Compliance: prevención y gestión del riesgo penal empresarial.
Si trabajas en el mundo empresarial, es probable que durante los últimos meses te hayas visto envuelto en alguna conversación sobre Compliance. No se trata de una moda o tendencia, sino de un programa o sistema de prevención y gestión transversal del cumplimiento para las empresas.
Tratándose de un concepto novedoso, lo habitual es que surjan ciertas dudas que esperamos resolver a lo largo de las próximas líneas, quedando siempre a vuestra disposición para ampliar cuanta información preciséis.
¿Qué es el Compliance?
Compliance es el término anglosajón utilizado para referir a Cumplimiento, es decir al conjunto de medidas preventivas, ya sean técnicas u organizativas, que permiten a una empresa mantenerse adaptada a la legalidad y actuar en los mercados de forma ética y responsable, evitando así responsabilidades civiles y penales derivadas de incumplimientos.
Este cumplimiento se extiende a una multitud de aspectos, como puede ser la protección de datos de carácter personal, la prevención de blanqueo de capitales, el derecho de la competencia… pero sin duda su variedad más popular y que se encuentra en auge es el Compliance Penal.
¿Qué es el Compliance Penal?
Tradicionalmente, las personas jurídicas no podían ser condenadas penalmente en el Derecho Español. Esta concepción cambió de la mano de la reforma del Código Penal de 2010, profundamente inspirada en el Derecho anglosajón, cuando de forma escueta se estableció la responsabilidad penal de las personas jurídicas. Es decir, que las empresas y organizaciones sí pueden ser responsables de la comisión de ciertos delitos y ser sancionadas por ello.
En 2015 el legislador dio un paso más mediante una nueva reforma del Código Penal, dotando a esta materia de una regulación mucho más amplia, introduciendo la posibilidad de que una persona jurídica pueda llegar a eximir su responsabilidad penal en caso de que haya establecido modelos de organización y gestión que contengan medidas de vigilancia y control que tengan como objetivo prevenir la comisión de delitos. Es decir, las empresas podrán eximir su responsabilidad penal si tienen implantado, y efectivamente aplican, un sistema de Compliance Penal.
Persiguiendo este objetivo, desde la entrada en vigor de la reforma son multitud las empresas que han decidido optar por implantar este modelo, y a ello se debe que en estos dos años el Compliance sea haya convertido en una tendencia en el mundo empresarial, generando un ciclo natural en el que, aquella empresa que diagnostica su riesgo e implanta un sistema de prevención y gestión del riesgo penal, habitualmente lo exige a sus proveedores; convirtiéndose en una garantía de cumplimiento en las contrataciones.
¿Puede ser condenada mi empresa?
Todas las empresas pueden ser condenadas, independientemente de su tamaño. Para ello, los delitos deben ser cometidos por sus representantes legales, miembros de sus órganos con poder de decisión u organización y control y por trabajadores sobre los que no se hayan realizado adecuadas funciones de vigilancia y supervisión. Como salta a la vista, se trata de una previsión tan amplia que prácticamente incluye a todos los miembros de la empresa.
Otro requisito es que la comisión de un delito en el seno de la empresa, independientemente de quien lo haya cometido, debe haber sido realizada en beneficio directo o indirecto de la organización en el ejercicio de actividades sociales. Así, quedarían fuera de este tipo de penalizaciones los delitos cometidos en beneficio únicamente de aquella persona que lo cometa.
En cuanto a los delitos que son susceptibles de ser cometidos, no son todos los que figuran en el Código Penal, sino que el legislador establece un listado cerrado muy variado que engloba, por ejemplo, delitos económicos (estafa, tráfico de influencias, blanqueo de capitales, etc), descubrimiento y revelación de secretos, difusión de noticias y rumores falsos y uso de información privilegiada, corrupción entre particulares, delitos contra la salud pública, fraude a la seguridad social o a la hacienda pública, delitos contra la propiedad intelectual, delitos contra el medio ambiente, etc
¿Qué consecuencias tiene no contar con un programa de Compliance Penal?
Las penas que la normativa aplicable contempla para las personas jurídicas, en virtud del principio de proporcionalidad, variarán en función de la gravedad del delito cometido y de las características de cada empresa u organización. El catálogo completo de sanciones es el siguiente:
- Multa por cuotas o proporcional.
- Disolución definitiva de la persona jurídica.
- Suspensión de las actividades hasta 5 años.
- Clausura de locales o establecimientos hasta 5 años.
- Prohibición de realizar en el futuro las actividades en el marco de las cuales se ha cometido el delito, ya sea de forma definitiva o por plazo que no exceda los 15 años.
- Inhabilitación para obtener subvenciones y ayudas públicas hasta 15 años.
- Prohibición para contratar con el sector público hasta 15 años.
- Inhabilitación para gozar de beneficios e incentivos fiscales o de Seguridad Social hasta 15 años.
- Intervención judicial para salvaguardar los derechos de los trabajadores o acreedores hasta 5 años
¿Cómo se implementa un sistema de Compliance Penal?
Partiendo de las directrices generales que indica el Código Penal, existe margen de libertad para diseñar el sistema. En Hiberus legal ofrecemos este servicio estructurado en las siguientes fases para lograr una más eficaz adaptación a las características de cada empresa, siguiendo las directrices de la nueva norma UNE-ISO 19600 de Sistemas de gestión de Compliance para que las organizaciones que así lo deseen puedan acreditar su cumplimiento con el estándar internacional:
- Diagnóstico. Durante esta fase se realizan entrevistas a personal de la empresa que tenga un mayor grado de responsabilidad sobre flujos de riesgo económico, de información y de personal y, por lo tanto, puedan informarnos de una manera más adecuada de la forma de actuación de su área respecto a dichos flujos de riesgo, y los controles ya existentes en la empresa para prevenir la comisión de delitos. Las cuestiones van enfocadas a detectar qué delitos son susceptibles de ser cometidos en el seno de la empresa diagnosticada dependiendo de sus concretas actividades internas y frente a terceros. Posteriormente, se realiza el análisis del riesgo estimando las variables de probabilidad e impacto de que cada uno de los riesgos previstos se produzca en la empresa. Por ejemplo, en una funeraria el delito de tráfico de órganos tendría una probabilidad alta, y un gran impacto porque, de producirse, se perdería toda la confianza en ella. En este mismo caso, no tendría un impacto tan alto por ejemplo el uso de un software pirata en el único puesto de usuario existente. Por contra, en otro tipo de empresas, en virtud de su concreta actividad, podemos encontrarnos con riesgos altos de revelación de secretos o de delitos contra la propiedad intelectual y no así de delitos contra el medioambiente por ejemplo.
- Diseño. A partir del análisis de riesgos se elaboran las medidas, políticas y procedimientos que deben implantarse y publicarse en el seno de la empresa para conseguir de forma eficaz reducir la probabilidad de comisión de aquellos delitos identificados como potenciales o probables. Esta es otra fase de «traje a medida» para cada empresa, ya que conlleva establecer documentos del sistema de gestión de Compliance específicos y adaptados a sus concretos riesgos y necesidades de cumplimiento normativo (Códigos éticos o de conducta, procedimientos internos para regular el funcionamiento de los órganos colegidos de cumplimiento empresarial, procedimientos reguladores de sanciones disciplinarias, o de publicación de decisiones, o del propio canal ético o de denuncia de incidencias, etc.
- Implantación. Implantar significa llevar a la práctica los controles identificados para minorar los riesgos, es decir, la aprobación por el órgano de gobierno y administración de la empresa, su publicación a todos el personal implicado en la empresa, la gestión del sistema en sí mismo y su verdadera revisión periódica y constante adaptación, manteniendo siempre evidencia del cumplimiento e instrucciones correspondientes.
- Revisión. Como en todo sistema, de nada vale diagnosticar e implantar si no implicamos a la dirección de la empresa en una revisión periódica de la que sea plenamente consiente. Se trata de llevar a cabo un control periódico para comprobar que las medidas se están cumpliendo de forma efectiva. Así, con carácter anual se suele repasar el análisis de riesgos y se modifica en función de las medidas que se hayan cumplimentado durante ese periodo de tiempo o se reflejan modificaciones sustanciales por otras causas.
Cabe la posibilidad de que la Implantación y la Revisión la realice personal de la propia empresa una vez se cuente con el diagnóstico y el diseño elaborado por nuestros profesionales en la materia. Sin embargo, es también habitual que se nos solicite la Implantación e incluso el ejercicio de las funciones de asesoramiento externo al Compliance Officer o bien incluso formar parte del Comité de Cumplimiento o Compliance en aquellas empresas que designan órganos colegiados, siendo así un servicio Corporate Compliance Officer as a service.
Recomendación de Hiberus LegalTech & CyberSec
En el campo jurídico, la experiencia indica que siempre es mejor prevenir que curar, y una de nuestras filosofías es la de trabajar para que las empresas se doten de mecanismos eficaces de prevención.
Por ello, desde Hiberus LegalTech & CyberSec recomendamos que los empresarios adopten sus sistemas de prevención y gestión del riesgo penal, ya que no sólo servirá para contar con una posible eximente en caso de verse la empresa inmersa en un procedimiento penal ante los tribunales, sino que permite tener un mayor conocimiento y control sobre el funcionamiento interno de la organización y sus procesos.
Además, la adopción de sistemas de Compliance supone incrementar el prestigio de cara a terceros y abrir posibles vías de negocio, habiendo sido adoptado ya por grandes empresas la política de contratar únicamente con compañías que acrediten estar dotadas de estos modelos.
Recuerda: el cumplimiento siempre significa un valor añadido.
