Inicio/Compliance/Auditoría de compliance
Auditoría de compliance
El Código Penal exige verificación periódica del modelo y su modificación cuando se pongan de manifiesto infracciones relevantes o cuando cambien la organización o la actividad. Esa verificación es lo que convierte un documento en un sistema, y su ausencia es lo primero que se detecta cuando un modelo se examina en un procedimiento.
Qué se verifica
- Vigencia del mapa de riesgos. Si sigue reflejando la actividad, la estructura y los procesos actuales.
- Existencia y aplicación de los controles. No que estén descritos, sino que se ejecuten: pruebas de recorrido sobre operaciones reales.
- Funcionamiento del canal. Comunicaciones recibidas, plazos cumplidos, calidad de la instrucción y cierre documentado.
- Formación. Cobertura por perfiles, evidencias y pendientes.
- Régimen disciplinario. Si se ha aplicado cuando procedía, porque un sistema disciplinario que nunca se activa debilita el modelo.
- Actividad del órgano de cumplimiento. Reuniones, actas, reportes al órgano de administración y decisiones adoptadas.
- Terceros. Homologación de proveedores, cláusulas de cumplimiento y seguimiento efectivo.
Cómo se hace una prueba de recorrido
Es la técnica que distingue una auditoría real de una revisión documental. Se elige un control —por ejemplo, la doble autorización de pagos superiores a un importe— y se toma una muestra de operaciones efectivamente realizadas en el período. Se comprueba, una por una, si la autorización existió, quién la dio, si estaba facultado y si queda evidencia. El resultado suele ser revelador: muchos controles existen en el procedimiento y no en la práctica.
Si el procedimiento dice que el responsable revisa algo, pero de esa revisión no queda rastro, ante un tribunal ese control no existió. La evidencia es parte del diseño del control, no un añadido burocrático.
El informe y su destino
La auditoría termina en un informe con hallazgos clasificados por gravedad, causa raíz de cada uno y plan de acción con responsable y plazo. Ese informe se eleva al órgano de administración, que debe conocerlo y decidir sobre las medidas, dejando constancia en acta. La secuencia importa: un informe de auditoría que no llega al órgano de administración deja de cumplir su función probatoria y deja además a los administradores sin la información que necesitan para acreditar su diligencia.
Periodicidad
| Supuesto | Actuación |
|---|---|
| Ordinaria | Revisión anual documentada |
| Cambio de actividad o estructura | Revisión extraordinaria del mapa y de los controles |
| Adquisición de una sociedad | Integración y extensión del modelo |
| Incidencia grave o denuncia | Revisión del control que falló y de sus análogos |
| Reforma legal relevante | Actualización del cuerpo documental |
Esta página describe el marco general vigente en España y no sustituye al análisis del caso concreto. La normativa mercantil, laboral, penal y de protección de datos se modifica con frecuencia, y existen especialidades sectoriales y autonómicas: antes de tomar decisiones conviene verificar la redacción vigente de las normas citadas. Consúltenos su caso.
Sobre la auditoría del modelo
¿Puede auditarla quien la implantó?
Puede, pero pierde independencia y valor. Lo ideal es que la verificación la realice alguien distinto de quien diseñó el modelo, ya sea otro equipo del mismo despacho con separación funcional, la auditoría interna si existe, o un tercero. Cuando el tamaño de la empresa no lo permite, al menos debe documentarse quién hizo qué y con qué criterio, y hacerlo con una metodología escrita y contrastable.
¿Qué pasa si la auditoría encuentra un incumplimiento grave?
Se activa el procedimiento correspondiente: investigación interna si hay indicios de conducta individual, medidas correctoras inmediatas sobre el control que falló y comunicación al órgano de administración. Ocultar un hallazgo grave es mucho peor que tenerlo, porque convierte un fallo de control en una omisión consciente, con consecuencias para quienes decidieron no actuar.
¿La auditoría sustituye a la certificación?
Son cosas distintas. La verificación periódica es una exigencia legal del propio modelo; la certificación conforme a una norma técnica es voluntaria y la realiza una entidad acreditada. Certificarse implica auditarse, pero auditarse no exige certificarse. Para la mayoría de las empresas medianas, una verificación anual bien documentada cubre la exigencia legal sin el coste de la certificación. Lo analizamos en certificación UNE 19601.
¿Quién controla hoy las obligaciones legales de su empresa?
Si la respuesta es «cada uno un poco» o «el despacho, cuando le llamamos», hay riesgo acumulado que nadie está midiendo. Cuéntenos cómo está organizada su empresa y le devolvemos un diagnóstico con lo que falta, lo que está desactualizado, lo que puede sancionarse y en qué orden conviene resolverlo, con una propuesta de honorarios cerrada.