Agente Monitoreo Cumplimiento HR

La monitorización de cumplimiento en las empresas españolas se sitúa entre seis marcos paralelos. El Estatuto de los Trabajadores prohíbe las órdenes empresariales que supongan discriminación y reconoce el derecho de información del Comité de Empresa. La LO 3/2007 impone el plan de igualdad a las empresas de más de 50 trabajadores, junto con el registro retributivo y el protocolo de prevención del acoso. La Ley 2/2023 obliga a un canal interno de denuncias, con plazos de 7 días para el acuse y 3 meses para la respuesta y sanciones de hasta 1 millón de euros. El RGPD y la LOPDGDD imponen el registro de actividades de tratamiento, las medidas de seguridad y la DPIA. El Código Penal regula la responsabilidad penal de la persona jurídica, atenuada por los programas de cumplimiento. Y el Reglamento Europeo de IA, supervisado en España por la AESIA, clasifica como de alto riesgo los sistemas de IA en el empleo. En conjunto, cualquier proceso de monitorización en una empresa mediana o grande española puede activar hasta seis obligaciones acumuladas.

Sanciones acumulables superan 2 millones EUR

La ITSS multa las infracciones laborales muy graves entre 7.501 y 225.018 EUR, con paralización de la actividad y retirada de las bonificaciones, en materias como el plan de igualdad, el protocolo de acoso o la discriminación retributiva. La AEPD sanciona hasta el 4 por ciento de la facturación mundial. La Autoridad Independiente multa las represalias contra el denunciante con hasta 1 millón de euros. El SEPBLAC sanciona el blanqueo hasta 10 millones de euros. La AESIA puede llegar al 7 por ciento de la facturación por sistemas de IA prohibidos. Y el Código Penal contempla la responsabilidad penal de la persona jurídica, con multa proporcional, suspensión de actividades, prohibición de contratar con las administraciones públicas y, en el extremo, su disolución, además de la responsabilidad civil de los administradores. En una empresa mediana o grande con incumplimientos recurrentes, la suma puede superar los 2 millones de euros, más la responsabilidad penal y las reclamaciones ante la jurisdicción social.

La brecha temporal es donde nace el riesgo

Las infracciones compliance rara vez nacen de la intención. Nacen de la distancia entre el momento en que una norma cambia y el momento en que la práctica operativa se adapta. Una actualización Convenio Colectivo entra en vigor 1 abril, pero nómina abril ejecuta valores anteriores porque RRHH no registró ajuste hasta día 5.

Thomson Reuters Regulatory Intelligence contabilizó más de 61.000 eventos regulatorios en el mundo en 2022, unos 234 cambios al día. Solo la transposición de la transparencia retributiva antes de junio de 2026, el Reglamento Europeo de IA, la diligencia debida en sostenibilidad y los derechos digitales de la Ley 12/2024 exigen una revisión completa de las estructuras de cumplimiento.

En la mayoría de las empresas, la verificación de los marcos normativos es puntual: una auditoría externa al año y una reacción ante las denuncias. Entre esos puntos de control pueden pasar meses con desviaciones sin detectar. Y una sola infracción del plan de igualdad puede sancionarse hasta 225.018 EUR como muy grave.

Monitorización continua cambia la estructura del problema

La diferencia entre verificación periódica y monitorización continua no es gradual - es estructural. Verificación periódica examina muestra momento dado. Monitorización continua comprueba cada transacción contra cada regla relevante cada vez. El sistema consta cuatro capas:

Un catálogo de reglas verificables. Cada marco normativo (la ley, el convenio colectivo, los acuerdos internos y los estándares ISO) se traduce en reglas comprobables por la máquina. La prohibición de discriminación del Estatuto de los Trabajadores, por ejemplo, se convierte en una regla que contrasta los datos de selección, promoción, retribución y formación. Cada regla lleva su número de versión, su periodo de vigencia, su fuente legal, su categoría de gravedad y su frecuencia de comprobación.

La conexión con las fuentes de datos. El agente se conecta con la nómina, el ATS, la planificación de turnos, el registro horario, el plan de igualdad, el canal de denuncias y las plataformas GRC. El agente lee, no escribe. El registro de actividades de tratamiento documenta cada conexión, con control de acceso por roles y cifrado en tránsito.

La clasificación de las desviaciones por gravedad. Que un empleado trabaje 15 minutos más allá de la pausa reglamentaria es información; un incumplimiento sistemático del plan de igualdad en un departamento durante tres semanas es un hallazgo crítico. La matriz va de la información a la advertencia, lo crítico y la escalación. Una desviación comunicable a una autoridad como la ITSS, la AEPD o la Fiscalía activa a la Dirección, el Comité de Compliance y el Consejo de Administración en 24 horas.

La escalación y el seguimiento. La matriz determina quién recibe la información según la gravedad: el responsable del proceso, el Compliance Officer, el DPO, el Comité de Empresa o el Consejo de Administración. Tras un intervalo definido se verifica de nuevo, y el caso solo se cierra cuando la desviación se ha corregido de forma efectiva. El audit-trail del Decision Layer guarda la trazabilidad de cada decisión para la defensa posterior ante reclamaciones por discriminación o acoso y procedimientos sancionadores.

Trece etapas: siete deterministas, una asistida por ML y cinco confirmaciones humanas

El agente descompone la monitorización de cumplimiento en 13 microdecisiones: siete deterministas, una asistida por ML y cinco confirmaciones humanas. Las deterministas cubren la conexión a las fuentes de datos en modo solo lectura, la ejecución de las comprobaciones continuas con su clasificación de gravedad, la verificación del registro de tratamientos y la DPIA, la cuota del 2 por ciento de discapacidad, la prevención del blanqueo de capitales, el reporte CSRD y la notificación al Comité de Empresa. La única asistida por ML es un indicador, no una decisión final: la detección de anomalías y el control del sesgo algorítmico. Las cinco confirmaciones humanas obligatorias son el inventario del marco normativo, su traducción a reglas verificables, la tramitación de una denuncia del canal, la activación del protocolo de prevención del acoso y la del programa de cumplimiento penal.

Donde permanece la responsabilidad

El agente detecta las desviaciones, las clasifica, las escala, las documenta y verifica si la corrección funciona. Lo que no hace es decidir qué ocurre: si un exceso de jornada deriva en una amonestación, si un error de nómina se corrige de forma retroactiva o si un incidente es comunicable a una autoridad, eso lo decide una persona. Y la responsabilidad por la causa de la desviación recae en el responsable del departamento competente, no en el empleado individual. Esa separación es la razón por la que el sistema no es de alto riesgo según el Reglamento Europeo de IA: monitoriza y señala, pero no decide sobre las relaciones laborales, lo que permite operar sin que el procedimiento de clasificación de riesgo retrase el despliegue. El Comité de Empresa mantiene su derecho de información sobre el alcance de la monitorización, el plan de igualdad, la auditoría retributiva, el protocolo de acoso y el canal de denuncias.

El programa de cumplimiento penal del art. 31 bis del Código Penal

El art. 31 bis del Código Penal establece la responsabilidad penal de la persona jurídica y la atenúa cuando existe un programa de cumplimiento penal. Ese programa exige un modelo de organización y prevención de delitos con su código ético, un órgano de control independiente que reporta al Consejo de Administración, un canal de denuncias confidencial, un sistema disciplinario y una revisión anual, con certificación externa conforme a las normas UNE 19601 e ISO 37301. Entre los delitos imputables a la persona jurídica están el cohecho, el tráfico de influencias, el blanqueo de capitales, los delitos fiscales, los delitos contra los trabajadores, los delitos contra el medio ambiente y la revelación de secretos.

Casos particulares del cumplimiento español

Hay varios casos especiales relevantes. La cuota del 2 por ciento de empleo para personas con discapacidad obliga a las empresas de más de 50 trabajadores, con medidas alternativas y una sanción muy grave de hasta 225.018 EUR. El antiblanqueo de la Ley 10/2010 obliga a los sujetos obligados (entidades financieras, auditores, abogados, notarios, agentes inmobiliarios o prestadores de servicios de monedas virtuales) a la diligencia debida con el cliente, la comunicación de operaciones sospechosas al SEPBLAC y la retención durante 10 años, con sanciones de hasta 10 millones de euros. El Reglamento Europeo de IA conlleva el registro de los sistemas de alto riesgo ante la AESIA, con DPIA y supervisión humana, y sanciones de hasta el 7 por ciento de la facturación. La diligencia debida en sostenibilidad de la Directiva CSDDD, con transposición prevista para 2027, y el reporte CSRD del RD 109/2025 exigen informar de los incidentes de discriminación y la conducta empresarial, con verificación de expertos independientes del ICAC. Y los derechos digitales de la Ley 12/2024 reconocen la desconexión digital y la intimidad frente a los sistemas de videovigilancia y geolocalización.

Integración con sistemas Compliance españoles

El agente se integra con los principales sistemas de cumplimiento de España. Entre ellos están A3 Wolters Kluwer, líder del mercado; Sage Compliance; Cegid Visma Meta4 para gran empresa; Bizneo HR, con su canal de denuncias; Holded y Factorial para la PYME; y las suites internacionales SAP SuccessFactors, Workday y Personio en sus versiones españolas, con los estándares de cumplimiento penal. También se conecta con plataformas GRC de referencia (ServiceNow, Diligent y OneTrust), con especialistas en canal de denuncias como NAVEX y EQS Group, y con las editoriales jurídicas que mantienen la normativa actualizada. El agente coordina además las obligaciones con las autoridades: las prioridades de la ITSS y la AEPD, la Autoridad Independiente de la Ley 2/2023, el SEPBLAC, la AESIA, las normas ESRS del ICAC, la Fiscalía Anticorrupción y el derecho de información del Comité de Empresa.