Los riesgos legales que se acumulan silenciosamente en las empresas

Las crisis jurídicas rara vez comienzan el día en que se hacen visibles.

Una empresa puede vender, contratar personal, abrir nuevas operaciones, adquirir activos y generar utilidades mientras, silenciosamente, su estructura jurídica comienza a deteriorarse.

Los problemas legales más costosos no siempre nacen de una infracción evidente ni de la ruptura de un acuerdo contractual. Con frecuencia, son el resultado de años de decisiones informales, documentos desactualizados, responsabilidades mal definidas, procesos deficientemente estructurados, controles incapaces de detectar desviaciones y estructuras que dejaron de corresponderse con la realidad económica de la organización.

Esa es la tesis central:

El riesgo legal no suele aparecer de golpe; se acumula por omisiones pequeñas, decisiones no documentadas y estructuras que dejaron de responder a la realidad.

Durante algún tiempo, ninguna de esas deficiencias parece crítica. La empresa continúa funcionando porque sus propietarios se conocen, los directivos confían entre ellos, los contratos se ejecutan por costumbre y los bancos todavía no han formulado preguntas difíciles.

El riesgo se hace visible cuando aparece un evento de presión: una auditoría, una disputa entre accionistas, la salida de un ejecutivo, una investigación regulatoria, una solicitud bancaria, una ronda de inversión, la venta de la empresa, el fallecimiento de un propietario, o una controversia sobre su propiedad o control.

En ese momento, lo que parecía una serie de asuntos administrativos menores puede convertirse en una limitación seria para operar, financiarse, crecer o transferir la propiedad de la empresa.

El riesgo legal como responsabilidad del gobierno de la organización

Los principales estándares internacionales de gobierno corporativo sitúan la supervisión de los riesgos legales y regulatorios dentro de las responsabilidades del órgano de gobierno. Con ello, se supera la idea de que el riesgo jurídico es un asunto reservado exclusivamente al abogado o al departamento de cumplimiento.

Los Principios de Gobierno Corporativo del G20 y la OCDE establecen que corresponde al órgano de gobierno revisar las políticas de gestión de riesgos, definir el nivel de riesgo que la compañía está dispuesta a asumir y supervisar sus sistemas de control interno. Esa responsabilidad comprende, entre otras materias, el cumplimiento tributario, laboral, ambiental y de competencia, así como la protección de datos, su propiedad intelectual, la seguridad digital, y las demás obligaciones aplicables a la actividad de la empresa.¹

La OCDE también recomienda que las juntas directivas revisen periódicamente si el modelo de gobierno continúa siendo apropiado frente a cambios en el tamaño, la complejidad, la estrategia, los mercados, el entorno regulatorio de la organización y su propia sostenibilidad.

Una estructura que resultaba adecuada para una empresa pequeña puede dejar de serlo cuando esta incorpora inversionistas, se internacionaliza, comienza a manejar información sensible o distribuye sus operaciones entre varias sociedades.

Desde esta perspectiva, el riesgo técnico-jurídico no se limita a determinar si la empresa está infringiendo actualmente una norma. También exige preguntarse si cuenta con los mecanismos necesarios para anticipar, detectar, documentar y corregir sus vulnerabilidades.

En ese orden de ideas surge la pregunta central: ¿cuáles son los riesgos que se acumulan silenciosamente en una empresa?

1. La estructura corporativa dejó de reflejar la realidad

Es frecuente encontrar sociedades cuyos documentos indican una distribución de la propiedad, una junta directiva o unas facultades de representación que ya no corresponden con la realidad.

Pueden haberse producido transferencias de acciones que no fueron documentadas adecuadamente; directores registrados que dejaron de participar en la gestión; poderes otorgados hace muchos años que nunca fueron revocados; o personas que toman decisiones operativas sin aparecer formalmente dentro de la estructura de autoridad de la organización.

Estas inconsistencias jurídico-formales pueden permanecer ocultas mientras existe consenso. Sin embargo, adquieren relevancia cuando debe probarse quién es el propietario, quién puede representar a la sociedad, quién aprobó una transacción o quién debe responder por determinada decisión.

El riesgo no consiste únicamente en que falte un documento. Consiste en que la realidad económica, la autoridad jurídica y la evidencia documental cuentan historias diferentes.

2. Las decisiones importantes se toman y ejecutan, pero no se documentan

Muchas empresas documentan su constitución, pero no documentan con el mismo rigor su vida corporativa.

Se aprueban inversiones, préstamos entre partes relacionadas, distribuciones de utilidades, garantías, ventas de activos, incorporaciones de socios o cambios estratégicos mediante conversaciones, correos electrónicos o mensajes instantáneos.

La decisión pudo haber sido legítima y comercialmente razonable. El problema aparece cuando, años después, debe demostrarse quién la aprobó, qué información tuvo disponible, si existía un conflicto de interés o bajo qué condiciones fue autorizada.

La ausencia de trazabilidad transforma una decisión empresarial en una futura controversia probatoria.

Desde una perspectiva estructural de forma y fondo, las actas y resoluciones no deben ser documentos ceremoniales. Deben constituir la memoria institucional de la organización y demostrar que sus decisiones materiales fueron adoptadas por las personas correctas, con información suficiente y dentro de sus respectivas facultades.

3. Los contratos continúan vigentes, pero el negocio cambió

Otro riesgo frecuente surge cuando los contratos permanecen estáticos mientras la operación evoluciona.

La empresa comenzó prestando un servicio y ahora ofrece cinco. Cambió su esquema de precios, incorporó proveedores tecnológicos, almacena información de clientes, opera en nuevos territorios o depende de subcontratistas. Sin embargo, continúa utilizando el mismo contrato que preparó durante sus primeros años.

Aparece entonces una brecha entre lo que la empresa hace y aquello a lo que jurídicamente se comprometió.

Esa brecha puede afectar la limitación de responsabilidad, la propiedad intelectual, la confidencialidad, la protección de datos, los niveles de servicio, las obligaciones de los proveedores, las causales de terminación y los mecanismos para resolver controversias.

El contrato desactualizado no suele generar una alerta inmediata. Su debilidad se descubre cuando una de las partes incumple, un cliente presenta un reclamo, se produce una filtración de información confidencial, o la relación comercial debe terminarse. Es entonces cuando el instrumento contractual revela la distancia existente entre lo pactado y la realidad del negocio.

4. El cumplimiento se encuentra fragmentado

La empresa puede estar cumpliendo parcialmente con sus obligaciones tributarias, laborales, corporativas, municipales, regulatorias y de protección de datos, pero sin una visión integrada.

Cada área atiende una parte. Contabilidad presenta declaraciones; recursos humanos administra las relaciones laborales; tecnología gestiona las bases de datos; operaciones tramita permisos; y el agente residente conserva determinada información corporativa.

Sin embargo, nadie tiene una visión completa del riesgo.

Los estándares internacionales recomiendan que los sistemas de cumplimiento y control alcancen no solo a la sociedad principal, sino también, cuando corresponda, a sus subsidiarias, agentes, consultores, distribuidores, contratistas, proveedores, consorcios y socios de empresas conjuntas.

El riesgo silencioso aparece precisamente en los espacios entre esas áreas: obligaciones que todos suponen que otra persona está atendiendo, cuando todos son responsables nadie lo es a ciencia cierta, vencimientos que no tienen un responsable definido, proveedores que manejan información sin controles adecuados o filiales cuya documentación nunca se incorporó al sistema general de gobierno. Los controles cruzados no sustituyen la asignación clara de responsabilidades; la presuponen.

5. Los activos no pertenecen jurídicamente a quien los utiliza

Una empresa puede depender de una marca registrada a nombre de su fundador, de un programa informático desarrollado por un tercero sin que exista una cesión de derechos, de un dominio controlado desde una cuenta personal o de equipos y propiedades utilizados sin contratos que documenten esa relación.

También puede existir dinero de la empresa utilizado para adquirir activos personales, o activos familiares empleados regularmente por la compañía sin que se haya definido si se trata de un aporte, un préstamo o un arrendamiento.

Mientras las relaciones sean estables, estas situaciones pueden parecer prácticas. Sin embargo, cuando surge una venta, un divorcio, una sucesión, una disputa societaria o la salida de una persona clave, la empresa puede descubrir que no controla jurídicamente los activos de los que depende.

El uso económico, la tenencia e incluso la posesión de un activo no equivalen a su titularidad jurídica.

6. La empresa depende excesivamente de una persona

Uno de los mayores riesgos jurídicos y operativos de las empresas dirigidas de manera excesivamente personalista es que la autoridad, las relaciones bancarias, el conocimiento, los contratos, las credenciales de acceso y las decisiones se concentren en una sola persona.

No existen poderes de contingencia, reglas claras de sustitución, protocolos de acceso, matrices de autoridad ni planes de sucesión ejecutiva.

La International Finance Corporation advierte que la sucesión debe comenzar a planificarse antes de que se produzca la salida del líder. En las empresas familiares, retrasar esta decisión puede provocar crisis que comprometan incluso la supervivencia del negocio.²

La pregunta relevante no es únicamente quién sustituirá al fundador cuando decida retirarse. También debe analizarse qué ocurriría mañana si esa persona no pudiera firmar, acceder a las cuentas, comunicarse con los clientes o continuar tomando decisiones.

El verdadero objetivo de un fundador no debería ser crear una organización que dependa permanentemente de él, sino una empresa capaz de conservar su capacidad de decisión, operación y continuidad aun cuando él no esté disponible.

7. La empresa creció sin rediseñar su arquitectura jurídica

Durante las etapas de crecimiento y expansión, el perfil de riesgo de la empresa se transforma.

Una compañía que en su proceso de escalabilidad incorpora accionistas, vende en otros países, celebra contratos internacionales, comienza a recibir inversión, procesa datos personales o crea nuevas líneas de negocio ya no enfrenta el mismo nivel de exposición que tenía al comenzar.

Sin embargo, muchas organizaciones crecen sobre la estructura original, agregando contratos, sociedades, cuentas bancarias y colaboradores sin revisar cómo interactúan entre sí.

El resultado suele ser una arquitectura fragmentada: sociedades sin una función claramente definida, contratos intragrupo inexistentes, activos distribuidos sin un criterio reconocible, ingresos recibidos por entidades distintas de aquellas que prestan el servicio y responsabilidades concentradas innecesariamente en una misma compañía.

Crecer sin revisar la estructura jurídica no elimina el riesgo. Simplemente lo distribuye de una forma que nadie ha diseñado.

La dimensión panameña del riesgo

En Panamá, la flexibilidad de las estructuras societarias, como las sociedades anónimas, no significa que estas puedan permanecer indefinidamente sin mantenimiento.

La evolución normativa en materia de transparencia, registros contables y beneficiarios finales ha incrementado la necesidad de que la información corporativa se mantenga disponible, coherente y actualizada.

La Ley 129 de 2020 creó el Sistema Privado y Único de Registro de Beneficiarios Finales y estableció obligaciones para los agentes residentes respecto del registro y actualización de la información de las personas jurídicas y de sus beneficiarios finales. La regulación contempla procesos continuos de validación, verificación y actualización.³

Estas obligaciones no son meramente teóricas. La Superintendencia de Sujetos no Financieros ha ordenado la suspensión de derechos corporativos de sociedades vinculadas con incumplimientos en la incorporación de información al sistema de beneficiarios finales.

Asimismo, la Ley 52 de 2016, modificada por la Ley 254 de 2021 y desarrollada mediante reglamentaciones posteriores, mantiene obligaciones relacionadas con los registros contables de determinadas personas jurídicas y con la información que debe ser proporcionada o declarada a través de sus agentes residentes.⁴

A ello se suman las obligaciones ordinarias relacionadas con la situación tributaria, la tasa única, el aviso de operación, los permisos aplicables, las relaciones laborales, la seguridad social, la documentación de las decisiones corporativas y los contratos con clientes y proveedores.

La protección de datos personales también ha adquirido mayor relevancia. La Ley 81 de 2019 y su reglamentación establecen deberes relacionados con el tratamiento, la seguridad y la confidencialidad de los datos personales.⁵

No basta con recopilar información mediante formularios o plataformas. Es necesario determinar para qué se utiliza, quién puede acceder a ella, durante cuánto tiempo se conserva y qué medidas existen para protegerla.

Una sociedad puede continuar inscrita en el Registro Público y, sin embargo, presentar deficiencias que dificulten una operación bancaria, una venta, una inversión o un proceso de debida diligencia.

El primer paso es hacer visible el riesgo

El propósito de este análisis no es formular un inventario exhaustivo de todos los riesgos legales que puede enfrentar una empresa, ni sugerir que todas las organizaciones presentan las mismas vulnerabilidades.

El punto es otro: nuestro objetivo es que usted como lector pueda reconocer que una empresa puede operar con aparente normalidad mientras aumenta progresivamente la distancia entre su realidad, sus documentos, sus decisiones, sus activos y las personas que la dirigen.

La respuesta no consiste simplemente en producir más contratos, actas o políticas internas. Consiste en revisar periódicamente si la arquitectura jurídica de la empresa todavía refleja su operación, su estructura de propiedad, su estrategia y su nivel actual de complejidad.

Identificar esas brechas no significa que todas deban corregirse al mismo tiempo. Significa hacerlas visibles, evaluar cuáles pueden afectar la continuidad, el crecimiento o el valor de la organización y determinar cuáles requieren atención prioritaria.

La metodología para identificar, evaluar, priorizar y corregir esos riesgos merece un análisis separado. Pero antes de aplicar cualquier metodología debe reconocerse la existencia del problema.

La antigüedad de una sociedad no demuestra que su estructura se encuentre en orden. En ocasiones, demuestra únicamente que sus riesgos han tenido más tiempo para acumularse.

La pregunta, entonces, no es solamente si la empresa cumple hoy con sus obligaciones.

La verdadera pregunta es: ¿cuántos riesgos se están acumulando actualmente dentro de ella sin que nadie los haya identificado?

Publicado originalmente por el Dr. Iván Lau De León en LinkedIn.