Auditorías de compliance

Por qué la auditoría de compliance es esencial para toda empresa

La auditoría de compliance es un control estructurado de la conformidad de la actividad interna de la sociedad con los requisitos normativos externos y con la normativa interna. Precisamente este control permite detectar los puntos débiles del sistema antes de que los descubra el Estado e imponga una multa.

En 2024, la Inspección Estatal de Trabajo (Státní úřad inspekce práce, SÚIP) impuso multas por un importe total superior a 253 millones CZK (aprox. 10,4 millones de EUR) solo en el primer semestre. La Oficina para la Protección de Datos Personales (ÚOOÚ) ha impuesto desde 2018 multas por infracciones del RGPD que superan los 368 millones CZK (aprox. 15,1 millones de EUR), incluida la sanción récord de 351 millones CZK (aprox. 14,4 millones de EUR) por el tratamiento ilícito de datos personales. Por el incumplimiento de las obligaciones AML, las entidades financieras se exponen a multas de hasta 130 millones CZK (aprox. 5,3 millones de EUR).

Los abogados de ARROWS realizan auditorías de compliance para decenas de clientes cada año y saben bien que la prevención es mucho más barata que afrontar las consecuencias de una inspección. ¿Necesita asistencia jurídica? Contáctenos en consultas@arws.cz.

Cuáles son las fases de una auditoría de compliance

Las etapas de la auditoría de compliance estructuran el proceso para garantizar que la sociedad cumple los requisitos y estándares clave. En cada fase se crean las condiciones para una verificación eficaz y se identifican las áreas de riesgo.

1. Preparación y planificación

En esta fase es necesario sistematizar la documentación interna: políticas AML y KYC, procedimientos anticorrupción, instrucciones de protección de datos y normas internas. Designe a las personas responsables: el compliance manager, el departamento jurídico y los especialistas de TI. Realice una autoevaluación preliminar de la madurez del sistema de compliance.

2. Identificación y análisis de riesgos

El objetivo de la identificación y el análisis de los riesgos de compliance es elaborar una especie de perfil de la sociedad mercantil desde el punto de vista de los riesgos derivados de su actividad. El análisis de riesgos es la base para crear un sistema interconectado de normas internas, procesos y mecanismos de control.

El compliance manager analiza periódicamente los riesgos dentro de su ámbito material de competencia y evalúa si es necesario ajustar las medidas adoptadas.

3. Control y análisis de la documentación

En esta fase se lleva a cabo la verificación: se analizan documentos, se entrevista a los empleados, se realiza un diagnóstico técnico de los sistemas de TI y se prueban los procedimientos de monitorización. Se presta especial atención a comprobar el cumplimiento de la normativa interna y la conformidad con la ética corporativa.

4. Evaluación y medidas correctoras

El resultado de la auditoría es un informe que describe los hechos constatados, los riesgos identificados y recomendaciones sobre cómo gestionarlos. A continuación se implementan las medidas correctoras y se actualiza la normativa interna.

La responsabilidad última recae siempre en el órgano de administración: el administrador (jednatel) o el consejo de administración. En la práctica, su ejecución suele encomendarse a una persona concreta (Compliance Officer) o a un departamento. Le ayudaremos a definir correctamente funciones y responsabilidades: contáctenos en consultas@arws.cz.

3. Por qué no basta un compliance meramente formal

Según una resolución del Tribunal Superior de Praga (Vrchní soud v Praze) en un caso no identificado, la mera existencia formal de un programa de compliance no es suficiente y no permite concluir, sin más, que la persona jurídica haya realizado «todo el esfuerzo que cabía exigirle razonablemente».

Para poder llegar a una conclusión fiable sobre la exoneración de la responsabilidad penal, es necesario examinar en detalle la actividad de la empresa y conocer su funcionamiento, su dirección, su control interno y su capacidad para reaccionar adecuadamente ante los problemas detectados.

Entre los indicadores de sistemas de compliance disfuncionales figuran, por ejemplo, la insuficiencia de personal, las competencias insuficientes del compliance manager, la implantación ciega del sistema de la sociedad matriz extranjera sin adaptarlo a las condiciones checas o la falta de consecuencias ante conductas ilícitas.

Un programa de compliance funcional debe incluir:

• Normas internas interconectadas que regulen la estructura organizativa y las competencias
• El control de la conformidad de la normativa interna con la legislación y su actualización periódica
• Sistemas de control interno del cumplimiento normativo y registros de los controles realizados
• Registros de las infracciones detectadas, sus consecuencias y las medidas adoptadas
• La posibilidad de denunciar internamente las infracciones de forma confidencial
• La formación de las personas y la verificación de sus conocimientos

Los abogados de ARROWS están especializados en crear programas de compliance realmente funcionales, capaces de superar el examen de las autoridades de control y de los tribunales. Para resolver su situación de inmediato, escríbanos a consultas@arws.cz.

Responsabilidad penal de las personas jurídicas y exoneración

La Ley checa sobre la responsabilidad penal de las personas jurídicas (Ley n.º 418/2011 Sb., en adelante «ZTOPO») ofrece a las empresas la posibilidad de quedar exentas de responsabilidad si demuestran que realizaron todos los esfuerzos para prevenir la conducta ilícita mediante un programa de compliance eficaz.

En términos prácticos, la empresa responde por el delito de un empleado bien cuando la dirección se lo ordenó o lo aprobó, bien cuando la dirección no estableció los controles, la formación y las normas (compliance) que habrían evitado dicha conducta ilícita.

En qué centrarse en una auditoría AML

Desde 2021, la Ley checa de prevención del blanqueo de capitales (Ley n.º 253/2008 Sb., en adelante «Ley AML») ha elevado el límite máximo de las multas para algunas infracciones, de modo que por un incumplimiento grave los sujetos obligados se exponen a multas de hasta 10 millones CZK (aprox. 0,4 millones de EUR) y, en los supuestos agravados, de hasta 30 millones CZK (aprox. 1,2 millones de EUR).

Lista de control de compliance AML

La Unidad de Análisis Financiero (Finanční analytický úřad, FAÚ) realiza cada año entre 15 y 30 inspecciones directamente en las empresas. Si detecta irregularidades, incoa un procedimiento sancionador. La multa es solo uno de los tipos de sanción administrativa: la FAÚ puede imponer medidas correctoras o, en caso de infracción reiterada, la prohibición de la actividad.

Obligaciones AML clave:

• Designación y registro de la persona de contacto para AML
• Auditoría completa de los procedimientos y subsanación de las deficiencias
• Inversión en la automatización de la monitorización
• Creación de una cultura de compliance mediante formación periódica

Las infracciones se inscriben en registros públicos, lo que provoca daños reputacionales y la ruptura de relaciones con bancos e inversores. En la práctica se han dado casos en que el registro tardío de la persona de contacto para AML provocó el bloqueo de todos los pagos salientes hasta la subsanación de la infracción.

El despacho de abogados ARROWS garantiza un compliance AML completo, incluida la elaboración de las políticas internas, la formación de los empleados y la representación ante la FAÚ. No dude en dirigirse a nuestro despacho: consultas@arws.cz.

Whistleblowing: una obligación que no se puede ignorar

La Ley checa de protección de los denunciantes obliga a establecer un sistema interno de denuncias a todos los empleadores con más de 50 empleados, a todos los poderes adjudicadores con más de 25 empleados y a los municipios de más de 10 000 habitantes.

El sistema debe permitir presentar denuncias y garantizar la confidencialidad de la identidad del denunciante. Implantar el sistema de denuncias no es una mera formalidad: se trata de crear un mecanismo para detectar a tiempo los problemas dentro de la organización.

Recomendaciones prácticas:

• Elabore una directiva sobre el sistema interno de denuncias
• Actualice el registro de actividades de tratamiento
• Realice una evaluación de impacto relativa a la protección de datos (EIPD/DPIA)
• Forme a los empleados responsables de recibir y tramitar las denuncias

Los abogados de ARROWS prepararán toda la documentación del sistema de whistleblowing y garantizarán su correcta implantación. Nuestros abogados están preparados para ayudarle: escriba a consultas@arws.cz.

Sí, si tiene más de 50 empleados o pertenece a sectores regulados (servicios financieros, sujetos obligados en materia de AML). La Ley de protección de los denunciantes establece requisitos estrictos para el funcionamiento del sistema. ¿Necesita ayuda con la implantación? Contacte con consultas@arws.cz.

Multas de hasta 130 millones CZK para las entidades financieras, bloqueo de cuentas, prohibición de la actividad e inscripción en registros públicos de infractores. La prevención es mucho más barata que afrontar las consecuencias: escríbanos a consultas@arws.cz.

La nueva Ley checa de ciberseguridad, que transpone la Directiva NIS2, afectará a entre 6 000 y 10 000 entidades en la República Checa. La ley distingue entre un régimen de obligaciones superiores y otro de obligaciones inferiores en función de la importancia del servicio que presta cada entidad.

En caso de infracción, los miembros de los órganos de administración se exponen a responsabilidad personal por los daños causados, a responder ante los acreedores por las deudas de la sociedad, a la exclusión del cargo y a la prohibición de ejercerlo durante al menos seis meses. Las sanciones pueden alcanzar los 20 millones CZK para las personas físicas. Las empresas se exponen a multas de hasta 250 millones CZK o del dos por ciento del volumen de negocios anual.

Las empresas deben someterse a un proceso de autoidentificación, registrarse ante la NÚKIB e implantar medidas de seguridad que incluyan la gestión de activos y riesgos, la definición de funciones de seguridad, la adopción de una política de seguridad, la formación de empleados y directivos y la notificación periódica de incidentes.

El despacho de abogados ARROWS ayuda a sus clientes a implantar los requisitos de NIS2 gracias a la experiencia de la red internacional ARROWS International. Para más información, escríbanos a consultas@arws.cz.

Directivas internas: la base de un sistema de compliance funcional

La mayoría de las empresas saben que necesitan directivas internas, pero a menudo descuidan su exigibilidad jurídica. Aunque muchas empresas disponen de documentos de compliance, podrían tener problemas con su validez jurídica si tuvieran que hacerlos valer ante un tribunal.

Para que las directivas sean jurídicamente exigibles, deben cumplir varios requisitos clave:

• Las directivas deben ser inequívocamente vinculantes para todos los empleados
• Deben ser emitidas por el órgano de administración de la sociedad
• Deberían incorporarse a los contratos de trabajo u otros documentos pertinentes
• Deben actualizarse conforme a los cambios legislativos
• Los empleados deben firmar que han tomado conocimiento de la directiva

Si las directivas internas no son jurídicamente válidas, en caso de infracción de las normas de compliance la organización no podrá acreditar la existencia de una instrucción válida, lo que puede comprometer su defensa frente a las sanciones.

Diligencia de un ordenado empresario y responsabilidad del órgano de administración

El miembro del órgano de administración está obligado a ejercer su cargo con la diligencia de un ordenado empresario, es decir, con la lealtad necesaria y con los conocimientos y el cuidado adecuados. La Ley checa de sociedades mercantiles (Ley n.º 90/2012 Sb., en adelante «ZOK») completa el deber de diligencia con la regla del juicio empresarial (business judgment rule): las decisiones empresariales deben basarse en información suficiente.

La responsabilidad de establecer correctamente el sistema de gestión de compliance recae en la alta dirección (el órgano de administración), que no puede eludirla mediante la delegación.

En el contexto del compliance, esto significa que el órgano de administración debe:

• Garantizar que la empresa disponga de un programa de compliance funcional
• Evaluar periódicamente su eficacia
• Reaccionar ante las deficiencias detectadas
• Asegurar recursos suficientes para las actividades de compliance

El incumplimiento de estas obligaciones puede dar lugar a responsabilidad personal por los daños causados a la sociedad o a terceros. Nuestra cartera incluye más de 150 sociedades anónimas, 250 s.r.o. (sociedades de responsabilidad limitada checas) y 50 municipios y regiones; apostamos por la rapidez y la alta calidad de los servicios jurídicos. Póngase en contacto con nosotros en consultas@arws.cz.

Pasos prácticos para realizar una auditoría de compliance

La auditoría de compliance no es una formalidad puntual, sino un proceso integral imprescindible para cualquier negocio. Este es el procedimiento práctico:

Paso 1: Defina el alcance de la auditoría - Determine qué áreas de compliance va a verificar: societaria, AML, RGPD, laboral, fiscal o todas a la vez.

Paso 2: Forme el equipo auditor - La auditoría debería realizarla un equipo independiente, idealmente abogados externos que aporten una visión objetiva y experiencia de otras sociedades.

Paso 3: Reúna la documentación - Prepare todos los documentos relevantes: contratos, normativa interna, actas de las reuniones de los órganos, documentación laboral y registros.

Paso 4: Realice el análisis - Compare la situación real con los requisitos legales e identifique las carencias.

Paso 5: Elabore un informe con recomendaciones - El informe debe recoger las deficiencias detectadas, su gravedad y recomendaciones concretas para subsanarlas.

Paso 6: Implemente las medidas correctoras - Designe responsables y plazos para subsanar las deficiencias detectadas.

En la práctica, esta materia es más compleja de lo que parece a primera vista. Cada paso tiene excepciones ocultas, detalles procesales y conexiones con otras normas que un profano a menudo no ve. Nuestro despacho se ocupa de estos asuntos a diario, por lo que puede ahorrar al cliente mucho tiempo y minimizar el riesgo de errores. ARROWS cuenta con un seguro de responsabilidad de hasta 500 000 000 CZK (aprox. 20,6 millones de EUR), por lo que para el cliente es más seguro confiar el asunto a profesionales.

El precio depende del alcance y de la complejidad del negocio. No obstante, la inversión en la auditoría es una fracción de las posibles multas y daños. Para una oferta concreta, contáctenos en consultas@arws.cz.

En 2024, la Inspección Estatal de Trabajo realizó más de 10 000 inspecciones e impuso multas por un total de casi 254 millones CZK solo en el primer semestre. Las infracciones más frecuentes son el impago de salarios, la falta de registro de la jornada laboral y el incumplimiento de los requisitos de seguridad y salud en el trabajo.

La Administración Tributaria puede realizar inspecciones dentro del plazo de caducidad de tres años para liquidar el impuesto. La inspección se inicia con la notificación de un aviso en el que la administración tributaria indica qué impuesto y qué período comprueba. En caso de irregularidades, se liquida al sujeto el impuesto con carácter retroactivo junto con las sanciones correspondientes: un recargo del 20 % sobre el importe liquidado adicionalmente e intereses de demora.

Qué puede dar lugar al inicio de una inspección:

• Pérdidas prolongadas (sospecha de ocultación de ingresos)
• Deducciones elevadas o solicitudes de devolución del IVA
• Discrepancias en la declaración de control del IVA
• Denuncias de empleados o de la competencia
• Inspecciones aleatorias en sectores de riesgo

Habitualmente colaboramos con los abogados de empresa en asuntos especiales, incluida la representación en inspecciones y procedimientos administrativos. Para resolver su situación de inmediato, escríbanos a consultas@arws.cz.

Resumen de los principales riesgos y cómo prevenirlos

La dimensión internacional del compliance

Para las sociedades con actividad internacional, el compliance es aún más complejo. Es necesario tener en cuenta no solo la normativa checa, sino también la regulación europea (RGPD, NIS2, directivas AML) y, en su caso, la legislación de otros países en los que opera la empresa.

En las sociedades internacionales se vuelve obligatoria la auditoría de los requisitos AML y la verificación de los socios comerciales desde el punto de vista de los riesgos de sanciones. El cribado de las listas de sanciones debería realizarse mensualmente.

El despacho de abogados ARROWS presta servicios jurídicos fuera de la República Checa gracias a la red ARROWS International, construida a lo largo de diez años, y resuelve prácticamente a diario casos con elemento internacional.

Por qué confiar la auditoría de compliance a expertos

Realizar una auditoría legal es un trabajo muy minucioso que exige un conocimiento detallado de muchas áreas del Derecho. La duración de todo el proceso depende del tamaño de la sociedad. El resultado es un informe de due diligence que resume la situación general de la sociedad o se centra solo en los problemas detectados durante la auditoría.

«Ayer ya era tarde»: todo propietario o administrador debería evaluar cuanto antes si su empresa dispone de una protección interna suficiente frente a conductas ilícitas. Si no es así, conviene implantar un programa de compliance o, en su caso, revisar la normativa interna existente.

Las consecuencias y los riesgos de una imputación o condena de la empresa son graves y pueden poner en peligro su existencia. Durante el procedimiento, el tribunal puede imponer medidas cautelares, como la prohibición de disponer de determinados bienes o el embargo de fondos, lo que puede amenazar de inmediato el flujo de caja y el funcionamiento de la empresa.

Depende del tamaño de la sociedad y del alcance de la auditoría. En las empresas medianas, una auditoría integral suele durar de 4 a 8 semanas; en las grandes corporaciones puede llevar meses. Las auditorías parciales centradas en un área concreta (p. ej., RGPD o AML) pueden realizarse más rápido. Para estimar el tiempo necesario en su caso, contáctenos en consultas@arws.cz.

Adopte sin demora medidas correctoras. Si existe riesgo de sanción por la situación anterior, considere una comunicación voluntaria al regulador: en algunos casos puede conducir a una reducción de la multa. En ningún caso oculte las deficiencias ni intente enmascararlas a posteriori. ¿Necesita asesoramiento sobre cómo proceder? Escriba a consultas@arws.cz.

Sí. La implantación de un nuevo programa de compliance eficaz (a más tardar antes de que se dicte la resolución de primera instancia) puede ser tenida en cuenta por la ÚOHS al fijar la multa como circunstancia atenuante, reduciendo el importe básico de la multa hasta en un 5 %. Otros reguladores adoptan un enfoque similar. Para más información, contáctenos en consultas@arws.cz.

La auditoría interna la realizan empleados de la empresa (departamento de compliance, auditor interno); la externa la lleva a cabo un tercero independiente (despacho de abogados, firma de auditoría). La auditoría externa tiene mayor valor probatorio y aporta una visión objetiva; la interna es adecuada para la monitorización continua. Lo óptimo es combinar ambos enfoques. Si está definiendo sus procesos de auditoría, escríbanos a consultas@arws.cz.

Conclusión: más vale prevenir que curar

La auditoría de compliance no es burocracia innecesaria, sino una herramienta eficaz para proteger su negocio. En un entorno en el que las multas alcanzan cientos de millones de coronas checas y la responsabilidad personal de los órganos de administración es cada vez más estricta, ninguna empresa puede permitirse confiar en que «ya se arreglará de algún modo».

Si no quiere arriesgarse a errores, daños o multas, puede confiar todo el asunto con seguridad al despacho de abogados ARROWS. Contamos con la experiencia de más de 150 sociedades anónimas y 250 s.r.o. en nuestra cartera. Disponemos de un seguro de responsabilidad de hasta 500 000 000 CZK y apostamos por la rapidez y la alta calidad de nuestros servicios.

Ofrecemos:

• Auditorías de compliance integrales a medida
• Elaboración y revisión de directivas internas y documentación de compliance
• Formación de directivos y empleados, con certificado
• Representación en inspecciones y procedimientos administrativos
• Monitorización de compliance a largo plazo
• Obtención de licencias y autorizaciones, incluidas sus modificaciones

No dude en dirigirse a nuestro despacho y obtenga la seguridad de que su empresa cumple la normativa vigente.

¿No quiere resolver este problema por su cuenta? Más de 2000 clientes confían en el despacho de abogados ARROWS y hemos sido galardonados como Bufete del Año 2024. Consulte AQUÍ nuestras referencias; será un honor ayudarle a resolver su problema. La solicitud de presupuesto es gratuita.