Curso de Compliance Officer para Empresas — Gestión y auditoría

Identificar las fuentes de obligaciones: leyes, reglamentos, contratos, estándares, códigos internos y compromisos voluntarios.

Revisar la responsabilidad penal de la persona jurídica y el papel de los modelos de prevención.

Entender la relación entre cumplimiento normativo, diligencia debida, responsabilidad de administradores y deber de supervisión.

Diferenciar obligaciones generales, sectoriales, territoriales, contractuales, regulatorias y de soft law.

Analizar cómo afectan los cambios normativos a empresas con varias filiales, países o líneas de negocio.

Construir un inventario normativo útil y no meramente acumulativo.

Priorizar obligaciones según impacto, probabilidad, sanción, exposición reputacional y criticidad operativa.

Revisar referencias clave: ISO 37301, UNE 19601, Código Penal, protección del informante, RGPD, PBC/FT y competencia.

Diseñar un proceso de vigilancia normativa y actualización de políticas internas.

Realizar ejercicio de matriz de obligaciones normativas por área, riesgo, owner y evidencia esperada.

Comprender la estructura de un sistema de gestión de compliance basado en contexto, liderazgo, planificación, soporte, operación y mejora.

Traducir requisitos de alto nivel a procesos internos, evidencias y responsabilidades concretas.

Definir alcance del sistema: sociedades, áreas, países, procesos, riesgos y actividades cubiertas.

Analizar contexto interno y externo: reguladores, clientes, proveedores, empleados, accionistas, terceros y entorno sectorial.

Diseñar objetivos de compliance medibles y alineados con la estrategia corporativa.

Integrar compliance con gestión de riesgos, auditoría, control interno, ESG, seguridad y protección de datos.

Crear documentación mínima del sistema: política, mapa de riesgos, controles, procedimientos, formación, canal y reporting.

Definir roles, autoridades, responsabilidades y mecanismos de escalado.

Preparar evidencias para demostrar que el sistema funciona y se revisa periódicamente.

Realizar ejercicio de diseño del alcance y estructura documental de un sistema de compliance.

Definir la relación entre Compliance Officer, consejo de administración, comité de auditoría y alta dirección.

Establecer canales de reporte ordinario y extraordinario al órgano de gobierno.

Determinar qué decisiones debe elevar compliance y cuáles puede resolver operativamente.

Diseñar estatuto de la función de compliance con independencia, acceso a información y ausencia de represalias.

Gestionar conflictos cuando el riesgo afecta a directivos, accionistas, clientes estratégicos o áreas críticas.

Definir comités de compliance, composición, periodicidad, actas, decisiones y seguimiento.

Preparar informes ejecutivos claros, breves y basados en riesgos y evidencias.

Evitar que compliance sea percibido como bloqueo operativo o como simple validador documental.

Establecer mecanismos de sustitución, escalado y consulta cuando el Compliance Officer tiene conflicto de interés.

Realizar ejercicio de diseño de estatuto de compliance y calendario de reporting al órgano de administración.

Comprender por qué la cultura de cumplimiento es más importante que la existencia formal de políticas.

Traducir el tone from the top en decisiones, mensajes, incentivos, sanciones y comportamientos observables.

Identificar señales de cultura débil: tolerancia al atajo, presión comercial, opacidad, miedo a informar y dobles estándares.

Diseñar mensajes de integridad adaptados a dirección, mandos intermedios, fuerza comercial, compras y operaciones.

Integrar ética en onboarding, evaluación de desempeño, promociones, objetivos y liderazgo.

Crear mecanismos para detectar presión indebida, conflictos éticos y contradicciones entre discurso y práctica.

Medir cultura mediante encuestas, entrevistas, indicadores, canal interno, rotación, auditorías y focus groups.

Gestionar dilemas éticos frecuentes: regalos, objetivos agresivos, relación con clientes, proveedores y administraciones.

Preparar campañas internas que no sean genéricas ni meramente decorativas.

Realizar ejercicio de plan de cultura ética con mensajes, acciones, indicadores y seguimiento.

Diseñar una metodología de identificación, evaluación y priorización de riesgos de compliance.

Diferenciar riesgo inherente, controles existentes, riesgo residual, apetito de riesgo y planes de mitigación.

Identificar riesgos por proceso: ventas, compras, pagos, contratación, RRHH, IT, datos, filiales, agentes y terceros.

Evaluar impacto legal, económico, reputacional, operativo, penal y regulatorio.

Medir probabilidad con criterios realistas: historial, complejidad, presión comercial, países, terceros y controles.

Crear escalas de valoración comprensibles y defendibles ante auditoría o dirección.

Evitar mapas de riesgos puramente teóricos sin conexión con procesos y evidencias.

Vincular cada riesgo con controles, owners, políticas, formación, indicadores y acciones.

Revisar el mapa tras cambios de negocio, operaciones corporativas, incidentes o modificaciones normativas.

Realizar ejercicio de construcción de mapa de riesgos de compliance con scoring y priorización.

Diseñar controles preventivos, detectivos y correctivos para cada riesgo relevante.

Diferenciar política, procedimiento, instrucción, control, evidencia, registro y responsable.

Redactar políticas claras sobre regalos, conflictos, pagos, terceros, competencia, privacidad, canal e investigaciones.

Evitar políticas excesivamente largas que nadie entiende ni aplica.

Crear controles integrados en procesos reales: compras, ventas, aprobaciones, pagos, contratación y alta de terceros.

Definir evidencias concretas para demostrar ejecución del control.

Establecer periodicidad, owner, criterio de revisión y umbral de excepción.

Gestionar excepciones documentadas, aprobadas y con fecha de caducidad.

Integrar controles en herramientas corporativas: ERP, CRM, GRC, ticketing, HRIS o repositorios documentales.

Realizar ejercicio de diseño de política y matriz de controles para un riesgo crítico.

Diseñar o revisar un código ético claro, accionable y alineado con los riesgos reales de la empresa.

Definir reglas sobre regalos, invitaciones, hospitalidad, patrocinios, donaciones y gastos de representación.

Gestionar conflictos de interés reales, potenciales y aparentes.

Crear declaraciones periódicas de conflicto de interés para perfiles sensibles.

Definir umbrales, aprobaciones, registros y prohibiciones según país, rol y contraparte.

Revisar casos de relaciones familiares, proveedores vinculados, clientes estratégicos y decisiones de contratación.

Evitar políticas imposibles de cumplir que fomentan ocultación o incumplimiento tolerado.

Diseñar un registro de regalos, invitaciones, conflictos y decisiones de compliance.

Crear comunicaciones internas con ejemplos prácticos y lenguaje comprensible.

Realizar ejercicio de resolución de dilemas sobre regalos, conflicto de interés y presión comercial.

Comprender la responsabilidad penal de la persona jurídica y el papel del modelo de prevención.

Identificar delitos relevantes según actividad, sector, países, procesos y perfil de la empresa.

Diseñar controles para riesgos penales: corrupción, fraude, blanqueo, contra Hacienda, medio ambiente, datos, mercado y trabajadores.

Relacionar mapa de riesgos penales con controles, políticas, formación, canal, investigaciones y disciplina.

Definir órgano de supervisión, recursos, independencia y facultades de control.

Documentar diligencia debida, decisiones, evidencias y seguimiento de deficiencias.

Revisar cómo actuar ante indicios de delito dentro de la organización.

Evitar modelos penales de plantilla sin conexión con procesos reales.

Preparar evidencias de eficacia del modelo antes de que exista una crisis.

Realizar ejercicio de matriz de riesgos penales y plan de controles para una empresa tipo.

Identificar riesgos de corrupción pública, corrupción privada, soborno, comisiones indebidas y pagos de facilitación.

Revisar procesos sensibles: licitaciones, permisos, inspecciones, intermediarios, agentes, descuentos y patrocinios.

Diseñar controles sobre pagos, facturas, anticipos, reembolsos, consultores, donaciones y gastos excepcionales.

Detectar señales de alerta: servicios vagos, comisiones altas, urgencia, falta de contrato, países de riesgo y terceros opacos.

Gestionar relaciones con funcionarios, autoridades, empresas públicas y organismos reguladores.

Crear reglas para patrocinios, donaciones, contribuciones, eventos y acciones institucionales.

Integrar finanzas, compras, legal y compliance en la aprobación de pagos sensibles.

Diseñar investigaciones ante sospecha de fraude, facturación ficticia o conflicto de intereses.

Preparar indicadores de alerta y revisiones periódicas de transacciones.

Realizar ejercicio de análisis de pago sospechoso y decisión de bloqueo, aprobación o investigación.

Comprender obligaciones y buenas prácticas del sistema interno de información y protección del informante.

Diseñar canales accesibles, confidenciales, seguros, trazables y conocidos por empleados y terceros autorizados.

Diferenciar denuncia, consulta, queja laboral, conflicto interpersonal, incumplimiento y alerta crítica.

Establecer procedimiento de recepción, acuse, análisis preliminar, clasificación, investigación y cierre.

Proteger al informante frente a represalias y preservar derechos de las personas afectadas.

Gestionar anonimato, confidencialidad, datos personales y acceso limitado al expediente.

Definir roles: responsable del sistema, instructor, comité, asesoría jurídica, RRHH, seguridad y dirección.

Crear criterios de admisión, priorización, escalado y archivo motivado.

Evitar canales simbólicos sin investigación real ni seguimiento documentado.

Realizar ejercicio de diseño de flujo completo de gestión de informaciones internas.

Planificar investigaciones internas con alcance, hipótesis, equipo, permisos, evidencias y cronograma.

Preservar cadena de custodia, confidencialidad, proporcionalidad y derechos de las personas investigadas.

Realizar entrevistas internas con preparación, neutralidad, registro y control de sesgos.

Analizar correos, documentos, registros, pagos, logs, accesos y comunicaciones con criterios de necesidad.

Coordinar compliance, legal, RRHH, IT, seguridad, auditoría interna y asesores externos.

Diferenciar investigación laboral, investigación penal, investigación regulatoria e investigación ética.

Documentar hallazgos, hechos probados, indicios, limitaciones, conclusiones y recomendaciones.

Definir medidas correctoras, disciplinarias, formativas, organizativas o de control.

Evitar investigaciones improvisadas, filtraciones, represalias o conclusiones no soportadas por evidencias.

Realizar ejercicio de investigación interna sobre fraude, conflicto de intereses o acoso.

Identificar terceros de riesgo: agentes, distribuidores, consultores, proveedores críticos, socios, clientes y intermediarios.

Diseñar un modelo de due diligence proporcional al riesgo del tercero y la operación.

Revisar beneficiario real, sanciones, PEPs, reputación, país, actividad, relación pública y estructura societaria.

Incorporar cuestionarios, declaraciones, documentación, cláusulas contractuales y aprobaciones.

Definir red flags que obligan a ampliar revisión, bloquear o escalar la decisión.

Integrar compras, legal, finanzas, negocio y compliance en el alta y renovación de terceros.

Crear controles de seguimiento durante la relación, no solo al inicio.

Gestionar terceros impuestos por clientes, filiales, partners o administraciones.

Documentar decisiones, excepciones, aprobaciones y medidas de mitigación.

Realizar ejercicio de due diligence de proveedor/agente con señales de alerta.

Comprender los fundamentos de prevención de blanqueo de capitales y financiación del terrorismo.

Identificar sujetos obligados, medidas de diligencia debida, comunicación, conservación y control interno.

Revisar señales de alerta en clientes, pagos, jurisdicciones, operaciones, estructuras y comportamiento económico.

Diseñar controles sobre onboarding, beneficiario real, PEPs, sanciones, listas restrictivas y operaciones inusuales.

Integrar screening de sanciones en terceros, clientes, pagos, logística y operaciones internacionales.

Coordinar compliance, finanzas, legal, ventas, compras y operaciones ante alertas financieras.

Documentar análisis, decisiones, escalados y medidas adoptadas.

Diferenciar obligaciones PBC/FT estrictas y buenas prácticas aplicables a empresas no sujetas.

Evitar pagos opacos, triangulaciones, cuentas no justificadas y operaciones sin soporte económico.

Realizar ejercicio de análisis de operación sospechosa y decisión de escalado.

Comprender riesgos de acuerdos anticompetitivos, intercambio de información, abuso de posición y prácticas restrictivas.

Identificar situaciones sensibles: asociaciones sectoriales, ferias, reuniones con competidores y benchmarking.

Definir reglas sobre precios, descuentos, clientes, mercados, licitaciones, producción y estrategias comerciales.

Crear protocolos de asistencia a reuniones sectoriales y contactos con competidores.

Diseñar controles para licitaciones, distribución, acuerdos comerciales y relación con canales.

Gestionar dawn raids, requerimientos de autoridad y preservación de documentos.

Integrar formación específica para dirección comercial, ventas, compras y equipos de pricing.

Detectar señales de riesgo en correos, actas, chats, presentaciones y propuestas comerciales.

Preparar reporting y evidencias de un programa de cumplimiento en competencia eficaz.

Realizar ejercicio de análisis de reunión sectorial y posible intercambio de información sensible.

Comprender el encaje del Compliance Officer con el Delegado de Protección de Datos y el área de privacidad.

Identificar tratamientos de datos personales en RRHH, clientes, marketing, proveedores, seguridad, canal interno e investigaciones.

Revisar principios del RGPD: licitud, minimización, transparencia, limitación, conservación, seguridad y responsabilidad proactiva.

Integrar privacy by design en nuevos procesos, herramientas, campañas, contratos y proyectos digitales.

Gestionar brechas de datos, derechos de interesados, encargados, transferencias internacionales y registros de tratamiento.

Revisar riesgos de monitorización laboral, investigaciones internas, videovigilancia y análisis de comunicaciones.

Coordinar compliance, DPO, IT, seguridad, legal y negocio ante proyectos con alto impacto.

Incorporar controles de privacidad en due diligence de proveedores tecnológicos.

Evitar que compliance duplique funciones del DPO, manteniendo coordinación y escalado.

Realizar ejercicio de análisis de privacidad en canal interno, investigación o herramienta corporativa.

Identificar obligaciones y buenas prácticas de compliance en ciberseguridad, resiliencia digital y gobierno tecnológico.

Comprender el impacto de NIS2 en entidades esenciales, importantes y cadenas de suministro críticas.

Revisar DORA como referencia de resiliencia operativa digital para el sector financiero y proveedores TIC relevantes.

Analizar riesgos de terceros tecnológicos, outsourcing, cloud, SaaS, continuidad, incidentes y dependencia crítica.

Integrar compliance con CISO, IT, riesgos tecnológicos, protección de datos y continuidad de negocio.

Comprender el AI Act desde la perspectiva de inventario, clasificación de riesgos, transparencia y gobernanza de sistemas IA.

Crear controles sobre uso interno de IA generativa, datos sensibles, sesgos, trazabilidad, revisión humana y proveedores.

Diseñar inventario de sistemas críticos, aplicaciones reguladas, herramientas IA y proveedores tecnológicos.

Establecer respuesta coordinada ante ciberincidentes, brechas de datos, fallos operativos o incumplimientos tecnológicos.

Realizar ejercicio de matriz de compliance digital para IA, ciberseguridad, proveedores TIC y continuidad.

Comprender el papel de compliance en sostenibilidad, derechos humanos, medio ambiente y buen gobierno.

Identificar obligaciones y expectativas derivadas de CSRD, ESRS, taxonomía, reporting no financiero y compromisos ESG.

Diseñar controles para evitar greenwashing, información no verificable o reportes inconsistentes.

Integrar compliance en procesos de compras, cadena de suministro, derechos humanos y proveedores críticos.

Revisar riesgos de trabajo forzoso, condiciones laborales, impacto ambiental, corrupción, comunidades y conflictos sociales.

Coordinar compliance con sostenibilidad, finanzas, legal, compras, operaciones y auditoría.

Crear evidencias para soportar declaraciones públicas, informes, indicadores y compromisos ESG.

Gestionar denuncias o alertas relacionadas con medio ambiente, derechos humanos o conducta empresarial responsable.

Evitar que ESG quede separado del sistema general de riesgos y controles.

Realizar ejercicio de evaluación ESG/compliance de proveedor o proyecto corporativo.

Identificar riesgos de compliance vinculados a relaciones laborales, discriminación, acoso, represalias y derechos de trabajadores.

Coordinar compliance con RRHH, prevención de riesgos laborales, igualdad, seguridad y asesoría jurídica.

Diseñar protocolos de actuación ante acoso, discriminación, conflictos graves y conductas indebidas.

Gestionar investigaciones laborales respetando confidencialidad, proporcionalidad y garantías de las partes.

Revisar controles sobre contratación, promociones, bonus, objetivos, medidas disciplinarias y desvinculaciones.

Integrar formación sobre conducta, respeto, diversidad, igualdad, uso de canales y prohibición de represalias.

Detectar riesgos derivados de presión comercial, objetivos agresivos o tolerancia de conductas inadecuadas.

Crear indicadores de clima, denuncias, rotación, absentismo, sanciones y conflictos recurrentes.

Evitar solapamientos confusos entre canal interno, RRHH, prevención y protocolos específicos.

Realizar ejercicio de gestión de alerta interna por acoso, represalia o conducta grave.

Diseñar un plan anual de formación en compliance basado en riesgos, roles y exposición real.

Diferenciar formación general, formación específica, píldoras, campañas, recordatorios y simulaciones.

Crear contenidos adaptados a dirección, ventas, compras, finanzas, RRHH, IT, operaciones y filiales.

Medir eficacia de la formación más allá de asistencia y test básico.

Gestionar consultas internas de compliance con trazabilidad y criterios homogéneos.

Crear comunicaciones claras sobre políticas, dilemas, canal interno, terceros, privacidad y regalos.

Evitar lenguaje jurídico excesivo que impide comprensión y aplicación práctica.

Preparar campañas ante fechas clave, cambios normativos, incidentes o nuevos riesgos.

Registrar evidencias de formación, asistencia, resultados, incidencias y acciones de refuerzo.

Realizar ejercicio de diseño de plan de formación y campaña de compliance por perfiles.

Diseñar un plan de monitorización del programa de compliance basado en riesgos.

Diferenciar control ejecutado, control eficaz, control documentado y control auditado.

Crear pruebas de controles sobre pagos, terceros, regalos, formación, canal, investigaciones y aprobaciones.

Definir KPIs y KRIs útiles: formación, denuncias, tiempos, cierres, excepciones, terceros, alertas y controles fallidos.

Evitar métricas vacías que solo muestran actividad y no eficacia.

Integrar revisión periódica, auditoría interna, autoevaluaciones y testing independiente.

Gestionar deficiencias, planes de acción, responsables, fechas y evidencias de cierre.

Revisar el sistema tras incidentes, sanciones, cambios de negocio o cambios normativos.

Preparar informes de eficacia para dirección y órgano de administración.

Realizar ejercicio de plan de monitorización con KPIs, KRIs, controles y acciones correctoras.

Preparar informes periódicos de compliance para comité, alta dirección y órgano de administración.

Diferenciar reporting operativo, reporting ejecutivo, reporting de incidentes y reporting regulatorio.

Documentar decisiones relevantes, consultas, excepciones, investigaciones, controles y planes de acción.

Crear repositorio de evidencias ordenado, seguro, accesible y preparado para auditoría.

Gestionar inspecciones, requerimientos, revisiones externas y solicitudes de información.

Preparar respuestas a reguladores con coordinación legal, técnica, negocio y dirección.

Evitar informes excesivamente largos sin conclusiones, riesgos, decisiones ni seguimiento.

Diseñar actas de comité que reflejen deliberación, acuerdos, responsables y plazos.

Preparar auditorías internas o externas del sistema de compliance.

Realizar ejercicio de informe trimestral de compliance para órgano de administración.

Comprender qué aporta una herramienta GRC frente a hojas de cálculo y repositorios dispersos.

Diseñar flujos para riesgos, controles, políticas, terceros, canal, investigaciones, formación y auditorías.

Automatizar recordatorios, revisiones, aprobaciones, evidencias y planes de acción.

Integrar compliance con ERP, HRIS, CRM, ticketing, IAM, SIEM, DMS y herramientas de terceros.

Usar analítica de datos para detectar pagos sospechosos, duplicidades, anomalías, conflictos y patrones de riesgo.

Gobernar accesos, trazabilidad, segregación de funciones y retención documental.

Evitar depender de la herramienta sin metodología, owners ni criterios de riesgo.

Evaluar requisitos funcionales para seleccionar o mejorar una solución GRC.

Incorporar IA con cautela para clasificación, resúmenes, búsqueda documental o detección de patrones.

Realizar ejercicio de diseño funcional de un módulo GRC para riesgos, controles e investigaciones.

Identificar cuándo un incidente se convierte en crisis de compliance.

Activar comité de crisis con roles, responsabilidades, comunicaciones y preservación de evidencias.

Coordinar compliance, legal, dirección, comunicación, RRHH, IT, seguridad, negocio y asesores externos.

Definir medidas inmediatas: contención, suspensión de pagos, bloqueo de terceros, preservación y comunicación interna.

Evaluar obligación de informar a autoridades, reguladores, clientes, aseguradoras o socios.

Diseñar planes de remediación con causa raíz, control fallido, responsable, plazo y verificación.

Evitar respuestas defensivas que oculten el problema y agraven responsabilidad.

Incorporar lecciones aprendidas al mapa de riesgos, políticas, formación, controles y reporting.

Preparar comunicación interna y externa prudente, veraz y coordinada.

Realizar ejercicio de gestión de crisis por corrupción, filtración, sanción o fraude interno.

Diseñar un programa completo de compliance para una empresa ficticia o caso adaptado a la organización.

Definir contexto, actividad, estructura, países, procesos críticos, partes interesadas y alcance del sistema.

Crear estatuto de la función de compliance con independencia, funciones, reporting y recursos mínimos.

Elaborar inventario normativo inicial con obligaciones generales, sectoriales, contractuales y voluntarias.

Construir mapa de riesgos de compliance con riesgo inherente, controles, riesgo residual y prioridad.

Desarrollar matriz de controles vinculada a riesgos penales, corrupción, terceros, privacidad, competencia y PBC/FT.

Redactar estructura mínima de código ético y políticas prioritarias para la empresa.

Diseñar flujo del canal interno de información con admisión, investigación, protección y cierre.

Preparar protocolo de investigación interna con roles, evidencias, confidencialidad y garantías.

Crear modelo de due diligence de terceros con red flags, scoring, aprobaciones y seguimiento.

Diseñar plan anual de formación y comunicación por perfiles de riesgo.

Crear cuadro de mando con KPIs, KRIs, controles fallidos, denuncias, formación, terceros y acciones abiertas.

Preparar informe ejecutivo para el órgano de administración con riesgos, avances, incidencias y decisiones requeridas.

Diseñar procedimiento de gestión de conflictos de interés, regalos, invitaciones y pagos sensibles.

Incorporar controles de protección de datos, ciberseguridad, IA, ESG y cadena de suministro.

Preparar un plan de monitorización y testing de controles para el primer año.

Definir estructura documental, repositorio de evidencias y calendario de revisiones.

Simular una denuncia interna y ejecutar análisis preliminar, plan de investigación y conclusión documentada.

Preparar plan de remediación ante un incumplimiento grave detectado.

Presentar el programa final defendiendo proporcionalidad, eficacia, trazabilidad, cultura, gobierno y mejora continua.