Hay una conversación que casi nunca ocurre en las empresas españolas medianas: la conversación entre el compliance officer y el auditor de cuentas. Trabajan en el mismo edificio, a veces en la misma planta, miran los mismos procesos —contratación, pagos, aprobaciones, segregación de funciones— y sin embargo se cruzan en el ascensor sin reconocerse profesionalmente.
El compliance officer piensa que el auditor solo mira números. El auditor piensa que el compliance officer redacta políticas que nadie lee. Ambos se equivocan, y esa mutua incomprensión tiene consecuencias jurídicas concretas desde 2010, cuando España introdujo la responsabilidad penal de la persona jurídica. Este artículo intenta tender un puente técnico entre las dos profesiones.
La reforma silenciosa del Código Penal: art. 31 bis#
La Ley Orgánica 5/2010 introdujo en el Código Penal español algo que durante décadas pareció imposible bajo nuestra tradición jurídica: que una sociedad mercantil, en cuanto persona jurídica, pueda ser penalmente responsable de delitos cometidos por sus administradores, representantes o empleados. La Ley Orgánica 1/2015 perfeccionó el régimen y, sobre todo, introdujo en el art. 31 bis del Código Penal la posibilidad de eximir o atenuar esa responsabilidad cuando la organización ha adoptado y ejecutado eficazmente, antes de la comisión del delito, un modelo de organización y gestión que incluya medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza.
Lo decisivo del art. 31 bis no es la existencia de un manual de compliance en un cajón. Lo decisivo son seis requisitos materiales: identificar las actividades en cuyo ámbito puedan cometerse delitos, establecer protocolos de formación de la voluntad de la persona jurídica, disponer de modelos de gestión de los recursos financieros adecuados, imponer la obligación de informar de posibles riesgos, establecer un sistema disciplinario, y realizar una verificación periódica del modelo. Los seis hablan, en realidad, de controles internos operativos. Y eso es exactamente el lenguaje del auditor.
Lo que diseña el compliance officer#
El compliance officer parte de un análisis de riesgos penales: ¿en qué áreas de esta organización puede materializarse un delito tipificado en el catálogo del art. 31 bis (estafa, corrupción en los negocios, blanqueo, delitos contra la Hacienda Pública, delitos contra los trabajadores, delitos contra el medio ambiente, entre otros)? A partir de ese mapa, diseña una arquitectura preventiva: políticas, procedimientos, segregaciones de funciones, autorizaciones escalonadas, formación obligatoria, un canal de denuncias (hoy reforzado por la Ley 2/2023 de protección al informante), y un órgano con poderes autónomos de iniciativa y control —el famoso compliance body— encargado de supervisar el funcionamiento del modelo.
El estándar ISO 37301 sobre sistemas de gestión de compliance ofrece un marco internacional muy útil para esa arquitectura, pero no sustituye al art. 31 bis: la norma española exige eficacia material, no certificación. Y aquí aparece el problema. Diseñar el modelo es competencia del compliance officer. Verificar que el modelo opera realmente en el día a día, en cambio, es una tarea técnica que la profesión auditora lleva décadas haciendo bajo otro nombre: evaluación de controles internos.
Lo que verifica el auditor#
La NIA-ES 315 obliga al auditor a identificar y valorar los riesgos de incorrección material mediante el conocimiento de la entidad y de su control interno. Eso incluye el entorno de control, el proceso de valoración del riesgo por parte de la entidad, las actividades de control relevantes para la auditoría, la información y comunicación, y el seguimiento de los controles. Cuando el auditor decide confiar en controles internos para reducir las pruebas sustantivas, la NIA-ES 330 le obliga a diseñar y ejecutar pruebas de controles que verifiquen su eficacia operativa durante el periodo auditado.
Ese examen se solapa, en gran parte, con la verificación periódica del modelo que exige el art. 31 bis. Cuando el auditor prueba que una factura por encima de cierto umbral exige doble firma, cuando comprueba que los proveedores nuevos pasan por un proceso de aprobación, cuando documenta la segregación entre quien autoriza un pago y quien lo ejecuta, está mirando los mismos controles que el compliance officer ha diseñado para prevenir corrupción, blanqueo o delitos contra la Hacienda Pública. Y la NIA-ES 240 sobre responsabilidades del auditor relacionadas con el fraude, junto con la NIA-ES 250 sobre consideración de las disposiciones legales y reglamentarias, obligan además al auditor a mantener escepticismo profesional ante indicios de incumplimiento normativo significativo.
Señales de un compliance de papel#
Cuando un modelo de prevención existe en formato PDF pero no opera, hay rastros que un auditor entrenado debe saber leer. Cinco son especialmente reveladores.
Uno. El plan de formación obligatoria no tiene evidencia de ejecución: no hay registros de asistencia, no hay cuestionarios firmados, no hay constancia de que la plantilla operativa —la que efectivamente puede cometer los delitos típicos— haya recibido la formación. Un modelo que no forma no previene.
Dos. El canal de denuncias no registra actividad durante años en una organización de varios cientos de empleados. La estadística internacional sugiere que un canal activo genera entre 0,5 y 1,5 denuncias o consultas por cada cien empleados al año. El silencio absoluto rara vez significa ausencia de problemas; suele significar ausencia de confianza en el canal.
Tres. No existe documentación del monitoreo periódico del modelo. El art. 31 bis exige verificación periódica; si el órgano de compliance no produce informes, no hay acta de seguimiento, no hay revisión documentada de los riesgos tras un cambio de negocio, el requisito de eficacia se debilita.
Cuatro. La segregación de funciones se predica en la política pero no se aplica en el ERP. El mismo usuario crea el proveedor, aprueba la factura y ordena el pago. El control existe en papel; el sistema lo permite en la práctica.
Cinco. Los contratos urgentes, las excepciones, las adjudicaciones por procedimiento de emergencia no dejan traza documental de aprobación específica. Cuando lo excepcional se vuelve rutinario sin control reforzado, el modelo deja de operar.
Tres patrones recurrentes (sin nombres propios)#
La crónica reciente española ofrece patrones que conviene reconocer sin entrar en juicios personales. En el sector construcción, durante años se han instruido procedimientos por sobrecostes y adjudicaciones donde el control interno preventivo de la empresa adjudicataria existía formalmente pero no detectaba pagos a terceros sin contraprestación verificable. En el sector hostelero y de suministros sanitarios, especialmente en torno a la contratación de emergencia durante la pandemia —el patrón conocido en la opinión pública por el caso Koldo, que ya analizamos desde la óptica del control interno y la auditoría—, el problema no fue solo la urgencia sino la ausencia de controles compensatorios cuando los controles ordinarios se suspendieron. En el sector financiero, las sanciones del Banco de España y del SEPBLAC por deficiencias en prevención del blanqueo han mostrado modelos de compliance correctamente documentados que, en la operativa diaria, no detectaban patrones de riesgo elementales.
Los tres patrones comparten algo: un auditor que hubiera testado los controles relevantes con la profundidad que exige la NIA-ES 330 habría detectado señales de alarma antes de la fase penal. Y un compliance officer que hubiera dialogado con el auditor habría sabido dónde reforzar.
Por qué auditores y compliance officers no se hablan#
Las causas son estructurales, no personales. Pertenecen a colegios y asociaciones profesionales distintos —el ICJCE, el REA, la Asociación Española de Compliance, la World Compliance Association— con cuerpos doctrinales paralelos que rara vez se cruzan en formación continua. Reportan a interlocutores distintos: el auditor al comité de auditoría o al consejo, el compliance officer al consejo o al CEO. Tienen estructuras de honorarios diferentes y, sobre todo, mercados distintos: el auditor llega por mandato legal o estatutario, el compliance officer por decisión voluntaria del consejo. Y existe un recelo soterrado: el compliance officer teme que el auditor invada su terreno; el auditor teme asumir responsabilidad por un modelo cuyo diseño no controla.
Ese recelo es comprensible pero anacrónico. La realidad regulatoria europea —la Directiva CSRD sobre información de sostenibilidad, la Directiva 2019/1937 sobre informantes, el futuro reglamento europeo sobre IA— está empujando a ambas profesiones hacia el mismo terreno: la verificación independiente de sistemas internos de gestión.
Cómo debería cambiar la relación#
Cuatro cambios concretos están al alcance de las firmas medianas españolas sin esperar a reformas normativas.
Primero, una reunión anual estructurada entre el responsable de auditoría externa y el compliance officer antes de la planificación, donde se comparta el mapa de riesgos penales y el alcance previsto de pruebas de controles. No para que el auditor certifique el modelo de compliance —no es su función— sino para que ambos eviten duplicidades y ceguera mutua.
Segundo, formación cruzada: que el auditor entienda el catálogo de delitos del art. 31 bis y el compliance officer entienda la lógica de muestreo y evidencia de auditoría. Hay material de la AEPD, del ICAC y de los colegios de auditores que lo permite sin coste significativo.
Tercero, un lenguaje común de control: clasificar cada control interno relevante para los estados financieros indicando si es también un control penal-preventivo. Una sola matriz, dos lecturas.
Cuarto, en grupos con varios países, alinear el modelo español con marcos como ISO 37301 o las Federal Sentencing Guidelines estadounidenses, pero documentando explícitamente cómo cada elemento cumple el art. 31 bis. La interoperabilidad documental ahorra horas a ambas profesiones.
Preguntas habituales
- FAQ.1
¿El auditor de cuentas puede certificar el modelo de compliance penal?
No, y no debe pretenderlo. El auditor verifica los controles internos relevantes para los estados financieros conforme a las NIA-ES; la certificación del modelo de compliance, cuando se hace, corresponde a verificadores acreditados bajo ISO 37301 o a informes específicos contratados al margen de la auditoría legal.
- FAQ.2
¿Qué dice exactamente el art. 31 bis sobre la verificación del modelo?
El precepto exige que el modelo incluya una verificación periódica y su eventual modificación cuando se pongan de manifiesto infracciones relevantes, o cuando se produzcan cambios en la organización, la estructura de control o la actividad. No fija periodicidad concreta, pero la jurisprudencia y la doctrina exigen evidencia documental de esa verificación.
- FAQ.3
¿Una pyme sin obligación de auditarse necesita modelo de compliance penal?
Sí, si quiere acceder a la atenuación o exención de responsabilidad penal del art. 31 bis. La obligación de auditarse y la conveniencia de tener un modelo de prevención penal son independientes; muchas pymes no auditadas tienen modelo, y muchas empresas auditadas no lo tienen suficientemente desarrollado.
- FAQ.4
¿Las pruebas de controles del auditor pueden valer como verificación periódica del modelo?
Parcialmente. Cubren los controles que el auditor selecciona, no todo el perímetro del modelo. Pueden integrarse como evidencia complementaria, pero no sustituyen a la verificación interna del órgano de compliance.
- FAQ.5
¿Cómo se relaciona la NIA-ES 250 con el compliance penal?
La NIA-ES 250 obliga al auditor a considerar el cumplimiento de las disposiciones legales y reglamentarias cuyo incumplimiento pueda tener un efecto material en los estados financieros. Los delitos del catálogo del art. 31 bis suelen entrar en esa categoría, por lo que el auditor debe mantener escepticismo y, ante indicios, ampliar procedimientos.