Cuando una autoridad se presenta en una empresa —sea en materia laboral, administrativa, de protección de datos o en el curso de una investigación penal— rara vez pregunta si existe un programa de cumplimiento. Pregunta por documentos concretos, y de las respuestas deduce si el programa existe o si sólo está impreso.
Lo primero suele ser el análisis de riesgos: qué riesgos identificó la empresa, cuándo, y con qué método. Un documento sin fecha, sin autor y sin relación con el objeto social de la empresa no acredita nada. Un análisis que nombra actividades reales, áreas concretas y puestos específicos sí.
Después vienen las políticas, y con ellas la pregunta incómoda: ¿se comunicaron? Una política que nadie firmó, que no se tradujo al idioma en que trabaja el personal, o que vive en una carpeta compartida a la que casi nadie entra, es difícil de sostener como medida de control.
La capacitación se revisa por sus registros: listas de asistencia, fechas, contenidos, y si alcanzó a las áreas donde el riesgo era mayor. Capacitar a la dirección y no al área operativa, cuando el riesgo está en la operación, es un resultado peor que no capacitar: acredita que se sabía dónde estaba el problema.
Por último, el canal de denuncias y el órgano de vigilancia. No basta con que existan: importa si recibieron algo, qué se hizo con lo recibido, y si quien denunció sufrió alguna consecuencia. Un canal sin un solo reporte en tres años no prueba que no hay problemas; prueba que nadie confía en él.
El patrón es constante: la autoridad no evalúa intenciones, evalúa rastros. Un programa de cumplimiento es, en la práctica, el conjunto de rastros que una empresa puede mostrar cuando le preguntan.