Independencia y gestión de conflictos
En seguridad y cumplimiento, la independencia del consultor no es una formalidad; es lo que define si su criterio es confiable cuando el control falla. Un consultor con dependencia económica o competitiva no declarada termina protegiendo esa relación, no al cliente que paga la auditoría. Por eso filtramos cada solicitud antes de la primera reunión, no después de firmar.
Qué excluimos, sin excepción
Declinamos todo proyecto donde exista, al momento del análisis, cualquiera de estas circunstancias:
- Relación contractual activa de un miembro del equipo con la organización solicitante. Si alguien del equipo mantiene empleo a tiempo completo o consultoría retenida con el prospecto (o con un competidor directo del prospecto), no aceptamos el proyecto. Esta exclusión se declara al inicio y no admite excepciones.
- Traslape competitivo entre clientes. No operamos simultáneamente sistemas de control de dos competidores directos en el mismo mercado y la misma ventana temporal cuando el conocimiento de uno comprometería la neutralidad frente al otro.
- Dependencia económica desproporcionada. Estructuramos la cartera para que ningún cliente individual represente una porción de ingresos tal que comprometa nuestra capacidad de emitir un hallazgo incómodo o de declinar una renovación.
- Doble rol incompatible. No diseñamos un control y luego lo auditamos como si fuéramos un tercero independiente. Cuando acompañamos al QSA o al organismo certificador, lo hacemos declarando nuestro rol de asesor, nunca sustituyendo la evaluación soberana del auditor.
Marco de referencia
El estándar que aplicamos se deriva de las directrices de ISACA, EC-Council y el Code of Professional Responsibility del PCI SSC. El estándar viene de esos cuerpos; la decisión de declinar es nuestra y la asumimos por escrito.
Registro de declinaciones
Cada vez que rechazamos un proyecto por un conflicto de independencia, lo registramos: fecha, motivo de la declinación y categoría del conflicto, sin exponer datos del prospecto. Ese registro queda auditable por cualquier cliente activo bajo NDA. Es la forma de demostrar que la independencia no es una declaración de marketing sino una práctica con evidencia.
Por qué lo publicamos
Una firma especializada que opera información regulada de procesadores de pago, fintechs y empresas bajo supervisión de la SBS o la ANPDP necesita que su independencia sea verificable, no asumida. Publicar el criterio por adelantado permite que un comprador descarte la conversación en treinta segundos si detecta un conflicto que nosotros también detectaríamos. Preferimos perder esa reunión a perder la neutralidad.
¿Dudas sobre un posible conflicto antes de escribirnos? Plantéalo directo en la primera conversación. Si existe traslape, lo decimos en esa misma llamada.