Socios Comerciales y Proveedores: cuando la confianza pone a prueba los controles

El desafío no es solamente establecer políticas de debida diligencia, sino sostener criterios consistentes cuando aparecen urgencias comerciales, relaciones de confianza y excepciones impulsadas desde distintos niveles de la organización.

Es relativamente sencillo acordar una política en abstracto. La verdadera prueba aparece cuando aplicarla implica cuestionar una decisión que alguien dentro de la organización ya tomó.

Conocer a un proveedor o tener una relación de confianza no constituye, por sí mismo, una irregularidad. El riesgo comienza cuando esa confianza reemplaza los controles establecidos.

1. ¿Por qué la gestión de terceros sigue siendo uno de los puntos débiles de muchos programas de integridad?

Porque es uno de los ámbitos donde más claramente se pone a prueba la consistencia de un Programa de Integridad.

Cuando una organización diseña sus políticas de contratación y debida diligencia, suele existir consenso sobre la necesidad de verificar antecedentes, identificar conflictos de intereses y establecer criterios de aprobación para prevenir riesgos legales y reputacionales.

La dificultad aparece al llevar esos principios a la práctica. Las empresas necesitan operar, resolver urgencias y sostener relaciones con proveedores de confianza. Es entonces cuando pueden surgir tensiones entre los procedimientos establecidos y las decisiones que el negocio considera necesarias.

Un riesgo particularmente importante aparece cuando un tercero comienza a prestar servicios sin haber completado su evaluación y aprobación. Si posteriormente se identifican impedimentos para su incorporación, la empresa enfrenta una situación compleja: pueden existir obligaciones económicas y contractuales, y el tercero incluso pudo haber actuado en su representación.

Un Programa de Integridad demuestra su fortaleza no solo en las contrataciones que aprueba, sino también en aquellas frente a las cuales es capaz de establecer condiciones o recomendar que no se avance.

2. ¿Qué debería analizar una empresa antes de dar de alta a un proveedor o socio comercial?

La debida diligencia debe permitir conocer no solamente con quién se está contratando, sino también qué riesgos puede incorporar ese tercero a la organización.

El análisis debería contemplar su identidad y estructura societaria, beneficiarios finales, antecedentes legales y reputacionales, posibles conflictos de intereses, vínculos con funcionarios públicos y capacidad económica y operativa para prestar el servicio.

También es fundamental comprender qué función cumplirá. No representa el mismo riesgo un proveedor de bienes de uso corriente que un intermediario que actúa en nombre de la empresa, participa en licitaciones o mantiene contacto con organismos públicos.

En Argentina, el Registro de Integridad y Transparencia para Empresas (RITE), impulsado por la Oficina Anticorrupción, ofrece herramientas útiles para estructurar estas evaluaciones. La Ley 27.401 también reconoce la importancia de comprobar la integridad y trayectoria de los terceros al momento de contratar y durante la relación comercial.

La debida diligencia no debería limitarse a recopilar formularios y documentación. Su verdadero valor está en analizar la información, identificar señales de alerta y tomar decisiones fundamentadas antes de iniciar la relación comercial.

3. ¿Todos los terceros deberían pasar por el mismo proceso de debida diligencia?

No todos los terceros representan el mismo nivel de riesgo y, por lo tanto, no deberían estar sujetos a idénticos niveles de evaluación.

Lo recomendable es adoptar un enfoque basado en riesgos, en línea con las buenas prácticas de la OCDE y los principios de los sistemas de gestión contemplados en ISO 37001.

Para ello es importante establecer criterios objetivos: tipo de actividad, montos involucrados, criticidad del servicio, acceso a información sensible, representación de la compañía e interacción con funcionarios públicos, entre otros.

Un proveedor de bienes de bajo riesgo no requiere necesariamente la misma profundidad de análisis que un intermediario comercial, un consultor que representa a la organización o un contratista que presta servicios directamente a sus clientes.

Trabajar con un enfoque basado en riesgos no significa que determinados proveedores queden automáticamente fuera de todo control. Deben existir verificaciones mínimas y criterios para determinar cuándo corresponde profundizar el análisis.

El objetivo no es burocratizar las contrataciones, sino concentrar los recursos de control donde realmente pueden prevenir riesgos relevantes.

4. ¿Qué ocurre cuando la contratación de un proveedor ya fue impulsada por un directivo o responsable del negocio antes de completar los controles?

Esta es una de las situaciones donde más claramente se pone a prueba la independencia de los procesos.

Que un directivo o responsable de área recomiende a un proveedor no constituye, por sí mismo, una irregularidad. Puede conocer su trayectoria, capacidad técnica o experiencia y considerar que representa una buena alternativa para el negocio.

La dificultad aparece cuando esa recomendación se transforma en una decisión prácticamente cerrada, antes de que las áreas correspondientes hayan evaluado antecedentes, precios de mercado, alternativas disponibles o posibles conflictos de intereses.

En esos casos, los controles corren el riesgo de convertirse en una formalidad destinada a convalidar una decisión ya tomada.

Es importante distinguir la selección comercial de la aprobación de integridad. Son evaluaciones complementarias, pero ninguna debería sustituir a la otra.

En este proceso, la Gerencia de Compras es un aliado fundamental de Compliance, y viceversa. Compras aporta conocimiento del mercado, evaluación de alternativas y capacidad de negociación; Compliance contribuye con una mirada independiente sobre los riesgos de integridad y los posibles conflictos de intereses. Trabajando de manera coordinada, ambas áreas fortalecen la transparencia y la calidad de las decisiones comerciales.

La jerarquía de quien propone una contratación no debería modificar los estándares de evaluación que la organización se comprometió a cumplir.

5. ¿Cómo debería actuar una empresa cuando necesita contratar urgentemente a un tercero que todavía no completó su evaluación?

La urgencia puede justificar procedimientos más ágiles, pero no debería convertirse en una autorización automática para prescindir de controles esenciales.

Lo primero es determinar si estamos frente a una necesidad verdaderamente excepcional o ante una situación que podría haberse previsto con una planificación adecuada.

Después corresponde evaluar alternativas: recurrir a proveedores ya aprobados, acelerar verificaciones críticas o analizar si es posible limitar temporalmente el alcance de la contratación, siempre que las normas y políticas aplicables lo permitan.

Lo que debe evitarse es que el tercero comience a trabajar y la evaluación de integridad se realice posteriormente, cuando la empresa ya asumió compromisos económicos, operativos o frente a clientes.

Si eso ocurrió, la situación requiere un tratamiento específico entre el área contratante, Legales, Finanzas y Compliance. Las obligaciones derivadas de servicios efectivamente prestados deben analizarse sin confundirlas con la aprobación del proveedor para futuras contrataciones.

Una urgencia puede modificar los tiempos de gestión, pero no debería transformar un riesgo inaceptable en aceptable.

6. ¿Qué riesgos plantea contratar como proveedores a exempleados o a personas que también mantienen una relación laboral con la compañía?

Son situaciones que merecen una evaluación particular, porque el cambio de modalidad contractual no necesariamente elimina los vínculos, intereses o responsabilidades que existían anteriormente.

Cuando un exempleado regresa como proveedor, deberían analizarse las circunstancias de su desvinculación, las funciones que desempeñaba, los vínculos que mantiene dentro de la organización y la independencia real del servicio que prestará.

También es importante distinguir a quien regresa para desarrollar una actividad genuinamente independiente de quien continúa realizando, bajo otra modalidad, tareas sustancialmente similares a las que desempeñaba como empleado.

Más sensible todavía es el caso de una persona que mantiene simultáneamente la condición de empleado y proveedor de la misma compañía.

Allí pueden surgir conflictos de intereses, ventajas en el acceso a información, dificultades para garantizar una contratación competitiva y riesgos laborales o tributarios si la prestación supuestamente independiente no lo es en la práctica.

No toda vinculación de este tipo es necesariamente irregular, pero tampoco debería tratarse como un alta ordinaria.

La pregunta no es solamente si la contratación resulta conveniente, sino si es jurídicamente viable, transparente y compatible con las responsabilidades que esa persona tiene o tuvo dentro de la organización.

7. ¿Qué sucede cuando Compliance recomienda no avanzar con una contratación, pero la organización decide hacerlo igualmente?

Esta es probablemente una de las situaciones más difíciles que puede enfrentar un Compliance Officer.

En la práctica, Compliance no siempre tiene la facultad de impedir una contratación, incluso cuando su evaluación identifica riesgos relevantes. La responsabilidad de advertir puede ser muy clara, mientras que la autoridad para decidir está en otra instancia.

Por eso es fundamental que las organizaciones establezcan mecanismos formales de escalamiento. Cuando existe una recomendación fundada de no avanzar y la decisión empresarial es diferente, el desacuerdo debería quedar documentado y ser conocido por la instancia de gobierno competente, de acuerdo con la gravedad del riesgo y la estructura de cada compañía.

Las normas ISO 37301 e ISO 37001 respaldan la independencia, la autoridad y el acceso de las funciones de Compliance a los niveles de gobierno correspondientes. Esto no significa que exista un poder de veto universal ni que toda excepción deba llegar al Directorio.

Tampoco debe confundirse una excepción a un procedimiento interno con una autorización para incumplir la ley o eludir controles definidos como irrenunciables.

No se trata de convertir a Compliance en un obstáculo para el negocio, sino de asegurar que quien decide conozca los riesgos y asuma la responsabilidad correspondiente.

La independencia de Compliance no significa tener siempre la última palabra. Significa poder expresar una posición técnica, sostenerla y elevarla sin que quede desdibujada por la decisión comercial.

8. ¿Cómo se evita que una excepción justificada termine convirtiéndose en una práctica habitual?

El primer paso es distinguir una excepción genuina de una forma alternativa de operar que se repite porque resulta más cómoda o más rápida.

Una excepción debería responder a circunstancias concretas, estar debidamente fundamentada, contar con una autoridad de aprobación definida y establecer, cuando corresponda, medidas compensatorias, condiciones y plazos.

También es importante que la organización registre y analice las excepciones de manera consolidada. Si cada solicitud se evalúa aisladamente, puede pasar inadvertido que determinadas áreas, tipos de proveedores o decisiones recurrentemente se apartan del procedimiento.

Cuando una excepción se repite, corresponde preguntarse si existe un problema de planificación, una dificultad operativa, una política mal diseñada o una decisión deliberada de no cumplirla.

En algunos casos será necesario mejorar el proceso o revisar requisitos que no agregan valor. En otros, reforzar los controles y exigir su cumplimiento.

Una política imposible de aplicar termina perdiendo legitimidad. Pero una política que permite justificar cualquier decisión deja de funcionar como control.

9. Una vez aprobado el proveedor, ¿qué controles deberían mantenerse durante la relación? ¿Qué puede aportar la tecnología?

La debida diligencia no termina con el alta. La situación de un proveedor puede cambiar durante la relación comercial y, con ella, el riesgo que representa para la organización.

Por eso es importante establecer revisiones periódicas proporcionales al riesgo, actualizar información societaria y reputacional, verificar cambios en los beneficiarios finales y mantener vigentes las declaraciones de conflictos de intereses.

También deberían monitorearse el desempeño, las subcontrataciones relevantes y las modificaciones de condiciones comerciales o bancarias.

La tecnología puede facilitar este seguimiento mediante alertas, vencimientos, registros de aprobaciones y trazabilidad de las decisiones. Incluso puede incorporar controles para evitar que un proveedor comience a operar sin completar determinados requisitos.

Sin embargo, digitalizar un procedimiento no garantiza su cumplimiento. Si las decisiones se toman por fuera del sistema y luego se registran para completar el expediente, el problema continúa existiendo.

La tecnología es una herramienta de control, pero no reemplaza la responsabilidad de quienes toman las decisiones.

10. Si tuviera que identificar tres señales de alerta en la relación con un tercero, ¿cuáles serían?

La primera sería la falta de transparencia: dificultades para identificar a los verdaderos titulares, inconsistencias en la información presentada, subcontrataciones no informadas o resistencia a declarar posibles conflictos de intereses.

La segunda, la ausencia de una justificación comercial objetiva: contrataciones sin comparación razonable de alternativas, honorarios difíciles de explicar o condiciones especiales que no cuentan con respaldo suficiente.

Y la tercera, quizás una de las más delicadas, sería la presión para omitir o acelerar controles, especialmente cuando se argumenta que el proveedor es de confianza, que la decisión ya fue tomada o que no hay tiempo para realizar las verificaciones correspondientes.

Ninguna de estas señales implica necesariamente que exista una conducta ilícita. Pero todas requieren ser analizadas antes de avanzar.

En Compliance, una señal de alerta no es una condena. Es una razón para hacer más preguntas, profundizar la evaluación y evitar decisiones que después pueden resultar difíciles de revertir.

Sobre la autora y la consultora

María Fernanda Di Stefano es directora y fundadora de Integrity On Canvas, consultora especializada en Compliance, Riesgos y Auditoría Forense. Su trabajo abarca el diseño e implementación de Programas de Integridad, la gestión de Líneas Éticas, la conducción de investigaciones internas y el asesoramiento en gobernanza y evaluación de terceros.