Compliance officer interno o externo: la decisión que no es de costes
La pregunta llega siempre de la misma manera. La empresa necesita cubrir la función de compliance. Alguien propone externalizar porque es más rápido y más barato. Otra persona dice que si es crítico, tiene que estar dentro. La discusión se prolonga semanas y a veces acaba sin resolverse bien.
No es una decisión de costes. Es una decisión sobre qué necesita realmente la empresa en este momento.
Y ese matiz cambia todo.
Qué hace un compliance officer (y por qué importa para esta decisión)
La función de compliance no es revisar documentos ni escribir políticas. Es detectar riesgos antes de que se materialicen, traducir la normativa en procesos operativos reales y ser el interlocutor con reguladores cuando llega una inspección.
Un compliance officer que funciona bien no trabaja sobre lo que ya pasó. Trabaja sobre lo que podría pasar. Para eso necesita conocer la empresa desde dentro: sus procesos, sus contratos, sus decisiones del día a día, las personas que toman decisiones y los puntos donde el cumplimiento normativo es más frágil.
Ese conocimiento no se adquiere con un informe anual. Se construye con presencia y tiempo.
Eso no significa que externalizar sea siempre un error. Significa que la decisión depende de cuánta presencia necesita realmente esa función en tu empresa.
Cuándo tiene sentido el compliance externo
Hay empresas para las que externalizar la función de compliance es la decisión correcta.
La primera señal es el tamaño. Una empresa pequeña, con una estructura regulatoria no demasiado compleja, puede no necesitar un compliance officer dedicado a tiempo completo. Una consultora de servicios, una empresa industrial sin actividad financiera regulada o una organización con un perfil de riesgo bajo pueden cubrir sus obligaciones de cumplimiento con un proveedor externo bien elegido.
La segunda señal es la estabilidad del marco normativo. Si la empresa opera en un sector donde las reglas no cambian con frecuencia y las obligaciones de cumplimiento son predecibles, un externo que revise periódicamente y responda consultas puede ser suficiente.
La tercera señal es la fase del negocio. Una startup en sus primeros años, antes de tener escala suficiente para justificar un perfil interno, puede funcionar bien con servicios externos mientras construye el modelo de negocio.
En estos casos, el compliance externo no es un atajo. Es la elección correcta para ese momento.
Las señales de que el compliance externo ya no es suficiente
Hay un punto en el que externalizar deja de funcionar. No siempre es obvio. Pero hay señales.
La primera es el volumen. Cuando las consultas al compliance externo se vuelven tan frecuentes que el coste del servicio externo empieza a equipararse al de un perfil interno, la ecuación ha cambiado. No solo económicamente: cuando la función se necesita con tanta frecuencia, necesita estar dentro.
La segunda señal es el conocimiento institucional. Un compliance externo no sabe qué se decide en los comités de dirección, no conoce a los proveedores clave, no tiene contexto sobre los proyectos en marcha. Cuando el cumplimiento normativo empieza a impactar decisiones estratégicas, la falta de ese contexto es un problema real.
La tercera señal es la regulación. Empresas que entran en el ámbito del RGPD con obligación de DPO, que son entidades financieras bajo DORA, que operan sistemas de IA de alto riesgo bajo el AI Act o que están en sectores con supervisión reforzada necesitan alguien que esté dentro y que conozca el negocio. Un externo puede asesorar. No puede sustituir a quien tiene visibilidad diaria sobre lo que ocurre.
La cuarta señal es la actividad corporativa. Una empresa que está creciendo por adquisiciones, que está en proceso de internacionalización o que está preparando una ronda de financiación necesita un compliance officer que entienda el negocio como lo entienden los directivos. Eso requiere estar dentro.
El error que más se repite
Hay un patrón de error que cuesta caro. La empresa externaliza el compliance durante años. El negocio crece, la regulación se complica, el número de países aumenta. Llega un momento en que el externo ya no puede cubrir la función bien. Se decide contratar un perfil interno.
Pero en ese momento, hay años de decisiones, contratos y procesos que nadie documentó correctamente desde dentro. El compliance interno llega a una empresa que tiene que reconstruir la trazabilidad de su propio cumplimiento desde cero.
El coste no es solo económico. Es tiempo, es riesgo y es la credibilidad del equipo directivo ante un regulador si llega una inspección en ese período de transición.
Decidir bien cuándo hacer el cambio no tarde, no demasiado pronto es parte de la decisión.
Qué perfil tiene sentido contratar internamente
Cuando la decisión es contratar un compliance officer interno, el perfil importa tanto como el momento.
El error más frecuente es buscar a alguien con el perfil técnico más elaborado y el CV más largo de certificaciones. Eso no es necesariamente lo que la empresa necesita.
Lo que de verdad marca la diferencia en un compliance officer interno es la capacidad de trabajar en transversal. Alguien que entienda la norma lo suficiente para aplicarla, que tenga criterio para evaluar riesgos operativos y que pueda comunicarse con el equipo directivo, con el departamento jurídico, con IT y con negocio. No como traductor, sino como interlocutor real.
El background más habitual en estos perfiles es jurídico, con experiencia previa en entornos corporativos. No un abogado de despacho que nunca ha trabajado dentro de una empresa. Alguien que conoce la lógica interna de una organización: dónde se toman las decisiones, cómo se mueven los procesos, dónde está el riesgo real.
Las certificaciones en compliance son una referencia útil. No son una garantía de que alguien va a funcionar bien dentro de una empresa concreta. El criterio y el encaje son más difíciles de medir en un CV y más decisivos en la práctica.
La pregunta que define todo
Antes de decidir entre interno y externo, hay que responder una pregunta más concreta: ¿qué necesita que sepa esta persona que solo puede saber si está dentro?
Si la respuesta es mucho, la función tiene que estar dentro. Si la respuesta es poco o nada, el externo puede funcionar.
Es tan simple como eso. Y tan difícil de responder con honestidad cuando la tentación de ahorrar a corto plazo es fuerte.
En Ethria ayudamos a empresas a tomar esta decisión con información real del mercado, y a encontrar el perfil cuando la conclusión es que toca contratar. Si estás en ese punto, podemos hablar.