El sector inmobiliario y constructor concentra, en una sola operación de adquisición o fusión, un volumen de riesgos de cumplimiento que con frecuencia sorprende a los equipos directivos que la impulsan. Contratos de obra, subcontratistas en cascada, datos personales de compradores y arrendatarios, registros urbanísticos, licencias de actividad y esquemas de prevención de delitos conviven en una misma diana de diligencia debida. Cuando el comprador no audita este perímetro antes de firmar, hereda pasivos que la cláusula de garantías no siempre cubre con suficiencia.
En nuestra experiencia asesorando a empresas en este sector, la cadena de valor de la promoción y la construcción genera exposición normativa en prácticamente cada eslabón. El promotor trata datos de clientes desde la fase de reserva. La constructora gestiona nóminas, subcontratas y contratos de suministro. La gestora de activos inmobiliarios centraliza datos de arrendatarios, visitas y transacciones.
Ninguno de esos eslabones opera en el vacío. Todos están sometidos, de manera simultánea, a la legislación de protección de datos, a la normativa de prevención del blanqueo de capitales, al Estatuto de los Trabajadores en lo que respecta a la vigilancia de empleados y, cuando la empresa tiene personalidad jurídica penal, a la legislación que exige un modelo de organización y gestión para mitigar la responsabilidad penal corporativa. Añada a eso la normativa urbanística autonómica y las licencias de primera ocupación, y tendrá un perímetro de revisión que requiere método.
La operación de M&A actúa como acelerador. Lo que en la empresa objetivo era un riesgo latente y gestionable pasa a convertirse, tras el cierre, en un pasivo del adquirente. El Tribunal Supremo ha consolidado el criterio de que la responsabilidad penal de la persona jurídica se transmite con la absorción cuando el adquirente asume la actividad sin solución de continuidad. Esta es la razón por la que la diligencia debida (due diligence) de compliance debe iniciarse antes de cualquier compromiso vinculante.
El punto de partida es la identificación de las ramas del ordenamiento que impactan en el target. En una empresa inmobiliaria o constructora de tamaño medio, ese mapa incluye habitualmente los siguientes vectores:
Comprender este mapa antes de lanzar la auditoría evita que el equipo de diligencia debida trabaje con un alcance insuficiente. En nuestra práctica hemos observado que los equipos que omiten el vector de compliance penal en operaciones de construcción asumen riesgos que afloran en la fase posintegración, con consecuencias directas sobre el valor del activo.
La auditoría de compliance en M&A no empieza con la revisión documental. Empieza con la definición del alcance y el gobierno del proceso. Este es el error más frecuente que detectamos: equipos que acceden al data room sin haber delimitado qué buscan y qué decisiones tomarán con lo que encuentren.
El alcance debe cubrir, como mínimo, los cinco vectores identificados en la sección anterior. Para cada vector, el equipo auditor necesita identificar: el responsable interno en la empresa objetivo, la documentación disponible, el estado de implantación real (no el teórico) y los hallazgos de auditorías previas internas o externas.
En operaciones con componente inmobiliaria relevante, el equipo auditor combina juristas especializados en compliance y protección de datos con asesores con conocimiento del sector urbanístico. La coordinación entre ambos perfiles es determinante para no perder hallazgos que solo son visibles en la intersección de ambas disciplinas.
La lista de peticiones de información (request list) en el vector de compliance debe incluir, entre otros elementos:
La ausencia de alguno de estos documentos ya es, en sí misma, un hallazgo relevante. Una empresa que no puede presentar su registro de actividades de tratamiento probablemente no ha adaptado su tratamiento de datos al RGPD. Una constructora que no tiene actas del órgano de vigilancia de su modelo de compliance probablemente no tiene un modelo operativo, sino solo un documento depositado en un cajón.
La adaptación al RGPD no se verifica con la lectura de la política de privacidad publicada en la web corporativa. Esta es la creencia errónea más extendida entre los equipos directivos que auditamos: confunden la capa de comunicación (aviso de privacidad) con el programa de cumplimiento (registro, contratos, protocolos, formación). Son dos cosas completamente distintas.
En nuestra experiencia, el programa real de protección de datos de un target en el sector inmobiliario y constructor se evalúa en cuatro dimensiones:
¿Trata la empresa los datos de sus clientes, empleados y subcontratistas con una base jurídica válida? En el sector, la base habitual es la ejecución de un contrato para clientes y la relación laboral para empleados. Pero los tratamientos secundarios (marketing, perfilado de compradores potenciales, videovigilancia en obra) requieren una base adicional que con frecuencia no está documentada.
La constructora o promotora que externaliza la gestión de su CRM, su nómina o su sistema de videovigilancia está cediendo acceso a datos personales a un tercero. La normativa exige que esa relación esté cubierta por un contrato de encargado de tratamiento con las cláusulas mínimas que el RGPD establece. La ausencia de estos contratos es una de las causas más frecuentes de expedientes sancionadores abiertos por la AEPD.
El target debe disponer de un procedimiento documentado que establezca cómo detecta, evalúa y notifica una brecha de seguridad. El plazo de notificación a la AEPD es de 72 horas desde el conocimiento de la brecha. En la práctica, muchas empresas del sector no tienen siquiera identificado quién toma la decisión de notificar ni qué información debe incluirse en esa notificación.
En grupos inmobiliarios con inversores o accionistas fuera del Espacio Económico Europeo, o en constructoras que usan proveedores de software con servidores en terceros países, las transferencias internacionales de datos deben estar amparadas por uno de los mecanismos que el RGPD permite. Este vector es habitualmente invisible en la auditoría de datos si no se revisan los contratos de servicios cloud y de software de gestión.
El sector inmobiliario y constructor presenta un mapa de riesgos penales corporativos que difiere del de la empresa industrial o tecnológica. Los delitos que la práctica de los juzgados de lo mercantil y las fiscalías especializadas identifica con mayor frecuencia en el sector son: corrupción urbanística, delitos contra los derechos de los trabajadores en obra, infracciones medioambientales en procesos de demolición o gestión de residuos, y delitos contra la ordenación del territorio.
Un modelo de compliance penal operativo no es solo el documento. Es la evidencia de que el documento se ha implementado y que el órgano de vigilancia funciona. Los elementos que debe acreditar el target son:
¿Qué sucede cuando el modelo existe sobre el papel pero no se ha implementado? En ese caso, el adquirente asume un riesgo que puede materializarse en responsabilidad penal corporativa si, tras el cierre, se produce un hecho delictivo vinculado a una conducta que venía produciéndose antes de la adquisición. La Audiencia Provincial viene admitiendo que la mera existencia del documento, sin implementación real, no exime de responsabilidad a la persona jurídica.
El canal de denuncias es, en muchas empresas del sector, el elemento de compliance menos maduro. Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y el patrón es consistente: el canal existe formalmente, pero el procedimiento de gestión de las denuncias recibidas o no está documentado o no se aplica de forma sistemática.
En una auditoría de M&A, la revisión del canal debe responder a tres preguntas concretas:
La ausencia de denuncias tramitadas en empresas con actividad relevante no es necesariamente un signo positivo. Puede indicar que el canal no es conocido por la plantilla, que no se percibe como seguro o que las irregularidades se gestionan por vías informales. Cualquiera de esas situaciones es un hallazgo que el adquirente debe valorar.
La auditoría de compliance no termina con la entrega del informe. Genera decisiones que deben integrarse en el proceso de negociación y en el plan de posintegración. Estas son las más relevantes para la dirección:
Existe una relación directa entre el momento en que se incorpora el asesoramiento de compliance y el coste total de la operación. Cuando la auditoría se realiza antes de la firma del contrato de compraventa, los hallazgos se convierten en palancas de negociación. Cuando se realiza después del cierre, se convierten en costes de remediación que el adquirente asume íntegramente.
El registro de actividades de tratamiento actualizado, el protocolo de brechas documentado y el modelo de compliance operativo no son solo requisitos normativos. Son activos que reducen la sanción potencial y la responsabilidad del adquirente si, tras el cierre, se produce un incidente. La Audiencia Provincial viene reconociendo que la existencia de un programa de compliance implementado opera como atenuante en la determinación de la responsabilidad penal de la persona jurídica.
En nuestra práctica, hemos observado que los adquirentes que integran la auditoría de compliance desde la fase de carta de intenciones (term sheet) obtienen dos ventajas concretas: una mejor calibración del precio y un período de posintegración más corto, porque el plan de remediación ya está definido en el momento del cierre.
¿Evalúa una adquisición en el sector inmobiliario o constructor? El momento de iniciar la revisión de compliance no es después de la firma. Es antes.
Si quiere revisar el alcance de la auditoría de compliance en su operación, le invitamos a plantear su caso en nuestra práctica de Protección de datos y compliance, donde coordinamos el análisis con el equipo de cada proyecto.
La siguiente lista de verificación resume los elementos mínimos que debe revisar el equipo auditor antes de cerrar una operación en el sector inmobiliario y constructor. No sustituye a un análisis jurídico específico, pero sirve como guía de trabajo.
Para un análisis más detallado sobre la estructura de la auditoría de cumplimiento, puede consultar nuestra guía general sobre cómo auditar el cumplimiento en una operación, que desarrolla la metodología aplicable con independencia del sector.
La auditoría de compliance en operaciones inmobiliarias conecta de forma natural con la práctica de Derecho societario y operaciones M&A, donde coordinamos la estructura de la adquisición, las representaciones y garantías y los mecanismos de ajuste de precio. También es habitual que los hallazgos en materia de prevención del blanqueo de capitales afecten a la estructura fiscal de la operación, lo que hace aconsejable la revisión paralela por el equipo de Fiscal y tributario. Puede encontrar más detalles sobre cómo gestionamos operaciones con estas particularidades en nuestro caso práctico sobre adaptación al RGPD, que ilustra cómo un proceso de remediación puede ejecutarse de forma eficiente.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.