Centro Superior de Caso de Estudio

Estudios de Gestión
Riesgos de Compliance en
Máster Compliance Officer Sacyr

Prof. H Huwyler
Módulo
Compliance Risks
Centro Superior de Estudios de Gestión
Máster Compliance Officer
Mod. Compliance Risks – Prof Hernan Huwyler
INTRODUCCIÓN DE LA GESTIÓN DE RIESGOS EN SACYR
Sacyr es un grupo multinacional español dedicado a
la construcción industrial, la gestión de
infraestructuras y la concesión de servicios. El grupo
tiene una presencia internacional en 20 países y
desarrolla su actividad en diferentes marcos
reguladores. En este contexto existen riesgos de
diversa naturaleza relacionados a los negocios y
sectores en los que opera.
Sacyr ha establecido una política de control y
gestión de riesgos para identificar, evaluar y
gestionar sus riesgos globales. Esta política busca dar
un grado razonable de seguridad acerca de la
consecución de los objetivos de eficacia y eficiencia
en las operaciones, fiabilidad de la información y
cumplimiento de la legislación.
El proceso comienza con la identificación de los
riesgos que son actualizados periódicamente por los
cambios del entorno en que la organización opera. El
ESTRUCTURA DE RESPONSABILIDADES EN GESTIÓN DE RIESGOS, AUDITORIA Y COMPLIANCE
El consejo de administración, que ha aprobado la
política de control y gestión de riesgos, efectúa el
seguimiento periódico de su sistema de información y
control. El ejercicio de esta función garantiza la
implicación del consejo de administración en la
supervisión del proceso de identificación y gestión de
2 § 1 Mod CR HH
resultado de esta primera etapa son los mapas y
perfiles de riesgos, que incluyen los principales
riesgos estratégicos y operativos. Los riesgos se
agrupan en diferentes categorías: entorno de negocio,
regulación, imagen y reputación, recursos humanos,
operaciones, financieros, información para la toma de
decisiones, tecnología y sistemas de información y
buen gobierno. Para cada riesgo se evalúa su posible
impacto y probabilidad de ocurrencia.
Tras la identificación de los riesgos, se analiza el
conocimiento de los mismos que tiene la dirección y
la idoneidad y la efectividad de los controles
adoptados para mitigarlos. La dirección de cada
negocio, con la supervisión de auditoría interna,
establece sus prioridades de actuación y determina las
medidas a poner en marcha. Se consideran su
viabilidad operativa, sus posibles efectos y la relación
coste - beneficio de la implantación.
riesgos y de la implantación y seguimiento de los
sistemas de control e información adecuados.
Por su parte, la dirección de auditoría interna, con
dependencia directa del presidente del grupo, y bajo
la supervisión de la comisión de auditoría, tiene como
objetivo general realizar una evaluación sistemática
1
Centro Superior de Estudios de Gestión
Máster Compliance Officer
Mod. Compliance Risks – Prof Hernan Huwyler
los riesgos así como la implementación de planes de
acción.
El consejo de administración, con el apoyo de la
comisión de auditoría, supervisa al comité de riesgo.
El ejercicio de esta función garantiza la implicación
del consejo en la supervisión del proceso de
identificación de riesgos y de la implantación y
seguimiento de los sistemas de control e información
adecuados.
El comité de riesgos es el máximo responsable del
sistema de control y gestión de riesgos, y de todas las
decisiones asociadas al mismo en las unidades de
negocio. El comité se designa por el presidente y
entre sus funciones se encuentra la de dar apoyo al
consejo en la toma de decisiones críticas, establecer
los índices de tolerancia al riesgo, y la definición y
promoción de la cultura de riesgos en la organización.
La dirección de control y gestión de riesgos, da
apoyo al comité de riesgos y con la ayuda de las
diferentes áreas de negocio del grupo que cuentan
con sus propios responsables de control y gestión,
que efectúan el seguimiento del análisis de los riesgos
y apoyan al presidente y a los negocios en la toma de
decisiones críticas.
Las áreas de negocio de Sacyr cuentan con sus
propios responsables de control y gestión, que
efectúan el seguimiento de la consecución de los
objetivos previstos por cada área de negocio o
sociedad en el marco de la planificación estratégica.
El consejo de administración constituye en forma
delegada un comité de auditoría interna
actualmente con 5 consejeros. Tiene como atribución
supervisar la eficacia del control interno y la auditoría
interna, así como revisar los sistemas de gestión de
riesgos para que los principales riesgos se
identifiquen, gestionen y den a conocer
adecuadamente.
Adicionalmente, la dirección de auditoria interna,
con dependencia directa del presidente y bajo la
supervisión de la comisión de auditoría, tiene como
DESARROLLO DE ACTIVIDADES DE CONTROL Y GESTIÓN DE RIESGOS
Uno de los principales objetivos de auditoría interna
es continuar avanzando en el desarrollo y
actualización de mapas de riesgos detallados por línea
de negocio así como en la definición e incorporación
de mejoras en la política de control y gestión de
riesgos del grupo. Sacyr ha evolucionado desde un
único mapa de riesgos globales a una estructura más
compleja, en la que existen mapas de riesgos
2 § 1 Mod CR HH
objetivo general realizar una evaluación sistemática
de la eficiencia en los procesos de identificación,
control y gestión de los riesgos. Esta dirección
elabora anualmente un plan de auditoría interna
orientado a riesgos, y es aprobado por la comisión de
auditoría. Este plan establece las prioridades y la
previ sión de trabajos a realizar.
Sacyr cuenta con una unidad de cumplimiento
normativo formada por miembros de la alta
dirección, que es la encargada de velar por el estricto
cumplimiento del código de conducta y de gestionar
la línea de consulta y denuncia.
La unidad de cumplimiento normativo es un órgano
colegiado de naturaleza ejecutiva y carácter
autónomo, compuesto por representantes de diversas
áreas del grupo y nombrados por la comisión de
auditoría. El presidente de la unidad de cumplimiento
normativo, reporta formalmente al comité de
auditoría.
Esta unidad actúa bajo la dependencia exclusiva de la
comisión de auditoría del consejo de administración y
tiene la condición de órgano de la persona jurídica
con poderes autónomos de iniciativa y control a los
efectos del código penal y todas las funciones que le
corresponden como órgano de cumplimiento del
código de conducta. La unidad dispone de la
autoridad, los recursos y los medios necesarios, en
coordinación con la dirección de auditoría interna y
de recursos humanos, para implantar y hacer cumplir
las medidas de control interno del modelo de
cumplimiento normativo para detectar, prevenir y
evitar la comisión de infracciones penales, civiles,
mercantiles, administrativas y tributarias imputables a
la persona jurídica, así como para la reacción
adecuada en el caso de que eventualmente se hayan
producido.
La unidad ha implantado sistemas y estructuras de
prevención penal en España, Portugal y Chile
conforme a sus respectivas normativas.
individuales y detallados para cada línea de negocio,
que a su vez, y por agregación, generan un nuevo
mapa de riesgos más completo, detallado y
actualizado.
Debido a la expansión internacional y los cambios de
contexto, la importancia y probabilidad de ocurrencia
de los diferentes riesgos sufrieron cambios muy
1
Centro Superior de Estudios de Gestión
Máster Compliance Officer
Mod. Compliance Risks – Prof Hernan Huwyler
significativos. De esta forma, los esfuerzos se han
estado enfocando en la actualización de los mapas de
riesgos existentes, con especial atención a las áreas
geográficas del extranjero donde hay actividad
significativa como Portugal, Angola, Cabo Verde,
Madeira, Francia, Estados Unidos y Brasil.
Adicionalmente, se emite un mapa de riesgos de
concesiones y dos mapas de riesgos de alto nivel,
independientes de los mapas de riesgos de los
diferentes negocios, que sirven como herramientas
para gestionar los riesgos de dos regulaciones
recientes: a) la supervisión del control interno de la
información financiera por parte de la comisión de
auditoría y b) el impacto de la reforma del Código
Penal Español en lo relativo a la consideración de las
personas jurídicas como responsables de los delitos
cometidos.
Como política general, el riesgo aceptable para el
grupo puede considerarse cualitativamente de nivel
medio, con excepción de los riesgos financieros con
un riesgo aceptable alto y los riesgos de regulación y
de imagen y reputación en los que el Grupo reduce su
tolerancia al riesgo a niveles mínimos.
Dependiendo de cada operación concreta, se
considera el riesgo desde un punto de vista
cualitativo (alto, medio, bajo), o con un enfoque
cuantitativo, que refleje los objetivos de crecimiento
y rendimiento y los equilibre con los riesgos.
RIESGOS DE CUMPLIMIENTO REGULATORIO Y PENALES
El Código de Conducta de Sacyr establece el respeto
a la legalidad como uno de los principios básicos que
deben regir la conducta de sus empleados. La
supervisión del cumplimiento de las diferentes
disposiciones legales se lleva a cabo
fundamentalmente por la dirección general de
asesoría jurídica y por la dirección de auditoría
interna que cuenta con un departamento específico de
cumplimiento regulatorio desde 2008.
Adicionalmente, otras áreas organizativas, como el
departamento de calidad y medio ambiente o el
servicio de prevención de riesgos laborales,
contribuyen a garantizar el cumplimiento de la
legislación en sus respectivos ámbitos de actividad.
CORRUPCIÓN Y SOBORNO
2 § 1 Mod CR HH
En los riesgos concretos asociados a objetivos
medibles, la tolerancia al riesgo del grupo Sacyr, se
mide con las mismas unidades que los objetivos
correspondientes.
Con carácter general, Sacyr cuenta con planes de
supervisión para los principales riesgos como
realizar, al cierre de cada ejercicio, pruebas de
deterioro de valor de todos sus activos no financieros.
De esta forma, Sacyr estima que cuenta con
suficientes sistemas de control para identificar,
cuantificar, evaluar y subsanar todos los riesgos, de
tal forma que puedan minimizarse o evitarse.
También los complementa con una política de
contratación y mantenimiento de pólizas de
seguro.
El plan de auditoría interna se planifica en sus
trabajos atendiendo al control de riesgos, basándose
en la metodología COSO. Como resultado de estos
trabajos, que abarcan todas las áreas y líneas de
negocio del Grupo, no se han detectado incidentes
cuyo impacto haya sido considerado significativo.
Se han realizado acciones formativas, como jornadas
sobre control de costes, plazos y de gestión, dirigidas
a los departamentos cuyas funciones son la gestión de
riesgos.
La unidad de cumplimiento normativo desarrolla
una descripción y valoración completa del mapa de
riesgos penales con controles asociados por unidades
de negocio y del sistema de prevención y detección
de delitos que acompaña al indicado mapa de riesgos
penales. Esta unidad diseña y aplica los controles
asociados por unidades de negocio y los planes de
detección, prevención y reacción apropiados,
actualizando el modelo de cumplimiento
normativo periódicamente y supervisando la más
amplia comunicación y difusión de todos los
elementos de dicho modelo entre todo el personal de
las empresas, así como la formación continuada de
los empleados.
1
Centro Superior de Estudios de Gestión
Máster Compliance Officer
Mod. Compliance Risks – Prof Hernan Huwyler
El código de conducta de Sacyr prohíbe de forma
tajante cualquier comportamiento por parte de sus
empleados que pudiera considerarse relacionado con
la corrupción o el soborno. Todos los empleados y
miembros de los órganos de gobierno del grupo, así
como las UTEs y sociedades sobre las que se tiene
control de gestión, han sido informados sobre las
políticas y los procedimientos de la organización para
luchar contra la corrupción, a través de las circulares
de difusión del código de conducta.
El código establece explícitamente que los empleados
de Sacyr no podrán ofrecer pagos de ninguna
naturaleza destinados a obtener beneficios de forma
ilícita, y se les prohíbe aceptar regalos o cualquier
otra clase de prestaciones que pudieran afectar a su
objetividad o influir en una relación comercial,
profesional o administrativa.
Sacyr ha creado un órgano de control del código de
conducta, formado por miembros de la alta
dirección. Este órgano, además de gestionar la línea
de denuncias del Grupo, es el encargado de velar por
el estricto cumplimiento del código de conducta.
La investigación de comportamientos de
corrupción es responsabilidad de la dirección de
auditoría interna, así como realizar trabajos
encaminados a detectar dichos comportamientos si
los hubiera. Para esto cuenta con un software
específico de detección de fraude, con el apoyo de
expertos externos cuando lo precisa y con personal
especializado para realizar dicho trabajo, tanto
preventivo como detectivo. Los indicios de
corrupción son analizados en detalle y se actúa en
consecuencia. En todos los casos se revisa el
procedimiento de negocio vigente que no ha evitado
PREVENCIÓN DE BLANQUEO DE CAPITALES
El Sacyr está comprometida con las iniciativas
internacionales para prevenir el blanqueo de
capitales y la financiación del terrorismo.
Cumpliendo con la legislación vigente en la materia,
el grupo cuenta con los procedimientos y órganos de
control interno necesarios para prevenir e impedir la
realización de operaciones relacionadas con el
blanqueo de capitales en su ámbito de influencia.
La principal herramienta de gestión para este fin es su
protocolo interno de prevención de blanqueo de
capitales y de la financiación del terrorismo, un
documento en el que se establecen tanto la estructura
de responsabilidades de los distintos agentes
implicados, como los mecanismos para el control y
2 § 1 Mod CR HH
la existencia de dicha práctica corrupta y se buscan
mejoras al mismo.
La línea de consulta y denuncia
(codigoconducta@sacyr.com) es una herramienta
corporativa destinada a facilitar la formulación
confidencial y segura de cualquier consulta sobre el
alcance y aplicabilidad del código de conducta y, en
general, del modelo de cumplimiento normativo, así
como para informar o denunciar situaciones de
infracción o de riesgo.
El procedimiento de la línea de consulta y
denuncia garantiza la confidencialidad en el
tratamiento de las denuncias que se tramiten y la
identidad del denunciante, con pleno cumplimiento
de la legislación sobre protección de datos, un
análisis fiable y objetivo de la posible infracción y el
máximo respeto a los derechos de las personas
presuntamente implicadas en la misma.
De cada reclamación recibida se realiza una
investigación y se adoptan las medidas oportunas
tanto para su resolución, como para evitar que se
vuelva a producir. El sistema de gestión de Sacyr,
establece la documentación de cada reclamación a
través de acciones correctivas, que permiten realizar
un seguimiento exhaustivo de la resolución de la
misma.
Sacyr dispone además de diferentes canales para
comunicarse con sus grupos de interés y el público
en general, por ejemplo para recibir reclamaciones
relacionadas con temas ambientales. Entre ellos se
encuentran varios buzones de correo electrónico, uno
general (info@sacyr.com) y otro específico
relacionado con la responsabilidad corporativa
(rcorporativa@sacyr. com).
examen de las operaciones susceptibles de generar
riesgo. Este protocolo ha sufrido diversas
modificaciones con el objeto de adecuarlo a la
normativa vigente.
En él aparece estructurada la dependencia funcional
de los principales órganos de control, de tal manera
que se garantizan la independencia y la cobertura de
todas las sociedades y líneas de negocio del grupo
susceptibles de verse implicadas en delitos de
blanqueo.
La estructura hasta inicios del 2015 era la siguiente:
1
Centro Superior de Estudios de Gestión
Máster Compliance Officer
Mod. Compliance Risks – Prof Hernan Huwyler
• El órgano de control interno, integrado en la
dirección general de asesoría jurídica, que tiene como
misión analizar, controlar y comunicar la información
relativa a las operaciones o hechos susceptibles de
estar relacionados con el blanqueo de capitales al
servicio ejecutivo del Banco de España.
• El departamento de prevención de blanqueo de
capitales, que depende jerárquicamente de la
Reforzando la actividad de control, la dirección de
auditoria interna, lleva a cabo una labor de
supervisión permanente del conjunto de las
actividades que el grupo desarrolla en materia de
prevención de blanqueo de capitales.
En lo que se refiere a los mecanismos destinados a la
prevención del blanqueo, algunos de los más
importantes que se establecen a través del protocolo
son:
• Planes de formación y cursos especializados
dirigidos, tanto al personal propio del Grupo, como al
de la red de ventas externalizadas.
• Auditorías internas de cumplimiento anuales y
examen anual por experto externo de los
procedimientos y órganos de control en materia de
prevención de blanqueo de capitales y de la
financiación del terrorismo.
• Implementación de medidas preventivas de
control y examen de las operaciones a través del
departamento de prevención de blanqueo y del
órgano de control interno.
• Cumplimiento de las medidas orientadas a la
identificación de nuevos clientes y a la salvaguarda
2 § 1 Mod CR HH
dirección general de administración y operaciones y
funcionalmente del órgano de control interno. Este
departamento tiene como misión exclusiva la gestión
de las actividades dirigidas a la prevención de
blanqueo de capitales.
de la confidencialidad. Estas medidas incluyen la
solicitud y análisis de escrituras de constitución,
información fiscal, escrituras de otorgamiento de
poderes e identificación de los apoderados. Si un
cliente se niega a entregar la información solicitada
en el protocolo, el departamento de prevención de
blanqueo analiza el expediente incompleto mientras
que se impide escriturar ninguna operación.
• Inclusión de un sistema de alertas automáticas en
el sistema informático, que limitan la posibilidad de
error humano en la detección de situaciones de
riesgo.
• Inclusión de cláusulas en los contratos con las
empresas de la red de ventas que obligan a éstas a
garantizar el correcto cumplimiento de la normativa
sobre prevención de blanqueo de capitales.
El departamento de prevención de blanqueo elabora
una newsletter trimestral para aquellos vinculados a
la gestión del riesgo como consejeros y directivos,
personal de la división de promoción y personal de
cada área de negocio. La newsletter comunica
novedades en materia de blanqueo y difunde la
importancia de cumplir con los procedimientos
establecidos.
1
Centro Superior de Estudios de Gestión
Máster Compliance Officer
Mod. Compliance Risks – Prof Hernan Huwyler
El departamento de prevención de blanqueo de
capitales elabora una memoria anual al cierre de
cada ejercicio, en la que se resumen las cuestiones
tratadas en las reuniones del órgano de control
interno, las estadísticas de su actividad, el grado de
cumplimiento del plan anual, la evaluación de
suficiencia de los recursos humanos y técnicos
asignados, las novedades legislativas del ejercicio, así
como el resultado de los informes de auditoría interna
y de experto externo y, en su caso, el nivel de
seguimiento de sus recomendaciones.
Además de la memoria, el departamento de
prevención de blanqueo elabora un plan anual al
PROTECCIÓN DE DATOS PERSONALES
El código de conducta de Sacyr pone especial énfasis
en garantizar la adecuada protección y custodia de los
datos personales confiados por clientes, proveedores,
empleados, instituciones y público en general. El
objetivo es garantizar la privacidad de estos datos,
haciendo una gestión de los mismos que se sitúe a la
altura de la confianza depositada en la compañía por
estos colectivos.
Sacyr y sus empleados se comprometen a observar
las normas de protección de datos personales
RIESGOS ADEMAS DE COMPLIANCE
Además de los riesgos de cumplimiento regulatorio
descritos, dentro de la política de control y gestión de
riesgos del Sacyr, se establecen mecanismos de
control y comunicación para otros riesgos:
• Riesgo de inadecuada adaptación al entorno.
• Riesgo de inadecuada gestión de los aspectos
relativos a la responsabilidad social y sostenibilidad,
así como de la imagen corporativa.
• Riesgos relacionados con el capital humano:
posicionamiento, capacitación, flexibilidad,
dependencia de personal clave y clima laboral.
• Riesgos financieros como de crédito, de tipo de
interés, de tipo de cambio y de liquidez.
PLANTEAMIENTO DEL CASO
A. La interacción entre áreas requirió modificaciones para mejorar su coordinación y eficacia a inicios del
2015. El órgano de control interno de prevención del blanqueo y su departamento fueron transferidos
funcionalmente a la unidad de cumplimiento normativo para aprovechar sinergias.
2 § 1 Mod CR HH
principio de cada año. En él se evalúa la exposición al
riesgo, la previsión de incorporación o salida de
nuevas filiales del ámbito de actuación del órgano de
control interno.
Un experto externo examina anualmente los
procedimientos internos de prevención del blanqueo
de capitales y de la financiación del terrorismo. La
última revisión ha consistido en el seguimiento del
grado de cumplimiento de las recomendaciones del
informe anterior. El último informe indica que todas
las recomendaciones del año anterior han sido
remediadas.
establecidas por las leyes y convenios internacionales
aplicables y a respetar de forma rigurosa los derechos
legítimos de los titulares de tales datos.
En todas las comunicaciones dirigidas a clientes
actuales y potenciales, el grupo habilita los medios
para garantizar el derecho de éstos a ejercer sus
derechos de acceso, rectificación, cancelación y
oposición respecto a los datos registrados
• Riesgo de una inadecuada información para la toma
de decisiones.
• Riesgos relacionados con el área de tecnología y
sistemas de información: gestión de redes, seguridad
física y lógica, integridad de la información.
Sacyr tiene un fuerte compromiso con el medio
ambiente, que se traduce en numerosas iniciativas
para prevenir, disminuir o remediar los impactos
ambientales derivados de sus actividades. Llevar a
cabo estas actuaciones genera costes ambientales,
bien derivados de actuaciones voluntarias, bien por
aquellas requeridas por contrato o legislación de
carácter ambiental; pero siempre destinadas a
prevenir los impactos ambientales derivados de sus
actividades, o reducirlos, cuando no es posible
evitarlos.
2
Centro Superior de Estudios de Gestión
Máster Compliance Officer
Mod. Compliance Risks – Prof Hernan Huwyler

Comisión de auditoria

Unidad de
cumplimiento
normativo

Órgano de control
interno de prevención
del blanqueo de
capitales

Departamento de
prevención del
blanqueo

B. El consorcio participado por Sacyr a cargo de la ampliación del Canal de Panamá fue denunciado
penalmente ante la justicia panameña por la posible estafa al estado. El grupo constructor reclamó a la
Autoridad del Canal de Panamá sobrecostes por valor de 3.5 k millones de dólares, cercano al valor original
del presupuesto de la obra. La denuncia penal argumentó que se presentado sobrecostes no justificados que
sin lugar a dudas ponen en escenario la posible estafa o su intento al erario público.
C. Sacyr ha sido nombrada en varios estudios 1por la solvencia y transparencia de su sistema de prevención de
riesgos penales

DISCUSIÓN

A. Identifique las sinergias del cambio de línea de reportes sobre el área de blanqueo de capitales a inicios del
2015

B. Detecte debilidades de coordinación y costos en la organización de auditoria interna, compliance y legales de

Sacyr

C. Proponga alternativas de soluciones sobre gobierno corporativo para la coordinación de departamentos

efectuando el análisis de costes y beneficios de cada alternativa.

D. Recomiende una estrategia para integrar los riesgos de compliance incluyendo los penales dentro de un
sistema integrado

E. Evalúe el impacto y la probabilidad de la denuncia penal por sobreprecios del canal de Panamá

F. Justifique qué elementos del sistema de gestión de compliance de Sacyr permiten que obtenga una puntuación
elevada en los estudios sobre la función de cumplimiento en empresas del IBEX 35

NOTA

1
Fuente “Los programas de compliance en la RSC de las empresas cotizadas en España” CGA Abogados 2016; “Códigos éticos y
líneas rojas penales” Rivas y Asoc 2015

1
2 § 1 Mod CR HH
Centro Superior de Estudios de Gestión
Máster Compliance Officer
Mod. Compliance Risks – Prof Hernan Huwyler

El presente caso de estudio ha sido elaborado en base a información pública suministrada por Sacyr para diferentes
destinatarios desde 2011. El caso tiene fines solamente académicos y no puede reproducirse fuera de la Universidad
Complutense de Madrid y su centro superior de estudios de gestión.

2
2 § 1 Mod CR HH