4.2 Función y responsabilidades del responsable del cumplimiento de la PBC/FT

A la hora de decidir si nombrar a un responsable del cumplimiento de la PBC/FT de conformidad con el artículo 8, apartado 4, de la Directiva (UE) 2015/849, el órgano de administración tendrá en cuenta la escala y la complejidad de las operaciones de la entidad de crédito o financiera y su exposición al riesgo de BC/FT con arreglo a los criterios establecidos en la sección 4.2.2.

El responsable del cumplimiento de la PBC/FT será nombrado a nivel de dirección. Tendrá autoridad suficiente para proponer al órgano de administración en su función de supervisión y de dirección, por iniciativa propia, todas las medidas necesarias o adecuadas para garantizar el cumplimiento y la eficacia de las medidas internas en materia de PBC/FT.

Cuando se nombre a un responsable del cumplimiento de la PBC/FT de conformidad con el artículo 8, apartado 4, de la Directiva (UE) 2015/849, el órgano de administración determinará si este cargo se desempeñará a tiempo completo o si puede ser desempeñado por un empleado o un directivo de manera adicional a las funciones que ya desempeñe en la entidad de crédito o financiera.

Cuando se encomienden las funciones del responsable del cumplimiento de la PBC/FT a un empleado o directivo que ya tenga otras tareas o funciones dentro de la entidad de crédito o financiera, el órgano de administración identificará y considerará posibles conflictos de intereses y adoptará las medidas necesarias para evitarlos o, cuando ello no sea posible, gestionarlos. El órgano de administración garantizará que esa persona pueda dedicar tiempo suficiente a las funciones atribuidas al responsable del cumplimiento de la PBC/FT.

El responsable del cumplimiento de la PBC/FT deberá ponerse a disposición de la autoridad competente y de la UIF previa solicitud, y, por lo tanto, normalmente deberá ser contratado y trabajar en el país en el que esté establecida la entidad de crédito o financiera.

Cuando sea proporcionado al riesgo de BC/FT al que está expuesta la entidad de crédito o financiera, y en la medida en que lo permita la legislación nacional, el responsable del cumplimiento de la PBC/FT podrá ser contratado para trabajar en otra jurisdicción. En tales casos, la entidad de crédito o financiera deberá disponer de los sistemas y controles necesarios para garantizar que el responsable del cumplimiento de la PBC/FT tiene acceso a toda la información y a los sistemas necesarios para llevar a cabo sus tareas y está disponible para reunirse sin demora con la UIF local y la autoridad competente. La entidad de crédito o financiera también deberá poder demostrar a su autoridad competente que las medidas que ha adoptado a este respecto son adecuadas y eficaces.

El responsable del cumplimiento de la PBC/FT podrá asignar y delegar sus tareas, tal como se establece en la sección 4.2.4, a otros directivos y empleados que actúen bajo su dirección y supervisión, siempre que la responsabilidad última del cumplimiento efectivo de dichas tareas siga recayendo en el responsable del cumplimiento de la PBC/FT.

El responsable del cumplimiento de la PBC/FT formará parte de la segunda línea de defensa y, como tal, será parte de una función independiente, y se deberán cumplir las siguientes condiciones:

• a) El responsable del cumplimiento de la PBC/FT deberá ser independiente de las líneas de negocio o unidades bajo su control y no podrá ser subordinado de ninguna persona que tenga la responsabilidad de gestionar cualquiera de esas líneas de negocio o unidades.
• b) La entidad de crédito o financiera deberá haber establecido procedimientos internos para garantizar que el responsable del cumplimiento de la PBC/FT tiene en todo momento acceso directo y sin restricciones a toda la información necesaria para el desempeño de sus funciones. La decisión sobre la información a la que necesita acceder a este respecto competerá en exclusiva al responsable del cumplimiento de la PBC/FT.
• c) En caso de incidente significativo, el responsable del cumplimiento de la PBC/FT podrá informar y tener acceso directo al órgano de administración en su función de supervisión o a la alta dirección cuando no exista un órgano de administración. 4.2.2 Criterios de proporcionalidad para el nombramiento de un responsable del cumplimiento de la PBC/FT

La entidad de crédito o financiera nombrará a un responsable del cumplimiento de la PBC/FT, a menos que sea un empresario individual, tenga una plantilla muy limitada o la no designación esté justificada por los motivos previstos en el apartado 33.

Cuando el órgano de administración decida no nombrar a un responsable del cumplimiento de la PBC/FT, los motivos se justificarán y documentarán, haciendo referencia explícitamente, como mínimo, a los siguientes criterios:

• a) la naturaleza de la actividad de la entidad de crédito o financiera y los riesgos de BC/FT asociados, teniendo en cuenta su exposición geográfica, su base de clientes, sus canales de distribución y su oferta de productos y servicios;
• b) el volumen de sus operaciones en la jurisdicción, el número de clientes, el número y el volumen de sus operaciones y el número de empleados equivalentes a tiempo completo;
• c) la forma jurídica de la entidad de crédito o financiera, incluido si la entidad de crédito o financiera forma parte de un grupo.

Cuando se decida no nombrar a un responsable del cumplimiento de la PBC/FT, la entidad de crédito o financiera organizará el desempeño de las tareas del responsable del cumplimiento de la PBC/FT (véase la sección 4.2.4 sobre las tareas y el papel del responsable del cumplimiento de la PBC/FT), bien encomendándoselas al miembro del órgano de administración a que se refiere la sección 4.1.3 o al alto directivo responsable de la PBC/FT a que se refiere la sección 4.1.4, o bien externalizando las funciones operativas como se menciona en la sección 4.2.6, o mediante una combinación de las opciones anteriores.

Cuando el responsable del cumplimiento de la PBC/FT actúe para dos o más entidades del grupo o se encargue de otras tareas, la entidad de crédito o financiera se asegurará de que estos múltiples cometidos permitan al responsable del cumplimiento de la PBC/FT desempeñar eficazmente sus funciones. El responsable del cumplimiento de la PBC/FT solo podrá operar para distintas entidades si estas forman parte del mismo grupo. Sin embargo, debido a la naturaleza particular del sector de los organismos de inversión colectiva⁵ , el responsable del cumplimiento de la PBC/FT podría prestar servicios a varios fondos. 4.2.3 Idoneidad, capacidades y conocimientos especializados

⁵ Un organismo de inversión colectiva (OIC) es un OICVM tal como se define en el artículo 1, apartado 2, de la Directiva 2009/65/CE del Parlamento Europeo y del Consejo, de 13 de julio de 2009, por la que se coordinan las disposiciones legales, reglamentarias y administrativas sobre determinados organismos de inversión colectiva en valores mobiliarios (OICVM), o un FIA, tal como se define en el artículo 4, apartado 1, letra a), de la Directiva 2011/61/UE.

En relación con el escrutinio de los empleados a que se refiere el artículo 8, apartado 4, letra a), de la Directiva (UE) 2015/849, las entidades financieras o de crédito valorarán, antes de su nombramiento, si el responsable del cumplimiento de la PBC/FT tiene:

• a) la reputación, honestidad e integridad necesarias para desempeñar su función;
• b) las capacidades y la experiencia adecuadas en materia de PBC/FT, incluido el conocimiento del marco jurídico y regulatorio aplicable en materia de PBC/FT, y de la aplicación de políticas, controles y procedimientos en materia de PBC/FT;
• c) conocimiento y comprensión de los riesgos de BC/FT asociados al modelo de negocio de la entidad de crédito o financiera suficientes para desempeñar su función con eficacia;
• d) experiencia pertinente en materia de identificación, evaluación y gestión de los riesgos de BC/FT, y
• e) tiempo y jerarquía suficientes para desempeñar sus funciones con eficacia, independencia y autonomía.

Las entidades de crédito o financieras garantizarán que la función de cumplimiento de la PBC/FT funciona de forma continua como parte de la gestión general de la continuidad de sus actividades. Deberán prever la posibilidad de que el responsable del cumplimiento de la PBC/FT interrumpa el ejercicio de sus funciones y disponer de una persona en quien delegar, con las capacidades y los conocimientos especializados adecuados para asumir las funciones del responsable del cumplimiento de la PBC/FT en caso de que este último se ausente durante un período de tiempo o se cuestione su integridad.

4.2.4 Tareas y papel del responsable del cumplimiento de la PBC/FT

El papel y las responsabilidades del responsable del cumplimiento de la PBC/FT estarán claramente definidas y documentadas.

• a. Desarrollo de un marco de evaluación de riesgos

En relación con la detección y evaluación de riesgos a que se refiere el artículo 8, apartado 1, de la Directiva (UE) 2015/849, el responsable del cumplimiento de la PBC/FT desarrollará y mantendrá un marco de evaluación de riesgos de BC/FT para las evaluaciones de riesgos de BC/FT global de toda la actividad e individuales, en consonancia con las directrices de la ABE sobre los factores de riesgo de BC/FT⁶ .

⁶ Directrices revisadas de la ABE sobre los factores de riesgo de BC/FT (EBA/GL/2021/02).

El responsable del cumplimiento de la PBC/FT informará de los resultados de las evaluaciones de riesgos de BC/FT global de toda la actividad e individuales al órgano de administración, a través del miembro del órgano de administración o del alto directivo responsable de la PBC/FT, o directamente si lo considera necesario. El responsable del cumplimiento de la PBC/FT propondrá al órgano de administración las medidas que deban adoptarse para mitigar esos riesgos. No se iniciarán lanzamientos de nuevos productos o servicios o cambios significativos en los existentes, el desarrollo de un nuevo mercado o la realización de nuevas actividades hasta que se disponga de los recursos adecuados para comprender y gestionar los riesgos asociados y estos se apliquen de manera efectiva.

• b. Desarrollo de políticas y procedimientos

El responsable del cumplimiento de la PBC/FT garantizará que se establezcan políticas y procedimientos adecuados, se mantengan actualizados y se apliquen de forma efectiva y continua. Las políticas y procedimientos serán proporcionados a los riesgos de BC/FT identificados por la entidad de crédito o financiera. El responsable del cumplimiento de la PBC/FT, como mínimo:

• a) establecerá las políticas y los procedimientos en materia de PBC/FT que deberá adoptar la entidad de crédito o financiera, así como los controles y sistemas que deben aplicarse en virtud del artículo 8, apartado 4, de la Directiva (UE) 2015/849;
• b) garantizará que las políticas y los procedimientos en materia de PBC/FT se implementan eficazmente por parte de la entidad de crédito o financiera, tal como se explica en la sección d) sobre la supervisión del cumplimiento;
• c) garantizará que las políticas y procedimientos en materia de PBC/FT se revisan periódicamente y se modifican o actualizan cuando sea necesario;
• d) propondrá la manera de abordar cualquier cambio en los requisitos legales o regulatorios o en los riesgos de BC/FT, así como la mejor manera de abordar las deficiencias o carencias detectadas a través de las actividades de supervisión o control.

Las políticas, controles y procedimientos a que se refiere el artículo 8, apartado 4, de la Directiva (UE) 2015/849 incluirán, como mínimo, lo siguiente:

• a) la metodología para las evaluaciones de riesgos de BC/FT global de toda la actividad e individuales;
• b) la diligencia debida con respecto al cliente, incluida la prevista en las directrices revisadas de la ABE sobre los factores de riesgo de BC/FT⁷ , y un proceso de aceptación de clientes, tal como se explica más adelante en la sección c) sobre los clientes, en particular para los clientes de alto riesgo;
• c) la comunicación interna (análisis de transacciones inusuales) y la presentación de comunicaciones por indicio a la UIF;
• d) la conservación de documentos, y
• e) las disposiciones para supervisar el cumplimiento de la PBC/FT, tal como se indica en la sección d) sobre supervisión del cumplimiento.
• c. Clientes, incluidos los clientes de alto riesgo

⁷ Directrices de la ABE en virtud del artículo 17 y el artículo 18, apartado 4, de la Directiva (UE) 2015/849 sobre aplicación de medidas de diligencia debida con respecto al cliente y los factores que las entidades financieras y de crédito considerarán al evaluar el riesgo de blanqueo de capitales y de financiación del terrorismo asociado a relaciones de negocios o a transacciones ocasionales («las directrices sobre factores de riesgo de BC/FT») (EBA/GL/2021/02).

Se consultará al responsable del cumplimiento de la PBC/FT antes de que la alta dirección adopte una decisión definitiva sobre la incorporación de nuevos clientes de alto riesgo o sobre el mantenimiento de relaciones de negocio con clientes de alto riesgo en consonancia con las políticas internas de riesgo en materia de PBC/FT de la entidad de crédito o financiera, y en particular en situaciones en las que la Directiva (UE) 2015/849 exija explícitamente la aprobación de la alta dirección. Si la alta dirección decide no seguir la recomendación del responsable del cumplimiento de la PBC/FT, registrará debidamente su decisión y abordará cómo propone mitigar los riesgos planteados por el responsable del cumplimiento de la PBC/FT.

• d. Supervisión del cumplimiento

En su condición de segunda línea de defensa, el responsable del cumplimiento de la PBC/FT será responsable de controlar si las medidas, políticas, controles y procedimientos aplicados por la entidad de crédito o financiera cumplen las obligaciones de la entidad de crédito o financiera en materia de PBC/FT. El responsable del cumplimiento de la PBC/FT también supervisará la aplicación efectiva de los controles de PBC/FT puestos en práctica por las líneas de negocio y las unidades internas (primera línea de defensa).

El responsable del cumplimiento de la PBC/FT garantizará que el marco de PBC/FT se actualiza cuando sea necesario y, en todo caso, cuando se detecten deficiencias, surjan nuevos riesgos o haya cambiado el marco jurídico o regulatorio.

El responsable del cumplimiento de la PBC/FT recomendará al órgano de administración las medidas correctoras que deban adoptarse para abordar las deficiencias detectadas en el marco de la PBC/FT de la entidad de crédito o financiera, incluidas las deficiencias detectadas por las autoridades competentes o por los auditores internos o externos.

• e. Comunicación de información al órgano de administración

El responsable del cumplimiento de la PBC/FT asesorará al órgano de administración sobre las medidas que deben tomarse para garantizar el cumplimiento de las leyes, normas, reglamentos y estándares aplicables, y proporcionará su evaluación sobre el posible impacto de cualquier cambio en el entorno jurídico o regulatorio sobre las actividades y el marco de cumplimiento de la entidad de crédito o financiera.

El responsable del cumplimiento de la PBC/FT pondrá en conocimiento del miembro del órgano de administración o del alto directivo responsable de la PBC/FT:

• a) los ámbitos en los que se deberá aplicar o mejorar el funcionamiento de los controles de PBC/FT;
• b) las mejoras apropiadas sugeridas en relación con la letra a) anterior;
• c) un informe de situación de cualquier plan de medidas correctoras significativo, al menos una vez al año como parte del informe de actividades a que se refiere el apartado 50 y de manera ad hoc o periódica, en función de las mejoras, para facilitar información sobre el nivel de exposición a los riesgos de BC/FT y las medidas adoptadas o recomendadas para reducir y gestionar eficazmente dichos riesgos;
• d) si los recursos humanos y técnicos asignados a la función de cumplimiento de la PBC/FT son insuficientes y deberían reforzarse.

La entidad de crédito o financiera debe estar preparada para facilitar a la autoridad competente una copia del informe de actividades a que se refiere el apartado 50.

El responsable del cumplimiento de la PBC/FT elaborará un informe de actividades al menos una vez al año, que será proporcionado a la escala y la naturaleza de las actividades de la entidad de crédito o financiera. El informe de actividades podrá basarse, en su caso, en información ya enviada a las autoridades nacionales competentes en otros informes, y contendrá, al menos, lo siguiente:

1) Sobre la evaluación de riesgos de BC/FT:

• a) un resumen de las principales conclusiones de la evaluación del riesgo global de BC/FT de toda la actividad de la entidad a que se refiere el artículo 8 de la Directiva (UE) 2015/849, cuando dicha actualización se haya llevado a cabo en el año anterior, y una confirmación de si la autoridad competente ha exigido que se presente para el año de referencia⁸ ;
• b) una descripción de cualquier cambio relacionado con el método utilizado por la entidad de crédito o financiera para evaluar el perfil de riesgo individual de los clientes, en la que se indique cómo se alinea dicho cambio con la evaluación del riesgo global de BC/FT de toda la actividad de la entidad de crédito o financiera;
• c) la clasificación de los clientes por categoría de riesgo, incluido el número de expedientes de clientes por categoría de riesgo para los que están pendientes las revisiones y actualizaciones de la DDC;
• d) información y datos estadísticos sobre:

2) Sobre los recursos:

• e) una breve descripción de la estructura de la organización de PBC/FT y, en su caso, de cualquier cambio significativo realizado en el último año y de la motivación subyacente;
• f) una breve descripción de los recursos humanos y técnicos asignados a la función de cumplimiento de la PBC/FT por la entidad de crédito o financiera;

supervisión realizada por la entidad de crédito o financiera sobre tales actividades.

3) Sobre las políticas y los procedimientos:

• h) un resumen de las medidas y procedimientos importantes adoptados durante el año, incluida una breve descripción de las recomendaciones, problemas, deficiencias e irregularidades identificados en el año del informe;
• i) una descripción de las medidas de supervisión del cumplimiento adoptadas para evaluar la aplicación de las políticas, controles y procedimientos de PBC/FT por parte de los miembros de

entidad de crédito o financiera a efectos de PBC/FT;

• j) una descripción de las actividades de formación en materia de PBC/FT completadas y del plan de formación para el año siguiente;
• k) un plan de actividades de la función de responsable del cumplimiento de la PBC/FT para el año siguiente;
• l) las observaciones de las auditorías internas y externas relevantes para la PBC/FT y cualquier progreso realizado por la entidad de crédito o financiera para dar respuesta a estas observaciones;
• m) las actividades de supervisión, incluidas las comunicaciones con la entidad de crédito o financiera, llevadas a cabo por la autoridad competente, los informes presentados, las infracciones detectadas y las sanciones impuestas, junto con la forma en que la entidad de crédito o financiera se compromete a subsanar las infracciones detectadas y la fase en que se encuentran las medidas correctoras, sin perjuicio de cualquier otro informe periódico que pueda ser necesario en caso de actividad de supervisión o de medidas correctoras.
• f. Comunicación de operativa sospechosa

⁸ Véanse las directrices de la ABE sobre los factores de riesgo de BC/FT para la realización de evaluaciones de riesgos (EBA/GL/2021/02).

En relación con la obligación del responsable del cumplimiento de la PBC/FT, en virtud del artículo 33, apartado 2, de la Directiva (UE) 2015/849, de transmitir la información a que se refiere el apartado 1 de dicho artículo, este se asegurará de que otros miembros de la plantilla a los que se les solicite asistencia para el desempeño de aspectos de esta función tengan las competencias, los conocimientos y la idoneidad para asistir en dicha tarea. Se prestará la debida atención a la sensibilidad y confidencialidad de la información que pueda divulgarse y a las obligaciones de confidencialidad que la entidad de crédito o financiera deba cumplir.

Cuando el responsable del cumplimiento de la PBC/FT transmita información a la UIF de conformidad con el artículo 33, apartado 2, de la Directiva (UE) 2015/849, velará por que la información se transmita de manera efectiva en un formato y a través de medios que cumplan las directrices emitidas por la UIF nacional. Como parte de su función en virtud de dicha disposición, el responsable del cumplimiento de la PBC/FT:

• a) comprenderá el funcionamiento y el diseño del sistema de seguimiento de las operaciones, incluidos los escenarios cubiertos en función de los riesgos de BC/FT a los que está expuesta la entidad de crédito o financiera y los procedimientos internos para gestionar las alertas;
• b) recibirá informes de miembros de la plantilla, agentes o distribuidores de la entidad de crédito
• o financiera, o informes generados de otro modo por los sistemas de la entidad de crédito o financiera, sobre el conocimiento o la sospecha de BC/FT, o sobre personas que puedan haber estado, estén o puedan estar relacionadas con el BC/FT;
• c) velará por que estos informes se examinen con prontitud a fin de determinar si existe conocimiento o sospecha de que los fondos son producto de actividades delictivas, incluido el BC/FT, o si una persona puede haber estado, está o puede estar relacionada con el BC/FT; el responsable del cumplimiento de la PBC/FT también determinará, documentará y aplicará un proceso de priorización de los informes internos recibidos, de modo que, en particular, los informes internos relativos a situaciones de riesgo alto se traten con la urgencia necesaria;
• d) al evaluar los informes recibidos, mantendrá un registro de todas las evaluaciones realizadas, así como de las observaciones recibidas posteriormente de la UIF, con el fin de mejorar la detección de futuras operaciones sospechosas;
• e) garantizará que el conocimiento o la sospecha de BC/FT o de la conexión de una persona con el BC/FT se comunica rápidamente a la UIF, presentando, junto con la notificación, los hechos, acontecimientos o información y documentación que sean necesarios para fundamentar la sospecha o los motivos razonables de sospecha de BC/FT;
• f) velará por que se dé una respuesta rápida y exhaustiva a cualquier solicitud de información presentada por la UIF, y
• g) examinará periódicamente las razones por las cuales alertas de actividades o transacciones inusuales no se elevaron a través de informes internos, a fin de determinar si hay algún problema que deba subsanarse para garantizar la detección efectiva de actividades u operaciones sospechosas.

El responsable del cumplimiento de la PBC/FT garantizará que los controles internos de la entidad de crédito o financiera le permiten cumplir cualquier orientación proporcionada por la UIF.

Las entidades de crédito o financieras llamarán la atención de su dirección y plantilla sobre la obligación de cumplir estrictamente la prohibición de informar al cliente o a terceros de que está en curso o puede iniciarse un análisis de BC/FT, y sobre la obligación de limitar el acceso a esta información a las personas que la necesitan para el desempeño de sus funciones. Aunque exista una obligación de confidencialidad aplicable dentro de la entidad de crédito o financiera, el responsable del cumplimiento de la PBC/FT considerará cuidadosamente a quién se facilita información sobre cualquier informe presentado a la UIF o sobre cualquier solicitud de información recibida de la UIF dentro de la entidad de crédito o financiera. El procedimiento de comunicación será confidencial y la identidad de las personas que participan en la preparación y transmisión de la comunicación estará protegida por la política de privacidad.

• g. Formación y concienciación

De conformidad con la obligación establecida en el artículo 46, apartado 1, de la Directiva (UE) 2015/849 y tal como se especifica en las directrices revisadas de la ABE sobre los factores de riesgo de BC/FT⁹ , el responsable del cumplimiento de la PBC/FT informará debidamente al personal sobre los riesgos de BC/FT a los que está expuesta la entidad de crédito o financiera, incluidos los métodos, tendencias y tipologías de BC/FT, así como del enfoque basado en el riesgo aplicado por la entidad de crédito o financiera para mitigar estos riesgos. La transmisión de esta información puede llevarse a cabo por diversas vías, como cartas de empresa, la intranet o reuniones.

⁹ Directriz 6: Formación de las directrices revisadas de la ABE sobre los factores de riesgo de BC/FT (EBA/GL/2021/02).

El responsable del cumplimiento de la PBC/FT supervisará la preparación y aplicación de un programa continuo de formación en materia de PBC/FT. En cooperación con el departamento de recursos humanos de la entidad de crédito o financiera, se documentará un plan anual de formación y educación del personal, que se mencionará en el informe de actividades que se presente al órgano de administración de conformidad con el apartado 50.

El responsable del cumplimiento de la PBC/FT velará por que los procedimientos internos de comunicación adoptados por la entidad de crédito o financiera se pongan en conocimiento de todo el personal.

Además de la educación general, a efectos del artículo 46, apartado 1, de la Directiva (UE) 2015/849, el responsable del cumplimiento de la PBC/FT evaluará las necesidades específicas de formación en la entidad de crédito o financiera y garantizará que se imparte una formación teórica y práctica adecuada a las personas expuestas a distintos niveles de riesgo de BC/FT, como:

• a) las personas que trabajan en la función de cumplimiento bajo la responsabilidad del responsable del cumplimiento de la PBC/FT;
• b) las personas en contacto con clientes o encargadas de llevar a cabo sus operaciones (empleados, agentes y distribuidores);
• c) las personas responsables de desarrollar procedimientos o herramientas internas aplicables a actividades que pueden ser sensibles al riesgo de BC/FT.

El contenido de los programas de formación específica impartidos a personas con diferentes niveles de exposición a riesgos de BC/FT se ajustará en función del riesgo, tal como se describe en las directrices revisadas de la ABE sobre los factores de riesgo de BC/FT¹⁰ .

¹⁰ Directriz 6: Formación de las directrices revisadas de la ABE sobre los factores de riesgo de BC/FT (EBA/GL/2021/02).

El responsable del cumplimiento de la PBC/FT establecerá indicadores de evaluación para verificar la eficacia de la formación impartida.

Cuando la entidad de crédito o financiera adopte un programa de formación y de concienciación desarrollado en el extranjero, por ejemplo por su oficina principal o empresa matriz, el responsable del cumplimiento de la PBC/FT velará por que este programa se adapte al marco jurídico y regulatorio aplicable a nivel nacional, así como a las tipologías de BC/FT y a las actividades específicas de la entidad de crédito o financiera.

Cuando determinadas actividades de formación se externalicen a un proveedor de servicios, el responsable del cumplimiento de la PBC/FT se asegurará de que: i) el proveedor de servicios tiene los conocimientos necesarios en materia de PBC/FT para garantizar la calidad de la formación que debe impartirse, ii) se establecen y respetan las condiciones de gestión de la externalización, y iii) el contenido de esta formación se adapta a las características específicas de la entidad de crédito o financiera en cuestión.

4.2.5 Relación entre la función de cumplimiento de la PBC/FT y otras funciones

Tanto la función de cumplimiento como la función independiente de cumplimiento de la PBC/FT se situarán en la segunda línea de defensa de las entidades de crédito o financieras.

Cuando la función de cumplimiento de la PBC/FT sea distinta de la función general de cumplimiento, además de las disposiciones de las directrices de las AES sobre gobierno interno¹¹ relativas a un proceso de toma de decisiones transparente y documentado y una asignación clara de responsabilidades y de la autoridad dentro de su marco de control interno, las entidades de crédito o financieras cumplirán las disposiciones establecidas en la presente sección.

¹¹ Directrices de la ABE sobre gobierno interno con arreglo a la Directiva 2013/36/UE (EBA/GL/2021/05); Directrices de la AEVM sobre determinados aspectos de los requisitos de la función de cumplimiento de la MiFID II (ESMA35-36-1946); Directrices de la AESPJ sobre el sistema de gobernanza (EIOPA-BoS-14/253 EN).

La función de auditoría independiente a que se refiere el artículo 8, apartado 4, letra b), de la Directiva (UE) 2015/849 no se combinará con la función de cumplimiento de la PBC/FT.

La función de gestión de riesgos, en la medida en que la entidad de crédito o financiera tenga una función de gestión de riesgos, y, en su caso, el comité de riesgos, tendrá acceso a la información y a los datos pertinentes necesarios para desempeñar su función, incluida la información y los datos de las funciones corporativas y de control interno pertinentes, como la función de cumplimiento de la PBC/FT.

Deberá existir una buena cooperación para el intercambio de información entre el responsable de la función de gestión de riesgos y el responsable del cumplimiento de la PBC/FT. El responsable del cumplimiento de la PBC/FT cooperará con la función de riesgos con el fin de establecer metodologías de PBC/FT coherentes con la estrategia de gestión de riesgos de la entidad de crédito o financiera.

4.2.6 Externalización de las funciones operativas del responsable del cumplimiento de la PBC/FT

Además de las directrices de las AES sobre externalización¹² , según proceda, y cuando la externalización de funciones operativas del responsable del cumplimiento de la PBC/FT esté permitida por la legislación nacional, las entidades de crédito o financieras tendrán en cuenta los siguientes principios clave:

• a. La responsabilidad última del cumplimiento de las obligaciones legales y regulatorias, independientemente de que se subcontraten o no funciones específicas, recae en la entidad de crédito o financiera.
• b. Los derechos y las obligaciones de la entidad de crédito o financiera y del proveedor de servicios deberán estar claramente asignados y establecidos en un acuerdo escrito.
• c. La entidad de crédito o financiera que recurra a un acuerdo de externalización seguirá siendo responsable del seguimiento y la supervisión de la calidad del servicio prestado.
• d. La externalización intragrupo estará sujeta al mismo marco regulador que la externalización a proveedores de servicios ajenos al grupo¹³ .
• e. La externalización de funciones no puede acarrear la delegación de responsabilidades del órgano de administración. Las decisiones estratégicas relacionadas con la PBC/FT no se externalizarán. Estas decisiones incluyen, en particular:
• i. la aprobación de la evaluación global del riesgo de BC/FT de toda la actividad de la entidad;
• ii. la decisión sobre la organización interna del marco de PBC/FT de la entidad de crédito
• o financiera;
• iii. la adopción de políticas y procedimientos internos en materia de PBC/FT;
• iv. la aprobación de la metodología empleada para determinar el riesgo de BC/FT que presenta una relación de negocios determinada y la asignación del perfil de riesgo;
• v. la aprobación de los criterios que deberá utilizar la entidad de crédito o financiera para detectar operaciones sospechosas o inusuales con fines de realizar un seguimiento continuo de las mismas o de comunicación.

Las entidades de crédito y financieras siguen siendo responsables en última instancia de la decisión de notificar las operaciones sospechosas a la UIF, incluso en los casos en los que se haya externalizado la identificación y notificación de operaciones sospechosas.

¹² Directrices de la ABE sobre externalización (EBA/GL/2019/02); Directrices de la AESPJ sobre la externalización a proveedores de servicios en la nube (EIOPA-BoS-20-002); Directrices de la AEVM sobre la externalización a proveedores de servicios en la nube (ESMA50-157-2403).

¹³ Punto 27 de las secciones de antecedentes de las Directrices de la ABE sobre externalización, de 25 de febrero de 2019 (EBA/GL/2019/02).

Las entidades de crédito y financieras seguirán el proceso de externalización que se establece en las directrices de la ABE sobre externalización cuando externalicen tareas operativas de la función de responsable del cumplimiento de la PBC/FT a un proveedor de servicios. Esto incluye la identificación y evaluación de los riesgos pertinentes del acuerdo de externalización, la justificación de la decisión de externalizar a la luz de los objetivos perseguidos (si su objetivo es garantizar una asignación óptima de los recursos en materia de PBC/FT en todo el grupo o sobre la base de los criterios de proporcionalidad), la aplicación de la diligencia debida con respecto al posible proveedor de servicios y la formalización en un contrato del acuerdo de externalización.

La entidad de crédito o financiera que externalice tareas de la función de cumplimiento de la PBC/FT encomendará a su responsable del cumplimiento de la PBC/FT:

• i) el seguimiento del desempeño del proveedor de servicios para garantizar que la externalización permite efectivamente a la entidad de crédito o financiera cumplir todas sus obligaciones legales y regulatorias en materia de PBC/FT;
• ii) la realización de un control periódico del cumplimiento por parte del prestador de servicios de los compromisos derivados del acuerdo. De conformidad con el análisis documentado, el control periódico garantizará que la función de cumplimiento de la PBC/FT dispone de medios para comprobar y supervisar de forma periódica y ocasional el cumplimiento de las obligaciones que incumben al proveedor de servicios. Por lo que se refiere a los datos de su cliente, la función de cumplimiento de la PBC/FT y la autoridad competente tendrán derechos de acceso a los sistemas
• o bases de datos del proveedor de servicios;
• iii) informar sobre la externalización al órgano de administración como parte del informe de actividades del responsable del cumplimiento de la PBC/FT o siempre que las circunstancias lo requieran, en particular para que se apliquen cuanto antes las medidas correctoras necesarias.

Cuando la entidad de crédito o financiera no tenga directivos o personal propio aparte del órgano de administración, podrá externalizar la función de cumplimiento de la PBC/FT a un proveedor de servicios. En tales casos, el responsable del cumplimiento de la PBC/FT será el responsable del cumplimiento de la PBC/FT de uno de los proveedores de servicios que tenga experiencia o conocimientos sobre el tipo de actividad u operaciones llevadas a cabo por la entidad de crédito o financiera.

En situaciones en las que la entidad de crédito o financiera recurra a la externalización intragrupo, adoptará, en particular, las medidas necesarias para detectar y gestionar cualquier conflicto de intereses que pueda surgir de dicho acuerdo de externalización. La entidad matriz del grupo:

• a) garantizará que se realiza un inventario de los casos de externalización intragrupo de PBC/FT, con el fin de determinar qué función guarda relación con qué entidad jurídica, está establecida en las entidades en cuestión y se pone periódicamente a disposición de esta para su consulta, y
• b) garantizará que la externalización intragrupo no compromete el cumplimiento por parte de cada filial, sucursal u otra forma de establecimiento de sus obligaciones en materia de PBC/FT.

La externalización de tareas relacionadas con la PBC/FT a proveedores de servicios establecidos en terceros países deberá estar sujeta a medidas de salvaguarda adicionales a fin de garantizar que la externalización no aumenta, como consecuencia de la ubicación del proveedor de servicios, el riesgo de incumplimiento de los requisitos legales y regulatorios o de ejecución ineficiente de las tareas externalizadas, ni obstaculiza la capacidad de la autoridad competente para ejercer eficazmente su poder de supervisión con respecto al proveedor de servicios.