Un indicador de compliance es una medida que te dice, con un número o un sí/no verificable, si una obligación legal de tu empresa está cumplida, al día y demostrable. En una pyme o en un autónomo en España no hacen falta decenas de métricas: bastan entre diez y quince, repartidas por áreas (datos, personas, canal de denuncias, igualdad, prevención), revisadas cada trimestre y respaldadas por documentos con fecha. Esta guía te explica cuáles elegir, cómo calcularlos y qué hacer cuando salen mal.
Puntos clave
- ✅ Un buen indicador mide algo que puedes demostrar con una evidencia: un documento, un registro, una fecha o una firma.
- ✅ No existe una lista universal: los indicadores deben partir de los riesgos de tu empresa, tal y como recuerda la AEPD.
- ✅ Un documento firmado hace años no prueba nada si no se ha revisado: mide también la antigüedad de cada documento.
- ⚠️ Mide pocas cosas y con regularidad. Un cuadro de mando de una página, revisado cada trimestre, vale más que un informe largo que nadie abre.
- ✅ La auditoría gratuita de Cumpleo te ayuda a saber de qué obligaciones partir antes de decidir qué medir.
Tabla de contenidos
- Qué es un indicador de compliance y qué es un objetivo
- Por qué medir el cumplimiento importa en una pyme
- Indicadores comunes a todas las áreas
- Protección de datos: RGPD y LOPDGDD
- Canal de denuncias (Ley 2/2023)
- Personas: registro de jornada, teletrabajo, desconexión y conciliación
- Acoso laboral y acoso sexual o por razón de sexo
- Igualdad, registro retributivo y auditoría retributiva
- Prevención de riesgos laborales
- Prevención del blanqueo de capitales y compliance penal
- Ciberseguridad e inteligencia artificial: NIS2 y ENS
- Sostenibilidad y medio ambiente
- Cómo montar tu cuadro de mando en cuatro pasos
- Nuestra perspectiva
- Cómo te ayuda Cumpleo a medir y mantener el cumplimiento
- Preguntas frecuentes
- Fuentes
Qué es un indicador de compliance y qué es un objetivo
Conviene separar dos ideas que se mezclan a menudo:
- Objetivo de compliance: lo que quieres lograr. Por ejemplo, “tener el registro de actividades de tratamiento actualizado” o “que todos los trabajadores hayan recibido la formación obligatoria”.
- Indicador (o KPI): la medida que dice si lo has logrado. Por ejemplo, “porcentaje de tratamientos de datos incluidos en el registro” o “porcentaje de plantilla formada en los últimos 12 meses”.
Un objetivo sin indicador es una intención. Un indicador sin objetivo es un número suelto. Funcionan juntos.
Hay además dos tipos de indicadores útiles:
- De estado: dicen si algo existe y está vigente (¿hay política de privacidad? ¿está designado el responsable del sistema interno de información?).
- De funcionamiento: dicen si el proceso se usa de verdad (¿cuántos días tardamos en responder una comunicación del canal? ¿cuántos trabajadores han completado la formación?).
Los primeros te protegen de olvidos. Los segundos son los que más pesan cuando alguien revisa tu empresa, porque demuestran que las medidas no son papel mojado.
Por qué medir el cumplimiento importa en una pyme
El Reglamento General de Protección de Datos (RGPD) se apoya en la responsabilidad proactiva: la empresa debe aplicar medidas adecuadas y, además, poder demostrar que las aplica. La guía de la AEPD sobre el listado de cumplimiento del RGPD parte de un enfoque de riesgos, y de ahí sale una consecuencia práctica: no hay un indicador válido para todos. Una clínica que trata datos de salud mide cosas distintas que una tienda online o un despacho de arquitectura.
El mismo razonamiento se aplica al resto de materias. Medir te permite:
- Ver qué obligaciones tienes sin cubrir antes de que lo vea un tercero.
- Priorizar con poco tiempo y poco presupuesto.
- Reunir evidencias con fecha, que es lo que se pide en una inspección o ante una reclamación.
- Explicar a un socio, a un cliente o a tu gestoría en qué punto estás.
Indicadores comunes a todas las áreas
Antes de entrar en cada normativa, hay cuatro medidas transversales que sirven para cualquier empresa.
| Indicador | Cómo se calcula | Señal de alerta |
|---|---|---|
| Cobertura de obligaciones | Obligaciones identificadas con documento vigente ÷ obligaciones aplicables | Cualquier obligación aplicable sin documento |
| Antigüedad de los documentos | Fecha de la última revisión de cada documento | Más de 12 meses sin revisar o cambio normativo posterior |
| Formación completada | Trabajadores formados ÷ plantilla afectada | Altas nuevas sin formar |
| Acciones correctoras cerradas | Acciones cerradas a tiempo ÷ acciones abiertas | Acciones abiertas sin responsable ni fecha |
El primero exige saber cuáles son tus obligaciones. Si no lo tienes claro, empieza por ahí: la auditoría gratuita de Cumpleo las identifica en unos tres minutos y te da la lista sobre la que medir.
Protección de datos: RGPD y LOPDGDD
La AEPD recoge en su página de medidas de cumplimiento las herramientas con las que el RGPD pide demostrar el cumplimiento. A partir de ellas, estos son los indicadores más útiles para una pyme:
- Registro de actividades de tratamiento (RAT): porcentaje de tratamientos reales (clientes, nóminas, candidatos, videovigilancia, web) que figuran en el registro. Objetivo: 100 % de los que existan, con fines, categorías de interesados, plazos de supresión y medidas de seguridad.
- Textos legales: política de privacidad, aviso legal y política de cookies publicados y coherentes con lo que hace realmente tu web. Se mide con un sí/no y la fecha de la última revisión.
- Delegado de protección de datos (DPD): si tu actividad exige designarlo, comprobar que está nombrado y comunicado. Si no lo exige, anota por escrito por qué.
- Análisis de riesgos: fecha del último análisis y número de riesgos altos sin medida asociada.
- Formación: porcentaje de trabajadores con acceso a datos personales que ha recibido formación en el último año.
- Derechos de las personas: número de solicitudes de acceso, rectificación o supresión recibidas y tiempo medio de respuesta. Aunque recibas pocas, el indicador es útil para comprobar que sabrías gestionarlas en plazo.
- Incidentes: brechas de seguridad registradas, con fecha de detección y de actuación.
Si quieres ver qué incluye una adaptación completa, tienes el servicio de protección de datos y adaptación al RGPD.
Canal de denuncias (Ley 2/2023)
La Ley 2/2023 obliga a contar con un sistema interno de información con garantías de confidencialidad, posibilidad de comunicación anónima, trazabilidad y protección del informante frente a represalias. Es un área donde medir es sencillo, porque la propia ley pide llevar un registro de las comunicaciones.
Indicadores recomendables:
- Sistema implantado: sí/no, con fecha de puesta en marcha y nombramiento del responsable del sistema.
- Difusión: porcentaje de trabajadores que conoce el canal (se comprueba con la formación o una comunicación firmada).
- Plazo de acuse de recibo: la ley fija siete días naturales desde la recepción. Mide cuántas comunicaciones se acusan en plazo.
- Plazo de resolución: la ley establece un máximo de tres meses para dar respuesta (ampliable en casos de especial complejidad). Mide el tiempo medio y los casos fuera de plazo.
- Trazabilidad: porcentaje de comunicaciones con código de identificación, fecha, actuaciones, medidas adoptadas y fecha de cierre.
- Número de comunicaciones: ojo con interpretarlo. Que no haya ninguna no significa que todo vaya bien, y que haya muchas no significa que vaya mal: puede indicar confianza en el canal.
La gestión manual de este canal, con un correo compartido o una hoja de cálculo, suele fallar en confidencialidad y en trazabilidad. Por eso conviene que el canal esté en una herramienta pensada para ello.
Personas: registro de jornada, teletrabajo, desconexión y conciliación
En materia laboral los indicadores son más cotidianos y, por eso, más fáciles de dejar caer.
Registro de jornada
- Porcentaje de trabajadores con registro diario completo.
- Días con registros incompletos o sin validar.
- Conservación: los registros deben estar disponibles para la Inspección de Trabajo y los representantes de los trabajadores; comprueba que puedes recuperar el histórico.
Teletrabajo
- Porcentaje de trabajadores en remoto con acuerdo firmado y política de teletrabajo vigente.
- Revisión de compensación de gastos, si procede por convenio o acuerdo.
Desconexión digital
- Política de desconexión digital comunicada por escrito.
- Formación o sensibilización de mandos intermedios sobre horarios de comunicación.
Conciliación
- Número de solicitudes de adaptación de jornada recibidas, respondidas por escrito y en plazo.
Son indicadores de estado y de funcionamiento a la vez: la política existe, pero lo que cuenta es que se aplica y deja rastro.
Acoso laboral y acoso sexual o por razón de sexo
Los protocolos contra el acoso no se miden por cuántos casos hay, sino por si el procedimiento está listo y es conocido:
- Protocolo aprobado, con fecha, y comunicado a toda la plantilla.
- Persona o comisión instructora designada.
- Porcentaje de plantilla informada o formada.
- Casos recibidos, tiempo hasta la primera actuación y medidas adoptadas, siempre con confidencialidad.
Si la empresa tiene plan de igualdad, el protocolo contra el acoso sexual y por razón de sexo forma parte de él. Para el acoso laboral en general, un protocolo propio y accesible deja claro cómo actuar.
Igualdad, registro retributivo y auditoría retributiva
El Real Decreto 902/2020 regula la igualdad retributiva entre mujeres y hombres. Las empresas que deben elaborar un plan de igualdad tienen que incluir en él una auditoría retributiva, que comprueba si el sistema retributivo cumple el principio de igualdad. Y atención: no se reduce a comparar salarios. Exige valorar los puestos con criterios objetivos y fijar un plan de actuación para corregir diferencias.
Indicadores útiles:
- Registro retributivo: actualizado, con salarios medios desglosados por sexo y por grupo, categoría o puesto.
- Brecha por grupo: diferencia porcentual entre mujeres y hombres en cada categoría, y cuántas superan el umbral que hayáis fijado para revisar.
- Valoración de puestos: porcentaje de puestos valorados con criterios objetivos.
- Plan de igualdad: vigente, con fecha de aprobación, y acciones del plan cerradas a tiempo.
- Plan y protocolo LGTBI: si aplica a tu empresa por tamaño o por convenio, medidas aprobadas y comunicadas.
La auditoría retributiva está incluida en el Plan de Igualdad de Cumpleo, y también puedes contratarla de forma independiente por 350 € en pago único.
Prevención de riesgos laborales
Aquí el INSST aporta un dato que ayuda a no medir lo equivocado: en las empresas encuestadas, el servicio de prevención ajeno es la modalidad más habitual en pymes, pero el indicador de éxito real no es haberlo contratado, sino integrar la prevención en el día a día y consultar de verdad a los trabajadores.
Qué medir:
- Evaluación de riesgos y planificación preventiva vigentes, con fecha de la última revisión.
- Porcentaje de trabajadores con formación preventiva de su puesto.
- Reconocimientos médicos ofrecidos y realizados.
- Accidentes e incidentes registrados y medidas correctoras cerradas.
- Consultas o reuniones con los trabajadores o sus representantes, con acta.
Prevención del blanqueo de capitales y compliance penal
Si eres sujeto obligado (inmobiliarias, asesorías, ciertos comercios y profesionales, entre otros), la ley pide control interno. El Sepblac recuerda que los catálogos de indicadores de riesgo no son listas cerradas: la empresa debe adaptarlos a su experiencia y a su evaluación de riesgos, y hacer un examen especial cuando detecte operaciones inusuales, sin motivo aparente o complejas.
Indicadores razonables:
- Análisis de riesgo del negocio, con fecha.
- Porcentaje de clientes con diligencia debida documentada.
- Operaciones sometidas a examen especial y decisión tomada, por escrito.
- Formación anual del personal afectado.
Sobre este tema puedes ampliar en prevención de blanqueo de capitales.
En compliance penal, el modelo de prevención de delitos (art. 31 bis del Código Penal) se sostiene en indicadores parecidos: mapa de riesgos penales actualizado, controles asociados a cada riesgo, formación de la plantilla, canal de denuncias operativo y revisión periódica. Si te interesa, hay un modelo de compliance penal y una formación en compliance penal.
Ciberseguridad e inteligencia artificial: NIS2 y ENS
El Esquema Nacional de Seguridad (Real Decreto 311/2022) se aplica al sector público y a las empresas que le prestan servicios. Prevé auditorías regulares de cumplimiento, cuyo informe identifica hallazgos de cumplimiento e incumplimiento. Si trabajas para una administración, mide cuántos hallazgos tienes abiertos y cuántos has cerrado.
La directiva europea NIS2 eleva las exigencias de ciberseguridad para determinados sectores y tamaños de empresa. Antes de medir nada, averigua si te afecta; si es así, trabaja con indicadores como la existencia de política de seguridad, el inventario de activos, el tiempo de actuación ante incidentes y la formación de la plantilla.
Si usas herramientas de inteligencia artificial en la empresa, el Reglamento Europeo de IA añade obligaciones según el uso. Un indicador sencillo: inventario de herramientas de IA en uso, con su finalidad y si tratan datos personales.
Sostenibilidad y medio ambiente
Según tu tamaño y sector pueden aplicarte otras obligaciones: plan de movilidad sostenible, cálculo de la huella de carbono, responsabilidad ampliada del productor de envases (RAP) o información no financiera. Para cada una, mide primero si te afecta y, en caso afirmativo, tres cosas: documento o declaración presentada, fecha y responsable. Son obligaciones de calendario, y el indicador más útil es la fecha de la próxima presentación.
Cómo montar tu cuadro de mando en cuatro pasos
- Haz el inventario: lista las obligaciones que te aplican por actividad, plantilla y sector.
- Elige pocos indicadores por área: dos o tres, siempre con evidencia asociada.
- Fija un umbral y un responsable: por ejemplo, “documentos sin revisar más de 12 meses: cero” y quién lo comprueba.
- Revisa cada trimestre y guarda el resultado: una hoja con fecha y firma ya es una evidencia de que revisas.
Ejemplo de cuadro de mando de una página para una pyme de 25 trabajadores:
| Área | Indicador | Meta | Estado |
|---|---|---|---|
| Datos | Tratamientos en el RAT | 100 % | ✅ |
| Datos | Formación RGPD de la plantilla | 100 % | ⚠️ |
| Canal | Acuses de recibo en 7 días | 100 % | ✅ |
| Jornada | Registros diarios completos | 100 % | ⚠️ |
| Igualdad | Registro retributivo actualizado | Sí | ✅ |
| PRL | Evaluación de riesgos revisada | Último año | ⚠️ |
Las cifras de este cuadro son un ejemplo ilustrativo, no datos reales de ninguna empresa.
Nuestra perspectiva
Vemos a diario que el problema de las pymes no es la mala fe, sino no saber por dónde empezar y que los documentos se quedan viejos. Por eso medimos primero tres cosas: si la obligación está identificada, si existe un documento adaptado a la empresa y si ese documento está al día. Los procesos de Cumpleo los han diseñado abogados especializados en compliance, y nuestro trabajo es que tengas la documentación al día cuando cambia la normativa, no que persigas la ley por tu cuenta.
También pensamos en gestorías y asesorías: si llevas el cumplimiento de varios clientes, un cuadro de mando por empresa te permite ver de un vistazo dónde actuar. Un indicador en rojo no es un reproche, es una tarea con fecha.
— Diego
Cómo te ayuda Cumpleo a medir y mantener el cumplimiento
Cumpleo es una plataforma para autónomos, pymes, gestorías y asesorías de España. Empieza con una auditoría gratuita de tres minutos que detecta las obligaciones de tu empresa; después genera la documentación adaptada y la mantiene actualizada cuando cambia la normativa, con panel de control, firma electrónica y evidencias para inspecciones.
Puedes empezar por el Plan Esencial, 5 € al mes, o por el Plan Crecimiento, 19 € al mes. Si necesitas control horario y auditoría retributiva, mira el Plan Tranquilidad, desde 94 € al mes. Las gestorías pueden revisar Cumpleo Professional, desde 20 € al mes.
Preguntas frecuentes
¿Qué son los indicadores de cumplimiento?
Son medidas que muestran si una empresa cumple sus obligaciones legales y si puede demostrarlo. Pueden ser de estado (existe y está vigente un documento) o de funcionamiento (se usa y se responde en plazo). Siempre deben apoyarse en una evidencia.
¿Cuántos KPI de compliance necesita una pyme?
No hay una cifra fija. Como orientación, entre diez y quince, repartidos por las áreas que te afectan, son suficientes para empezar. Es preferible medir pocos y revisarlos cada trimestre que muchos y abandonarlos.
¿Qué objetivos de compliance puedo marcarme?
Objetivos realistas para un año: tener identificadas todas las obligaciones aplicables, documentación vigente en cada una, plantilla formada y un canal de denuncias funcionando. Cada objetivo debe llevar su indicador y su responsable.
¿Cada cuánto debo revisar los indicadores?
Cada trimestre es un ritmo razonable para una pyme, y siempre que cambie la normativa o la actividad de la empresa. Guarda cada revisión con fecha: la AEPD insiste en que la documentación debe mantenerse viva y no quedarse obsoleta.
Fuentes
- Guía de la AEPD: listado de cumplimiento del RGPD
- AEPD: medidas de cumplimiento
- BOE: Ley 2/2023, de protección de las personas que informen sobre infracciones
- BOE: Real Decreto 902/2020, de igualdad retributiva
- INSST: gestión preventiva de las empresas españolas, datos 2022
- Sepblac: medidas de control interno
- BOE: Real Decreto 311/2022, Esquema Nacional de Seguridad
Recomendaciones
- Modelo de Compliance Penal para Empresas
- Digitalizar el cumplimiento normativo en tu empresa: guía práctica
- Planes de compliance
- Guía completa: compliance para autónomos y pymes
Este artículo se ha elaborado con ayuda de herramientas de inteligencia artificial y ha sido revisado por el equipo jurídico de Cumpleo. Su contenido es informativo y general, refleja la normativa vigente en la fecha de publicación y no sustituye el asesoramiento profesional sobre un caso concreto. Si quieres saber qué obligaciones tiene tu empresa, haz nuestra auditoría gratuita en cumpleo.com/auditoria (3 minutos).
