Organización interna, controles, auditoría y formación del personal
Organización interna, controles y formación
El examen evalúa si la entidad tiene un sistema de cumplimiento real: políticas, funciones, controles, auditoría y formación. No basta con un manual; se busca evidencia de implantación.
Elementos exigibles
- Responsabilidad de la alta dirección: el órgano de administración aprueba la política y asume la supervisión; puede delegar funciones, pero no la responsabilidad última.
- Función de cumplimiento: responsable con independencia, recursos y acceso a la información; en entidades pequeñas puede ser una función compatible, pero debe estar formalmente asignada.
- Políticas y procedimientos: manual de prevención, metodología de riesgo, procedimientos de alta, seguimiento, reporte y conservación.
- Controles: segregación de funciones, revisión de alertas, control de calidad, gestión de incidencias y plan de acción.
- Auditoría: revisión independiente e imparcial, interna o externa, con alcance y periodicidad basados en riesgo; debe reportar a la alta dirección.
- Formación: inicial y continua, adaptada a las funciones, documentada y evaluada; no es un curso genérico anual sin aplicación.
Ejemplo razonado
Un despacho de abogados obligado detecta que su manual tiene cinco años y que nadie revisa las alertas. El socio director propone firmar un certificado de “cumplimiento” y seguir igual. La solución correcta: actualizar la evaluación de riesgos, asignar un responsable, definir procedimientos de admisión y reporte, implantar controles, programar una auditoría independiente y formar al personal. El certificado sin evidencia no acredita control interno; la responsabilidad sigue en el órgano de dirección.
Errores que cuestan puntos
- Creer que el manual es el sistema de cumplimiento.
- Delegar toda la responsabilidad en el compliance officer y desentenderse la dirección.
- Confundir formación con asistencia a un curso.
- Hacer auditoría solo para cumplir el expediente, sin independencia ni seguimiento de hallazgos.
- No documentar controles, incidencias ni planes de acción.
- Adaptar la formación solo a directivos y no a empleados de atención al cliente.