Muchas EAF pequeñas externalizan su función de cumplimiento normativo. Es una opción legítima, pero la norma pone condiciones y casi todas se juegan en el contrato con el proveedor.
Qué funciones de control tiene una EAF
Como empresa de servicios de inversión, la EAF debe tener una función de cumplimiento normativo permanente, eficaz e independiente (art. 22 del Reglamento Delegado (UE) 2017/565, aplicable por el art. 83 del Real Decreto 813/2023), además de gestión de riesgos y, cuando sea proporcionado, auditoría interna.
La Circular 1/2014 de la CNMV aplica la proporcionalidad: permite una única unidad independiente para cumplimiento y riesgos, y no exige unidad de auditoría interna a quien solo asesora o recibe y transmite órdenes sin poder de disposición, cuando sea proporcionado (norma cuarta).
La regla: delegas tareas, no responsabilidad
La empresa que externaliza sigue siendo plenamente responsable de todas sus obligaciones (art. 31 del Reglamento Delegado), y la externalización no puede afectar sensiblemente a la calidad del control interno ni a la capacidad de supervisión de la CNMV (art. 85 del Real Decreto 813/2023). Las directrices de ESMA sobre la función de cumplimiento de MiFID II (ESMA35-36-1952) lo resumen así: se delegan tareas, no la responsabilidad.
Qué debe decir el contrato
- Por escrito, con los derechos y obligaciones de cada parte.
- Alcance: qué revisa el proveedor, con qué frecuencia y qué informes entrega.
- Medios: quién hará el trabajo y con qué capacidad.
- Acceso de la EAF, de sus auditores y de la CNMV a los datos y a las instalaciones del proveedor.
- Confidencialidad y protección de la información de los clientes.
- Subcontratación, solo con el consentimiento de la EAF.
- Continuidad del servicio y plan de salida.
- Terminación cuando sea necesario, sin perjudicar la continuidad ni la calidad del servicio a los clientes.
Reglamento Delegado (UE) 2017/565, arts. 22, 30 y 31; Real Decreto 813/2023, arts. 83 y 85; Circular 1/2014 de la CNMV, normas cuarta, octava y novena.
En quién no puedes delegar la auditoría interna
La norma novena de la Circular 1/2014 impide delegarla en la entidad que audita las cuentas anuales, en la que lleva el cumplimiento normativo o la gestión de riesgos (salvo el supuesto de la norma cuarta) o en cualquier otra con intereses en conflicto.
La supervisión no se delega
Designa dentro de la EAF a la persona que recibe y revisa los informes del proveedor, y lleva sus conclusiones al órgano de administración. La norma octava de la Circular 1/2014 exige supervisar eficazmente las funciones delegadas.
Preguntas frecuentes
¿Hay que comunicarlo a la CNMV?
La delegación debe reflejarse en tu programa de actividades y en tus procedimientos, y en el expediente de autorización la CNMV pregunta cómo cubres las funciones de control. Si cambias de proveedor, conviene valorar antes si el cambio debe comunicarse a la CNMV. Lo vemos en externalizar el cumplimiento de una EAF.
¿Puedo combinar cumplimiento y riesgos en el mismo proveedor?
Sí. La norma cuarta de la Circular 1/2014 admite una unidad única para ambas funciones si las tareas de cada una quedan aseguradas. Repasa también las obligaciones de una EAF tras la autorización.
Este artículo describe la normativa vigente a 15 de octubre de 2026 con carácter general y no sustituye al análisis de tu caso concreto.