Cuando tu jefe tiene que firmarlo
Piensa en la última vez que tuviste que firmar algo de lo que no estabas del todo seguro. Quizá fuera un formulario en la consulta del médico o un contrato que solo leíste a medias. Hay un momento, con el bolígrafo en el aire, en el que esperas en silencio que todo lo que acabas de certificar sea realmente cierto. Ahora imagina que tu director general, tu director financiero y tu consejo de administración hacen lo mismo. Pero en lugar de un formulario rutinario, están firmando una declaración pública en el informe anual de la empresa en la que afirman que tu marco de gestión de riesgos y control interno es eficaz. No «creemos que es eficaz». No «no hemos tenido constancia de ningún problema grave». Eficaz. Y punto.
Eso es precisamente lo que exige ahora a los consejos de administración el Código de Gobierno Corporativo actualizado del Reino Unido, concretamente la Disposición 29. Y si tu organización tiene algún vínculo con el Reino Unido (una filial, una relación comercial, operaciones en el Reino Unido o clientes británicos), debes comprender qué implicaciones tiene esto para el programa de GRC que gestionas a diario.
La disposición 29 no es solo un problema del Reino Unido
Muchos equipos de cumplimiento normativo fuera del Reino Unido leen el «Código de Gobierno Corporativo del Reino Unido» y dan por sentado que no se aplica a ellos. Eso es un error. Las señales en materia de gobierno corporativo tienden a propagarse, y estas dos tienen un alcance transfronterizo real.
La disposición 29 del Código de Gobierno Corporativo del Reino Unido de enero de 2024 entrará en vigor para los ejercicios financieros que comiencen a partir del 1 de enero de 2026. Exige a los consejos de administración que declaren formalmente, en su informe anual, si sus controles internos significativos están funcionando, abarcando los riesgos financieros, operativos, de cumplimiento normativo y de presentación de información. Si los controles presentan deficiencias, el consejo de administración deberá explicar las deficiencias y el plan de corrección en el mismo informe. Las garantías vagas y las fórmulas estándar sobre el «seguimiento continuo» ya no serán suficientes.
De forma paralela, está la Ley de Delitos Económicos y Transparencia Corporativa de 2023 (ECCTA), que introduce el delito de «incumplimiento de la obligación de prevenir el fraude», que entró en vigor el 1 de septiembre de 2025, si bien los plazos para el cumplimiento de determinados requisitos se activarán a lo largo de 2026. El alcance de esta ley es explícitamente extraterritorial. Las grandes organizaciones con sede fuera del Reino Unido pueden seguir siendo objeto de acciones judiciales si una persona vinculada a ellas —incluidos empleados o filiales en el extranjero— comete un delito de fraude relacionado con el Reino Unido. La sanción consiste en multas de cuantía ilimitada, y la única defensa posible es demostrar que se habían establecido y estaban en funcionamiento procedimientos razonables de prevención del fraude.
En conjunto, la Disposición 29 y la ECCTA 2023 envían un mensaje claro: la era de la gobernanza basada en las buenas intenciones ha llegado a su fin.
El verdadero reto no es conocer las reglas, sino sentar las bases.
La mayoría de los analistas de cumplimiento ya saben, en teoría, cómo debe ser un buen proceso. Saben que los controles deben estar vinculados a las obligaciones. Saben que la documentación debe estar actualizada, en lugar de recopilarse a toda prisa la semana anterior a una auditoría. Saben que, cuando se aprueba una nueva normativa, alguien debe hacerse responsable de ella, actualizarla y vincularla a todos los procesos posteriores a los que afecte.
El problema es que la mayoría de los programas de GRC no están diseñados realmente de esa manera. Se basan en hojas de cálculo, cadenas de correos electrónicos, ciclos de revisión anuales y un esfuerzo individual titánico. Ofrecen una instantánea del cumplimiento normativo en un momento determinado, y esa instantánea ya queda obsoleta en el mismo instante en que se imprime.
No hay ningún problema, hasta que alguien tiene que firmarlo.
Cuando se exige a un consejo de administración que declare formalmente que los controles sustanciales son eficaces a fecha de cierre del balance, la cuestión no es si el programa parece adecuado sobre el papel. La cuestión es si el programa puede demostrarlo, de forma continua y trazable, sin tener que apresurarse a reunir pruebas a posteriori.
Cómo es realmente una base sólida para un programa de GRC
Se produce un cambio importante cuando se pasa de una mentalidad centrada en los proyectos de cumplimiento a una mentalidad centrada en un programa continuo de GRC: las pruebas dejan de ser algo que se recopila y pasan a ser algo que se genera como consecuencia natural del funcionamiento del programa.
En la práctica, esto significa supervisar los controles de forma continua, en lugar de someterlos a pruebas anuales y esperar que nada haya cambiado en los once meses transcurridos. Implica actualizar las correspondencias entre obligaciones y controles a medida que evoluciona la normativa, de forma automática y con una responsabilidad clara, en lugar de dejar que un ejercicio de correspondencia realizado una sola vez quede poco a poco desactualizado. Y cuando llega la temporada de auditorías, significa basarse en un único registro interconectado que ya refleja la realidad actual, en lugar de recopilar un conjunto de documentos y correos electrónicos dispersos.
Esta es la base que da a los ejecutivos la confianza necesaria para realizar una declaración sobre los controles internos a nivel del consejo de administración. Ni un mejor proceso de auditoría ni una revisión anual más exhaustiva les permitirán alcanzar ese objetivo. Lo que funciona es una arquitectura de programa en la que la garantía de cumplimiento sea un resultado continuo, en lugar de un proyecto periódico. Eso es lo que buscan cada vez más los organismos reguladores y es precisamente lo que la Disposición 29 está diseñada para poner de manifiesto.
Por qué el cumplimiento continuo de las normas de GRC es ahora una expectativa básica
Las normas de gobernanza en las que se basa la Disposición 29 son coherentes con una tendencia global más amplia. Los organismos reguladores del Reino Unido, la UE, EE. UU. y otros países están pasando de la presentación de informes puntuales a una gobernanza continua y basada en resultados, con una verdadera rendición de cuentas por parte de los máximos responsables. La ley Sarbanes-Oxley marcó esta dirección para las empresas cotizadas estadounidenses hace años. La Disposición 29 está ejerciendo ahora una presión análoga sobre las empresas que cotizan en el Reino Unido, y la ECCTA amplía la rendición de cuentas a las organizaciones que tengan algún vínculo significativo con el Reino Unido.
Para los analistas de cumplimiento normativo, esto es importante porque los programas que tienen a su cargo desarrollar y mantener constituyen la base probatoria directa de lo que los ejecutivos deberán afirmar. La brecha entre lo que el consejo de administración debe declarar y lo que la mayoría de los programas pueden demostrar realmente cuando se les solicita es donde reside el verdadero riesgo.
La gestión continua de los cambios normativos (el seguimiento de las nuevas obligaciones, su asignación a los controles, la asignación de responsabilidades y la recopilación de pruebas en tiempo real) ya no es una mera aspiración. Es el modelo operativo.
El papel de Archer Evolv™
Aquí es donde la tecnología específica para GRC cobra todo su sentido. Archer Evolv se ha diseñado en torno precisamente a este modelo operativo: un ciclo continuo de «Escuchar → Decidir → Actuar → Garantizar → Aprender» que mantiene el programa de GRC actualizado sin depender de la intervención manual para que funcione.
Los cambios normativos se detectan y se asocian automáticamente a los controles afectados. La evidencia se recoge durante el flujo de trabajo, no se recopila a última hora. Cuando surge una deficiencia en un control, esta queda visible para las personas encargadas de subsanarla, en lugar de que la descubra un auditor seis meses después. Y cuando alguien del consejo de administración necesita saber si el marco de gestión de riesgos y de control interno es eficaz, la respuesta procede de un registro actualizado y trazable, en lugar de una estimación aproximada elaborada bajo presión.
En lo que respecta a las obligaciones de rendición de cuentas a nivel del consejo de administración que establecen la Disposición 29 y la ECCTA 2023, esa es la diferencia entre una declaración que tus directivos pueden respaldar con confianza y otra que les quita el sueño.
Conclusiones para los analistas de riesgos y cumplimiento normativo
Sois vosotros quienes, en realidad, creáis y mantenéis estos programas. Las declaraciones a nivel de consejo de administración previstas en la Disposición 29 y las obligaciones en materia de prevención del fraude establecidas en la ECCTA dependen, en última instancia, del trabajo que realizáis cada día: identificar las obligaciones, mantener la biblioteca de controles, realizar un seguimiento de las pruebas, señalar las deficiencias y mantener actualizado todo el marco.
El cambio en la gobernanza del Reino Unido es una señal a la que merece la pena prestar atención, aunque tu organización no se vea directamente afectada por ahora. Los organismos reguladores de todo el mundo están avanzando hacia una gobernanza del control interno continua y responsable ante el consejo de administración, con consecuencias reales asociadas, y los programas basados en esfuerzos periódicos y en la recopilación manual de datos tendrán dificultades para mantenerse al día. Serán tus superiores los que tengan que confirmar públicamente lo contrario.
La buena noticia es que la base no es difícil de describir: una biblioteca de control interconectada, que se mantiene al día, con resultados que hablan por sí solos. Si la creas, tus directivos no tendrán que estar pendientes de ese bolígrafo.
Para obtener más información, lee un artículo reciente de Governance Intelligence.
Preguntas frecuentes
¿En qué consiste la disposición 29 del Código de Gobierno Corporativo del Reino Unido?
La disposición 29 del Código de Gobierno Corporativo del Reino Unido de 2024 exige que los consejos de administración de las empresas que cotizan en el mercado principal emitan una declaración anual explícita en su informe anual en la que confirmen si su gestión de riesgos significativos y sus controles internos son eficaces. Se aplica a los ejercicios financieros que comiencen a partir del 1 de enero de 2026 y abarca los controles financieros, operativos, de cumplimiento normativo y de presentación de información.
¿Se aplica la Disposición 29 a las empresas fuera del Reino Unido?
La disposición 29 se aplica directamente a las empresas que cotizan en los mercados del Reino Unido regulados por la FCA. No obstante, las organizaciones multinacionales con filiales que cotizan en el Reino Unido, con operaciones en el Reino Unido o sujetas a la normativa británica deberían evaluar cuidadosamente sus obligaciones, ya que las expectativas en materia de gobernanza que plantea están influyendo en las normas internacionales más amplias.
¿En qué consiste el delito de «incumplimiento del deber de prevención del fraude» previsto en la ECCTA 2023?
La Ley de Delitos Económicos y Transparencia Corporativa de 2023 introdujo un delito corporativo por no haber impedido el fraude, que entró en vigor el 1 de septiembre de 2025. Se aplica a las grandes organizaciones de todo el mundo —incluidas aquellas con sede fuera del Reino Unido— cuando una persona vinculada a ellas comete un delito de fraude relacionado con el Reino Unido. La única defensa posible consiste en demostrar que se habían establecido procedimientos razonables de prevención del fraude.
¿Cómo contribuye un programa de GRC al cumplimiento de la Disposición 29?
Un programa de GRC continuo garantiza que los controles se ajusten a las obligaciones vigentes, recopila pruebas como resultado de las operaciones diarias y mantiene un registro trazable que respalda las declaraciones de control interno a nivel del consejo de administración. De este modo, se sustituyen las instantáneas puntuales de los enfoques de cumplimiento tradicionales por una garantía siempre actualizada.
¿Qué aporta Archer Evolv al cumplimiento de los controles internos?
Archer Evolv ofrece un modelo operativo de GRC basado en inteligencia artificial —el ciclo «Escuchar → Decidir → Actuar → Garantizar → Aprender»— que supervisa continuamente los cambios normativos, asocia las obligaciones a los controles, deriva el trabajo a los responsables con todo el contexto necesario y recopila automáticamente pruebas listas para la auditoría. Esto proporciona a los consejos de administración la base trazable y defendible necesaria para las declaraciones de la Disposición 29 y los procedimientos de prevención del fraude de la ECCTA.
