Compliance o plan de cumplimiento. ¿Necesitas uno?

¿Qué es Compliance? ¿Necesita la empresa un Compliance Officer? ¿Un plan de Cumplimiento o Corporate Compliance ofrece totales garantías? Vamos a intentar resumir en este artículo -de manera clara y sin demasiados tecnicismos legales- un tema de mucha actualidad para las empresas; tras la reforma del Código Penal de 2010 y, en especial la última reforma de 2015, la atribución o no de responsabilidad penal a una persona jurídica depende de una adecuada prevención de la comisión de delitos, implantando un Plan de Cumplimiento Penal o Corporate Compliance.

Concepto de Compliance

Se podría definir el Compliance como el sistema de normas internas, procedimientos y protocolos que debe implantar una organización (normalmente empresas, aunque también entidades sin ánimo de lucro) para garantizar el respeto a la normativa aplicable y promover un adecuado comportamiento ético, especialmente orientado a la prevención de la comisión de delitos en su ámbito de actuación.

El artículo 31 bis del actual Código Penal establece que una persona jurídica es penalmente responsable (o sea, que se le pueden imponer sanciones de carácter penal) por aquellos delitos que sean cometidos por personas físicas relacionadas con ella. La primera consecuencia de disponer de un adecuado Plan de Cumplimiento o Corporate Compliance es que éste puede llegar a eximir de responsabilidad penal a la empresa. Las personas físicas que pueden comprometer la responsabilidad penal de la empresa se dividen en dos grupos:

• Representante legal, directivos, administradores o ejecutivos. Se trata de las personas que tienen capacidad de decisión en la empresa y se ocupan de organizar y controlar.

• Personas cuya actuación depende de los directivos (por ejemplo, trabajadores, colaboradores, proveedores,...) y que pueden cometer un delito porque esos directivos no han ejercido un suficiente o adecuado control sobre ellos.

Lógicamente la persona física que cometa directamente el delito tendrá que hacer frente a sus propias responsabilidades penales. El problema es que adicionalmente la empresa también será responsable y podría tener que atender sanciones de carácter penal. A una persona jurídica no se le puede meter en una cárcel; en el caso de éstas las sanciones van desde multas económicas hasta el cese forzado de sus actividades. Es importante matizar que una persona jurídica no es responsable en todo tipo de delitos, sólo para una lista cerrada dentro del Código Penal como, por ejemplo, delitos contra la propiedad intelectual, contra el medio ambiente, estafas, delito fiscal, tráfico de influencias o blanqueo de capitales. También es necesario que la empresa obtenga un beneficio directo o indirecto (imaginemos a un camarero de un bar que vende droga, podría entenderse que va más gente al establecimiento y de manera indirecta la empresa se beneficia).

Requisitos de un Compliance Plan

Si la empresa ha adoptado modelos de organización y gestión con medidas adecuadas de vigilancia y control para prevenir delitos, ésta puede quedar exenta de responsabilidad penal, en cuyo caso el procedimiento seguirá su curso sólo contra la persona física que cometió el delito (un directivo o un trabajador, por ejemplo). Esas medidas de vigilancia y control serán el núcleo de un Plan de Cumplimiento o Corporate Compliance de una empresa, que deben cumplir los siguientes requisitos:

1. Identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos.
2. Establecer protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquéllos.
3. Disponer de recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.
4. Imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.
5. Establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo.
6. Realizar una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.

Por tanto, los ejes del Plan de Compliace son el mapa de riesgos, código interno de conducta, canal interno de denuncias y los procedimientos/protocolos de actuación. Además, debe realizarse un seguimiento de su eficacia para ir adaptando el plan a las circunstancias de cada momento.

Conviene dejar claro que un Plan de Prevención de Delitos nunca es una garantía o eximente automática. No basta con tener un archivador lleno de esquemas y procedimientos teóricos que no se aplican en la práctica. Debe ser eficaz, dinámico y ajustado a la realidad de la organización, nunca un copia y pega de los planes de otras empresas. Además, los máximos órganos de la empresa tienen que estar involucrados y comprometidos con la eficacia del Plan.

Compliance Officer o "el guardián del cumplimiento"

La empresa puede contar con un encargado de la supervisión y ejecución del Plan Compliance, que se llamará Compliance Officer o Responsable de Cumplimiento. De hecho, en las grandes empresas esta figura es obligatoria para que el plan sea válido como eximente penal (más abajo veremos qué pasa con la pequeña y mediana empresa). El Compliance Officer debe ser un órgano interno de la persona jurídica, y estar en contacto con el funcionamiento y el día a día de la empresa. De todas formas, esta función se puede externalizar si dentro de la organización existen órganos que realicen un control interno y el Compliance Officer se encarga de coordinar esos departamentos. Lo importante es que el Compliance Officer tenga canal directo con el órgano de administración y equipos directivos, siempre manteniendo una independencia funcional y no afecte a sus funciones como controller o auditor. También debe disponer de la formación y conocimientos adecuados, así como acceso a toda la información que pueda necesitar para sus tareas de supervisión.

En el caso de las PYMES, esta figura de Compliance Officer puede recaer directamente sobre el órgano de administración (normalmente, administrador único). A estos efectos, se entiende por PYME las "personas jurídicas de pequeñas dimensiones" aquellas que pueden formular cuenta de pérdidas y ganancias abreviada según el artículo 258 de la Ley de Sociedades de Capital, esto es, sociedades que durante dos ejercicios consecutivos reúnan, a la fecha de cierre de cada uno de ellos, al menos dos de las circunstancias siguientes:

Pero el Compliance es algo más

Nosotros, desde nuestro despacho de abogados expertos en compliance, defendemos que el Compliance es algo más. Por un lado, un plan de cumplimiento normativo no solo para prevenir delitos, sino también para garantizar el respeto a normativa general o sectorial aplicable. Por ejemplo, en materia de prevención de riesgos laborales, impuestos, Seguridad Social o protección de datos de carácter personal (que deben respetar todas las empresas). A nivel sectorial, es fácil imaginar que las empresas deben observar distintas normativas que afectan de lleno a su actividad ordinaria (medio ambiente, seguridad alimentaria, urbanismo, protección de consumidores). Por lo tanto, un correcto cumplimiento de la legislación aplicable más allá del ámbito penal puede suponer un menor riesgo para la empresa de recibir sanciones derivadas de incumplimientos más o menos graves.

Pero el Compliance también es un nuevo marco para una mejor cultura ética empresarial, que consolida el compromiso en la toma de decisiones y los procesos de gestión; un cumplimiento normativo no sólo motivado en la elusión de sanciones. En esta afirmación (que no nos cansamos de repetir) la reciente circular 1/2016 de la Fiscalía General del Estado nos da la razón, al subrayar la importancia de que el Compliance exprese un compromiso ético real, que no se limite al objetivo de evitar responsabilidades penales sino a reafirmar una cultura corporativa de respeto a la Ley.