Escrito por Carlos Zúñiga

En la línea de nuestra más reciente publicación, el compliance empresarial en Perú viene desenvolviéndose con mayor autonomía y rigurosidad. Prueba de ello son las evoluciones normativas de las que reflexionamos recientemente y la aparición de jurisprudencia sobre la materia en los últimos tiempos. Ahora bien, no podríamos seguir avanzando en este sendero respecto a la sostenibilidad a partir del compliance si no nos detenemos a analizar, también, de forma minuciosa el concepto y su alcance.  En efecto, el término Compliance, en una abstracción práctica, alude al cumplimiento normativo y ético de las organizaciones. En tal sentido, su alcance procurará instaurar sistemas que permitan la prevención, detección y respuesta a incumplimientos legales, regulaciones y estándares. Así, su finalidad primordial es promover una actividad empresarial conforme a ética y derecho. 

El concepto Compliance se trata, por tanto, de una extensión del deber de diligencia de la empresa: no basta con perseguir objetivos económicos, sino que debe hacerse respetando el marco legal y los valores éticos, asumiendo una responsabilidad empresarial integral. De esta forma, a partir del Compliance las organizaciones deben promover culturas corporativas sólidas y fundadas en bases responsables. No obstante, para entendimiento pleno, hemos desarrollado en el presente artículo una diagramación esquemática que permita profundizar en el término y su fin.

El Concepto de Compliance

• Etimología y polisemia del término «compliance»

El vocablo «compliance» proviene del verbo inglés to comply, que significa cumplir, obedecer o ajustarse a una norma, mandato o exigencia. Aunque su traducción literal podría vincularse simplemente al acto de cumplir, su significación técnica dentro del ámbito jurídico-empresarial ha evolucionado hasta adquirir connotaciones sustancialmente más complejas y estructurales.

En su origen, el término se utilizó en los Estados Unidos en contextos regulatorios financieros y penales para describir la necesidad de que las organizaciones cumplieran con leyes federales, especialmente en sectores como la banca y los mercados de valores (U.S. Sentencing Commission, 1991). Desde entonces, la noción de compliance ha sido adoptada en sistemas de derecho continental europeo y latinoamericano, con significativas discusiones sobre su adaptación terminológica y conceptual.

Diversos autores han resaltado la polisemia del término. Mientras algunos lo utilizan como sinónimo de cumplimiento normativo (Silva Sánchez, 2011), otros lo conciben como una categoría más amplia que abarca sistemas de gestión de riesgos legales, estructuras de control organizacional y cultura ética empresarial (Gómez-Jara Díez, 2012).

• Definiciones doctrinales

En la doctrina especializada, el concepto de compliance ha sido objeto de múltiples intentos de sistematización. Entre estos intentos, encontramos una conceptualización que lo define como el conjunto de procedimientos y buenas prácticas adoptadas por las organizaciones para identificar y clasificar los riesgos operativos y legales a los que se enfrentan, y establecer mecanismos internos de prevención, gestión, control y reacción frente a los mismos.

Por su parte, Coca-Vila (2020) enfatiza que el compliance debe ser entendido como una expresión del deber de organización, exigible a toda persona jurídica, en virtud del cual debe estructurarse de manera tal que impida razonablemente la comisión de ilícitos por parte de sus integrantes. Bajo esta óptica, el compliance no se agota en el cumplimiento normativo formal, sino que implica un modelo integral de gestión legal y ética de la empresa.

Silva Sánchez (2011), en una línea similar, sostiene que el compliance representa una extensión natural de los deberes de diligencia y supervisión de los órganos de administración. Su implementación responde a la exigencia de establecer garantías preventivas estructurales dentro de las organizaciones, en un contexto donde los riesgos legales y reputacionales son crecientes.

• Naturaleza jurídica del compliance

La naturaleza jurídica del compliance ha generado amplio debate. ¿Es una obligación legal? ¿Un estándar ético? ¿Un modelo de gestión? Para resolver esta cuestión, es necesario entender que el compliance presenta una naturaleza híbrida, en tanto combina elementos de derecho duro (hard law), derecho blando (soft law) y autorregulación interna.

En sistemas como el peruano o el chileno, el compliance ha sido normativamente integrado a través de leyes que establecen la responsabilidad penal de la persona jurídica (Ley N.° 30424 del Perú; Ley N.° 20.393 de Chile), reconociendo expresamente que la adopción de modelos de prevención eficaces puede excluir o atenuar dicha responsabilidad. En tal sentido, el compliance deviene en obligación jurídica indirecta: no es que la ley imponga su implementación, sino que la omisión del mismo expone a la empresa a consecuencias gravísimas.

Además, el compliance se articula con el principio de legalidad, el deber de prevención del delito, la función de garantía institucional de la empresa y los principios de integridad y transparencia. Como señala Morales Prats (2018), el compliance se configura como un «deber legal de organización y supervisión» exigible a toda persona jurídica que opere con cierta complejidad o en sectores regulados.

• Tipologías del compliance: clasificación funcional

La creciente sofisticación del compliance ha dado lugar a diversas tipologías, clasificadas en función del riesgo que buscan mitigar o del área temática que cubren. Algunas de las más relevantes incluyen:

• • Compliance penal: orientado a prevenir delitos como cohecho, corrupción, lavado de activos, fraude, entre otros.
  • Compliance corporativo: vinculado al respeto de estatutos, códigos internos, deberes fiduciarios y principios de buen gobierno.
  • Compliance regulatorio: enfocado en cumplir normativas específicas de sectores como salud, financiero, telecomunicaciones o minería.
  • Compliance laboral: centrado en prevenir acoso, discriminación, trabajo informal, explotación o violaciones de derechos laborales.
  • Compliance ambiental: prevención de infracciones ambientales, cumplimiento de estándares sostenibles y normativas ecológicas.
  • Compliance fiscal y tributario: sistemas de control para evitar prácticas de elusión o evasión.
  • Compliance contractual: asociado a cláusulas contractuales anticorrupción, de integridad o de derechos humanos en cadenas de suministro.

Cada una de estas tipologías puede coexistir y articularse en un sistema integrado de cumplimiento.

• Fuentes del compliance: hard law, soft law y normas internas

El sistema de compliance se nutre de una pluralidad de fuentes normativas. Algunas provienen del derecho positivo obligatorio (hard law), otras del derecho blando (soft law) y muchas más de los propios instrumentos internos de la empresa:

• • Hard law: leyes penales, administrativas o regulatorias que exigen estándares de prevención o imponen responsabilidad objetiva.
  • Soft law: recomendaciones de organismos internacionales (OCDE, GAFI, ONU), normas ISO (como la ISO 37301 o ISO 37001), principios de gobernanza empresarial o estándares de los mercados financieros.
  • Normativa interna: códigos de conducta, manuales de ética, líneas éticas, protocolos de investigación interna, cláusulas contractuales, entre otros.

La interacción entre estas fuentes configura un ecosistema normativo dinámico donde la empresa no solo cumple lo que le exige la ley, sino también aquello que voluntariamente se ha comprometido a cumplir.

• Distinción con figuras afines

El compliance se distingue, aunque se relaciona estrechamente, con otras figuras jurídicas y organizacionales:

• • Gobierno corporativo: mientras el gobierno corporativo se refiere a la estructura y funcionamiento del poder interno de la empresa, el compliance actúa como un sistema de control de riesgos normativos dentro de ese marco.
  • Responsabilidad social empresarial (RSE): la RSE refleja compromisos éticos y sociales voluntarios; el compliance representa obligaciones mínimas de legalidad.
  • Sistemas de control interno y auditoría: el compliance integra y supera estos sistemas al incorporar no solo criterios financieros, sino también ético-jurídicos.
  • Due diligence: la debida diligencia es una técnica de evaluación; el compliance es un sistema permanente de control y supervisión.

El Alcance del Compliance

• Alcance jurídico-normativo

El primer eje de análisis sobre el alcance del compliance se refiere a su proyección dentro del sistema jurídico. En los ordenamientos que reconocen la responsabilidad penal, administrativa o civil de la persona jurídica, el compliance se convierte en un elemento estructural que condiciona la imputabilidad y las consecuencias jurídicas de los actos ilícitos corporativos.

El compliance, en este sentido, deja de ser una herramienta facultativa y se convierte en una obligación estructural de gestión legal preventiva. Como señala Coca-Vila (2020), la persona jurídica se convierte en garante institucional de legalidad dentro de su estructura, lo que implica una obligación de prever, evitar y mitigar los riesgos derivados del actuar de sus miembros.

En el caso peruano, la Ley N.° 30424 regula la responsabilidad penal de las personas jurídicas por delitos como cohecho, lavado de activos, financiamiento del terrorismo, entre otros. El artículo 17 establece que la persona jurídica quedará exenta de responsabilidad penal si, con anterioridad a la comisión del delito, ha implementado un modelo de prevención eficaz, adecuado a su naturaleza, riesgos y capacidad económica. Esta disposición revela cómo el compliance se convierte en condición eximente legal.

Este mismo principio se observa en el modelo chileno (Ley 20.393), argentino (Ley 27.401) y colombiano (Decreto 1674/2016). En consecuencia, el compliance tiene un alcance jurídico concreto: su adopción permite excluir o atenuar la responsabilidad penal y administrativa de la empresa. La omisión, en cambio, puede dar lugar a sanciones severas, incluyendo la disolución judicial de la persona jurídica.

Más aún, su relevancia se proyecta también en los marcos regulatorios, particularmente en materia de libre competencia, protección de datos personales, normas sectoriales, legislación ambiental y control tributario. La existencia de programas de cumplimiento adecuados es valorada como criterio de reducción de sanción o eximente parcial de responsabilidad en procesos administrativos sancionadores (Benavides, 2021).

• Alcance operativo y organizacional

Desde la perspectiva interna, el compliance alcanza todas las estructuras de la organización. No se limita a ser un conjunto de normas estáticas, sino que requiere una implementación operativa, funcional y jerárquica.

La Organización Internacional de Normalización (ISO) en su norma ISO 37301:2021 establece que un sistema de gestión de compliance debe:

• • Estar impulsado por el liderazgo de la alta dirección (principio de «tone at the top»).
  • Incluir un oficial de cumplimiento con independencia funcional y recursos suficientes.
  • Incorporar programas de formación y sensibilización a todos los niveles.
  • Desarrollar canales de denuncia anónimos y protección a los denunciantes.
  • Prever procedimientos de investigación interna, corrección, reporte y mejora continua.

El alcance organizacional implica la transversalidad funcional del compliance. Este debe integrarse con áreas como:

• • Recursos humanos: procesos de inducción, capacitación, despido y sanción disciplinaria.
  • Auditoría interna: evaluación del riesgo, controles y seguimiento.
  • Legal: evaluación normativa, alineamiento contractual, debida diligencia.
  • Finanzas: control de fraudes, lavado de activos, reportes regulatorios.

En empresas multinacionales, el compliance se extiende a filiales, subsidiarias y cadenas de suministro, a través de cláusulas contractuales, certificaciones externas y auditorías transnacionales.

• Alcance sistémico y estructural

Más allá de lo jurídico y lo operativo, el compliance tiene un alcance estructural que redefine el modelo de gestión empresarial contemporáneo.

En este plano, el compliance se articula con la noción de «empresa como sujeto ético y jurídico», donde la licitud y la legitimidad son pilares fundantes de la sostenibilidad (Esteban, 2021). Este enfoque exige una gestión basada en riesgos, mediante:

• • Identificación de áreas de exposición.
  • Evaluación periódica del riesgo inherente y residual.
  • Elaboración de mapas de riesgos legales.
  • Diseño de matrices de evaluación y decisión.

La empresa se convierte en un «ente preventivo», cuya legitimidad ya no se mide solo por su rentabilidad, sino por su capacidad de prevenir daños sociales, legales o económicos. El compliance se convierte en parte de su arquitectura institucional, al mismo nivel que la estrategia financiera o el control de calidad.

• Alcance funcional y estratégico

El compliance no solo cumple funciones normativas o defensivas. Su adopción proyecta beneficios estratégicos para la organización:

• • Función preventiva: permite evitar ilícitos, sanciones y litigios costosos.
  • Función correctiva: establece procedimientos internos de investigación, reparación y mejora.
  • Función reputacional: fortalece la confianza de los stakeholders y mejora la imagen corporativa.
  • Función competitiva: posibilita el acceso a mercados, licitaciones y financiamiento con exigencias de compliance.

La OCDE (2020) destaca que las empresas que operan bajo sistemas robustos de cumplimiento tienen mayor estabilidad jurídica, reputacional y financiera. Incluso, la existencia de sistemas de compliance es considerada por muchos fondos de inversión como una condición sine qua non para establecer relaciones contractuales duraderas.

• Alcance en la práctica global

El alcance del compliance también se define en función de las exigencias internacionales. Organismos como la OCDE, Naciones Unidas, el Banco Mundial y la ISO han establecido estándares que sirven de guía para implementar programas eficaces de cumplimiento.

Entre los más relevantes encontramos:

• • ISO 37001 (2016): sistema de gestión antisoborno.
  • ISO 37301 (2021): sistema de gestión de compliance.
  • OCDE (2020): lineamientos sobre integridad pública.
  • GAFI: estándares de prevención de lavado de activos y financiamiento del terrorismo.

Estos modelos permiten que el compliance adquiera un alcance global, siendo reconocible, certificable y exigible en procesos de contratación pública internacional, comercio transfronterizo y acuerdos de inversión extranjera directa.

• Alcance sectorial y contextual

Finalmente, el compliance tiene un alcance diferenciado según el sector y el tamaño de la empresa. En sectores de alta regulación (financiero, farmacéutico, energía, telecomunicaciones, construcción) los sistemas de cumplimiento son normativamente obligatorios y extensivos.

En pequeñas y medianas empresas (PYMES), el alcance del compliance debe ser proporcional y adaptativo. Así lo reconoce la Ley 30424 en Perú, al permitir modelos simplificados para empresas con ingresos inferiores a determinados umbrales. Sin embargo, incluso en estos casos, se exige la identificación de riesgos mínimos, designación de responsables y políticas básicas de integridad.

En la práctica, se distinguen tres niveles de madurez en el alcance del compliance:

1. 1. Compliance cosmético o simbólico (window dressing): políticas escritas sin aplicación real.
   2. Compliance reactivo: implementado tras sanciones o escándalos.
   3. Compliance estratégico: integrado al modelo de negocio y respaldado por cultura organizacional.

La evolución hacia este tercer nivel es indispensable para que el compliance cumpla efectivamente su función estructural.

Consideraciones Particulares

El estudio exhaustivo del compliance, desde su conceptualización hasta la delimitación precisa de su alcance, revela que nos encontramos ante una figura normativa que ya no puede ser abordada como una moda pasajera ni como un conjunto de buenas intenciones voluntaristas. El compliance es hoy una categoría jurídica estructural, transversal, funcional, estratégica y normativa que ha transformado la forma en que las empresas interactúan con el derecho, con sus grupos de interés y con la sociedad en su conjunto.

En primer lugar, el análisis conceptual permite afirmar con fundamento que el compliance ha superado largamente su noción etimológica y se ha convertido en un sistema complejo de gobernanza interna, orientado no solo a cumplir las normas, sino a integrarlas estructuralmente en la vida corporativa. No se trata de un apéndice o departamento aislado dentro de la organización, sino de un modelo de gestión jurídica, ética y cultural que redefine los estándares del buen actuar empresarial. Su conceptualización, por tanto, debe tener en cuenta su carácter interdisciplinario, su inserción en el marco de la debida diligencia institucional, su vinculación con los principios de legalidad y prevención, y su íntima relación con los deberes fiduciarios y organizativos de los órganos societarios. En esa línea, el compliance no es una técnica ni una moda de consultoría: es una obligación emergente del modelo de empresa moderna. Su justificación no solo descansa en el aumento exponencial de los riesgos legales, reputacionales y económicos que enfrentan las organizaciones, sino en una exigencia legítima de las sociedades democráticas por empresas que actúen con integridad, legalidad y responsabilidad. Como lo han demostrado los desarrollos normativos en Perú, Chile, Argentina, Colombia, y en diversos países europeos, el compliance opera como criterio de exclusión o mitigación de la responsabilidad jurídica, elevando su importancia al más alto nivel de exigibilidad legal.

En segundo lugar, respecto del alcance, el presente trabajo ha demostrado que este es multidimensional y progresivo. A nivel jurídico, el compliance impacta directamente en la responsabilidad penal, civil y administrativa de las personas jurídicas, convirtiéndose en una garantía institucional de legalidad. A nivel operativo, su implementación exige estructuras funcionales claras, asignación de recursos, formación constante y mecanismos de vigilancia activa. A nivel estratégico, el compliance proporciona ventajas competitivas, permite acceso a mercados globales, asegura relaciones sostenibles con stakeholders y fortalece la reputación corporativa. Y a nivel sistémico, configura un marco de gobernanza que integra lo normativo con lo ético, lo legal con lo organizacional, y lo interno con lo social. Este alcance debe entenderse, además, de forma evolutiva y adaptativa. No existe un modelo único o rígido de cumplimiento que pueda ser aplicado por igual a todas las empresas, sectores o contextos. Por el contrario, el alcance del compliance debe calibrarse según la dimensión de la empresa, su nivel de exposición al riesgo, la naturaleza de sus operaciones, su capacidad económica y su inserción en mercados locales o internacionales. Sin embargo, esta adaptabilidad no puede ser excusa para la inacción. Incluso las pequeñas y medianas empresas deben asumir responsabilidades mínimas en materia de cumplimiento, proporcionalmente a sus características, pero sin abdicar del principio de legalidad.

Asimismo, se ha hecho patente que el compliance, bien entendido, no puede ser un ejercicio meramente formalista. El riesgo de caer en el denominado window dressing —la apariencia sin sustancia— es real y grave. Un sistema de compliance eficaz debe estar integrado en la cultura de la organización, no limitado a documentos o protocolos inertes. Requiere liderazgo ético, convencimiento institucional y compromiso transversal. De lo contrario, se convierte en una estrategia reactiva o cosmética que lejos de proteger, puede agravar la situación jurídica de la empresa. Por tanto, resulta indispensable promover una madurez organizacional en compliance, que supere el enfoque reactivo y se instale como parte del ADN institucional. Este es un deber no solo frente al derecho positivo, sino frente a los principios fundamentales de una economía responsable, transparente y sostenible. Como ha sido reconocido por la OCDE, la ONU y la ISO, la implementación de sistemas de cumplimiento integrales es parte de los criterios globales de gobernanza (governance), y su ausencia puede excluir a las empresas de financiamiento internacional, licitaciones públicas y alianzas estratégicas.

En suma, el compliance ya no es un tema exclusivo de grandes empresas, ni una preocupación acotada al área penal. Su concepto ha evolucionado hacia una noción jurídica integral y su alcance se ha extendido a todos los aspectos estructurales de la organización. En el siglo XXI, una empresa sin compliance no es simplemente una empresa desactualizada: es una empresa vulnerable, en riesgo, y potencialmente inviable. El cumplimiento normativo ya no es el límite inferior de la actuación empresarial, sino su condición estructural de legitimidad, continuidad y éxito sostenible. Por ello, urge que los operadores jurídicos, las autoridades regulatorias, los órganos jurisdiccionales y, especialmente, los órganos de administración de las empresas, asuman que el compliance no es una opción decorativa, sino una necesidad institucional que define el presente y condiciona el futuro de toda organización.

Referencias:

• Benavides, J. (2021). Compliance y responsabilidad empresarial. Lima: Palestra Editores.
• Coca-Vila, F. (2020). El compliance como deber de organización empresarial. Valencia: Tirant lo Blanch.
• Gómez-Jara Díez, C. (2012). Corporate compliance y derecho penal. Madrid: Civitas-Thomson Reuters.
• Morales Prats, F. (2018). Responsabilidad penal de la persona jurídica y programas de compliance. Madrid: Bosch.
• Silva Sánchez, J. M. (2011). La expansión del derecho penal. Madrid: Civitas-Thomson Reuters.
• Esteban, F. (2021). Compliance como inversión. Madrid: Marcial Pons.
• Mendoza, G. (2020). Modelos de prevención penal y responsabilidad empresarial en el Perú. Lima: Fondo Editorial PUCP.
• U.S. Sentencing Commission. (1991). Federal Sentencing Guidelines for Organizations. Washington, D.C.
• ISO. (2016). ISO 37001: Anti-bribery management systems. Ginebra.
• ISO. (2021). ISO 37301: Compliance management systems. Ginebra.
• OCDE. (2020). Recomendación del Consejo sobre Integridad Pública. París.