Durante la sesión del Grupo de Trabajo de Cumplimiento Normativo y Criterios ASG, se abordó cómo prepararse para una auditoría de compliance desde una perspectiva práctica y dialogada, contando con la visión tanto de consultoría (PFS Grupo, representado por María Chamorro y Mónica Pomar) como de certificación (AENOR, con Mayrata Conesa e Inmaculada García). Se destacó que la auditoría de compliance no debe verse solo como un trámite para obtener una certificación, sino como una oportunidad para poner en valor el trabajo realizado en la organización y para identificar áreas de mejora.

Uno de los puntos centrales fue la importancia de la evaluación de riesgos, considerada la piedra angular del sistema de compliance. Se insistió en que esta evaluación debe ser un proceso vivo, actualizado periódicamente y alineado con la realidad de la organización, sus cambios y su contexto. No se trata de identificar la mayor cantidad de riesgos posibles, sino de centrarse en los más relevantes y hacer un seguimiento continuo de su evolución. Para ello, es fundamental contar con una metodología clara, homogénea y comprensible para todos los implicados, que permita priorizar riesgos y justificar las decisiones tomadas.

El modelo de prevención penal y las políticas de compliance deben estar aprobados por el órgano de gobierno, comunicados tanto interna como externamente, y ser conocidos y aplicados por toda la organización. Se subrayó la necesidad de que estos documentos sean revisados periódicamente y adaptados a la realidad de la empresa, evitando que se conviertan en meros documentos formales sin aplicación práctica. La comunicación y la formación son esenciales para crear una verdadera cultura de cumplimiento.

El liderazgo y la implicación de la alta dirección y del órgano de gobierno son fundamentales para la eficacia del sistema de compliance. No basta con aprobar políticas o asignar recursos; es necesario que la alta dirección lidere con el ejemplo, participe activamente y transmita la importancia del cumplimiento a toda la organización. La cultura de cumplimiento debe ser transversal y estar presente en la toma de decisiones estratégicas.

Respecto al órgano de cumplimiento, se recalcó la importancia de que esté formalmente designado, con funciones y competencias claras, autonomía y acceso directo a la alta dirección. Debe contar con recursos y formación adecuados, aunque en organizaciones pequeñas estos recursos pueden estar integrados en otras áreas, como formación o asesoría externa. La existencia de un reglamento interno y la evidencia de reuniones y actuaciones son aspectos clave para demostrar la eficacia del órgano de cumplimiento.

En cuanto a los controles y evidencias, se destacó que no basta con que existan controles documentados, sino que deben estar sistematizados, ser efectivos y poder demostrarse mediante pruebas periódicas y repositorios accesibles. Los controles deben estar alineados con los riesgos identificados y ser revisados y actualizados conforme evoluciona la organización.

La formación y la concienciación son otro pilar fundamental. La formación debe adaptarse a los distintos roles y niveles de riesgo dentro de la organización, incluir tanto formación inicial como periódica, y, cuando sea relevante, extenderse a grupos de interés externos. Se resaltó la importancia de reconocer y recompensar las buenas prácticas, no solo de sancionar los incumplimientos.

El canal de denuncias debe cumplir la normativa, ser accesible y generar confianza entre los empleados y otros grupos de interés. El régimen disciplinario debe estar documentado, comunicado y aplicarse con tolerancia cero ante los incumplimientos, integrando también la posibilidad de denunciar incumplimientos de políticas internas a través del canal ético.

Por último, se subrayó la importancia del seguimiento, la medición mediante indicadores y la mejora continua. Es esencial medir la eficacia del sistema de compliance a través de indicadores como la formación realizada, la reducción de riesgos o el cumplimiento de los planes de acción. Las revisiones periódicas y la integración con otros sistemas de gestión (como calidad o medio ambiente) permiten optimizar recursos y mejorar la coherencia del sistema.