Ante un mundo donde la continua volatilidad geopolítica, regulatoria y tecnológica se ha convertido en la norma, el concepto de compliance emerge para las empresas como elemento imprescindible de resiliencia y competitividad. Su encargado, el compliance officer, no es el 'abogado de la compañía'. Su misión no pasa por defender a la organización, sino por velar por los intereses de quienes se encuentran fuera de ella, es decir, clientes, proveedores, accionistas y sociedad. Una diferencia de fondo que esclarece Fran López, director de Legal y Cumplimiento en Opplus, en una entrevista a El Conciso para explicar por qué el cumplimiento normativo ha dejado de ser un coste para convertirse en ventaja competitiva.

Y, es que, en el sector de las empresas dedicadas a la externalización de procesos de negocio (BPO), donde los grandes clientes -bancos, aseguradoras o grandes corporaciones- delegan operaciones críticas junto con los datos personales que las sostienen, tener el compliance integrado en la estrategia puede ser la diferencia, en sus palabras, entre ganar o perder un contrato de referencia. "Las BPO que van a competir mejor en el futuro no son las que utilizan más palancas de IA de forma indiscriminada, sino las que tienen marcos de control más robustos para esas palancas", afirma el directivo de la filial de BBVA con sede en Málaga y casi 2.800 empleados.

"Debe ser aliado estratégico del negocio, no un policía interno". López defiende que esta función ha dejado de ser reactiva para volverse proactiva. Ya no llega cuando hay un problema; tiene que estar en la mesa cuando se diseña la estrategia. "El compliance va a estar desde el diseño", sostiene. En la concepción que postula, el especialista en cumplimiento debe ser alguien que ayuda a construir, no a frenar.

Eso implica, sobre todo, que cale más allá del departamento. Opplus cuenta con seis personas dedicadas estrictamente a compliance, pero López insiste en que el número importa menos que la cultura. Lo articula con la noción tone from the top: si la alta dirección interioriza el cumplimiento como criterio de decisión, el resto de la organización lo convierte en reflejo. "Si lo entendemos, nos comprometemos. Si no lo entendemos, difícilmente podemos actuar en consecuencia", razona.

El triple reto que ha reescrito el mapa de riesgos

Tres factores han disparado el mapa de riesgos de cualquier empresa de servicios respecto a hace 10 años, subraya López mirando a un marco normativo en constante cambio, a la velocidad con la que avanza la tecnología y a unos servicios cada vez más sofisticados y complejos que los clientes delegan en las externalizadoras. A su juicio, uno de los ejemplos más visibles, y a la orden del día en el sector encargado del área de cumplimiento, es el reglamento de IA europeo, todavía en construcción y que, en sus palabras, no había entrado en vigor y ya estaban modificándolo de nuevo.

Este es el reflejo del entorno, "cada vez más tecnológico" -con una irrupción "brutal" de la IA-, donde además "todos los días cambia la norma" y hay una fuerte regulación, en que se mueven las empresas y que obliga a emplear otro tipo de controles, señala mientras advierte que "si se desconoce el riesgo, probablemente se materialice".

El dato como activo más valioso

Vistos los retos que atraviesa el compliance a día de hoy, el directivo de Opplus advierte de que hay que poner más el foco en las políticas de privacidad y protección del dato. "El dato es lo más absolutamente valioso que podemos tener", asevera López matizando la crucialidad de su correcta protección mediante un marco robusto de seguridad. En este sentido, apunta, hay dos posibilidades para el almacenamiento y guarda de la información de una empresa, o bien es la propia entidad quien la custodia, o un proveedor externo, especialmente los hay de IA, subcontratado para ello.

Sobre este último, incide, hay que revisar "con lupa" sus medidas técnicas y organizativas. López ilustra con un ejemplo práctico cómo en un sector donde la confianza es el activo más difícil de recuperar, el compliance se convierte en seguro de cartera: "una empresa puede estar utilizando una solución de IA que la hace muy productiva, pero si mañana aparece un problema de seguridad en un servidor en otro país con datos de sus clientes, estos buscarán otro proveedor que sea igual de productivo, pero que lo tenga controlado". De hecho, uno de los vectores de riesgo actuales va muy ligado al uso de herramientas de IA por parte de los empleados fuera del perímetro de control tecnológico de la empresa, el shadow IT.

Para López la IA ofrece grandes oportunidades y como nueva herramienta, insiste, supone una "nueva revolución industrial". No obstante, a su juicio, las empresas del sector BPO que mejora competirán en el futuro no serán aquellas que empleen la inteligencia artificial de manera indiscriminada, sino aquellas con marcos de control más robustos para esas palancas. "Tienes que poder explicar cómo el algoritmo resuelve", opina. Estos marcos de control, detalla, deben abarcar todo tipo de cuestiones, desde cómo se están tomando las decisiones o qué derechos individuales están potencialmente afectados, hasta dónde queda registrado lo que se hace. Otro de los fundamentos para el éxito de una compañía de servicios, postula, pasa por contar con los modelos "más flexibles" para adaptarse al entorno normativo, pues "la norma siempre va a llegar después".

De ahí que el directivo vuelva a la idea base del compliance: estar en la mesa donde se diseña la estrategia. "Si a nosotros nos pones al final y nos traes ya la brecha con el problema, lo que puedo hacer es comunicarlo a la Agencia Española de Protección de Datos, pero lo más interesante es arreglar el problema aguas arriba", explica. Valoración que acompaña concluyendo que "deshacer lo que ya está hecho es caro, y en materia de datos, a veces imposible".