se espera.
Conviene distinguirlo de otros riesgos cercanos. El riesgo legal es la exposición a litigios. El riesgo operativo es la exposición a fallas en tus propios procesos. El riesgo reputacional es lo que ocurre cuando cualquiera de los anteriores se hace público. El riesgo de cumplimiento se cruza con los tres, pero no equivale a ninguno.
Lo que realmente cuesta el incumplimiento
El incumplimiento es la situación en la que se infringe una obligación. La pregunta interesante no es qué significa, sino cuánto cuesta, y la respuesta tiene varias capas que la mayoría de los cálculos omite.
La multa es la parte visible y, con frecuencia, la más pequeña. Debajo está el programa de medidas correctivas que exige el regulador: un proyecto de varios trimestres que requiere personal. Después vienen los gastos legales, que se acumulan haya o no una sanción. Luego, las obligaciones de informar a clientes, LP, coinversionistas y socios bancarios.
Y después está la parte que nadie incorpora bien a su modelo: directivos que pasan tres meses atendiendo el incidente en lugar de dirigir la empresa. En una empresa pequeña, este suele ser el mayor costo y nunca aparece en ninguna hoja de cálculo.
Construimos un modelo aritmético concreto para calcularlo, en lugar de otra página de estadísticas alarmantes, porque si tienes que defender una partida presupuestaria en una reunión de socios, necesitas una cifra que resista un análisis a fondo.
Por qué el cumplimiento dejó de ser un asunto administrativo
Algo cambió en los últimos años y conviene señalarlo, porque cambia a quién le importa este tema.
El área de cumplimiento antes era un centro de costos que rendía cuentas a la dirección una vez por trimestre y, el resto del tiempo, trabajaba por su cuenta. Ahora es un factor decisivo para cerrar contratos con grandes empresas, captar capital y mantener relaciones bancarias. Es un cambio comercial presentado como un cambio de gobierno corporativo.
El mecanismo es bastante sencillo. Ahora, los compradores de grandes empresas revisan la seguridad y el cumplimiento antes de firmar. Los LP preguntan de forma habitual por la debida diligencia operativa, ya no como una solicitud especial. Los bancos hacen a sus socios las mismas preguntas que les hace su propio regulador, lo que transmite esas expectativas a lo largo de la cadena hasta empresas muy alejadas de la supervisión regulatoria.
Por eso, una deficiencia de cumplimiento ya no es algo por lo que quizá recibas una sanción algún día. Es algo que puede retrasar una operación el próximo mes. Ese cambio de enfoque llevó el tema a la agenda del consejo de administración y explica por qué se ha vuelto más fácil hablar de presupuesto, aunque el trabajo se haya complicado.
Los 10 principales riesgos de cumplimiento, ordenados por el tiempo que permanecen ocultos
La mayoría de las listas de “los 10 principales” ordenan por gravedad, lo cual resulta poco útil, porque la gravedad depende por completo de tu sector y tu tamaño.
Es más útil ordenarlos por el tiempo que permanecen sin detectar.
Los equipos de seguridad adoptaron ese concepto para describir cuánto tiempo permanece un intruso dentro de una red antes de que alguien lo detecte. Se aplica casi a la perfección al cumplimiento y revela algo que una clasificación por gravedad no puede: no cuál es el riesgo, sino cuánto tiempo tiene para agravarse antes de que te enteres.
Los ordenamos de mayor a menor tiempo sin detectar. Los primeros cinco son los peligrosos, y notarás que tienen algo en común.
1. Suplantación de identidad y ataques contra la marca
Canales de soporte falsos. Cuentas clonadas en redes sociales. Perfiles falsos de fundadores que solicitan inversiones a personas que creen estar tratando con una empresa en la que tienes participación.
Por su propia naturaleza, este riesgo es imposible de detectar durante el onboarding, y lo digo literalmente, sin adornos. Cuando cerraste la operación, el producto aún no se había lanzado. No había nada que suplantar. No podía estar en la sala de datos porque no existía.
Las empresas suelen enterarse cuando un fundador llama presa del pánico. A veces se enteran por una captura de pantalla publicada por un usuario que ya perdió dinero, lo cual es considerablemente peor.
2. Cambios en los antecedentes de fundadores y directivos
Los verificaste al cerrar la operación. La revisión no arrojó problemas porque no los había. Desde entonces no se ha vuelto a verificar nada.
Dieciocho meses después, se presenta una demanda contra el fundador a título personal por un asunto relacionado con una empresa que dirigió antes de la tuya. Es pública. Consta en un documento judicial. Cualquiera a quien se le ocurriera buscarla tardaría unos cuatro minutos en encontrarla.
A nadie se le ocurre buscar, porque revisar fue algo que hiciste una vez, durante la operación, y esa operación terminó hace un año y medio.
3. Exposición a sanciones a través de una contraparte
Verificaste la empresa. Bien. ¿Verificaste su banco? ¿Su plataforma de intercambio? ¿Su principal cliente? OFAC y sus equivalentes publican nuevas designaciones de forma continua, y la inclusión de la principal contraparte de una empresa en una lista de sanciones mete a esa empresa y, por lo tanto, a tu inversión, en un problema de cumplimiento que no provocó y del que quizá ni se ha enterado.
La primera noticia suele ser una cuenta congelada. Para entonces, la conversación ya pasó de la gestión de riesgos a la gestión de crisis, una conversación mucho más costosa.
4. Reestructuración de entidades
Cambios de domicilio jurídico. Nuevos consejeros. Transferencias de acciones a partes que nadie sometió a debida diligencia. Filiales que aparecen en jurisdicciones que no figuraban al cerrar la operación. En el sector cripto, esto es habitual, no excepcional: levantar una ronda, trasladarse a las Islas Vírgenes Británicas o a los Emiratos Árabes Unidos, reestructurar la composición accionaria, y la empresa que evaluaste ya no existe con esa estructura. Registros como OpenCorporates te muestran todo eso, siempre que alguien los consulte.
Normalmente nadie lo hace. El hallazgo suele llegar durante la debida diligencia de la siguiente ronda, cuando un analista de otra firma lo detecta y pregunta por qué tú no lo hiciste.
5. Reclasificación regulatoria
La empresa no hizo absolutamente nada. Las reglas cambiaron.
Un token pasa a considerarse un valor. Un servicio pasa a clasificarse como negocio de servicios monetarios en una jurisdicción donde no lo era el año pasado. Un producto que era legal cuando transferiste los fondos ahora está sujeto a un régimen de licencias que antes no existía.
Por definición, esto es invisible para cualquier proceso de onboarding y suele descubrirse cuando llega una notificación de medidas regulatorias o un banco empieza a hacer preguntas muy concretas.
6. Proveedores que nadie contrató por los canales establecidos
Las herramientas se pagaron con una tarjeta personal. El servicio de transcripción con IA al que alguien se suscribió y que ahora procesa las reuniones de socios. La herramienta de programación de citas con acceso de lectura a todos los calendarios de la empresa.
No puedes gestionar lo que no sabes que existe. Empieza por los reportes de gastos: no son vistosos, pero funcionan.
7. Deficiencias en la baja de personal
Accesos que siguen activos después de terminar la relación laboral. Un tema aburrido y presente en todas partes.
Alguien se fue en marzo. Su correo se desactivó ese mismo día. Su acceso al CRM de operaciones, a la unidad compartida, al espacio de trabajo de Slack conectado con una empresa del portafolio y a la consola en la nube que configuró hace dos años siguió activo, porque cada acceso lo había concedido por separado quien lo necesitaba en su momento.
Una lista de verificación por escrito y una revisión trimestral de accesos. Una tarde de trabajo que cierra una de las brechas que se aprovechan con mayor frecuencia en cualquier organización pequeña.
8. La única persona que sabe cómo funciona todo
Toda empresa pequeña tiene una. Es competente, lleva cuatro años ahí y, si se va, la función de cumplimiento se va con ella, porque nada está documentado fuera de su cabeza.
Casi nadie incluye esto en el registro de riesgos porque señalarlo se siente como una acusación. Documéntalo de todos modos.
9. Políticas que se redactaron una vez y nunca se volvieron a abrir
Alguien elaboró una impecable política de seguridad de la información en 2023 porque un cliente la exigió. Terminó en una carpeta. Desde entonces, la empresa cambió de proveedor de nube, de sistema de nómina y a la mitad de su personal.
La solución no cuesta nada. Cada política debe tener una persona responsable y una fecha de revisión, y esa fecha debe estar en un calendario, no solo en un plan.
10. Capacitación que todos completaron, pero no asimilaron
Todos hicieron el módulo. La tasa de finalización es del cien por ciento. Y aun así, alguien transfiere cuarenta mil dólares a una cuenta que suplanta a un proveedor, porque el módulo consistía en pasar diapositivas durante veinte minutos a las cuatro de la tarde.
No tengo una solución ingeniosa para esto. La respuesta honesta es que algo breve, específico y frecuente funciona mejor que algo largo, general y anual. Cinco minutos sobre el ataque concreto al que tu empresa realmente se enfrentará, cuatro veces al año.
La misma lista, como mapa
| Riesgo | Dónde se encuentra | Cuánto tiempo suele permanecer oculto |
| 1. Suplantación de identidad | Fuera | Hasta que los usuarios ya perdieron dinero |
| 2. Cambios en los antecedentes de fundadores | Fuera | Hasta que se hacen públicos y alguien más te avisa |
| 3. Sanciones a contrapartes | Fuera | Hasta que un banco congela una cuenta |
| 4. Reestructuración de entidades | Fuera | Hasta la debida diligencia de la siguiente ronda |
| 5. Reclasificación regulatoria | Fuera | Hasta que llega una notificación de medidas regulatorias |
| 6. Proveedores sin gestión | Dentro | Hasta una filtración de datos o una factura de renovación |
| 7. Deficiencias en la baja de personal | Dentro | Hasta que se detecta el acceso de un exempleado |
| 8. Dependencia de una sola persona | Dentro | Hasta que renuncia |
| 9. Políticas desactualizadas | Dentro | Hasta la siguiente auditoría |
| 10. Capacitación que no se asimiló | Dentro | Hasta que alguien comete un error |
Esos tiempos sin detectar son patrones observados, no mediciones, y tu experiencia será distinta. Pero observa cómo se distribuyen.
Todo lo que está en la primera mitad se encuentra fuera de tu organización. Todo lo que está en la segunda mitad se encuentra dentro.
Los riesgos internos salen a la luz mediante los procesos habituales, en semanas o meses, porque algo termina por ponerlos de manifiesto. Una auditoría. Una renovación. Un error. Los externos salen a la luz cuando alguien ajeno a tu empresa los descubre por ti. Es otra manera de decir que no salen a la luz: te llegan encima.
Lo que plantea la pregunta de dónde termina tu organización
Tienes una entidad jurídica. Tienes un organigrama. Ninguno describe el alcance de tu exposición al riesgo, y si construyes un programa de cumplimiento en torno a ellos, tendrás algo coherente por dentro y ciego hacia fuera.
Piensa en los asuntos que de verdad llegan a tu escritorio. El fundador de una empresa del portafolio aparece en una lista de sanciones. El subencargado del tratamiento que utiliza el administrador de tu fondo sufre una filtración que incluye tus datos. La plataforma de intercambio por la que una empresa del portafolio liquida sus operaciones colapsa un fin de semana, y te enteras por un grupo de Telegram antes de que la empresa te lo comunique.
Ninguna de esas personas está en tu nómina. Todas están, en la práctica, dentro de tu perímetro de cumplimiento.
La postura regulatoria es clara y conviene conocerla incluso si no estás sujeto a supervisión. Los lineamientos establecen expresamente que una empresa puede subcontratar una operación, pero no la responsabilidad que conlleva, y la debida diligencia continua y la supervisión de terceros se consideran un componente propio del sistema de gestión de cumplimiento. El mismo principio está presente en las recomendaciones de FATF sobre debida diligencia continua del cliente.
La mayoría de los fondos de capital de riesgo y fondos cripto no están sujetos a esa supervisión, y quiero ser preciso al respecto, porque exagerar aquí sería fácil y deshonesto. Nadie va a examinarte el próximo trimestre. Pero el razonamiento es válido haya o no alguien que lo haga cumplir, y los LP han empezado a hacer las mismas preguntas que los reguladores.
Cómo evaluar el riesgo de cumplimiento
El método estándar tiene cuatro pasos y un quinto que falta.
Paso uno: haz un inventario de las obligaciones que realmente te corresponden
No de los marcos que se verían impresionantes. De las reglas, los contratos y los compromisos regulatorios por los que tendrías que dar explicaciones en una reunión si algo saliera mal. Esta lista suele ser más corta de lo que se teme y menos previsible de lo que se espera, e incluirá una o dos cosas que alguien ha ignorado porque nadie sabía que aplicaban.
Paso dos: haz un inventario de las entidades, además de los procesos
Este es el paso que la metodología estándar omite y la razón por la que la mayoría de las evaluaciones están incompletas.
La evaluación de riesgos convencional hace un inventario de procesos: onboarding, pagos, manejo de datos, elaboración de reportes. Está bien para una empresa cuyo riesgo es interno.
Si tu exposición es externa, también necesitas un inventario de entidades. Cada empresa del portafolio. Cada contraparte relevante. Tu administrador, tu custodio, tus proveedores clave. Cualquiera cuyas fallas se conviertan en un problema que debas resolver.
La mayoría de las empresas nunca ha elaborado esta lista. Siempre resulta más larga de lo esperado, y hacerla cambia la conversación antes de que hayas asignado una sola puntuación.
Paso tres: asigna una puntuación a la probabilidad y al impacto
La parte conocida. Qué tan probable es y qué tan grave sería si ocurriera. Usa la escala que prefieras, de tres o cinco puntos; de verdad importa menos de lo que sugieren las discusiones al respecto.
Paso cuatro: evalúa la capacidad de detección, algo que nadie hace
¿Cuánto tardarías en enterarte?
No se trata de “¿podríamos encontrarlo si lo buscáramos?”. Se trata de cuánto tiempo pasaría, en la práctica y con los mecanismos que realmente tienes funcionando, entre el suceso y el momento en que alguien de tu empresa se enterara.
Exprésalo en días. Sé honesto. Si la respuesta real es “nos enteraríamos cuando nos avisara el fundador”, anota una cifra que lo refleje.
Paso cinco: prioriza con base en los tres factores
Esto nos lleva a la parte que, a mi juicio, realmente falta en los marcos estándar.
Cómo crear un mapa de riesgos de cumplimiento y el eje que todos olvidan
El mapa de riesgos convencional es una matriz de dos por dos. Probabilidad en un eje e impacto en el otro. Ubicas tus riesgos y lo que quede en la esquina superior derecha recibe el presupuesto. Tanto ISO 31000 como COSO funcionan, en términos generales, así, y este enfoque ha servido bien a la gestión de riesgos corporativos durante décadas.
Sin embargo, contiene un supuesto oculto que está causando mucho daño.
Supone que sabrás cuándo se materializa un riesgo.
Mira el mapa y verás que la detección no aparece por ningún lado. Está la probabilidad. Está el impacto. El tiempo que pasa entre el suceso y el momento en que te enteras simplemente no figura, como si fuera cero, como si los riesgos se anunciaran solos.
No lo hacen. Y el tiempo multiplica el impacto; no es una nota al pie.
Considera un riesgo de probabilidad media e impacto medio. Si lo detectas en un día, es manejable. Intervienes pronto, la exposición queda contenida, las medidas correctivas cuestan poco y, ante el regulador, cuenta que tú mismo lo detectaste, lo cual tiene mucho peso.
Ahora considera el mismo riesgo con catorce meses sin detectar. La exposición se acumula. Ya pasaron todas las oportunidades de intervenir a bajo costo. Las medidas correctivas ahora son todo un proyecto. Y no lo descubriste tú, sino alguien más, lo que te deja en una posición considerablemente peor a la hora de dar explicaciones.
La misma probabilidad. El mismo impacto nominal. Una realidad completamente distinta.
La fórmula
Por eso el mapa necesita una tercera dimensión, y la forma más sencilla de expresarla es:
Exposición efectiva = probabilidad × impacto × tiempo hasta la detección.
Puedes representarlo en una página si conservas la matriz de dos por dos y usas el tamaño o el color de los puntos para mostrar la capacidad de detección. En la práctica, la mayoría de los equipos simplemente pondera la puntuación, y eso está bien. La formalidad del método importa menos que la disciplina de plantear siquiera la tercera pregunta.
Aplica ese ajuste a tu mapa de riesgos actual y ocurre algo incómodo. Los riesgos que habías calificado como medios, ubicados sin causar preocupación en el centro de la matriz, se desplazan con fuerza hacia la esquina. Casi todos resultan ser externos, porque son los riesgos para los que no hay ningún mecanismo de vigilancia en marcha.
Esa nueva clasificación es, en una frase, el argumento a favor del monitoreo continuo. Y surge de la propia metodología, no de un proveedor.
Los errores que casi todos cometen al mapear riesgos
Son seis, y el primero es fatal.
Mapear solo lo que controlas. El mapa abarca tus procesos, tus sistemas, tu personal, y se detiene en la puerta. El resultado es un documento riguroso por dentro que quizá describe apenas el quince por ciento de tu exposición real.
Mapear una sola vez. Un mapa de riesgos elaborado en marzo que nunca se vuelve a abrir es una fotografía. El mundo que describe ya cambió. Esta situación es más peligrosa que no tener mapa, porque ahora tienes una impresión documentada de que existe un control que no está funcionando.
Confundir la probabilidad con la capacidad de detección. “Nunca hemos visto que esto ocurra” suele confundirse con “esto es poco probable”. A veces significa “si ocurriera, no lo veríamos”. Ambas situaciones producen la misma evidencia y exigen respuestas opuestas.
Mapear entidades en lugar de relaciones. Mapeaste tu empresa del portafolio. No mapeaste su banco, su plataforma de intercambio ni su principal cliente, y cualquiera de ellos puede meter a esa empresa en un problema de cumplimiento que no provocó.
Dejar que cada quien evalúe su propia área. Las personas califican sus propios ámbitos como de bajo riesgo. No es tanto deshonestidad como cercanía, y la solución es que alguien ajeno al área asigne la puntuación o, al menos, la cuestione.
Dejar que el mapa se convierta en un documento en vez de una herramienta. Si el mapa no determina qué se monitorea, qué se escala y a qué se asigna presupuesto, no está funcionando como mapa. Es un entregable elaborado para beneficio de alguien más.
El mapeo de riesgos cambia según el tipo de organización
La forma del mapa varía enormemente según el sector, por eso las plantillas genéricas decepcionan a casi todos los que descargan una.
Una empresa manufacturera o una corporación tradicional tiene riesgos mayormente internos. Cadena de suministro, planta, personal, datos. Elementos que posee y dirige. Los marcos estándar se diseñaron para esto y funcionan.
Una empresa de SaaS también se enfoca principalmente hacia dentro, con el riesgo concentrado en el manejo de datos y los controles de seguridad. SOC 2, ISO 27001, GDPR. Por eso existe la categoría de automatización del cumplimiento en seguridad y por eso creció tan rápido.
Una fintech se divide entre ambos frentes. Hacia dentro, por sus propios controles; hacia fuera, por sus clientes, a quienes debe verificar durante el onboarding y monitorear después. Dos programas distintos, que con frecuencia lleva la misma persona sobrecargada de trabajo.
Una institución regulada tiene importantes obligaciones internas y requisitos formales de supervisión de terceros, por lo que suele terminar comprando una plataforma GRC y contratando a alguien para administrarla.
Un fondo de capital de riesgo o de capital privado tiene la distribución inversa. Once personas dentro, doscientos millones invertidos en treinta y ocho empresas que no controla. El riesgo interno es real, pero pequeño. Casi toda la exposición está en entidades ajenas a la firma, y ningún marco estándar describe esta situación.
Un fondo cripto es el caso más extremo de esta distribución y tiene dos frentes de exposición externa separados que no se superponen. El riesgo dentro de la cadena, que cubre el análisis de billeteras. Y el riesgo de entidades fuera de la cadena —fundadores, estructuras corporativas, suplantación de identidad—, que ese análisis no cubre. Los fondos que contrataron lo primero y suponen que ya cubrieron lo segundo cometen el error costoso más común de este mercado, y aquí hemos mapeado todo el panorama de categorías por si esa distinción no te resulta familiar.
Buenas prácticas, en su mayoría gratuitas
Cinco cosas. Tres no cuestan nada, y conviene decirlo desde el principio, porque la versión habitual de esta sección es un proveedor explicando que la solución es una orden de compra.
Primero, delimita el perímetro real. Enumera todas las entidades cuyas fallas se conviertan en un problema que debas resolver. Empresas del portafolio, sus contrapartes clave, tu administrador, tu custodio, tus proveedores externos. Es gratis y toma una tarde.
Expresa el tiempo hasta la detección con una cifra, no con una palabra. No basta con decir “continuo”. Hace falta una cifra. Si la respuesta honesta es trimestral, has aceptado un peor escenario de unos noventa días entre la aparición pública de una señal y el momento en que alguien de tu empresa la ve. Eso podría ser perfectamente aceptable. Debe ser una decisión que hayas tomado, no una deficiencia que heredaste, y debe constar en tu política de gestión de riesgos, no en la cabeza de alguien.
Asigna una persona responsable a cada riesgo antes de necesitarla. Un riesgo sin un nombre asignado no recibe respuesta, y esta es, por mucho, la razón más común por la que las alertas se quedan sin atender. No es un problema de herramientas y ningún software lo resolverá por ti. Aquí encontrarás más sobre la asignación de alertas.
Automatiza la vigilancia. No automatices las decisiones. Una máquina puede leer diez mil artículos durante la noche en seis idiomas y destacar los cuatro relacionados con las entidades que te importan. Ningún equipo humano hace eso. Lo que una máquina no puede hacer es decidir qué harás después. Cualquier sistema que te entregue una conclusión en lugar de una señal respaldada por una fuente es una responsabilidad adicional, porque ahora tienes un documento que parece autorizado ligado a una decisión que no puedes auditar. Exige el enlace a la fuente primaria. Exígenselo también a Beady.
Después, pon a prueba lo que hayas construido, lo que me lleva al último punto.
La auditoría de una hora
Puedes saber en qué situación estás esta misma tarde.
Elige tres empresas del portafolio al azar. No las problemáticas. Al azar, de preferencia incluyendo una que no te preocupe en absoluto.
Para cada una, responde cuatro preguntas. ¿Han cambiado los consejeros desde que cerramos la operación? ¿Ha cambiado la jurisdicción o la estructura corporativa? ¿Quiénes son ahora sus principales contrapartes y alguna de ellas ya lo era al cierre? ¿Alguien está suplantando su identidad en redes sociales en este momento?
Mide cuánto tardas. Después multiplica ese tiempo por el número de empresas del portafolio.
Si el resultado supera el tiempo del que realmente dispones, no tienes un proceso de monitoreo. Tienes una intención. Hay una diferencia importante entre ambos, y suele hacerse evidente en el peor momento posible.
Una cosa más. Si no puedes responder esas cuatro preguntas para una sola empresa sin enviarle un correo al fundador, ese es el hallazgo. No necesitas repetirlo con las otras treinta y siete.
Preguntas frecuentes
Vale la pena resolverlos, y también son la mitad fácil. Los riesgos que realmente cuestan dinero están fuera de la organización, como los cambios en los antecedentes de un fundador, la inclusión de una contraparte en una lista de sanciones o el cambio discreto del domicilio jurídico de una empresa, y la mayoría de las firmas no tiene ningún mecanismo que los vigile.
Un mapa de controles internos probablemente pueda mantenerse vigente un año. Un mapa que abarca treinta y ocho empresas del portafolio no puede, porque esas empresas cambian de consejeros, jurisdicciones y contrapartes según sus propios tiempos, no los tuyos. Revisa la parte interna cada seis meses. Revisa la mitad externa de forma continua, o admite que en realidad no la estás revisando.
Conclusión
Los riesgos dentro de tu organización se pueden encontrar. Es tedioso, pero se pueden encontrar, y este artículo te ha indicado, a grandes rasgos, dónde buscar. Asígnales responsables y fechas, y la mayoría dejará de ser un riesgo.
Los que están fuera de tu organización no se encontrarán buscando con más empeño, porque nadie los está buscando. Eso no es una falla de disciplina, y el esfuerzo no cerrará esa brecha.
Esa brecha es la razón de ser de Beady AI. Monitoreo continuo de las entidades a las que estás expuesto —empresas del portafolio, fundadores, contrapartes— en listas de sanciones, medios adversos, registros mercantiles y casos de suplantación de identidad en redes sociales, con cada señal vinculada a su fuente original. Agenda una sesión y la aplicaremos a tus inversiones reales, en lugar de usar un conjunto de datos de demostración. La mayoría de los fondos encuentra algo en la primera revisión, lo cual puede tranquilizarte o no, según tu temperamento.
