Inicio/Compliance/Mapa de riesgos legales
Mapa de riesgos legales
Es el documento del que depende todo lo demás. Sin un inventario de riesgos construido sobre los procesos reales de la empresa, cualquier programa de cumplimiento es una plantilla: controla riesgos genéricos y deja sin cubrir los que esa compañía tiene de verdad.
Cómo se construye
- Inventario de procesos. Compras, ventas, producción, logística, recursos humanos, finanzas, sistemas, relación con la Administración. Se levantan con entrevistas a quien los ejecuta, no con el organigrama.
- Identificación de riesgos por proceso. Qué puede salir mal en cada uno, quién tendría capacidad de hacerlo y con qué consecuencia jurídica: penal, sancionadora, contractual o laboral.
- Valoración. Probabilidad e impacto, con criterios explícitos y homogéneos, para poder ordenar. Un mapa donde todo es rojo no sirve para decidir.
- Controles existentes. Qué hay ya implantado que mitigue cada riesgo, y si funciona de verdad o solo sobre el papel.
- Riesgo residual. Lo que queda después de los controles. Es lo que determina el plan de acción.
- Plan de acción. Medidas concretas, responsable interno, plazo y evidencia esperada.
Un mapa útil frente a uno inútil
Riesgos descritos en términos de procesos concretos de la empresa, con quién podría materializarlos, valoración razonada, control asociado y responsable con nombre. Ocupa poco y se entiende en una lectura.
Listado de tipos penales copiado del Código Penal, con valoraciones sin criterio explícito, sin relación con procesos reales y sin responsables. Ocupa cien páginas y no cambia ninguna decisión.
Riesgos que suelen aparecer y nadie esperaba
- Comerciales con capacidad de comprometer sin límite. Ofertas y correos que vinculan a la empresa sin pasar por revisión.
- Pagos en efectivo o a cuentas no habituales. Puerta de entrada de riesgos de blanqueo y de corrupción.
- Uso de software sin licencia o de recursos de terceros sin autorización.
- Acceso indiscriminado a datos personales por parte de perfiles que no lo necesitan.
- Subcontratación sin control de las obligaciones laborales y de seguridad del subcontratista.
- Contacto informal con competidores en asociaciones sectoriales o ferias.
- Gestión de residuos o vertidos delegada sin verificación del gestor autorizado.
Actualización
El mapa es un documento vivo. Se revisa al menos una vez al año y siempre que cambie la actividad, se adquiera una sociedad, se abra un mercado, se implante un sistema nuevo o se produzca una incidencia relevante. Cada revisión se documenta con su fecha y su aprobación, porque la trazabilidad de las revisiones es tan importante como el contenido.
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre el mapa de riesgos
¿Cuánto tiempo lleva elaborarlo?
Entre cuatro y ocho semanas en una empresa mediana, de las cuales la mayor parte se dedica a entrevistas con los responsables de proceso. Es la fase que no se puede acelerar sin perder todo el valor: un mapa elaborado en despacho, sin hablar con quien compra, quien vende y quien produce, describe una empresa imaginaria.
¿Sirve también para riesgos no penales?
Sí, y es lo recomendable. El mapa penal exigido por el artículo 31 bis es un subconjunto; el mapa útil para dirigir incluye también riesgos contractuales, laborales, de protección de datos, administrativos y sectoriales. Trabajar con un mapa único evita duplicidades y da a la dirección una sola foto del riesgo legal de la compañía.
¿Quién debe aprobarlo?
El órgano de administración, y debe constar en acta. Es un requisito de eficacia y, al mismo tiempo, una protección para los propios administradores: acredita que conocían los riesgos, que aprobaron medidas y que hicieron seguimiento. Un mapa que existe pero que el consejo nunca ha visto ni aprobado tiene un valor probatorio mucho menor.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.