La prevención del insider trading (uso indevido de información privilegiada) no comienza cuando alguien decide comprar o vender un valor mobiliario. Comienza mucho antes: cuando una información potencialmente relevante se crea, se discute, se registra o se comparte dentro de la empresa.
Una adquisición aún no anunciada, un cambio de control, un resultado financiero, la pérdida de un contrato importante o una reestructuración pueden circular por diversas áreas antes de llegar al mercado. En ese recorrido, la información puede ser accedida por ejecutivos, colaboradores, consultores, auditores, asesores financieros y proveedores.
A mayor número de personas y sistemas involucrados, mayor es la necesidad de gobierno corporativo.
Este cuidado cobra aún más relevancia con la modernización de la supervisión del mercado de capitales. En julio de 2026, el Supremo Tribunal Federal de Brasil homologó el plano de reestructuración de emergencia de la Comisión de Valores Mobiliarios (CVM). Entre las medidas anunciadas destacan la mejora de la infraestructura tecnológica, la ampliación del uso de inteligencia artificial y herramientas de analítica de datos, y el fortalecimiento de la cooperación interinstitucional.
El documento técnico elaborado por la CVM prevé la estructuración de un programa de detección de abuso de mercado basado en datos de negociación, reconocimiento de patrones, machine learning, análisis de redes e integración con información catastral y financiera. El alcance incluye de forma explícita el insider trading.
Esto no significa que un comportamiento atípico sea considerado automáticamente irregular. Una alerta tecnológica es un punto de partida para el análisis, no una conclusión. Sin embargo, una supervisión orientada por datos aumenta la importancia de que la empresa pueda demostrar quién accedió a determinada información, cuándo sucedió, qué restricciones estaban vigentes y cómo se orientó a las personas.
En este escenario, las políticas genéricas y los controles informales resultan insuficientes. La prevención depende de cinco controles conectados a la rutina de la organización.
Antes de los controles: ¿qué es el insider trading?
La Resolución CVM 44 prohíbe la utilización de información relevante aún no divulgada por cualquier persona que haya tenido acceso a ella, con la finalidad de obtener una ventaja para sí o para un tercero mediante la negociación de valores mobiliarios.
La expresión “cualquier persona” es clave. El riesgo no se limita a directores, consejeros o accionistas controladores. Según las circunstancias, puede involucrar a empleados, consultores, auditores, asesores, proveedores y personas que hayan recibido la información en razón de una relación comercial, profesional o de confianza.
La norma también establece presunciones relativas para determinadas situaciones. Entre ellas, se presume que la persona que negoció disponiendo de información relevante no divulgada hizo uso de dicha información. No obstante, el análisis debe considerar los demás elementos del caso.
Más allá del ámbito administrativo, el artículo 27-D de la Ley Nº 6.385/1976 tipifica como delito el uso indebido de información privilegiada. La legislación también sanciona la revelación o traspaso de información confidencial relativa a un hecho relevante por parte de quien tuvo acceso debido a su cargo, posición o relación profesional, comercial o de confianza.
Por ello, prevenir el insider trading no significa solo prohibir negociaciones en determinados períodos. Significa controlar todo el ciclo de vida de la información relevante.
1. Mapear y clasificar información potencialmente relevante
El primer control consiste en identificar dónde surge la información sensible, quién participa en su producción y por qué canales circula.
Los resultados financieros son el ejemplo más conocido, pero no la única fuente de riesgo. Operaciones de fusión y adquisición (M&A), cambios de control, reestructuraciones, solicitudes de reorganización judicial, captaciones de capital, contratos materiales, incidentes tecnológicos y decisiones estratégicas también exigen un tratamiento especial.
Este mapeo debe considerar el ciclo completo de la información:
dónde se produjo;
cuándo pasó a ser potencialmente relevante;
qué áreas participaron en su análisis;
qué sistemas almacenaron los documentos;
qué terceros recibieron acceso;
cuándo se realizó la divulgación al mercado.
Un error común es clasificar una información como sensible solo cuando la operación está prácticamente concluida. En algunos casos, el riesgo surge desde los estudios o análisis preliminares.
La empresa no necesita tratar todos los documentos como información privilegiada, ya que esto restaría operatividad al control. El objetivo es crear criterios claros para reconocer la información que pueda influir de forma relevante en las decisiones de los inversores y aplicar una protección proporcional al riesgo.
La pregunta clave: ¿La empresa puede identificar cuándo surgió una información sensible y reconstruir su recorrido hasta la divulgación pública?
2. Restringir el acceso y mantener la trazabilidad
Tras identificar la información, es necesario controlar quién necesita realmente acceder a ella.
El principio debe ser simple: el acceso se concede según la necesidad profesional (need-to-know), y no por conveniencia, jerarquía o participación genérica en un área.
Listas de distribución demasiado amplias, grupos informales de mensajería, carpetas sin restricciones y permisos antiguos que nunca fueron revocados aumentan innecesariamente la exposición al riesgo.
Un control consistente debe permitir identificar:
quién recibió acceso;
por qué motivo;
en qué fecha;
a qué documentos o sistemas;
cuándo se modificó o retiró el acceso.
Los proyectos estratégicos también pueden utilizar listas específicas de personas autorizadas, nombres en clave y entornos documentales segregados. Las reuniones deben limitarse a los participantes indispensables y sus materiales deben recibir un trato acorde con su nivel de confidencialidad.
La tecnología ayuda a registrar accesos, modificaciones y envíos. Sin embargo, no sustituye la responsabilidad de las personas. Un colaborador autorizado puede generar exposición al comentar un proyecto en un lugar inadecuado, reenviar un documento al contacto equivocado o utilizar herramientas no aprobadas por la empresa.
Por ello, trazabilidad y concientización deben funcionar juntas.
La organización debe saber exactamente quién tuvo acceso a cada proyecto sensible y ser capaz de justificar dicho acceso.
3. Hacer que la política de negociación sea aplicable a la rutina
Una política de negociación no debe existir solo para cumplir un trámite formal; debe guiar decisiones concretas.
El documento debe explicar, en un lenguaje comprensible:
quién está sujeto a las reglas;
qué activos y operaciones están cubiertos;
cuándo se requiere autorización previa (pre-clearance);
cómo funcionan los períodos de bloqueo (blackout periods);
cómo declarar cuentas, posiciones o conflictos;
qué canal consultar en caso de duda;
cómo se gestionan las excepciones.
La Resolución CVM 44 establece la prohibición de negociar para determinados participantes durante los 15 días previos a la divulgación de los estados financieros trimestrales y anuales, bajo las condiciones previstas en la norma.
Este período regular de bloqueo no elimina otras restricciones. Una persona que posea información relevante aún no divulgada no debe interpretar la ausencia de un bloqueo automático en el calendario como una autorización implícita para negociar.
Las operaciones extraordinarias también pueden requerir restricciones específicas que deben ser comunicadas rápidamente a las personas afectadas. Las autorizaciones, denegaciones, consultas y excepciones deben quedar debidamente registradas.
Otro punto importante es evitar que la política dependa únicamente de la memoria de las personas. Avisos automáticos, calendarios actualizados y flujos de autorización previa ayudan a convertir la norma en un control operativo útil.
¿El colaborador sabe, antes de negociar, si existe una restricción y a quién acudir para solicitar orientación?
4. Incluir a terceros y personas vinculadas en el gobierno corporativo
La información estratégica no circula únicamente entre los empleados internos.
Bufetes de abogados, auditorías, bancos de inversión, consultoras, agencias de comunicación, asesores financieros y proveedores de tecnología pueden recibir acceso a proyectos confidenciales. Estos terceros deben ser incluidos en el análisis de riesgo.
Los contratos y acuerdos de confidencialidad (NDA) son importantes, pero no bastan por sí solos. La empresa debe evaluar qué información se compartirá, quién podrá acceder a ella, cómo se protegerán los documentos y cuándo se cancelarán los permisos.
Los equipos internos también deben entender que el traspaso informal de información puede generar responsabilidad e imponderables, incluso si el propio colaborador no realiza ninguna negociación.
Ejemplo hipotético: un profesional comenta en su entorno familiar que la empresa está a punto de anunciar una adquisición. Una persona cercana utiliza esa información para negociar valores mobiliarios. El riesgo legal no desaparece por el hecho de que la orden haya sido ejecutada por otra persona.
El cuidado debe extenderse a conversaciones informales, mensajes, dispositivos personales, espacios públicos y relaciones profesionales o personales que puedan facilitar el uso o la filtración de información.
Esto no implica fiscalizar de forma indiscriminada la vida privada de los colaboradores, sino explicar con claridad los límites de confidencialidad, los riesgos de compartir información y las obligaciones aplicables.
Compruebe si los terceros y profesionales con acceso eventual reciben una orientación acorde con el riesgo de la información.
5. Capacitar según la función y evaluar decisiones prácticas
El quinto control conecta a todos los anteriores: la capacitación.
Una política redactada de forma impecable pierde efectividad si las personas no reconocen una situación de riesgo. Del mismo modo, un sistema de autorización previa no funciona si el colaborador no sabe cuándo debe utilizarlo.
El entrenamiento debe basarse en los dilemas reales a los que se enfrenta cada público. La Alta Dirección, Relaciones con Inversores, Legales, Compliance, Finanzas, M&A, Tecnología y proveedores tienen niveles de exposición diferentes.
Entre los escenarios a trabajar se encuentran:
recepción imprevista de información relevante;
negociación personal durante un período sensible;
dudas sobre una cuenta o tipo de activo cubierto;
compartición de documentos con consultores externos;
conversaciones informales sobre proyectos confidenciales;
pérdida de confidencialidad o envío de archivos al destinatario equivocado;
identificación de un posible conflicto de intereses;
sospecha de negociaciones atípicas.
El objetivo no es convertir a todos los colaboradores en expertos en derecho del mercado de capitales, sino capacitarles para reconocer señales de riesgo, pausar una decisión inadecuada y solicitar orientación antes de actuar.
La organización también debe conservar evidencias del itinerario formativo, tales como público convocado, contenidos aplicados, registros de asistencia, evaluaciones y cursos de refuerzo. Los certificados e informes son útiles, pero no deben confundirse con una prueba aislada de efectividad.
Una evaluación basada únicamente en preguntas teóricas puede demostrar memorización. Las simulaciones y los dilemas prácticos ayudan a verificar si la persona sabe aplicar la regla en la vida real.
En su organización, ¿la capacitación enseña al colaborador a tomar decisiones o solo presenta conceptos y prohibiciones?
Cómo evaluar si los 5 controles funcionan en conjunto
Ninguno de estos controles resuelve el problema por sí solo.
Una empresa puede mapear la información con precisión pero fallar en la restricción de accesos. Puede contar con una política detallada pero no comunicar un período de bloqueo en el momento oportuno. Puede capacitar a los empleados internos y olvidar a los consultores externos.
La Alta Dirección y el Consejo de Administración pueden evaluar la consistencia de su programa respondiendo a estas cinco preguntas:
¿Sabemos qué información puede convertirse en relevante?
¿Podemos identificar a todos los que tuvieron acceso a ella?
¿Las reglas de negociación son claras y aplicables?
¿Los terceros y las personas expuestas están incluidos en el esquema de gobierno?
¿La capacitación prepara a los equipos para enfrentar situaciones reales?
Las respuestas incompletas señalan con claridad dónde debe priorizar las mejoras la organización.
La prevención exige coherencia, no solo documentos
La modernización de la supervisión por parte de la CVM no altera el principio central de la prevención del insider trading: la información relevante aún no divulgada debe protegerse y no se puede utilizar para obtener ventajas en el mercado.
Lo que cambia es la capacidad técnica del regulador para cruzar datos, detectar patrones y dirigir investigaciones. Esto hace que la coherencia entre registros de acceso, negociaciones, políticas, capacitaciones y evidencias sea aún más crítica.
Las empresas preparadas no son las que afirman que el riesgo no existe, sino las que pueden demostrar cómo identifican, controlan y monitorean ese riesgo.
Los cinco controles presentados en este artículo ofrecen un punto de partida objetivo: mapear la información, restringir accesos, hacer aplicable la política de negociación, incluir a terceros y capacitar a las personas para tomar decisiones responsables.
Este contenido tiene carácter informativo y no sustituye el asesoramiento legal o regulatorio aplicable a la situación específica de cada organización.
Reserve una sesión con el equipo de TothBe
El Entrenamiento en Insider Trading para el Mercado Financiero de TothBe fue diseñado para sociedades anónimas abiertas, bancos, administradoras de fondos, aseguradoras, empresas en proceso de salida a bolsa (IPO) y áreas expuestas a información estratégica.
Con un enfoque ejecutivo, dilemas prácticos, seguimiento de métricas y la posibilidad de personalizar el contenido según sus políticas internas, nuestra capacitación transforma las reglas de negociación y confidencialidad en decisiones responsables en el día a día.
Solicite una demostración y hable con TothBe sobre cómo preparar a los diferentes públicos de su organización para prevenir el insider trading.
