Curso de Compliance Officer para Empresas — Gestión y auditoría

Fuentes de obligaciones: leyes, reglamentos, contratos, estándares, códigos internos, soft law y compromisos voluntarios.

Obligaciones generales, sectoriales, territoriales, contractuales y regulatorias.

Diligencia debida, responsabilidad de administradores y deber de supervisión.

Inventario normativo estructurado por obligación, riesgo, área responsable y evidencia esperada.

Priorización por impacto, probabilidad, sanción, reputación y criticidad operativa.

Vigilancia normativa y gestión de cambios en políticas, controles y procedimientos.

ISO 37301:2021 como referencia internacional vigente para sistemas de gestión de compliance, confirmada nuevamente por ISO en 2026.

UNE 19601 como referencia para sistemas de gestión de compliance penal.

Estructura del sistema: contexto, liderazgo, planificación, soporte, operación, evaluación y mejora.

Definición del alcance por sociedades, países, actividades, procesos y riesgos.

Análisis de partes interesadas: reguladores, empleados, clientes, proveedores, accionistas y terceros.

Objetivos de compliance medibles y alineados con la estrategia corporativa.

Integración con riesgos, auditoría, control interno, ESG, privacidad, seguridad y negocio.

Documentación mínima: política, mapa de riesgos, controles, procedimientos, formación, canal y reporting.

Evidencias necesarias para demostrar implantación, funcionamiento, revisión y mejora del sistema.

Metodología para identificar, evaluar, priorizar y documentar riesgos de compliance.

Riesgo inherente, controles existentes, riesgo residual, apetito de riesgo y tolerancia.

Identificación por procesos: ventas, compras, pagos, contratación, RR. HH., IT, datos, filiales y terceros.

Evaluación de impacto legal, económico, reputacional, operativo, penal y regulatorio.

Probabilidad basada en historial, complejidad, países, presión comercial, terceros y madurez de controles.

Escalas de scoring comprensibles, consistentes y defendibles.

Relación entre riesgo, owner, política, procedimiento, control, formación, indicador y acción.

Actualización tras cambios de negocio, operaciones corporativas, incidentes o modificaciones normativas.

Controles preventivos, detectivos y correctivos.

Diferencia entre política, procedimiento, instrucción, control, evidencia y registro.

Diseño de controles integrados en compras, ventas, pagos, contratación y altas de terceros.

Periodicidad, responsable, criterio de revisión y umbral de excepción.

Evidencias concretas que demuestran la ejecución y eficacia de cada control.

Gestión de excepciones documentadas, aprobadas, justificadas y con caducidad.

Matriz integrada riesgo–control–owner–evidencia–frecuencia–KPI–acción correctora.

Código ético accionable, comprensible y vinculado a los riesgos reales de la organización.

Reglas sobre regalos, invitaciones, hospitalidad, patrocinios, donaciones y gastos de representación.

Conflictos de interés reales, potenciales y aparentes y declaraciones periódicas para perfiles sensibles.

Umbrales, prohibiciones, aprobaciones y registros según rol, país, importe y contraparte.

Relaciones familiares, proveedores vinculados, contratación y decisiones con intereses concurrentes.

Responsabilidad penal de la persona jurídica y artículo 31 bis del Código Penal.

Identificación de riesgos penales según sector, países, actividad y procesos.

Modelo de organización y gestión, órgano de supervisión, independencia, recursos y facultades.

Vinculación de riesgos penales con políticas, controles, formación, canal, investigaciones y disciplina.

Corrupción pública y privada, soborno, comisiones indebidas y pagos de facilitación.

Procesos sensibles: licitaciones, permisos, inspecciones, agentes, intermediarios, descuentos y patrocinios.

Controles sobre facturas, anticipos, reembolsos, consultores, donaciones y pagos excepcionales.

Red flags: servicios vagos, comisiones elevadas, urgencia, falta de contrato, opacidad y jurisdicciones de riesgo.

Coordinación entre Compliance, Finanzas, Compras, Legal y negocio ante pagos o indicios sensibles.

Registro de regalos, conflictos, pagos, decisiones, diligencia debida y evidencias de eficacia del modelo.

Ley 2/2023, Sistema interno de información y protección de las personas informantes.

Canales accesibles, seguros, confidenciales, trazables y correctamente publicitados.

Responsable del Sistema, independencia y procedimiento de gestión.

Diferenciación entre denuncia, consulta, conflicto laboral, queja, incumplimiento y alerta crítica.

Recepción, acuse, análisis preliminar, admisión, clasificación, investigación y cierre.

Criterios de prioridad, escalado, archivo motivado y conservación.

Protección frente a represalias y garantías de las personas afectadas.

Anonimato, confidencialidad, privacidad y acceso restringido al expediente.

Plan de investigación con alcance, hipótesis, equipo, permisos, cronograma y fuentes de evidencia.

Cadena de custodia, proporcionalidad, necesidad y preservación de evidencias.

Entrevistas internas con neutralidad, preparación, registro y control de sesgos.

Análisis de correos, documentos, pagos, logs, accesos y comunicaciones cuando resulte legítimo y necesario.

Coordinación entre Compliance, Legal, RR. HH., IT, Seguridad, Auditoría y asesores externos.

Informe de hallazgos con hechos probados, indicios, limitaciones, conclusiones y recomendaciones.

Medidas correctoras, disciplinarias, formativas, organizativas o de control y seguimiento de su ejecución.

Segmentación de terceros: agentes, distribuidores, consultores, proveedores, socios, clientes e intermediarios.

Due diligence proporcional al riesgo de tercero, país, operación, actividad y relación.

Beneficiario real, estructura societaria, reputación, país y vínculo con administraciones.

PEPs, sanciones, listas restrictivas y screening.

Cuestionarios, declaraciones, documentación, cláusulas contractuales y aprobaciones.

Red flags que obligan a ampliar revisión, bloquear, mitigar o escalar.

Alta, renovación y seguimiento continuo del tercero.

Coordinación entre Compras, Legal, Finanzas, Ventas, negocio y Compliance.

Terceros impuestos por clientes, filiales, partners o administraciones.

Fundamentos de PBC/FT y Ley 10/2010, actualizada en 2026.

Sujetos obligados, diligencia debida, conservación, control interno y comunicación.

Señales de alerta en pagos, jurisdicciones, estructuras, operaciones y comportamiento económico.

Integración de screening en clientes, terceros, pagos, logística y operaciones internacionales.

Diferenciación entre obligaciones estrictas de PBC/FT y buenas prácticas para entidades no sujetas.

Registro de análisis, excepciones, aprobaciones, medidas de mitigación y decisiones de escalado.

Ley 15/2007 de Defensa de la Competencia y marco europeo aplicable.

Acuerdos anticompetitivos y prácticas restrictivas.

Intercambio de información comercial sensible.

Abuso de posición dominante y otros riesgos de mercado.

Contactos con competidores en asociaciones, ferias y reuniones sectoriales.

Información sensible sobre precios, descuentos, clientes, mercados, producción y estrategias.

Protocolos previos, durante y después de reuniones con competidores.

Licitaciones y riesgos de coordinación o manipulación.

Acuerdos de distribución, canales y restricciones comerciales.

Benchmarking legítimo frente a intercambio ilícito de información.

Formación específica para Comercial, Ventas, Compras, Pricing y Dirección.

Detección de señales de riesgo en emails, chats, actas, propuestas y presentaciones.

Dawn raids, requerimientos de autoridades y preservación inmediata de documentación.

Coordinación con asesoría especializada durante investigaciones de competencia.

Evidencias, controles, reporting y seguimiento de un programa eficaz de competition compliance.

RGPD y LOPDGDD: licitud, minimización, transparencia, finalidad, conservación, seguridad y responsabilidad proactiva.

Relación entre Compliance Officer, DPO, Legal, IT, CISO, Riesgos y negocio.

Datos personales en RR. HH., clientes, marketing, proveedores, canal interno e investigaciones.

Privacy by Design en procesos, herramientas, campañas, contratos y proyectos digitales.

Brechas de datos, derechos, encargados, transferencias internacionales y registros de tratamiento.

Monitorización laboral, videovigilancia e investigaciones sobre comunicaciones.

Due diligence de privacidad y seguridad en proveedores tecnológicos.

Ciberseguridad, resiliencia operativa, outsourcing, cloud, SaaS y continuidad.

NIS2, entidades esenciales/importantes y seguimiento de su transposición nacional; en España la Ley de Coordinación y Gobernanza de la Ciberseguridad continúa dentro del proceso legislativo en 2026.

DORA y resiliencia operativa digital del sector financiero, aplicable desde el 17 de enero de 2025.

Inventario de sistemas críticos, proveedores TIC y dependencias tecnológicas.

EU AI Act: inventario, rol de proveedor/deployer, clasificación, gobierno, transparencia y supervisión.

Alfabetización en IA exigible desde febrero de 2025 y aplicación progresiva del AI Act durante 2025-2028.

Controles sobre IA generativa: datos sensibles, sesgos, trazabilidad, prompt injection, revisión humana y terceros.

Respuesta coordinada ante ciberincidentes, brechas, fallos operativos e incumplimientos tecnológicos.

Papel de Compliance en sostenibilidad, medio ambiente, derechos humanos y buen gobierno.

Integración de ESG en el sistema general de riesgos, controles y evidencias.

CSRD y reporting corporativo de sostenibilidad.

ESRS y evolución del marco europeo, incluidos los estándares revisados adoptados por la Comisión en julio de 2026.

Taxonomía de la UE y coherencia entre actividad, claims y evidencias.

CSDDD y diligencia debida en derechos humanos y medio ambiente, incluyendo las modificaciones introducidas en 2026.

Riesgos de greenwashing e información pública no verificable.

Controles sobre declaraciones, indicadores, memorias y compromisos ESG.

Riesgos de trabajo forzoso, condiciones laborales y vulneraciones de derechos humanos.

Impactos ambientales, comunidades locales y conflictos sociales.

Due diligence ESG de proveedores y proyectos.

Incorporación de cláusulas, cuestionarios, evidencias y seguimiento en cadena de suministro.

Coordinación con Sostenibilidad, Finanzas, Legal, Compras, Operaciones y Auditoría.

Gestión de alertas relacionadas con medio ambiente, derechos humanos o conducta responsable.

Trazabilidad entre riesgo, indicador, declaración pública, evidencia y responsable.

Riesgos de compliance en contratación, relaciones laborales y derechos de trabajadores.

Coordinación con RR. HH., Prevención, Igualdad, Seguridad y asesoría jurídica.

Discriminación directa e indirecta.

Acoso laboral y acoso sexual o por razón de sexo.

Represalias y protección de personas que comunican irregularidades.

Protocolos de actuación ante acoso, discriminación y conductas graves.

Investigaciones laborales con confidencialidad, proporcionalidad y garantías.

Controles sobre contratación, promociones, bonus, objetivos y medidas disciplinarias.

Desvinculaciones y riesgos de represalia o trato desigual.

Igualdad, diversidad y respeto incorporados a políticas y formación.

Presión comercial y objetivos agresivos como factores de riesgo de conducta.

Uso del canal interno frente a procedimientos específicos de RR. HH. o Prevención.

Indicadores de denuncias, rotación, absentismo, sanciones y conflictos recurrentes.

Formación sobre conducta, respeto, canales, derechos y prohibición de represalias.

Escalado coordinado cuando una misma alerta combine riesgo laboral, penal, ético o de privacidad.

Plan anual de formación basado en riesgos, roles y exposición real.

Formación general frente a formación específica para colectivos sensibles.

Contenidos adaptados a Dirección, Ventas, Compras, Finanzas, RR. HH., IT, Operaciones y filiales.

Píldoras, campañas, simulaciones, recordatorios y comunicaciones de refuerzo.

Formación asociada a onboarding, cambios de rol y nuevos riesgos.

Medición de eficacia más allá de asistencia y test de conocimiento.

Evaluación de comprensión, aplicación práctica y cambio de comportamiento.

Consultas internas de compliance con criterios homogéneos y trazabilidad.

Asesoramiento preventivo en operaciones y decisiones sensibles.

Comunicación de políticas mediante lenguaje claro y aplicable.

Casos, dilemas y ejemplos adaptados al riesgo de cada colectivo.

Campañas específicas tras cambios normativos, incidentes o deficiencias detectadas.

Evidencias de convocatoria, asistencia, resultados y acciones de refuerzo.

Coordinación entre formación, cultura, mapa de riesgos, controles e incidentes.

Calendario anual integrado de formación, comunicación, campañas y asesoramiento.

Plan de monitorización basado en riesgos y criticidad de controles.

Diferencia entre control diseñado, ejecutado, documentado, eficaz y auditado.

Testing de pagos, terceros, regalos, formación, canal, investigaciones y aprobaciones.

KPIs y KRIs sobre formación, denuncias, tiempos, excepciones, terceros y controles fallidos.

Indicadores orientados a eficacia y no únicamente a volumen de actividad.

Autoevaluaciones, revisión de segunda línea, auditoría interna y testing independiente.

Deficiencias, planes de acción, owners, fechas y evidencias de cierre.

Revisión extraordinaria tras incidentes, sanciones o cambios regulatorios.

Reporting operativo para gestión diaria.

Reporting ejecutivo para alta dirección y órgano de administración.

Reporting de incidentes y reporting regulatorio.

Informes centrados en riesgos, decisiones, acciones y seguimiento.

Repositorio de evidencias preparado para auditorías e inspecciones.

Gestión de requerimientos, revisiones externas y solicitudes de reguladores.

Actas de comité y reporting que documenten deliberación, acuerdos, responsables y plazos.

Función de una plataforma GRC frente a hojas de cálculo y repositorios dispersos.

Requisitos funcionales para seleccionar o evolucionar una solución GRC.

Módulos para obligaciones, riesgos, controles, políticas, terceros y acciones.

Gestión digital del canal interno e investigaciones.

Flujos para formación, auditorías y planes correctores.

Recordatorios, revisiones periódicas, aprobaciones y vencimientos.

Automatización de recopilación de evidencias.

Integración con ERP, CRM, HRIS, ticketing, IAM, SIEM y DMS.

Analítica de datos sobre pagos, transacciones, terceros y excepciones.

Detección de duplicidades, anomalías, conflictos y patrones de riesgo.

Dashboards de riesgos, controles, KRIs, denuncias y acciones abiertas.

Gestión de accesos y segregación de funciones dentro de GRC.

Trazabilidad, logs, retención y cadena de evidencias digitales.

IA aplicada con cautela a clasificación, resúmenes, búsqueda documental y detección de patrones.

Gobierno de la tecnología para evitar automatizar procesos deficientes o depender de herramientas sin metodología, owners ni criterios.

Criterios para determinar cuándo un incidente se convierte en crisis de compliance.

Activación del comité de crisis y estructura de gobierno.

Roles de Compliance, Legal, Dirección, Comunicación, RR. HH., IT, Seguridad y negocio.

Incorporación de Auditoría y asesores externos cuando corresponda.

Preservación inmediata de documentos, sistemas y evidencias.

Medidas de contención: suspensión de pagos, bloqueo de terceros o paralización de procesos.

Evaluación de impacto legal, penal, regulatorio, operativo, económico y reputacional.

Análisis de obligaciones de comunicación a autoridades, reguladores, clientes, aseguradoras o socios.

Plan de investigación y coordinación con procedimientos ya abiertos.

Root Cause Analysis del incumplimiento y del control que falló.

Plan de remediación con acción, owner, prioridad, fecha y criterio de cierre.

Verificación independiente de la eficacia de las medidas correctoras.

Comunicación interna y externa prudente, coherente, veraz y coordinada.

Incorporación de lecciones aprendidas a riesgos, políticas, controles, formación y reporting.

Cierre formal de la crisis con evidencias, seguimiento residual y actualización del sistema de compliance.

Definición del contexto, actividad, estructura, países, partes interesadas y alcance del programa de compliance.

Diseño del estatuto de Compliance con independencia, funciones, reporting, comités y recursos.

Elaboración del inventario normativo con obligaciones generales, sectoriales, contractuales y voluntarias.

Construcción del mapa de riesgos con riesgo inherente, controles, riesgo residual y priorización.

Diseño de matriz de controles para riesgos penales, corrupción, terceros, privacidad, competencia y PBC/FT.

Estructura del código ético y políticas prioritarias sobre conflictos, regalos, pagos y conducta.

Diseño del Sistema interno de información y protocolo de investigación con admisión, protección, evidencias y cierre.

Modelo de due diligence de terceros con red flags, scoring, aprobaciones y seguimiento.

Plan anual de formación, comunicación y asesoramiento por perfiles de riesgo.

Cuadro de mando con KPIs, KRIs, controles fallidos, denuncias, terceros y acciones abiertas.

Informe ejecutivo para el órgano de administración con riesgos, avances, incidencias y decisiones requeridas.

Incorporación de privacidad, ciberseguridad, IA, ESG, derechos humanos y cadena de suministro al programa.

Plan de monitorización, testing de controles, estructura documental y repositorio de evidencias.

Simulación de una denuncia grave con análisis preliminar, investigación, conclusión y plan de remediación.

Presentación y defensa del programa completo demostrando proporcionalidad, eficacia, trazabilidad, cultura, gobierno y mejora continua.