Preguntas de entrevista para Oficial de Cumplimiento y respuestas modelo

Respuesta modelo

Yo trabajo en la segunda línea de defensa. Mi función es traducir las obligaciones legales que afectan a la empresa en políticas y procedimientos, implantar los controles que las hacen efectivas, vigilar que se aplican, asesorar al negocio antes de que tome la decisión y reportar al órgano de administración y, cuando procede, al supervisor. La gestión de riesgos, que también es segunda línea, mide y modeliza la exposición de la entidad —crédito, mercado, liquidez, operacional— y trabaja con probabilidad e impacto en términos económicos; yo trabajo con obligaciones que no admiten apetito de riesgo, porque una norma se cumple o se incumple. La auditoría interna es tercera línea y revisa después, con independencia, si mis controles existen y funcionan; por eso no puedo auditarme a mí mismo. En mi último puesto esa separación estaba escrita en el reglamento del órgano de cumplimiento y era lo primero que enseñaba en la formación de acogida.

Respuesta modelo

Empezaría por el mapa de riesgos penales, porque sin él el resto es decoración: entrevistas con las áreas, revisión de procesos reales y no de organigramas, y priorización por probabilidad e impacto reputacional y penal. Con ese mapa definiría los controles, las políticas mínimas —código ético, regalos y atenciones, relación con administraciones públicas, terceros, conflictos de interés— y el canal interno. En paralelo llevaría al consejo de administración la constitución del órgano de cumplimiento con poderes autónomos de iniciativa y control, presupuesto propio y acceso directo, porque el artículo 31 bis condiciona la eficacia del modelo a esa autonomía. Después vienen la formación segmentada por función de riesgo, el sistema disciplinario que hace creíble el conjunto y la verificación periódica. En doce meses buscaría la certificación UNE 19601, no como sello, sino porque obliga a documentar y a dejar evidencia de todo lo anterior, que es lo que un juez o un fiscal va a examinar si algún día hay que acreditar la eficacia del modelo.

Respuesta modelo

Los mismos que con cualquier otro cliente, y esa es la respuesta completa. Documento el análisis del expediente con la información de diligencia debida, el origen de fondos y la operativa que no encaja con el perfil declarado; lo elevo al órgano de control interno con propuesta razonada y, si el indicio se confirma, se comunica al SEPBLAC. A partir de ahí actúa el deber de abstención respecto de la operación cuando procede y, sobre todo, la prohibición de revelación: ni el cliente ni el comercial que lo lleva pueden saber que se ha comunicado. Si recibo presión, la contesto por escrito con una nota al expediente, porque el valor de mi función depende de que esa nota exista. La rentabilidad del cliente no es un criterio que yo pueda ponderar; sí lo es, en cambio, decidir con rigor si hay indicio o solo una operación inusual que se explica, y para eso está el análisis previo.

Respuesta modelo

El sistema tiene un responsable designado por el órgano de administración y comunicado a la autoridad competente, admite comunicaciones verbales y escritas, permite el anonimato y garantiza la confidencialidad del informante y de las personas afectadas. En cuanto entra una comunicación, acuso recibo dentro de los siete días naturales salvo que eso ponga en riesgo la confidencialidad, hago una admisión a trámite motivada y abro la instrucción con un plan: qué se comprueba, con qué evidencias y a quién se entrevista. El plazo máximo de respuesta es de tres meses, ampliable en casos de especial complejidad, y en mi experiencia la media razonable está en torno a los cuarenta días. Todo queda en un libro-registro con acceso restringido y con los plazos de conservación previstos. La parte que más cuido es la protección frente a represalias: pido a recursos humanos que cualquier medida sobre el informante en los dos años siguientes pase por mi visto bueno documentado, porque la ley invierte la carga de la prueba y la empresa tendrá que acreditar que la decisión nada tuvo que ver con la comunicación.

Respuesta modelo

La ausencia de incidentes no es un indicador, puede significar que nadie denuncia. Yo trabajo con cuatro bloques. Actividad: expedientes analizados, comunicaciones recibidas y elevadas, consultas del negocio atendidas —esta última me interesa mucho, porque si el negocio no me consulta es que me está esquivando—. Eficacia de controles: porcentaje de controles verificados con evidencia en el periodo, hallazgos y tiempo medio de subsanación. Cultura: cobertura y resultado de la formación, uso del canal, resultados de la encuesta de clima ético y, sobre todo, si aparecen comunicaciones de mandos intermedios y no solo de base. Y validación externa: certificaciones, examen externo anual cuando somos sujeto obligado, recomendaciones de supervisores cerradas en plazo. Lo llevo a un cuadro de mando trimestral para el consejo, con la evolución y con dos o tres decisiones que pido expresamente.

Respuesta modelo

No. El delegado de protección de datos es una figura regulada por el RGPD y por la LOPDGDD, con funciones tasadas —informar, asesorar, supervisar el cumplimiento de la normativa de protección de datos, cooperar con la Agencia Española de Protección de Datos y actuar como punto de contacto—, con independencia reforzada, sin recibir instrucciones sobre el ejercicio de su cargo y con protección frente a sanciones por desempeñarlo. Cumplimiento normativo es una función más amplia que abarca compliance penal, blanqueo, mercado, competencia o conducta. Pueden acumularse en la misma persona en organizaciones pequeñas, pero solo tras analizar y documentar que no hay conflicto de intereses, y ese análisis se complica cuando cumplimiento decide sobre tratamientos que después el delegado tiene que supervisar, por ejemplo en las investigaciones internas o en la propia gestión del canal de denuncias. Yo trabajo con el delegado como interlocutor permanente: él es dueño del criterio en protección de datos y yo integro ese criterio en mis procedimientos.

Respuesta modelo

Los primeros treinta días los dedicaría a entender el negocio real, no el descrito: acompañaría a las áreas de mayor exposición, revisaría procesos, contratos tipo, relación con terceros y expedientes abiertos, y comprobaría el estado de la documentación, del mapa de riesgos y de los últimos informes al consejo o al supervisor. Entre el día treinta y el sesenta cerraría el diagnóstico con una lista priorizada de brechas y la contrastaría con las áreas, para que el plan no sea mío sino de la casa. Del sesenta al noventa llevaría al consejo un plan de doce meses con presupuesto, hitos e indicadores, y empezaría por lo que no puede esperar: cualquier obligación con plazo vencido, el canal interno si no cumple la Ley 2/2023 y los controles de las tres o cuatro áreas de riesgo más altas. Y pediría desde el primer día que quede documentada mi dependencia funcional y mi acceso directo al órgano de administración.

Que el órgano de administración haya adoptado y ejecutado con eficacia, antes de la comisión del delito, un modelo de organización y gestión con medidas idóneas para prevenir delitos de esa naturaleza o reducir significativamente el riesgo de cometerlos; que la supervisión del funcionamiento y el cumplimiento del modelo se haya confiado a un órgano con poderes autónomos de iniciativa y control, o con la función de supervisar la eficacia de los controles internos; que los autores hayan cometido el delito eludiendo fraudulentamente el modelo; y que no se haya producido una omisión o un ejercicio insuficiente de las funciones de supervisión. El propio precepto exige además que el modelo identifique las actividades de riesgo, establezca protocolos de formación de la voluntad y de adopción de decisiones, disponga de modelos de gestión de los recursos financieros para prevenir los delitos, imponga la obligación de informar de riesgos e incumplimientos al órgano de cumplimiento, prevea un sistema disciplinario y se verifique periódicamente. En sociedades de pequeña dimensión, las funciones de supervisión puede asumirlas el propio órgano de administración.

La comunicación por indicio es la que se hace por iniciativa propia cuando, tras el examen especial, existe indicio o certeza de relación con el blanqueo de capitales o la financiación del terrorismo; conlleva el deber de abstención respecto de la operación en los términos legalmente previstos y la prohibición absoluta de revelar al cliente o a terceros que se ha comunicado. La comunicación sistemática es periódica y se refiere a operaciones tasadas por su tipología o por su importe, con independencia de que haya sospecha alguna. Y la colaboración con requerimiento es la respuesta a la solicitud concreta de información del SEPBLAC o de la Comisión de Prevención del Blanqueo, en el plazo que se fije. Las tres conviven: cumplir la comunicación sistemática no exime nunca de comunicar un indicio.

Se busca a la persona física que, en último término, posea o controle directa o indirectamente un porcentaje superior al veinticinco por ciento del capital o de los derechos de voto, o que por otros medios ejerza el control. Cuando no se identifica a nadie por esa vía, se considera titular real al administrador o administradores, dejando constancia motivada de por qué se acude a ese criterio subsidiario. La comprobación en España se apoya en el Registro de Titularidades Reales, de carácter central y único, además de la declaración del propio cliente, las cuentas anuales, la escritura y la estructura societaria completa cuando hay cadenas de participación o vehículos en el extranjero. La consulta al registro no sustituye la diligencia debida: si la información registral discrepa de la obtenida, hay que analizar la discrepancia y documentarla.

Los emisores y quienes actúen en su nombre deben elaborar y mantener actualizada una lista de todas las personas que tienen acceso a información privilegiada, con identificación, motivo de la inclusión, fecha y hora de acceso y de cese, y conservarla al menos cinco años. Cumplimiento gestiona el procedimiento: abre la lista en el momento en que nace la información privilegiada, informa por escrito a cada persona incluida de sus obligaciones y de las consecuencias del uso indebido o de la comunicación ilícita, controla los períodos de prohibición de negociar de directivos, vigila las operaciones personales conforme al reglamento interno de conducta y prepara la comunicación de la información privilegiada o su retraso justificado. En la práctica, la disciplina consiste en abrir la lista el mismo día y no dos semanas después, cuando ya nadie recuerda quién estuvo en la reunión.

Existe obligación de declaración previa en los movimientos de medios de pago por importe igual o superior a 10.000 € o su contravalor en moneda extranjera cuando se entra o se sale del territorio nacional, y de 100.000 € o su contravalor en los movimientos por el interior del territorio nacional; se presenta el modelo oficial y su incumplimiento habilita la intervención de los medios de pago y un régimen sancionador propio. Cuentan como medios de pago no solo los billetes y las monedas, también los cheques al portador y los instrumentos negociables al portador. A esto se suma, en la normativa tributaria, la limitación de los pagos en efectivo en operaciones en las que interviene un empresario o profesional. Para un oficial de cumplimiento es un asunto recurrente en inmobiliarias, comercio de bienes de alto valor, juego y clientes internacionales, y conviene tenerlo en un procedimiento escrito, no en la memoria de un comercial.

DORA convierte la resiliencia operativa digital en una obligación regulatoria con cuatro frentes que tocan mi función: la gobernanza, porque el órgano de dirección responde y debe recibir información periódica; el registro de acuerdos contractuales con proveedores de servicios TIC, con identificación de los que soportan funciones esenciales o importantes y con cláusulas obligatorias de acceso, auditoría, subcontratación y salida; la notificación de incidentes graves relacionados con las TIC al supervisor en los plazos previstos; y las pruebas de resiliencia. Mi papel no es técnico, es de control: verifico que el registro está completo y actualizado, que los contratos críticos incorporan las cláusulas exigidas, que existe el procedimiento de notificación con responsables y plazos, y que el consejo recibe evidencia de todo ello. La coordinación con seguridad de la información y con el delegado de protección de datos es diaria cuando hay incidente, porque una misma brecha puede generar obligaciones de notificación por dos vías distintas.

Primero preservo: acuso recibo por el canal, restrinjo el acceso al expediente y aseguro la información volátil —correo, sistema de gastos, expediente de la licitación, autorizaciones de la partida— antes de que nadie sepa que hay una investigación. Segundo, decido el alcance y quién no puede participar: si la persona afectada tiene línea jerárquica sobre alguien del equipo instructor, esa persona queda fuera. Tercero, hago la admisión a trámite motivada y el plan de investigación con hipótesis, evidencias a recabar y orden de entrevistas, dejando al afectado para el final y siempre con información sobre sus derechos. En paralelo valoro con el asesoramiento penal externo si los hechos podrían tener relevancia penal, porque de ahí depende cómo se documenta todo desde el minuto uno y una eventual comunicación voluntaria. Lo que no hago en cuarenta y ocho horas es adelantar conclusiones, adoptar medidas laborales o informar a la línea de negocio del afectado.

Le digo que no y le doy alternativa el mismo día, que es la única forma de que un no sea sostenible. El no es firme: MiFID II exige evaluar idoneidad cuando hay asesoramiento y conveniencia en la comercialización de productos complejos, y el producto además tiene un mercado objetivo definido en la gobernanza de producto que no se puede ignorar. La alternativa suele existir: acotar la campaña al segmento que ya tiene test vigente, simplificar el flujo de recogida sin perder contenido, o lanzar con el producto no complejo de la misma familia. Lo dejo por escrito en una nota dirigida al director comercial y a la dirección general, con copia al expediente, y si aun así se decide seguir adelante, elevo el asunto a la comisión de auditoría. La conversación la planteo en términos de coste: una comercialización inadecuada acaba en reclamaciones, en devoluciones y en un expediente del supervisor que cuesta bastante más que un trimestre.

Activo el protocolo de inspección, que debe existir y estar ensayado. Recepción los retiene el tiempo imprescindible mientras aviso a cumplimiento y a los abogados externos, se comprueba la identidad de los inspectores y, sobre todo, el objeto y el alcance de la orden, porque delimita qué pueden examinar. Se asigna un acompañante a cada inspector para registrar qué se copia y qué se dice, se instruye a los empleados de que colaboren, no destruyan ni alteren nada —obstruir agrava enormemente el problema— y de que no improvisen respuestas sobre asuntos que no conocen. Se identifica la documentación potencialmente amparada por la confidencialidad de las comunicaciones con abogado y se hace constar la reserva sin impedir la actuación. Al terminar, revisión del acta antes de firmar, con las observaciones que procedan, y copia de todo lo incautado. Después, análisis interno inmediato del alcance real y valoración de la posición de la empresa.

Convoco el comité de crisis con seguridad de la información, tecnología, el delegado de protección de datos, asesoría jurídica, negocio y comunicación. Lo primero es acotar hechos: qué datos, de cuántos afectados, desde cuándo y si la brecha sigue abierta; el reloj de las obligaciones corre desde que hay conocimiento razonable. En paralelo se abren dos vías que no se deben confundir: la de protección de datos, que puede exigir notificar a la autoridad de control en las setenta y dos horas y comunicar a los interesados si el riesgo es alto, y la de resiliencia operativa, que puede obligar a notificar el incidente al supervisor financiero conforme a DORA. Reviso el contrato con el proveedor —cláusulas de notificación, auditoría y responsabilidad— y dejo registro de cada decisión con su hora, porque el expediente de gestión de la crisis es lo que después demuestra la diligencia. Cerrada la incidencia, informe al consejo, lecciones aprendidas y revisión del control que falló.

Paro la medida hasta que se documente. La Ley 2/2023 prohíbe las represalias y coloca la carga de la prueba en la empresa: cuando el informante acredita que ha comunicado y sufre un perjuicio, es la organización quien debe demostrar que la decisión respondía a motivos ajenos y debidamente justificados. Pido por escrito a recursos humanos la evidencia previa y datada de que el traslado estaba decidido —actas, correos, plan de reorganización, evaluaciones— con fecha anterior a la comunicación. Si esa evidencia no existe o es débil, mi informe recomienda revertir o suspender la medida y así se lo traslado a la dirección y a la comisión de auditoría. También registro el episodio: si la organización mueve a un informante sin poder acreditar por qué, tengo un problema de cultura mucho mayor que este caso concreto, y el siguiente empleado se irá directamente al canal externo de la Autoridad Independiente de Protección del Informante o a la inspección.