PARTE I: ASPECTOS GENERALES

GENERALIDADES

Cuando se aborda el tema del compliance o cumplimiento normativo, la primera cuestión que ha de tratarse necesariamente ha de ser la de dilucidar qué significa este término tan en boga últimamente, objeto de mil cursos, charlas y propuestas. Si atendemos a su literalidad, es un término ambiguo y sobre todo indeterminado, por que parece querer decir que las entidades han adoptado un documento en el que se compromete a adecuar su comportamiento a la normativa en vigor, como por otro lado no podría ser de otra forma y así es como tratamos de hacer las personas físicas en nuestro comportamiento cotidiano.

Pero en realidad cuando hablamos de cumplimiento normativo  hacemos referencia a unas normas de comportamiento interno, procedimientos de gestión y mecanismos de control de la empresa que pretende que su actividad sea conforme a las exigencias legales logrando con ello minimizar los riesgos de que se produzcan determinados comportamientos ilegales o irregulares.

El porqué de este sistema o institución hay que buscarlo en nuestro pasado, en nuestra historia: nadie duda de que el derecho va por detrás de la realidad social y , por ejemplo, cuando se redactó el Código de Comercio, allá por 1885, el derecho mercantil era un derecho para el empresario individual que tenía una tienda o un almacén, luego los modelos y las relaciones mercantiles y económicas han ido cambiando de tal forma que han hecho que el derecho mercantil se haya transformado de tal manera que se exige del Estado una cierta actividad tutelar y regulatoria del mercado, adquiriendo un carácter más imperativo, bien para evitar monopolios, abusos del mercado, bien para proteger la salud de los consumidores, etc.

Tras los escándalos financieros y de corrupción habidos a nivel mundial (empezando en los años 70, con el escándalo Watergate, y los no tan lejanos Enron, Lehman Brothers, …) era preciso que la opinión pública recuperara la confianza en el sistema financiero y en las empresas en particular, y para ello éstas fueron asumiendo una responsabilidad ética, imponiéndose a sí mismas una serie de códigos a modo de autorregulación.

Ahora lo que viene a hacer el estado es regular esta “autorregulación”, configurando su estructura y sus procesos y en definitiva estableciendo la forma en la que esta actuación privada puede satisfacer el interés público.

Resumiendo, el Estado, en una suerte de aplicación del principio de subsidiariedad tan desarrollado en el ámbito del derecho de la Unión Europea, traslada a las entidades privadas la función de determinar la forma en la que se ha de prevenir la realización de ciertas conductas y ello porque considera que ellas están en la mejor posición para desempeñar tales funciones y porque hacerlo él mismo sería una tarea demasiado dificultosa a la par que terriblemente onerosa. Y para incentivar estas autorregulaciones,  además de conceder a las empresas un amplio margen de autonomía a la hora de desarrollar esas normas de prevención, se premia a las que las implanten con la posibilidad de evitar, o cuando menos atenuar, la responsabilidad penal en el supuesto de que llegara a perpetrarse un delito en su seno.

Dicho esto, vamos a examinar ahora cómo se ha configurado este sistema de cumplimiento normativo en el Código Penal desde una perspectiva general, dejando para entradas posteriores el examen pormenorizado de ciertos delitos a los que a priori están más expuestas las empresas del sector.

 

Regulación de los Programas de Cumplimiento en el Código Penal

El artículo 31.bis del Código Penal, tras la reforma operada por la LO 1/2015, establece un sistema de atribución de la responsabilidad por transferencia, de forma que ciertas actuaciones de determinadas  personas físicas puedan desencadenar la responsabilidad de la persona jurídica. En este sentido establece  que las personas jurídicas serán penalmente responsables de los delitos cometidos en nombre y por cuenta de las mismas, y en su beneficio directo o indirecto,

1. por sus representantes legales o por aquellos que actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en nombre de la persona jurídica u ostentan facultades de organización y control dentro de la misma.
2. por quienes, estando sometidos a la autoridad de las personas físicas antes mencionadas, han podido realizar los hechos por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad.

Es preciso señalar que no se trata de una responsabilidad abierta a la totalidad de los delitos del Código Penal, sino que está limitada a aquellos en los que expresamente así se establezca.

No obstante también contempla la posibilidad de que queden exentas de tal responsabilidad cuando:

1.ª el órgano de administración adopte y ejecute con eficacia un modelo de compliance;

2.ª se confíe la supervisión del funcionamiento y del cumplimiento del modelo a un órgano de la persona jurídica con “poderes autónomos de iniciativa y de control”; tratándose de sociedades de pequeñas dimensiones, esta función podrá ser asumida por el órgano de administración;

3.ª los autores individuales han cometido el delito eludiendo fraudulentamente el modelo de prevención

4.ª no se ha producido una omisión o un ejercicio insuficiente de sus funciones de supervisión, vigilancia y control por parte del órgano al que se refiere la condición 2.ª

En los casos en los que las anteriores circunstancias solamente puedan ser objeto de acreditación parcial, esta circunstancia será valorada a los efectos de atenuación de la pena.

Los programas de cumplimiento normativo o modelo de compliance

 En cuanto al modelo de compliance, o siguiendo el término empleado por el propio Código Penal (apartado 5 del art. 31.bis), el  modelo de organización y gestión, deberá cumplir los siguientes requisitos:

1.º Ha de identificar las actividades en cuyo ámbito puedan ser cometidos los delitos a prevenir.

2.º Establecerá los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica y de ejecución de las decisiones.

3.º Dispondrá de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.

4.º Establecerá un canal de denuncias en el que se obligue a informar de posibles riesgos e incumplimientos.

5.º Establecerá un sistema disciplinario que sancione el incumplimiento de las medidas que establezca el modelo.

6.º Ha de prever una verificación periódica del modelo.

El objeto principal del programa de cumplimiento, tal y como nos recuerda la Circular 1/2016 de Fiscalía General del Estado, no ha de ser la de evitar la sanción de la empresa sino “promover una verdadera cultura ética empresarial, por que lo que en todo caso se trata de evitar es que se conciban los programas como una suerte de seguro frente a la acción penal”.

Los programas de cumplimiento normativo han de ser sobre todo claros, precisos y eficaces, y han de estar determinados por escrito, ya que, en la práctica, no bastará con tener efectivamente un programa, sino que, llegado el caso, habrá de acreditarse materialmente su existencia y su adecuación para prevenir el concreto delito a evitar, teniendo que realizarse un juicio de idoneidad entre el contenido del programa y la infracción. De esta forma, si se produjera un delito en el seno de la persona jurídica, el objeto del proceso penal se extendería en primer término a valorar si el programa adoptado por la empresa es idóneo para evitar el riesgo en cuestión.

En resumidas cuentas, el programa deberá adaptarse perfectamente a la empresa y sus concretos riesgos, no bastando por tanto la adecuación de un programa elaborado por o para otras empresas, pues además el mismo suscitaría “serias reservas sobre la idoneidad del modelo adoptado y del verdadero compromiso de la empresa en la prevención de conductas delictivas” (Circular 1/2016 de la Fiscalía General del Estado). Dicho en otras palabras, cada empresa deberá elaborarse a medida un programa de cumplimiento, y ello porque si queremos que el mismo cumpla los requisitos generales del Código Penal, será preciso en primer lugar que en el programa se identifiquen los potenciales riesgos que se asuman en el desempeño de sus actividades. Esto es, lo primero que se exige es que se contemplen las actividades desarrolladas por la empresa para poder dilucidar cuáles son los riesgos reales y potenciales derivados de las mismas, y cuál es el nivel de riesgo que la alta dirección quiere asumir.

Y es en esa primera fase, en la de la identificación de los riesgos penales donde el asesor de cumplimiento normativo va a requerir de la colaboración total de la empresa que ha decidido implantar el sistema de compliance, porque toda vez que estén registradas las actividades y forma de proceder de la empresa, será más fácil la identificación de los riesgos y el establecimiento de los protocolos precisos para evitarlos.

Los riesgos penales a los que está expuesta una sociedad dependerán claramente de la tipología del negocio: una empresa dedicada a la elaboración de productos alimentarios asume unos riesgos muy diferentes a los de una empresa de prestación de servicios de telecomunicación, por ejemplo, pero no solo por el tipo de actividad que ambas ejercen, sino también por las formas de relacionarse con terceros o de organizarse internamente.

Asimismo, es preciso considerar que la identificación de los riesgos ha de partir también de un profundo conocimiento del Código Penal y de los delitos a los que están expuestos las personas jurídicas, y es por este este motivo que en esta fase, más que en ninguna otra, el responsable de la identificación de los riesgos penales ha  de disponer tanto de conocimientos en el ámbito jurídico como del negocio.

A modo de conclusión …

Para finalizar con las generalidades aquí puestas de manifiesto, y a modo de conclusión, voy a tratar de responder a las preguntas prácticas que me han sido planteadas sobre este asunto:

En relación con la pregunta de si es obligatorio establecer un programa de compliance, la respuesta no puede ser más rotunda: NO. Lo cual no quiere decir que no sea muy conveniente y recomendable por varias razones: la primera es por el comentado “premio” de la exoneración de la responsabilidad penal, pero es que además, sin ser una razón menos importante, permite al órgano de administración de la sociedad saber cuáles son los verdaderos riesgos asumidos con la actividad (que ciertamente, en muchas ocasiones,  son totalmente desconocidos). Asimismo, otro de los beneficios derivados de la implantación del modelo consiste en el establecimiento de determinados protocolos y procedimientos para la formación de la voluntad de la empresa, lo cual supone dotar a la empresa de una estructura profesionalizada que impide que las actuaciones de sus miembros se desvíen de las directivas u objetivos adoptados por la dirección, impidiendo o al menos dificultando, entre otras eventualidades, la comisión por los empleados de ciertos actos que pudieran conllevar la responsabilidad de la persona jurídica.

En cualquier caso, de la lectura de la Circular 1/2016 de la Fiscalía General del Estado (que evidentemente no deja de marcar unas indicaciones sobre cómo los fiscales van a interpretar el Código Penal y los programas de cumplimientos, siendo que no tiene por qué ser la misma visión de los tribunales) una cosa me ha quedado clara: es requisito para la validez de cualquier programa de cumplimiento, que la sociedad esté decidida a cumplir con la normativa.

Ahora bien, la otra pregunta que se me ha planteado es ¿qué pasa cuando la sociedad esté decidida a excluir del programa determinados riesgos penales? O lo que es lo mismo, ¿es posible hacer programas parciales, esto es, que no abarquen la totalidad de los riesgos? Entiendo que la respuesta afirmativa es indudable: el órgano de administración de la sociedad es soberano para decidir cuáles son los riesgos a asumir y en qué grado, pero para ello es indispensable conocer cuáles son. Así, y de cara a ser prácticos y poniendo ejemplos reales, la empresa puede decidir establecer protocolos y controles para evitar la comisión de delitos de estafa, pero sin embargo, siendo consciente de la utilización por los empleados de programas informáticos piratas permite esta práctica. Y si a pesar de los controles establecidos un empleado en nombre de la empresa y en su beneficio cometiera delito de estafa, ésta podría resultar exonerada, o al menos atenuada su pena, dada la existencia del modelo de cumplimiento para tal delito.