Compliance organizacional. Propuesta de una metodología sistémica; caso de aplicación al sector notarial del estado de Nayarit

Gloria Samantha Béjar Rivera

Universidad Autónoma de Sinaloa, México

gloriabejar.fceam@uas.edu.mx

Nicolás Guadalupe Zúñiga Martínez

Universidad Autónoma de Sinaloa, México

nicozu1@uas.edu.mx

Francisco Javier Hernández Ayón

Universidad Autónoma Nayarit, México

fjhernan@uan.mx

Juan Bosco Gimeno

Universidad Internacional de la Rioja

j.bosco@worldcomplianceassociation.com

Resumen. El compliance organizacional tradicionalmente se enfoca en prevenir delitos internos y evitar sanciones por incumplimientos. Sin embargo, carece de una visión holística. Se ha desarrollado un método que analiza las obligaciones de cumplimiento considerando aspectos ambientales, económicos, sociales y culturales. Este enfoque se aplicó al sector notarial en Nayarit; y se demostró su aplicación sistémica. Se creó un método para identificar las obligaciones sistémicas a partir de los riesgos de compliance aplicable a diversas organizaciones. Al aplicarlo al sector notarial en Nayarit, se identificaron 155 obligaciones de cumplimiento, cabe destacar que el 47 % derivan de la relación económico-social y el 45 % de la relación social-cultural. No se encontraron obligaciones ambientales, lo que indica una oportunidad de mejora en este ámbito. Este método permite analizar los riesgos de compliance en cada proceso organizativo y ofrecer una perspectiva integral.

Palabras clave: Compliance; holístico; sector notarial; obligaciones de cumplimiento; sistémico.

ORGANIZATIONAL COMPLIANCE. PROPOSAL OF A SYSTEMIC METHODOLOGY; CASE OF APPLICATION TO THE NOTARIAL SECTOR IN THE STATE OF NAYARIT

Abstract. Traditionally, the aim of organizational compliance is to prevent internal crimes and avoid penalties for non-compliance. However, this approach lacks a holistic vision. A method is developed to analyze compliance obligations by considering environmental, economic, social and cultural aspects. This approach has been applied to the notary sector in Nayarit (Mexico), thereby demonstrating its systemic application. A method was created to identify systemic compliance obligations based on compliance risks and applicable to various organizations. When the method was applied to the notary sector in Nayarit, 155 compliance obligations were identified, 47% of which arose from the economic-social relationship and 45% from the social-cultural relationship. No environmental compliance obligations were found, which suggests an opportunity for improvement in this area. This method enables analysis of compliance risks in each organizational process while providing a comprehensive perspective.

Keywords: Compliance; holistic; notarial sector; compliance obligations; systemic.

1. Introducción

El término compliance se refiere a la capacidad de las empresas para cumplir con las leyes que regulan sus actividades, también se conoce como cumplimiento legal (Muñoz Cid, 2019). Se define como el conjunto de políticas y programas que permiten identificar y gestionar los riesgos de incumplimiento normativo y ético, así como implementar medidas preventivas (Mosquera Montero-Ríos, 2022).

La relación entre compliance, derecho y administración de empresas se manifiesta en la gestión de riesgos (Sanclemente Arciniegas, 2019). Esta colaboración busca proteger a la empresa de riesgos que pueden comprometer su integridad. Con el aumento de las obligaciones empresariales, las organizaciones han asumido mayores responsabilidades, lo que ha incrementado los riesgos de incumplimiento interno y, en consecuencia, a la adopción del compliance como herramienta esencial (Villa, 2018).

La gestión de riesgos de compliance busca evitar comportamientos que puedan resultar en responsabilidades penales, desarrollando programas específicos en el área laboral, fiscal y ambiental, por ejemplo. Sin embargo, a menudo se aborda desde una perspectiva limitada en lugar de integral (Foorthuis, 2012). La aplicación práctica se centra en mitigar riesgos asociados al incumplimiento de normativas externas, sin considerar otras regulaciones relevantes para la organización, como las económicas, sociales y ambientales. Por lo anterior, es pertinente preguntarse ¿cómo se puede desarrollar una metodología para identificar las obligaciones de cumplimiento sistémicas de las organizaciones, basada en la determinación de riesgos holísticos de compliance, que sirva como fundamento para el diseño de un sistema de gestión de compliance efectivo?

Ante esta necesidad, el objetivo principal de este trabajo es desarrollar una metodología para identificar las obligaciones de cumplimiento sistémicas de las organizaciones, basándose en la determinación de riesgos holísticos de compliance, que sirva como base para el diseño del sistema de gestión de compliance. La efectividad de esta metodología se demuestra con la identificación de las obligaciones de cumplimiento holísticas en el sector notarial del estado de Nayarit.

Para alcanzar el objetivo de este estudio y proporcionar a las organizaciones las herramientas necesarias para identificar sus obligaciones de cumplimiento, se estructuró la investigación de la siguiente manera: se presentan diferentes conceptos de compliance y se abordan diversas posturas teóricas y la importancia de la gestión de riesgos, con énfasis en la adecuada identificación de las obligaciones de cumplimiento de acuerdo con la ISO 37301. Seguidamente, se construye un marco teórico que analiza teorías holísticas y sistémicas, y determina la necesidad de incluir subsistemas ambientales, económicos, sociales y culturales como parte del compliance integral. A partir de este marco teórico, se identifican elementos del compliance integral a través de una revisión bibliográfica detallada. Como resultado, se desarrolla un modelo aplicable a las organizaciones que permite visualizar la integración de las obligaciones de cumplimiento de manera integral, con un enfoque holístico y sistémico, además de detallar los pasos para implementar la metodología creada. Para demostrar su aplicabilidad, se aplica en el sector notarial del estado de Nayarit, que está altamente regulado por normas federales, estatales y municipales. Las obligaciones de cumplimiento holísticas y sistémicas identificadas son aplicables a todas las organizaciones pertenecientes al sector notarial del estado de Nayarit, dado que todas están sujetas a las mismas normativas. Parte de la metodología desarrollada incluye un diagnóstico de la exposición al riesgo de compliance al que se enfrenta una organización y permite identificar dicho riesgo, el cual varía según el entorno interno (por esta razón, dicho diagnóstico se aplica de manera ilustrativa a una sola organización del sector analizado). Finalmente, se presentan las conclusiones obtenidas del desarrollo de la investigación y los hallazgos de la aplicación de la metodología en el sector notarial del estado de Nayarit, así como los resultados del nivel de exposición al riesgo de una organización del sector.

2. Compliance

El término compliance proviene del inglés y, cuando se traduce al español, se entiende como ‘cumplimiento normativo’. En el lenguaje empresarial, el compliance es la necesidad de las empresas de cumplir con las leyes que regulan su actividad, por lo que se denomina también como legal compliance (Muñoz Cid, 2019). En este sentido, una de las definiciones más apropiadas de compliance es “el conjunto de políticas o programas dentro de la empresa que permiten identificar y asesorar sobre los riesgos de un posible incumplimiento normativo o de los códigos éticos de la organización, para así implementar las medidas oportunas para prevenir estos incumplimientos” (Mosquera Montero-Ríos, 2022).

Existe una relación estrecha entre compliance desde el punto de vista del derecho y la administración de empresas en el aspecto de gestión de riesgos en las organizaciones (Sanclemente Arciniegas, 2019); el producto del trabajo conjunto de ambas ciencias busca proteger a la empresa de los riesgos que puedan debilitarla, ya que, a través de los conocimientos legales, se cubren aquellas regulaciones externas de la organización y, a través de la administración, se implementan aquellos mecanismos de control organizacional enfocados al cumplimiento de la normativa interna y externa.

Según Villa (2018), las empresas han adquirido mayores responsabilidades debido al aumento de las obligaciones empresariales. Estas obligaciones se han manifestado a través de normas y regulaciones que tienen como objetivo principal garantizar la seguridad de los diversos grupos de interés con los que la empresa interactúa. Al aumentar las responsabilidades, también aumentan los riesgos de incumplimiento interno. Para lograr la seguridad deseada, las empresas han recurrido al uso del compliance, que es una herramienta que cumple con los requisitos de cumplimiento actuales de las empresas. Compliance no se refiere únicamente a riesgos de cumplimiento normativo desde un punto de vista jurídico, sino también organizacional, ya que, aunque las consecuencias de incumplir leyes estén en el ámbito jurídico, el propio incumplimiento de obligaciones es consecuencia de un deficiente control organizacional (Villa, 2018).

La gestión de riesgos de compliance pretende evitar o mitigar todos aquellos comportamientos que puedan derivar en una responsabilidad penal para la empresa. Con la finalidad de gestionarlos de manera más práctica, se crearon programas de compliance por áreas de cumplimiento (laboral, fiscal, ambiental, energético, etc.) enfocados, primordialmente, en mitigar los riesgos que conllevan responsabilidad para la organización. En el trabajo de revisión sistemática y multidisciplinaria de la bibliografía de Foorthuis (2012), en el que se estudiaron más de ciento treinta textos sobre compliance escritos entre 2007 y 2011, se observó el motivo de que la gestión del compliance en las organizaciones se lleve a cabo desde una visión única de cumplimiento; la mayoría de las publicaciones por él revisadas hablan de un cumplimiento específico en un área de aplicación más que de un compliance integral de la organización.

Por otro lado, la aplicación práctica del compliance se enfoca en mitigar riesgos de cumplimiento que están relacionados con las obligaciones normativas externas jurídicas que regulan la actividad de la organización para, principalmente, evitar que se cometan delitos en su interior. Sin embargo, al enfocarse en evitar delitos internos a la organización, se deja de lado el cumplimiento de otro tipo de normativas que la regulan en su función de manera directa o indirecta, como las relacionadas con: los sistemas económicos, sociales, culturales y ambientales.

Por lo tanto, y de acuerdo con San Martín (2020), el diseño del sistema de gestión de compliance de cada organización debe tener un amplio espectro de cumplimiento que considere a todos los grupos de interés en este; si se añaden las normativas externas integrales, se logra el cumplimiento con las personas y con el medio ambiente, es decir, un programa de compliance holístico (Béjar-Rivera et al., 2021).

De acuerdo con la norma ISO 37301 (International Standard ISO 37301 Compliance Management Systems - Requirements with Guidance for Use, 2021) las organizaciones deben delimitar el alcance de su sistema de gestión de compliance, es decir, determinar los límites de sus obligaciones de cumplimiento de acuerdo con las necesidades y expectativas de las partes interesadas y acorde a aquellas derivadas de sus actividades, productos y servicios.

Gimeno (2021, p. 29) indica que «la organización tiene libertad y flexibilidad para establecer el alcance del sistema de gestión de compliance» y sugiere no excluir aquellas actividades que impliquen un alto riesgo de incumplimiento de acuerdo con las características de la organización.

Por lo tanto, la norma ISO 37301, así como las recomendaciones de Gimeno, enfatizan la importancia de que las organizaciones delimiten el alcance de su sistema de gestión de compliance. Esto conlleva establecer límites claros en cuanto a las obligaciones de cumplimiento, considerando las necesidades y expectativas de las partes interesadas, así como las derivadas de las actividades, productos y servicios de la organización.

La correcta identificación de los riesgos de cumplimiento normativo se logra al analizar tanto el contexto interno como externo, tal como lo establecen las normas ISO 31000 e ISO 37301 (International Standard ISO 37301 Compliance Management Systems - Requirements with Guidance for Use, 2021; Norma Internacional ISO 31000. Administración/Gestión de Riesgos - Lineamientos Guía, 2018). Estas normas internacionalmente reconocidas estandarizan los conceptos de gestión de riesgos y los sistemas de gestión de cumplimiento, respectivamente. Ambas resaltan, en su sección sobre el contexto, la importancia de analizarlo considerando los aspectos económicos, sociales y ambientales del entorno, para identificar, primeramente, las obligaciones de cumplimiento que tiene la organización, y, por ende, los riesgos de cumplimiento. Sin embargo, no proporcionan herramientas específicas para llevar a cabo dicho análisis.

Identificar las obligaciones de cumplimiento a los que se enfrenta una organización, tanto en su entorno interno como externo, e integrar estas obligaciones en los procesos organizacionales, gestionando en ellos el riesgo de cumplimiento, permite formalizar el compromiso de la organización con el sistema en el que opera. Dicho sistema se ve afectado por las acciones de la organización, al igual que la organización se ve afectada por el comportamiento de otros sistemas con los que interactúa. Las organizaciones son parte del llamado sistema empresa (López Felipe, 2013) y dependen de la interdependencia que estas tienen con su entorno. La autora menciona que los subsistemas técnico, económico y social marcan las relaciones de las organizaciones; por ello, deberían ser los que marcan el cumplimiento de estas relaciones. Además de lo anterior, y de acuerdo con Béjar-Rivera et al. (2021), se pueden añadir también los subsistemas cultural y ambiental para asegurar que la organización cumple con todos los elementos de su entorno, lo que puede considerarse un cumplimiento holístico y un análisis sistémico de los riegos de compliance de las organizaciones.

Sin embargo, es difícil para las organizaciones poder visualizar de manera integral tanto las obligaciones de cumplimiento derivadas del marco regulatorio al que se encuentran sujetas como aquellos compromisos que pueden adquirir de manera voluntaria, ya que se requiere de un análisis holístico de su contexto interno y externo, para lo cual se debe disponer de herramientas de análisis adecuadas (López Felipe, 2013).

Tal como lo mencionó Martínez (2021), «uno de los principales problemas que afectan o que afrontan las organizaciones a la hora de implementar esta norma (refiriéndose a la norma ISO 37301) es entender a qué monstros (sic) se enfrentan ¿a cumplimiento de qué? Es lo primero que se debe conocer para implementar esta norma y les está costando trabajo entender cuáles son». En función de lo anterior, es necesario desarrollar un instrumento que pueda ser aplicado a todo tipo de organizaciones, independientemente de su tamaño o sector, y que las ayude a identificar de manera holística (considerando el contexto interno y externo) todas aquellas obligaciones de cumplimiento jurídicas y compromisos voluntarios que deben —en el caso de las primeras— y pueden —en el caso de los segundos— adoptar, previo a la implementación del sistema de gestión de compliance. Lo anterior garantizaría que el diseño considerara los riesgos holísticos de cumplimiento.

El compliance busca gestionar los riegos de cumplimiento de las organizaciones que afecten las metas organizacionales, las cuales se derivan de la misión de cualquier organización, que son la fabricación de productos o el otorgamiento de servicios a la comunidad. Es conveniente, pues, que los riesgos de cumplimiento a los que se enfrenta la organización se analicen según la misión organizacional, es decir, teniendo siempre presente el producto o servicio que ofrecen. Cualquier componente externo o interno que afecte la continuidad del producto o servicio también afecta a las metas de la organización (Hernández-Ayón et al., 2016). Si, además, la identificación de riesgos se ejecuta durante cada uno de los procesos que sigue la organización para desarrollar sus actividades, el análisis será realmente holístico, ya que se cubrirán todos aquellos riesgos de cumplimiento que se generen en cualquier momento del desarrollo de las actividades organizacionales. Si la identificación de riesgos de compliance es holística durante la producción, el diseño del sistema de gestión de compliance de la organización es, ciertamente, sistémico (Béjar Rivera et al., 2021).

El objetivo principal del presente trabajo es desarrollar una metodología para la identificación de obligaciones de cumplimiento sistémicas de las organizaciones a partir de la determinación de riesgos holísticos de compliance como base para el diseño del sistema de gestión de compliance. Para demostrar la funcionalidad de la metodología, se identifican obligaciones de cumplimiento holísticas del sector notarial del estado de Nayarit.

3. Marco Teórico

Para la construcción del marco teórico, se revisaron dos teorías fundamentales. La primera es la teoría de sistemas en las organizaciones; la segunda, el método NOP (naturaleza-organización-producto).

Ambas se complementan para lograr el objetivo de la presente investigación, que es la construcción de un método holístico y sistémico para la identificación de obligaciones de cumplimiento de las organizaciones.

3.1. Teoría de sistemas en las organizaciones

Hay que entender que un sistema es un conjunto de partes y de objetos que tienen una relación y que forman un todo cuando interactúan entre sí, considerando las características de cada una de las partes (Valdés Hernández, 1999); esta relación garantiza que exista unidad entre ellas (Flórez & Thomas, 1993). Valdés Hernández (1999) cita a Churchman al dar a conocer las cinco características básicas de un sistema: 1) Objetivos del sistema total —metas o fines—; 2) entorno —todo lo que se encuentra fuera del sistema-organización y que determina el desempeño de este—; 3) recursos —medios del sistema para llevar a cabo las actividades enfocadas en logro de metas—; 4) componentes —trabajo o actividades—, y 5) administración —planeación y control—. La teoría de sistemas permite conceptualizar la sociedad como un sistema abstracto que se encuentra compuesto por diversos sistemas funcionales; y a través de este se puede analizar el contexto organizacional de cualquier sector (Preza- Lagunes et al., 2017).

La organización debe verse como un sistema en el que existe interrelación de objetos, eventos y atributos que hacen evidente la dependencia que los últimos tienen con su entorno; es decir, con la misión, las necesidades de socios de negocios o la estructura de la organización, entre otros (Valdés Hernández, 1999). De acuerdo con Estévez Torres (2019), el sistema de la organización se considera holístico, ya que no puede entenderse por completo sin el conocimiento específico de sus partes; por lo tanto, cuando las organizaciones enfrenten un problema, se debe tener un enfoque integral que abarque todo el sistema de la organización. En este sentido, Ávila-Gutiérrez et al. (2017), al referirse a la red holónica, consideran que los procesos de la organización forman un todo en el sistema de esta, porque todos están enfocados a un objetivo común.

El entorno puede afectar los objetivos de la organización, pero no puede producir las decisiones que se toman de manera interna para alcanzarlos; por lo tanto, una organización debe ser capaz de observar su entorno, analizarlo y detectar amenazas y oportunidades para sí (Machado & Gil, 2012). Cuando se trata del entorno de las organizaciones, este no puede observarse de manera aislada, sino que está compuesto por varios sistemas de diferentes tipos, por ejemplo, el sistema social (compuesto a su vez por el subsistema jurídico), el económico, el político, el religioso, el familiar, etc. Sucede lo mismo con el sistema ambiental y el sistema económico (Machado & Gil, 2012).

La búsqueda de soluciones a los diferentes problemas que enfrenta una organización depende de la práctica, experiencia y conocimientos para observar y analizar el entorno (Cevallos Ampuero, 2014); es decir, las decisiones tomadas por la organización dependerán de lo observado. Las organizaciones que no saben cómo observar su entorno, que no son capaces de analizarlo y de aprender de él debido a lo complejo que resulta o que no saben interpretar las señales observadas corren el riesgo de tomar las decisiones incorrectas, que pueden llevar al declive hasta llegar a desaparecer.

De acuerdo con lo expuesto anteriormente, para lograr entender las organizaciones, es fundamental verlas como un sistema, tanto por las organizaciones o personas que se encuentran en su entorno como por los diferentes subsistemas que la componen, ya que el enfoque sistémico de las organizaciones permite identificar de manera clara todas aquellas interrelaciones que se dan entre ellas. Asimismo, ayuda también a ordenar las diferentes relaciones que se generan en su entorno, lo que facilita su adecuado diagnóstico para el fin que se requiera.

3.2. Modelo NOP

El modelo NOP (naturaleza-organización-producto) permite llevar a cabo un diagnóstico holístico y sistémico de las organizaciones considerando cuatro esferas que constituyen la esencia del desarrollo sustentable: económica, cultural, social y ambiental (Hernández-Ayón et al., 2016).

Los autores lo consideran como punto de partida para la aplicación de su modelo al producto o servicio y el diagnóstico se realiza por medio de las interrelaciones que surgen de los cuatro subsistemas que lo componen. Esas interrelaciones condicionan el comportamiento del producto o servicio. Al igual que la naturaleza, una organización puede analizarse a partir de los aspectos ambientales (naturaleza), económicos (recursos o tecnósfera), sociales (factor humano o sociósfera) y culturales (ideología o noósfera), tal y como lo sugiere la teoría de sistemas, en la que se afirma que el todo no es la suma de sus partes, sino la interrelación de estas. Marteau y Perego (2018) afirman que la organización, al igual que cualquier organismo, se ve influenciada por todas las eventualidades externas que llegan a ella, y que estas deben considerarse como parte de ella. Un punto que hay que considerar es que el modelo NOP analiza a la organización durante todo el ciclo de vida de la producción del producto o del otorgamiento del servicio; de esta manera asegura una revisión holística y sistémica al incluir en el análisis todos los subsistemas, elementos e interrelaciones que componen a la organización durante todo su ciclo de vida (Hernández-Ayón et al., 2016).

El método se resume en tres pasos: 1) determinar el objetivo y alcance, es decir, identificar aquel aspecto de la organización que se desea diagnosticar; 2) analizar las interrelaciones, que se dan de manera natural por el modelo NOP, y 3) evaluar, que se refiere al análisis de los resultados.

En resumen, el modelo NOP utiliza cuatro esferas, naturaleza, recursos, factor humano y cultura, para analizar de manera holística las organizaciones. Estas esferas también se conocen como ambiental, económica, social y cultural, respectivamente. Los elementos constituyentes de cada esfera son los que se presentan en la figura 1.

A partir de las teorías analizadas y el objetivo de la investigación, se concluyó que, para considerar holístico el diagnóstico de los riesgos de incumplimiento que pueden afectar a una organización, debe emplearse el enfoque sistémico, en el cual se consideran como el todo los aspectos ambientales, culturales, económicos y sociales del entorno de las organizaciones. El modelo NOP aporta una visión holística que permite la identificación de riesgos de cumplimiento en las organizaciones a través de un análisis sistémico durante todas las etapas en las que se puede ver afectado el producto o servicio ofrecido por la organización.

4. Metodología

El procedimiento metodológico para alcanzar el objetivo planteado, que consiste en el desarrollo de una metodología para identificar obligaciones de cumplimiento sistémicas de las organizaciones a partir de la determinación de riesgos holísticos de compliance, se llevó a cabo de acuerdo con los siguientes pasos:

-Revisión teórica: Se realizó un análisis de la teoría de sistemas organizacionales y el modelo NOP, que permite analizar las organizaciones con una perspectiva sistémica y holística. Esta revisión se llevó a cabo en el marco teórico.

-Relación entre compliance y subsistemas del modelo NOP: En función de los cuatro subsistemas que plantea el modelo NOP (ambiental, económico, social y cultural), se identificaron, primeramente, los elementos del compliance con cada uno de los subsistemas. Ello permitió que se clasificaran las diferentes conceptualizaciones de compliance que proponen los autores de 98 documentos revisados (tesis de posgrado, artículos, capítulos de libro), incluidas las normas ISO 19600 y 37101, a partir de los elementos ambientales, económicos, sociales y culturales encontrados (Béjar Rivera, 2023). Algunas conceptualizaciones contenían elementos pertenecientes a más de un subsistema. noventa y un autores consideran elementos sociales en el compliance, es decir, el 92 %; setenta y nueve de ellos mencionan elementos culturales como parte del compliance, lo que equivale al 80 %; solo diecinueve (19 %) consideraron aspectos económicos como elementos principales del compliance, y solo 4 de los autores revisados incluyeron aspectos ambientales del compliance, apenas el 4 % del total analizado (tabla 1):

Resultados de análisis: La mayoría de los documentos analizados no consideraron de manera integral los elementos compliance. Solo tres de ellos conceptualizan el compliance de manera holística, es decir, considerando a la vez aspectos ambientales, económicos, sociales y culturales. Sin embargo, los tres cumplen con este requisito únicamente cuando se refieren al análisis del contexto de las organizaciones (tabla 2):

-Construcción de propuesta teórica: Los resultados anteriores fueron evidencia de la falta de un análisis del compliance integral; es decir, de una gestión de los riesgos de compliance que tome en cuenta los aspectos ambientales, económicos, sociales y culturales a los que se enfrentan las organizaciones. Para gestionarlo de manera adecuada, se consideró conveniente llevar a cabo un análisis holístico de las organizaciones para identificar todo tipo de obligaciones de cumplimiento que pudieran surgir de su entorno.

En este sentido, se propuso analizar los riesgos de compliance de las organizaciones utilizando el modelo NOP. Su enfoque holístico y sistémico permitió una identificación sistémica de las obligaciones de cumplimiento, las cuales son fundamentales para iniciar todo el proceso del sistema de gestión de compliance de acuerdo con los lineamientos de la norma ISO 37301.

Esta visión holística y sistémica pudo contribuir a que las organizaciones se aseguraran una gestión holística de los riesgos de compliance. Al considerar los aspectos ambientales, económicos, sociales y culturales, los riesgos que enfrentan podrían abordarse de manera integral, lo que fortalecería su capacidad para cumplir con las normativas y evitar sanciones legales y reputacionales.

5. Resultados

Como resultado del análisis previo, se hizo la propuesta de la creación de un modelo para la identificación de obligaciones de cumplimiento sistémicas a partir de los riesgos holísticos de compliance (modelo MOCS), a través del cual se explica cómo puede analizarse la organización con las bases establecidas en el método NOP (permite visualizar sus aspectos internos y externos) para identificar los riesgos holísticos de compliance a los que se enfrenta y, como resultado, poder identificar las obligaciones de cumplimiento y los compromisos voluntarios que se determinan por la alta dirección de la organización (figura 2).

5.1 Desarrollo de Modelo y Metodología MOCS.

Este modelo explica las obligaciones de cumplimiento sistémicas y los riesgos holísticos de compliance que surgen del contexto interno y externo de las organizaciones como paso previo al diseño del sistema de gestión de compliance que se va a implementar en cada organización, de acuerdo con los lineamientos establecidos en la ISO 37301.

Tras el modelo, se trabajó el desarrollo del método que debe seguirse para cumplir con el objetivo. El desarrollo del método se llevó a cabo en cuatro fases, cada una de ellas deriva en un producto que aporta al objetivo del presente estudio (figura 3):

La primera fase, que se refiere a la descripción de la organización, permite un acercamiento a las características de las organizaciones, lo cual se considera como la base para que la aplicación del método MOCS sea adecuada. De acuerdo con Gimeno (2021), el contexto organizacional es una guía «para el enfoque de planificación, implementación y mejora del sistema de gestión de compliance». Se buscaron respuestas a las siguientes preguntas: ¿Qué función tiene el grupo de organizaciones? ¿Por qué es importante? ¿Cuáles son sus responsabilidades? ¿Cuál es la presencia internacional, nacional y local del sector de la organización? ¿Existen acuerdos internacionales, nacionales y locales ya establecidos para el sector? ¿A qué regulaciones está sujeto como sector? ¿Hay especificaciones estatales para las organizaciones? ¿Existe algún organismo regulador? ¿Cuenta con modelo de negocios? ¿Cómo es el contexto interno?

La segunda fase consistió en la identificación de la normativa externa e interna, con lo que se visualizaron claramente las normas que afectan directamente a la actividad de la organización para la correcta identificación de las obligaciones de cumplimiento propias de su actividad.

Además de la revisión jurídica regulatoria, se consideraron los acuerdos o compromisos sectoriales, los reglamentos del sector, así como los principios deontológicos relacionados con la ética profesional o en cualquier ámbito laboral. Estos últimos se consideraron como parte de la normativa que revisar, ya que buscan mantener un adecuado nivel de calidad, competencia y exigencia en el desempeño de la actividad de la organización, a la vez que la falta a los principios tiene consecuencias sancionadoras (Unión profesional, 2009).

La World Compliance Association (2021) considera la normativa interna como uno de los criterios de evaluación del compliance en las organizaciones; y lo define como: «Conjunto de políticas y procedimientos de compliance que se definen en función de los riesgos de la organización. La política de compliance se deberá́ establecer como documento de alto nivel que determina los objetivos de compliance».

La tercera fase consistió en la identificación de riesgos y oportunidades de compliance para lo cual se desarrollaron las interrelaciones entre los elementos de los diferentes subsistemas en función de las características propias de la organización.

Esta fase se llevó cabo de por medio de los siguientes pasos:

a)Codificación de interrelaciones. Las fuentes de riesgo de compliance surgieron del análisis de las interrelaciones de los diferentes subsistemas durante cada uno de los procesos. De acuerdo con la actividad de la organización, es posible identificar más de una fuente de riesgo derivada de la misma interrelación; en caso de que así sea, deben numerarse para que cada una de ellas cuente con su propio código.

b)Identificar en la normativa externa el proceso en el cual debe cumplirse esta. La principal fuente de riesgo de compliance en las organizaciones es producto de las normas regulatorias de la actividad productiva que llevan a cabo; y se definen como «aquellas emanadas de voluntad de una autoridad y destinadas a algún agente con el propósito de hacer que se conduzca de determinada manera. Para dar a conocer [...] o se abstengan de hacer algo se les agrega una sanción amenaza de castigo» (Mendonça, 2001). El autor manifiesta también que una característica de las normas es que comienzan su existencia cuando cierto acto se ejecuta; y que ya no dejan de existir debido a que el acto ejecutado no se puede cancelar.

Así pues, en las acciones o actividades de las organizaciones se genera la obligación de cumplir una norma, por lo que primero se debe identificar el proceso de la organización del que se deriva la obligación especificada por la norma.

c)Identificar los elementos de los subsistemas que forman la legislación para identificar la interrelación correcta. Las normas jurídicas están compuestas por dos actores, uno activo y el otro pasivo. El primero es aquel que tiene la autoridad de pedir a la sociedad que cumplan ciertas responsabilidades; el segundo es quien debe someterse a las obligaciones descritas en las normas y debe comportarse de la manera especificada en el mandato (Kelsen, 2018; en Calsamiglia, 1985). Se identifica, en primer lugar, la relación que tiene la norma con los diferentes subsistemas; es decir, si es una norma que regula el cuidado medioambiental, el subsistema ambiente está presente en ella, y si la norma trata regulaciones sobre el uso de tecnologías para dicho cuidado, está involucrado el subsistema económico. Se toman como referencia las siguientes preguntas: ¿La norma tiene un enfoque ambiental? ¿Se refiere a acciones que el sujeto debe llevar a cabo? ¿Se requieren insumos físicos para cumplirla? ¿Hay procedimientos que seguir para cumplir lo que dice? La respuesta a las preguntas anteriores permite identificar de manera adecuada los subsistemas involucrados.

Tras identificar los dos subsistemas que la conforman, se revisó nuevamente la norma y, en específico, se buscó el elemento al que pertenece dentro del subsistema encontrado; por ejemplo, en el párrafo anterior se mencionó una norma de cuidado medioambiental, por lo que se determinó la presencia del sector ambiental. Sin embargo, ¿a qué parte del medioambiente se refiere?, ¿a la atmósfera, a la geósfera, a la hidrósfera, a la biósfera? Se aplica el mismo procedimiento con el segundo subsistema involucrado, que en el caso anterior se refería al económico. ¿Qué elemento del subsistema económico requiere para su cumplimiento?, ¿materiales, tecnología, infraestructura o recursos financieros? En el caso del subsistema social, hay que preguntarse quién o quiénes son los involucrados para cumplir la norma, ¿el propietario, los trabajadores, los proveedores? ¿Se refiere a la relación con otras organizaciones? Finalmente, el subsistema cultural lleva a preguntas como: ¿es un procedimiento que hay que seguir?, ¿están involucradas las costumbres de la organización en su cumplimiento?, ¿implica la generación de conocimiento?

d)Identificar la fuente de riesgo derivada de la interrelación. La interrelación encontrada en el paso anterior llevó a la descripción de la fuente de riesgo de compliance derivada de esta. La cual se refiere a la actividad, acción o concepto del que se desprende la necesidad de la normativa analizada.

Como se mencionó en el apartado anterior, se cuestionaron los componentes de la norma para identificar la interrelación correcta, por lo que la fuente de riesgo se deriva de esta. Es decir, siguiendo con el ejemplo de una normativa orientada al cuidado del medio ambiente y el uso de equipo de trabajo, la fuente de riesgo para el cumplimiento de la norma es su mantenimiento, ya que, si no está en óptimas condiciones, se incrementan las posibilidades de faltar a la regulación.

La fuente de riesgo la determinó el concepto presente en la interrelación, que se considera el factor determinante para que se incumpla lo establecido por la norma.

Debido a que el método MOCS parte del análisis holístico de los riesgos de compliance durante la producción del producto o servicio, los diferentes procesos productivos se analizaron de manera individual con las interrelaciones correspondientes; y se otorgó a cada uno de ellos un código que identificó el número del proceso seguido en la producción. Es decir, se antepone la letra P (proceso) seguida del número que indica la secuencia. Para el proceso 1, el código es P1, hasta tener el código correspondiente al n proceso con la información obtenida en la descripción de la organización y el modelo de negocio seguido (Pn). Además de los procesos, siguiendo el procedimiento del método NOP se identificó el subsistema ambiental con la letra A, el subsistema económico con la letra E, el subsistema social con la letra S y el subsistema cultural con la letra C; esta es la nomenclatura determinada para el modelo MOCS. Las fuentes de riesgo de compliance surgieron del análisis de las interrelaciones de los diferentes subsistemas durante cada uno de los procesos; en algunas interrelaciones, debido a la actividad de la organización, es posible identificar más de una fuente de riesgo, por lo que, en caso de que así sea, deben numerarse para que cada una de ellas cuente con su propio código.

La última fase, la cuarta, permitió determinar las obligaciones de cumplimiento, que se derivaron de la normativa analizada, ya sean legislaciones, acuerdos comerciales, compromisos sectoriales o, incluso, compromisos voluntarios de la organización, por lo que se clasifican de la siguiente manera:

a)Clasificación de riesgos de compliance externos obligatorios, externos voluntarios e internos voluntarios. Tras identificar todas las fuentes de riesgo de compliance a las que se puede enfrentar la organización, llega el momento de clasificarlas para su posterior análisis.

b)Diagnóstico interno a la exposición del riesgo de compliance. Una vez que se identificaron los riesgos de incumplimiento, se pudo establecer el instrumento para el diagnóstico del nivel de exposición al riesgo de compliance que tiene la organización. Este se creó considerando primordialmente la fuente de riesgo encontrada en función del incumplimiento de la norma que se analizó. Se tomó como base el mapa de calor de riesgos, considerando la probabilidad de la ocurrencia del incumplimiento y el impacto que este tendría en la organización. Al presentar el resultado con base en el mapa de calor, se pueden identificar fácilmente los riesgos a los que se está mayormente expuesto, así como aquellos que se tienen controlados.

c)Determinación por parte de la alta dirección de las normas externas e internas que incorporar en el SGC. Conociendo la información obtenida del diagnóstico, la alta dirección decide cuáles de las OC decide adoptar para que formen la base del sistema de gestión de compliance para la empresa. Se hace considerando cuánto está dispuesta a invertir (en tiempo, recursos económicos, recursos humanos, etc.) para poder gestionar la presencia de dichos riesgos.

5.2 Aplicación del método MOCS al sector notarial del estado de Nayarit

Finalmente, el último paso de la investigación consistió en la aplicación del método propuesto al sector notarial del estado de Nayarit, ya que se trata de un sector altamente regulado a nivel federal, estatal y municipal. Se hace la aclaración de que las obligaciones de cumplimiento obligatorias y los compromisos voluntarios que se analizan en este ejercicio práctico son aplicables a cada una de las organizaciones pertenecientes a este sector en Nayarit; la diferencia entre ellas la marcará su entorno interno y su exposición al riesgo de compliance.

Para la implementación del método MOCS se realizó una investigación de las características internacionales, nacionales y locales del sector notarial, a fin de obtener la información necesaria para el desarrollo de este. Se siguieron las cuatro fases propuestas para la identificación de las obligaciones de cumplimiento del sector a partir de sus riesgos holísticos de compliance. La aplicación de la fase I permitió describir estas organizaciones de la siguiente manera:

-De acuerdo con el modelo de negocios del sector notarial del estado de Nayarit, se identificaron tres grandes procesos en las actividades del servicio notarial para el otorgamiento de la certeza jurídica a los instrumentos públicos autorizados por los notarios:

1.Atención al cliente.

2.Elaboración de proyecto y firma de instrumento público.

3.Trámites y procesos complementarios de la certeza jurídica.

-Además de lo anterior, se identificaron y clasificaron los elementos correspondientes a cada subsistema: