Dan Ostergaard · Cofundador, Trusty · Exresponsable Global de Compliance en Novartis · Fundador de PolicyStore
Por qué los «procedimientos razonables» ahora significan formación demostrable, implementación activa y un canal de denuncias que funcione, y por qué el resto del mundo regulatorio se mueve en la misma dirección
Durante años, la prevención del fraude podía satisfacerse, o al menos defenderse, con una carpeta. Existía una política, se aprobaba, se alojaba en la intranet. Si alguien la leía, la entendía o actuaba en consecuencia era una cuestión aparte, y rara vez la que planteaban los reguladores. Esa era ha terminado.
Desde el 1 de septiembre de 2025, el delito de incumplimiento de la obligación de prevenir el fraude, según el artículo 199 de la Ley de Delitos Económicos y Transparencia Corporativa de 2023 del Reino Unido, está en vigor contra las grandes organizaciones. La mecánica es deliberadamente amplia: una organización puede ser considerada penalmente responsable, con una multa ilimitada, cuando una persona asociada (un empleado, agente, filial o contratista) comete un fraude destinado a beneficiar a la organización. La única defensa legal es que la organización tuviera procedimientos razonables implementados para prevenir ese fraude.
Y la Serious Fraud Office ha sido inequívoca sobre lo que «procedimientos razonables» no significa.
El criterio de la prueba de la SFO
El mensaje principal de las autoridades es sencillo: una política escrita sin pruebas de que realmente está funcionando no satisfará la defensa. Una política sobre la que nadie recibe formación, que no se supervisa y que no produce ningún registro de su propio funcionamiento es, a efectos de defensa, casi inútil. Lo que protege a una organización no es la existencia de un procedimiento, sino las pruebas de que el procedimiento está vivo: que las personas fueron formadas, que la formación fue comprendida, que los controles se supervisan de forma continua y que las preocupaciones pueden plantearse y se actúa sobre ellas.
Esto replantea el cumplimiento en torno a tres elementos demostrables:
- Pruebas de la formación de los empleados. No «tenemos un código de conducta», sino un registro verificable de quién recibió la formación, sobre qué, cuándo y si demostró comprensión. La formación que no puede acreditarse es, ante un tribunal, formación que no existió.
- Implementación y seguimiento continuo. Los procedimientos razonables no son un acto puntual; son un control continuo. La defensa se basa en demostrar que los controles se implementaron, fueron asumidos por personas designadas y se supervisaron a lo largo del tiempo, con un registro documentado de evaluaciones de riesgos, revisiones y subsanaciones.
- Un canal de denuncias que funcione. El primer año completo del delito ha consolidado la expectativa de que la denuncia de irregularidades, la formación en prevención del fraude y la supervisión eficaz son esenciales y no opcionales. Un canal que existe sobre el papel pero que no genera informes, ni triaje, ni medidas adoptadas es, en sí mismo, una señal de alerta.
El hilo conductor es el mismo que separa el control interno real de la mera formalidad: un control solo importa si se puede demostrar que funciona.
Esto no es una peculiaridad del Reino Unido: es la dirección global del cambio
La tentación es archivar el incumplimiento de la obligación de prevenir el fraude como «problema del Reino Unido». Eso sería un error. En todas las jurisdicciones y sectores, los reguladores están convergiendo en el mismo principio: eficacia demostrada por encima de la intención documentada.
- Reino Unido, Estrategia contra el Fraude 2026 a 2029. El 9 de marzo de 2026, el gobierno del Reino Unido lanzó una nueva Estrategia Nacional contra el Fraude, comprometiendo más de 250 millones de libras esterlinas durante tres años y un modelo de «Interrumpir, Salvaguardar, Responder». Se basa directamente en el delito de incumplimiento de la obligación de prevenir el fraude y refuerza la expectativa de que las organizaciones adopten un enfoque proactivo y basado en pruebas.
- Suiza, revisión de la normativa antiblanqueo de la FINMA. En mayo de 2026, FINMA abrió una consulta sobre una revisión parcial de su Ordenanza sobre blanqueo de capitales, y se espera que el marco revisado entre en vigor el 1 de enero de 2027. Entre los cambios: la alta dirección se enfrenta a una mayor responsabilidad por la eficacia de los controles internos, no solo por su existencia. La dirección regulatoria refleja un cambio más amplio de la supervisión de procesos a la supervisión de resultados, donde la cuestión es si un programa realmente detecta y previene la mala conducta.
- Estados Unidos, recuperaciones récord del DOJ y responsabilidad de las personas asociadas. En enero de 2026, el Departamento de Justicia informó de que los acuerdos y sentencias de la Ley de Reclamaciones Falsas superaron los 6.800 millones de dólares para el año fiscal 2025, el total anual más alto en la historia de la ley, y un aumento de aproximadamente el 120 % con respecto al año anterior. La atención sanitaria y las ciencias de la vida impulsaron la abrumadora mayoría. En particular, la aplicación de la ley llega cada vez más a distribuidores y agentes de ventas de terceros: el estatus de contratista independiente no aísla a un representante de la responsabilidad, y el fabricante al que representan también puede ser arrastrado, la misma lógica de responsabilidad ascendente que el delito del Reino Unido.
- UE, endurecimiento de la supervisión de tecnología médica. Incluso mientras la Comisión Europea propone racionalizar el Reglamento sobre los productos sanitarios, se están imponiendo obligaciones estrictas: EUDAMED se hizo obligatorio en mayo de 2026 y los requisitos de notificación de incidentes se han actualizado. Las voces de la industria han advertido que cualquier reducción en la frecuencia de las auditorías o el muestreo de la documentación corre el riesgo de reabrir las mismas lagunas donde la mala conducta pasa desapercibida.
La brecha de preparación. Una encuesta de febrero de 2026 a responsables de auditoría interna reveló que, aunque el fraude facilitado por la IA se reconoce ampliamente como un riesgo creciente, solo unos cuatro de cada diez consideraban que sus funciones estaban adecuadamente preparadas para detectarlo o responder a él.
En conjunto, la tendencia es coherente. Ya se trate de la SFO, la FINMA, el DOJ o la Comisión Europea, el nivel de garantía está aumentando, y «teníamos una política» ya no es la respuesta a la pregunta que se plantea.
La brecha de implementación y cómo cerrarla
Aquí está el problema práctico. La mayoría de las organizaciones ya tienen políticas. Lo que a menudo les falta es el tejido conectivo que convierte una política en pruebas sólidas: un registro único y auditable que vincula cada procedimiento con las personas formadas en él, los controles que lo implementan y las preocupaciones planteadas al respecto.
Esa brecha es exactamente donde una plataforma de cumplimiento dedicada se gana su lugar.
Trusty Compliance App está diseñada en torno a los tres elementos que la defensa contra el incumplimiento de la obligación de prevenir el fraude exige ahora:
- Pruebas de formación, a demanda. Trusty Compliance App mantiene un registro verificable de la distribución de políticas, la confirmación de lectura y la finalización de la formación: quién recibió formación, sobre qué versión de la política, cuándo y con qué resultado. Cuando un regulador o auditor solicita pruebas, la respuesta es un informe, no una búsqueda desesperada.
- Implementación que puede supervisar. En lugar de tratar el cumplimiento como un evento anual, Trusty Compliance App apoya la implementación continua: asignando responsables de control nominales, haciendo seguimiento de confirmaciones de lectura y revisiones, y detectando dónde están fallando los procedimientos antes de que se conviertan en un hallazgo de auditoría. Convierte los «procedimientos razonables» de una simple afirmación en algo que se acredita de forma continua.
- Canal de denuncias integrado. La misma plataforma incluye un canal de denuncias confidencial, con un triaje estructurado y una pista documentada de cómo se gestiona cada denuncia, de modo que la existencia del canal va acompañada de pruebas de que las denuncias se reciben, se evalúan y se tramitan.
El punto estratégico no es que el software sustituya a la cultura. No lo hace. Pero en un mundo donde la defensa depende de las pruebas, las organizaciones que pueden producir esas pruebas (registros de formación, pistas de supervisión, registros de denuncias, todo en un solo lugar) son las que resistirán el escrutinio. Todos los demás estarán explicando, a posteriori, por qué su política cuidadosamente redactada no evitó aquello para lo que fue escrita.
El delito está vigente. La estrategia cuenta con financiación. El rumbo global está fijado. La única pregunta pendiente es si sus procedimientos pueden demostrar su eficacia.
El criterio de la prueba de la SFO
El criterio de la prueba de la SFO exige tres cosas: formación documentada, políticas bien gestionadas y un canal de denuncias que funcione. Trusty reúne las tres en una sola plataforma, lista para auditorías y activa en menos de 5 minutos.
- Formación acreditada, a demanda. Trusty Compliance App registra quién completó qué versión de la política, cuándo y con qué resultado. Cuando la SFO lo solicite, presentas un informe con marca de tiempo.
- Políticas que su equipo realmente sigue. Trusty Compliance App convierte las políticas antifraude en registros con confirmación de lectura y marca de tiempo. Cada firma de empleado pasa a formar parte de su pista de auditoría.
- Canal de denuncias integrado. Trusty Whistleblowing es confidencial, permite el anonimato, cumple con el RGPD y se ajusta a la Directiva europea de protección del denunciante. En funcionamiento en minutos.
Avalado por más de 1.000 empresas en toda Europa. Desde 49 €/mes, sin gastos de configuración, sin necesidad de soporte informático. Trusty Whistleblowing → Compliance App → Trusty Compliance App → Todos los precios →
Fuentes
- Gobierno del Reino Unido, Publicada la nueva guía sobre el incumplimiento de la obligación de prevenir el fraude: www.gov.uk/government/news/new-failure-to-prevent-fraud-guidance-published
- Trowers & Hamlins, Fraude: qué nos depara el 2026
- Bird & Bird, Estrategia contra el fraude del Reino Unido 2026-2029
- Fiscaltec, Cumplimiento de fraude y sanciones en el Reino Unido 2026: ECCTA, OFSI
- FINMA, Consulta sobre la revisión parcial de la AMLO: www.finma.ch/en/news/2026/05/20260512-mm-anh-gwv-finma/
- GRC Report, FINMA propone una reforma de la normativa antiblanqueo
- Epstein Becker Green, Las recuperaciones por la Ley de Reclamaciones Falsas alcanzan máximos históricos en el año fiscal 2025
- MedDeviceGuide, Aplicación de la ley contra el fraude en dispositivos médicos del DOJ 2026
- MedTech Europe, Propuesta de revisión de las normas sobre dispositivos médicos
- The IIA / AuditBoard, Auditoría interna y fraude mediante IA
Preguntas frecuentes
El delito se aplica a «grandes organizaciones» según lo define la Companies Act 2006 (dos de tres: facturación superior a 36 millones de libras, balance superior a 18 millones de libras, más de 250 empleados). Las pymes por debajo de este umbral quedan actualmente fuera del ámbito de aplicación directo, pero las mismas expectativas basadas en pruebas se reflejan cada vez más en las exigencias de los reguladores sectoriales.
La SFO espera seis elementos: procedimientos proporcionados, compromiso de la alta dirección, evaluación de riesgos, diligencia debida sobre las personas asociadas, comunicación y formación, y supervisión y revisión. Cada elemento debe poder acreditarse; una política escrita sin un registro de su funcionamiento no es suficiente.
Sí. Las señales de las autoridades durante el primer año del delito dejan claro que se espera un canal interno de denuncias que funcione como parte de los procedimientos razonables. Un canal que existe sobre el papel pero que no genera informes documentados ni acciones de triaje es, en sí mismo, un indicador de riesgo.
Una plataforma dedicada como Trusty puede configurarse y estar activa en menos de 5 minutos, sin intervención del departamento de informática. Esto incluye un canal de denuncias anónimo, un panel de gestión de casos, tratamiento de datos conforme al RGPD y una pista de auditoría completa de todas las denuncias y medidas adoptadas.
Sí. Como explica este artículo, la dirección global es coherente: eficacia acreditada frente a intención documentada. La Directiva europea de protección del denunciante (Directiva (UE) 2019/1937) se aplica a todas las organizaciones del sector privado con 50 o más trabajadores en toda la UE. FINMA, el DOJ y los reguladores sectoriales están convergiendo hacia una supervisión basada en resultados.
POLÍTICAS, FORMACIÓN Y CANAL DE DENUNCIAS
Trusty Compliance App: políticas de empresa, formación en cumplimiento y un canal de denuncias en una sola aplicación para sus empleados. 10 políticas listas para usar, 6 formaciones, prueba gratuita, sin configuración de TI.