Nuestro programa se construye a medida. No utilizamos un manual genérico idéntico para todas las empresas.
1. Mapa de obligaciones regulatorias
El mapa identifica todas las obligaciones aplicables a la empresa según su actividad, dimensión, estructura, mercado, territorio y tipología de cliente.
Cada obligación incluye:
- Norma de referencia.
- Organismo competente.
- Descripción de la actuación exigida.
- Periodicidad.
- Fecha límite.
- Departamento responsable.
- Persona encargada.
- Evidencia que debe conservarse.
- Riesgo asociado al incumplimiento.
- Nivel de prioridad.
Este documento se convierte en la base del programa.
2. Matriz de riesgos regulatorios
No todas las obligaciones tienen la misma importancia.
Clasificamos los riesgos según probabilidad, impacto económico, gravedad sancionadora, efecto operativo y capacidad de detección.
La matriz permite priorizar recursos y distinguir entre riesgos críticos, relevantes, moderados y residuales.
Un requerimiento con plazo abierto, una garantía próxima a vencer o un permiso con riesgo de caducidad deben tratarse antes que una mejora documental sin impacto inmediato.
3. Calendario de reporting y comunicaciones
Creamos un calendario centralizado con todas las comunicaciones periódicas y extraordinarias.
El sistema identifica quién genera la información, quién la revisa y quién autoriza el envío.
También establece alertas previas para evitar que la obligación se atienda el último día.
El calendario puede incluir comunicaciones ante CNMC, MITECO, operadores del sistema y del mercado, comunidades autónomas, distribuidores, gestores técnicos y otros organismos.
4. Protocolos y controles internos
Cada riesgo relevante debe contar con un control.
Los controles pueden consistir en:
- Doble validación de datos.
- Listas de comprobación.
- Autorización previa.
- Conciliación de información.
- Revisión jurídica de contratos.
- Control automático de plazos.
- Archivo de evidencias.
- Segregación de funciones.
- Supervisión por compliance.
- Auditorías periódicas.
No basta con afirmar que existe un control. Debe quedar claro quién lo ejecuta y cómo se demuestra que se realizó.
5. Protocolo de gestión de requerimientos e inspecciones
Cuando llega una comunicación de la CNMC o de otra administración, las primeras actuaciones resultan determinantes.
El protocolo establece:
- Quién recibe la notificación.
- Cómo se registra.
- Quién calcula el plazo.
- Qué documentación debe preservarse.
- Qué personas deben ser informadas.
- Cuándo se activa asesoramiento jurídico.
- Cómo se coordinan las respuestas.
- Quién autoriza el escrito final.
- Cómo se evita alterar o destruir evidencia.
Este procedimiento reduce improvisación y contradicciones internas.
6. Control contractual y protección del consumidor
Los contratos deben reflejar correctamente el marco regulatorio vigente.
Revisamos contratos de suministro, agregación, representación, acceso, servicios energéticos, autoconsumo, PPA, EPC, O&M y acuerdos con proveedores.
En comercialización, el programa debe controlar especialmente información precontractual, consentimiento, modificaciones de precios, renovación, penalizaciones, desistimiento, facturación y reclamaciones.
7. Protección de datos y seguridad de la información energética
Los datos de consumo, curvas de carga, CUPS, información contractual y perfiles energéticos pueden tener carácter personal, confidencial o comercialmente sensible.
El programa debe regular accesos, cesiones, encargados de tratamiento, conservación, seguridad y respuesta ante incidentes.
Esta materia adquiere especial importancia para agregadores, comercializadoras y proveedores tecnológicos.
8. Sistema interno de información
Cuando la Ley 2/2023 resulte aplicable, la empresa debe disponer de un sistema interno de información que permita comunicar infracciones de forma segura y confidencial.
El canal debe integrarse con el programa de compliance, pero no sustituye los mecanismos específicos para comunicar incidencias operativas o regulatorias.
Es importante diferenciar entre:
- Consultas internas.
- Incidencias regulatorias.
- Reclamaciones de clientes.
- Alertas de incumplimiento.
- Comunicaciones protegidas por la Ley 2/2023.
9. Formación del equipo
Un programa no funciona si las personas que deben aplicarlo no lo conocen.
Diseñamos sesiones adaptadas a cada área:
- Dirección.
- Compliance.
- Jurídico.
- Comercial.
- Facturación.
- Atención al cliente.
- Operaciones.
- Tecnología.
- Finanzas.
La formación incluye casos prácticos, errores habituales y protocolos de actuación.
10. Seguimiento normativo y actualización
El programa debe actualizarse cuando cambia la normativa, la actividad o la estructura de la empresa.
El seguimiento incluye leyes, reglamentos, circulares, resoluciones, consultas públicas, criterios regulatorios y jurisprudencia relevante.
La alerta no se limita a resumir la novedad. Explica qué cambia, a quién afecta, qué plazo existe y qué documentos o procedimientos deben adaptarse.
11. Integración ESG y riesgos climáticos
El compliance energético puede conectarse con obligaciones de información climática, sostenibilidad y gobernanza.
La Ley 7/2021 y la normativa europea de información sobre sostenibilidad exigen a determinadas entidades evaluar y comunicar riesgos relacionados con el cambio climático.
La empresa debe evitar que la información ESG esté desconectada de su realidad regulatoria.
Los datos sobre emisiones, consumo, eficiencia, renovables, garantías de origen o reducción de impacto deben ser trazables y verificables.