Revisamos tu operativa real —expedientes de clientes, grabaciones, contratos y reportes— contra lo que exige MiFID II. Te entregamos hallazgos priorizados, las evidencias que faltan y un plan de remediación con responsable y fecha.
¿Quieres una auditoría MiFID II independiente?
Dinos qué tipo de entidad eres y qué servicios prestas y te proponemos alcance, muestra y calendario sin compromiso.
Seis frentes donde se concentran los hallazgos. Los revisamos sobre tus expedientes reales, no sobre el índice de tus manuales.
Recorremos el ciclo entero del cliente: clasificación, evaluación previa, información precontractual, costes, incentivos, ejecución y seguimiento posterior. Contrastamos cada política escrita contra lo que de verdad aparece en el expediente.
Pedimos la misma documentación, en el mismo formato y con la misma urgencia con que la pediría el supervisor. Si tu equipo no la localiza, el problema no está en la política: está en la trazabilidad.
Muestra de clientes reales: test vigente, coherencia con lo recomendado, preferencias de sostenibilidad e informe entregado.
Comprobamos que la información previa y el informe anual existen, cuadran entre sí y muestran el efecto acumulado sobre la rentabilidad.
Mapa de flujos con terceros, encaje con el servicio que prestas y prueba del aumento de calidad que los justifica.
Perímetro de canales cubiertos, mensajería no corporativa, recuperación por cliente y fecha y plazos de conservación aplicados.
Cuatro situaciones que se repiten. En ninguna hay un expediente sancionador abierto: en todas hay alguien que prefiere enterarse antes.
"Nos autorizaron hace años y desde entonces hemos duplicado clientes y ampliado la gama. Los manuales siguen siendo los del expediente inicial y nadie ha comprobado si alguien los aplica."
"Acabo de asumir la función de cumplimiento normativo. Antes de firmar mi primer informe al consejo quiero saber exactamente qué estoy heredando, y quiero que me lo diga alguien de fuera."
"Comercializamos nuestros productos a clientes minoristas y el mercado objetivo se definió hace tiempo. Necesito saber si el gobierno de producto aguanta una revisión externa."
"El grupo exige una revisión local independiente de la normativa española. Queremos un informe con hallazgos, criticidad y plan de acción que la casa matriz pueda leer y seguir."
Cuando revisamos entidades ya autorizadas aparecen casi siempre los mismos tres. Ninguno se ve leyendo el manual: se ven abriendo un expediente al azar.
La política existe y nadie la aplica: manuales impecables heredados del expediente de autorización que ningún gestor ha leído. En un requerimiento no se examina el índice del manual, se examina el expediente del cliente.
Idoneidad envejecida: tests firmados hace años, carteras que ya no encajan con el perfil declarado y preferencias de sostenibilidad que nunca se preguntaron. Es el hallazgo más caro de reparar hacia atrás.
Evidencia dispersa: la información está, pero repartida entre el CRM, el correo de un gestor y una carpeta compartida. Si no puedes reconstruir un caso concreto en horas, a efectos prácticos no la tienes.
| Área revisada | Hallazgo habitual | Evidencia que lo cierra |
|---|---|---|
| Idoneidad | Test caducado o incoherente con la cartera recomendada | Test vigente, informe de idoneidad entregado al cliente y trazabilidad de cada recomendación. |
| Incentivos | Cobros de terceros sin justificar el aumento de calidad del servicio | Mapa de flujos, catálogo de mejoras acreditadas e información al cliente previa y periódica. |
| Grabación | Órdenes e instrucciones que entran por canales no cubiertos | Perímetro de canales aprobado, prueba de recuperación por cliente y conservación 5 años, ampliable hasta 7 a requerimiento. |
Revisamos tu cumplimiento MiFID II con la misma lógica con la que lo revisaría el supervisor: muestra de expedientes reales, entrevistas al equipo y prueba de trazabilidad. Sales con un informe de hallazgos priorizados y un plan de remediación que puedes ejecutar y enseñar.
Es una revisión independiente de cómo aplicas en el día a día las normas de conducta de MiFID II: clasificación de clientes, idoneidad y conveniencia, información de costes, incentivos, registro de comunicaciones, gobierno de producto y mejor ejecución.
No es un curso ni un informe sobre qué dice la directiva. Es un trabajo de campo: cogemos una muestra de tus expedientes, entrevistamos a quien atiende al cliente y comprobamos si lo que dice tu manual se puede acreditar con documentos. El resultado es una lista de hallazgos con criticidad y un plan para cerrarlos.
Son dos momentos distintos. En cumplimiento MiFID II construimos el sistema: políticas, plantillas, contratos y procedimientos. En la auditoría comprobamos si ese sistema —el nuestro o el que ya tenías— funciona sobre clientes reales.
Si nunca has montado el marco, empieza por el servicio de cumplimiento. Si lo tienes desde hace tiempo y no sabes en qué estado está, empieza por la auditoría: el diagnóstico te dirá dónde merece la pena invertir. Si quieres el contexto normativo completo, lo tienes en MiFID II.
Al arrancar te enviamos una lista de solicitud cerrada. En términos generales pedimos: políticas y manuales vigentes con su fecha de aprobación, contratos tipo de cliente, plantillas de test de idoneidad y conveniencia, modelos de información de costes ex ante y ex post, catálogo de productos y su mercado objetivo, acuerdos con terceros que generen cobros o pagos, política de mejor ejecución, mapa de canales grabados y el registro de formación del personal.
Después seleccionamos la muestra de expedientes concretos. Ahí es donde aparece la mayoría de los hallazgos.
Poco. El grueso es revisión documental, que hacemos con la información que nos facilitas. Necesitamos, eso sí, entrevistas cortas con las personas clave: quien atiende al cliente, quien elabora la información de costes, quien administra los sistemas y quien ejerce la función de cumplimiento normativo.
Esas conversaciones son imprescindibles porque el hallazgo típico no es "falta un documento", sino "el documento existe pero el gestor hace otra cosa". La duración total depende del tamaño de la entidad, del número de servicios y del volumen de expedientes que entren en la muestra.
Tres piezas. Primera: el informe de auditoría, con cada hallazgo descrito, el criterio normativo con el que se contrasta, la evidencia examinada, el riesgo asociado y la recomendación concreta. Segunda: el plan de remediación, con acción, responsable interno y fecha de cierre para cada punto. Tercera: la carpeta de evidencias, ordenada por materia, para que puedas responder a un requerimiento sin reconstruir nada.
Añadimos, si lo quieres, una sesión de presentación al órgano de administración: la aprobación del plan debe quedar documentada.
Se priorizan y se cierran. Los hallazgos de criticidad alta —los que afectan a la protección del cliente o dejan a la entidad sin prueba— se atacan primero, normalmente con medidas rápidas: actualizar plantillas, reabrir tests caducados, cerrar canales de comunicación no cubiertos.
Los estructurales necesitan proyecto: rediseñar el flujo de costes, revisar el gobierno de producto o reorganizar el archivo. Podemos ejecutar la remediación contigo o limitarnos a supervisar el avance y verificar el cierre. Lo importante es que el plan tenga fechas y que alguien responda de cada una.
Sirve, pero cambia el orden de trabajo. Con un requerimiento sobre la mesa lo primero es preparar una respuesta completa, coherente y en plazo; la revisión general viene detrás, para evitar que la siguiente pregunta te encuentre igual.
Lo que no funciona es improvisar: las respuestas contradictorias entre departamentos y las evidencias que aparecen a medias son lo que convierte una actuación de supervisión en algo más serio. Cómo se desarrolla una actuación y cómo se responde lo explicamos en supervisión e inspección de la CNMV.
Lo que la normativa exige es que tengas una función de cumplimiento normativo que revise y evalúe de forma periódica la adecuación y la eficacia de tus políticas y procedimientos, y que informe de sus conclusiones al órgano de administración. Cómo se instrumenta esa revisión es decisión tuya.
Una revisión externa aporta dos cosas que la interna no siempre puede: independencia real y experiencia comparada con otras entidades. Y deja un documento fechado que acredita que la entidad se autoevalúa, algo que suma cuando llega una actuación de supervisión. En las EAF, además, encaja con el resto de obligaciones posteriores a la autorización.
Auditar no es releer manuales: es comprobar si tu operativa deja rastro. Este es el recorrido que seguimos, del alcance al cierre de hallazgos.
Delimitamos qué servicios prestas de verdad y a qué clientes, acordamos las áreas que entran en la revisión y seleccionamos la muestra de expedientes: por producto, por gestor y por casos límite. Sin un alcance escrito, la auditoría se diluye.
Revisión documental, entrevistas con las personas que atienden al cliente y pruebas de trazabilidad: te pedimos un expediente concreto y medimos cuánto tardas en reunirlo completo. Todo queda soportado en papeles de trabajo.
Hallazgos priorizados por criticidad, plan de acción con responsable y fecha, presentación al órgano de administración y, si lo contratas, verificación del cierre pasado un tiempo. La auditoría termina cuando los hallazgos están cerrados, no cuando se entrega el PDF.
Si lo que necesitas es construir el marco desde cero, empieza por nuestro servicio de cumplimiento MiFID II. Si ya estás autorizado, revisa también el calendario de obligaciones continuas.
Los 10 controles de conducta que la CNMV espera ver funcionando en una EAF o ESI, con la evidencia típica de cada uno. Ideal como autodiagnóstico trimestral con tu equipo.
Sin spam. Tu email solo se usa para enviarte este checklist y, ocasionalmente, novedades regulatorias relevantes.
El checklist se está descargando ahora mismo. Si no se inicia automáticamente, haz clic aquí.
¿Después de leerlo necesitas ayuda implantando alguno de los pasos? Escríbenos directamente:
Términos que verás en la propuesta, en el informe y en la conversación con tu órgano de administración. Conviene que signifiquen lo mismo para todos.
Contraste entre lo que exigen las normas de conducta de MiFID II y lo que acredita tu documentación real de clientes y operaciones.
Documento inicial que fija áreas revisadas, periodo examinado, unidades implicadas y límites del trabajo. Se acuerda antes de empezar.
Selección de casos concretos por producto, gestor y tipo de cliente, incluyendo los supuestos límite donde el proceso suele romperse.
Diferencia acreditada entre la exigencia normativa y la práctica observada, con la evidencia examinada y el riesgo que genera.
Clasificación del hallazgo según su impacto sobre el cliente, su recurrencia y la capacidad de la entidad para probar lo contrario.
Traducción de cada hallazgo en una tarea concreta con dueño interno y plazo de cierre, aprobada por el órgano de administración.
Área que revisa y evalúa periódicamente la adecuación y eficacia de las políticas y procedimientos y reporta al órgano de administración.
Soporte interno de cada comprobación: qué se revisó, sobre qué documento, en qué fecha y con qué conclusión.
Archivo ordenado por materia con políticas vigentes, evidencias y registros, preparado para responder a un requerimiento sin improvisar.
Categoría asignada conforme al Anexo II de MiFID II, comunicada al cliente, con los cambios de categoría justificados y documentados.
Ficha de cliente con categoría y fecha, comunicación al cliente, solicitudes de reclasificación y análisis que las soporta.
Test de idoneidad vigente antes de cada recomendación (art. 25 MiFID II) y test de conveniencia en servicios no asesorados sobre productos complejos.
Cuestionarios cumplimentados y fechados, informe de idoneidad entregado, advertencias en resultado negativo y registro de la exención de solo ejecución.
Cobros de terceros solo donde el art. 24 MiFID II lo permite, con aumento de calidad acreditado, e información de costes ex ante y ex post anual.
Contratos con terceros, cuadro de flujos, catálogo de mejoras acreditadas y muestra de informes de costes entregados y cuadrados.
Grabación de las conversaciones y comunicaciones que puedan dar lugar a operaciones (art. 16(7) MiFID II), aunque la operación no se ejecute.
Inventario de canales, política de dispositivos, prueba de recuperación de una comunicación concreta y conservación 5 años, ampliable hasta 7 a requerimiento.
Mercado objetivo positivo y negativo definido y aplicado (arts. 16(3) y 24(2) MiFID II) y política de mejor ejecución del art. 27 revisada.
Ficha de gobierno de producto por instrumento, retorno de información al fabricante, política de ejecución y actas de su revisión.
Si reconoces dos o más, tu exposición no está en el manual: está en el expediente que alguien te va a pedir.
Casi ninguna revisión termina en su propio perímetro. Un hallazgo en incentivos abre el registro de conflictos; uno en idoneidad abre la formación del equipo; uno en trazabilidad abre el archivo. Estas son las páginas donde desarrollamos cada frente.
Mapa de conflictos, medidas organizativas y registro. Es el primer documento que se pide cuando aparecen cobros de terceros.
Reporting, auditoría, tasas y cumplimiento continuo: el calendario que la auditoría comprueba que estés cumpliendo.
El contexto normativo completo: directiva, reglamento delegado y normas de conducta que se contrastan en la revisión.
Si el hallazgo es que el gestor no supo aplicar la política, el problema es de acreditación de formación, no de redacción.
Si lo que tienes encima es una actuación del supervisor, empieza por supervisión e inspección de la CNMV y por el régimen de sanciones de la CNMV. Si quieres montar el sistema completo antes de auditarlo, ve a cumplimiento MiFID II.
Última actualización: 4 de agosto de 2026
Una auditoría MiFID II no explica la normativa: la contrasta contra tu operativa. El marco de referencia es la Directiva 2014/65/UE (MiFID II), el Reglamento (UE) 600/2014 (MiFIR) y el Reglamento Delegado (UE) 2017/565, aplicados en España a través de la Ley 6/2023 y el RD 813/2023. La revisión mide una sola cosa: si cada obligación de conducta deja un rastro documental que puedas enseñar a la CNMV sin reconstruir nada. Trabajamos sobre expedientes reales, entrevistamos a quien atiende al cliente y entregamos hallazgos priorizados con un plan de remediación ejecutable.
El perímetro es el ciclo completo del cliente. Arranca en la clasificación —minorista, profesional o contraparte elegible conforme al Anexo II de MiFID II—, porque de ella dependen las protecciones debidas y las advertencias exigibles. Sigue con la evaluación previa: test de idoneidad cuando hay asesoramiento o gestión de carteras (art. 25 MiFID II), con las preferencias de sostenibilidad que incorporaron las directrices de idoneidad de ESMA actualizadas en 2023, y test de conveniencia en servicios no asesorados sobre productos complejos, con su régimen de advertencias y la exención de solo ejecución. Continúa por la transparencia económica: información de costes y gastos ex ante y ex post anual, agregada, con desglose a petición y efecto acumulado sobre la rentabilidad (art. 24(4) MiFID II y art. 50 del Reglamento Delegado (UE) 2017/565), y por el régimen de incentivos del art. 24, prohibido en asesoramiento independiente y en gestión discrecional de carteras. Y cierra con la grabación de comunicaciones del art. 16(7), el gobierno de producto de los arts. 16(3) y 24(2) con su mercado objetivo positivo y negativo, la mejor ejecución del art. 27 y la gestión de conflictos de interés.
La metodología es deliberadamente incómoda, porque es la que replica la lógica del supervisor. Primero se fija el alcance por escrito: áreas, periodo examinado y unidades implicadas. Después se selecciona la muestra, y la selecciona el auditor, no el auditado: expedientes por producto, por gestor y por casos límite —clientes reclasificados, productos complejos, operaciones a iniciativa del cliente, contratos antiguos que nadie ha vuelto a mirar—. Sobre esa muestra se hacen dos cosas. Una, revisión documental: comprobar que el documento exista, esté firmado, esté vigente y sea coherente con el siguiente eslabón de la cadena. Dos, pruebas de trazabilidad: pedir un caso concreto y medir cuánto tarda la entidad en reunirlo completo, porque una evidencia que tarda semanas en aparecer no sirve para responder a un requerimiento. A esto se suman entrevistas cortas con quien atiende al cliente, con quien elabora la información de costes y con la función de cumplimiento. Todo queda soportado en papeles de trabajo que permiten reconstruir la revisión años después.
El informe no es una lista de reproches. Cada hallazgo se documenta con cuatro elementos: la exigencia normativa concreta, la evidencia examinada, la desviación observada y la recomendación operativa. A cada uno se le asigna una criticidad, que ordena el trabajo: primero lo que afecta a la protección del cliente o deja a la entidad sin prueba, después lo estructural. De ahí sale el plan de remediación, que es la parte que de verdad se usa: una tabla con acción, responsable interno y fecha de cierre, pensada para llevarla al órgano de administración y aprobarla en acta. Cerramos con la carpeta de evidencias, ordenada por materia, para que la entidad no vuelva a buscar los mismos documentos la próxima vez. Si lo contratas, verificamos el cierre pasado un tiempo y dejamos constancia de qué hallazgos se resolvieron y cuáles siguen abiertos, con su justificación. Ese rastro —autoevaluación, plan aprobado y seguimiento— es exactamente lo que demuestra que la entidad se controla a sí misma.
Hay cuatro momentos naturales: cuando cambia el modelo de negocio o la gama de producto, cuando entra un nuevo responsable de cumplimiento, cuando una reclamación cuestiona una recomendación concreta y cuando el supervisor mueve ficha. La CNMV supervisa de forma continua a distancia y también in situ, y su enfoque es siempre el mismo: no pregunta qué dice tu manual, pide que le enseñes el caso. Lo desarrollamos en supervisión e inspección de la CNMV. La normativa de mercados de valores clasifica las infracciones en leves, graves y muy graves, y el abanico de consecuencias va de la multa a la amonestación pública, la revocación de la autorización o la inhabilitación de cargos; el detalle está en sanciones de la CNMV. Frente a eso, una revisión independiente fechada, con su plan aprobado y su seguimiento, es la diferencia entre una entidad que corrige y una entidad que descubre. Si tu caso es una EAF ya autorizada, encájalo en el calendario de obligaciones continuas.
Este contenido tiene carácter divulgativo y no constituye asesoramiento jurídico. La normativa citada puede haber sido modificada con posterioridad a la fecha de actualización indicada: verifica siempre la versión vigente o consúltanos para analizar tu caso concreto.