Dos personas te dicen que están evaluando software de cumplimiento.
La primera se refiere a una herramienta que recopilará capturas de pantalla de su configuración en la nube para que un auditor pueda aprobar un reporte SOC 2. La segunda se refiere a un sistema que le dirá si la empresa a la que transfirió ocho millones de dólares la primavera pasada cambió discretamente su domicilio a las Islas Vírgenes Británicas e incorporó a un consejero del que nadie en el fondo ha oído hablar.
La misma expresión. Ninguna coincidencia funcional. Ninguna de las dos personas usa el término de forma incorrecta, lo que deja bastante mal parado al término.
Vemos repetirse los mismos tres errores. Algunas firmas compran plataformas GRC y descubren, a los cuatro meses, que adquirieron un archivero muy caro sin nada dentro. Otras compran verificación de identidad y descubren que el producto, por su propio diseño, deja de servir el segundo día de la relación. Y los fondos de cripto compran análisis on-chain, suponen que el riesgo de las entidades ya está cubierto y se equivocan de una manera que solo se vuelve evidente después.
Los tres errores los cometen personas cuidadosas e inteligentes. Ese es precisamente el punto. Aquí son los nombres de las categorías los que inducen a error, no los compradores.
Por eso, esto es un mapa. Explica qué es realmente el software de cumplimiento, cómo se diferencia de un sistema de gestión de cumplimiento, las seis categorías de productos que comparten esa etiqueta, qué hace bien cada una, dónde termina su alcance y cómo determinar cuál necesitas. Incluye las partes del mapa que no ocupamos y una junto a la que estamos y con la que nos confunden casi cada semana.
Qué es realmente el software de cumplimiento
Si dejamos de lado la publicidad, el software de cumplimiento hace una de dos cosas. Te ayuda a demostrar que cumples un conjunto de obligaciones o te ayuda a ver riesgos que, de otro modo, pasarías por alto.
Suenan parecidas. No lo son, y la diferencia determina casi todo sobre lo que debes comprar.
Demostrar el cumplimiento de obligaciones es un problema de documentación. Necesitas evidencia, controles, políticas, un rastro de auditoría y algo que satisfaga al supervisor o auditor que llegue con una lista de verificación. El resultado es un registro defendible.
Detectar riesgos es un problema de inteligencia. Necesitas datos externos a tu organización, una forma de distinguir lo importante de lo irrelevante y un camino que lleve de una señal a una decisión. El resultado es una advertencia que llega a tiempo para actuar.
Muchos productos afirman hacer ambas cosas. Muy pocos lo hacen, y los que más lo proclaman suelen ser sólidos en la primera y débiles en la segunda, porque la documentación es un problema de ingeniería que se puede resolver y la inteligencia es un problema de datos que nunca termina del todo.
Gestión de cumplimiento frente a un sistema de gestión de cumplimiento
Se usan como si fueran lo mismo y no deberían.
La gestión de cumplimiento es la disciplina. Es el trabajo: entender qué reglas te aplican, convertirlas en políticas que las personas puedan seguir, capacitar al personal, comprobar si las políticas realmente se cumplen y corregir las cosas cuando no es así. Existe tengas o no software. Muchas organizaciones la llevan mal con herramientas caras y unas cuantas la llevan bien con una hoja de cálculo y una persona diligente.
Un sistema de gestión de cumplimiento, o CMS, es la estructura que mantiene unida esa disciplina para que resista la rotación de personal, el crecimiento y el escrutinio. Es el marco, no la aplicación.
En el sector financiero regulado, el término tiene un significado bastante preciso. Los procedimientos de revisión de la gestión de cumplimiento de CFPB organizan un CMS alrededor de unos cuantos componentes: supervisión del consejo y la alta dirección, un programa formal de cumplimiento que abarque políticas, capacitación, monitoreo y medidas correctivas, supervisión de proveedores de servicios y terceros, atención de quejas de consumidores y auditoría independiente de cumplimiento. Los supervisores evalúan cada componente por separado. Unas políticas sólidas con un consejo desentendido siguen dando lugar a una observación.
Aquí es donde el lenguaje se confunde, y sí importa. La mayoría de quienes dicen “estamos comprando un sistema de gestión de cumplimiento” están comprando software. Pero, en el sentido regulatorio, el software no es el sistema. Es un componente del sistema y, por lo general, uno bastante pequeño.
Si inviertes esos conceptos, llegas al error más común de este mercado: una plataforma perfectamente implementada dentro de una organización sin una disciplina de cumplimiento que funcione, produciendo reportes impecables que describen un programa que nadie está ejecutando.
Por qué importa un sistema de gestión de cumplimiento y la parte que todos omiten
Primero, las respuestas obvias, porque son ciertas.
Un CMS permite que el cumplimiento perdure. Significa que el conocimiento no vive en la cabeza de una sola persona, de modo que, si se va al noveno mes, el programa no se va con ella. Te da una posición defendible cuando un regulador, un auditor, un LP o un cliente empresarial pregunta cómo gestionas el riesgo. Y crea el ciclo de retroalimentación entre lo que dijiste que harías y lo que realmente hiciste, que es el único mecanismo por el que los programas de cumplimiento mejoran en lugar de perder el rumbo.
Ahora viene la parte que se omite y que es la razón de ser de este artículo.
Vuelve a mirar los componentes de un CMS desde la perspectiva regulatoria. Supervisión del consejo. Programa de cumplimiento. Atención de quejas. Auditoría. Y debida diligencia y supervisión continuas de terceros y proveedores de servicios.
Ese último componente tiene un peso enorme y casi nadie lo nota.
Mira hacia afuera. Se refiere a entidades distintas de tu organización. Y, fundamentalmente, es continuo: no es una verificación que haces una sola vez al firmar el contrato. El regulador es explícito: subcontratar una operación no transfiere la responsabilidad por ella.
Así que la obligación de monitorear continuamente a las entidades externas ya forma parte de la definición de un sistema de gestión de cumplimiento. Desde hace años. Lo que falta no es la obligación. Lo que falta es software que la atienda, un vacío extraño en un mercado tan saturado, y el resto de este artículo trata en gran medida de por qué existe ese vacío.
Dos ejes en los que cabe todo
Todos los productos de este mercado responden dos preguntas, aunque su página de inicio no las plantee así.
Primera: ¿hacia dónde mira?
Algunas herramientas miran hacia adentro. Tus propios controles, tus políticas, tu evidencia, tu configuración. El objeto del análisis eres tú.
Otras miran hacia afuera. Las entidades a las que estás expuesto. Contrapartes. Empresas del portafolio. Clientes. Proveedores. Fundadores que ya respaldaste y a los que no puedes retirar ese respaldo. El objeto del análisis es alguien más.
Segunda: ¿cuándo mira?
Algunas verifican en un único momento. Onboarding, auditoría, cierre. Un filtro que cruzas y dejas atrás.
Otras siguen observando indefinidamente y te avisan cuando algo cambia.
Cuatro cuadrantes. Cada proveedor de tu lista de finalistas se ubica en uno de ellos, y quienes afirman ocupar los cuatro suelen ser sólidos en exactamente uno y débiles en los demás.
| Hacia adentro (tus propios controles) | Hacia afuera (otras entidades) | |
| Puntual | Preparación manual de auditorías. Pruebas de controles con hojas de cálculo. Las prisas de cada año. | Verificación de identidad en el onboarding. Reportes de debida diligencia al cierre. Verificaciones al firmar. |
| Continuo | Monitoreo continuo de controles: Vanta, Drata, Sprinto, Scrut. | Análisis on-chain (billeteras, transacciones). Inteligencia de riesgos de entidades (personas, empresas). El cuadrante menos poblado del mapa. |
Ten presente ese cuadrante inferior derecho. Es el interesante, está más poblado de lo que parece a primera vista y casi todo lo confuso de este mercado sucede dentro de él.
Las seis categorías de software de cumplimiento
Seis tipos de productos comparten esa etiqueta. No se sustituyen entre sí, y los compradores suelen adquirir uno esperando las capacidades de otro.
1. Verificación de identidad (KYC y KYB)
Verificación de documentos, comprobaciones biométricas, pruebas de vida, confirmación de entidades jurídicas y verificación en listas de sanciones y de PEP al registrarse. Sumsub es el nombre que conoce la mayoría. Persona y Onfido aparecen en casi todas las evaluaciones.
Conviene distinguir las siglas, porque los compradores las usan con poca precisión y los productos son distintos. KYC verifica a una persona. KYB verifica a una empresa, un problema considerablemente más difícil, porque una empresa tiene una estructura de propiedad y esas estructuras a veces las diseñan personas que preferirían que nadie las entendiera.
En los mercados regulados, esta categoría es madura, rápida y, francamente, muy buena. Un flujo de KYB bien diseñado verifica una entidad jurídica en menos de un minuto. Hace veinte años, eso requería un analista de cumplimiento, una semana y tres llamadas a una oficina de registro en un huso horario en el que nadie contestaba.
El alcance es el que es y los proveedores lo reconocen con honestidad. Esto es un filtro de entrada. Se ejecuta la verificación, se aprueba y empieza la relación. Lo que la entidad haga el día cuatrocientos nunca fue algo que el producto estuviera diseñado para ver. No es una crítica. Es un límite de diseño, e ignorarlo es la razón por la que los compradores terminan decepcionados con un software que hizo exactamente lo que prometió.
2. Automatización del cumplimiento de seguridad
SOC 2, ISO 27001, HIPAA, GDPR. Recopilación de evidencia, mapeo de controles, preparación para auditorías y el centro de confianza que enlazas desde tu página de ventas a empresas para que el área de compras deje de enviarte correos.
Vanta y Drata construyeron esta categoría. Sprinto y Scrut han desarrollado negocios sólidos dentro de ella, y ahora es lo bastante competitiva como para que los precios hayan bajado de verdad, algo que no puede decirse de la mayoría de las herramientas de cumplimiento.
Esta categoría no se limitó a automatizar un proceso existente. Cambió el modelo de fondo. Antes de Vanta, las pruebas de controles eran algo que hacías con pánico tres semanas antes de una auditoría, con una unidad compartida llena de capturas de pantalla y un contratista que cobraba por hora. Después de Vanta, los controles se monitoreaban continuamente y la auditoría pasó de ser un evento a ser un resultado secundario.
Fue un verdadero cambio conceptual, no una funcionalidad. El mercado lo recompensó en consecuencia, y quienes lo construyeron acertaron en algo que los proveedores establecidos habían pasado por alto durante dos décadas. Recuerda esa idea, porque volveremos a ella.
El límite es simplemente que mira hacia adentro. Te dirá mucho sobre tu propia postura de seguridad y absolutamente nada sobre la empresa en la que invertiste, la plataforma de intercambio a través de la que liquida operaciones tu empresa del portafolio o la persona que apareció en tu tabla de capitalización en la última ronda.
3. Plataformas GRC
Registros de riesgos. Gestión de políticas. Bibliotecas de controles. Motores de flujos de trabajo. Reportes al consejo. Archer, LogicGate, OneTrust, Hyperproof, Onspring, StandardFusion.
A la escala de una gran empresa, son necesarias, y las buenas son piezas de ingeniería impresionantes. Si eres una institución regulada con cuatrocientos controles, once marcos y un comité de riesgos del consejo que se reúne cada trimestre, necesitas un sistema central de registro. Las hojas de cálculo dejaron de ser viables a esa escala hace mucho.
Pero entra con las expectativas correctas. La implementación se mide en meses. Un costo de seis cifras es normal. Y necesitarás a alguien cuyo trabajo sea operar la plataforma, lo que convierte la decisión tanto en una cuestión de personal como de software.
Luego está lo que los compradores suelen descubrir hacia el cuarto mes.
Una plataforma GRC es un contenedor. Es excelente para organizar información de riesgos, canalizarla y producir algo que un consejo acepte sin discutir. Lo que no hace es salir al mundo a buscar esa información.
Todavía tienes que alimentarla. La plataforma es el estante, no los víveres. Las firmas que compran GRC esperando inteligencia externa han comprado una habitación vacía perfectamente organizada y después pasan buena parte de un año preguntándose por qué nunca aparece nada dentro. No es culpa del proveedor. Es una interpretación equivocada de la categoría, y sale cara.
4. Proveedores de datos de riesgos
Listas de sanciones. Bases de datos de PEP. Archivos de medios adversos que se remontan a décadas. Registros mercantiles y registros de beneficiarios controladores. LexisNexis Risk Solutions, Moody’s, Dow Jones, OpenCorporates.
Conviene precisar qué son, porque la palabra “software” introduce una confusión sutil. En su mayoría, son negocios de datos. Son insumos. Varios son insustituibles, y cualquier producto serio de riesgos en este mercado consume sus fuentes de datos de una forma u otra. El nuestro también, y sería absurdo fingir lo contrario.
La pregunta que te plantean es desarrollar o comprar. Si tienes ingenieros, un equipo de datos y una especificación clara, puedes contratar las fuentes de datos y construir tú mismo la capa de inteligencia. Algunas instituciones grandes hacen exactamente eso y, para unas cuantas, es la decisión correcta.
La mayoría de quienes lo intentan subestima la segunda mitad del problema. La cobertura es la parte fácil. La relevancia es la difícil.
Un torrente de menciones en medios adversos no es inteligencia de riesgos. Es un proyecto de investigación que alguien te entregó y que vuelve a llegar cada mañana. Alguien todavía tiene que decidir qué es señal, qué es ruido, qué es la noticia de ayer con un titular nuevo y qué necesita que una persona lo revise antes del viernes. Esa capa representa la mayor parte del trabajo, y es la que los proveedores de datos dejan deliberadamente en tus manos.
5. Análisis on-chain
Esta es la categoría que más se confunde con la nuestra, y en cripto el error sale caro.
Chainalysis, TRM Labs, Elliptic. Verificación de billeteras, rastreo de transacciones, puntuación de exposición y análisis del flujo de fondos. Si la dirección de tesorería de una empresa del portafolio recibió fondos a dos saltos de un mezclador sancionado, esta es la categoría que te lo dice, y te lo dice rápido.
Mira dónde se ubica en el mapa. Hacia afuera, porque examina la actividad de alguien más. Continua, porque observa la cadena en tiempo real. Eso la coloca de lleno en el cuadrante inferior derecho, y es precisamente por lo que dije que ese cuadrante está más poblado de lo que parece.
Son productos excelentes. En cripto son casi obligatorios, y un fondo que hoy opera sin verificación on-chain está tomando una decisión que me costaría defender ante un LP.
Pero aquí está la distinción importante.
El análisis on-chain observa billeteras y transacciones. Responde: ¿de dónde vino este dinero y adónde va?
La inteligencia de riesgos de entidades observa personas y empresas. Responde: ¿quiénes son estas personas, qué hacen fuera de la cadena y qué ha cambiado desde la última vez que las revisamos?
No son la misma pregunta y no se sustituyen entre sí.
Una plataforma on-chain no te dirá que el director de finanzas recién nombrado de una empresa del portafolio fue señalado en una demanda por fraude en Singapur hace seis semanas. No te dirá que la empresa cambió su domicilio a Emiratos Árabes Unidos en marzo y sustituyó a dos consejeros. No te dirá que en este momento hay once canales falsos de Telegram que suplantan al servicio de soporte del proyecto y sustraen discretamente fondos de usuarios que creen estar hablando con el equipo.
Nada de eso deja rastro en una blockchain. Nada de eso sucede en una blockchain.
Lo contrario también se cumple, y merece decirse con claridad en lugar de esconderlo. No rastreamos flujos de fondos. Si necesitas conocer la exposición de una billetera a una entidad sancionada, necesitas análisis on-chain y debes comprárselo a una de las tres empresas mencionadas arriba.
6. Inteligencia de riesgos continua de entidades
El rincón del mapa que ha permanecido menos poblado durante más tiempo.
La pregunta: ¿qué ha cambiado en las entidades a las que estamos expuestos desde la última vez que alguien realmente las revisó?
Mira hacia afuera, como los proveedores de verificación de identidad. Es continua, como Vanta. Consume las mismas fuentes que los proveedores de datos. Está junto al análisis on-chain, pero se enfoca en un objeto totalmente distinto. Y, por su estructura, no pertenece a ninguna de esas categorías.
La definen tres propiedades. Observa entidades externas en lugar de controles internos. Opera indefinidamente en lugar de activarse una sola vez en un filtro de entrada. Y se activa por eventos, lo que significa que muestra los cambios cuando ocurren en lugar de producir cada noventa días un reporte que describe un mundo que ya cambió.
Aquí se ubica Beady AI, y seré directo sobre nuestro evidente interés en que este cuadrante te resulte interesante. Pero el cuadrante existe aunque nunca nos compres nada. Y la razón por la que permaneció vacío tanto tiempo es más interesante que cualquier discurso comercial.
El paralelismo que nadie ha planteado en voz alta
Volvamos a lo que realmente argumentaron los proveedores de cumplimiento de seguridad, porque es lo más útil que alguien en este mercado ha dicho en quince años.
Su argumento era que las pruebas puntuales de controles tienen una falla estructural. Una auditoría anual te dice que tus controles funcionaron un martes de octubre. No dice nada de los otros trescientos sesenta y cuatro días. Los controles necesitan monitoreo continuo, porque sus fallas no consultan el calendario de auditorías antes de ocurrir.
Ese argumento era correcto. Dio origen a varias empresas grandes. Ya nadie en seguridad defiende seriamente el modelo de auditoría anual, y quienes antes lo hacían han dejado discretamente de decirlo en voz alta.
Ahora di exactamente la misma frase en el otro eje.
La verificación puntual de entidades tiene una falla estructural. La debida diligencia del onboarding te dice que una entidad estaba libre de problemas el día que la revisaste. No dice nada del mes catorce. El riesgo externo necesita monitoreo continuo, porque las inclusiones en listas de sanciones, las reestructuraciones corporativas, los litigios y las campañas de suplantación de identidad no consultan tu revisión trimestral del portafolio antes de ocurrir.
El mismo argumento. Otro eje. Todavía casi nadie lo plantea.
Y aquí está lo que debería incomodar: como vimos antes, la definición regulatoria de un CMS ya exige supervisión continua de terceros. La obligación ha estado ahí todo este tiempo. Desarrollamos este argumento con detalle en Más allá del onboarding, la versión extensa de lo que esta sección condensa.
No es una observación sutil, y todavía me sorprende un poco que el mercado no se haya puesto al día. Pero las categorías tardan en volverse comprensibles y, hasta que alguien le pone nombre a algo, nadie le asigna una partida presupuestaria.
Qué significa realmente el software de cumplimiento para tu empresa
Detrás de la pregunta sobre la categoría hay otra más directa. ¿Qué cambia en el día a día si compras esto?
Tres cosas, y conviene hablar de ellas con honestidad porque los proveedores suelen prometer una cuarta que no se materializa.
Cambia quién hace el trabajo. El software absorbe tareas de cumplimiento que consumían horas de los analistas, y estos pasan de recopilar información a tomar decisiones. Esto es real y es la razón principal por la que existe la categoría.
Cambia la rapidez con la que te enteras. El tiempo entre que algo sale mal y alguien lo nota se reduce, a veces de meses a horas. En la práctica, ahí está la mayor parte del valor, y también es lo más difícil de mostrar en una página de precios.
Cambia lo que puedes demostrar. Cuando un LP, un auditor o un comprador empresarial pregunta cómo gestionas el riesgo, tienes una respuesta con fecha en lugar de un relato.
Lo que no cambia, y esta es la cuarta cosa que los proveedores insinúan: no te proporciona una función de cumplimiento. El software no puede decidir tu apetito de riesgo, hacerse cargo de una decisión ni asumir la responsabilidad por ella. Si nadie en la organización se hace responsable de los resultados, el software está produciendo un registro con un formato impecable de cómo no sucede nada.
Los retos que nadie pone en la página de precios
Son cinco. No todos tienen la misma dificultad y no voy a fingir lo contrario, así que les dedicaré espacios distintos.
Las obligaciones solo aumentan. Nuevos marcos, nuevas jurisdicciones, nuevas interpretaciones de reglas antiguas. Nada se retira. Tu plantilla nunca crecerá al ritmo de tus obligaciones, y no va a empezar a hacerlo.
La evidencia vive en cuatro sistemas y una bandeja de entrada. Es tedioso reunirla a mano. También es un problema que ya está resuelto. Los proveedores de cumplimiento de seguridad construyeron su categoría sobre esto.
Fatiga de alertas. Esta es la que acaba con los programas.
Así sucede en la práctica. Se instala la plataforma. Empiezan a llegar alertas. Durante las primeras dos semanas todos las leen, porque todavía hay cierto entusiasmo por la novedad. Para la sexta semana, la proporción de alertas útiles se ha estabilizado en un nivel bajo, ignorar una alerta todavía no le ha costado nada a nadie y el canal ha terminado en la misma categoría mental que los correos de mantenimiento del edificio.
Nadie lo decide. Simplemente sucede.
Y aquí está el punto que discutiría si un cliente me dijera que lo resolvió hablando con el equipo: no es un problema de disciplina. No puedes solucionarlo dando instrucciones. El comportamiento es una respuesta totalmente racional a un flujo con pocas señales útiles, y la única solución real es cambiar lo que les llega, con niveles de gravedad, responsables identificados y muchos menos asuntos que ameriten una interrupción.
Los terceros son el punto ciego de todos. Puedes subcontratar una operación. No puedes transferir la responsabilidad por ella. Los reguladores son explícitos al respecto y, aun así, la mayoría de las firmas supervisa a terceros con una hoja de cálculo cuya última actualización fue cuando se firmó el contrato.
Nadie puede demostrar que algo no ocurrió. Desde afuera, un año sin incidentes se ve igual si tu programa es excelente o si tuviste suerte. El director de finanzas no puede distinguirlo. Y, siendo honestos, tú tampoco.
Por eso nos tomamos la molestia de construir un modelo de ROI en lugar de otra página de estadísticas alarmantes. Si vas a presentar una cifra ante los socios, tiene que resistir que la examinen a fondo.
Qué obtienes realmente con un buen software de cumplimiento
Sin las exageraciones habituales.
- Tiempo recuperado. La recopilación de evidencia, las verificaciones y la elaboración de reportes dejan de consumir semanas de los analistas. Es el beneficio más fácil de medir y el que más suele exagerarse.
- Rapidez para enterarte. Se reduce drásticamente el lapso entre que ocurre un evento y alguien en tu organización se entera. La demora de detección es la métrica que realmente predice los resultados, y casi nadie la mide.
- Consistencia. Las mismas verificaciones se ejecutan de la misma manera cada vez, algo fundamental cuando la persona que solía hacerlas manualmente ya se fue.
- Capacidad de defender tus decisiones. Un registro con fechas y fuentes de lo que sabías y cuándo lo sabías. En una disputa, vale más que todo lo demás junto.
- Menos sorpresas y menos costosas. Los problemas detectados a tiempo son más pequeños. Es una obviedad y también es todo el argumento económico.
- Preparación para contrapartes institucionales. Los LP, los compradores empresariales y los socios bancarios preguntan cada vez más cómo gestionas esto. Tener una respuesta acorta los ciclos de venta y las captaciones de capital: un beneficio comercial presentado como uno de cumplimiento.
Observa lo que no está en esa lista. El software de cumplimiento no hace que cumplas. Hace que un programa de cumplimiento que funciona sea más barato, más rápido y más consistente. Si no hay un programa detrás, has automatizado un vacío.
Cómo se ve en la práctica comprar en el cuadrante equivocado
Las abstracciones pasan de largo. Estos son los cuatro patrones de falla que más vemos: todos tienen solución, todos se pueden evitar y ninguno sale barato.
El contenedor vacío. Una firma compra GRC esperando que revele riesgos externos. Nueve meses y una implementación considerable después, el registro de riesgos contiene exactamente lo que alguien escribió en él. La plataforma funciona perfectamente. Simplemente nunca fue una fuente de inteligencia.
El fondo que solo revisa en el onboarding. Excelente debida diligencia al cierre, nada después. El fondo está protegido frente a los riesgos que existían el día que transfirió el dinero y a ciegas frente a todos los que surgieron desde entonces. Dado que los periodos de tenencia duran siete u ocho años, estos últimos son la mayoría.
El fondo de cripto que solo usa análisis on-chain. Exposición de billeteras perfectamente monitoreada. Antecedentes de los fundadores, estructura corporativa y actividad de suplantación de identidad sin ningún monitoreo. Observa con atención una superficie mientras otra cambia detrás.
El torrente de datos. La firma contrató directamente fuentes de datos, construyó una capa de verificación y ahora recibe cuatrocientas alertas por semana que nadie lee. Técnicamente, esto es cobertura. En la práctica, no se distingue de no tener nada, y costó más.
Cómo establecer un sistema de gestión de cumplimiento y las cuatro formas en que falla
La mayoría de las guías sobre esto describe un proceso lineal y ordenado que nadie ha seguido realmente. Es más útil saber dónde falla, porque las fallas son previsibles y hay unas cuatro.
Primer punto de falla: compraste el software primero.
El más común, por mucho. Alguien ve una demo, la demo es realmente impresionante, interviene el área de compras y, seis semanas después, hay una plataforma y ningún programa.
La solución no tiene nada de glamuroso. Antes de evaluar a un solo proveedor, anota todas las reglas, los marcos y los compromisos contractuales que realmente te obligan. No los que suenan impresionantes. La lista suele ser más corta de lo que la gente espera y también más extraña. Cuando hicimos la nuestra, incluía dos obligaciones en las que nadie de la empresa había pensado durante más de un año. Además, reducirá aproximadamente a la mitad tu lista de proveedores antes de que tengas una llamada, un rendimiento bastante bueno por una tarde de trabajo.
Segundo punto de falla: nadie de la alta dirección se hace cargo realmente.
Conviene saberlo si no vienes de un entorno regulado: cuando los supervisores evalúan un sistema de gestión de cumplimiento, califican la supervisión del consejo y la dirección como un componente propio, independientemente de tus políticas y herramientas. Puedes tener documentación impecable, una plataforma bien configurada, personal capacitado y aun así reprobar, porque la persona nominalmente a cargo no ha revisado nada desde la llamada de implementación.
Alguien de la alta dirección necesita autoridad, presupuesto y acceso a quienes gobiernan la organización. No basta con nombrar a un voluntario.
Tercer punto de falla: automatizar decisiones que no has tomado.
El software codifica lo que ya decidiste. Si las políticas no existen, lo que automatizas es tu propia incertidumbre, y lo haces a escala.
Escribe las políticas primero. Procedimientos, responsables y una declaración explícita de lo que sucede cuando algo sale mal. Este es el párrafo menos interesante del artículo y yo también me lo saltaría, que es precisamente la razón por la que tantos programas tienen un centro vacío.
Cuarto punto de falla, y este es el caro: los terceros.
Identifica a todos aquellos cuyas fallas se convierten en tu problema. Proveedores, prestadores de servicios, empresas del portafolio, contrapartes.
La mayoría de las firmas lo hace una vez, al firmar el contrato o durante la debida diligencia, y luego nunca más. El marco regulatorio deja bastante claro que eso no basta: se espera supervisión continua de terceros, y subcontratar una operación no transfiere tu responsabilidad por ella. Un mapa que elaboraste al firmar y nunca actualizaste no es supervisión. Es un archivo.
Así que decide conscientemente. ¿Periódico o continuo? Y si es periódico, sé preciso contigo mismo sobre el costo, porque una verificación trimestral significa que una inclusión en una lista de sanciones en la tercera semana pasa inadvertida durante once semanas.
Entonces, y solo entonces, viene la compra.
Con las obligaciones identificadas y los terceros listados, la selección de herramientas es casi mecánica. Sabrás si necesitas automatización de evidencia, un sistema central de registro, verificación de entrada, monitoreo continuo o dos de los anteriores.
Envía los resultados a personas identificadas, con niveles de gravedad y plazos de respuesta, en las herramientas que el equipo ya tiene abiertas. Y agenda ahora la revisión para dentro de seis meses, mientras todavía te importa lo suficiente como para cumplirla, porque un programa que nadie pone a prueba pierde el rumbo en silencio y no te avisará que lo está haciendo.
Entonces, ¿cuál necesitas realmente?
Responde con honestidad, porque comprar en el cuadrante equivocado sale caro y toma tiempo descubrirlo.
Vendes a grandes empresas y necesitas SOC 2 o ISO 27001. Acude a Vanta, Drata o Sprinto. En serio, hazlo. Este artículo no es para ti, y nuestra solución tampoco.
Eres una organización grande que necesita un sistema central de registro de riesgos, gestión de políticas y reportes al consejo. Eso es GRC. LogicGate, Archer, OneTrust. Presupuesta en consecuencia, porque no es barato y la implementación no es rápida.
Verificas usuarios o empresas al registrarse dentro de un flujo regulado. Eso es verificación de identidad. Sumsub y sus pares te pondrán en operación antes de lo que esperas.
Necesitas saber de dónde vinieron los fondos en cripto y adónde fueron. Análisis on-chain. Chainalysis, TRM, Elliptic. No hay sustituto y no deberías buscarlo.
Estás construyendo tu propia capa de verificación y quieres las fuentes de datos subyacentes. Acude directamente a los proveedores de datos, evita intermediarios y presupuesta con honestidad la capa de relevancia que tendrás que construir tú mismo.
Estás expuesto a entidades externas cuyo riesgo surge después de que empieza la relación. Empresas del portafolio. Contrapartes. Fundadores que ya respaldaste. Esa es la sexta categoría, la que nadie te vendió porque, hasta hace relativamente poco, nadie la vendía.
La mayoría de las firmas necesita dos o tres de estas categorías
Esta es la parte que los proveedores se resisten a decir, así que digámosla.
Estas categorías son complementarias, no sustitutas, y una gestión seria del riesgo suele utilizar más de una a la vez.
En la práctica, un fondo de cripto de cualquier tamaño necesita análisis on-chain e inteligencia de riesgos de entidades, porque ambos observan superficies distintas y ninguno ve la del otro. Una fintech necesita verificación de identidad en la entrada y monitoreo continuo después, porque verificar a un cliente una vez no te dice nada sobre en quién se convirtió. Una institución regulada necesita un sistema central de registro GRC y algo que realmente lo alimente.
Quien te diga que un solo producto cubre todo el mapa o no lo entiende o espera que tú no lo entiendas.
El futuro del software de cumplimiento: IA, predicción y el problema de la trazabilidad
Todos los proveedores de este mercado ya incluyen IA en su página de inicio, nosotros también, así que conviene separar lo real de lo decorativo.
Lo real: la capa de relevancia. El verdadero cuello de botella del cumplimiento nunca ha sido obtener datos, sino decidir cuáles importan. Los modelos de lenguaje son extremadamente buenos para leer diez mil artículos periodísticos e identificar los cuatro que se refieren a la entidad que realmente te interesa, en un idioma que tu equipo no lee, de un medio regional del que nadie ha oído hablar. Esa capacidad no existía hace cinco años y cambia por completo la economía del monitoreo.
Lo real pero exagerado: el análisis predictivo. La promesa es que la IA te dirá qué contraparte se convertirá en un problema antes de que suceda. Parte de esto funciona, en especial la detección de patrones entre entidades. Buena parte es un motor de correlaciones con una voz segura, y esa voz segura es la parte peligrosa.
Esto me lleva a algo que creo que el sector tendrá que afrontar, y pronto.
Un reporte de riesgos generado por IA que no puede mostrarte sus fuentes es un pasivo, no un activo. Si un modelo resume una coincidencia en medios adversos y el resumen contiene un error sutil, acabas de tomar una decisión basada en una alucinación y no tienes forma de descubrirlo. Peor aún, tienes en tu expediente un documento que parece autorizado.
El único modelo defendible es aquel en el que cada señal se puede rastrear hasta una fuente primaria que una persona pueda abrir, leer y verificar. El trabajo del modelo es filtrar y priorizar, no que le creas. Esa distinción suena pedante hasta que un supervisor pregunta de dónde salió una conclusión y la respuesta honesta es que lo dijo la IA.
Desarrollamos nuestra plataforma con ese modelo trazable, una postura tanto comercial como ética. Pero deberías exigirlo a todos los proveedores de este mercado, incluidos nosotros, y la respuesta debería ser un enlace en lugar de un párrafo.
Preguntas frecuentes
Un sistema de gestión de cumplimiento es lo que mantiene ese trabajo en marcha después de que renuncia quien lo construyó. Es la estructura, no el esfuerzo.
El software forma parte del sistema. No es el sistema. Las firmas que lo compran como si lo fuera suelen descubrirlo a los seis meses, por lo general durante una auditoría.
Conclusión
“Software de cumplimiento” sobrevive como expresión porque es conveniente, no porque sea precisa. Probablemente sobreviva otra década por exactamente la misma razón, y los analistas seguirán dibujando cuadrantes que ponen seis negocios sin relación en una sola gráfica.
Pero nunca fue la pregunta útil. La pregunta útil, la que realmente determina qué debes comprar, es más concreta y bastante más incómoda.
¿Qué intentamos ver y con qué frecuencia necesitamos verlo?
Responde eso con honestidad y la compra se vuelve considerablemente más fácil. Respóndelo mal y gastarás seis cifras para descubrir en qué cuadrante estabas desde el principio.
Si tu respuesta quedó en el cuadrante inferior derecho, ese es el rincón que cubrimos: monitoreo continuo de empresas del portafolio, fundadores y contrapartes en listas de sanciones, medios adversos, registros mercantiles y suplantación de identidad en redes sociales, con cada señal rastreable hasta su fuente original. Agenda una sesión y lo aplicaremos a tus inversiones reales en lugar de a un conjunto de demostración.
