Resumen
La efectividad de un Programa de Transparencia y Ética Empresarial (PTEE) se evalúa examinando cómo intervienen sus controles en decisiones expuestas a corrupción y soborno transnacional. Este artículo propone una metodología documental y aplicada que distingue conformidad, diseño, ejecución y efectividad. A partir de un caso hipotético de pagos a intermediarios, muestra cómo reconstruir la secuencia de una operación, valorar las desviaciones y comprobar si una medida correctiva reduce la posibilidad de recurrencia. El análisis incorpora la transición al Capítulo IX de la Circular Básica Jurídica de 2026.
Palabras clave: efectividad del PTEE, auditoría de cumplimiento, control interno, debida diligencia, sistema de integridad.
1. Introducción: del expediente a la decisión
Una empresa puede cerrar el trimestre con todos sus expedientes de terceros completos y, aun así, haber desembolsado recursos antes de examinar las señales de alerta. El formulario firmado acredita que existe un registro; por sí solo no demuestra qué información conocía quien autorizó el pago, cuándo se efectuó la revisión ni si el control podía detener la operación.
La pregunta de investigación es: ¿qué evidencia permite concluir que un control del PTEE funcionó conforme a su propósito en el momento decisivo? La tesis es que un juicio de efectividad requiere conectar el riesgo, la decisión expuesta, la ejecución del control y la respuesta ante sus fallas. La asistencia a capacitaciones, el número de consultas y la existencia de un manual son datos útiles, pero no bastan para demostrar esa conexión.
2. Marco normativo colombiano y referentes de evaluación
La Circular Externa 100-000020 del 2 de julio de 2026 adoptó una nueva Circular Básica Jurídica. Su Capítulo IX integra, para los sujetos obligados de su ámbito, los riesgos de lavado de activos, financiación del terrorismo, financiación de la proliferación, corrupción local y soborno transnacional en un sistema de autocontrol y gestión de riesgos [1].
El numeral 9.29 prevé un régimen transitorio para los sujetos que ya estaban obligados bajo las circulares allí identificadas. Los programas implementados conservan validez durante la transición y el ajuste al Capítulo IX debe efectuarse, para los sujetos cobijados por esa disposición, a más tardar el 31 de mayo de 2027. El Oficio 195-331352 del 20 de agosto de 2026 ilustra esta aplicación para un PTEE bajo el régimen anterior; es doctrina consultiva de alcance general [2]. El plazo no debe trasladarse automáticamente a entidades sometidas a otro supervisor o régimen sectorial.
Para una auditoría en transición conviene separar dos conclusiones: la conformidad y operación del programa ya implementado en el periodo revisado, y las brechas de adecuación al sistema integrado. La primera exige identificar los criterios aplicables a la entidad y a las fechas de las operaciones; la segunda requiere una matriz de correspondencia con el nuevo capítulo. Una brecha de transición no equivale por sí misma a un incumplimiento vencido.
Como referencias metodológicas, ISO 37301:2021 aborda los sistemas de gestión de compliance; ISO 37302:2025 orienta la evaluación de su efectividad e ISO 37001:2025 aporta criterios para sistemas de gestión antisoborno [3–5]. Las Normas Globales de Auditoría Interna del IIA orientan la obtención de evidencia y el seguimiento de acciones correctivas [6]. Su uso como referente técnico no las convierte por sí mismo en obligaciones regulatorias para toda empresa colombiana.
3. Evidencia empírica: por qué contrastar el registro con una fuente independiente
En un experimento aleatorizado sobre más de 600 proyectos viales rurales en Indonesia, Benjamin A. Olken (2007) encontró que aumentar la probabilidad anunciada de auditoría pública redujo en aproximadamente ocho puntos porcentuales la brecha entre el gasto declarado y una estimación independiente de los costos [7]. El indicador medía discrepancias de gasto; no identificaba por sí solo la conducta ni la responsabilidad de una persona.
El resultado corresponde a obras públicas en Indonesia. No permite estimar el efecto de una auditoría del PTEE en Colombia ni fijar una expectativa de reducción de soborno empresarial. Su utilidad para este artículo es metodológica: una revisión gana fuerza cuando contrasta el registro producido por el proceso con evidencia que no depende de la misma declaración. En cuentas por pagar, una fecha de aprobación escrita en un formulario puede contrastarse con la bitácora de cambios, la orden de pago y el comprobante bancario.
4. Metodología: cuatro preguntas que requieren evidencias distintas
El método propuesto es una revisión documental con pruebas sobre transacciones. Antes de seleccionar casos, delimita la entidad, el periodo, los procesos, el riesgo y el criterio de evaluación. Establece también qué operaciones requieren control, en qué momento debe aplicarse y qué evidencia se considera suficiente. Las pruebas y los indicadores siguientes son una propuesta del autor, no umbrales normativos.
| Dimensión | Pregunta de auditoría | Evidencia y prueba |
|---|---|---|
| Conformidad | ¿Qué requisito aplica y cómo se incorpora al programa? | Contrastar la matriz de obligaciones con políticas, responsables, procedimientos y registros del periodo. |
| Diseño | ¿Puede el control intervenir a tiempo, incluso ante excepciones? | Recorrer el flujo de contratación y pago; verificar permisos, rutas alternas y escalamiento de alertas. |
| Ejecución | ¿El control se aplicó oportunamente y por la persona autorizada? | Conciliar órdenes, contratos, aprobaciones, bitácoras y desembolsos; contrastar las marcas de tiempo. |
| Efectividad | ¿El control cumplió su objetivo y la corrección evitó que la falla se repitiera en los casos probados? | Revisar operaciones bloqueadas, condicionadas o escaladas; repetir la prueba tras el cambio. |
Para probar la cobertura, el punto de partida es el universo de operaciones, no la carpeta de cumplimiento. Se puede conciliar el auxiliar de cuentas por pagar con el maestro de terceros y el registro de debida diligencia. Si se comienza únicamente con los expedientes disponibles, quedan fuera precisamente los pagos que eludieron el procedimiento. Las exclusiones del universo, las conciliaciones y las fuentes no disponibles deben quedar documentadas.
Una muestra dirigida por riesgo puede incluir intermediarios con remuneración variable, pagos urgentes, cambios de beneficiario y operaciones manuales. Es adecuada para buscar fallas en segmentos críticos, pero su tasa de desviación no representa necesariamente a toda la población. Si el propósito es estimar una frecuencia poblacional, se necesita un diseño de muestreo coherente con ese objetivo.
5. Caso hipotético: pagos a intermediarios en Medellín
Una empresa selecciona 20 pagos por exposición al riesgo. Su procedimiento exige aprobar la debida diligencia antes del desembolso, salvo excepción autorizada y documentada. En tres pagos la revisión terminó después de que salieran los fondos. Uno se tramitó por fuera del flujo habitual y no se encontró el soporte de la excepción en la evidencia disponible.
Hallazgo: tres de los 20 pagos revisados incumplieron la oportunidad prevista por el control; en uno de ellos no se acreditó la autorización excepcional. El resultado es descriptivo de la muestra. No demuestra que se haya producido un soborno, que existiera un conflicto de interés ni que el resto de las operaciones presentara la misma desviación.
Causa por verificar: el sistema de pagos podría permitir a ciertos perfiles desembolsar sin comprobar el estado de la revisión. La hipótesis debe contrastarse con los permisos vigentes, las bitácoras y una prueba controlada. Si la hipótesis no se confirma, corresponde examinar otras causas, como inconsistencias de fecha, fallas de integración entre sistemas o autorizaciones por un canal no previsto.
Corrección y prueba posterior: condicionar el pago a una aprobación vigente o a una excepción autorizada por una instancia definida. Luego, verificar tres escenarios: pago ordinario con aprobación, pago sin aprobación e intento de excepción sin autorización. Completar los documentos atrasados repara el expediente; comprobar que el nuevo flujo detiene o escala el desembolso indebido permite valorar la corrección.
6. Qué información necesita el órgano de gobierno
El informe debe permitir decidir. Para cada hallazgo, documenta criterio, condición observada, evidencia, causa confirmada o pendiente, riesgo, responsable y plazo. Diferencia la fecha en que el área informa que implementó una medida de la fecha en que se verifica su funcionamiento. Cuando quien evalúa también diseñó o ejecutó el control, conviene declarar ese alcance y prever una revisión con independencia suficiente para el encargo.
- Aprobación oportuna: operaciones revisadas con aprobación previa ÷ operaciones revisadas sujetas a ese requisito. Reportar aparte las excepciones válidas.
- Excepciones sin soporte: excepciones revisadas sin autorización acreditada ÷ excepciones revisadas. Si no hay casos, informar «no aplica», no 0 %.
- Cierre verificado: acciones cuya eficacia se comprobó ÷ acciones reportadas como implementadas y seleccionadas para verificación. Indicar periodo y alcance.
El número de alertas, por sí solo, tampoco es un indicador de éxito o fracaso. Un aumento puede resultar de una mayor exposición, mejores canales de detección o cambios de registro. Para interpretarlo deben examinarse el volumen de operaciones, la calidad de las alertas, su resolución y la recurrencia de los hallazgos.
7. Discusión y conclusión
La conformidad y la efectividad responden preguntas complementarias. Una prueba puede demostrar que un control se ejecutó conforme al procedimiento en los casos revisados y, al mismo tiempo, revelar que su diseño permite omitir un canal de pago. A la inversa, un resultado favorable en una operación no demuestra que se cumplan todas las obligaciones del programa. Por eso las conclusiones deben indicar su periodo, población, método y limitaciones.
Durante la transición al sistema integrado, la empresa puede compartir fuentes de evidencia, responsables y mecanismos de seguimiento sin perder la trazabilidad de cada riesgo. Una misma operación puede requerir revisar la integridad del tercero, el propósito del pago y su autorización, pero cada prueba conserva su objetivo. Lo decisivo es poder reconstruir qué detectó el control, cómo cambió la decisión y qué evidencia confirma que la corrección funciona.
Referencias
- Superintendencia de Sociedades (2026). Circular Externa 100-000020 del 2 de julio de 2026, Capítulo IX, numeral 9.29.
- Superintendencia de Sociedades (2026). Oficio 195-331352 del 20 de agosto de 2026, sobre PTEE y periodo de transición.
- ISO (2021). ISO 37301:2021. Sistemas de gestión de compliance.
- ISO (2025). ISO 37302:2025. Directrices para la evaluación de la efectividad.
- ISO (2025). ISO 37001:2025. Sistemas de gestión antisoborno.
- The Institute of Internal Auditors (2024). Normas Globales de Auditoría Interna, en vigor desde enero de 2025; normas 14.1, 14.6 y 15.2.
- Olken, B. A. (2007). Monitoring Corruption: Evidence from a Field Experiment in Indonesia. Journal of Political Economy, 115(2), 200–249.
Lectura relacionada: Compliance sin apellidos.
← Volver a publicaciones