4) Preguntas técnicas y profesionales (las que separan a los preparados)
Aquí es donde te ganas el puesto. No basta con saber “de qué va” la ley: quieren ver cómo la aplicas, cómo documentas, y cómo reaccionas cuando algo falla. Muchas ofertas en España lo dejan claro (mira descripciones reales en InfoJobs, Indeed España o Glassdoor): piden PBC/FT, canal interno, third-party risk, formación, investigaciones, reporting y herramientas.
Q: Explícame tu enfoque para un mapa de riesgos de compliance: metodología, scoring y evidencias.
Why they ask it: Evalúan si sabes construir un mapa defendible y accionable.
Answer framework: 5 pasos (universo → riesgos → controles → scoring inherente/residual → plan).
Example answer: “Defino el universo de procesos y obligaciones (penal, PBC/FT si aplica, RGPD, competencia, sanciones, etc.). Identifico riesgos por proceso y los vinculo a controles existentes. Puntúo riesgo inherente por impacto/probabilidad y luego residual según diseño y efectividad del control, apoyándome en evidencias: pruebas, auditorías, incidencias y datos del canal interno. El resultado no es un PDF: es un plan de remediación con dueños, fechas y KPIs.”
Common mistake: Hacer scoring ‘a ojo’ sin evidencias ni distinción inherente/residual.
Q: ¿Cómo diseñarías y operarías el canal interno de información según la Ley 2/2023?
Why they ask it: Quieren comprobar que dominas el marco español de whistleblowing y su operativa.
Answer framework: Ciclo de vida del caso (recepción → admisión → investigación → cierre → reporting).
Example answer: “Aseguro confidencialidad, trazabilidad y plazos. Defino criterios de admisión, roles (gestor del sistema, investigadores, asesoría legal), y un protocolo de investigación con cadena de custodia. Establezco comunicaciones al informante dentro de los plazos legales y un esquema de medidas anti-represalia. Y preparo reporting periódico al órgano de administración con métricas agregadas, sin comprometer datos personales.”
Common mistake: Tratar el canal como un buzón de RR. HH. sin garantías ni protocolo.
Q: En PBC/FT, ¿qué señales de alerta priorizas y cómo documentas una decisión de ‘no escalar’ una alerta?
Why they ask it: Buscan criterio y defensa documental ante auditoría/regulador.
Answer framework: “Alert → hipótesis → pruebas → conclusión” (con checklist de evidencias).
Example answer: “Priorizo alertas por tipología y contexto: patrones inusuales, jurisdicciones de riesgo, estructuras opacas, cambios bruscos de comportamiento y coincidencias con listas. Si decido no escalar, documento la hipótesis y las pruebas: KYC actualizado, origen de fondos, justificación económica, análisis de transacciones y verificación de beneficiario efectivo. La clave es que un tercero pueda reconstruir mi decisión meses después.”
Common mistake: Cerrar alertas con una frase tipo ‘no procede’ sin soporte.
Q: ¿Qué controles anticorrupción consideras imprescindibles en la gestión de terceros (agentes, consultores, intermediarios)?
Why they ask it: Es un foco clásico de riesgo y sanciones.
Answer framework: “Prevent–Detect–Respond” aplicado a terceros.
Example answer: “Prevención: due diligence proporcional al riesgo, cláusulas contractuales (anticorrupción, auditoría, terminación), y aprobación por comité en casos sensibles. Detección: monitorización de pagos, red flags (comisiones atípicas, falta de experiencia, urgencia injustificada), y revisión periódica. Respuesta: plan de investigación, suspensión de pagos si procede y remediación. Y todo con evidencias en un expediente único del tercero.”
Common mistake: Confiar solo en cláusulas contractuales sin due diligence ni monitorización.
Q: ¿Cómo gestionas conflictos de interés en una empresa española con cultura ‘de confianza’?
Why they ask it: Quieren ver si sabes implantar controles sin romper la cultura.
Answer framework: Política simple + declaraciones + controles en compras/contratación.
Example answer: “Lo hago fácil de declarar y difícil de ocultar. Defino qué es conflicto (real, potencial, aparente), pido declaraciones periódicas y por evento (por ejemplo, antes de participar en un comité de compras), y conecto el control con procesos: segregación de funciones, recusación y trazabilidad en actas. La cultura de confianza se protege con transparencia, no con silencio.”
Common mistake: Convertirlo en un trámite anual que nadie lee.
Q: ¿Qué harías si detectas indicios de delito y te piden ‘resolverlo internamente’ sin dejar rastro?
Why they ask it: Miden integridad, independencia y manejo de escalado.
Answer framework: “Stop–Secure–Escalate” (parar daño, asegurar evidencias, escalar formalmente).
Example answer: “Primero aseguro preservación de evidencias y confidencialidad: acceso limitado, cadena de custodia y asesoramiento legal. Segundo, activo el protocolo interno: comité de investigaciones, y si aplica, canal interno. Tercero, documento el escalado al órgano competente. No acepto ‘sin rastro’ porque te deja indefenso y puede agravar la responsabilidad. Mi objetivo es proteger a la empresa con un proceso defendible.”
Common mistake: Aceptar informalidad por presión jerárquica.
Q: ¿Qué indicadores (KPIs/KRIs) reportarías al Comité de Cumplimiento y con qué frecuencia?
Why they ask it: Quieren ver si sabes gobernar con datos.
Answer framework: Cuadro de mando por dominios (canal, formación, terceros, auditoría, incidentes).
Example answer: “Reportaría trimestralmente un cuadro con tendencias: volumen y tipología de casos del canal, tiempos de tramitación, % de formación por colectivos críticos, estado de due diligence de terceros, hallazgos de auditoría y remediación, y eventos relevantes (sanciones, brechas, inspecciones). Además, KRIs adelantados: backlog de revisiones, controles sin evidencia, y áreas con reincidencia.”
Common mistake: Reportar solo actividad (‘hicimos 10 formaciones’) sin eficacia ni tendencias.
Q: ¿Qué herramientas has usado para gestión de compliance y GRC? ¿Cómo las aterrizas en procesos?
Why they ask it: Buscan experiencia real con herramientas, no solo teoría.
Answer framework: “Herramienta → proceso → evidencia” (qué automatizas y qué queda manual).
Example answer: “He trabajado con herramientas tipo GRC para inventario normativo, riesgos y controles, y con soluciones de canal interno y case management. Lo importante no es el nombre: es integrarlo en el flujo. Por ejemplo, que la due diligence de terceros viva conectada a compras, que el canal genere expedientes con trazabilidad, y que el repositorio de evidencias soporte auditoría. Si la herramienta no encaja, prefiero un proceso simple pero auditable antes que un sistema caro sin adopción.”
Common mistake: Hablar de herramientas como ‘software que lo hace todo’ sin explicar integración ni evidencias.
Q: ¿Cómo asegurarías cumplimiento RGPD en investigaciones internas sin cargarte la investigación?
Why they ask it: Quieren equilibrio entre privacidad y necesidad de control.
Answer framework: Minimización + base jurídica + controles de acceso + retención.
Example answer: “Defino base jurídica y finalidad, limito datos a lo necesario, y establezco accesos por rol. Informo cuando procede sin comprometer la investigación, y documento decisiones (por ejemplo, por qué se revisan correos corporativos). Marco plazos de conservación y medidas de seguridad. La investigación debe ser sólida, pero también defendible ante la AEPD.”
Common mistake: Tratar RGPD como ‘no se puede hacer nada’ o, al revés, ignorarlo.
Q: Si el sistema de screening (listas/sanciones) cae durante un pico de altas, ¿qué haces?
Why they ask it: Evalúan continuidad operativa y control alternativo.
Answer framework: BCP de compliance (contención → workaround → registro → post-mortem).
Example answer: “Primero contengo: defino qué altas se bloquean y cuáles pueden seguir con controles alternativos según riesgo. Segundo, aplico workaround: screening manual para casos críticos, muestreo reforzado y aprobación por un responsable para excepciones. Tercero, registro todo: qué se hizo, por qué y qué casos quedan pendientes de re-screening. Y cierro con post-mortem: causa raíz, SLA con proveedor y mejoras del plan de continuidad.”
Common mistake: ‘Seguimos trabajando y luego ya revisamos’ sin registro ni criterios.
Q: ¿Qué certificaciones o estándares valoras para este rol y por qué?
Why they ask it: Quieren ver orientación a buenas prácticas y credibilidad.
Answer framework: “Relevancia para el riesgo del negocio” (no coleccionar siglas).
Example answer: “Depende del sector, pero en España se valora formación especializada y certificaciones de asociaciones como ASCOM, y en entornos con seguridad de la información, marcos como ISO 27001 pueden ser clave por el cruce con RGPD. Si el foco es penal, me interesa cómo se articula el modelo de prevención y su evidencia. No es por la chapa: es por el método y el lenguaje común con auditoría y dirección.”
Common mistake: Enumerar certificaciones sin conectarlas al puesto.