Blog · Cumplimiento y LA/FT
Modelo de prevención Ley 30424: eficaz, no decorativo
La Ley 30424 abrió una puerta poco frecuente en el derecho sancionador: una empresa puede evitar o reducir su responsabilidad si demuestra que tenía un modelo de prevención funcionando antes del delito. La trampa está en la palabra funcionando. Un modelo que solo existe en una carpeta no exime a nadie y, en el peor de los casos, prueba que la empresa sabía qué debía hacer y no lo hizo.
Qué es un modelo de prevención y para qué sirve de verdad
La Ley 30424 permite atribuir responsabilidad a la persona jurídica por un catálogo de delitos que incluye cohecho, lavado de activos, financiamiento del terrorismo y figuras vinculadas a criminalidad organizada, cuando el hecho se comete en su nombre o en su beneficio por quienes ejercen posiciones de autoridad o por quienes están bajo su dirección. Las consecuencias posibles son severas: multa, inhabilitación para contratar con el Estado, suspensión de actividades, clausura de locales y disolución en los escenarios más graves.
Frente a eso, la ley reconoce el modelo de prevención como eximente o atenuante, siempre que estuviera implementado con anterioridad a la comisión del delito y resulte adecuado a la naturaleza, los riesgos, las necesidades y las características de la empresa. Cuando el caso llega al Ministerio Público, la evaluación técnica del modelo puede encargarse a la Superintendencia del Mercado de Valores, que analiza si el modelo existía y si funcionaba.
De ahí se desprende la única pregunta que importa: si mañana un fiscal pide evidencia del funcionamiento del modelo durante los últimos años, ¿qué se le entrega? La respuesta separa un modelo real de uno decorativo mucho antes que cualquier auditoría.
Encargado de prevención: autonomía o nada
El primer elemento es una persona o un órgano designado por el máximo órgano de administración, con autonomía para ejercer la función. La autonomía no es un adjetivo del organigrama: se demuestra con hechos verificables.
- Reporta al directorio o al máximo órgano de gobierno, sin filtro de la gerencia general cuando el asunto la involucra.
- Tiene presupuesto asignado y capacidad de contratar apoyo externo cuando lo necesita.
- Su remuneración y su permanencia no dependen del área comercial que debe controlar.
- Accede a cualquier información de la empresa sin negociarla caso por caso.
- Su designación y su remoción constan en acta y están motivadas.
En organizaciones pequeñas la función puede recaer en el propio órgano de administración, bajo criterios de proporcionalidad. Lo que no admite atajos es el conflicto de interés: cuando el encargado de prevención depende de quien firma los contratos que debería revisar, el modelo nace inválido aunque el documento sea impecable.
Identificación y evaluación de riesgos: el elemento que sostiene todo
Un modelo se construye desde el riesgo real de la empresa, no desde una plantilla descargada. Eso obliga a mirar procesos concretos: contrataciones con el Estado, relaciones con funcionarios y reguladores, intermediarios y agentes comerciales, donaciones y auspicios, obsequios y hospitalidad, contratación de terceros, compras, tesorería y pagos, y las operaciones en jurisdicciones de mayor riesgo.
El producto útil no es una matriz con colores. Es un mapa que responde tres cosas por cada riesgo relevante: cómo podría cometerse el delito en esta empresa en particular, qué control lo impide hoy y quién es responsable de ejecutarlo. Cuando la evaluación no llega a ese nivel de detalle, los controles terminan siendo genéricos y no resisten la primera pregunta específica.
Un buen indicador de calidad: si la evaluación de riesgos de la empresa le serviría sin cambios a un competidor de otro rubro, no es una evaluación de riesgos.
Un canal de denuncias que la gente se atreva a usar
Los procedimientos de denuncia son el sensor del modelo. Su sofisticación técnica importa menos que la confianza que generan. Un canal administrado por el jefe directo, sin opción de anonimato y sin respuesta visible, no produce información: produce silencio y, con él, la falsa tranquilidad de que no pasa nada.
Lo que distingue un canal operativo es fácil de verificar. Existe más de una vía de acceso, admite reportes anónimos, está abierto también a terceros como proveedores y clientes, tiene un protocolo de investigación escrito con plazos y responsables, protege de forma efectiva contra represalias y cierra cada caso con una decisión documentada. Una empresa mediana que en varios años no registra una sola denuncia no tiene un problema de conducta ejemplar: tiene un canal que nadie usa.
Difusión y capacitación: que deje rastro y cambie decisiones
La capacitación es el elemento más fácil de simular y el más fácil de desarmar. Un video anual con cuestionario de opción múltiple demuestra que la empresa gastó tiempo, no que su gente sabe qué hacer cuando un intermediario propone un pago irregular. La formación útil es segmentada: el equipo que trata con funcionarios necesita un contenido distinto del de tesorería, y el directorio necesita entender su propio deber de supervisión.
Igual de importante es la difusión hacia afuera. Las políticas de prevención deben llegar a proveedores, agentes, distribuidores y socios de negocio, con cláusulas contractuales que permitan auditar y terminar la relación. Y todo esto tiene que dejar evidencia utilizable: registros de asistencia, materiales fechados, resultados de evaluación, constancias de aceptación de políticas y comunicaciones internas conservadas.
Evaluación y monitoreo continuo: el modelo se prueba probándolo
Un modelo sin monitoreo envejece rápido, porque la empresa cambia: entra un socio nuevo, se abre una línea de negocio, se contrata a un agente en otra región. El monitoreo continuo se manifiesta en pruebas concretas, no en declaraciones de intención.
- Revisión de la evaluación de riesgos cada vez que hay cambios relevantes en el negocio.
- Pruebas de controles: muestreo de expedientes de terceros, revisión de aprobaciones de gastos de representación, verificación de los conflictos de interés declarados.
- Debida diligencia documentada sobre socios de negocio y en operaciones de adquisición.
- Evaluaciones independientes, internas o externas, con hallazgos y planes de acción que tengan responsable y fecha.
- Reporte periódico al órgano de gobierno, discutido y registrado en acta.
Los hallazgos importan menos que su destino. Un modelo creíble muestra hallazgos cerrados; uno decorativo muestra informes sin consecuencias y planes de acción que se repiten año tras año.
Cómo se distingue un modelo real de uno de escritorio
Al revisar programas de distinto tamaño, las diferencias se repiten con una regularidad casi aburrida.
- El modelo de escritorio se aprueba y se archiva. El real se ejecuta y deja huellas fechadas en sistemas y actas.
- El de escritorio copia una plantilla. El real nombra los riesgos concretos del negocio, incluidos los incómodos.
- El de escritorio nunca detuvo nada. El real tiene casos donde se rechazó un cliente, se terminó un contrato o se frenó un pago.
- El de escritorio depende de una persona. El real está incorporado en los procesos: sin la aprobación de cumplimiento, el sistema no deja avanzar.
- El de escritorio se activa cuando se anuncia una inspección. El real produce información aunque nadie esté mirando.
- El de escritorio incomoda a quien denuncia. El real sanciona a quien incumple, incluso si vende mucho.
Existe una prueba final, sencilla y desagradable: pedir la evidencia sin aviso. Si producirla toma semanas y varias reuniones para ordenar los papeles, el modelo no estaba funcionando; se estaba reconstruyendo.
Por dónde empezar si hoy el modelo es solo un documento
Corregirlo no exige refundar la empresa. Exige orden y secuencia. Primero, una evaluación de riesgos hecha con entrevistas reales a quienes toman decisiones expuestas. Segundo, la designación formal del encargado de prevención en condiciones que hagan creíble su autonomía. Tercero, elegir pocos controles y hacerlos funcionar de verdad antes de multiplicarlos.
Después viene lo que sostiene el modelo en el tiempo: capacitación segmentada con evidencia, un canal de denuncias con protocolo y protección efectiva, y un ciclo de monitoreo que llegue al directorio y quede en acta. Nada de esto sustituye la revisión del texto vigente de la ley, su reglamento y los plazos aplicables, que deben verificarse en la fuente oficial y con el asesor legal de la empresa. Pero define la diferencia entre llegar a una investigación con un argumento sólido o llegar con una carpeta bien encuadernada.
Preguntas frecuentes
¿Es obligatorio implementar un modelo de prevención en Perú?
No opera como una obligación general cuyo incumplimiento se sancione por sí mismo, sino como la condición para acceder al eximente o atenuante de responsabilidad. En la práctica se ha vuelto además un requisito comercial y contractual en varios sectores.
¿Una certificación garantiza que el modelo sea válido?
No. Una certificación puede servir como evidencia, pero lo que se evalúa es el funcionamiento efectivo del modelo antes del hecho. Si los controles certificados no dejaron rastro de ejecución, el certificado pierde valor.
¿Una empresa pequeña necesita el mismo modelo que una grande?
No. El estándar es la adecuación a la naturaleza, los riesgos y las características de la organización, y la normativa admite esquemas simplificados y proporcionales para empresas de menor tamaño. Lo que no se reduce es la exigencia de que funcione.
¿El modelo de prevención reemplaza al sistema de prevención de LA/FT?
No. Son marcos distintos con supervisores distintos: el sistema de prevención de LA/FT responde ante la UIF y la SBS en calidad de sujeto obligado, mientras que el modelo de la Ley 30424 apunta a la responsabilidad de la persona jurídica en sede penal. Conviene integrarlos, no confundirlos.