Source: Deutsche Nachrichten
Un proveedor aprobado hace tres años no es, necesariamente, el mismo proveedor
Pensemos en una situación hipotética, aunque perfectamente verosímil en cualquier empresa argentina de tamaño mediano o grande: hace tres años, el área de Compliance aprobó a un proveedor de servicios —tecnología, logística, seguridad, lo que fuere— después de un proceso de verificación que incluyó, entre otras cosas, identificar a sus dueños. El contrato sigue vigente, la razón social es la misma, la persona de contacto también. Lo que nadie volvió a revisar es si esa empresa sigue siendo, en los hechos, propiedad de las mismas personas que la controlaban cuando se firmó el contrato. Pudo haber sido vendida, haber incorporado un nuevo socio mayoritario, haber cambiado de controlante tras una sucesión familiar o una operación de fusión. El vínculo comercial sigue funcionando exactamente igual; lo que cambió es quién está, en última instancia, detrás de él.
Este escenario no es un capricho teórico: es la brecha estructural de casi cualquier programa de Third Party Risk Management, incluidos los más rigurosos. La mayoría de los procesos de verificación de proveedores concentran todo su esfuerzo en el momento de la aprobación inicial —el onboarding— y muy pocos contemplan, de manera sistemática, una revisión posterior de si esa estructura de propiedad se mantuvo igual con el paso del tiempo. Es, en cierto sentido, la misma lógica que ya afecta a la verificación de personas: se comprueba algo una vez, al principio, y se asume que ese dato sigue siendo válido indefinidamente.
Lo que la ley argentina exige, y a quién
La razón por la que esta brecha es tan común no es negligencia: es que, para la enorme mayoría de las sociedades argentinas, la ley simplemente no exige que un cambio de accionistas o de control se comunique a terceros. La transferencia de acciones de una sociedad anónima se perfecciona, frente a la propia sociedad, con su inscripción en el libro de accionistas, y su eficacia frente a terceros depende de esa registración interna y de la publicidad que exige cada tipo societario, no de un aviso a los proveedores, clientes o contrapartes contractuales de la empresa. En otras palabras: nada en el derecho societario argentino obliga a una empresa a informarle a quienes le compran o le venden que cambiaron sus dueños, salvo que esa obligación se haya pactado expresamente en el contrato.
La única excepción relevante y verificable a esa regla general aparece en el universo, mucho más acotado, de las sociedades que hacen oferta pública de sus acciones. Bajo el régimen informativo de la Comisión Nacional de Valores, un cambio de control accionario constituye lo que la normativa llama un “hecho relevante”, que debe informarse al mercado de manera rápida, clara y concreta. Así lo estableció, en un antecedente conocido, el caso de Quickfood S.A., donde la Justicia consideró que incluso las negociaciones por la venta del paquete accionario controlante —no solo la operación ya concretada— podían constituir un hecho relevante si esa información llegaba a filtrarse. Es una obligación regulatoria real y con dientes, pero circunscripta a las empresas que cotizan en bolsa, que representan una fracción mínima del universo de proveedores con el que trabaja cualquier empresa argentina.
Existe, además, el Registro Nacional de Beneficiarios Finales creado por la Ley 27.739 e implementado por la Resolución General 5529/2024 de AFIP (hoy ARCA), que obliga a toda persona jurídica argentina a declarar quiénes son sus beneficiarios finales —quienes posean, directa o indirectamente, al menos el 10% del capital o los derechos de voto—. Es una obligación legal real, pero tiene dos límites que conviene tener presentes para este problema en particular: primero, es una fotografía que se actualiza según los plazos y regímenes informativos vigentes, no un mecanismo de alerta en tiempo real frente a cada cambio; segundo, y más relevante para quien evalúa proveedores, el acceso a ese Registro está restringido a organismos específicos —Poder Judicial, UIF, BCRA, CNV, entre otros— y no está disponible para que una empresa privada consulte, de manera pública y directa, quién es hoy el beneficiario final de su propio proveedor.
Para un conjunto más acotado de sujetos —entidades financieras, cambiarias, emisores y proveedores de servicios de pago—, las Resoluciones UIF 199/2024 y 200/2024 incorporaron reglas de “debida diligencia continuada”, que exigen actualizar periódicamente los legajos de los clientes según su nivel de riesgo, en lugar de darlos por completos con la verificación inicial. Es un antecedente regulatorio interesante porque reconoce, para ese sector puntual, exactamente el problema que este artículo plantea: que la verificación de un momento no alcanza si la relación comercial se sostiene en el tiempo. Pero esa obligación de debida diligencia continuada rige únicamente para los sujetos obligados por la normativa antilavado, no para la generalidad de las empresas que gestionan proveedores fuera de ese universo regulado.
Ni sospecha ni negligencia: un vacío estructural
Conviene ser preciso sobre lo que este artículo no sugiere: que una empresa cambie de dueños no constituye, en sí mismo, ninguna irregularidad. Las operaciones de compraventa societaria, las sucesiones familiares, los ingresos de nuevos socios o inversores son hechos absolutamente normales de la vida empresarial, y la inmensa mayoría de esos cambios no tienen relación alguna con ningún riesgo de compliance, seguridad o reputación. El punto de este artículo es más acotado: si una empresa contratante no tiene ningún mecanismo para enterarse de que ocurrió ese cambio, no puede evaluar si ese nuevo control accionario altera, o no, el perfil de riesgo que originalmente justificó aprobar a ese proveedor. Y en la mayoría de los casos, hoy, esa empresa contratante directamente no se entera, porque la ley no la obliga a nadie a contárselo.
“Seguimos trabajando con ellos desde hace años, no tenemos por qué desconfiar”, “si algo hubiera cambiado, nos habrían avisado”, son razonamientos comprensibles y, al mismo tiempo, apoyados en un supuesto que la normativa argentina no respalda: nadie tiene, salvo pacto expreso, la obligación de avisar. La única herramienta efectiva para cerrar esa brecha no está en la ley general, sino en el propio contrato: una cláusula de cambio de control —habitual en contratos de mayor envergadura en mercados más desarrollados, y todavía poco extendida en buena parte de la contratación argentina de rutina— que obligue al proveedor a notificar cualquier modificación relevante en su estructura de propiedad o control, y que le dé a la empresa contratante el derecho a revisar, o incluso a rescindir, el vínculo si ese cambio altera las condiciones bajo las cuales fue aprobado originalmente. Es, en términos de esta industria, una buena práctica contractual y no una obligación legal de aplicación general.
Proporcionalidad, no revisión permanente de todos los proveedores
Human Risk Management, entendido como la gestión estructurada del riesgo asociado a personas, funciones, accesos y decisiones —y no como una exigencia de reverificar constantemente a la totalidad de la cadena de proveedores de una empresa—, ofrece acá el criterio que permite decidir dónde vale la pena invertir en ese seguimiento: cuanto mayor sea el acceso, la información sensible o la exposición reputacional que conlleva un proveedor determinado, más sentido tiene exigirle, contractualmente, que informe cambios en su control accionario, en lugar de asumir que la verificación inicial sigue siendo válida de manera indefinida. No es necesario, ni razonable, monitorear con la misma intensidad a un proveedor de insumos de oficina que a uno con acceso a sistemas críticos o a información de clientes. Validato, compañía especializada en Background Screening y Human Risk Management con operación en Argentina, describe sus procesos de verificación de terceros como estructurados en función del rol y el nivel de riesgo de cada vínculo; ese mismo criterio de proporcionalidad —dedicar el esfuerzo de seguimiento a los proveedores de mayor exposición, en lugar de tratarlos a todos por igual— es aplicable, en términos generales, a la gestión de este riesgo específico, sin que ello implique que la compañía monitoree de manera continua o automática los cambios de titularidad de ninguna empresa en particular.
La pregunta que la aprobación inicial no responde
Aprobar a un proveedor una vez responde una pregunta puntual, en un momento determinado: quién estaba detrás de esa empresa en ese momento. No responde, ni puede responder por sí sola, quién está detrás de ella hoy, si la relación comercial se sostuvo en el tiempo sin que nadie volviera a mirarlo. Para Compliance, Legal, Seguridad y Management, la pregunta que este panorama deja no es si conviene reverificar a cada proveedor de manera indiscriminada, sino si existen, en los contratos de mayor exposición, cláusulas que obliguen a informar un cambio de control, y si alguien, dentro de la organización, tiene la responsabilidad de preguntarse, de tanto en tanto, si el proveedor que se aprobó hace años sigue siendo, en los hechos, la misma empresa.
Fuentes y marco normativo consultado
[*]Lexorbium, “Cesión de acciones en Argentina: formalidades y efectos frente a la sociedad y terceros”, sobre inscripción en el libro de accionistas y ausencia de obligación general de notificar a terceros: https://lexorbium.com/cesion-de-acciones-en-argentina-formalidades-y-efectos-frente-a-la-sociedad-y-terceros-4658
[*]Marval O’Farrell Mairal, “Régimen informativo de oferta pública. Hecho relevante”, sobre el caso Quickfood S.A. y la obligación de informar cambios de control accionario en sociedades cotizantes: https://www.marval.com/publicacion/regimen-informativo-de-oferta-publica-hecho-relevante-5998
[*]Ley 27.739 (2023) y Resolución General 5529/2024 de AFIP/ARCA, Registro Nacional de Beneficiarios Finales (umbral del 10%, acceso restringido a organismos específicos)
[*]Unidad de Información Financiera, Resoluciones 199/2024 y 200/2024, reglas de debida diligencia continuada para entidades financieras, cambiarias, emisores y proveedores de servicios de pago
[*]Validato, descripción de servicios de Background Screening y Human Risk Management estructurados por rol en Argentina: https://validato.ch/ar-en/human-risk