Cumplimiento Normativo: Qué Es y Cómo Gestionarlo en una Empresa

Casi nada del proceso de gestión del cumplimiento normativo está regulado en Chile para empresas privadas. No hay una metodología oficial para identificar qué normas le aplican a una organización, no existe un servicio estatal de alertas de cambios normativos, y la auditoría de cumplimiento corporativa no tiene ni requisitos de quién la ejecuta ni periodicidad exigida. Ese vacío no elimina la obligación de cumplir: solo significa que el proceso hay que construirlo. Esta guía explica cómo se arma, con qué fuentes y qué evidencia hay que conservar.

Si lo que busca es entender qué regímenes legales obligan a su empresa y quién responde por ellos, eso está en la guía sobre compliance en Chile (ENCALE A BLOG CUANDO SE PUBLIQUE). Este artículo se ocupa del proceso, no del marco.

Qué es el cumplimiento normativo

El cumplimiento normativo es la gestión sistemática de las obligaciones legales y regulatorias que le aplican a una empresa: identificarlas, evaluar en qué estado está frente a cada una, asignar responsables, resguardar la evidencia y mantener todo actualizado cuando las normas cambian.

En el uso profesional chileno, cumplimiento normativo y compliance son sinónimos. No hay distinción formal entre ambos términos ni en la normativa ni en documentos de la CMF, la UAF o los gremios del sector.

Cómo se identifica el universo normativo aplicable

El universo normativo es el conjunto de leyes, decretos, resoluciones y normas técnicas que le aplican efectivamente a una empresa según su rubro, tamaño, procesos y ubicación.

No existe en Chile una metodología oficial y transversal para construirlo. Ni la BCN, ni los ministerios, ni las superintendencias publican un método que indique cómo mapear los procesos de una empresa concreta contra el marco normativo que le corresponde.

Lo que sí existe son listados sectoriales de marco normativo. Sernageomin publica el suyo para minería, el Minvu para construcción, la CMF para servicios financieros. Son un buen punto de partida, pero enumeran normas del sector sin decir cuáles aplican a cada operación particular.

En la práctica, la construcción del universo normativo es una metodología de mercado, desarrollada por consultoras, equipos legales internos y áreas de riesgo, apoyada en estándares de gestión de riesgos como la NCh-ISO 31000. El procedimiento que se repite tiene cuatro pasos:

1. Partir del marco transversal que aplica a cualquier empresa en Chile: laboral, tributario, de seguridad y salud en el trabajo, y desde el 1 de diciembre de 2026 también de protección de datos personales.

2. Sumar el marco sectorial propio del rubro, tomando como base los listados que publican los reguladores del sector.

3. Filtrar por aplicabilidad real. No todas las normas del sector afectan a todos los procesos ni a todos los centros de trabajo de la empresa.

4. Bajar cada norma al requisito concreto que genera la obligación, no al nombre de la ley. Una matriz que dice "Ley 16.744" sin especificar qué artículo exige qué cosa no sirve para gestionar nada.

Ese último punto es el que más se omite, y es el que decide si el trabajo resulta útil o si termina siendo un inventario que nadie consulta.

Del requisito a la evidencia

Identificar las normas es la mitad del trabajo. La otra mitad es poder demostrar el cumplimiento, que es lo que revisa un fiscalizador.

Por evidencia de cumplimiento se entiende el documento o antecedente que acredita que la empresa hizo lo que la norma exige. En las fiscalizaciones chilenas eso toma formas concretas: resoluciones, actas de inspección, certificados, comunicaciones, fotografías, liquidaciones, registros de visitas. La SUSESO, por ejemplo, exige que los organismos administradores acompañen "como evidencia, el documento o antecedente que dé cuenta del cumplimiento de lo instruido", distinguiendo según el tipo de instrucción. Los manuales de fiscalización de la DGA describen actas, oficios, fotografías y certificados como documentación que se incorpora al expediente sancionatorio.

Un requisito marcado como cumplido sin documento asociado es, para efectos prácticos, un requisito sin acreditar.

Cuánto tiempo hay que conservar la evidencia

No existe una regla única que fije un plazo general de conservación para toda la evidencia de cumplimiento. Los plazos son sectoriales:

En materia ambiental, de consumidor y de datos personales los plazos dependen de la norma específica, incluidas las obligaciones de documentación que traerá la Ley 21.719 cuando entre en vigencia.

Cómo monitorear los cambios normativos

Este es el punto donde la gestión manual falla con más frecuencia, porque exige revisar varias fuentes distintas de forma sostenida.

Las fuentes oficiales disponibles son tres tipos:

• El Diario Oficial publica todas las leyes, decretos y reglamentos. Su edición electrónica permite lectura y descarga diaria, pero el seguimiento por materia exige configurar búsquedas propias o contratar productos asociados.

• LeyChile y la BCN entregan acceso gratuito y actualizado a los textos completos, con historial de reformas y fichas legislativas. No ofrecen un servicio público de alertas personalizadas por materia.

• Los sitios de cada regulador: CMF, SII, UAF, Dirección del Trabajo, SMA a través del SNIFA, Sernac, Sernageomin, Minvu. Cada uno publica sus propias novedades normativas en su propio formato.

Sobre alertas, el punto importante es que hoy no existe un servicio estatal unificado de alertas temáticas para empresas. Algunos ministerios y reguladores publican boletines o feeds de novedades, pero son fragmentarios y no cubren el universo normativo de una organización. La oferta consolidada es privada: soluciones RegTech que escanean las fuentes oficiales y entregan alertas por materia, en general bajo suscripción.

Eso deja a una empresa con tres opciones reales: revisar manualmente varias fuentes con una periodicidad definida, contratar un servicio que consolide, o trabajar con una plataforma que mantenga la matriz actualizada. Lo que no funciona es asumir que un cambio normativo relevante va a llegar solo.

Riesgo de cumplimiento, riesgo normativo y riesgo regulatorio

Los tres términos circulan como sinónimos en el mercado chileno, pero tienen definiciones técnicas distintas que conviene usar bien cuando se documenta un sistema de gestión.

Riesgo de cumplimiento. La ISO 37301 lo define como la probabilidad de ocurrencia y las consecuencias del no cumplimiento respecto de las obligaciones de compliance de una organización. Es el concepto más amplio: cubre leyes, regulaciones, contratos, códigos éticos y otros compromisos asumidos.

Riesgo normativo o riesgo legal. En los documentos de gestión de riesgos que se usan en Chile se trata como una subcategoría del riesgo operacional. Es la exposición a pérdidas por falta de integridad o inexactitud de documentación legal que afecte la validez de las transacciones, por el hallazgo de incumplimientos de normativa vigente, o por resultados adversos en procedimientos legales y arbitrajes. Incluye el caso de contrapartes que no tienen autoridad legal para perfeccionar una transacción.

Riesgo regulatorio. La CMF, en su material sobre riesgo operacional, señala que este incluye el riesgo de pérdidas ante cambios regulatorios que afecten las operaciones de la entidad, y también las pérdidas derivadas de incumplimiento o falta de apego a la regulación vigente. Cubre entonces las dos caras: que cambie la norma y que no se cumpla la que rige.

Para una empresa que recién está ordenando su sistema, lo práctico es adoptar riesgo de cumplimiento como concepto paraguas siguiendo la ISO 37301, y reservar los otros dos para los casos específicos que describen.

Auditoría de cumplimiento normativo

En el sector público la figura está regulada. La Contraloría General de la República, mediante la Resolución N° 10 de 2021, define la auditoría de cumplimiento como aquella que evalúa si los procesos, actividades, procedimientos, operaciones, transacciones financieras y la información generada cumplen con las regulaciones que rigen a la entidad auditada, y fija una metodología de tres fases: preparación, ejecución y cierre.

Esa regulación aplica a la Contraloría y a los órganos del sistema de auditoría interna del sector público. Para empresas privadas no hay equivalente. No existe una ley que defina la auditoría de cumplimiento normativo corporativa, no hay requisitos sobre quién puede realizarla, y no hay un plazo legal de periodicidad general más allá de exigencias sectoriales puntuales, como las revisiones anuales de gestión de riesgos que la SUSESO exige a las mutualidades.

Es el mismo vacío que existe en materia de seguridad y salud en el trabajo, donde tampoco hay periodicidad normativa fijada para las auditorías internas del sistema de gestión, según revisamos en la guía sobre auditoría y diagnóstico SST.

A falta de norma, la periodicidad y el alcance se definen por política interna, por el estándar que la empresa haya adoptado, o por requerimiento de un regulador sectorial.

Auditoría de compliance, auditoría legal y due diligence

Los tres términos aparecen a menudo como equivalentes en propuestas comerciales, y no lo son.

La auditoría legal es más amplia que la de compliance, porque cubre materias societarias, contractuales, inmobiliarias y de propiedad intelectual que exceden el cumplimiento regulatorio. Y el due diligence es externo y transaccional: dentro de su alcance suelen ejecutarse auditorías de compliance y legales específicas, pero su objetivo no es mejorar el sistema interno sino informar una decisión de compra.

Ejemplos por industria

El marco transversal, laboral, tributario, de seguridad y salud en el trabajo, penal y de datos personales, aplica a todas las empresas. Sobre él se suma el marco sectorial. Estos son los cuerpos normativos más citados en cuatro industrias:

Minería. Código de Minería (Ley N° 18.248), Ley Orgánica Constitucional sobre Concesiones Mineras (Ley N° 18.097), Ley N° 20.551 sobre cierre de faenas e instalaciones mineras, y el Reglamento de Seguridad Minera (DS N° 132 del Ministerio de Minería), que revisamos en detalle en la guía sobre SST en minería.

Construcción. Ley General de Urbanismo y Construcciones (DFL N° 458 de 1976), Ordenanza General de Urbanismo y Construcciones (DS N° 47 de 1992), y las 192 Normas Chilenas técnicas obligatorias del Minvu para diseño y construcción de obras habitacionales y urbanas.

Retail y comercio. Ley N° 19.496 de protección de los derechos de los consumidores, que regula contratos de adhesión, publicidad, información al consumidor, garantías, derecho de retracto y juicios colectivos, con multas que llegan a 1.000 UTM en casos graves. Se complementa con normativa sectorial según el rubro.

Servicios financieros. DL N° 3.538, Ley Orgánica de la CMF, actualizada por la Ley N° 21.000; DFL N° 3 de 1997, Ley General de Bancos; y Ley N° 21.521 o Ley Fintec, sobre competencia e inclusión financiera mediante innovación y tecnología.

Sobre las cifras de sanciones

Vale una advertencia, porque circulan cifras agregadas que no tienen respaldo. En Chile no existe una consolidación oficial que sume las sanciones por incumplimiento normativo de todos los reguladores en un monto total. Cada organismo publica lo suyo por separado: la SMA mantiene un registro público de sanciones en el SNIFA, con resoluciones firmes por proyecto, tipo de infracción y monto; la CMF ofrece un buscador de sanciones por mercado y publica las cursadas cada mes; el Sernac, la FNE, la Dirección del Trabajo y otros publican sus resoluciones en sus propios sitios y formatos.

Cualquier cifra transversal del tipo "las empresas chilenas pagaron X en multas" requiere construcción manual a partir de esas fuentes. No es un dato oficial.

El punto donde una planilla deja de servir

Una matriz de cumplimiento en Excel funciona bien mientras el universo normativo es acotado, hay un solo centro de trabajo y una persona sostiene la revisión. Deja de funcionar cuando hay varias faenas con normativa distinta, cuando quien mantenía la planilla cambia de rol, o cuando entra en vigencia una norma que nadie estaba mirando.

Isolegal centraliza la matriz de cumplimiento normativo, la evidencia de cada requisito, los responsables y las alertas de cambio regulatorio en una sola plataforma, mantenida por nuestro equipo legal.