Externalizar el cumplimiento normativo de una EAF

Sí. Los arts. 30 y 31 del Reglamento Delegado (UE) 2017/565, que el art. 83 del Real Decreto 813/2023 aplica a las ESI y a las EAFN, permiten externalizar funciones críticas o importantes, como la de cumplimiento, con condiciones. La Circular 1/2014 de la CNMV somete la delegación de las funciones de control a los requisitos de externalización y exige supervisar eficazmente las funciones delegadas (norma octava).

La normativa no prevé una autorización específica de la CNMV para externalizar el cumplimiento de una ESI. Pero la delegación forma parte de tu organización: en el expediente de autorización la CNMV pregunta cómo cubres las funciones de control, y la externalización no puede reducir su capacidad de supervisión (art. 85 del Real Decreto 813/2023). Si la cambias después, conviene valorar antes si debes informar a la CNMV.

Sí. Con carácter general, la norma cuarta de la Circular 1/2014 permite una única unidad independiente que desempeñe las funciones de cumplimiento normativo y gestión de riesgos, siempre que queden aseguradas las responsabilidades y tareas de cada una. Si la naturaleza, escala y complejidad de tu actividad lo justifican, necesitarás unidades separadas.

No siempre. La norma cuarta de la Circular 1/2014 no exige esa unidad cuando los únicos servicios son el asesoramiento y la recepción y transmisión de órdenes, sin poder de disposición sobre los fondos o instrumentos de los clientes, y es proporcionado. En ese caso, puede asumirla la unidad de cumplimiento y riesgos o delegarse en la misma entidad que lleva esas funciones.

En la entidad que audita tus cuentas anuales, ni, salvo el caso anterior, en la que lleva tu cumplimiento normativo o tu gestión de riesgos, ni en ninguna otra con intereses en conflicto (norma novena de la Circular 1/2014). Si perteneces a un grupo, puede asumirla la auditoría interna del grupo, con condiciones para evitar conflictos.

Tu EAF. Al externalizar funciones críticas o importantes, la empresa sigue siendo plenamente responsable de todas sus obligaciones (art. 31 del Reglamento Delegado). Por eso necesitas diligencia previa, un contrato escrito que te permita supervisar y terminar el acuerdo cuando sea necesario, y acceso de la CNMV a la información.

Un acuerdo por escrito que fije los derechos y obligaciones de las partes, el alcance del servicio y sus informes, los medios del proveedor, el acceso de tus auditores y de la CNMV a datos e instalaciones, la confidencialidad, la continuidad del servicio, la subcontratación solo con tu consentimiento y la posibilidad de terminarlo sin perjudicar la continuidad ni la calidad del servicio a tus clientes.

Las directrices de ESMA sobre la función de cumplimiento de MiFID II (ESMA35-36-1952), que aplica la CNMV, recuerdan que se delegan tareas y no la responsabilidad, piden diligencia previa sobre el proveedor, que la función siga siendo permanente y que la alta dirección la supervise, y admiten la proporcionalidad en entidades pequeñas.