El oficial de cumplimiento ya no es una figura decorativa en el organigrama corporativo peruano: es una exigencia legal con obligaciones precisas cuya inobservancia puede comprometer la responsabilidad penal de la propia empresa. El diario El Peruano ha destacado recientemente que los oficiales de cumplimiento deben contar con independencia real, recursos suficientes y acceso directo a la alta dirección —tres condiciones que muchas organizaciones peruanas aún no satisfacen. Si tu empresa tiene un programa de compliance pero no garantiza esas tres condiciones, puede estar expuesta a sanciones que van desde multas administrativas hasta la inhabilitación para contratar con el Estado. En este artículo explicamos qué exige la ley, qué riesgos concretos genera el incumplimiento y cómo actuar.
¿Qué es el oficial de cumplimiento y qué marco legal lo regula en el Perú?
El oficial de cumplimiento (compliance officer) es el responsable interno de diseñar, implementar, supervisar y actualizar el programa de cumplimiento normativo de una organización. En el Perú, su figura está reconocida y exigida por diversas normas sectoriales y transversales:
- Ley N.° 30424 y sus modificatorias (Ley de Responsabilidad Administrativa de las Personas Jurídicas), que reconoce expresamente el modelo de prevención como eximente o atenuante de responsabilidad penal empresarial por delitos de cohecho, lavado de activos, financiamiento del terrorismo, entre otros.
- Reglamento de la Ley N.° 30424, aprobado por el Poder Ejecutivo, que establece los elementos mínimos del modelo de prevención, entre los cuales figura la designación de un encargado de prevención con autonomía.
- Las normas de la Unidad de Inteligencia Financiera (UIF-Perú), dependiente de la SBS, que obligan a entidades del sistema financiero y a sujetos obligados en sectores como notariado, contabilidad, joyería y bienes raíces a designar oficiales de cumplimiento con perfiles, funciones y reporte definidos.
- Las regulaciones de la SMV y la SBS para sus respectivos supervisados, que contemplan requisitos específicos de independencia, dedicación y comunicación con el directorio.
La proliferación normativa genera un panorama complejo: distintas normas imponen requisitos distintos según el sector. Sin embargo, todas comparten un denominador común: el oficial de cumplimiento no puede ser efectivo si no es independiente, si carece de recursos o si su voz no llega a quienes toman las decisiones.
Las tres condiciones irrenunciables: independencia, recursos y acceso a la alta dirección
Según lo destacado por El Peruano y confirmado por el marco regulatorio vigente, las tres condiciones que definen si un programa de compliance es real o meramente formal son:
1. Independencia funcional y jerárquica
El oficial de cumplimiento no puede depender jerárquicamente de las áreas cuya conducta debe supervisar, como comercial, operaciones o finanzas. La independencia implica que puede emitir alertas, recomendaciones y reportes sin temor a represalias ni condicionamientos internos. La normativa peruana, en sintonía con estándares internacionales como la ISO 37301, exige que el encargado de prevención reporte directamente al directorio o al órgano de gobierno más alto, no a la gerencia general.
Una práctica frecuente y riesgosa es designar como oficial de cumplimiento al gerente legal o al gerente de finanzas de forma paralela a sus funciones habituales. Esta dualidad crea conflictos de interés evidentes y, en caso de investigación o proceso penal contra la empresa, puede ser usada para desvirtuar la eficacia del modelo de prevención.
2. Recursos suficientes
La ley no exige un presupuesto específico en soles, pero sí que el oficial cuente con personal, tecnología, acceso a información interna y capacidad de contratar asesoría externa cuando sea necesario. Un programa de compliance sin presupuesto propio es, en la práctica, inexistente. Los organismos supervisores, en sus procesos de evaluación, verifican si el área de cumplimiento tiene capacidad operativa real.
3. Acceso directo a la alta dirección
El oficial de cumplimiento debe poder comunicarse con el directorio o el consejo de administración sin intermediarios. Esto incluye el derecho a asistir a sesiones de directorio cuando el tema lo amerite, a presentar informes periódicos y a activar canales de alerta directa ante situaciones críticas. Si este acceso está bloqueado o mediatizado por la gerencia general, el programa pierde su núcleo esencial.
Riesgos legales concretos para la empresa que no implementa el compliance correctamente
La pregunta que más nos hacen los gerentes es: ¿qué le pasa a la empresa si el oficial de cumplimiento existe en el papel pero no en los hechos? La respuesta corta es: pierde su principal escudo legal. La respuesta larga implica analizar tres tipos de riesgo:
Responsabilidad administrativa de la persona jurídica
Bajo la Ley N.° 30424, si un directivo, representante o persona bajo autoridad de la empresa comete un delito de corrupción, lavado de activos u otro contemplado en la ley, la empresa puede ser sancionada con multas, inhabilitación para contratar con el Estado, suspensión de actividades o incluso disolución. El único eximente de responsabilidad es demostrar que la empresa contaba con un modelo de prevención que funcionaba de manera efectiva antes de la comisión del delito. Si el oficial de cumplimiento carece de independencia, recursos o acceso a la alta dirección, ese modelo no se considerará efectivo.
Responsabilidad penal individual de los directivos
La ausencia de un programa de compliance funcional puede agravar la situación penal de los directores y gerentes, pues evidencia una cultura corporativa tolerante con el incumplimiento. Esto es especialmente relevante en delitos culposos o de omisión impropia, donde la conducta esperada del directivo incluye implementar controles efectivos.
Sanciones sectoriales y pérdida de contratos
En sectores como el financiero, de seguros, de valores y en empresas que contratan con el Estado, el incumplimiento de las normas de compliance puede derivar en sanciones de la SBS, SMV o de la OSCE, incluyendo inhabilitación temporal o permanente. Además, el mercado privado —especialmente en contratos con empresas multinacionales— cada vez exige más la certificación o verificación del programa de compliance como condición para cerrar negocios.
Lo que esto implica para tu empresa
- Revisa la posición jerárquica de tu oficial de cumplimiento. Si reporta a la gerencia general o a un área operativa, estás en riesgo. El reporte debe ir al directorio o al más alto órgano de gobierno.
- Asigna un presupuesto propio y aprobado por el directorio. El área de compliance debe tener capacidad para contratar auditorías externas, herramientas tecnológicas de monitoreo y capacitación. Sin presupuesto, el programa es papel mojado.
- Formaliza el acceso del oficial al directorio mediante acta y reglamento interno. No basta con que sea una práctica informal: debe estar en el estatuto, el reglamento de directorio o en una política interna aprobada al más alto nivel.
- Realiza una auditoría interna de tu modelo de prevención antes de fin de año. Las autoridades y los tribunales evaluarán la eficacia del programa al momento de los hechos, no cuando estalló el problema. Actuar ahora puede ser la diferencia entre la exoneración y la sanción.
Comparativa: programa de compliance formal vs. programa de compliance efectivo
Una de las confusiones más frecuentes en el mundo empresarial peruano es creer que tener un Código de Ética y un Manual de Compliance equivale a tener un programa efectivo. La diferencia es crucial y tiene consecuencias legales directas:
| Elemento | Programa formal (insuficiente) | Programa efectivo (eximente legal) |
|---|---|---|
| Oficial de cumplimiento | Designado formalmente, con otras funciones | Dedicación exclusiva o mayoritaria, línea de reporte al directorio |
| Independencia | Depende de la gerencia general | Reporta directamente al directorio, sin filtros |
| Recursos | Sin presupuesto propio | Presupuesto aprobado por el directorio, revisado anualmente |
| Canal de denuncias | Existe pero no es anónimo ni independiente | Anónimo, gestionado por tercero independiente, con protección al denunciante |
| Capacitación | Una capacitación al año, sin evaluación | Capacitaciones diferenciadas por riesgo y cargo, con registro y evaluación |
| Efecto legal ante delito | No exime de responsabilidad | Puede eximir o atenuar la responsabilidad de la persona jurídica |
| Evaluación periódica | No se actualiza | Revisión anual y tras cambios normativos o incidentes |
Pasos concretos para implementar o fortalecer el rol del oficial de cumplimiento en 2026
Si tu empresa ya cuenta con un oficial de cumplimiento pero no cumple con las condiciones de independencia, recursos y acceso a la alta dirección, o si estás construyendo el programa desde cero, estos son los pasos que recomendamos desde La Rosa & Abogados:
-
1
Realiza un diagnóstico de madurez del compliance actual
Antes de actuar, necesitas saber dónde estás. Encarga una evaluación independiente del programa existente: estructura, independencia, recursos, documentación y cultura de cumplimiento. El resultado te dará un mapa claro de brechas.
-
2
Modifica el estatuto o el reglamento interno para formalizar la independencia
La independencia del oficial de cumplimiento debe constar en documentos formales: acta de directorio, reglamento de organización y funciones, o política de compliance aprobada al más alto nivel. No basta con decirlo verbalmente.
-
3
Aprueba un presupuesto anual para el área de compliance
El directorio debe aprobar un presupuesto propio para el área, con partidas para auditorías, tecnología de monitoreo, capacitación y asesoría legal externa. Este presupuesto debe figurar en el plan operativo y ser rendido ante el directorio.
-
4
Establece un calendario de reporte directo al directorio
Define en el reglamento de directorio que el oficial de cumplimiento presentará informes trimestrales —o con la periodicidad que el sector exija— directamente ante el directorio, sin mediación de la gerencia general. Documenta cada sesión con acta.
-
5
Implementa o refuerza el canal de denuncias con gestión independiente
El canal debe ser anónimo, accesible, gestionado por un tercero independiente cuando sea posible, y debe incluir protocolos de protección al denunciante. Las denuncias deben llegar al oficial de cumplimiento —no a recursos humanos ni a la gerencia legal— y los casos críticos deben escalar al directorio.
-
6
Documenta todo: evidencia de que el programa funciona en la práctica
En un proceso judicial o administrativo, la carga de la prueba de que el modelo de prevención era efectivo recae en la empresa. Conserva registros de capacitaciones, investigaciones internas, decisiones disciplinarias y reportes al directorio. La documentación es tu defensa.
Preguntas frecuentes sobre el oficial de cumplimiento en el Perú
No todas, pero el universo de obligadas es amplio y creciente. Las empresas del sistema financiero, de seguros y del mercado de valores están obligadas por sus reguladores sectoriales (SBS y SMV). Los sujetos obligados ante la UIF-Perú —que incluyen notarios, contadores, inmobiliarias, joyeros, casinos y otros— también deben designar un oficial de cumplimiento. Fuera de esos sectores, la Ley N.° 30424 no obliga a todas las empresas a tener un oficial, pero sí establece que contar con un modelo de prevención efectivo —con un encargado de prevención independiente— es el camino para eximirse de responsabilidad penal. En la práctica, cualquier empresa que contrate con el Estado, que tenga socios o clientes extranjeros, o que opere en sectores de riesgo elevado, debe considerar esta figura como necesaria.
Técnicamente es posible en algunas empresas, pero es altamente riesgoso y desaconsejable. El problema es la independencia: el gerente legal asesora a la empresa en sus decisiones jurídicas y el gerente de finanzas controla el flujo de dinero —dos áreas cuya conducta el oficial de cumplimiento debe poder supervisar de forma objetiva. Esta dualidad crea conflictos de interés que, en caso de investigación, pueden ser usados para argumentar que el modelo de prevención no era genuinamente independiente. Para empresas pequeñas con recursos limitados, una solución intermedia es contratar un oficial de cumplimiento externo o externalizar la función de compliance con una firma especializada.
Bajo la Ley N.° 30424 y sus modificatorias, las personas jurídicas pueden recibir: (i) multa de hasta 10,000 UIT; (ii) inhabilitación temporal o permanente para contratar con el Estado; (iii) clausura de locales o establecimientos; (iv) suspensión de actividades sociales por hasta dos años; (v) prohibición de realizar determinadas actividades u operaciones; y en casos extremos, (vi) disolución de la persona jurídica. La ausencia de un modelo de prevención efectivo no solo no exime a la empresa, sino que puede ser considerada como un factor agravante. El tribunal evaluará si la empresa tenía las condiciones culturales y estructurales que permitieron o facilitaron la comisión del delito.
La acreditación es fundamentalmente documental. La empresa debe presentar: el nombramiento formal del oficial de cumplimiento con su línea de reporte; el presupuesto aprobado por el directorio; los informes periódicos presentados al directorio con sus actas; los registros de capacitaciones realizadas; la documentación del canal de denuncias y los casos atendidos; las políticas internas aprobadas; y cualquier auditoría interna o externa del programa. También es relevante demostrar que el programa se actualizó periódicamente y que la empresa tomó medidas disciplinarias cuando se detectaron incumplimientos. La prueba de que el programa existía solo en el papel pero no en la práctica puede ser suficiente para que el tribunal rechace el eximente.
La certificación ISO 37301 (Sistemas de Gestión de Compliance) es una señal muy positiva y puede ser un elemento de prueba valioso, pero no garantiza por sí sola el eximente de responsabilidad bajo la Ley N.° 30424. El tribunal peruano evaluará la eficacia real del programa en el contexto específico de la empresa y del delito cometido. La certificación acredita que el sistema de gestión cumple con un estándar internacional reconocido, lo que aporta credibilidad, pero deberá complementarse con la documentación operativa que demuestre que el programa funcionó en la práctica. Dicho esto, contar con la certificación es claramente mejor que no tenerla y puede ser determinante en casos límite.
¿Tu empresa necesita revisar o implementar su programa de compliance?
En La Rosa & Abogados acompañamos a empresas peruanas en el diseño, implementación y auditoría de programas de cumplimiento normativo, la designación y capacitación de oficiales de cumplimiento, y la defensa ante procesos administrativos o penales vinculados a responsabilidad de personas jurídicas. Conversemos sin compromiso.
Escríbenos WhatsAppEste artículo es de carácter informativo y no constituye asesoría legal. Para orientación en tu caso específico, consúltanos.
