¿Cómo empezar un mapa de riesgos de cumplimiento empresarial?

Un mapa de riesgos de cumplimiento comienza por entender cómo trabaja la empresa, dónde toma decisiones y quién las autoriza. Después relaciona posibles incumplimientos con controles, responsables y evidencia. El resultado debe servir para priorizar acciones concretas. Copiar una lista extensa de obligaciones sin conectarla con la operación dificulta saber qué necesita atención primero.

Elegir un proceso y seguir sus decisiones

Compras, ventas, contratación de personal y relación con autoridades suelen involucrar distintas áreas. Selecciona un proceso relevante y recorre sus pasos: quién solicita, quién evalúa, quién aprueba, quién paga y quién verifica el resultado.

En materia de integridad empresarial, el artículo 25 de la Ley General de Responsabilidades Administrativas considera elementos como organización, conducta, controles, denuncia y capacitación. Es una referencia jurídica específica, no una certificación automática de que una empresa cumple todas sus obligaciones.

Una entrevista breve con las personas que ejecutan el proceso puede revelar excepciones que el manual omite. Por ejemplo, compras urgentes autorizadas fuera del sistema o proveedores elegidos por una sola persona. Estos hechos permiten formular riesgos concretos sin presumir irregularidades.

Lista para una primera matriz útil

• Describe el evento de riesgo con una acción observable, como aprobar un pago sin comprobar la entrega.
• Identifica el proceso, las personas involucradas y la obligación que requiere revisión especializada.
• Valora la probabilidad y las consecuencias usando criterios consistentes, documentando los supuestos empleados.
• Registra el control actual y la evidencia que permitiría comprobar que funciona.
• Asigna una persona responsable del seguimiento y otra que pueda revisar el resultado cuando sea pertinente.
• Define una medida proporcional, un plazo interno de implementación y la forma de verificar el cierre.

Conviene separar los controles existentes de los que todavía se proponen. Una política redactada, pero no comunicada ni aplicada, no ofrece la misma información que un procedimiento probado con registros verificables.

Probar el control antes de ampliar el programa

Imagina un negocio que exige una segunda aprobación para incorporar proveedores. La revisión puede seleccionar expedientes y comprobar si la aprobación ocurrió antes de contratar, si el aprobador tenía información suficiente y si las excepciones quedaron justificadas.

El ejercicio permite descubrir si el problema está en el diseño del proceso, en su ejecución o en la conservación de evidencia. Cada causa requiere una respuesta distinta. Añadir otro formulario puede aumentar trabajo sin corregir la debilidad identificada.

La dirección necesita un resumen claro: riesgos prioritarios, acciones pendientes y decisiones que requieren recursos. Después puede extenderse el método a otros procesos, manteniendo una periodicidad de revisión acorde con los cambios del negocio y sus exposiciones.

Preguntas frecuentes

¿Una empresa pequeña necesita un sistema complejo?

La complejidad debe responder a sus actividades y riesgos. Un equipo reducido puede comenzar con responsables claros, controles verificables y un registro de incidencias. El tamaño no determina por sí solo qué obligaciones resultan aplicables.

¿El mapa elimina la responsabilidad de la empresa?

No. Es una herramienta de gestión que ayuda a identificar y atender riesgos. La existencia y efectividad de medidas deben analizarse junto con los hechos y el marco jurídico correspondiente.

Siguiente paso: plantea una revisión de cumplimiento a partir de un proceso concreto y sus principales excepciones. El mapa puede ordenar la conversación y delimitar el análisis requerido.