Tercero independiente · Ley 20.393 · Ley 21.595 · COSO ERM · ISO 37301 / ISO 37302
Evaluación Independiente del Modelo de Prevención de Delitos y Matriz de Compliance
Aseguramiento independiente para Directorios y Comités de Auditoría sobre diseño y efectividad operativa. Mandato estructurable para abordar la evaluación periódica por tercero independiente prevista en el artículo 4° N°4 de la Ley N°20.393, sujeto al alcance, criterios y evidencia acordados. La revisión evalúa diseño, implementación y efectividad operativa del Modelo de Prevención de Delitos y su matriz de compliance. No constituye certificación del modelo ni opinión legal sobre responsabilidad penal.
Contexto
Por qué ahora
Desde el 1 de septiembre de 2024, la Ley 21.595 modificó sustancialmente la Ley 20.393 y amplió el perímetro de responsabilidad penal de las personas jurídicas. El foco ya no es tener un manual: es demostrar, con evidencia verificable, que el Modelo está efectivamente implementado y se actualiza cuando cambian los riesgos.
Objetivo del servicio: transformar cumplimiento documental en evidencia operativa útil para el Directorio.
¿La matriz cubre los riesgos reales del negocio?
¿Los controles se ejecutan y dejan trazabilidad?
¿Las brechas se corrigen con responsables y plazos?
Exposición personal
Esto no protege solo a la empresa
Un Modelo de Prevención efectivamente implementado y adecuado puede eximir de responsabilidad penal a la persona jurídica en los términos del artículo 4° de la Ley 20.393. Ello no elimina la eventual responsabilidad individual de las personas naturales involucradas en los hechos.
La evaluación periódica por tercero independiente es uno de los elementos mínimos del artículo 4°. Su ausencia puede debilitar la capacidad de acreditar que el Modelo fue adecuado y operó efectivamente en la práctica.
La pregunta no es solo si el Modelo está diseñado. Es si la empresa puede probar que funciona.
El problema que resuelve
Cobertura fragmentada
Riesgos, compliance, auditoría interna y negocio pueden operar con matrices distintas o sin un mapa común de exposición.
Modelo no probado
El control puede estar bien descrito, pero no haber sido contrastado contra transacciones, evidencias y decisiones reales.
Trazabilidad insuficiente
Cuando falta evidencia de ejecución, revisión, escalamiento y cierre de brechas, el Directorio queda sin respaldo operativo.
Riesgos regulatorios en movimiento
Delitos económicos, UAF, datos personales, ciberseguridad y divulgaciones CMF requieren reevaluación periódica basada en riesgo.
Una evaluación independiente, no una asesoría documental
Revisión encargada directamente por el Directorio o Comité de Auditoría para evaluar diseño, implementación y efectividad operativa de la matriz de compliance y del Modelo de Prevención de Delitos. El alcance se ajusta al giro, tamaño, complejidad, exposición regulatoria y procesos críticos del cliente.
¿El control funciona en la práctica, o solo existe en el manual?
No reemplaza la opinión legal ni una auditoría de estados financieros.
Alcance del mandato
Núcleo común
- Modelo de Prevención de Delitos — Ley 20.393 / 21.595: riesgos, controles, Sujeto(s) Responsable(s), canal de denuncias, debida diligencia de terceros y actualización del Modelo.
- Pruebas de diseño y operación — universo, período cubierto, muestreo basado en riesgo, evidencia de ejecución, revisión y escalamiento.
- Criterios metodológicos — COSO ERM 2017 e ISO 37301 como marcos de referencia para el sistema de compliance, e ISO 37302:2025 como guía específica para evaluar su efectividad.
ISO 37302 es una guía de evaluación de efectividad, no un estándar certificable.
Módulos aplicables
No son universales: se activan solo cuando el perfil regulatorio del cliente lo justifica.
- LA/FT/FP (Ley 19.913 y Circular UAF N°62) — gobierno preventivo, enfoque basado en riesgo, DDC, PEP, beneficiario final, listas, monitoreo, ROS/ROE, capacitación y registros. Solo cuando el cliente sea sujeto obligado/reportante ante la UAF.
- Emisores CMF (NCG 461 / 519) — consistencia entre divulgaciones de gobierno, sostenibilidad, riesgos y evidencia operativa; preparación NIIF S1/S2 si aplica, conforme al cronograma regulatorio vigente.
- Datos personales y ciberseguridad — readiness Ley 21.719 (entrada general 01.12.2026); Ley 21.663 como extensión sectorial cuando el cliente califique.
Metodología · 3 fases
- I
Diagnóstico
Levantamiento confidencial del diseño, criterios de evaluación, período cubierto, entrevistas y solicitud de evidencia.
- II
Prueba de efectividad
Selección de universo y muestra basada en riesgo; pruebas de diseño y operación sobre transacciones y controles reales.
- III
Informe y seguimiento
Informe de brechas, criticidad, recomendaciones, plan de acción de la administración y presentación al Comité/Directorio.
Periodicidad: se define según perfil de riesgo, cambios regulatorios, modificaciones del negocio, incidentes y resultados previos. Para organizaciones de mayor exposición puede recomendarse un ciclo anual.
Tres fases · 6 a 12 semanas
Entregables
Informe de brechas
evidencia, criterio, prueba ejecutada, criticidad, causa raíz y potencial impacto legal, reputacional u operativo.
Matriz y recomendaciones
riesgos, controles, responsables sugeridos, prioridad y ajustes requeridos. La administración aprueba e implementa.
Plan de acción trazable
responsables, plazos, hitos, evidencia esperada y semáforo de seguimiento.
Presentación ejecutiva
sesión formal con Comité de Auditoría y/o Directorio; anexos técnicos disponibles bajo confidencialidad.
La evaluación y la remediación se documentan como etapas diferenciadas para evitar riesgo de autorrevisión.
¿Cuándo nos llaman?
- Modelo existente pero no probado contra la operación real.
- Matrices fragmentadas entre riesgo, compliance, auditoría interna y negocio.
- Falta de evidencia de ejecución, revisión, escalamiento o cierre de brechas.
- Cambios regulatorios, del negocio, incidentes o resultados previos que hacen necesaria una reevaluación.
- Requerimiento de Directorio, Comité, banco, inversionista o due diligence sobre la efectividad real del compliance.
- Si es sujeto obligado UAF: necesidad de validar el gobierno preventivo y la ejecución de controles bajo Ley 19.913 y Circular N°62.
Independencia y gestión de conflictos
Cada mandato parte con una declaración de independencia, revisión de conflictos y protocolo de confidencialidad, acceso a datos y escalamiento.
Independencia formal
Sin relación de dependencia vigente con la administración del cliente; evaluación individual de vínculos previos.
No autorrevisión
Las recomendaciones no sustituyen las decisiones de diseño, aprobación e implementación que corresponden a la administración.
Gobierno del mandato
Alcance, limitaciones, hallazgos y comunicaciones se acuerdan con Directorio o Comité de Auditoría.
Papeles de trabajo
Trazabilidad de procedimientos, evidencia, conclusiones, revisiones y custodia documental.
Hallazgos críticos
Alertas que requieran medidas inmediatas se escalan conforme a protocolo, con participación de la asesoría legal.
Confidencialidad
Acceso restringido, acuerdo de confidencialidad y resguardo de información sensible del diagnóstico.
Por qué Ríos Alcaíno
22+ años en auditoría, control corporativo y gestión de riesgos
Casi dos décadas en PwC Chile, liderando auditorías de entidades reguladas y equipos multidisciplinarios
3 países de control financiero regional: Chile, Perú y Colombia
Instalación desde cero de la función de Auditoría Interna Corporativa de un holding diversificado · Diplomada en Gobierno Corporativo y Compliance (UDD) · Programa Family Office & Wealth Management · Experiencia regional en Chile, Perú y Colombia · Red de especialistas asociados para mandatos de mayor envergadura.
Orientación directa a Directorios, Comités de Auditoría y Alta Gerencia.
Nota sobre el alcance
- Este mandato puede estructurarse para abordar la evaluación periódica por tercero independiente prevista en el artículo 4° N°4 de la Ley 20.393, modificada por la Ley 21.595.
- Su suficiencia dependerá del alcance, período cubierto, criterios de evaluación, evidencia obtenida, independencia efectiva y circunstancias particulares de la organización.
- No constituye auditoría de estados financieros, certificación legal ni función reservada a entidades inscritas en registros especiales de la CMF. Las empresas de auditoría externa se rigen actualmente por el compendio creado por la NCG 565; la NCG 566, de la misma fecha, modificó la NCG 30 en materia de designación y revisión anual del auditor externo; los inspectores de cuentas y auditores externos se rigen por la NCG 477, cuando corresponda.
- No incluye asesoría de inversión, recomendaciones sobre valores, intermediación financiera, investigación forense, opinión legal penal ni ciberseguridad técnica, salvo contratación específica.
- La calificación jurídica final corresponde a la asesoría legal de la empresa y, eventualmente, a la autoridad o tribunal competente.
Primera conversación exploratoria, sin compromiso. Definimos alcance, riesgos prioritarios, normativa aplicable, período a evaluar y protocolo de confidencialidad antes de solicitar evidencia.