A vueltas con el corporate compliance, ¿es realmente útil en la jurisdicción penal?

Cuando hablamos de corporate compliance nos estamos refiriendo al acervo de procedimientos, protocolos y buenas prácticas adoptados por las organizaciones con el objeto de identificar y clasificar sus riesgos operativos y legales de forma que puedan establecer mecanismos internos de prevención, detección, corrección y reacción o seguimiento frente a los mismos, todo ello a través de los programas de cumplimiento normativo, que pueden adoptarse en diferentes ramas del Derecho. En esta publicación nos centraremos principalmente en el cumplimiento penal, subtipo de compliance centrado en el ámbito jurídico-penal.

En el año 2010, a través de la Ley Orgánica 5/2010, de 22 de junio, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal (en adelante, C.P.), se introduce la responsabilidad penal de las personas jurídicas en el texto punitivo, superando así el viejo aforismo latino societas delinquere non potest. Por tanto, desde el año 2010 las personas jurídicas pueden ser sujetos responsables criminalmente (societas delinquere potest). En consecuencia, queda configurada la responsabilidad penal de la persona jurídica en el artículo 31 bis C.P. a través de dos vías de imputación:

•  por los delitos cometidos en nombre o por cuenta de las mismas, por los representantes, los sujetos autorizados para tomar decisiones en nombre de la persona jurídica o los que ostenten facultades de organización y control dentro de la misma, de conformidad con el art. 31 bis.1.a) C.P. y/o
• por los delitos cometidos, en el ejercicio de actividades sociales y por cuenta de la persona jurídica, por los sujetos sometidos a la autoridad de los anteriores, según lo dispuesto en la letra a. del referido artículo y apartado, debiendo concurrir beneficio directo o indirecto para la persona jurídica en ambos supuestos.

Cinco años después, la Ley Orgánica 1/2015, de 30 de marzo, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del C.P., incorporó específicamente la figura de los compliance programs, denominándolos modelos de organización y gestión en el artículo 31 bis.2 C.P. Esencialmente, entendemos por modelo de organización y gestión todo sistema vertebrador de una estructura organizativa, administrativa y de gestión que regula las interacciones en el tráfico jurídico y económico de la organización y que permiten gobernarla y administrarla para la consecución de fines determinados, conforme a la legalidad, al Derecho y a las normas éticas y protocolos de actuación de la organización.

Sentado lo anterior, en caso de cometerse un delito por los sujetos anteriormente expuestos como vías de imputación, y, con carácter ex post, la persona  jurídica  demostrara  que  se  comportó  como  un  buen  ciudadano corporativo, que mantiene una cultura de observancia de la legalidad a través de un adecuado sistema de cumplimiento, actualizado y revisado, y que el delito cometido en su seno ha sido algo extraordinario y excepcional, podría ver entonces exonerada su responsabilidad penal. Para ello, el artículo 31 bis. 2 C.P. regula cuatro condiciones que deben concurrir para que la persona jurídica pudiera ver eximida su responsabilidad criminal, condiciones aplicables cuando el delito fuera cometido por los sujetos determinados en la letra a) del art. 31 bis.1 de la norma penal. Por su parte, para los ilícitos penales cometidos por los sujetos subordinados sometidos a la autoridad de las personas físicas precitadas no se exigen las condiciones segunda, tercera y cuarta, correspondiendo únicamente la primera, de conformidad con lo dispuesto en el art. 31 bis.4 C.P.

Las mentadas condiciones que pueden exonerar de responsabilidad criminal a la persona jurídica son las siguientes:

1. El órgano de administración tuvo que haber adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyan las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza de los que presuntamente fueron cometidos o para ver reducido significativamente el riesgo de su comisión.
2. La supervisión y funcionamiento de los modelos de organización y gestión tuvo que haber sido confiada a un órgano de la organización (órgano de compliance), que debe tener poderes autónomos de iniciativa y control con la finalidad de realizar su labor de supervisión sin injerencias de ningún tipo por parte de cualesquiera órganos, departamentos o cargos de la persona jurídica, lo cual redundará en el buen funcionamiento del programa de cumplimiento y en la mejor aproximación a la figura del buen ciudadano corporativo antes referida.
3. Los autores tuvieron que cometer el delito eludiendo fraudulentamente los modelos de organización y de prevención.
4. Inexistencia de omisión o ejercicio insuficiente de las funciones de supervisión, vigilancia y control por parte del órgano de cumplimiento.

Todo ello podrá ayudar al juzgador a entender que no existe un defecto de organización ni cultura de incumplimiento de la legalidad en la persona jurídica y, por tanto, no deba ser responsable penalmente. Si las cuatro referidas condiciones fueren objeto de acreditación parcial, podrá atenuarse la responsabilidad penal de la persona jurídica.

Por otra parte, es menester resaltar el contenido de los compliance programs, que se contempla en el artículo 31 bis.5 C.P. Cabe también mencionar en este punto que ISO (International Organization for Standardization) ha publicado la norma ISO 37301:2021 “Sistema de gestión de compliance”, que busca fortalecer en las organizaciones, independientemente de su naturaleza, tamaño o sector, prácticas de buen gobierno, control interno y transparencia. La versión española del estándar, UNE-ISO 37301 es certificable por AENOR (Asociación Española de Normalización y Certificación). Retomando el contenido legal de los programas de cumplimiento, el artículo 31 bis.5 C.P. establece que los modelos de organización y gestión deberán cumplir determinados requisitos que se concretan en medidas preventivas, detectivas, correctivas y reactivas o de seguimiento. Dichos requisitos son los siguientes:

• Medidas preventivas:

1. Contener un mapa de riesgos donde se identifiquen las actividades en cuyo seno pueden ser cometidos los delitos de los que puede responder una persona jurídica.
2. Establecer protocolos o procedimientos que concreten el proceso de toma de decisiones de la persona jurídica, de concreción de su voluntad y de ejecución de decisiones.
3. Establecer modelos de gestión de los recursos financieros. En este punto, es capital dotar al órgano de cumplimiento de los recursos económicos necesarios para acometer su función.

• Medidas detectivas:

1. Incorporar un canal de denuncias para informar de posibles riesgos e incumplimientos al organismo encargado de la supervisión y vigilancia del funcionamiento del modelo de prevención. Aquí se encuadran los denominados whistleblowers (traducido literalmente como “el que toca el silbato”). Estos son denunciantes/alertadores, que pueden ser anónimos o confidenciales, y que denuncian cualquier presunta irregularidad, ilicitud o comportamiento delictivo en el seno de la organización.

• Medidas correctivas:

1. Concretar un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas implantadas en el modelo. Esto le da un componente de enforcement toda vez que la amenaza sancionatoria beneficia su eficacia y aplicabilidad.

• Medidas reactivas o de seguimiento:

1. Verificar periódicamente el modelo cuando concurran infracciones relevantes, cambios en la organización, en la estructura, control, actividad desarrollada, etcétera.