Por María Fernanda Di Stefano / Compliance Officer | Consultora en Compliance, Riesgos y Gobierno Corporativo
Las organizaciones rara vez se deterioran de golpe.
Con frecuencia, los mayores riesgos comienzan a construirse lentamente, a través de pequeñas excepciones que inicialmente parecen razonables, transitorias o incluso necesarias para sostener la operatoria diaria.
Decisiones tomadas “solo por esta vez”. Controles que se flexibilizan para ganar velocidad y cumplir con un plazo. Procesos incompletos que alguna vez funcionaron y se mantienen por costumbre. Desvíos conocidos que permanecen demasiado tiempo sin revisión, aunque todos los conocen y comentan a viva voz.
Y quizás ahí aparezca una de las mayores dificultades culturales dentro de las compañías: El problema de las excepciones es que muchas veces funcionan.
Funcionan porque resuelven urgencias. Porque aceleran procesos. Porque destraban situaciones complejas. Y porque, al menos inicialmente, no muestran consecuencias visibles.
A simple vista, incluso, pueden parecer eficientes.
Sin embargo, muchas organizaciones no logran percibir el costo acumulativo detrás de ellas: riesgo operativo, desgaste cultural, pérdida de confianza interna, exposición reputacional y, eventualmente, contingencias regulatorias o legales.
“Las excepciones son necesarias. Pero cuando dejan de estar gobernadas, se transforman en cultura informal y riesgo organizacional.”
El verdadero problema no siempre es el dolo.
Uno de los aspectos más complejos de las excepciones es que no nacen necesariamente de una intención fraudulenta inicial. Muchas veces aparecen en espacios donde los controles son ambiguos, los procedimientos dejaron de actualizarse o los equipos no fueron correctamente capacitados.
En esas organizaciones suelen tomarse decisiones asumiendo cierto “sentido común”, sin darse cuenta que el sentido común no siempre es igual para todos y que, justamente por eso, las decisiones necesitan estar respaldadas por procesos claros, supervisados, colegiados entre áreas de impacto y bien definidos.
Cuando los límites no están claramente establecidos, las interpretaciones personales empiezan a ocupar ese espacio. A veces por presión operativa, porque “siempre se hizo así”, o simplemente porque nadie quiere ser quien frene una decisión incómoda o “ponga un palo en la rueda”.
Y entonces las personas terminan aceptando situaciones que, en el fondo, perciben como incorrectas o poco claras.
El problema se profundiza cuando quien toma esa decisión lidera equipos y arrastra también a otras personas a trabajar dentro de una excepción para evitar un conflicto o cuestionamientos frente a mandos superiores.
Incluso en organizaciones con procedimientos escritos y plataformas formales de control, aparece una dificultad frecuente: documentos que existen, pero dejaron de formar parte de la práctica real de trabajo. Procesos antiguos que nunca se adecuaron a la operatoria actual. Equipos nuevos que aprenden más desde la costumbre que desde el procedimiento formal. Y controles que sobreviven más en el papel que en la práctica cotidiana.
Cuando la excepción deja de ser excepción.
“Somos lo que hacemos repetidamente.”
Las dinámicas más riesgosas en las organizaciones, rara vez aparecen de golpe. Suelen en cambio construirse lentamente, a través de pequeñas decisiones repetidas que dejan de revisarse críticamente.
Por ejemplo: servicios recurrentes que continúan contratándose bajo las mismas condiciones durante años sin revalidar procesos o contratos, sin realizar sus debidas diligencias y background checks, proveedores históricos que permanecen activos porque ya fueron desarrollados en algún momento y no se corrobora su competitividad en el mercado, controles que dejan de ejecutarse con el mismo nivel de rigurosidad porque “nunca hubo problemas”. Y es asi como las excepciones terminan incorporándose a la operatoria habitual.
Aunque muchas veces no exista una intención incorrecta detrás de eso, la comodidad puede transformarse en una mala consejera cuando reemplaza la revisión de las decisiones.
Cuando las pequeñas decisiones repetidas terminan moldeando cultura y las excepciones dejan de cuestionarse, sin quererlo se ven transformadas en una política informal.
El riesgo humano detrás de las excepciones
Las personas observan muchísimo más de lo que las organizaciones creen.
Observan qué excepciones se toleran, quién puede impulsarlas, qué mensajes transmite la conducción/ los líderes, y si los criterios se sostienen de manera consistente o cambian dependiendo de quién solicita la excepción.
Desde afuera, aquello que internamente se percibe como confianza, agilidad o practicidad, puede empezar a interpretarse como favoritismo, falta de transparencia o pérdida de independencia en los procesos.
Desde la óptica cultural, y dependiendo del perfil y la sensibilidad de los recursos, es frecuente que ocurran dos fenómenos simultáneos:
- Por un lado, algunas personas empiezan a adaptar rápidamente su conducta a esa lógica informal: “Si esto funciona así, yo también tengo que moverme de esta manera.”
- Por otro lado, aparece la frustración. Especialmente en aquellas personas que todavía creen en el valor del proceso y quedan obligadas a ejecutar decisiones que perciben inconsistentes con los criterios formales de la organización.
Con el tiempo, muchos colaboradores dejan de cuestionar, se resignan, bajan los brazos.
Y entonces aparecen los rumores de pasillo, las percepciones de favoritismo y una sensación muy difícil de revertir: que las reglas no aplican igual para todos.
Ese desgaste organizacional suele ser mucho más profundo de lo que las compañías imaginan. Porque antes de que aparezca una crisis visible, suele emerger algo mucho más silencioso: el deterioro de la confianza cultural.
Qué dicen los marcos de control y compliance.
Los principales marcos internacionales de control interno, auditoría y compliance vienen alertando hace años sobre este fenómeno.
El modelo COSO —uno de los marcos más utilizados sobre control interno y gestión de riesgos— reconoce expresamente que los controles pueden fallar por error humano, fallas de criterio o incluso por la capacidad de la propia dirección de sobrepasar controles establecidos. Muchas veces los sistemas de control no se deterioran por ausencia de políticas, sino porque las excepciones terminan reemplazando al proceso formal.
ISO 37301, ISO 9001 e ISO 31000 coinciden también en un punto central: las desviaciones requieren trazabilidad, evaluación formal, mecanismos de revisión y decisiones conscientes respecto del riesgo asumido. Desde esa lógica, una excepción no debería tratarse como una autorización informal para “hacer algo distinto”, sino como una decisión de riesgo que necesita ser gestionada.
En materia de auditoría interna, incluso se advierte especialmente sobre el denominado “management override”, es decir, la capacidad de la dirección de sobrepasar controles establecidos sin mecanismos adecuados de supervisión, debilitando así sistemas técnicamente bien diseñados.
Por eso, en organizaciones maduras, una excepción no debería quedar librada únicamente a la urgencia del momento. Debería estar correctamente documentada, aprobada bajo criterios claros, contar con trazabilidad, plazo definido y mecanismos de revisión periódica que permitan evaluar su impacto y evitar que termine transformándose en práctica habitual.
Gobernar la excepción: cómo evitar que el atajo se vuelva sistema
Las excepciones no deberían eliminarse por completo.
Toda organización necesita cierto grado de flexibilidad para operar y es razonable que así sea.
En organizaciones maduras, las excepciones suelen gestionarse mediante solicitudes formales, debidamente fundamentadas, identificando el riesgo asociado, sus mitigantes y el impacto potencial que conllevan.
Deberían contar con aprobación independiente, plazo de vigencia, seguimiento, revisión periódica y cierre formal.
Cuando una excepción empieza a renovarse permanentemente o aparece de manera sistemática dentro de un área, probablemente la organización ya no esté frente a una excepción. En esos escenarios debería preguntarse:
- si el proceso está correctamente diseñado,
- si la política que lo respalda continúa vigente,
- si existe una necesidad operativa, comercial o financiera que dejó de cuestionarse con el tiempo.
En auditoría y compliance, el problema no suele ser la existencia aislada de excepciones, sino el momento en que empiezan a volverse recurrentes dentro de procesos sensibles. Sería correcto preguntarse: ¿La organización está gestionando excepciones puntuales o ya depende de ellas para funcionar?
Cuando una organización necesita aprobar constantemente desvíos en temas críticos (como conflictos de interés, contrataciones o controles clave) probablemente ya no esté frente a situaciones extraordinarias, sino ante una señal de que el proceso formal dejó de acompañar la realidad operativa. Ahí es el momento en que deberían intervenir Compliance, Riesgos, Auditoría Interna y la Alta Dirección para revisar los procesos.
“La cultura se come a la estrategia en el desayuno.”
Las organizaciones necesitan resultados. Y es lógico que quienes lideran una empresa tengan como foco el crecimiento, la rentabilidad y la continuidad del negocio.
Pero la sostenibilidad de una organización no depende únicamente de sus resultados, sino también de la calidad de las decisiones que toma todos los días, incluso en los niveles más operativos.
Los riesgos más complejos rara vez aparecen de un día para otro.
Suelen construirse lentamente, a través de pequeñas excepciones normalizadas, conflictos de interés no declarados, controles que dejan de revisarse o señales que nadie se anima a plantear.
Por eso, construir una cultura sana no es responsabilidad exclusiva de la Alta Dirección, de Compliance o de Auditoría Interna.
También depende de quienes participan diariamente en los procesos, hacen preguntas, documentan correctamente, levantan alertas y sostienen criterios aun cuando resulte incómodo.
La reputación de una compañía rara vez se construye únicamente desde el marketing o el discurso institucional.
Se construye en cómo las personas viven la organización puertas adentro. En cómo se toman las decisiones. Y en cuánto espacio existe para escuchar lo que ocurre antes de que aparezca un problema visible.
Quizás uno de los mayores desafíos del liderazgo actual no sea solamente conducir resultados, sino conservar la sensibilidad suficiente para no perder de vista aquello que, por cotidiano, empieza lentamente a naturalizarse.
Porque cuando las personas perciben coherencia, escucha y criterios claros, la confianza deja de ser un discurso y empieza a transformarse en cultura.