Guillermo Larrea, socio de Hogan Lovells Cadwalader y CEO de ELTEMATE LATAM, ha construido durante más de una década la práctica de compliance más reconocida de México según Chambers, y hoy lidera el Comité de Compliance de la firma para América Latina tras la fusión con Cadwalader. Para Larrea, el verdadero cambio de fondo en el compliance es la capacidad de demostrar que las políticas modifican decisiones antes de que el riesgo se materialice, más allá de su existencia en papel: esa idea atraviesa la designación de cárteles como organizaciones terroristas, que redefine el perímetro de riesgo incluso para negocios legítimos; el patrón más común de fraude en la región, canalizado a través de terceros sin due diligence actualizado; el error de redactar gobernanza de IA sin antes definir una estrategia de uso; y la gestión de crisis, donde el error más costoso es dividir el problema en frentes separados en lugar de una sola estructura de mando.
Ese mismo criterio de efectividad real es el eje que Larrea llevará al Foro Gerencias Legales México 2026, donde participará este año: “Creo que el reto para las gerencias legales es estar mucho más cerca de la operación. No para controlar todas las decisiones, sino para identificar el riesgo antes de que llegue convertido en un problema jurídico”.
Usted se incorporó a Hogan Lovells en enero de 2025, proveniente de Jones Day, y año y medio después ya forma parte de Hogan Lovells Cadwalader tras la fusión más grande en la historia del sector legal. ¿Cómo describiría hoy el alcance de su práctica de compliance, ciberseguridad e IA dentro de esta nueva plataforma combinada?
Hoy es una práctica más amplia e integrada, y eso es resultado de sumar fortalezas. Cuando llegué a Hogan Lovells Cadwalader con mi equipo, la firma contaba con talento en el área de Compliance y lo que hicimos fue integrarlo bajo un liderazgo común. Creamos un Comité de Compliance, mismo que lidero para la región de Latinoamérica, que hoy reúne a cinco socios y diez asociados y profesionales, combinando trayectorias, especialidades y relaciones que antes estaban distribuidas, para construir una práctica fuerte, integrada y diferenciada en investigaciones.
Nuestra práctica está dividida en dos grandes segmentos; Business Integrity Compliance que aborda investigaciones y cumplimiento en, anticorrupción, fraude, lavado de dinero y sanciones (especialmente relevantes en el contexto de la era Trump), y por otro lado, Digital Compliance que aborda los temas de privacidad, ciberseguridad, protección de datos o inteligencia artificial. En la práctica, las fronteras entre estas áreas se han ido borrando: una investigación puede implicar revisar enormes volúmenes de información con herramientas de IA; un incidente cibernético puede generar problemas regulatorios, litigios, sanciones o una investigación interna; y un proyecto de adopción de IA puede plantear cuestiones de privacidad, o responsabilidad.
La fusión con Cadwalader aportó un portafolio de clientes en sector financiero y especialistas en regulación financiera, investigaciones y disputas, particularmente en Estados Unidos y RU. Eso es muy relevante para nosotros porque muchos de los asuntos que vemos desde México y América Latina tienen dimensión global, y ahora contamos un brazo financiero robustecido para acompañar a nuestros clientes en cada una de esas jurisdicciones, sin perder la cercanía y el conocimiento local que hemos construido durante años en la región.
Chambers lo reconoce como socio líder en compliance en México desde hace 11 años consecutivos. ¿Qué tipo de cliente y de mandato ha cambiado más en esa última década, comparado con cuando empezó a construir esta práctica?
Cuando Chambers nos reconoció por primera vez en 2015, la práctica tenía un enfoque muy centrado en la Foreign Corrupt Practices Act y prevención de lavado de dinero. Hoy, la práctica ha crecido en materia (por ejemplo, la designación de Foreign Terrorist Organizations), la profundidad de la regulación y soft law, y las herramientas disponibles. La geopolítica y la tecnología han transformado nuestra práctica.
Antes el punto de partida era casi siempre reactivo: un problema puntual de corrupción o fraude que había que investigar y resolver. Hoy los clientes se anticipan con risk assessments donde la primera preocupación es asegurarse de que ninguna parte de su operación o cadena de suministro esté afectada, directa o indirectamente, con riesgos de cumplimiento, por ejemplo, el manejo de proveedores con vínculos con organizaciones delictivas, ahora posiblemente terroristas. A eso se suma la revisión del origen de los recursos, con quién contratan, la trazabilidad de su cadena de suministro, y la respuesta a órdenes ejecutivas del gobierno del presidente Donald Trump.
Los mandatos también han cambiado en la manera en que los ejecutamos. Hoy usamos inteligencia artificial para analizar grandes volúmenes de documentos y comunicaciones y así identificar riesgos de forma mucho más rápida y precisa. A través de Eltemate, la compañía de legal-tech de Hogan Lovells Cadwalader, nos permite poner a disposición de nuestros clientes herramientas de IA, tecnología forense, análisis de antecedentes, análisis predictivo de datos para fortalecer nuestro análisis legal y regulatorio desde el ángulo legal.
Usted ha investigado casos bajo el Sistema Nacional Anticorrupción de México, la FCPA estadounidense y la UK Bribery Act. En el entorno regulatorio actual de México, ¿qué tipo de riesgo de cumplimiento ve subestimado hoy por las empresas multinacionales que operan en el país?
Muchas multinacionales siguen operando con un “compliance sombrilla”, un programa genérico, diseñado en la casa matriz, que se replica igual en México, Colombia o Brasil, sin adecuación local. Especialmente, tratándose de empresas de origen español y latinoamericano. El costo suele ser muy alto ante investigaciones de autoridades norteamericanas y europeas.
También se subestima la exposición a autoridades locales bajo relaciones de amiguismo o cercanía.
Finalmente, hoy ante la designación de cárteles como grupos terroristas en países como México, Ecuador, Colombia, Venezuela y Brasil, el riesgo más relevante es la asociación indirecta o directa con estos grupos criminales que opera con redes legítimas en negocios legítimos, pero cuyo simple vinculación, tiene consecuencias letales.
Sin identificar clientes, ¿puede describir el patrón más común que ha visto en investigaciones recientes de fraude o corrupción corporativa en la región, y qué falla estructural interna suele explicarlo?
El patrón más común que hemos visto en investigaciones recientes es el de pagos indebidos canalizados a través de terceros: agentes, distribuidores o consultores que actúan como intermediario para crear una capa de distancia que dificulte trazar el origen y el destino del pago.
La falla estructural que casi siempre lo explica es doble. Primero, un due diligence de terceros débil o superficial, hecha una sola vez al momento de la contratación y nunca actualizada, que no profundiza en quién es realmente el intermediario, cómo genera valor, ni por qué su comisión es razonable frente al servicio prestado. Segundo, y quizás más relevante, controles que existen a nivel corporativo, pero que nunca bajan realmente a la operación local: políticas bien diseñadas en la matriz que la filial aplica de manera formal, sin que el equipo local tenga el conocimiento, la autoridad o los incentivos para hacerlas efectivas en el día a día. Cuando esas dos fallas coinciden, el tercero se convierte en el punto ciego perfecto.
Usted asesora a empresas en ética de IA y gobernanza de estas tecnologías. ¿Cuál es el error más común que comete una empresa al diseñar su marco de gobernanza de IA, y qué tan preparadas están realmente las compañías en América Latina frente a esto?
El error más común es empezar por escribir una política antes de entender cómo la empresa está utilizando la IA y definir la propia estrategia de IA.
Lo primero que debería una compañía es saber cuál es su estrategia, y qué herramientas se están utilizando, quién las usa, para qué, con qué información y qué decisiones pueden verse afectadas. El riesgo cambia muchísimo dependiendo del caso de uso.
Después vienen las reglas: qué usos necesitan autorización, cuándo debe haber supervisión humana, qué información puede compartirse con una herramienta, cómo se revisa a los proveedores y qué ocurre cuando el sistema se equivoca.
La gobernanza de IA no debería ser un documento que se aprueba una vez y se guarda. Tiene que funcionar como cualquier otro sistema de gestión de riesgos: identificar el riesgo, medirlo, establecer controles y revisarlo constantemente, pero sobre todo, debe reflejar la estrategia de la compañía.
Los grandes corporativos de América Latina tienen un gran reto aun en este sentido. Lo que vemos es que estos siguen discutiendo uso de herramientas, pero no estrategias definidas sobre IA.
Parte de su práctica incluye asesorar a empresas tecnológicas chinas que se expanden en América Latina sobre cumplimiento de leyes regionales de protección de datos. ¿Qué tan distinto es ese ejercicio de cumplimiento frente al de una multinacional occidental, y qué reto de fondo enfrenta hoy una empresa china que quiere operar bien en la región en esta materia?
Hay una parte que no es distinta: una empresa china que llega a América Latina tiene que cumplir las mismas reglas locales que cualquier otra compañía. Lo que sí cambia es el contexto. Muchas de estas empresas operan con tecnología, infraestructura y flujos de información distribuidos entre varias jurisdicciones.
Entonces una decisión aparentemente local puede tener consecuencias regulatorias en China, Estados Unidos o Europa.
Eso obliga a revisar con mucho cuidado dónde están los datos, quién puede acceder a ellos, qué tecnología se utiliza, qué proveedores intervienen y si existen restricciones relacionadas con sanciones, export controls o seguridad de la información.
El reto está en permitir que la compañía mantenga un modelo global eficiente sin crear problemas regulatorios en los mercados donde quiere operar.
Por otro lado, las empresas Chinas son fundamentalmente pragmáticas. Desean entender el cómo realizar las cosas, entendiendo su legalidad y riesgos. En ocasiones eso implica probar el modelo hasta sus límites.
Usted participa este año en el Foro Gerencias Legales México 2026, el próximo 3 de septiembre en Ciudad de México. ¿Cuál es el estándar de gobernanza que hoy exige más ajuste real a las empresas que operan en México, más allá del cumplimiento de papel?
El estándar que hoy exige más ajuste real es la capacidad de demostrar que los controles verdaderamente funcionan.
Muchas compañías tienen políticas, matrices de riesgo, procedimientos de terceros, líneas de denuncia y programas de capacitación. El problema es que la existencia de esos elementos ya no dice demasiado por sí sola.
La pregunta importante es qué efecto tienen en la práctica. Si existe un proceso de due diligence, ¿realmente ha llevado a rechazar o condicionar relaciones? Si hay una evaluación de riesgos, ¿ha cambiado recursos o controles? Si existen denuncias, ¿las investigaciones generan consecuencias y remediación?
Creo que ese es el cambio más importante: pasar de demostrar que existe un programa a demostrar y que el programa modifica decisiones y reduce riesgo.
Por otro lado, la IA, los riesgos relacionados con carteles/terrorismo y los incidentes de ciberseguridad deben ser temas prioritarios en toda organización.
El foro cierra con un panel sobre “Operar en Entornos de Alto Riesgo: Estrategias de Cumplimiento y Resiliencia Corporativa”. Desde su experiencia en crisis management e investigaciones, ¿cuál es el error más caro que comete una gerencia legal cuando administra una crisis de cumplimiento o un incidente de ciberseguridad en tiempo real?
El error más costoso es manejar cada frente del problema por separado.
En una crisis relevante, Legal, Compliance, Tecnologías de la Información, CISOs, áreas de comunicaciones, entre otros, tienen que trabajar bajo una misma estructura. Mientras el equipo técnico intenta entender qué pasó, pueden estar corriendo plazos regulatorios, puede ser necesario preservar evidencia, analizar sanciones, proteger privilegio o decidir qué comunicar a clientes, empleados o autoridades.
El problema es que esas decisiones muchas veces tienen que tomarse antes de tener todos los hechos. Por eso, las primeras horas son tan importantes. Si desde el principio no está claro quién dirige, quién decide y qué frentes tienen que avanzar en paralelo, es muy fácil que una decisión correcta desde un ángulo genere un problema desde otro.
Con la combinación de compliance, ciberseguridad e IA convergiendo cada vez más en una sola conversación de riesgo corporativo, ¿cuál diría que es el punto ciego que hoy tienen la mayoría de las gerencias legales en América Latina y que todavía no saben que tienen?
El punto ciego más frecuente es seguir entrando demasiado tarde a ciertas decisiones del negocio.
Legal normalmente tiene muy buena visibilidad sobre contratos, litigios y regulación, pero no siempre sobre cómo se están utilizando los datos, qué tecnología está adoptando el negocio, cómo funciona la red de terceros o dónde se están tomando decisiones comerciales que pueden generar riesgo.
Hoy esos temas están completamente conectados. Una decisión tecnológica puede convertirse en un problema de privacidad, ciberseguridad, competencia o empleo. Una relación con un tercero puede terminar siendo un asunto de corrupción, sanciones o lavado de dinero.
Por eso creo que el reto para las gerencias legales es estar mucho más cerca de la operación. No para controlar todas las decisiones, sino para identificar el riesgo antes de que llegue convertido en un problema jurídico.
En el fondo, Larrea describe el mismo desplazamiento en cada tema que toca: del cumplimiento en papel a los efectos que puede demostrar. Un tercero se vuelve riesgo cuando su due diligence queda congelada en el momento de la contratación. Una política de IA nace débil cuando se escribe antes de definir la estrategia de uso. Una crisis se agrava cuando cada área -Legal, Compliance, Tecnología- decide por su cuenta. La conclusión que atraviesa la conversación es la misma: la función legal gana peso cuando se instala a tiempo en la operación del negocio, antes de que el riesgo se convierta en litigio, sanción o crisis reputacional.
