Dejan Jasnic · Cofundador y director de cumplimiento, Trusty · Más de 20 años en antifraude y cumplimiento · Miembro de la junta directiva de ACFE Swiss Chapter
Durante mucho tiempo, el cumplimiento normativo se trató como una función interna. Se redactaban políticas, se implantaban controles y la responsabilidad quedaba claramente dentro de los límites de una única organización.
En 2026, ese modelo ya no se sostiene.
En un número creciente de normativas de la UE, el cumplimiento normativo se está extendiendo más allá de las empresas individuales y hacia las cadenas de suministro de las que dependen. Este cambio no siempre es explícito, pero ya está transformando la forma en que operan las empresas, especialmente las pymes.
Un cambio estructural en cómo funciona el cumplimiento normativo en la cadena de suministro
Los avances regulatorios recientes apuntan en la misma dirección. Tanto si el foco está en el impacto medioambiental, la ciberseguridad o la delincuencia financiera, el mecanismo es cada vez más similar.
En virtud de las normas de la UE sobre deforestación, las empresas que comercializan productos deben demostrar que los bienes se obtienen de forma responsable. Ese requisito no puede cumplirse sin información detallada por parte de los proveedores. En virtud de la Directiva NIS2 (UE) 2022/2555, se espera que las organizaciones gestionen los riesgos de ciberseguridad, incluidos los que se originan en proveedores y prestadores de servicios. Los marcos de sanciones exigen que las empresas comprendan con quién están realizando transacciones, no solo internamente, sino en toda su red de socios.
En cada caso, la responsabilidad puede recaer en una empresa, pero la ejecución depende de muchas.
Esta es la esencia del cumplimiento normativo en la cadena de suministro para pymes. Incluso cuando no son el objetivo principal de la normativa, forman parte del sistema que hace posible el cumplimiento.
Cómo se manifiesta esto en la práctica
Para muchas pymes, el impacto ya es visible, aunque no se presente como regulación.
Las solicitudes de información son cada vez más frecuentes y más estructuradas. Se pide a las empresas que faciliten detalles sobre el abastecimiento, la titularidad, las operaciones o la exposición al riesgo. Estas solicitudes suelen proceder de clientes, socios o intermediarios, más que de los propios reguladores.
Lo que ha cambiado no es solo el volumen de estas solicitudes, sino la expectativa que hay detrás. Ya no basta con responder de manera informal o con el mejor esfuerzo. Existe una expectativa creciente de que la información sea precisa, coherente y esté disponible cuando se necesite.
Esto genera un nuevo tipo de presión operativa. El reto no es interpretar los textos legales, sino poder responder de una forma fiable y repetible.
El problema oculto: la fragmentación
La mayoría de las pymes ya realizan algún tipo de diligencia debida, ya sea mediante comprobaciones de incorporación, cuestionarios o revisiones internas. La dificultad es que estas actividades rara vez están conectadas.
La información suele estar repartida entre hojas de cálculo, correos electrónicos y documentos. Los procesos varían según quién gestione la solicitud. Con el tiempo, esto conduce a la fragmentación: los mismos datos se recopilan varias veces de formas ligeramente distintas y no existe una única fuente de verdad.
Este enfoque puede funcionar cuando las solicitudes son ocasionales. Se vuelve mucho más difícil de gestionar a medida que aumentan las expectativas y se acortan los plazos.
En este contexto, el riesgo real no es el incumplimiento en un sentido jurídico estricto. Es la incoherencia. Cuando la información no puede recuperarse o verificarse con facilidad, resulta difícil demostrar que se han realizado las comprobaciones adecuadas.
De un esfuerzo puntual a un proceso continuo
Otro cambio importante es el alejamiento de las comprobaciones puntuales. El cumplimiento normativo se trata cada vez más como un proceso continuo, en lugar de una actividad en un momento determinado.
Un proveedor no se revisa simplemente una vez. Puede ser necesario supervisar su estado, actualizarlo y reevaluarlo con el tiempo. Se espera que la documentación se mantenga, no solo que se cree. Lo mismo se aplica a ámbitos como la exposición a sanciones, los indicadores ESG o los riesgos de ciberseguridad.
Para las pymes, esto no significa necesariamente hacer más trabajo. Significa organizar las actividades existentes de forma que puedan repetirse y mantenerse sin empezar de cero cada vez.
Aquí es donde muchas empresas empiezan a notar la presión. Sin una estructura clara, incluso los procesos sencillos pueden volverse laboriosos.
Cómo es un enfoque práctico
El cumplimiento normativo en la cadena de suministro para pymes no requiere sistemas complejos ni grandes equipos. Requiere claridad en cómo se gestiona la información.
En un nivel básico, las empresas necesitan saber con quién trabajan, poder recopilar la información pertinente de forma estructurada y responder a las solicitudes sin reconstruir el proceso cada vez. Igual de importante, necesitan conservar un registro de lo que se ha hecho, para poder demostrarlo si fuera necesario.
Esto puede aplicarse de forma proporcional. No todas las relaciones conllevan el mismo nivel de riesgo, y no todas las solicitudes requieren la misma profundidad de respuesta. La clave es la coherencia, no la complejidad.
Dónde sienten las pymes el impacto
En la mayoría de los casos, el reto no es la concienciación. Las pymes entienden que las expectativas están cambiando.
La dificultad está en la ejecución. La información no está centralizada, los procesos no están estandarizados y la documentación no siempre es accesible cuando se necesita. Estas carencias suelen permanecer invisibles hasta que se ponen a prueba, por ejemplo durante un proceso de compras o una auditoría.
En ese momento, la capacidad de responder con rapidez y claridad se convierte en un factor competitivo.
Conclusión
El cumplimiento normativo en la cadena de suministro para pymes no es una preocupación futura. Ya está tomando forma en cómo las empresas solicitan, comparten y verifican la información.
El cambio no va de complejidad, sino de estructura: pasar de respuestas informales y puntuales a procesos sencillos y repetibles.
Para las pymes, ese cambio es lo que hace que el cumplimiento sea manejable.
Preguntas frecuentes
Las normas de la UE, como el reglamento sobre deforestación, la Directiva NIS2 y los marcos de sanciones, atribuyen la responsabilidad a una empresa, pero dependen de la información de sus proveedores, por lo que las solicitudes provienen de clientes y socios en lugar de reguladores.
La fragmentación. La información de diligencia debida se encuentra en hojas de cálculo, correos electrónicos y documentos, los procesos varían según la persona y los mismos datos se recopilan varias veces sin una única fuente de verdad.
No. El cumplimiento se trata cada vez más como un proceso continuo: el estado de un proveedor puede necesitar ser supervisado, actualizado y reevaluado con el tiempo, y la documentación debe mantenerse, no solo crearse.
Saber con quién se trabaja, recopilar la información relevante una sola vez de forma estructurada, responder a cada solicitud a partir de ese registro y mantener pruebas de lo que se ha hecho, aplicado proporcionalmente al riesgo de cada relación.
EVALUACIÓN DE RIESGOS DE TERCEROS
QuickScreen360: evalúa a proveedores y socios para detectar riesgos de cumplimiento. Envía solicitudes de diligencia debida, asigna formación y supervisa los resultados en una única plataforma.