Vivimos en un sistema económico en el que las empresas están cada vez más conectadas entre sí, con mercados, proveedores, inversionistas, trabajadores y clientes que muchas veces se encuentran en distintas jurisdicciones. En el sentido que planteaba Immanuel Wallerstein al analizar el sistema-mundo, las organizaciones no operan de manera aislada, sino dentro de redes económicas en las que las decisiones tomadas en un lugar pueden producir consecuencias en otros espacios. En ese contexto, el cumplimiento normativo dejó de ser una cuestión estrictamente jurídica para convertirse progresivamente en una dimensión de la gestión empresarial.
La transformación es especialmente visible en Chile. Durante los últimos años se ha ampliado el alcance de las obligaciones vinculadas con la prevención de delitos, el cumplimiento tributario, la prevención del lavado de activos, la transparencia y la gestión de riesgos. La Ley 21.595 de Delitos Económicos modificó sustancialmente el régimen de responsabilidad penal de las personas jurídicas y amplió el catálogo de delitos que puede comprometerlas a través de modificaciones a la Ley 20.393.
A lo anterior, se suma la Ley 21.713 de Cumplimiento de las Obligaciones Tributarias, que fortaleció las herramientas de fiscalización, modificó normas sobre elusión, amplió facultades de acceso a información y estableció nuevas obligaciones y mecanismos destinados a mejorar el cumplimiento tributario. En paralelo, la Unidad de Análisis Financiero mantiene un universo de sujetos obligados que ya supera ampliamente las cifras que durante años se asociaron exclusivamente al sector financiero. Al cierre de 2025, la UAF registraba 9.911 personas naturales y jurídicas inscritas, de las cuales 9.403 correspondían a entidades privadas distribuidas en 55 actividades económicas sujetas a la Ley 19.913.
Pero la expansión regulatoria no explica por sí sola el cambio. También ha cambiado la manera en que se entiende el riesgo empresarial. Hoy una organización puede enfrentar consecuencias por lo que ocurre dentro de ella, pero también por las relaciones que mantiene con terceros, por la forma en que administra información, por sus controles financieros, por las decisiones de sus representantes y, dependiendo del caso, por conductas realizadas en beneficio de la organización. Esto ha hecho que el compliance deje de ser una cuestión que puede resolverse simplemente acumulando políticas, procedimientos y documentos. La pregunta relevante es otra: ¿qué tan integrado está realmente el cumplimiento en la forma en que una empresa toma decisiones?
La pregunta parece sencilla, pero su respuesta suele estar condicionada por una serie de ideas que se han instalado en la cultura empresarial. Algunas nacieron cuando el compliance tenía un alcance mucho más limitado. Otras son simplificaciones que permiten postergar decisiones incómodas. Y algunas funcionan como mecanismos psicológicos para pensar que determinado riesgo corresponde siempre a otra empresa, a otra industria o a otro momento.
Es allí donde aparece la idea de los mitos.
El mito no es solamente un error
Antes de revisar los seis mitos que aparecen con mayor frecuencia en torno al compliance, vale la pena detenerse brevemente en el concepto mismo de mito.
En el lenguaje cotidiano, llamamos mito a una afirmación falsa o a una creencia que no resiste evidencia. Sin embargo, desde una perspectiva antropológica y cultural, el concepto es bastante más profundo. El mito puede entenderse como una forma mediante la cual las sociedades organizan, transmiten y dotan de sentido a determinadas experiencias. No es simplemente una información equivocada, sino una estructura narrativa que permite interpretar la realidad.
Claude Lévi-Strauss mostró precisamente cómo los mitos pueden organizar oposiciones, relaciones y categorías mediante las cuales una comunidad construye significado. El mito, desde esta perspectiva, no necesita ser científicamente verdadero para cumplir una función social. Su importancia está también en que permite ordenar una determinada experiencia y transmitirla culturalmente.
Esta aproximación resulta particularmente útil para hablar de compliance porque muchas de las ideas equivocadas que existen sobre el cumplimiento no desaparecen cuando se presenta una norma o un dato que las contradice. Persisten porque cumplen una función dentro de la cultura organizacional.
“Eso es para empresas grandes”.
“A nosotros nunca nos va a pasar”.
“Para eso tenemos abogados”.
“Mientras tengamos todos los documentos en orden, estamos cubiertos”.
“Compliance es un costo”.
“No necesitamos revisar nuevamente al proveedor porque ya lo hicimos cuando lo contratamos”.
Más que simples errores conceptuales, estas frases pueden convertirse en mecanismos para simplificar decisiones complejas y, en algunos casos, para evitar enfrentarse a determinados riesgos.
La investigación académica sobre compliance, due diligence y ética empresarial ha mostrado justamente que la existencia formal de controles no garantiza por sí sola una conducta organizacional adecuada. Majluf y Navarrete, en un estudio empírico realizado sobre 54 empresas chilenas y más de 12.000 trabajadores, distinguieron entre componentes explícitos e implícitos de los programas de compliance y ética, encontrando relaciones significativas con la consistencia de valores y la presencia de conflictos éticos dentro de las organizaciones.
El compliance, por tanto, no puede entenderse solamente como un conjunto de documentos. También es una cuestión cultural. Y es desde ahí que vale la pena revisar algunos de sus principales mitos.
Mito 1: “El compliance es solo para empresas grandes o multinacionales”
Este es probablemente uno de los mitos más extendidos y también uno de los que más rápidamente ha perdido sustento. Es cierto que las grandes corporaciones suelen contar con departamentos jurídicos, oficiales de cumplimiento, auditorías internas y estructuras formales destinadas a gestionar riesgos. También es cierto que muchas de las metodologías internacionales de compliance se desarrollaron inicialmente en organizaciones de gran tamaño y en sectores especialmente regulados.
En Chile, la Ley 20.393, en su versión modificada por la Ley 21.595, establece un régimen de responsabilidad penal para personas jurídicas y amplía significativamente el catálogo de delitos relevantes para dicha responsabilidad. La ley no convierte automáticamente a todas las empresas en sujetos idénticos frente a todas las obligaciones, pero sí cambia el escenario en que las organizaciones deben evaluar sus riesgos y establecer medidas de prevención adecuadas a su realidad.
La propia OCDE plantea que las políticas de integridad, los procedimientos, la debida diligencia, la capacitación y los canales de reporte son relevantes para empresas independientemente de su tamaño. La cuestión central no es implementar el mismo sistema que una multinacional, sino desarrollar mecanismos proporcionales a los riesgos y características de cada organización.
Esto introduce una distinción importante, en que el compliance no necesariamente exige una gran estructura, pero sí exige una estructura adecuada al riesgo. Es decir, una empresa mediana no necesita reproducir el departamento de compliance de un banco internacional. Puede necesitar, en cambio, identificar con claridad los delitos y riesgos que pueden presentarse en su operación, establecer controles razonables, revisar a determinados terceros, capacitar a sus trabajadores, mantener canales de denuncia y asegurar que exista una persona con responsabilidad suficiente para coordinar el sistema.
Por lo tanto, el tamaño modifica la forma de implementar el compliance. No elimina la necesidad de gestionarlo.
Mito 2: “El cumplimiento normativo es solamente un tema legal”
Probablemente esta sea una de las confusiones más importantes porque reduce un problema organizacional a una sola disciplina profesional. El derecho establece obligaciones, prohibiciones y consecuencias. Pero una organización cumple o incumple esas obligaciones a través de sus procesos, personas, sistemas, decisiones comerciales y controles internos. Por eso, el compliance tiene necesariamente una dimensión jurídica, pero también una dimensión financiera, operacional, tecnológica, cultural y de gestión de riesgos.
Un abogado/a puede determinar qué establece una norma. Sin embargo, alguien dentro de la organización debe traducir esa norma en procedimientos concretos, identificar dónde puede producirse una desviación, establecer controles y verificar si esos controles están funcionando.
La investigación académica ha reforzado esta idea. Por ejemplo David Hess ha planteado que los programas de compliance deben comprenderse como parte de una infraestructura ética organizacional y no como mecanismos aislados de control jurídico. Su trabajo destaca la relación entre los programas formales y la cultura que realmente existe dentro de la organización.
Así tambien, un estudio sobre la industria farmacéutica publicado en Contemporary Accounting Research llegó a una conclusión especialmente relevante: una cultura débil de integridad se asociaba con mayores niveles de incumplimiento tanto operacional como financiero. Es decir, el problema no se encontraba únicamente en la existencia o ausencia de controles formales, sino también en la cultura que determinaba cómo esos controles eran aplicados en la práctica.
Por eso, cuando una empresa dice que “compliance es un tema legal”, corre el riesgo de dejar fuera precisamente a las áreas que producen buena parte de los riesgos que el sistema debería prevenir: compras, finanzas, operaciones, recursos humanos, ventas, tecnología y administración pueden generar o detectar señales relevantes para compliance. El área legal puede interpretarlas, pero difícilmente puede gestionarlas sola.
Mito 3: “El cumplimiento se puede delegar completamente a un abogado o asesor externo”
Este mito está estrechamente relacionado con el anterior, pero tiene una consecuencia adicional: transforma el compliance en una externalidad de la organización.
Los abogados, consultores, auditores y especialistas externos pueden ser fundamentales para diseñar un modelo, interpretar la normativa, evaluar brechas o realizar investigaciones específicas. Lo que no pueden hacer por sí solos es reemplazar la responsabilidad de la organización sobre sus propios procesos.
Un modelo de prevención no existe realmente porque una consultora haya entregado un documento, existe cuando las reglas diseñadas se incorporan a la operación y las personas saben qué hacer frente a una situación concreta. La diferencia entre ambas cosas puede parecer abstracta, pero es fundamental. Una política puede establecer que la empresa debe realizar debida diligencia sobre sus terceros. El verdadero desafío comienza cuando un área comercial quiere contratar rápidamente a un proveedor estratégico y aparecen antecedentes que podrían retrasar la contratación.
Ahí es donde se prueba el sistema; ¿Quién puede detener el proceso? ¿Quién puede solicitar información adicional? ¿Quién decide si el riesgo es aceptable? ¿Quién informa al directorio? ¿Qué ocurre si la persona que quiere cerrar el negocio es, además, quien tiene mayor poder dentro de la organización? Estas preguntas no se resuelven mediante un documento jurídico.
La literatura reciente también ha comenzado a estudiar el compliance desde esta perspectiva. Una investigación publicada en Regulation & Governance en 2026 analiza el concepto de “defensive compliance” y encuentra evidencia de que los programas de compliance pueden influir en determinados resultados de responsabilidad y sanción corporativa, aunque sus efectos dependen fuertemente del contexto y no pueden entenderse como una protección automática frente a la responsabilidad.
El mensaje es importante, porque tener un programa puede importar, pero tenerlo no equivale necesariamente a tener un programa efectivo.
Mito 4: “El compliance es solamente un gasto y no genera valor”
Este mito probablemente tenga una parte de verdad si el compliance se implementa mal. Un sistema burocrático, duplicado, desconectado de la operación y orientado exclusivamente a producir documentos puede efectivamente convertirse en un costo, pero de eso no se desprende que el compliance, en sí mismo, carezca de valor. La discusión más interesante consiste en preguntarse qué ocurre cuando el compliance se integra a la gestión del riesgo y a la toma de decisiones.
La OCDE ha planteado en su Anti-Corruption and Integrity Outlook 2026 que las funciones de compliance deben avanzar hacia una comprensión de su contribución a los objetivos empresariales y no limitarse a evitar sanciones o daños reputacionales. El organismo señala además que modelos recientes permiten analizar el “retorno del compliance” y que la gestión efectiva y eficiente de la integridad puede explicar una proporción relevante de la variación en el desempeño empresarial.
La evidencia académica también apunta en esa dirección. El capítulo Compliance and Legal Performance, publicado por Oxford University Press en 2026, analiza el compliance como una herramienta de gestión del riesgo, reputación y cultura organizacional, planteando que una estrategia de compliance puede convertirse en un activo para la empresa cuando se integra a su estrategia y no se percibe simplemente como una restricción burocrática.
Esto puede entenderse mejor desde una perspectiva práctica. Un buen proceso de due diligence puede evitar contratar a un tercero que posteriormente genere un problema. Un control financiero puede detectar una operación irregular antes de que se transforme en una pérdida mayor. Una revisión de conflictos de interés puede revelar una relación que habría afectado la independencia de una decisión. Un canal de denuncias puede permitir detectar tempranamente una conducta que de otro modo permanecería oculta.
En ninguno de estos casos el compliance genera necesariamente un ingreso directo. Su valor está en modificar la calidad de las decisiones y reducir la exposición a eventos que pueden producir costos financieros, legales, operacionales o reputacionales.
Por eso, más que preguntarse cuánto cuesta el compliance, conviene preguntarse qué riesgos está ayudando a evitar, qué decisiones está ayudando a mejorar y qué información permite conocer antes de que sea demasiado tarde.
Mito 5: “El compliance se implementa una sola vez”
Este mito probablemente haya sido razonable en una época en que los sistemas de cumplimiento se entendían principalmente como estructuras documentales. Se elaboraba una política, se construía una matriz de riesgos, se capacitaba al personal y se consideraba que el sistema estaba implementado.
El problema es que el riesgo empresarial no permanece quieto. Cambian las leyes, aparecen nuevos delitos, se modifican las estructuras societarias, ingresan nuevos proveedores, cambian los representantes, se producen adquisiciones, aparecen nuevos mercados y evolucionan las formas de cometer fraude.
Por eso, una evaluación realizada hace dos años puede seguir siendo útil como antecedente histórico y, al mismo tiempo, resultar insuficiente para representar el riesgo actual.
La OCDE ha insistido en que la efectividad de los programas de integridad debe evaluarse en la práctica y no únicamente a partir de su existencia formal. En su informe de 2025 sobre evaluación de programas corporativos anticorrupción, señala que las autoridades esperan que las empresas puedan demostrar no solo que adoptaron programas, sino también que estos son efectivos para mitigar riesgos y promover una cultura de integridad.
Esto introduce una idea particularmente relevante para el due diligence: conocer a un tercero no debería ser un evento aislado cuando la relación con ese tercero continúa en el tiempo. Un proveedor puede cambiar de propietarios, incorporar nuevos socios, modificar su estructura societaria, enfrentar un proceso judicial, acumular problemas financieros o establecer nuevas relaciones comerciales después de haber sido evaluado.
La tecnología puede contribuir considerablemente a este cambio de enfoque. Las herramientas RegTech permiten automatizar determinadas búsquedas, monitorear cambios y generar alertas que permiten concentrar el trabajo humano en los casos que requieren interpretación (como el caso de Check Auditor).
Thomson Reuters ha documentado precisamente el crecimiento de aplicaciones RegTech y su utilización en ámbitos como análisis de riesgo, seguridad de la información y gestión de obligaciones regulatorias. Pero la tecnología tampoco elimina la necesidad de criterio. Una alerta no es todavía una conclusión de riesgo. Es una señal que necesita ser comprendida.
Mito 6: “El compliance no aplica a mi industria”
Este mito suele adoptar una forma diferente según la empresa. En una empresa tecnológica puede aparecer como “eso es para los bancos”, en una constructora puede expresarse como “eso es para las empresas reguladas”, en una empresa industrial puede pensarse que mientras no participe directamente del sistema financiero, el riesgo de compliance es marginal.
La realidad es que todas las empresas operan dentro de un entramado normativo, lo que cambia es la naturaleza, magnitud y probabilidad de los riesgos que enfrentan. Una institución financiera tendrá exposiciones particularmente importantes en materia de lavado de activos y financiamiento del terrorismo. Una constructora puede enfrentar riesgos asociados a corrupción, contratación de terceros, permisos, relaciones con autoridades, seguridad laboral o delitos económicos. Una empresa minera puede enfrentar riesgos ambientales, laborales, tributarios y vinculados a contratistas. Una empresa tecnológica puede tener exposiciones especialmente relevantes en materia de datos, ciberseguridad, propiedad intelectual o utilización de inteligencia artificial.
No existe, por tanto, un modelo universal de compliance o due diligencia. La ISO 37301:2021 y la propia OCDE sostiene que las empresas deben desarrollar sistemas de integridad y debida diligencia adecuados a sus riesgos y características particulares, mientras que la literatura académica ha mostrado que la efectividad de estos programas depende de cómo se integran dentro de las estructuras y culturas específicas de cada organización.
Por eso, una pregunta más útil que “¿mi industria necesita compliance?” sería:
¿Qué riesgos de integridad, legales, financieros, operacionales y reputacionales pueden afectar a mi empresa y cómo estamos gestionándolos?
La respuesta probablemente será diferente para una startup, una minera, una inmobiliaria, un retailer o un estudio profesional. Pero difícilmente será “ninguno”, entendiendo que el problema no es tener un modelo, sino saber si funciona.
A modo de cierre
Los seis mitos tienen algo en común. Todos presentan el compliance como una cuestión externa a la gestión cotidiana de la empresa.
Si es para empresas grandes, nosotros podemos esperar.
Si es un asunto legal, nuestros abogados se encargan.
Si es un gasto, hay que minimizarlo.
Si ya implementamos un modelo, está resuelto.
Si nuestra industria no parece particularmente regulada, no necesitamos preocuparnos.
El problema es que estas ideas pueden convertir el cumplimiento en una estructura paralela que existe formalmente, pero que tiene poca influencia sobre las decisiones reales. Pasemos a ordenar en tres grandes dimensiones lo abordado en este artículo:
La investigación académica nos dice.
La investigación académica lleva años advirtiendo sobre esta distancia entre el programa formal y la conducta efectiva. Maurice Stucke, por ejemplo, cuestionó la idea de que la mera existencia de programas de ética y compliance sea suficiente para producir organizaciones más éticas, mientras David Hess ha desarrollado la idea de una infraestructura ética en la que controles, cultura y comportamiento deben ser entendidos conjuntamente.
Más recientemente, investigaciones publicadas en 2026 continúan mostrando que la efectividad de los programas depende del contexto, de las estructuras de oportunidad para cometer delitos y de la forma en que los mecanismos de compliance interactúan con las decisiones organizacionales.
Esto permite llegar a una conclusión que puede parecer obvia, pero que tiene profundas implicancias: un modelo de prevención no se demuestra por la cantidad de documentos que contiene, sino por su capacidad de modificar conductas, detectar riesgos y actuar antes de que estos se materialicen.
Del cumplimiento documental a la inteligencia de riesgo.
La evolución del compliance plantea, además, un desafío tecnológico. Cuando una organización tiene cientos de proveedores, clientes, trabajadores, socios comerciales y otras contrapartes, resulta cada vez más difícil gestionar todos sus riesgos exclusivamente mediante revisiones manuales. La información se encuentra distribuida entre distintas fuentes y cambia constantemente.
Aquí es donde la tecnología puede comenzar a desempeñar un papel distinto al de una simple herramienta administrativa.
Un sistema de due diligence puede ayudar a recopilar información, una plataforma más avanzada puede cruzarla y generar alertas; y sistemas basados en inteligencia artificial pueden comenzar a interpretar señales, relacionar antecedentes y recomendar dónde debería profundizar el análisis.
Pero esta evolución también obliga a ser cuidadosos. Una alerta automática no es una decisión y una recomendación generada por IA no debería confundirse con un juicio empresarial definitivo. La tecnología puede reducir el trabajo mecánico, aumentar la capacidad de monitoreo y ayudar a identificar patrones, pero la interpretación de los casos complejos continúa requiriendo contexto y responsabilidad humana.
La oportunidad está precisamente en combinar ambas capacidades: la escala y velocidad de la tecnología con el conocimiento especializado de quienes entienden el negocio y sus riesgos.
En ese punto, el compliance deja de ser únicamente una función destinada a evitar sanciones y comienza a convertirse en una infraestructura para tomar mejores decisiones.
El verdadero desafío es cultural.
Desmitificar el compliance no significa reemplazar un conjunto de ideas equivocadas por otro conjunto de certezas. Significa comprender que el cumplimiento es una práctica organizacional que necesita evolucionar junto con la empresa, su regulación y los riesgos que enfrenta.
La legislación chilena está ampliando el alcance de determinadas responsabilidades. Los organismos fiscalizadores están utilizando más información y herramientas tecnológicas. Las cadenas de suministro son cada vez más complejas. Los inversionistas y socios comerciales exigen mayores niveles de transparencia. Y las organizaciones disponen de herramientas capaces de analizar cantidades de información que antes resultaban imposibles de procesar manualmente.
En este escenario, el compliance y/o el due diligence no pueden limitarse a reaccionar después de que aparece un problema, tampoco puede reducirse a tener un manual que nadie consulta.
Su verdadera utilidad aparece cuando la empresa es capaz de incorporar criterios de integridad y gestión de riesgos en sus decisiones cotidianas: cuando selecciona a un proveedor, incorpora a un socio, contrata a una persona, realiza una operación financiera, abre un nuevo mercado o decide continuar una relación comercial.
Ahí es donde los mitos dejan de ser simples frases.
Porque decir “a nosotros no nos afecta” puede significar no revisar una señal.
Decir “ya lo evaluamos” puede significar no detectar un cambio posterior.
Decir “eso lo ve el abogado” puede significar que el riesgo nunca llegó al área que debía gestionarlo;
Y decir “compliance es un costo” puede significar no reconocer el valor de contar con información antes de tomar una decisión.
En definitiva, el desafío del compliance moderno no es construir organizaciones que simplemente sepan qué dice la norma. Es construir organizaciones capaces de reconocer dónde están sus riesgos, entenderlos en contexto y actuar antes de que se transformen en un problema.
La cultura de cumplimiento comienza precisamente ahí: cuando el compliance deja de ser algo que la empresa tiene y pasa a convertirse en una forma en que la empresa decide.
Bibliografía y fuentes consultadas
Altamuro, J. L. M., & Beatty, A. (2022). Corporate Integrity Culture and Compliance: A Study of the Pharmaceutical Industry. Contemporary Accounting Research.
Bilbao-Calabuig, P., Gómez-Lanz, J., & Pozuelo Rubio, F. (2026). The effectiveness of compliance programmes in white-collar crime prevention: The role of crime convenience in the compliance–crime conviction status relationship. European Journal of Criminology.
Hess, D. (2017). Ethical Infrastructures and Evidence-Based Corporate Compliance and Ethics Programs: Policy Implications from the Empirical Evidence. New York University Journal of Law & Business.
Huang, L. (2026). Defensive Compliance in Corporate Criminal Justice: Effects of Compliance Programs on Organizational Prosecution and Punishment. Regulation & Governance.
Majluf, N., & Navarrete, C. (2011). A two-component compliance and ethics program model: An empirical application to Chilean corporations. Journal of Business Ethics, 100, 567–579.
Rorie, M., & West, M. (2022). Can “Focused Deterrence” Produce More Effective Ethics Codes? An Experimental Study. Journal of White Collar and Corporate Crime, 3(1).
Stucke, M. E. (2014). In Search of Effective Ethics & Compliance Programs. Journal of Corporation Law, 39, 769–832.
Compliance and Legal Performance. (2026). En The Oxford Handbook of Law and Management. Oxford University Press.
OECD. (2013). Anti-Corruption Ethics and Compliance Handbook for Business. OECD Publishing.
OECD. (2023). The Compliance Without Borders Handbook: Strengthening Integrity in State-Owned Enterprises Through Peer Learning. OECD Publishing.
OECD. (2025). Governments’ assessments of corporate anti-corruption compliance. OECD Publishing.
OECD. (2026). Anti-Corruption and Integrity Outlook 2026. OECD Publishing.
OECD. Business integrity. OECD.
Biblioteca del Congreso Nacional de Chile. Ley N.º 20.393, Establece la responsabilidad penal de las personas jurídicas.
Biblioteca del Congreso Nacional de Chile. Ley N.º 21.595, Ley de Delitos Económicos.
Biblioteca del Congreso Nacional de Chile. Ley N.º 21.713, Ley de Cumplimiento de las Obligaciones Tributarias.
Unidad de Análisis Financiero de Chile. Informe Estadístico 2025.
Thomson Reuters Regulatory Intelligence. (2023). Fintech, RegTech, and the role of compliance in 2023.
