Lo que el caso KPMG nos enseña sobre gobierno corporativo

Imagine esta escena: un viernes a las seis de la tarde, alguien del equipo toca la puerta y dice que algo no está bien: una factura que no cuadra, un correo que no debería existir, una decisión que cruzó una línea. En ese instante, antes de saber siquiera el tamaño del problema, la mente del directivo ya tomó un primer camino. Y casi siempre hay dos: entender qué pasó, o contener que se sepa.

Esa bifurcación, tan humana, tan cotidiana, es el verdadero centro de lo que acaba de pasar con KPMG en Australia. Porque el caso, visto de cerca, no es la historia de un fraude. Es la historia de una respuesta. Y ahí hay una lección incómoda para cualquiera que se siente en una junta directiva, lidere un área de cumplimiento o cargue con la responsabilidad penal de lo que hace su empresa.

Lo que pasó, en breve

KPMG es una de las "Big Four", las cuatro firmas que auditan al mundo corporativo y certifican que sus cifras dicen la verdad. Un informante interno denunció que varios de sus socios usaron documentos confidenciales del consejo de un cliente al que auditaban desde hacía casi siete décadas, para preparar ofertas y ganar contratos de auditoría con otras compañías. En paralelo, surgió que datos sensibles de un cliente de telecomunicaciones habían llegado al equipo que competía por auditar a su rival directo.

Ya solo con eso tendríamos un caso de manual sobre conflictos de interés y sobre la frágil muralla que separa, dentro de una misma firma, los intereses comerciales de los deberes de independencia. Pero lo que convirtió un problema serio en una crisis existencial no fue el hecho original. Fue todo lo que la organización decidió hacer para que no se supiera.

El verdadero punto de quiebre: la respuesta

Cuando el denunciante alzó la voz, la firma no abrió una investigación seria. Clasificó la alerta como un "conflicto laboral", como si fuera una disputa entre empleados y no una señal sobre la calidad y la integridad de su trabajo. Y a partir de ahí, cada decisión empeoró la anterior: se accedió de forma encubierta al computador del denunciante, se le presionó hasta forzar su salida, y se le comunicó al propio consejo de administración que una firma externa había investigado y descartado irregularidades, algo que esa firma después negó ante el Parlamento.

Tres años antes, otra de las Big Four había protagonizado en el mismo país un escándalo distinto pero con la misma raíz: la tentación de poner el crecimiento por encima de la ética, y la confianza en que el problema podría gestionarse de puertas para adentro. La repetición no es casualidad. Es la prueba de que estamos ante una falla de sistema, no ante una manzana podrida.

Cuando "manejar el tema" se vuelve la crisis

Quiero detenerme aquí, porque es la parte que más solemos subestimar desde la dirección de una empresa. Existe la idea, peligrosamente extendida, de que la respuesta interna a un problema es un asunto menor: algo que se "maneja" puertas adentro y no pasa a mayores. Pero las decisiones que tomó KPMG para contener la denuncia no se quedaron en ningún cajón: detonaron sus dos peores escenarios al mismo tiempo, el reputacional y el penal.

Acceder sin autorización al computador de una persona para extraer sus archivos, sustraer y hacer circular información reservada, tomar represalias contra quien ejerció su derecho a denunciar: en jurisdicciones como la colombiana, estas no son faltas administrativas ni meras malas prácticas. Son conductas que el ordenamiento describe como delitos, desde el acceso abusivo a sistemas informáticos hasta la violación de datos personales y la utilización indebida de información privilegiada, con consecuencias que recaen sobre personas concretas, no sobre la marca.

Y esa es la trampa. Lo que en una sala de juntas se discute con eufemismos —"seamos discretos", "contengamos esto internamente", "no le demos más vuelo"— puede leerse, desde la orilla penal, como la construcción deliberada de un encubrimiento. El directivo que cree estar protegiendo a la compañía muchas veces está, sin saberlo, asumiendo un riesgo personal que ningún bono justifica. La frontera entre gestionar una crisis y participar en un delito es más delgada de lo que parece, y casi nunca se cruza de golpe: se cruza en una sucesión de decisiones pequeñas, cada una razonable en apariencia.

Y mientras ese frente penal avanza en silencio, el otro estalla a plena luz. Porque la misma decisión de ocultar que abre el riesgo jurídico es la que dispara la crisis reputacional, y esta no espera a ningún juez. KPMG no perdió clientes ni directivos por el conflicto de interés original: los perdió por la forma en que intentó taparlo. Cuando la versión que la firma había sostenido durante meses se derrumbó en público, lo que se quebró no fue un contrato puntual, sino el activo del que vivía: la confianza.

"La reputación se construye en años y se pierde en un segundo."

Por eso los dos riesgos no son independientes: son la misma decisión vista desde dos ventanas. Una mala gestión de la crisis alimenta la exposición penal, y la exposición penal agrava la crisis. Quien solo cuida la imagen y descuida lo legal termina con una imputación; quien solo blinda lo legal y descuida el relato termina absuelto pero sin empresa. Por eso ninguno de los dos frentes se atiende bien por separado.

Por qué esto le importa a cualquier organización, no solo a una auditora

Es tentador leer este caso como algo lejano: una firma gigante, en otro continente, en una industria muy particular. Pero la dinámica de fondo es universal y se repite en empresas de cualquier tamaño y sector. Toda organización va a enfrentar, tarde o temprano, su día incómodo. Lo que define el desenlace no es el hecho en sí. Es lo que la organización decide hacer con él en las primeras horas.

Y precisamente porque esas primeras horas son las que deciden todo, no se pueden improvisar. La diferencia entre una empresa que sale fortalecida de una crisis y otra que se hunde en ella rara vez está en la calidad de sus líderes bajo presión; está en si tenían, o no, un protocolo definido de antemano: quién investiga, a quién se le reporta, cómo se protege al denunciante, cuándo se activa la asesoría legal, qué se documenta y qué no. Cuando llega la mala noticia un viernes a las seis, ya es tarde para diseñar ese mapa. El momento de construirlo es ahora, en frío, cuando nadie está a la defensiva.

Y aquí es donde el gobierno corporativo deja de ser un organigrama en una presentación y se vuelve una prueba real. De este caso se desprenden, al menos, cuatro lecciones concretas.

Primera: un canal de denuncias no sirve de nada si la cultura castiga al que lo usa. Tener una línea ética es el requisito mínimo. Protegerla de verdad —blindar al denunciante de represalias, investigar con independencia real— es lo que separa el cumplimiento de fachada del cumplimiento que funciona.

Segunda: el encubrimiento tiene un costo legal propio, distinto y a veces mayor que el del hecho original. La reacción defensiva puede terminar pesando más, ante un juez, que aquello que se quería ocultar. La primera pregunta de un buen asesor no es solo "¿qué pasó?", sino "¿qué estamos a punto de hacer al respecto, y cómo se verá eso dentro de dos años?".

Tercera: la reputación no se erosiona, se desploma. Mientras lo penal se discute durante años en estrados, el daño reputacional se cobra en semanas: la salida de la cúpula directiva completa, cientos de millones en contratos bajo revisión, vetos para contratar con el Estado y clientes históricos revisando o terminando la relación.

Cuarta: el rol del consejo no es creer, es verificar. Un órgano de gobierno que se conforma con el reporte tranquilizador de la administración, sin capacidad ni voluntad de auditar ese reporte, no está gobernando: está firmando. La independencia de los directores y el acceso directo a información sin filtros no son lujos de gobierno corporativo; son su razón de ser, y también su mejor blindaje frente a una eventual responsabilidad.

La conclusión incómoda

El reflejo de tapar es profundamente humano. Nadie quiere ser portador de malas noticias, nadie quiere abrir una caja que no sabe dónde termina. Pero ese reflejo, escalado a nivel organizacional y sin contrapesos, es exactamente lo que convierte un problema gestionable en una crisis que se lleva por delante a la empresa entera y, cada vez más, a las personas que la dirigen.

La buena noticia es que la alternativa no es cara ni sofisticada. Investigar de verdad, proteger a quien levanta la mano y resistir la tentación de esconderse tras los tecnicismos sigue siendo la forma más barata y efectiva de gestión de riesgo que existe. No es buenismo. Es supervivencia institucional, y muchas veces también es defensa penal preventiva.

Volvamos a aquel viernes a las seis de la tarde. Cuando alguien toque la puerta con una mala noticia, y va a tocar, la pregunta que de verdad importa no será si hubo un error. Será si elegimos entenderlo o esconderlo. La primera opción cuesta una conversación incómoda. La segunda puede costar la empresa.