La cultura como sistema de control

SERIE DIVERGENCIA ESTRATÉGICA

FASE V: LA INFRAESTRUCTURA INVISIBLE Artículo 13

Cultura, control y gobierno de una institución compleja

La cultura como sistema de control

Una institución no tiene la cultura que declara. Tiene la que demuestra cada vez que corrige una desviación o la convierte en norma.

Toda institución se desvía. Pocas lo dicen así.

Las excepciones de última hora, la presión por no perder un cliente y los atajos operativos revelan la distancia entre el procedimiento escrito y la conducta real. Donde el procedimiento no alcanza, decide la cultura.

La supervisión lo entendió hace tiempo. En 2014, el Consejo de Estabilidad Financiera centró su guía sobre cultura de riesgo en normas, actitudes y comportamientos, y señaló que una cultura sólida permite reconocer, evaluar, escalar y atender oportunamente riesgos emergentes o actividades fuera del apetito de riesgo.

Pero ese enfoque no le da a una Junta Directiva, por sí solo, una medida que pueda seguir.

La cultura real se revela en dos procesos: la velocidad con que corrige una desviación y la facilidad con que empieza a convivir con ella.

El primero se observa entre reconocer la desviación y demostrar que la conducta cambió. El segundo, en las excepciones toleradas, las desviaciones que permanecen abiertas y aquello que reaparece después de haber sido declarado corregido.

Para una Junta, observar ambos procesos cambia el objeto de supervisión. La pregunta deja de ser qué cultura dice tener la institución y pasa a ser qué ocurre después de que descubre que se desvió.

Cuando el tablero sustituye la evidencia

Muchas instituciones administran la cultura como un programa, bajo el supuesto de que si el programa avanza, la conducta mejora. Tienen capacitaciones, mensajes de la alta dirección, encuestas y un tablero trimestral con el porcentaje de avance.

Ese tablero no es inútil. Es engañoso cuando presenta el esfuerzo dedicado a la cultura como evidencia de que la conducta cambió. Una cosa no prueba la otra: el avance del plan está en manos de quien lo reporta; el cambio de conducta, no.

Si una institución mide actividad, discute avance y no llega a la pregunta que importa: cuando apareció una desviación, ¿alguien la reconoció, la señal llegó a quien podía actuar y la conducta cambió?

Una institución puede cumplir todo su plan de cultura mientras aprueba las mismas excepciones cada trimestre. Puede exhibir una encuesta favorable mientras sus hallazgos reaparecen meses después en otra unidad, con otro nombre.

Cuando eso ocurre, el tablero no mide la cultura. Mide la actividad organizada a su alrededor. Y la junta, que cree supervisar la cultura, supervisa un calendario.

El momento en que la excepción se vuelve norma

La socióloga Diane Vaughan le dio nombre al mecanismo en The Challenger Launch Decision (1996): normalización de la desviación. Ante señales repetidas de que algo andaba mal, la organización terminó tratando como aceptable lo que antes habría generado alarma.

La normalización puede escapar al control de cumplimiento cuando cada desviación se analiza como un episodio aislado. No necesita una infracción. Avanza cuando una desviación tolerada sin daño inmediato se convierte en la referencia para juzgar la siguiente.

El estándar sigue escrito en la política, pero deja de ser el punto de comparación. Puede verse en la excepción que pasa de autorizarse por escrito a aprobarse por costumbre, o en el límite que nadie modificó pero todos aprendieron a leer con holgura. La desviación deja de necesitar una justificación porque la práctica cotidiana ya la convirtió en el nuevo estándar.

La desviación incluso puede desaparecer de las estadísticas. Si deja de considerarse anómala, deja también de registrarse como hallazgo. Una unidad expuesta a riesgo que lleva demasiado tiempo sin escalar nada merece una pregunta antes que una felicitación.

En 2018, la investigación prudencial sobre Commonwealth Bank of Australia concluyó que el éxito financiero continuo había adormecido los sentidos de la institución frente a los riesgos no financieros. Encontró complacencia, una postura reactiva y falta de aprendizaje de sus errores. El supervisor australiano impuso un recargo de capital por riesgo operacional de 1.000 millones de dólares australianos.

La lección no es que el éxito produzca malas culturas. Es que el éxito no demuestra que la cultura funcione.

El costo de cerrar sin corregir

El riesgo no es desviarse. El riesgo es acostumbrarse.

Una forma de hacerlo es corregir el caso sin corregir el sistema.

El informe de 2017 de los directores independientes de Wells Fargo situó la causa raíz de sus prácticas de ventas en la distorsión de la cultura comercial y del sistema de desempeño. También concluyó que las funciones de control adoptaron un enfoque transaccional que les impidió apreciar el contexto más amplio. La gestión caso por caso fragmentó la información mientras los incentivos permanecían intactos.

Visto desde dentro, el sistema parecía funcionar: había detección, sanciones y expedientes cerrados. Pero nada de eso demostraba que la conducta hubiera cambiado.

El informe también muestra una transmisión incompleta de la magnitud del problema. Según los directores independientes, la junta conoció mediante los acuerdos regulatorios de septiembre de 2016 la cifra acumulada de aproximadamente 5.300 empleados despedidos por infracciones relacionadas con esas prácticas entre 2011 y 2016.

Corregir exige que las señales incómodas lleguen a quien puede actuar. Amy Edmondson encontró, en 51 equipos de una empresa manufacturera, una asociación entre seguridad psicológica y conductas de aprendizaje. No es un estudio bancario, pero apunta a una condición relevante: si hablar tiene un costo personal prohibitivo, la información difícilmente escala.

El costo puede llegar al ámbito penal. En 2024, TD Bank N.A. se declaró culpable de delitos relacionados con graves deficiencias de su programa antilavado. Según el Departamento de Justicia de Estados Unidos, entre 2014 y 2022 no agregó nuevos escenarios a su sistema de monitoreo pese a deficiencias conocidas y riesgos emergentes.

El costo oculto aparece antes de la sanción y antes de la pérdida. Cada problema cerrado sin corregir enseña a la organización que puede convivir con esa desviación.

La línea roja es esa: cerrar un hallazgo sin evidencia de que la conducta cambió no es remediar. Es documentar la normalización.

Una cultura sólida refuerza los controles; no sustituye la segregación de funciones, los límites ni el aseguramiento independiente.

La evidencia que una junta debe exigir

Un índice de cultura puede orientar la supervisión, pero no sustituye la evidencia. La junta necesita saber si la institución corrige sus desviaciones o termina normalizándolas.

Tres preguntas permiten observar ambos procesos. La primera mide el tiempo hasta una corrección validada; la segunda, la tolerancia de desviaciones conocidas; la tercera, la recurrencia de problemas declarados corregidos.

1. ¿Cuánto tarda la institución en demostrar que corrigió? Medir desde la detección hasta la validación independiente de que la causa raíz fue corregida y la conducta cambió, con evidencia proporcional a la materialidad. No confundir ese tiempo con el cierre administrativo.

2. ¿Qué desviaciones conocidas continúan operando? Identificar los hallazgos que incumplen hitos sin justificación aceptable, por materialidad y responsable. El tiempo abierto no es solo atraso. También es exposición a normalización.

3. ¿Qué problemas reaparecen después de haber sido declarados corregidos? Medir recurrencia por causa raíz, aunque la desviación reaparezca en otra unidad, producto o canal.

Ninguna respuesta mide la cultura por sí sola. En conjunto, revelan si la institución corrige o normaliza.

En Costa Rica, el Acuerdo CONASSIF 4-16, antes Acuerdo SUGEF 16-16, incorpora la cultura y los valores corporativos al marco de gobierno, exige al órgano de dirección promover una cultura sólida de gestión de riesgos y asigna al Comité de Riesgos responsabilidades sobre los informes relativos a su estado.

Supervisar la cultura exige ir más allá: esos informes deben incorporar evidencia de cambio de conducta, no solo actividades y cierres administrativos.

Para responder esas preguntas con honestidad hace falta otra condición: que el mandato de las funciones responsables de negocio y control les reconozca autoridad explícita, proporcional a la materialidad y a los límites aplicables, para detener una operación. Esa facultad requiere un procedimiento de escalamiento inmediato al nivel competente para resolver y protección frente a represalias cuando se ejerza de buena fe.

Detener operaciones cuesta ingresos y velocidad. Habrá resistencia donde se premia volumen. La junta verá crecer los hallazgos abiertos: un tablero más incómodo, pero más honesto.

La cultura no se demuestra evitando toda desviación. Se demuestra corrigiendo antes de normalizar.

Una institución puede sostener resultados durante años mientras normaliza. Solo perdura cuando corrige más rápido de lo que normaliza.