La LkSG sigue vigente en 2026, aunque con una supervisión más laxa. Qué se aplica hoy, qué ha cambiado y cómo se relaciona con la directiva europea CSDDD.
DORA exige a las entidades financieras cubiertas gestionar el riesgo de los proveedores de servicios TIC terceros y mantener información sobre sus acuerdos contractuales de TIC, con requisitos reforzados cuando los proveedores respaldan funciones críticas o importantes. NIS2 exige a las entidades esenciales e importantes abordar la seguridad de la cadena de suministro, especialmente los riesgos que involucran a proveedores directos y prestadores de servicios. Ambos regímenes se solapan, pero DORA es más prescriptivo sobre la gestión de riesgos de terceros en el ámbito de las TIC.
MiCA regula la autorización y el funcionamiento de los proveedores de servicios de criptoactivos en la UE, mientras que el marco AML de la UE rige cómo esas empresas previenen el blanqueo de capitales y la financiación del terrorismo. MiCA no reemplaza los requisitos AML: los CASP autorizados deben cumplir tanto con MiCA como con las normas AML/CFT aplicables, incluyendo la diligencia debida del cliente, las comprobaciones de beneficiarios reales, los controles de sanciones y PEP, el seguimiento de transacciones y la notificación de actividades sospechosas.
El cumplimiento del EUDR no exige que las PYMES compren cacao a través de un comercializador: un pequeño o mediano productor aún puede importar directamente.
El periodo transitorio de MiCA que permitía a los proveedores de servicios de criptoactivos preexistentes seguir operando sin autorización finalizó el 1 de julio de 2026 en todos los Estados miembros, sin ningún mecanismo de prórroga en el reglamento. Los CASP autorizados continúan operando en toda la UE con derechos de pasaporte. Los CASP sin autorización deben dejar de prestar servicios a clientes de la UE inmediatamente y liquidar sus operaciones de forma ordenada, o se enfrentarán a multas, suspensiones o al cierre forzoso por parte de las autoridades nacionales.
La gestión de riesgos de terceros de DORA se comparte entre las entidades financieras y sus proveedores de TIC. Desde el 17 de enero de 2025, el Artículo 13(6) exige a los bancos, aseguradoras y empresas de inversión que realicen formación sobre concienciación en seguridad TIC y resiliencia y, cuando sea apropiado, incluyan a sus proveedores de TIC en ella, y el Artículo 30(2)(i) exige que cada contrato TIC establezca cómo participa el proveedor. Los proveedores que puedan demostrarlo conservan el contrato.
La formación en cumplimiento para empleados funciona cuando mide la comprensión, no la asistencia. Trusty Compliance App convierte cualquier política o documento en un módulo de formación en minutos, con preguntas generadas por IA, explicaciones de cada respuesta y un certificado al aprobar, para que puedas demostrar que las personas entendieron las normas que protegen a la organización, y no solo que hicieron clic en las diapositivas.
Los empleados no leen las políticas de cumplimiento porque son difíciles de encontrar, demasiado largas, están escritas en un lenguaje legal complejo y dispersas en PDF, archivos adjuntos de correo electrónico y carpetas compartidas, no porque no les importe. La solución no es otro documento: pon cada política en un único lugar que funcione en cualquier dispositivo, destaca la norma en sí, ofrece orientación en lugar de texto, y mide quién la ha leído y entendido realmente.
El criterio de la prueba de la SFO es sencillo: una política antifraude por escrito sobre la que nadie recibe formación, que no se supervisa y que no deja constancia de su propio funcionamiento no satisfará la defensa de procedimientos razonables según el artículo 199 de la ECCTA, en vigor desde el 1 de septiembre de 2025. Lo que protege a una organización es la prueba de que el procedimiento se ejecuta: registros de formación, supervisión, canales de denuncia y un seguimiento documentado.
La protección de datos y el compliance se apoyan en dos figuras distintas. El Compliance Officer garantiza que la empresa cumple la normativa vigente y gestiona programas que reducen el riesgo legal y reputacional. El DPO vela por que los datos personales se traten conforme al RGPD y a la normativa local. Sus funciones son distintas pero complementarias, y deben coordinarse en ámbitos como los canales de denuncias internos.
Cubrimos lo que necesita saber para el cumplimiento de MiCA este año. El Reglamento de Mercados de Criptoactivos está en vigor desde el 30 de
El Trusty FinTech Booster Pack estandariza el cumplimiento en toda una red de socios: un único conjunto de políticas distribuido a comerciantes, agentes, distribuidores y proveedores externos, pruebas de que cada socio las ha leído y recibido formación sobre ellas, verificación integrada de sanciones y PEP, y visibilidad en tiempo real para la institución autorizada. Convierte la supervisión fragmentada y manual de socios en un sistema que los reguladores pueden auditar.
El cribado de PEP identifica si un cliente, proveedor o socio comercial es una persona políticamente expuesta: alguien que ocupa o ha ocupado un cargo público destacado, o un familiar o asociado cercano de dicha persona. La coincidencia de nombre es solo el punto de partida. Un cribado eficaz comprueba el cargo, el nivel de influencia, el país y si la persona sigue en el cargo, y a continuación documenta la decisión de riesgo y repite la comprobación a medida que cambian las circunstancias.
La Directiva Anticorrupción de la UE armoniza los delitos de corrupción entre los Estados miembros, añadiendo al soborno el tráfico de influencias, la malversación, la obstrucción a la justicia y la ocultación de activos relacionados con la corrupción, y amplía la responsabilidad corporativa a los actos cometidos en beneficio de la empresa. Las multas pueden alcanzar el cinco por ciento de la facturación global, además de la exclusión de la contratación pública. Las empresas necesitan políticas anticorrupción operativas, formación y un canal de denuncias, no documentos guardados en un cajón.
El cumplimiento de la gestión de políticas significa demostrar que las políticas se siguen, están actualizadas y se aplican de forma coherente, no que existen. Los reguladores ahora se fijan en tres cosas que la mayoría de las organizaciones no pueden ver: si los empleados realmente acceden a las políticas, si todos trabajan con la última versión aprobada y si los equipos las aplican de la misma manera. Cerrar esas brechas requiere distribución, control de versiones y confirmación de lectura, no más documentos.
Las pymes pueden cumplir con las expectativas ESG sin un equipo de cumplimiento normativo manteniéndolo ligero: un código de conducta breve, unas pocas políticas claras que la gente realmente lea, formación básica, un canal para plantear inquietudes y una comprobación rápida de diligencia debida sobre proveedores y socios comerciales, donde se concentra la mayor parte de la exposición ESG. El objetivo es reducir el riesgo real y mostrar pruebas de ello, no replicar un departamento ESG de nivel empresarial.
El cumplimiento de sanciones para pymes deja de ser opcional en 2026. La Directiva 2024/1226 tipifica como delito las infracciones graves de las sanciones en toda la UE, establece penas mínimas y amplía la responsabilidad a las empresas, por lo que la aplicación de la ley llega ahora también a las pequeñas empresas que comercian, exportan o se abastecen internacionalmente. Lo que las pymes necesitan es un proceso claro y repetible: cribar a cada contraparte frente a las listas de sanciones, registrar el resultado y monitorizar los cambios a lo largo del tiempo.
La formación en cumplimiento normativo en el lugar de trabajo para pymes suele fracasar no por falta de esfuerzo, sino porque se entrega como PDF genéricos, presentaciones largas o sesiones grabadas que los empleados acusan recibo sin absorber, y nada verifica que las hayan comprendido. La formación eficaz en 2026 es breve, relevante para escenarios reales, se adapta a la forma en que trabajan las personas y genera evidencia de comprensión que la organización puede mostrar cuando se le solicite.
El cumplimiento normativo en la cadena de suministro para pymes cambia en 2026 porque las normas de la UE ahora van más allá de la empresa regulada y alcanzan a sus proveedores: las solicitudes de información sobre el origen, la propiedad y el riesgo provienen de clientes y socios, no de reguladores, y llegan con más frecuencia y de forma más estructurada. Las pymes no necesitan un equipo grande, pero sí un proceso claro para saber con quién trabajan, recopilar la información una sola vez y responder a cada solicitud a partir de ella.
Las PYMES pueden cumplir los requisitos de NIS2 para la gestión de vulnerabilidades con un proceso de notificación sencillo y estructurado: un único canal donde empleados, proveedores e investigadores puedan informar de una debilidad de seguridad, tratamiento confidencial, un responsable definido que la evalúe y la corrija, y un registro de lo que se hizo. Un sistema de denuncias ya ofrece ese flujo de trabajo, por lo que el mismo canal puede servir para ambos marcos.
UNI/PdR 125:2022 es la norma italiana para la certificación de igualdad de género. Puntúa a la empresa con KPI en seis áreas: cultura y estrategia, gobernanza, procesos de RR. HH., oportunidades de carrera para mujeres, igualdad salarial de género y equilibrio entre vida laboral y personal, y concede una certificación formal por encima del umbral establecido. Para las pymes puede suponer una ventaja en las licitaciones públicas, posibles beneficios fiscales y un perfil ESG más sólido, y exige disponer de un canal confidencial para denunciar la discriminación.
Las cadenas de suministro globales están cambiando. Se están volviendo más frágiles, más transparentes y más reguladas al mismo tiempo. Las tensiones geopolíticas están modificando
La última milla del compliance es la brecha entre redactar una política y ponerla en manos de las personas que toman decisiones cada día. La mayoría de los fallos de cumplimiento ocurren ahí: la política existe, pero los empleados nunca la ven, no la encuentran o no la entienden. Cerrar esa brecha implica distribuir las políticas digitalmente a todos los dispositivos, confirmar que se han leído y medir quién interactúa con ellas.
La formación en denuncia de irregularidades y un protocolo de denuncia son los dos pilares de un ambiente de trabajo saludable y ético. El protocolo establece cómo se gestiona el canal interno: confidencialidad para el denunciante, un procedimiento para recibir y dar seguimiento a las denuncias, y sanciones cuando se confirma la irregularidad. La formación asegura que los empleados sepan que el canal existe, confíen en él y entiendan qué deben denunciar, para que los problemas salgan a la luz a tiempo en lugar de agravarse.
La Directiva (UE) 2024/1226 obliga a todos los Estados miembros a tipificar como delito las infracciones graves y la elusión de las sanciones de la UE, armoniza las definiciones de esos delitos y fija penas mínimas, incluida la responsabilidad de las empresas. Para las pymes que comercian o se abastecen en el extranjero, convierte el screening de sanciones en un control empresarial básico y proporcionado, con un registro claro.
Para las pymes, la evaluación de socios comerciales ya no es opcional.
No necesita un departamento de cumplimiento dedicado. Pero sí necesita un proceso defendible y estructurado.
Los fondos de capital riesgo valoran cuidadosamente el riesgo del producto, del mercado y del fundador, pero no el cumplimiento de la cartera. No exigir un código de conducta, formación y un canal de denuncias en las empresas de la cartera es un riesgo fiduciario: los reguladores aplican estándares de «no prevención» a los sistemas y las pruebas, los fallos de gobernanza frustran las salidas y las valoraciones, y sin políticas ni registros no hay nada con lo que defenderse. La solución es un nivel mínimo de gobernanza ligero para toda la cartera.
Cómo Implementar un programa de cumplimiento normativo en una pequeña empresa Las expectativas regulatorias para las pequeñas empresas están aumentando, especialmente en materia de denuncias
El delito de «Failure to Prevent Fraud» de la ECCTA se aplica a las grandes organizaciones, pero llega a las pymes a través de sus contratos. Dado que la única defensa legal es la demostración de procedimientos razonables, las empresas del Reino Unido ahora exigen a los proveedores que demuestren formación antifraude, mecanismos de denuncia, derechos de auditoría y cláusulas de rescisión. Los proveedores más pequeños están vinculados en la práctica, no por la ley.
Aumentar un negocio no debería aumentar su responsabilidad. El crecimiento añade empleados, socios, sistemas y niveles de decisión, y el cumplimiento informal que funcionaba con 20 personas se rompe con 200: las políticas se quedan en PDF, nadie puede probar quién leyó qué, y la evidencia que un regulador o asegurador solicita no existe. Las empresas que crecen de forma segura gestionan el cumplimiento como un sistema: políticas distribuidas, formación con seguimiento y diligencia debida documentada.
En la gestión de la cadena de suministro, la proporcionalidad significa centrar la debida diligencia en los proveedores más grandes y estratégicos, pero esto no debería implicar ignorar a los más pequeños. Los proveedores pequeños conllevan riesgos ocultos de cumplimiento, continuidad y reputación, y también aportan flexibilidad, especialización e innovación. Una estrategia equilibrada evalúa a cada proveedor en un nivel básico y escala el escrutinio en función del riesgo, no del tamaño de la empresa.
La ética en la cadena de suministro ya conlleva requisitos legales. La Directiva sobre diligencia debida de las empresas en materia de sostenibilidad, aprobada por el Parlamento Europeo el 24 de abril de 2024, hace responsables a las grandes empresas de identificar, prevenir y remediar los daños a los derechos humanos y al medio ambiente a lo largo de sus cadenas de valor, y esa obligación se traslada a sus proveedores mediante contratos y cuestionarios. Las empresas que mapean su cadena y documentan las verificaciones de sus proveedores cumplen con esta exigencia y obtienen una ventaja comercial.
En Trusty AG, nuestra sede está en Zug (Suiza), una pintoresca ciudad lacustre rodeada de montañas. Los turistas acuden aquí en masa para hacer excursiones
¿Busca software de cumplimiento EUDR? Vea EUDR Passport, la plataforma de cumplimiento EUDR de Trusty. El cumplimiento del EUDR será obligatorio para las grandes y
La formación en cumplimiento para el personal funciona cuando cada política se convierte en un módulo corto y personalizado que las personas realizan en cualquier dispositivo en su propio idioma, con preguntas y explicaciones para evaluar la comprensión y un registro de quién aprobó y cuándo. Trusty Compliance App lo hace con IA: suba la política, obtenga el módulo, realice un seguimiento de la finalización y la certificación en tiempo real, y conserve las pruebas que solicitan los auditores y clientes.
El cribado de PEP y sanciones le permite evaluar a terceros antes de firmar el contrato y seguir evaluándolos después: compruebe vendedores, proveedores y socios frente a listas de sanciones y PEP, así como cobertura mediática adversa, documente el resultado y vuelva a verificar a medida que las listas cambian. Trusty QuickScreen360 realiza estas comprobaciones con supervisión continua, controles personalizables y menos falsos positivos, de modo que la decisión sobre el riesgo se basa en evidencias actuales.
Gestionar el riesgo de los proveedores de forma proactiva significa actuar antes de un incidente, no después: clasificar a los proveedores por categoría y criticidad para que el esfuerzo de supervisión se ajuste al riesgo, evaluar a cada proveedor antes, durante y después de la relación, investigar sanciones, propiedad y problemas de reputación, y mantener un registro documentado. El riesgo de los proveedores no se puede eliminar, pero un proceso estructurado y repetible lo mantiene visible y manejable.
Un proceso de debida diligencia de proveedores protege la cadena de suministro al verificar a los proveedores más allá del precio y la entrega: establezca criterios claros alineados con sus prioridades ESG y de cumplimiento, realice una evaluación estructurada con cuestionarios, verificación de documentos y cribado, y mantenga la evaluación actualizada a medida que cambian los proveedores y las listas. La prevención es protección: un proceso documentado es lo que los reguladores, clientes y auditores piden ver.
Los casos de Apple y John Deere demuestran que el compliance en la cadena de suministro no termina en la empresa matriz. Ambas rindieron cuentas públicamente por minerales procedentes de zonas de conflicto como la República Democrática del Congo. La lección vale para cualquier empresa: conocer el origen de los materiales, evaluar y supervisar a los proveedores en cada eslabón y documentarlo, porque el daño reputacional recae en la marca.
El riesgo en la cadena de suministro no se detiene en los proveedores estratégicos. Supervisar solo a los socios más grandes deja puntos ciegos entre los cientos de proveedores más pequeños, subcontratistas y proveedores puntuales donde suelen ocultarse la exposición a sanciones, el fraude y los problemas laborales y medioambientales. Gestionar el riesgo en toda la cadena implica una comprobación básica de cada proveedor, un escrutinio más profundo cuando el perfil de riesgo lo justifique y una supervisión continua en lugar de una única revisión de incorporación.
El software de diligencia debida en la cadena de suministro debe hacer nueve cosas: automatizar la recopilación de datos de los proveedores, realizar evaluaciones de riesgos adaptadas a su sector y a la normativa, almacenar evidencias con trazabilidad completa, monitorizar de forma continua y generar alertas, integrarse con los sistemas que ya utilizas, escalar a medida que crece la base de proveedores, informar en tiempo real mediante paneles, incluir soporte continuo y actualizaciones, y funcionar en distintos idiomas y regímenes regulatorios. Cualquier cosa por debajo de eso vuelve a convertirse en trabajo manual.
La Ley de Diligencia Debida en la Cadena de Suministro (LkSG), la ley alemana sobre las obligaciones de diligencia debida empresarial de julio de 2021, alcanza a los proveedores directos a través del artículo 6, apartado 4: las empresas deben seleccionar a los proveedores según criterios de derechos humanos y medioambientales, no solo por el precio, asegurar compromisos contractuales que se extiendan a lo largo de la cadena, formar a los proveedores y verificar el cumplimiento mediante controles basados en el riesgo. La dificultad práctica es supervisar de forma continua a cientos de proveedores, y ahí es donde entran el cribado estructurado y la documentación.
Las cadenas de suministro se han convertido en una pieza clave para el éxito de cualquier negocio. Sin embargo, su complejidad también implica riesgos significativos
Este post fue escrito originalmente en inglés y ha sido traducido automáticamente. El Régimen General de Prevención de la Corrupción (RGPC), establecido por el Decreto-Ley
El Compliance 2.0 empieza por los terceros porque ahí se concentra hoy el riesgo: el 62 por ciento de las brechas de datos llega a través de proveedores externos, más del 80 por ciento de las empresas comparte datos sensibles con ellos y el 98 por ciento está conectado con algún proveedor con brechas recientes, según Verizon. Extender los controles de compliance y seguridad a los proveedores es la clave.
La sostenibilidad empresarial es una prioridad creciente en la agenda de la Unión Europea (UE), y con la reciente Directiva sobre diligencia debida de las
La Guía del Programa General de Cumplimiento 2023 de la OIG ofrece a las PYME sanitarias estadounidenses una hoja de ruta: entender qué espera la guía de un programa eficaz, adaptarlo al tamaño y al riesgo de la organización, evaluar y supervisar el riesgo de forma continua, aplicar las normas de manera coherente, responder a los problemas con rapidez y crear una cultura en la que el Cumplimiento sea responsabilidad de todos. Las políticas escritas, la formación y un canal de comunicación son el núcleo práctico de los seis pasos.