1. Introducción y estado de la situación
Desde la introducción de la responsabilidad penal de las personas jurídicas en España en 2010 (2) , y más concretamente desde la irrupción de los modelos de prevención de delitos apuntados en la Ley Orgánica 1/2015 (LA LEY 4993/2015) (3) , han acontecido sustanciales avances con incidencia en el cumplimiento normativo de las organizaciones españolas. A modo ejemplificativo podemos apuntar la reforma del Código penal por la Ley Orgánica 1/2019 (LA LEY 2044/2019) (4) que, entre otras cuestiones de calado, añade los delitos de malversación (5) en la lista de ilícitos por los que una persona jurídica puede ser penalmente responsable. Asimismo, estos últimos años hemos visto nacer varias normas técnicas en materia de compliance. A saber: la Certificación UNE 19601:2017 de Sistemas de gestión de compliance penal (en adelante UNE 19601); la Certificación ISO 37301 de Sistemas de gestión de compliance (en adelante ISO 37301); la Certificación UNE-ISO 37001:2021 de Sistemas de gestión de la denuncia de irregularidades (en adelante ISO 37001) y la Certificación UNE 19602 de Sistemas de gestión tributario. También en 2019 se publicó la sobradamente conocida Directiva de protección al denunciante (LA LEY 17913/2019) (6) (en adelante Directiva whistleblowing).
En este contexto evolutivo, también podemos observar la proliferación de reformas legislativas que convergen, de una manera u otra, en el mundo del cumplimiento normativo en las organizaciones. Por ejemplo: la reforma de la Ley de Contratos del Sector Público (LA LEY 17734/2017) (7) y la prohibición de contratar del artículo 71 con personas «que sean declaradas penalmente responsables, y a aquellas cuyos administradores o representantes, lo sean de hecho o de derecho, vigente su cargo o representación y hasta su cese, se encontraran en la situación mencionada en este apartado». Asimismo, también podemos referenciar el Real Decreto-ley 11/2018 (LA LEY 14100/2018) de transposición de directivas en materia de prevención de blanqueo de capitales y financiación del terrorismo que impone «el establecimiento de los canales de denuncias, tanto públicos, como en el ámbito de los propios sujetos obligados» en materia de blanqueo de capitales o, la también sobradamente conocida Ley de Protección de Datos (8) que dedica su artículo 24 a los sistemas de información de denuncias internas. Cabe mencionar también la reciente Resolución de la Autoridad Catalana de la Competencia (ACCO), de 28 de abril de 2022, por la que se aprueban las bases reguladoras del procedimiento para la concesión de subvenciones a empresas en Cataluña destinadas a la financiación de Programas de Compliance en materia de competencia (9) . Sin duda, este último, se trata de un proyecto que fomenta de sobremanera el establecimiento de sistemas de cumplimiento normativo, con incidencia en la protección de la competencia.
Sin ánimo de seguir listando toda la normativa que está dando impulso a los sistemas de compliance en nuestro país, puede comprobarse cómo el concepto de autorregulación regulada que ha regido en la adopción e implantación de sistemas de cumplimiento y control interno en las organizaciones se encuentra cada vez más cercado y arrojado al establecimiento de una verdadera regulación por contexto externo. A esta última tendencia, por ejemplo, se suma un reciente Decreto-Ley (10) en Portugal por el que se crea el Mecanismo Nacional Anticorrupción (MENAC) y se establece el Régimen General de Prevención de la Corrupción. El Decreto-Ley impone expresamente una obligación de adoptar programas o sistemas de cumplimiento normativo en empresas sitas en Portugal de más de cincuenta (50) trabajadores.
Es manifiesto que este contexto normativo ha abocado a un aumento de la sensibilidad en materia de compliance en las organizaciones. Ahora bien, no solamente por influencia normativa podemos apreciar este cambio. En un mundo de negocios globalizado, las organizaciones interactúan con contrapartes, como clientes, proveedores, accionistas e incluso compradores de otros países y culturas que, en muchas ocasiones, tienen mayor recorrido en materia de cultura de compliance que en nuestro país o que la propia organización (como, por ejemplo, países anglosajones). En consecuencia, para el establecimiento de determinadas relaciones de negocio, los sistemas de compliance son un requisito indispensable de muestra de cultura ética y de cumplimiento y, por ende, la llave para el éxito de determinadas operaciones de negocio. Este escenario es muy común en caso de clientes, accionistas o inversores que, sea cual sea el tamaño de la organización en cuestión, esperan y exigen de aquélla una verdadera cultura ética y de cumplimiento normativo. Del mismo modo, las filiales españolas con matriz extranjera sita en un país de arraigada cultura de cumplimiento (por ejemplo: Estados Unidos; Inglaterra; Alemania; Italia; entre otras) se ven interpeladas al cumplimiento del sistema de compliance del grupo, así como al establecimiento de medidas de prevención y control conforme a la normativa local (para el caso que nos ocupa, española). Estos escenarios abocan a muchas empresas a sumarse inexcusablemente al establecimiento de sistemas de cumplimiento normativo como «exigencia de mercado».
Vaya por delante que este artículo se refiere a sistemas de compliance, no únicamente desde la perspectiva penal, en tanto que como resultado de todo lo anterior, las organizaciones se ven compelidas a la ampliación del ámbito objetivo de sus sistemas. Esta cuestión se abordará más adelante.
Asimismo, se pretende ilustrar someramente la evolución y cambios que, al menos en mi opinión, los profesionales que nos dedicamos a ofrecer servicios de asesoramiento para el diseño, implementación y seguimiento de sistemas de compliance nos hemos e iremos encontrando. Como se puede advertir, se trata de una profesión que requiere de habilidades de constante adaptación, lo cual es, sin duda alguna, apasionante.
2. Pasado
Al margen de compañías que forman el IBEX35 (Iberia Index), o por ejemplo aquellas con accionariado o negocio en países con arraigada cultura de compliance que ya contaban con sistemas de cumplimiento normativo desde la introducción de la responsabilidad penal de las personas jurídicas en España en 2010 (o incluso en algunos casos con anterioridad), la mayoría de las organizaciones de nuestro país empezaron a «oír voces» sobre la responsabilidad penal de la persona jurídica y los modelos de prevención de delitos en 2015. Es más, por sorprendente que parezca, a día de hoy sigue habiendo organizaciones cuyos órganos de gobierno todavía desconocen la existencia de la responsabilidad penal de la persona jurídica en nuestro país.
En este escenario, la entrada para la prestación de servicios de compliance en 2015-2016 pasaba por una mera explicación formal de la responsabilidad penal de la persona jurídica y la necesidad del establecimiento de modelos de prevención de delitos (MPD’s) para conseguir una eximente o, cuando menos, una atenuante de responsabilidad penal. Así, muchas de las empresas españolas empezaron sus andanzas en el entorno del compliance, pero en estricto cumplimiento de los requisitos establecidos en el artículo 31 bis del Código penal (LA LEY 3996/1995). Esto es, un MPD de mínimos para evitar, en un futuro, la responsabilidad penal de la persona jurídica.
En muchos casos estos proyectos eran paper compliance casi desde el primer minuto del desarrollo del proyecto. Este tipo de empresas manifestaban abiertamente que no iban a llevar a cabo ninguna acción de implementación y seguimiento, pese a los encomiables esfuerzos de los consultores en la materia advirtiendo de la no eficacia del sistema de compliance ante un Juez o Tribunal y, sobre todo, de la inutilidad del establecimiento de políticas y protocolos sin finalidad alguna para la organización. Es más, cabe recordar que el establecimiento de procedimientos y medidas de control autoimpuestas —no así las de obligado cumplimiento— debe entenderse como un compromiso firme de la organización respecto de su proceder. En consecuencia, la auto imposición de procedimientos destinados a no cumplirse debe ser, a todas luces, contraproducente como prueba de cumplimiento ético y normativo de la organización en un eventual procedimiento penal.
Los motivos que llevaban a muchas organizaciones a entender el compliance como un mero documento de cumplimiento de los requisitos del Código penal pueden ser variados. Por ejemplo, sin ánimo exhaustivo: poca identificación de las empresas pequeñas con este tipo de proyectos entendiendo que iban destinadas a grandes compañías; entendimiento de los sistemas de compliance como stopper de negocio y, en consecuencia, un gasto de gestión y administrativo innecesario en detrimento del desarrollo de negocio; hostigamiento por la sobrerregulación a la que se ven sometidas las empresas durante estos últimos años (prevención de riesgos laborales; protección de datos; planes de igualdad; calendario laboral y registro de jornada diaria; etcétera) o falta de entendimiento del significado de una identificación de riesgos (escasa o nula percepción del riesgo en sus propias organizaciones).
Sentado lo anterior, cabe señalar que, afortunadamente, se llevaron a cabo muchos proyectos de compliance en los inicios de su aterrizaje en España (aunque muchos de ellos actualizados posteriormente casi en su integridad a causa de su inactividad). Ahora bien, y como se tratará seguidamente, el contenido de estos proyectos versaba desde una perspectiva eminentemente penal. Como veremos en el siguiente apartado, se evidencia, entre otras cuestiones que se mencionarán, una evolución del alcance objetivo de los sistemas de compliance de las organizaciones españolas durante los últimos años.
3. Presente
Como se ha señalado anteriormente, son varios los motivos que han propiciado la evolución de la configuración y prestación de servicios de compliance en las organizaciones de nuestro país de un tiempo a esta parte. Tanto la evolución legislativa someramente apuntada con anterioridad, como la adaptación de las empresas españolas al proceder en el establecimiento de negocios globalizado, ha comportado una concepción de los sistemas de compliance mucho más amplia y, también cabe decir, creativa a fin de aterrizar sus pautas de actuación a todos los niveles orgánicos y funcionales de las organizaciones.
En cuanto a la ampliación del objeto del sistema de compliance, esta cuestión viene determinada por la importancia del establecimiento del ámbito objetivo, y también subjetivo, de todo sistema de cumplimiento. A estos efectos, la UNE 19601 define en su apartado 3.19 que las organizaciones deben establecer sus objetivos a lograr y que éstos pueden referirse a diferentes disciplinas y establece en su apartado 4.3 que deben determinar el alcance del sistema de gestión de compliance penal (11) . También el apartado 4.3 de la más reciente ISO 37301 establece que la organización debe determinar el alcance de su sistema de gestión de compliance y concreta que «…pretende aclarar los principales riesgos de compliance a los que se enfrenta la organización…». (12)
Esto es, las organizaciones deben establecer de forma clara, principalmente en su Política de compliance y, en su caso, también en el Código Ético/de Conducta, qué concretas esferas de cumplimiento cubre su sistema de compliance. En este contexto es dónde, a raíz de los cambios legislativos, de mercado y de cultura empresarial de las organizaciones, se ha podido apreciar una mayor maduración y evolución de la percepción de los sistemas de cumplimiento normativo, ampliando su alcance, objeto y riesgos de compliance desde la perspectiva penal a otras esferas de cumplimiento más extensas (competencia; laboral; tax; blanqueo de capitales; Derechos Humanos; etcétera).
Esta cuestión difiere según el tipo de sector en el que opera la organización, sobre todo si se trata de un sector regulado. Por ejemplo, resulta lógico que un sujeto obligado del artículo 2 de la Ley de blanqueo de capitales (13) deba eminentemente orientar y configurar su sistema de compliance con un alcance de prevención del blanqueo de capitales, aunque también desde una perspectiva penal en virtud del artículo 31 bis del Código penal (LA LEY 3996/1995). En el mismo sentido, una empresa del sector textil o de la construcción con negocio, proveedores, producción o cadena de suministro en determinados países, deberá configurar también su sistema de compliance asegurando el cumplimiento y el respeto de la normativa de protección de los Derechos Humanos (14) .
Al margen de lo anterior, aunque una organización no opere en un sector regulado, la influencia de los cambios normativos y el comportamiento más sensible del mercado en esta materia están incitando positivamente a la maduración y ampliación del objeto de los sistemas de cumplimiento y, en consecuencia, a la asunción dentro de sus sistemas de compliance de otros marcos de cumplimiento normativo. En este sentido, el caso más paradigmático es el de la integración en los sistemas de compliance penal de infracciones del derecho administrativo sancionador: por ejemplo, a través de la incorporación en los mismos de programas de competencia. Este cometido puede darse, por ejemplo, en un escenario en el que una organización se encuentre inmersa en un procedimiento sancionador en materia de competencia (expediente abierto) y aspire a presentar su sistema a fin de que la Comisión Nacional de Mercados y la Competencia (CNMC) pueda proceder a su valoración y, en su caso, modular las medidas correctoras a imponer. En este sentido, la CNMC establece que «... podrá valorar la eficacia de un programa de cumplimiento y, en particular, de las medidas reactivas que pueda incluir en lo que se refiere a la colaboración activa y eficaz con la autoridad una vez detectada la infracción, en particular, en el marco de un procedimiento administrativo sancionador, de cara a las medidas correctoras previstas en el artículo 72.5 de la LCSP (LA LEY 17734/2017) o en el marco de una terminación convencional». (15) Todo ello en un marco reactivo (ex post). Desde un punto de vista ex ante, también la misma CNMC asevera que «…la CNMC normalmente valorará más positivamente un programa de cumplimiento eficaz ex ante que la promesa cierta de implantación o mejora de un programa de cumplimiento ex post (16) ». Asimismo, la Resolución de la ACCO para la concesión de subvenciones a empresas en Cataluña destinadas a la financiación de Programas de Compliance en materia de competencia está indudablemente dando impulso a esta ampliación del concepto de cumplimiento normativo en las organizaciones.
Esta concepción de los sistemas de compliance mucho más amplia y transversal que la esfera penal no únicamente conlleva cambios formales a través de la ampliación de la descripción del objeto y alcance en la Política de Compliance y, en su caso, en el Código Ético/de Conducta. Así pues, y a modo ejemplificativo, conlleva ampliar el análisis de riesgos de la organización o segmentarlo por esferas de cumplimiento y enfocarlo desde la perspectiva de sus diferentes actividades, y no por delitos como se venía haciendo de un tiempo a esta parte. Se matiza someramente esta última cuestión: es tendencia la elaboración de informes de riesgos con un enfoque basado y estructurado en las diferentes actividades de la entidad. Esta sistemática permite incluir otras esferas de cumplimiento, esto es, otros riesgos más allá de los delitos del 31 bis del Código penal, en las diferentes actividades de la organización e incluso vincularlos a las áreas en la que se estructura. Este proceder, desde el inicio de un proyecto de compliance, permite, en cualquier momento de la vida del mismo, ampliar los riesgos que cubre (esferas de cumplimiento) sin necesidad de iniciar de nuevo la tarea de elaboración del informe de riesgos penales porque su enfoque no admite esta concepción más amplia del sistema. Respecto a esta última cuestión, en ningún caso se pretende aseverar que los informes no deban ser actualizados —de forma periódica o sobrevenida— o incluso confeccionados nuevamente, lo cual dependerá de cada caso en concreto.
Como se indicaba, la ampliación del objeto de un sistema de compliance no únicamente conlleva cambios formales. También, por ejemplo, deberá integrarse dentro del árbol normativo del sistema de compliance de la organización un conjunto de elementos y procedimientos internos mucho más amplio. Estos procedimientos internos de desarrollo deberán ser elaborados con la efectiva implicación de las diferentes unidades de negocio de la organización, a través de sus responsables.
En cuanto a esta última cuestión, también merece destacar la evolución detectada estos últimos años en la implicación de la dirección de las organizaciones en materia de compliance. Si bien en un inicio el desarrollo de los sistemas de cumplimiento normativo se quedaba, casi siempre, en la esfera del órgano de gobierno y del órgano de cumplimiento (junto, en su caso, con el asesoramiento de profesionales externos), se ha detectado una participación más activa para su desarrollo e implantación por parte de la dirección. Esta cuestión puede obedecer a múltiples causas. Por ejemplo, todas las certificaciones en materia de compliance hacen especial énfasis en el liderazgo, implicación y compromiso de la dirección con los sistemas de compliance. De hecho, se trata de un requisito indispensable demostrar esta implicación y liderazgo para poder certificarse. Por ejemplo, a través de acciones como un compromiso de cumplimiento; la aceptación de normativa interna; el desarrollo de políticas, protocolos y procedimientos; la formación específica para personal más expuesto al riesgo como lo es la dirección; reporte al órgano de gobierno por parte de la misma; entre otras. Asimismo, la implicación y liderazgo de la dirección asegura el ya famoso tone from the top —y también el top from the middle en atención a la estructura orgánica de la organización— y los involucra en la elaboración de normativa interna que afecte a sus propias esferas de competencia. Esta última cuestión es vital, en tanto que la evolución de los sistemas de cumplimiento en nuestro país ha revelado, como se ha mencionado anteriormente, que en muchas ocasiones políticas o protocolos de riesgos vinculados a una actividad eran elaborados por el propio órgano de cumplimiento y/o asesor externo, sin contar con la participación de, precisamente, el/la directivo/a que realmente conoce los procedimientos y controles establecidos en su área. Todo ello puede acarrear consecuencias negativas como la falta de involucración; solapamientos y contradicciones en la normativa interna; entre otras. Actualmente, cabe destacar que efectivamente podemos detectar su participación activa desde el inicio del proyecto. Además, como quiera que los sistemas de compliance han ido madurando y evolucionando estos últimos años, es patente que se hace necesario el despliegue de políticas, protocolos, procedimientos y controles más desarrollados, esto es, destinados a los concretos procesos y actividades de la organización donde podrían materializarse los riesgos identificados previamente.
Por otro lado, y no menos importante, cabe destacar el salto evolutivo apreciado en las actividades de formación y sensibilización en materia de compliance durante estos últimos años. A estas alturas no cabe duda de que la formación y sensibilización es crucial dentro del ámbito de la prevención por cuanto todas las políticas, protocolos y procedimientos desarrollados de nada servirán si no se asegura que sean correctamente aplicados por el personal de la organización. Por tanto, debe fomentarse que todos sus integrantes se conciencien y se formen adecuada, eficaz y proporcionalmente en materia de cumplimiento. La formación y sensibilización en materia de compliance es un elemento fundamental de todo sistema, pero también es la parte menos jurídica y más creativa para una organización. A estos efectos, no existe una única manera de llevar a cabo este tipo de acciones. Tanto es así, que estos últimos años hemos podido comprobar como cada vez se recurre a métodos más creativos y lúdicos para trasladar un mensaje que, sin duda, merece un esfuerzo para que sea positivo (gamificación; role-playing games; jornadas de compliance; etcétera).
En este contexto, la formación clásica de los asesores en materia de compliance suele mantenerse y ser útil para el órgano de gobierno, órgano de cumplimiento y dirección. Sin embargo, y dependiendo de la tipología de organización, esta metodología puede resultar ineficiente para el resto de la plantilla. Para este grupo de destinatarios, cabe recurrir a formación más creativa y, sobre todo, a la sensibilización. Con apoyo externo o interno, pueden crearse infografías; inputs en los ordenadores corporativos; carteles en ascensores o cafeterías; entre muchas otras. Desde el punto de vista del resultado, la sensibilización en materia de cumplimiento es de gran utilidad para fomentar conductas éticas y de respeto a la legalidad y, además, cabe reseñar que una buena sensibilización de los empleados puede ser más efectiva y económica que la implantación de cuantiosas medidas de prevención en la organización. Por último, la sensibilización también cuenta con el valioso atributo de generar prueba física y de ser de fácil asimilación para todos los destinatarios.
Además de todo lo anterior, que deja patente la evolución madurativa de los sistemas de compliance en nuestro país, como consecuencia cabe reseñar también la transformación del concepto de Modelo o Programa de Compliance como conjunto de documentos más o menos estándar, a verdaderos sistemas de compliance totalmente adaptados y diferentes para cada organización. Esto es, se ha podido apreciar una evolución notable en la personalización y cuerpo normativo de estos sistemas, que si bien todos ellos siguen —o deberían seguir— un marco de gestión de riesgos —sea penal, de competencia, de blanqueo de capitales, etcétera— suelen estar mucho más personalizados (no solo en contenido, sino también en estructura) a cada organización.
Para finalizar este apartado, se destaca que todo lo anteriormente explicado redunda en una prestación de servicios de consultoría mucho más variada, nutrida y personalizada. Las organizaciones cuentan a día de hoy con sistemas de compliance con diferentes esferas de cumplimiento; con diferente alcance territorial; con diferente estructuración del cuerpo normativo de sus sistemas de cumplimiento y; entre otras diferencias, con diferentes niveles de maduración en su implantación y desarrollo. Cada organización tiene unas características, necesidades y percepción del compliance diferente, por lo que no pueden o deberían existir dos sistemas de cumplimiento idénticos. Todo ello evidencia el incuestionable salto evolutivo en la prestación de servicios de asesoramiento en materia de compliance.
4. Conclusiones
Las conclusiones del presente artículo, como no podría ser de otra forma, pretenden ser optimistas. En atención a la creciente proliferación de normativa, resoluciones e impacto en el mercado de la manera de hacer negocio global que inciden en el diseño e implementación de sistemas de compliance en nuestro país, es altamente probable que las organizaciones tengan que seguir adaptando y transformando los sistemas de cumplimiento normativo, en aras de su adaptación al estado de la situación e integración verdadera de los mismos en los procedimientos reales de la organización.
Asimismo, los profesionales que nos dedicamos, de una forma u otra, a la prestación de servicios en materia de compliance, deberemos seguir adaptándonos a estos cambios normativos y exigencias de mercado —y del cliente— que nos obliga a ser más creativos y a prestar servicios de desarrollo que convergen con otras esferas de cumplimiento más allá de la perspectiva penal. En relación con esta cuestión, un obstáculo detectado es que cada vez resulta más complicado definir las fronteras de la esfera del Derecho en la que se presta el servicio de compliance. En este sentido, parece más sencillo su definición y encuadre en un estadio de diseño y configuración que en su implantación, donde entra en juego el desarrollo de protocolos, procedimientos y controles específicos para prevenir riesgos de determinadas áreas de negocio de la organización. Por ejemplo, y de forma ilustrativa, si en el marco del desarrollo de un proyecto de diseño del sistema de compliance se elabora un protocolo de prevención de prácticas corruptas que comprometa a la organización a llevar a cabo medidas de diligencia debida respecto de su relación con terceros (third party due diligence), resulta evidente que en una fase de desarrollo posterior deberán establecerse medidas de prevención al respecto. Por ejemplo: en relación a la selección, homologación y contratación de terceros. En este caso concreto, para la elaboración de un procedimiento de estas características, convergen áreas del derecho diferentes: penal; blanqueo de capitales; mercantil e incluso otras dependiendo del sector de actividad, como, por ejemplo: medidas destinadas a la protección de los Derechos Humanos en caso de requerir determinadas declaraciones o la firma de Códigos de Conducta específicos para terceros.
En todo caso, toda esta evolución, maduración y adaptación secunda el indispensable abandono de la concepción estática del sistema de compliance. Esto es, no cabe concebir un sistema de cumplimiento normativo como un conjunto de documentación invariable con la cuenta una organización, lo cual sería indudablemente ineficaz. Los sistemas de compliance deben adecuarse sistemáticamente a los requerimientos normativos, de mercado y necesidades internas de cada concreta organización.
«No hay nada permanente, excepto el cambio» (17) .