El término Compliance, que se traduce en el deber de las empresas de no apartarse de una conducta respetuosa con la legalidad vigente, tuvo su aparición a nivel estatal en el momento en que las personas jurídicas comenzaron a ser consideradas como sujetos penalmente responsables por los actos y hechos delictivos cometidos en su seno.
La responsabilidad penal de las personas jurídicas se introdujo por primera vez en el Código Penal a través de la Ley Orgánica 5/2010, de 22 de junio, de modificación del Código Penal, que estableció que las empresas eran responsables de los delitos cometidos en su beneficio tanto por sus representantes legales y personas administradoras, como por todas las personas que están sometidas a su autoridad.
El auge de los sistemas de Compliance sucedió durante los años 2015 y 2016 derivado de la modificación del Código Penal que, a través de la Ley Orgánica 1/2015, de 30 de marzo, introdujo el Compliance Penal – o también llamado modelo de prevención de delitos – como mecanismo de defensa ante las posibles responsabilidades penales de la empresa.
Concretamente, el artículo 31 bis del Código Penal estableció desde entonces que, para evitar la responsabilidad penal de la empresa, deben cumplirse una serie de requisitos que se recogen a continuación:
- El órgano de administración debe adoptar y ejecutar, con eficacia, antes de la comisión del delito, un Modelo de Organización y Gestión (Compliance Program), con la siguiente estructura:
- Identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos (mapa de riesgos).
- Establecer protocolos o procedimientos que concreten el proceso de formación de la voluntad, de adopción de decisiones y su ejecución.
- Disponer de modelos de gestión de los recursos financieros.
- Imponer la obligación de informar de posibles riesgos e incumplimientos a la persona encargada de vigilar el Compliance Program, estableciendo un canal o procedimiento al efecto (canal de denuncias).
- Establecer un sistema disciplinario.
- Verificar de forma periódica el Compliance Program y modificarlo eventualmente, cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.
- Dicho Compliance Program debe incluir medidas de vigilancia y control idóneas para prevenir delitos o para reducir de forma significativa el riesgo de su comisión.
- El funcionamiento y cumplimiento del Compliance Program debe ser supervisado por un órgano con poderes autónomos de iniciativa y control.
Con todo lo anterior, no son pocas las empresas que desde el año 2015 han realizado una primera implantación del sistema Compliance tomando como base un diagnóstico de riesgos penales, sobre el que han estructurado un Sistema de Cumplimiento Normativo que reúna los requisitos establecidos por el Código Penal.
Además, la nueva Ley 11/2019, de 20 de diciembre, de Cooperativas de Euskadi incide en esta materia, debido a que obliga a todas las cooperativas vascas de más de 50 personas socias a que establezcan en sus Estatutos Sociales el compromiso de elaborar un modelo de prevención de delitos y desarrollen mecanismos para su seguimiento. Se trata de una novedad llamativa, si la comparamos con la Ley de Sociedades de Capital, donde no se establece esta obligación.
Sea como fuere, el Código Penal sigue vigente y es de plena aplicación, se trate de cooperativas, sociedades anónimas, sociedades limitadas, fundaciones, asociaciones o cualesquiera entidades con o sin ánimo de lucro. Y no solo se trata del ámbito penal; otras normativas también invitan al desarrollo del Sistema de Cumplimiento Normativo en las organizaciones, siendo destacables por su aplicación general a todo tipo de entidades:
- El deber de acompañar el Estado de Información No Financiera (EINF) a las cuentas anuales de las sociedades que durante dos ejercicios consecutivos superen el número 250 personas trabajadoras y cuyo activo total sea mayor de 20 millones de euros o la cifra de negocios superior a 40 millones de euros. El EINF tiene relación directa con el Compliance, debido a que en dicho documento debe informarse de aspectos tales como cuestiones medioambientales, derechos humanos o la lucha contra la corrupción y el soborno.
- La obligación de establecer un canal de denuncias, que depende de la transposición a la legislación española de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (Directiva Whistleblowing). Esta Directiva Europea obligará a incorporar canales de denuncia en cualquier empresa que tenga 50 o más trabajadores y trabajadoras.
Y, por otro lado, están las exigencias de los clientes en el mercado internacional, que según en qué sectores – como el de automoción – aumentan año tras año en materia de Compliance o Cumplimiento Normativo, y que exigen que sus proveedores tengan Códigos de Conducta y canales de denuncia, así como determinadas políticas aprobadas y divulgadas.
Con todo lo anterior, cabe preguntarse, ¿cómo afronto como empresa el Compliance de cara al año 2022?
Es evidente que la empresa tiene numerosos frentes abiertos, en los cuales es difícil que se encuentre el Compliance. Sin embargo, conocer los riesgos que tiene de facto la empresa debería ser una prioridad, y establecer los medios de seguimiento oportunos para prevenirlos y erradicarlos, una consecuencia natural.
El Compliance, para ser eficaz, tal y como dispone la Circular 1/2016, de 22 de enero, sobre la responsabilidad penal de las personas jurídicas conforme a la reforma del Código Penal efectuada por la Ley Orgánica 1/2015, requiere de seguimiento, revisión y actualización. Requiere de monitorización, o como indica el Código Penal, de “verificación periódica”. Por lo que existe el riesgo de que una organización haga un esfuerzo importante en la primera implantación del Compliance, realizando un diagnóstico de riesgos exhaustivo, divulgando el Código de Conducta y demás elementos corporativos en su organización a través de diversas acciones formativas y, que a posteriori, no se le dé seguimiento al sistema.
Por otro lado, entre los criterios para valorar la eficacia de los modelos de Compliance, la citada Circular establece que cualquier programa eficaz depende del inequívoco compromiso y apoyo de la alta dirección de la compañía, considerando que es clave para trasladar una cultura de cumplimiento al resto de la compañía. Asimismo, la Circular establece que, sin perjuicio de las funciones propias del órgano de cumplimiento, siempre corresponderá al órgano de administración establecer la política de control y gestión de riesgos de la sociedad y su supervisión.
En la práctica nos encontramos con que el órgano de control que debe impulsar el Compliance aprobado, se encuentra en muchas ocasiones huérfano sin el apoyo del resto de las áreas de la empresa. Además, en muchas ocasiones, las personas integrantes del órgano de control tienen otros quehaceres diarios, siendo el Compliance una actividad residual.
Por lo anterior, es importante definir las acciones que desde el órgano de control deben desarrollarse para mantener “vivo”, desarrollar y conservar la “eficacia” del Compliance. A nuestro juicio existen algunas líneas de actuación que todas las empresas deberían atender:
- Calendarización de las sesiones del órgano de control. Es importante que se realicen reuniones periódicas y se levante acta de lo tratado en las mismas, para garantizar la trazabilidad y eficacia del sistema de Compliance y para elaborar informes periódicos de descargo ante el órgano de administración.
- Reacción rápida ante las denuncias recibidas en el canal ético. Esta es una de las labores más importantes del cumplimiento normativo, ya que, la empresa es responsable de aquellos delitos cometidos por omisión de sus deberes de supervisión, vigilancia y control. Aquí el asesoramiento jurídico externo puede ser un elemento interesante para dar una respuesta eficaz al sistema de Compliance.
- Organización de acciones divulgativas y formativas. La prevención en materia de Compliance es uno de los elementos fundamentales, por lo que el órgano de control debe ser proactivo e insistente en que los principios y normas de conducta establecidos por la normativa Compliance lleguen a sus destinatarios de forma periódica. Un sistema maduro de Compliance lleva a realizar formaciones especializadas a los distintos colectivos y áreas de la organización, de manera que la formación responderá a los riesgos específicos de la persona dependiendo del puesto de trabajo o cargo que se ostente en la empresa.
- Revisión y actualización de los documentos corporativos de Compliance. Es indispensable establecer con qué periodicidad debe realizarse una revisión del diagnóstico de riesgos, que deberá llevarse a cabo siempre que haya cambios en la organización, en la estructura de control o en la actividad desarrollada por la empresa que la hagan necesaria. Se trata de un elemento fundamental para poder acreditar, llegado el caso, que el sistema de Compliance establecido es eficaz y actual, y que no se trata de unos documentos meramente estáticos aprobados en un momento concreto.
- En los grupos de sociedades, el Compliance implica un necesario desarrollo en las sociedades participadas, especialmente complejo si las sociedades se ubican en el extranjero, ya que, además de tener su propios riesgos diferenciados de la sociedad matriz, les será aplicable una legislación local diferente. En dicho desarrollo debe valorarse la designación de responsables de cumplimiento en las sociedades participadas, definiendo su marco de actuación y su forma de reporting al órgano de control de la sociedad matriz.
Teniendo en cuenta lo expuesto, son muchas las acciones a realizar para construir un sistema de Compliance eficaz, pero no debemos olvidar que el Compliance es una carrera de fondo. Por lo tanto, teniendo claras las directrices y la hoja de ruta a seguir, nuestra empresa deberá fijarse plazos y responsables para acometer las actuaciones indicadas y así, garantizar la eficacia del Sistema con el objetivo de garantizar una conducta respetuosa con la legalidad vigente, que cada vez más operadores exigen.
