Inicio/El servicio/Compliance officer externo
Compliance officer externo
El Código Penal exige que la supervisión del modelo de prevención de delitos se confíe a un órgano con poderes autónomos de iniciativa y control. Esa autonomía es difícil de sostener cuando quien supervisa depende jerárquicamente de quien podría ser supervisado. Un responsable de cumplimiento externo resuelve el problema por construcción.
Qué hace el órgano de cumplimiento
- Supervisar el funcionamiento del modelo. No redactarlo y archivarlo: comprobar que los controles se aplican y dejar evidencia de esa comprobación.
- Gestionar el canal de denuncias. Recepción, acuse en plazo, valoración de admisibilidad, instrucción o derivación y comunicación al informante.
- Actualizar el mapa de riesgos. Cuando cambia la actividad, la estructura o la norma.
- Formar y difundir. Plan de formación por perfiles, con registro de asistencia y evaluación.
- Investigar. Conducir o dirigir las investigaciones internas con garantías, para que la prueba obtenida sea utilizable.
- Reportar al órgano de administración. Informe periódico y comunicación inmediata de las incidencias graves.
- Proponer sanciones. Activar el sistema disciplinario cuando se acredita el incumplimiento, porque un sistema que nunca se aplica no acredita nada.
Por qué la independencia es el requisito crítico
La eficacia del modelo de prevención se juzga después del delito y con el resultado a la vista. Uno de los primeros elementos que se examina es si el órgano de cumplimiento tenía capacidad real para detectar y para actuar, o si era una designación formal sobre alguien sin recursos, sin acceso a la información y sin posibilidad de contradecir a la dirección. Un responsable externo, con contrato, con acceso pactado y con reporte directo al órgano de administración, sostiene ese examen mucho mejor que un empleado de nivel medio con otras cinco funciones.
Poderes autónomos de iniciativa y de control, recursos suficientes, acceso a la información, canal de reporte directo al órgano de administración y evidencia documental de la supervisión efectivamente realizada.
Modelos posibles
| Modelo | Cuándo encaja |
|---|---|
| Compliance officer externo único | Empresas medianas sin estructura de cumplimiento previa |
| Órgano colegiado con miembro externo | Empresas con dirección de riesgos o auditoría interna |
| Externo con enlace interno | Cuando hace falta presencia física frecuente |
| Apoyo a un compliance officer interno | Empresas que ya tienen la figura y necesitan criterio y contraste |
Lo que no puede delegarse
La designación del órgano de cumplimiento y la responsabilidad última sobre el modelo corresponden al órgano de administración, y eso no se externaliza. Lo que se externaliza es el ejercicio de la función, con un encargo escrito que fije el alcance, los recursos, el acceso a la información y la periodicidad del reporte. Sin ese encargo formal la designación es débil, y una designación débil es lo primero que se cuestiona.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre el compliance officer externo
¿Puede la misma persona ser director jurídico y compliance officer?
En empresas medianas es habitual y admisible, siempre que se preserve la independencia y no se produzca un conflicto: quien asesora a la dirección sobre una operación no debería ser quien después la supervisa sin ningún contrapeso. En compañías de cierto tamaño, o cuando el riesgo penal del sector es alto, conviene separar ambas funciones o constituir un órgano colegiado. Lo valoramos caso por caso y lo dejamos razonado por escrito.
¿Qué pasa si la denuncia afecta a un administrador?
Es precisamente el supuesto en el que un órgano externo demuestra su utilidad. El procedimiento prevé la vía de escalado alternativa: si el afectado es miembro del órgano de administración, el reporte se dirige a los restantes miembros no afectados o, en su caso, al órgano societario que corresponda, y se adoptan las medidas para que el afectado no tenga acceso a la investigación. Todo ello debe estar previsto por escrito antes de que ocurra, no improvisado cuando ocurre.
¿Cuánta dedicación exige la función?
Depende del tamaño y del perfil de riesgo. En una empresa mediana sin incidencias, la operación ordinaria son unas pocas jornadas al año —supervisión de controles, formación, actualización del mapa e informe— con picos cuando entra una denuncia o cuando toca la revisión completa del modelo. Lo que no funciona es una designación sin dedicación asignada: si no hay horas, no hay supervisión, y sin supervisión el modelo no acredita nada.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.