Una operación de fusión o adquisición en la que la diligencia debida (due diligence) omite el cumplimiento normativo puede transformar una oportunidad estratégica en una fuente de responsabilidad que el comprador asume sin saberlo. En el entorno regulatorio vigente en España, donde la exposición en materia de protección de datos, compliance penal y normativa sectorial ha crecido de forma sostenida, el análisis de cumplimiento no es un trámite documental: es una evaluación de riesgo que condiciona el precio, las garantías y la propia viabilidad de la operación.
La integración de dos organizaciones activa, de inmediato, la pregunta que todo consejero delegado debería hacerse antes de firmar el acuerdo de confidencialidad (NDA): ¿qué pasivos regulatorios ocultos estoy adquiriendo? En nuestra práctica hemos observado que las operaciones donde el comprador detecta deficiencias graves de compliance después del cierre conllevan negociaciones costosas sobre los mecanismos de precio diferido y, en ocasiones, reclamaciones por incumplimiento de las declaraciones y garantías.
La exposición se concentra en tres ejes. El primero es la protección de datos: el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD) establecen sanciones que la Agencia Española de Protección de Datos (AEPD) puede imponer al responsable del tratamiento, con independencia de quién fuera el propietario de la empresa en el momento de la infracción. El segundo eje es el compliance penal: la empresa adquirida puede tener un modelo de prevención de delitos inexistente o desactualizado, exponiendo a los nuevos administradores a responsabilidad corporativa. El tercer eje son las obligaciones sectoriales – financiero, salud, energía – que pueden haber sido incumplidas de forma sistemática y que el regulador puede perseguir una vez producida la transmisión.
¿Cuánto vale un programa de cumplimiento bien implantado? En términos de M&A, el valor no se mide en el coste de implantarlo, sino en la reducción del descuento de precio y de las garantías exigidas por el comprador. Un programa sólido es un argumento de negociación que acorta el periodo de escrow y reduce el importe de las retenciones.
La auditoría de cumplimiento en M&A no es idéntica a una auditoría de cumplimiento autónoma. Tiene un foco específico: identificar los pasivos transferibles y cuantificar cualitativamente su impacto en la operación. Estos son los bloques de revisión que estructuramos habitualmente.
El registro de actividades de tratamiento es la columna vertebral de la adaptación al RGPD de cualquier empresa. Su análisis revela qué categorías de datos trata la empresa objetivo, con qué base jurídica, durante cuánto tiempo y con qué terceros los comparte. Una empresa que opera sin registro actualizado ya parte de un déficit de cumplimiento.
Más relevante aún es verificar los flujos de datos con proveedores: ¿existen contratos de encargado de tratamiento actualizados con cada proveedor que accede a datos personales? La ausencia de estos contratos es una de las deficiencias más frecuentes que encontramos. Y, en operaciones transfronterizas, la transferencia de datos fuera del Espacio Económico Europeo exige mecanismos adicionales que deben estar documentados antes del cierre.
Una brecha de seguridad no notificada a la AEPD en el plazo de setenta y dos horas desde que la empresa tuvo conocimiento de ella constituye una infracción directa del RGPD. La auditoría debe revisar si el objetivo ha sufrido incidentes de seguridad, cómo los gestionó y si se comunicaron correctamente tanto a la autoridad como a los afectados cuando correspondía.
En nuestra experiencia asesorando a empresas en procesos de M&A, la ausencia de un protocolo de gestión de brechas es más frecuente de lo que los vendedores declaran en los cuestionarios de due diligence. Un incidente que no se notificó en su momento puede convertirse, tras el cierre, en el detonante de una investigación de la AEPD que ya afecta al nuevo propietario.
La legislación en materia de responsabilidad penal de las personas jurídicas exige que la empresa cuente con un modelo de prevención de delitos eficaz para poder invocar la exención o la atenuación de su responsabilidad. La auditoría debe verificar la existencia de ese modelo, su vigencia, si ha sido actualizado ante cambios organizativos relevantes y si los administradores y empleados han recibido la formación correspondiente.
El canal de denuncias merece atención específica. La normativa vigente obliga a determinadas empresas a implantar un canal de denuncias que cumpla con requisitos de confidencialidad, independencia y seguimiento. La ausencia de un canal operativo, o la existencia de uno que no cumple con los requisitos legales, es un riesgo transferible que el comprador debe valorar antes del cierre.
Además del marco general de protección de datos y compliance penal, la empresa objetivo puede operar en sectores con regulación específica: servicios financieros, sanidad, telecomunicaciones, energía o alimentación. Cada sector impone obligaciones propias que el auditor debe mapear en función de las licencias, las inscripciones registrales y los procedimientos sancionadores abiertos que consten en los registros públicos.
Una auditoría de cumplimiento integrada en una due diligence de M&A se organiza, en nuestra práctica, en cinco fases secuenciales que pueden ajustarse al calendario de la operación.
Antes de solicitar documentación, el equipo jurídico debe definir el perímetro de la revisión: ¿se audita solo la sociedad target o también sus filiales y participadas? ¿El perímetro incluye jurisdicciones fuera de España? Si la empresa opera en otros países de la Unión Europea, el análisis deberá contemplar la normativa local aplicable, para lo cual coordinamos con abogados locales de confianza en la jurisdicción correspondiente.
El calendario debe ser realista. Una auditoría de cumplimiento de calidad requiere tiempo suficiente para revisar la documentación, formular preguntas adicionales al vendedor y valorar las respuestas. Forzar los plazos en un proceso competitivo es comprensible, pero puede generar hallazgos que se detectan después del cierre.
El cuestionario de compliance es la herramienta de criba inicial. Debe cubrir, como mínimo: existencia y fecha de actualización del registro de tratamientos, identidad del delegado de protección de datos (DPD) si la empresa está obligada a designarlo, relación de proveedores con acceso a datos personales y verificación de contratos de encargo, historial de incidentes de seguridad de los últimos tres ejercicios, existencia y contenido del modelo de prevención de delitos, estado del canal de denuncias y relación de procedimientos sancionadores abiertos por cualquier regulador.
La documentación solicitada debe organizarse en la sala de datos (data room) de forma que permita una revisión eficiente. En operaciones de tamaño medio, la coordinación entre el equipo de due diligence legal y el equipo de compliance es esencial para evitar duplicidades y solapamientos en la solicitud de información.
Con la documentación recibida, el equipo realiza el análisis de brecha: contrasta el estado actual de cumplimiento de la empresa objetivo con los requisitos del marco normativo aplicable. Los hallazgos se clasifican en tres niveles de riesgo.
El nivel rojo corresponde a incumplimientos graves con potencial sancionador inmediato o con responsabilidad penal activa. El nivel naranja recoge deficiencias que exigen actuación antes del cierre o como condición precedente de la operación. El nivel verde identifica áreas con margen de mejora que pueden abordarse en el plan de integración postcierre.
Este semáforo es el documento que llega al consejo de administración del comprador. No es un inventario exhaustivo: es una herramienta de decisión. Su utilidad reside en su claridad, no en su extensión.
Los hallazgos de nivel rojo y naranja deben trasladarse al equipo de M&A para su valoración en términos de precio y garantías. En nuestra experiencia, tres son los mecanismos habituales de gestión del riesgo de compliance en la negociación del contrato de compraventa.
El primero es la declaración y garantía (rep & warranty) específica: el vendedor garantiza que no existen incumplimientos materiales en las áreas auditadas, con una cobertura de indemnización proporcional al riesgo identificado. El segundo es la condición precedente de remediación: el comprador exige que determinados incumplimientos sean subsanados antes del cierre. El tercero es la retención en precio (escrow): parte del precio se retiene durante un periodo definido para cubrir eventuales reclamaciones regulatorias que se materialicen con posterioridad al cierre.
El cierre de la operación no extingue los riesgos de cumplimiento: los incorpora al perímetro del comprador. Por ello, el plan de remediación postcierre es tan importante como la propia auditoría. Ese plan debe priorizar los hallazgos de nivel rojo, asignar responsables internos y fijar calendarios de ejecución razonables.
La integración de los programas de compliance de ambas entidades requiere también una revisión de los procesos de tratamiento de datos que afectan a empleados, clientes y proveedores. La fusión de bases de datos de clientes, en particular, puede requerir una nueva base jurídica o, al menos, una comunicación a los interesados que cumpla con los requisitos del RGPD sobre derecho a la información.
La experiencia acumulada en operaciones de distintos tamaños y sectores permite identificar los riesgos que, con mayor frecuencia, se materializan cuando la auditoría de cumplimiento es superficial o inexistente.
El primer riesgo es la herencia de sanciones pendientes. Una empresa puede tener un expediente sancionador en curso ante la AEPD o ante otro regulador que no consta en los estados financieros como pasivo contingente porque el vendedor lo ha valorado como improbable. El comprador asume ese expediente con el activo.
El segundo riesgo es la transmisión de responsabilidad por brechas pasadas. Si la empresa objetivo sufrió una brecha de seguridad antes del cierre que no fue notificada correctamente a la AEPD, el nuevo responsable del tratamiento puede verse obligado a gestionar la investigación regulatoria con información incompleta sobre los hechos que originaron el incidente.
El tercer riesgo es la responsabilidad de los nuevos administradores. Los administradores nombrados tras el cierre de la operación asumen, desde el primer día, la responsabilidad derivada del modelo de compliance penal de la sociedad adquirida. Si ese modelo es inexistente o manifiestamente inadecuado, los nuevos administradores tienen una exposición personal que no pueden ignorar.
¿Puede un acuerdo de confidencialidad o una cláusula de representaciones y garantías cubrir todos estos riesgos? La respuesta es negativa cuando los pasivos regulatorios no se han identificado previamente, porque una garantía solo cubre lo que se conoce y se describe. Un mito frecuente en procesos de M&A es creer que con una cláusula genérica de cumplimiento normativo en el contrato de compraventa ya se está protegido. El registro de tratamientos actualizado, el protocolo de brechas operativo y el modelo de compliance revisado son los instrumentos que reducen la sanción y la responsabilidad, no las cláusulas genéricas.
Cuando la empresa objetivo está obligada a designar un delegado de protección de datos (DPD), su papel durante la due diligence y la integración es relevante. El DPD actúa como interlocutor de la AEPD y como punto de referencia interno en materia de protección de datos. Su existencia, independencia real y acceso a la dirección son indicadores de la madurez del programa de cumplimiento de la empresa.
En operaciones donde la empresa objetivo no ha designado un DPD siendo obligatoria su designación, el comprador se enfrenta a una deficiencia que debe corregir con rapidez tras el cierre. La designación de un DPD externo puede ser una solución transitoria adecuada mientras se evalúa si la organización tiene capacidad interna suficiente para asumir esa función.
La interacción con la AEPD durante el proceso de integración también requiere planificación. Si la operación implica una fusión por absorción, puede ser necesario comunicar a la autoridad de control los cambios en la identidad del responsable del tratamiento para determinados ficheros o actividades.
Uno de los errores más habituales que hemos observado en operaciones de M&A es iniciar la auditoría de cumplimiento después de haber firmado la hoja de términos (term sheet) y negociado las principales condiciones económicas. En ese momento, el margen de maniobra para renegociar el precio o imponer condiciones precedentes es considerablemente menor.
La auditoría de cumplimiento debe iniciarse de forma simultánea a la due diligence financiera y legal. Esto permite que los hallazgos de compliance alimenten la negociación del contrato antes de que las posiciones estén consolidadas. La práctica de nuestra firma indica que los compradores que integran el análisis de compliance desde el inicio de la due diligence obtienen mejores condiciones contractuales y menor exposición postcierre.
En nuestra práctica hemos acompañado a grupos industriales, empresas tecnológicas y empresas del sector salud en procesos de adquisición donde la identificación temprana de deficiencias de protección de datos y compliance permitió estructurar garantías adecuadas y planes de remediación realistas. El coste del asesoramiento preventivo es sistemáticamente inferior al coste de gestionar una investigación regulatoria o una reclamación de garantías una vez cerrada la operación.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud que atravesaban procesos de cambio de control; en todos los casos, la anticipación fue el factor determinante para la resolución eficiente de los pasivos identificados.
A modo de referencia operativa, estas son las verificaciones mínimas que debe contemplar la auditoría de cumplimiento en cualquier operación de adquisición en España:
Este listado no es exhaustivo y debe adaptarse al perfil de la empresa objetivo. Para operaciones de mayor complejidad o con componente transfronterizo, la revisión se amplía en función de las jurisdicciones y sectores involucrados.
Si está evaluando una operación corporativa y desea conocer el alcance del análisis de cumplimiento que su situación requiere, puede orientarse también con la perspectiva específica del sector inmobiliario y de construcción en nuestra guía sobre auditoría de cumplimiento en el sector inmobiliario y de construcción.
La auditoría de cumplimiento en M&A se enmarca en un programa más amplio de protección de datos y compliance para empresas, que incluye desde la adaptación inicial al RGPD hasta la implantación de modelos de compliance penal y la gestión de procedimientos ante la AEPD. Para empresas que han completado una adquisición y necesitan gestionar los derechos de los interesados sobre los datos heredados, puede ser de utilidad nuestra guía sobre cómo atender los derechos de los interesados en el nuevo entorno integrado.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.