En resumen: un modelo de prevención de delitos completo en el papel no garantiza nada por sí solo. Tres señales revelan si el suyo opera solo como documento: nadie fuera del área legal lo conoce, no hay evidencia de que los controles se ejecuten, y no se ha revisado desde la entrada en vigencia de la Ley 21.595.
¿Qué significa que el compliance "solo exista en un PDF"?
Llevo casi 7 años diseñando e implementando modelos de prevención de delitos en Chile, y hay un patrón que se repite más de lo que debería: empresas con todos los documentos en regla — política, matriz de riesgos, manual, protocolo de canal de denuncias — que igual están expuestas frente a una fiscalización.
El problema no es el diseño del modelo. Es que un documento, por completo que esté, no es lo mismo que un sistema que opera. Un Modelo de Prevención de Delitos "en PDF" tiene toda la estructura formal exigida por la Ley 20.393, pero nadie en la empresa podría demostrar, con evidencia concreta, que esa estructura efectivamente se aplica en el día a día.
MPD ampliado: cuando el compliance también cuida a las personas
Un desarrollo que he incorporado en el último tiempo a mi práctica es extender el Modelo de Prevención de Delitos más allá de los delitos económicos y penales, hacia la gestión del riesgo psicosocial de los colaboradores — un ámbito que en Chile ya tiene marco regulatorio propio, entre la Ley Karin (21.643) y los protocolos de vigilancia de riesgos psicosociales que exige la Superintendencia de Seguridad Social bajo la Ley 16.744.
La idea central es simple: un sistema de compliance maduro no solo previene delitos, también identifica y gestiona los riesgos que afectan directamente a las personas que sostienen la operación de la empresa. En la práctica, esto significa diseñar la matriz de riesgo psicosocial, las políticas internas y los protocolos de derivación que permiten a los colaboradores acceder a apoyo psicológico, cobertura de mutualidad u otros beneficios.
Una distinción importante: diseño el marco de gobierno, la matriz de riesgo y los protocolos de derivación. La prestación de salud mental, los seguros y las coberturas siempre las entregan instituciones acreditadas para ello — mutuales de seguridad, cajas de compensación, prestadores de salud —, no ClypeusLex directamente.
Nadie fuera del área legal lo conoce
Esta es, en mi experiencia, la señal más común y la más fácil de verificar: pregúntele a un jefe de obra, a un encargado de local o a un jefe de área qué controles de compliance le aplican en su trabajo diario. Si no puede responder en una frase, el modelo no está operando — está guardado en un cajón del área legal.
Un modelo de prevención de delitos no protege a la empresa porque exista; protege porque las personas que ejecutan la operación real —no solo quienes lo redactaron— lo conocen y lo aplican. Un modelo que solo entiende el Compliance Officer no está integrado a la organización, sin importar cuán bien escrito esté el manual.
No hay evidencia de que los controles se ejecuten
Un control mencionado en un manual de compliance es una declaración de intención. Un control con bitácora, checklist firmado o registro de auditoría interna es evidencia. Son cosas distintas, y frente a una fiscalización o una investigación penal, solo la segunda tiene valor probatorio.
Lo mismo aplica al canal de denuncias: no basta con que exista y esté publicado. La Ley 20.393 exige que su funcionamiento sea verificable, lo que significa registro de revisiones periódicas, no solo la existencia formal del canal como buzón.
La pregunta correcta no es "¿existe el control?"
Es "¿puede probarlo?". Esa distinción, más que el diseño del modelo, es la que en la práctica determina si un sistema de compliance cumple su función legal de eximir o atenuar la responsabilidad penal de la persona jurídica.
No se ha actualizado desde la Ley 21.595
La Ley 21.595 amplió de forma significativa el catálogo de delitos económicos que pueden comprometer la responsabilidad penal de una empresa. Un modelo de prevención diseñado o revisado antes de su entrada en vigencia probablemente no cubre ese nuevo catálogo, lo que significa brechas que la empresa ni siquiera sabe que tiene.
A esto se suma la capacitación: es uno de los elementos que la ley considera para evaluar la debida implementación del modelo, y una capacitación de hace más de un año, sin evidencia de comprensión ni actualización posterior, debilita esa defensa incluso si el resto del modelo está al día.
¿Por qué esto expone realmente a la empresa?
Frente a una fiscalización o una investigación penal, la pregunta que se hace no es "¿la empresa tiene un modelo de prevención?", sino "¿la empresa puede probar que el modelo estaba operando al momento de los hechos?". Un modelo con matriz de riesgos completa, políticas redactadas y protocolos formalizados, pero sin trazabilidad documental de su ejecución, enfrenta el mismo problema que uno inexistente: no hay cómo demostrarlo.
Y cada vez con más frecuencia, esta exigencia de evidencia no viene solo de un fiscal. Mandantes, bancos y clientes corporativos empiezan a pedirla como condición para licitar o mantener una relación comercial — lo que convierte estas tres señales en un problema legal y comercial a la vez.
¿Qué hacer si detectó una o más señales?
No requiere volver a diseñar el modelo desde cero. La mayoría de las veces, el modelo ya tiene los componentes correctos — matriz de riesgos, políticas, canal de denuncias — y lo que falta es la evidencia de que opera y la actualización frente a la Ley 21.595. El primer paso realista es un diagnóstico de brechas: una revisión puntual que identifica exactamente dónde está la distancia entre lo que el modelo dice hacer y lo que puede demostrarse hoy.
Preguntas frecuentes
¿Qué significa que un modelo de compliance "exista solo en papel"?
Significa que la empresa cuenta con los documentos formales del modelo de prevención — política, matriz de riesgos, manual, protocolo de canal de denuncias — pero no puede demostrar que esos documentos se traducen en controles ejecutados en la operación diaria.
¿Cómo se demuestra que un control de compliance efectivamente se ejecuta?
Con registros verificables: bitácoras, checklists firmados, actas de revisión del canal de denuncias, registros de capacitación con asistencia y evaluación. Un control sin ese respaldo documental es una declaración de intención, no evidencia.
¿Qué es un Modelo de Prevención de Delitos ampliado a riesgo psicosocial?
Es una extensión del modelo de prevención tradicional que incorpora la gestión del riesgo psicosocial de los colaboradores, con base en la Ley Karin y los protocolos de vigilancia que exige la Superintendencia de Seguridad Social. ClypeusLex diseña el marco de gobierno y los protocolos de derivación; la prestación de salud mental o las coberturas las entregan siempre instituciones acreditadas.
¿Es obligatorio actualizar el modelo de prevención tras la Ley 21.595?
No existe un plazo legal específico para actualizar, pero un modelo no revisado desde la entrada en vigencia de la Ley 21.595 probablemente no cubre el nuevo catálogo de delitos económicos, lo que debilita su valor como eximente o atenuante de responsabilidad penal.
¿Qué rol cumplen los mandos medios en que un modelo de compliance funcione?
Un rol central. Si un jefe de obra, un encargado de local o un jefe de área no puede explicar qué controles le aplican en su trabajo diario, el modelo no está integrado a la operación real, sin importar cuán completo esté el manual a nivel de gerencia.
¿Cuál es el primer paso si mi empresa presenta una o más de estas señales?
Un diagnóstico de brechas: una revisión puntual que identifica exactamente dónde el modelo actual no genera evidencia suficiente, antes de decidir si corresponde una actualización o un rediseño más profundo.
¿Su modelo presenta alguna de estas tres señales?
Un diagnóstico de brechas identifica exactamente dónde está la distancia entre lo que su modelo dice hacer y lo que puede demostrar hoy.
Solicitar diagnósticoEste contenido tiene fines informativos y no constituye asesoría legal para un caso particular.
