Compliance en Chile: qué es, para qué sirve y qué exige la ley

En Chile no existe una norma que obligue a todas las empresas a tener un sistema de compliance. Lo que existe es un conjunto de regímenes distintos, penal, financiero, de prevención de lavado de activos, de protección de datos y laboral, que imponen obligaciones concretas a destinatarios también distintos. Y existe una ley penal donde no contar con un modelo de prevención es justamente lo que abre la puerta a la responsabilidad de la empresa. Esta guía explica qué exige cada régimen, a quién le aplica y quién responde dentro de la organización.

Qué es el compliance

El compliance es el conjunto de políticas, procesos y controles con los que una empresa asegura que su operación cumple las leyes, regulaciones y estándares éticos que le son aplicables, y que puede demostrarlo.

Esa última parte es la que suele quedar fuera cuando se define el término. Un sistema de compliance no solo busca que la empresa cumpla: busca que exista registro de que cumplió, con quién a cargo y con qué respaldo. Frente a un fiscalizador, un auditor externo o un tribunal, el cumplimiento que no se puede acreditar tiene poco valor práctico.

Compliance y cumplimiento normativo son lo mismo

En el uso profesional chileno ambos términos se emplean indistintamente. Los materiales técnicos del rubro suelen definirlo directamente así, "cumplimiento normativo, o compliance en inglés", y los estudios sobre empresas chilenas describen la disciplina como gestión del cumplimiento de normas y regulaciones sin introducir ninguna distinción entre ambos.

Tampoco la normativa los separa. Ni la CMF, ni la UAF, ni los gremios del sector manejan definiciones formales que asignen alcances diferentes a cada término. Lo que sí hace la ley es nombrar instrumentos específicos con denominaciones propias, como el modelo de prevención de delitos, el sistema de gestión de riesgos o el responsable de datos, pero eso no crea dos conceptos jurídicos distintos.

Vale aclararlo porque la confusión aparece seguido en propuestas comerciales que presentan el compliance como algo más amplio o más sofisticado que el cumplimiento normativo. En Chile, no lo es.

¿Es obligatorio el compliance en Chile?

No con carácter general. No hay ninguna norma chilena que ordene a toda persona jurídica implementar un sistema de compliance.

La respuesta precisa es que el compliance en Chile es voluntario, pero con consecuencias legales relevantes si no se tiene. El caso que mejor lo ilustra es la Ley 20.393 sobre responsabilidad penal de las personas jurídicas.

Esa ley establece que la empresa responde penalmente cuando se cometen determinados delitos en su interés y ella "no haya adoptado e implementado modelos de organización, administración y supervisión para prevenir estos delitos o, habiéndolos implementado, estos hayan sido insuficientes". La ley no ordena implementar el modelo. Lo que hace es convertir su ausencia o su ineficacia en un presupuesto de la responsabilidad penal de la empresa.

El alcance de la Ley 20.393 es amplio: personas jurídicas de derecho privado, empresas públicas, universidades del Estado, partidos políticos y otras personas jurídicas de derecho público que no ejerzan funciones soberanas. No distingue por tamaño ni por rubro. Cualquier organización con exposición razonable a los delitos del catálogo tiene un incentivo jurídico fuerte para contar con un modelo, aunque formalmente la ley lo plantee como condición de exención o atenuación y no como mandato.

Los regímenes chilenos que sí imponen obligaciones

Fuera del ámbito penal, la obligatoriedad del compliance en Chile es sectorial. Estos son los cinco marcos que concentran la mayor parte de las obligaciones vigentes:

Dos de estos merecen atención especial por su alcance transversal.

La Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, fue publicada el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026, veinticuatro meses después. Aplica a todo tratamiento de datos personales que realice una persona natural o jurídica, incluidos los órganos públicos. Impone deberes de licitud, transparencia, seguridad y responsabilidad proactiva, exige documentar las decisiones de tratamiento y facilita el ejercicio de derechos de los titulares. La Agencia que crea tendrá facultades de fiscalización, interpretación administrativa y sanción, con multas que pueden llegar a 20.000 UTM en infracciones gravísimas. La ley contempla además que las empresas adopten un modelo de prevención de infracciones con un delegado de protección de datos, que la Agencia podrá certificar.

La Ley 21.643, conocida como Ley Karin, fue publicada el 15 de enero de 2024 y entró en vigencia el 1 de agosto de ese año. Obliga a todas las entidades empleadoras, sin excepción de tamaño ni sector, a elaborar e implementar un protocolo de prevención del acoso laboral, sexual y de la violencia en el trabajo, incorporarlo al Reglamento Interno de Orden, Higiene y Seguridad, habilitar canales de denuncia, capacitar al personal y reportar denuncias y medidas de resguardo al organismo administrador y a la Dirección del Trabajo. Su base jurídica es laboral y no penal, pero exige protocolos, controles, canales y capacitación, o sea un sistema de cumplimiento en toda regla.

Las áreas de compliance: una convención, no una clasificación legal

Es habitual encontrar el compliance dividido en áreas: penal, laboral, ambiental, tributario, de libre competencia, de protección de datos y de protección al consumidor. Las consultoras que ofrecen modelos integrales suelen agrupar siete u ocho ámbitos de este tipo.

Conviene saber que esa taxonomía es convención de mercado y doctrina, no una clasificación codificada en la ley. Ningún regulador chileno establece una clasificación general de áreas de compliance. Cada uno se concentra en la suya: la UAF en lavado de activos, la CMF en riesgo financiero y gobierno corporativo, el TDLC y la FNE en libre competencia, la futura Agencia de Protección de Datos en datos personales, la Dirección del Trabajo y la SUSESO en materia laboral y riesgos psicosociales.

La clasificación sigue siendo útil para organizar el trabajo interno. Solo no hay que presentarla como si tuviera respaldo normativo, porque no lo tiene.

Oficial de cumplimiento y encargado de prevención no son lo mismo

Esta es una de las confusiones más frecuentes del rubro, y tiene consecuencias prácticas cuando una empresa cree que designando a una persona cubre dos regímenes que en realidad exigen cosas distintas.

El oficial de cumplimiento es una figura de la Ley 19.913. Su artículo 40 obliga a los sujetos obligados a inscribirse en el Registro de Entidades Reportantes de la UAF y a designar un oficial de cumplimiento responsable de relacionarse con ese servicio. La Circular N° 62 de 2025 de la UAF detalla el cargo: coordina e implementa las políticas y procedimientos de prevención y detección de lavado de activos, financiamiento del terrorismo y de la proliferación de armas, debe ocupar un cargo de alta responsabilidad como gerente de área o división, contar con independencia funcional y tener acceso a todas las operaciones y documentación pertinente. Existen inhabilidades, entre ellas no haber sido condenado por los delitos base de la ley ni por lavado de activos. Las micro y pequeñas empresas pueden designar al propio socio, administrador o ejecutivo.

Esta obligación recae solo sobre los sujetos obligados que enumera el artículo 3 de la Ley 19.913 y el listado que mantiene la UAF, actualmente 55 actividades entre las que están bancos, compañías de seguros, administradoras de fondos, corredores de bolsa, casinos, empresas inmobiliarias, automotoras y fintech.

El encargado de prevención es una figura de la Ley 20.393. Forma parte de los elementos mínimos del modelo de prevención de delitos y debe ser designado por el directorio o máximo órgano de administración, con autonomía respecto de la administración, acceso directo al directorio y recursos suficientes. La práctica lo llama compliance officer penal, pero la denominación legal es esa.

Nada impide que ambos roles recaigan en la misma persona cuando una organización es a la vez sujeto obligado ante la UAF y persona jurídica bajo la Ley 20.393, siempre que se cumplan las condiciones de cada régimen. Lo que no corresponde es asumir que designar uno satisface automáticamente al otro.

Y conviene distinguir las dos figuras del uso genérico del título "oficial de cumplimiento" en el mercado laboral, que muchas veces describe un cargo interno sin relación con ninguno de los dos regímenes.

Quién responde dentro de la empresa

No existe una norma chilena que declare de forma general que el directorio es responsable del sistema de compliance. Pero hay tres fundamentos que permiten sostenerlo con precisión, según el tipo de empresa.

En materia penal, la Ley 20.393 vincula la responsabilidad de la persona jurídica con el incumplimiento de los deberes de dirección y supervisión de sus dueños, controladores, ejecutivos principales y representantes. Su artículo 4 asigna al directorio o máximo órgano de administración la designación del encargado de prevención, y exige protocolos, evaluaciones periódicas y auditorías externas del modelo.

En materia societaria general, la Ley 18.046 sobre sociedades anónimas obliga a los directores a emplear "el cuidado y diligencia que los hombres emplean ordinariamente en sus propios negocios", y establece responsabilidad solidaria por los perjuicios causados a la sociedad y a los accionistas por actuaciones dolosas o culpables. La ley no menciona el compliance, pero la doctrina chilena ha leído esos deberes de diligencia como base para exigir al directorio sistemas adecuados de gestión de riesgos y cumplimiento.

En el sector financiero, las normas de carácter general de la CMF son explícitas. La NCG 502 y la NCG 514 establecen que el directorio u órgano equivalente es la instancia responsable de aprobar las políticas de gestión de riesgos y control interno, definir la estructura organizacional para gestionarlos y asegurar una cultura de gestión de riesgos adecuada, con la función de gestión de riesgos reportando directamente al directorio.

Los estándares ISO aplicables

Tres normas internacionales ordenan este terreno, y hay una diferencia entre ellas que conviene tener clara antes de tomar decisiones de certificación.

La ISO 37301 especifica requisitos y directrices para establecer, implementar, evaluar y mejorar un sistema de gestión del compliance, y aplica a organizaciones públicas, privadas y sin fines de lucro. Es la norma de referencia actual.

Si en alguna presentación o propuesta aparece todavía la ISO 19600, conviene saber que esa norma fue formalmente retirada. La ISO 37301 la anuló y sustituyó. La diferencia no es solo de numeración: la 19600 era una guía de buenas prácticas, mientras que la 37301 usa lenguaje directivo, contiene requisitos exigibles y es certificable por organismos independientes, lo que permite generar evidencia verificable frente a reguladores, clientes y contrapartes.

La ISO 31000, en cambio, es una guía de gestión de riesgos y no es certificable. Sirve como marco de referencia, no como sello. Es un punto que vale revisar cuando un proveedor ofrece "certificar ISO 31000".

Por dónde partir

El compliance en Chile no se resuelve adoptando un sistema genérico, porque las obligaciones reales dependen de qué regímenes le aplican a cada empresa según su rubro, su tamaño y los datos que trata. El primer paso siempre es el mismo: identificar qué normas le aplican efectivamente a la organización, en qué estado está frente a cada una y qué evidencia respalda ese estado.

Isolegal centraliza la matriz de cumplimiento normativo, la evidencia de cada requisito y las alertas de cambio regulatorio en una sola plataforma, administrada por nuestro equipo legal.