Por Abg. Gianfranco Barchiesi.
El autor profundiza sobre cómo la Tecnología de la Información se ha convertido en un pilar central para el cumplimiento normativo en las empresas, superando incluso a áreas tradicionalmente asociadas con este campo. Explora la creciente importancia de enfrentar los riesgos de ciberataques, la relevancia del big data y la inteligencia artificial en la gestión de compliance, y cómo la evolución tecnológica desafía las prácticas actuales. Este análisis invita a los especialistas a actualizar sus conocimientos y estrategias para abordar los nuevos desafíos que la tecnología presenta en el ámbito del cumplimiento normativo.
Gianfranco Barchiesi es abogado de la Universidad de Mendoza y ex alumno del IAE, especialista en cumplimiento normativo y temas a fin. Como becario del DAAD se encuentra actualmente realizando una investigación doctoral en Alemania sobre la “adaptación de los programas de compliance de multinacionales a la realidad local en terceros países”. LinkedIn: https://www.linkedin.com/in/gianfranco-barchiesi/
FT, https://www.ft.com/content/e1046e2e- 1
Las leyes de responsabilidad penal de las personas jurídicas, de persecución del soborno transnacional como la FCPA y las normas de prevención de lavado de activos son el punto de partida del Compliance. De aquí deriva un claro sesgo al interpretar el tema desde esta perspectiva. Los abogados, seguidos de los auditores y contadores, somos aún hasta el momento quienes ensanchamos las huestes de especialistas en la materia contribuyendo así a una perspectiva predominantemente legalista o administrativa del tema.
Dicho esto, compliance es mucho más que controlling y anticorrupción: también engloba el antimonopolio, la seguridad de productos, el control de exportaciones e importaciones, el respeto de los derechos humanos, etc. A modo de ejemplo, recientemente se ha emparentado con compliance el amplio mundo ESG, que abarca cuestiones tales como la no discriminación, el respeto al medio ambiente y el cuidado de los stakeholders. Dicho esto, hay un área que ha tomando una marcada centralidad y demanda mayor atención: Information Technology o IT.
Muchos expertos han advertido la preeminencia de IT en el mundo del compliance, al punto de que es en este momento uno de sus principales impulsores y guías. 1 Sin ir más lejos, es posible que haya más departamentos de compliance dentro del área de IT que del área de legales, 2 y más de un estudio refleja que muchas empresas reportan que un ataque informático y la seguridad de sus datos son el principal riesgo de compliance que enfrentan de momento. 3 Es hora de que, corriendo por un momento la vista del compliance anticorrupción, exploremos los diferentes puntos de contacto entre IT y compliance.
Cyberattacks & Disclosure
Los ataques informáticos son, al día de hoy, quizás el principal riesgo de compliance que corren las organizaciones. Hay una tendencia a subestimarlos, pero el impacto que pueden tener sobre una organización es brutal. 4 Este año MGM, una de las cadenas de hoteles más importantes en Las Vegas, sufrió un ataque informático 5 de tal magnitud que las operaciones quedaron paralizadas. Los huéspedes no podían acceder a sus habitaciones ni se podían concretar las reservas. A fin de 2023, la concreción de transacciones inmobiliarias quedó imposibilitada en el First American Bank fruto de un ataque informático. 6 Infracciones de seguridad informática pueden inclusive constituir un incumplimiento contractual. 7 También para el sector público constituyen un riesgo importante, con un potencial impacto en el mercado de bonos y ensanchando el public compliance. 8
En razón del impacto que un ataque puede tener sobre los inversores, la SEC ha publicado una nueva reglamentación de central importancia que obliga desde diciembre 2023 a denunciar los ciberataques que haya sufrido una compañía. 9 El potencial ocultamiento de un ataque o las eventuales consecuencias del reporte son solo dos de los tantos motivos por el cual compliance debe intervenir. El reporte frente a la SEC requiere “materialidad”, que en criollo significa “envergadura”. Para determinarla se están delineando dos criterios: uno cuantitativo, un impacto sobre el 1% al 2% de los ingresos, y otro cualitativo, 10 como cuando salen a relucir debilidades sistémicas. 11 Estos reportes deben ser además precisos, ya que ha habido multas por imprecisiones en los términos del reporte. 12 Uno de los desafíos más importantes en materia de reportes de hackeo es garantizar sistemas de comunicación interna suficientes. 13 La cuestión es tan seria que las auditoras deben, como parte de su auditoría externa, evaluar cómo fue la respuesta de la empresa ante un evento de ciberseguridad. La PCAOB evaluará luego la auditoría externa también en este aspecto. 14 Si el programa arroja fallas en áreas de ciberseguridad la empresa puede ser sancionada por los órganos reguladores, especialmente en determinados sectores. 15
Por su originalidad, sorprende el caso de un ransomware que amenaza con reportar a la SEC el ataque informático si no se paga el rescate. 16 Esto es debido a que la SEC podría imponer una multa si recibe un aviso del ataque antes del reporte de la propia compañía. Ransomware es un riesgo estratégico capaz de poner en jaque todo el andamiaje público, no solo por el pago de rescates sino por el costo de la prevención. 17 El pago de rescates es una práctica que se ha normalizado y la cantidad de ataques ha crecido incesantemente. Sin embargo, se están evaluando alternativas, la más llamativa es el contrato de seguros, no solo porque el pago de rescates no es la solución definitiva, sino también por la asistencia y los incentivos que genera la relación con la aseguradora. 18
Gary Gensler, chair of the SEC.
El ataque informático “SolarWinds” merece mención aparte y no puede pasarse por alto. Enfocándonos en los aspectos más relevantes, el caso destaca porque logró infectar miles de computadoras, muchas de ellas del gobierno, sin ser detectado durante meses, en lo que puede considerarse el ataque informático más formidable del que se tenga registro. 19 El modo en que se infiltró también fue novedoso, atacando al desarrollador de las actualizaciones del software e infectando cuando esta fue descargada. Este caso nos hace reflexionar sobre posibles infecciones informáticas latentes, a la espera de ser descubiertas, especialmente considerando que SolarWinds no fue ni el único ni el primer caso. 20
Sanctions Compliance
Señalado como “la nueva FCPA” por el DOJ, 21 el cumplimiento de sanciones en exportaciones e importaciones está estrechamente relacionado con la exportación de tecnología. Particularmente la exportación de Chips, pero también la prestación de ciertos servicios informáticos, está vedada a ciertos países, especialmente China, Rusia, Irán y Cora del Norte por razones de defensa. El riesgo no es solo potencial: estos años la OFAC y el DOJ han impuesto múltiples multas por violaciones en esta normativa. Entre ellos se destacan las sanciones impuestas a Seagate por exportar discos duros a China, 22 a Microsoft por exportaciones a Crimea, Cuba, Siria e Irak 23 y a SAP por prestarle servicios a Irán. 24
Big Data & Data Analytics
Habitualmente entendemos a“Data Analytics” dentro de compliance como una herramienta para la medición del desempeño del programa mediante el estudio de los KPIs 25. También en el procesamiento de información durante una investigación interna juega un rol clave el Data Analytics. 26 Esto no es más que solo el principio. Aunque muy pocas organizaciones lo tengan incorporado, 27 Es necesario ir más allá y aplicar esta tecnología también en la prevención, particularmente en la detección de red flags, analizando las actividades y detectando patrones inusuales. 28
El DOJ también ha estado empujando para su adopción como parte de los programas de cumplimiento, ofreciendo ventajas a quienes lo incorporen. 29 Un ejemplo es el caso de Bank of América, que podría haber prevenido una multa si hubiera prestado mayor atención al análisis de sus datos. 30 Sin ir más lejos, ABinBev manifiesta que ha estado 3 años desarrollando una tecnología de Data Analytics para la evaluación de terceras partes. 31
A su vez hay una contra cara del Data Analytics desde el aparato de enforcement. Desde hace bastante tiempo que el DOJ aplica esta tecnología en sus investigaciones y aparentemente ha sido clave para el descubrimiento de más de un caso. 32
AI: Inteligencia Artificial
La inteligencia artificial ha irrumpido de manera abrupta en múltiples áreas de nuestra vida. Es una herramienta polifacética y versátil, capaz de ofrecer un sin número de soluciones. Compliance no ha sido una excepción en este sentido y la mayoría de los compliance officers están familiarizados con esta tecnología. Sin embargo, el grado de confianza sobre ella es bajo, atribuible posiblemente a la inmadurez de la tecnología. 33 Se espera por tanto que, en el mediano plazo, en la medida que madure y se perfeccione, sea masivamente adoptada, especialmente en Data Analytics. 34
AI es a su vez un riesgo, al servirle de herramienta a los defraudadores para evadir controles, mecanismos de detección, suplantar identidad con métodos deepfake, etc; 35 pero principalmente porque su potencial disruptivo y su funcionamiento independiente alberga posibles violaciones regulatorias encubiertas.
Una de las consecuencias más peligrosas de la irrupción de la AI es que, en la medida que nos acostumbramos a emplearla, podemos desarrollar “overtrust”, 36 es decir, exceso de confianza en la tecnología. Del mismo modo que seguimos con los ojos vendados las rutas que marca Google, podemos caer en la tentación de creerle ciegamente, siendo que no son pocos los casos en los que la herramienta induce al error. 37 Hay tareas que no se pueden automatizar. 38 A su vez, habría indicios de que las organizaciones no están actualizando sus controles internos en la medida que adoptan AI. 39 Las últimas sanciones por el uso de AI reflejan esta inmadurez en la tecnología, vinculada a una falta de controles.
Sin ir más lejos, hace pocas semanas en 2023 la empresa Rite Aid fue sancionada por la FTC por falsos positivos en un software de detección facial de ladrones de tiendas. 40 Básicamente se registraba el rostro de quien había robado y se lo detectaba con AI cuando intentaba volver a comprar en la tienda. Otras empresas de retail están explorando tecnologías similares, especialmente en el Reino Unido. 41
Los diferentes Estados están analizando qué forma deberá tomar su regulación. 42 Sin ir más lejos, la UE europea acaba de llegar a un acuerdo sobre su legislación, 43 y la SEC está explorando su uso por intermediarios en los mercados financieros. 44 Evidentemente estamos en los albores de una nueva revolución y por lo pronto desde el departamento de Compliance debemos atender a los riesgos más inmediatos, prestando atención al desarrollo de esta tecnología.
Un campo de aplicación de la AI que recibe especial atención regulatoria es el del reclutamiento de personal, postulaciones y asistencia con inteligencia artificial. Es práctica estándar el filtro de postulaciones mediante herramientas informáticas y estas han comenzado a emplear inteligencia artificial. El primer inconveniente es que la AI refleja los sesgos humanos y los institucionaliza. En un caso, un algoritmo priorizaba candidatos llamados “Jared” o que jugaran “Lacrosse” por ser características prevalentes de empleados de alto rendimiento, sin advertir que esto constituye una práctica discriminatoria lisa y llana. 45 La imposibilidad de auditar el funcionamiento de la AI lleva a que estas distorsiones sean casi indetectables. 46 El estado de Nueva York, luego de introducir regulación al respecto, 47 y de haber pospuesto su entrada en vigor 48 observa cómo luego de 6 meses son pocas las empresas que denuncian un sesgo por un error en la redacción de la norma. 49
Por último, un punto de contacto interesante entre AI y compliance es el “AI washing”. 50 Se cree que el último boostaccioario en Wall Street deriva de los avances de AI del último tiempo. Esto ha llevado a muchas empresas a reportar el uso de AI en sus procedimientos para subirse al tren alcista. Cuando estas declaraciones son exageradas hablamos “AI washing”, una práctica contra la cual ya ha hecho una advertencia el director de la SEC Gary Gensler. 51
Crypto & Blockchain
Aunque la industria crypto está construida sobre la tecnología blockchain, es importante no mezclar o confundir a una con la otra. Blockchain ofrece grandes ventajas potenciales en lo que hace a la construcción de seguridad jurídica y descentralización, al garantizar su inviolabilidad sin la intervención de autoridad alguna. Sin perjuicio de que se espera que su potencial disrruptivo demuestre su alcance en el mediano plazo, han habido más novedades en el mundo crypto.
La principal novedad es la decisión de los órganos de policía y judiciales de intervenir, ya sea para la recuperación de activos o para regularla. En este proceso no se ha intentado moldear la realidad a fuerza de decretos, como ha sucedido en otras áreas, sino que se ha aceptado su naturaleza y se ha ido regulando y aplicando la ley sobre la marcha, de manera orgánica. Una posibilidad era intentar su prohibición, pero parece haberse reconocido que esto no hubiese logrado otra cosa más que someter a millones de ahorristas a la clandestinidad. 52 Es una lección regulatoria en tiempos en que la inteligencia artificial irrumpe estrepitosamente.
En segundo lugar, vale destacar la capacidad que han demostrado estos mismos órganos para hacer un enforcement legal efectivo sobre estas normas. Sobran casos de empresas sancionadas, especialmente por violar las provisiones de prevención de lavado, contándose entre ellas Tornado Cash, 53 Kraken 54 y Bitzlato. 55 Particularmente en la mira están las mezcladoras de cryptomonedas, herramienta que imposibilita el rastreo de las transacciones previas a través de la Blockchain. 56 Debe mencionarse en este sentido la caída este 2023 de ChipMixer, que ha lavado 3 billones de dólares. 57 A nivel Latinoamericano destaca la guía del GAFILAT en cooperación con el GIZ 58 para la recuperación de activos virtuales. 59
La SEC tiene la intención de ponerlas bajo su órbita regulatoria, aunque la judicialización de sus facultades, 60 amenaza este objetivo. 61 Lo que está en tela de juicio es la naturaleza jurídica de las criptomonedas, respecto de si se trata o no de un “security”, entendiendo como tal cualquier instrumento financiero negociable, en cuyo caso estaría sometido a la regulación pertinente y sus inversores a la protección que les corresponde. Dos casos convulsionaron el mundo del compliance este 2023: Se trata de las sanciones y cargos contra FTX 62 y Binance. 63 Aunque superficialmente parecen similares, son completamente diferentes y apasionantes a su modo.
Herramientas Tecnológicas y Software – Mantenimiento de Registros & Mensajería Instantánea
Un aspecto que tampoco puede quedar desatendido es el rol central del software en la gestión de un programa de cumplimiento. Cada vez más funciones están siendo automatizadas 64 y la venta de software a estos fines es un negocio floreciente. 65 La adopción de soluciones informáticas es una estrategia central para enfrentar un contexto regulatorio cada vez más exigente. Es también la principal solución para recortar costos, simplificar y automatizar procedimientos. Sin embargo, 20% de las empresas emplea solamente meras planillas de Excel para elaborar los reportes de compliance, que son a su vez una de sus principales responsabilidades y cada vez más compleja. 66 Por ello mismo, el desarrollo de capacidades informáticas suficientes para enfrentar los crecientes desafíos regulatorios es también una preocupación dentro del área. 67 Los órganos de contralor no se quedan atrás y por ejemplo la SEC ha impuesto en muchos de los últimos acuerdos el desarrollo de tecnologías capaces de disminuir el riesgo de compliance. 68
Quizás el tema más álgido del año es la obligación de llevar registros documentales de las comunicaciones en la organización. Esta no es tan solo una obligación de algunas empresas según su industria, sino además de toda aquella que quiera acreditar un programa ante el DOJ. La obligación de mantener registros y preservar la información contenida en los canales de comunicaciones está mencionada como tal en su guía. 69 Esto implica que el uso de WhatsApp u otra aplicación de mensajería instantánea efímera dentro de la organización o con terceros puede implicar una violación de esta obligación. Se debe por ello arbitrar medios necesarios a fin de resguardar estas comunicaciones. Caso contrario una eventual investigación interna se vería severamente entorpecida. Durante los últimos dos años hemos visto múltiples sanciones de alto monto a muchos bancos 70 por el uso de estas aplicaciones. 71 La dirección de las compañías alentaba a esta práctica, demostrando además un problema cultural. 72
Un fenómeno cada vez más creciente de software corporativo es aquel dedicado a la supervisión de los empleados. Se relaciona también con el Big Data y el involucramiento excesivo de sensores en las organizaciones, desde cámara y micrófonos hasta termómetros y lásers, recabando información sobre lo que sucede en la empresa, pero en última instancia vigilando al personal. 73 Las remembranzas al Panóptico de Foucault y a MinorityReport son patentes: vigilancia permanente y sanción ex-ante. El riesgo de compliance es patente. En este sentido viene a colación una sanción que recibió hace pocas semanas Amazon Francia, por vigilancia excesiva de su personal. 74
Conclusión
Cada uno de estos ámbitos amerita un estudio aparte y no es el objetivo aquí tratar de agotar los temas. Se podrían seguir nombrando puntos de contacto, como la informatización de las capacitaciones internas. Este primer vistazo nos brinda al menos la capacidad de visibilizar los temas a fin de incluirlos dentro de nuestro radar. Saber que están sobre la mesa y que se nos encienda la lamparita del riesgo cuando se mencionen, evitando así pasarlos por alto. Ha llegado la hora de que los especialistas de cumplimiento nos interioricemos en aspectos informáticos para ser capaces de identificar los riesgos, responder ante las diferentes situaciones e interactuar con las áreas y profesionales pertinentes, capaces de preparar la organización ante esta realidad. 75
Disclaimer
Los puntos de vista, las opiniones y las posiciones expresadas en todas las publicaciones pertenecen únicamente a los autores y no representan las de la Universidad Austral, el IAE Business School o las empresas o instituciones que las apoyan. No se garantiza la exactitud, integridad y validez de las expresiones hechas en este artículo. No aceptamos ninguna responsabilidad por errores, omisiones o representaciones. Los derechos de autor de este contenido pertenecen a los autores y cualquier responsabilidad con respecto a la infracción de los derechos de propiedad intelectual recae en ellos. En ningún caso podrá ni deberá considerarse la información, análisis y opiniones brindadas en todo o en parte de este artículo como asesoramiento, recomendaciones u opiniones profesionales o legales. El lector que necesite tomar decisiones sobre los temas aquí tratados deberá asesorarse específicamente con profesionales capacitados que evalúen las características, normas legales y conceptos aplicables a su caso específico.
