Compliance en la empresa: cómo implantar un sistema de cumplimiento y evitar responsabilidades
Compliance en la empresa: cómo implantar un sistema de cumplimiento y evitar responsabilidades
Compliance es el conjunto de normas, procedimientos y medidas destinado a garantizar que la organización actúe de conformidad con la ley, la normativa interna y los estándares éticos. En la práctica, la respuesta a la pregunta qué es compliance se resume en gestionar el riesgo de incumplimientos antes de que se produzcan daños, procedimientos penales, sanciones administrativas o una crisis reputacional.
Para el órgano de administración y los propietarios de empresas, el compliance no es solo una obligación formal. Es una herramienta para limitar la responsabilidad personal de los miembros de los órganos societarios, proteger a la empresa y ordenar los procesos de toma de decisiones. Un sistema de compliance bien diseñado permite acreditar la diligencia debida, lo que resulta relevante tanto en causas penales económicas como en conflictos laborales, inspecciones de los reguladores o procedimientos relacionados con irregularidades [1][2].
Por qué el compliance es importante para la responsabilidad de la empresa y del órgano de administración
La falta de un sistema de cumplimiento aumenta el riesgo en varios niveles al mismo tiempo. Esto afecta a la responsabilidad de la sociedad, de los administradores, del equipo directivo y, en algunos casos, también de los empleados responsables de áreas operativas concretas.
Las consecuencias más frecuentes de la ausencia de mecanismos eficaces de compliance son:
- incumplimientos en materia de derecho laboral, protección de datos, AML o normas anticorrupción,
- responsabilidad penal o penal tributaria de las personas directivas,
- sanciones administrativas y económicas,
- pérdida de credibilidad ante contratistas, bancos e inversores,
- dificultades probatorias para acreditar la diligencia debida.
En la práctica, tienen especial relevancia los procedimientos relativos a la comunicación de irregularidades, los conflictos de interés, la aprobación de gastos, las relaciones con contratistas, la representación de la sociedad, las reglas de comunicación y la gestión documental. Es precisamente en estos puntos donde con mayor frecuencia surgen riesgos que más tarde se convierten en objeto de litigios o investigaciones.
Puedes leer más sobre cómo reducir los riesgos para las personas con funciones de dirección en el material relativo a la responsabilidad penal de los miembros del órgano de administración de las sociedades.
Sistema de compliance: qué elementos debe incluir
Un sistema de compliance eficaz no consiste en aprobar una única política o un código ético. Debe adaptarse al tamaño de la organización, al sector, a la estructura de propiedad, al modelo de ventas y al nivel de riesgos. Serán adecuadas soluciones distintas para una sociedad industrial, para una entidad financiera o para un grupo empresarial que opere a escala internacional.
Los elementos básicos del sistema incluyen:
- Mapa de riesgos: identificación de las áreas con mayor exposición a incumplimientos.
- Procedimientos y políticas: documentos que regulan el funcionamiento de la organización en áreas de alto riesgo.
- Asignación de responsabilidades: designación de las personas responsables de la supervisión, el reporte y la reacción ante incidentes.
- Formación: acciones formativas periódicas y documentadas para empleados y personal directivo.
- Sistema de denuncias: canales seguros para denunciantes y procedimientos de investigación de irregularidades.
- Seguimiento y auditoría: verificación de que los procedimientos funcionan realmente y no solo de forma formal.
- Respuesta ante incumplimientos: investigaciones internas, medidas correctoras y documentación de decisiones.
La implantación debe ir precedida de un análisis de la situación actual. Solo entonces puede valorarse si el problema reside en la falta de procedimientos, en la ausencia de controles, en una estructura de responsabilidades poco clara o en una cultura organizativa inadecuada.
Compliance officer: funciones, alcance de la responsabilidad y posición en la estructura
El compliance officer se encarga de coordinar las actuaciones relacionadas con la garantía del cumplimiento normativo. Sin embargo, esto no significa que asuma toda la responsabilidad por los incumplimientos. La responsabilidad por el cumplimiento de la organización sigue recayendo, ante todo, en los órganos de dirección y en los responsables de cada área.
El alcance de las funciones del compliance officer suele incluir:
- identificación y evaluación de riesgos,
- elaboración y actualización de procedimientos,
- impartición de formaciones,
- recepción y análisis de denuncias,
- reporte al órgano de administración o al consejo de supervisión,
- colaboración con el departamento jurídico, RR. HH., seguridad y auditoría.
Es esencial dotar a esta función de la independencia adecuada, acceso a la información y una verdadera autoridad dentro de la estructura. Un compliance officer sin el apoyo del órgano de administración se convierte en una función meramente aparente, lo que incrementa el riesgo de que se alegue que los procedimientos tenían un carácter exclusivamente formal.
Obligaciones de compliance: qué exigen la normativa y la práctica del mercado
El alcance de las obligaciones de compliance depende del sector y del perfil de actividad. Parte de estas obligaciones deriva directamente de la normativa. Ejemplos de ello son las reglas sobre prevención del blanqueo de capitales y la financiación del terrorismo, la protección de denunciantes, la protección de datos personales o la responsabilidad del empleador en la organización de un entorno de trabajo seguro [3][4][5].
En otros ámbitos, la obligación de implantar un sistema de cumplimiento deriva indirectamente de los principios de diligencia debida, del deber de lealtad hacia la sociedad y de la obligación de organizar los procesos de forma conforme a la ley. Esto es relevante al valorar la responsabilidad de los administradores con arreglo al Código de Sociedades Mercantiles, así como a la normativa penal y civil [2][6].
Entre las obligaciones prácticas más habituales se encuentran:
- implantar procedimientos adecuados a los riesgos,
- realizar formaciones y documentar la participación,
- garantizar canales de denuncia y protección de los denunciantes,
- investigar incidentes y adoptar medidas correctoras,
- revisar periódicamente los procedimientos y actualizarlos.
Cómo implantar compliance en la empresa paso a paso
Para una implantación eficaz, conviene dividir el proceso en etapas. Este modelo reduce el riesgo de crear documentos que no respondan a la realidad de la actividad.
- Auditoría de riesgos y procesos: análisis de las áreas especialmente expuestas a abusos, errores o responsabilidad.
- Diseño de procedimientos: preparación de documentos adaptados a la estructura de la empresa y a su práctica operativa.
- Decisiones de gestión: aprobación formal de las reglas, definición de funciones y de las vías de reporte.
- Comunicación interna: informar a los empleados sobre las reglas aplicables y las consecuencias de los incumplimientos.
- Formación: explicación práctica de los procedimientos, preferiblemente con ejemplos tomados de la actividad de la organización.
- Pruebas y seguimiento: comprobar si el sistema funciona también en situaciones de crisis.
En el ámbito del diseño y la actualización de procedimientos, resultan útiles los materiales sobre compliance, que abarcan, entre otros, implantaciones de cumplimiento, formaciones, actuaciones AML y auditorías de investigación.
Errores más frecuentes al construir un sistema de compliance
El error más grave es tratar el compliance como un conjunto de documentos preparados exclusivamente para una inspección. Este modelo normalmente no funciona en la práctica. Igual de arriesgado es copiar procedimientos de otras organizaciones sin tener en cuenta las particularidades de la actividad.
Otros errores frecuentes son:
- falta de implicación del órgano de administración,
- ausencia de independencia real de la función de compliance,
- desajuste entre los procedimientos y los procesos de negocio,
- excluir a los mandos intermedios de la formación,
- no reaccionar ante los incumplimientos comunicados,
- no documentar las medidas correctoras.
Desde la perspectiva probatoria, es especialmente importante no solo implantar procedimientos, sino también demostrar que la organización realmente los aplicaba. En un litigio o en un procedimiento de inspección cuentan los documentos, el rastro de las decisiones, las actas, los registros de denuncias y las acreditaciones de formación.
Este material tiene carácter meramente informativo y no constituye asesoramiento jurídico. Si es necesario evaluar riesgos o diseñar procedimientos adecuados, conviene analizar la situación concreta con la participación de expertos. Los detalles sobre el alcance del apoyo están disponibles en la web de KKZ.
FAQ
¿Todas las empresas deben tener un sistema de compliance?
No en todos los casos la normativa exige formalmente un sistema denominado compliance, pero toda organización debería contar con mecanismos que garanticen el cumplimiento normativo y el control de riesgos. El alcance de estas soluciones depende del tamaño de la actividad, del sector y del nivel de exposición.
¿Qué es compliance en una pequeña empresa?
En una organización más pequeña, compliance suele significar un conjunto más simple de reglas: procedimientos básicos, una asignación clara de responsabilidades, formación, control de la circulación de documentos y un canal para comunicar irregularidades. No se trata de una estructura compleja, sino de adecuación.
¿Es obligatorio un compliance officer?
No siempre. En algunos sectores regulados, esta función deriva de la normativa o de las directrices supervisoras. En otros casos, su designación depende del tamaño de la organización y del nivel de riesgos. Incluso sin un puesto formal, las obligaciones relacionadas con el cumplimiento deben asignarse a personas concretas.
¿Qué riesgos reduce un sistema de compliance?
Principalmente riesgos penales, administrativos, económicos, laborales y reputacionales. Un sistema de compliance también ayuda a reducir el riesgo de abusos internos, conflictos de interés e irregularidades en la colaboración con contratistas.
¿Con qué frecuencia deben actualizarse los procedimientos de compliance?
Como regla general, después de cada cambio relevante en la normativa, en la estructura organizativa o en el modelo de negocio, así como tras la detección de un incidente. También es una buena práctica realizar una revisión periódica, por ejemplo, una vez al año.
¿Basta con un reglamento para evitar responsabilidades?
No. Lo importante no es solo el contenido de los procedimientos, sino también su implantación, comunicación, formación, seguimiento y la reacción ante incumplimientos. Un documento formal sin aplicación práctica no suele constituir una protección suficiente.
Bibliografía
[1] Ley de 6 de junio de 1997: Código Penal.
[2] Ley de 15 de septiembre de 2000: Código de Sociedades Mercantiles.
[3] Ley de 1 de marzo de 2018 sobre prevención del blanqueo de capitales y de la financiación del terrorismo.
[4] Ley de 14 de junio de 2024 sobre protección de denunciantes.
[5] Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD).
[6] Ley de 26 de junio de 1974: Código de Trabajo.
Autor: abogado Maciej Zaborowski, socio director
Correo electrónico: m.zaborowski@kkz.com.pl
tel.: +48 22 501 56 10
