I. INTRODUCCIÓN AL COMPLIANCE A MODO DE RETROSPECTIVA
El cumplimiento normativo constituye básicamente la función específica que permite a las empresas, a través de procedimientos adecuados, como el establecimiento de políticas de actuación en determinadas materias, detectar y gestionar los riesgos de incumplimiento de las obligaciones regulatorias internas y externas, mitigando los riesgos de sanciones y las pérdidas que deriven de tales incumplimientos (1) .
El término «Cumplimiento Normativo» o «Compliance» adquiere su protagonismo y su especial relevancia en España gracias a la regulación de la responsabilidad penal de las personas jurídicas, operadas por las Leyes Orgánicas 5/2010 de 22 de junio (LA LEY 13038/2010), primero y la Ley Orgánica 1/2015, de 30 de marzo (LA LEY 4993/2015) después, ambas de modificación del Código Penal de 1.995 (LA LEY 3996/1995), lo que supone, en definitiva, una ruptura con el principio tradicionalmente aplicado consistente en el aforismo «societas delinquere non potest» (2) .
1. La regulación de la obligación del "Cumplimiento Normativo" o "Compliance"
La justificación de esta nueva tendencia legislativa se concretaba en el preámbulo de la Ley Orgánica 5/2010, (LA LEY 13038/2010) en el sentido de que eran numerosos los instrumentos jurídicos internacionales que demandaban una respuesta penal clara para las personas jurídicas, sobre todo en aquellas figuras delictivas donde la posible intervención de las mismas se hacía más evidente (corrupción en el sector privado, en las transacciones comerciales internacionales, pornografía y prostitución infantil, trata de seres humanos, blanqueo de capitales, inmigración ilegal, ataques a sistemas informáticos, etc.). Y se argüía que esta responsabilidad únicamente podía ser declarada en aquellos supuestos donde expresamente se previera.
Para la fijación de la responsabilidad de las personas jurídicas se ha optado por establecer una doble vía. Junto a la imputación de aquellos delitos cometidos en su nombre o por su cuenta, y en su provecho, por las personas que tenían poder de representación en las mismas, se añadía la responsabilidad por aquellas infracciones propiciadas por no haber ejercido la persona jurídica el debido control sobre sus empleados, naturalmente, con la imprescindible consideración de las circunstancias del caso concreto a efectos de evitar que se llevara a cabo una lectura meramente objetiva de esta regla de imputación.
Se dejaba claro, que la responsabilidad penal de la persona jurídica podría declararse con independencia de que se pudiera o no individualizar la responsabilidad penal de la persona física. Al mismo tiempo, en este ámbito se concretaba un catálogo de penas imponibles a las personas jurídicas, añadiéndose —respecto a las hasta ese momento denominadas consecuencias accesorias, que son las siguientes: (i) disolución; (ii) suspensión de actividades; (iii) clausura de establecimientos, (iv) la multa por cuotas y proporcional; y (v) la inhabilitación para obtener subvenciones y ayudas públicas, para contratar con las Administraciones Públicas; y, (vi) para gozar de beneficios e incentivos fiscales o de la seguridad social—.
Se optaba, pues, en este punto por un sistema claramente predominante en el Derecho comparado y en los textos comunitarios objeto de transposición, según el cual, la pena de multa era la pena común y general para todos los supuestos de responsabilidad, reservándose, consecuentemente con ello, la imposición adicional de otras medidas más severas, sólo para aquellos supuestos cualificados que se ajustaran a las reglas que se introducían en el nuevo art. 66 bis del Código Penal (LA LEY 3996/1995).
Igualmente, se tenía en cuenta el posible fraccionamiento del pago de las multas que les fueran impuestas a las personas jurídicas, cuando existía un peligro cierto y manifiesto para la supervivencia de aquellas, o la estabilidad de los puestos de trabajo, así como cuando así lo aconsejara el interés general.
Además, es necesario poner de manifiesto que, a través de dicha reforma legislativa, se regulaban taxativamente los supuestos de atenuación de la responsabilidad de las personas jurídicas, entre las que destacaban: (i) la confesión de la infracción a las autoridades; (ii) la reparación del daño; (iii) y el establecimiento de medidas eficaces para prevenir, y descubrir los delitos que en el futuro pudieran cometerse con los medios, o bajo la cobertura de la persona jurídica.
Consecuentemente con ello, y con el objeto de evitar que la responsabilidad penal de las personas jurídicas pudiera ser burlada por una disolución encubierta, o aparente, o por su transformación, fusión, absorción o escisión, se contenían previsiones específicas, donde se presumía que existía la referida disolución aparente o encubierta, cuando aquélla continuara con su actividad económica y se mantuviera la identidad sustancial de clientes, proveedores y empleados, trasladándose en aquellos casos, la responsabilidad penal a la entidad o entidades en que la misma se transformara, quedara fusionada o absorbida, extendiéndose consecuentemente con ello, dicha responsabilidad a la entidad o entidades a que diera lugar la meritada operación societaria.
Complementariamente a ello, Ley Orgánica 1/2015, de 30 de marzo (LA LEY 4993/2015), se justificaba sobre la base de llevar a cabo una mejora técnica en la regulación de la responsabilidad penal de las personas jurídicas, con la finalidad de delimitar adecuadamente el contenido del «debido control», cuyo quebrantamiento constituye el pilar que permite fundamentar su responsabilidad penal.
Con ello, se ponía fin a las dudas interpretativas que había planteado la anterior regulación, que desde algunos sectores había sido interpretada como un régimen de responsabilidad vicarial, y se procedía a asumir ciertas recomendaciones que en ese sentido habían sido realizadas por algunas organizaciones internacionales. En todo caso, el alcance de las obligaciones que conllevaba ese deber de control, se condicionaba, mediante esta nueva reforma legislativa, de modo general, a las dimensiones de la persona jurídica.
Asimismo, se extendía el régimen de responsabilidad penal a las sociedades mercantiles estatales, que ejecutaran políticas públicas o prestaran servicios de interés económico general, a las que se podrían en virtud de la nueva normativa, imponer las sanciones que se contemplaban en las letras a) (LA LEY 3996/1995)y g) del apartado 7.º del art. 33 de dicho Código Penal (LA LEY 3996/1995).
De manera complementaria a estas reformas legislativas, habían de tenerse en consideración, por su importancia en la aplicación en interpretación de las reformas operadas, las Circulares de la Fiscalía General del Estado que se han dictado al efecto, y que son: (i) La Circular 1/2011 relativa a la responsabilidad penal de las personas jurídicas conforme a la reforma del Código Penal efectuada por Ley Orgánica número 5/2010 (LA LEY 335/2011); y (ii) la Circular 1/2016, sobre la responsabilidad penal de las personas jurídicas conforme a la reforma del Código Penal efectuada por Ley Orgánica 1/2015 (LA LEY 2/2016).
A continuación, es procedente analizar cada una de ellas, y sus principales aportaciones.
2. La Circular 1/2011 de la Fiscalía General del Estado
Con relación a la indicada Circular 1/2011, hay que señalar que, en relación con las nuevas previsiones legales en la materia parecían encontrar su principal fuente de inspiración en una serie de instrumentos de política criminal internacional, algunos de ellos antiguos, entre los que destacaban la Recomendación 18/1988 de 20 de octubre del Comité de Ministros de los Estados Miembros del Consejo de Europa, la Convención de Bruselas de 26 de mayo de 1997 sobre la lucha contra la corrupción en el ámbito de la función pública de la Unión Europea, la Convención de Nueva York de 9 de diciembre de 1999 sobre terrorismo (LA LEY 809/2002), la Decisión marco 2002/629/JAI (LA LEY 9842/2002) del Consejo, la cual había sido sustituida por la Directiva 2011/36/UE del Parlamento Europeo y del Consejo de 5 abril de 2011 (LA LEY 7473/2011) relativa a la prevención y lucha contra la trata de seres humanos y a la protección de las víctimas, la Directiva 2008/99/CE del Parlamento Europeo y del Consejo de 19 de noviembre de 2008 (LA LEY 18044/2008) relativa a la protección del medio ambiente mediante el Derecho penal, y las Decisiones Marco de la Unión Europea 2005/222 sobre ataques a los sistemas informáticos, (LA LEY 3519/2005)la 2004/757 sobre punición del tráfico de drogas (LA LEY 9427/2004), y la Decisión Marco 2004/1968 (LA LEY 12140/2003) sobre explotación sexual y pornografía infantil, entre otras, además de la Convención y los Protocolos de Naciones Unidas contra el crimen organizado transnacional.
Al margen de las dificultades técnicas —sustantivas y procesales— que planteaba dicha reforma legislativa, la Fiscalía General del Estado señala que la realidad proporcionaba muestras de la existencia de un grave fenómeno al que los ordenamientos jurídicos estaban obligados a dar respuesta. De este modo, se indicaba que un estudio del Max-Planck-Institut für Ausländisches und Internationales Strafrecht (Instituto Max-Planck para el Derecho Penal Extranjero e Internacional) había puesto de relieve que ya entre los años 1974 y 1985, más del 80% de los delitos susceptibles de ser encuadrados en lo que se había dado en llamar el «Derecho penal económico», se cometían a través de empresas.
Por tanto, el problema revestía, además, tintes de carácter estructural, en la medida en que, la propia naturaleza de las corporaciones, podían facilitar la aparición de conductas desviadas por parte de quienes las dirigían y sus empleados. En este contexto, el Derecho penal, tal como se afirmaba, se enfrentaba a dificultades específicas, tanto en el proceso de adscripción de la responsabilidad individual, como en relación con los efectos preventivos de la sanción.
Con la responsabilidad penal de las personas jurídicas, se completaba el círculo, como ponía de manifiesto la Fiscalía General del Estado, con relación a la respuesta punitiva del Estado frente al potencial criminógeno, la capacidad de amplificación del daño y el aseguramiento de la impunidad que pudieran derivarse del mal uso de las formas colectivas dotadas de personalidad jurídica. Desde el punto de vista procesal, se garantizaba que las corporaciones con auténtica actividad y estructura organizativa —que habitualmente englobaban intereses de titularidad diversa y en ocasiones contrapuestos—, pudieran ejercer la más amplia defensa en el proceso frente a quienes cometan el delito alegando actuar en su nombre, por su cuenta y en su provecho. La introducción llevada a cabo del nuevo art. 31 bis en el Código Penal (LA LEY 3996/1995) constituía así, una opción susceptible de dar mejor respuesta a situaciones como las apuntadas, restableciendo la plena vigencia de la norma y fortaleciendo la eficacia de los resortes de la prevención general y especial, al tiempo que se robustecía la eficacia del Derecho Penal, también en lo atinente a la determinación y sanción de las responsabilidades de tipo individual.
En último término, y si bien era cierto que la cuestión no debía resolverse apelando a un positivismo meramente formal —pues se trata de una materia que puede llevar implícitas profundas implicaciones dogmáticas—, la Fiscalía General del Estado afirmaba que la realidad era que en un Estado Constitucional como el nuestro, el hecho de que el delito sea obra del ser humano, de la persona jurídica o de ambos, no se debía a razones ontológicas ni a la propia naturaleza de las cosas, sino a una decisión de Derecho positivo como principal herramienta, que lo era y que lo sigue siendo, de impulso y concreción de una determinada política criminal.
3. La Circular 1/2016 de la Fiscalía General del Estado. Reglas de imputabilidad de la persona jurídica
Complementariamente a dicha Circular 1/2011 (LA LEY 335/2011), se alza a su vez, la Circular 1/2016, (LA LEY 2/2016) la cual transmite al Ministerio Fiscal, los principales criterios en que se concreta la reforma legislativa operada por la Ley Orgánica 1/2015 (LA LEY 4993/2015), de modificación del Código Penal, a la que se ha hecho referencia anteriormente.
En dicha nueva Circular de la Fiscalía General del Estado, se establecía a modo de conclusiones, las siguientes reflexiones que se transcriben a continuación (3) :
- 1.ª La Ley Orgánica 1/2015 (LA LEY 4993/2015) mantenía el fundamento esencial de atribución de la responsabilidad penal a la persona jurídica de tipo vicarial o por representación en las letras a) y b) del art. 31 bis 1.º del Código Penal. (LA LEY 3996/1995)
Ambos títulos de imputación exigían, como antes de que se produjera dicha Reforma, la previa comisión de un delito por una persona física en las concretas circunstancias que se establecían. El primer hecho de conexión lo generaban las personas con mayores responsabilidades en la entidad, y el segundo se atribuía a las personas indebidamente controladas por aquellas.
No obstante, la Reforma avanzaba en el reconocimiento de la responsabilidad autónoma de la persona jurídica por medio de la regulación de los programas de organización y gestión, a los que otorgaba un valor de eximente de la responsabilidad penal, siempre bajo determinadas condiciones legales.
- 2.ª La nueva definición de las personas físicas del apartado 1.a) ampliaba notablemente el círculo de estos sujetos, con relación a este criterio de imputación, lo que permitía incluir a quienes, sin ser propiamente administradores o representantes legales de la sociedad, formaban parte de órganos sociales con capacidad para tomar decisiones, así como a los mandos intermedios, apoderados singulares, y a otras personas, en quienes se hubiera delegado determinadas funciones, incluidas las derivadas del control de riesgos, que ostentaba el «Oficial de Cumplimiento» o «Compliance Officer».
- 3.ª La sustitución de la expresión «en su provecho», por la de «en su beneficio directo o indirecto», conservaba la naturaleza objetiva de la acción, tendente a conseguir un beneficio sin exigencia de que este se produzca, resultando a estos efectos verdaderamente suficiente, que la actuación de la persona física se dirigiera de manera directa o indirecta a beneficiar a la entidad.
Además, permitía extender la responsabilidad de la persona jurídica a aquellas entidades cuyo objeto social no persiguieran intereses estrictamente económicos, así como a incluir, ya claramente, los beneficios obtenidos a través de un tercero interpuesto, los consistentes en un ahorro de costes y, en general, todo tipo de beneficios estratégicos, intangibles o reputacionales.
Por tanto, de manera exclusiva, solo quedarían excluidas aquellas conductas que, realizadas por la persona física en su exclusivo y propio beneficio o en el de terceros, resultaran inidóneas para reportar a la entidad beneficios.
- 4.ª Las únicas cuatro conductas imprudentes cometidas por personas físicas en las circunstancias del art. 31 bis (LA LEY 3996/1995) susceptibles de generar un reproche penal a la persona jurídica son las relacionadas con las insolvencias punibles (art. 259.3.º (LA LEY 3996/1995)), los recursos naturales y el medio ambiente (art. 331 (LA LEY 3996/1995)), el blanqueo de capitales (art. 302.2.º (LA LEY 3996/1995)) y la financiación del terrorismo (art. 576.5.º (LA LEY 3996/1995)), todos ellos del Código Penal.
- 5.ª La Ley Orgánica 1/2015 (LA LEY 4993/2015) sustituía la condición del apartado 1.b) de que el autor del delito hubiera podido cometerlo por no haberse ejercido sobre él «el debido control», por el menos exigente requisito de «haberse incumplido gravemente los deberes de supervisión, vigilancia y control».
Esta clara disminución de la intervención punitiva permitía dejar fuera del ámbito penal aquellos incumplimientos de escasa entidad (no graves) frente a los que sólo cabían las sanciones administrativas o mercantiles, que disciplinaban algunas de las materias relacionadas con las infracciones, para las que el Código Penal contemplaba la responsabilidad de la persona jurídica.
- 6.ª Para que la persona jurídica fuera responsable en los casos previstos en la letra b) del apartado 1.º del art. 31 bis del Código Penal (LA LEY 3996/1995), era preciso un incumplimiento de los deberes de supervisión, vigilancia y control de carácter grave por parte de alguno de los sujetos comprendidos en la letra a).
- 7.ª La exigencia de que el incumplimiento del deber de control hubiera sido grave pudiera determinar, además de la transferencia de responsabilidad a la persona jurídica por el delito cometido por el subordinado descontrolado, que el propio sujeto omitente del control respondiera también por un delito, bien doloso, en comisión por omisión, bien gravemente imprudente, lo que abría la vía del criterio de atribución de responsabilidad de la letra a) del apartado 1, debiendo el Ministerio Fiscal mantener, en tales casos, ambos títulos de imputación.
- 8.ª Los sujetos a que se hacía referencia en el apartado 1 b),debían operar en el ámbito de dirección, supervisión, vigilancia o control de las personas físicas a las que se hacía mención en la letra a) del mismo apartado, no siendo necesario que se estableciera una vinculación directa con la empresa, quedando incluidos los mismos en su calidad de autónomos, trabajadores subcontratados y empleados de empresas filiales, siempre que se hallaran integrados en el perímetro de su dominio social.
- 9.ª El incumplimiento grave de los deberes de supervisión, vigilancia y control habría de valorarse, «atendidas las concretas circunstancias del caso» expresión que, ya antes de la reforma y con toda claridad tras ella, remitía a los programas de organización y gestión, (también llamados «programas de Compliance»), que serían objeto de una inicial valoración en relación con este criterio de imputación, para evaluar el alcance y el contenido real del mandato del que eran titulares las personas que incumplieron gravemente el cumplimiento de tales deberes.
- 10.ª Aunque la infracción del deber de supervisión, vigilancia y control no se hubiera producido, o esta sea leve, o la persona jurídica no haya obtenido beneficio alguno a consecuencia de la misma, era posible en sede penal la declaración de la responsabilidad civil subsidiaria, de conformidad con lo previsto en el art. 120.4.º del Código Penal. (LA LEY 3996/1995)
- 11.ª La imputabilidad de la persona jurídica exigía que esta tuviera un sustrato material suficiente, lo que permite distinguir tres categorías:
- 11.ª.1. Aquellas corporaciones que operaban con normalidad en el mercado, y a las que exclusivamente se dirigían en las disposiciones sobre los modelos de organización y gestión de los apartados 2.º a 5.º del art. 31 bis del Código Penal (LA LEY 3996/1995), las cuales mejor o peor organizadas, eran consideradas como penalmente imputables.
- 11.ª.2. Las sociedades que desarrollaban una cierta actividad, en su mayor parte ilegal, a las que se refería la regla 2.ª del art. 66 bis de Código Penal, (LA LEY 3996/1995) como las utilizadas «instrumentalmente para la comisión de ilícitos penales» y que eran también imputables.
- 11.ª.3. Eran inimputables aquellas sociedades cuya actividad ilegal supere ampliamente a la legal, siendo esta meramente residual y aparente para los propios propósitos delictivos.
- 12.ª La responsabilidad penal de los partidos políticos y de los sindicatos, introducida en la Ley Orgánica 7/2012 (LA LEY 22075/2012), presenta así, las siguientes peculiaridades:
- 13.ª Aunque no son expresamente mencionadas en el art. 31 quinquies 1.º del Código Penal (LA LEY 3996/1995), debían considerarse exentas de responsabilidad penal, las fundaciones públicas, integradas en el llamado sector público fundacional y sometidas al Derecho administrativo.
- 14.ª El ejercicio de «potestades públicas de soberanía o administrativas» se aplicaba solo a las administraciones públicas, y no a los entes de naturaleza asociativa privada, como podían ser los Colegios profesionales, o las Cámaras de Comercio, las cuales tendrían la consideración de personas jurídicas penalmente responsables.
- 15.ª Tras la reforma de la Ley Orgánica 1/2015 (LA LEY 4993/2015) el «debido control» (ahora «deberes de supervisión, vigilancia y control») ha seguido atribuido a las personas físicas de la letra a) del art. 31 bis 1, (LA LEY 3996/1995)y no a la propia persona jurídica, con lo que los modelos de organización y gestión ni han definido la culpabilidad de la empresa, ni tampoco han constituido el fundamento de su imputación.
En este sentido, y puesto que en estos modelos se exime de responsabilidad a la empresa bajo determinadas condiciones, el objeto del proceso penal se extendía ahora también a valorar la idoneidad del modelo adoptado por la corporación.
- 16.ª Existía un doble régimen de exención de responsabilidad de la persona jurídica: uno, para los delitos cometidos por los administradores o dirigentes; y otro, para los cometidos por sus subordinados, ambos de naturaleza sustancialmente idéntica, pues, de las cuatro condiciones que el apartado 2.º del art. 31 bis del Código Penal (LA LEY 3996/1995) exigía en relación con las conductas de los sujetos incluidos en el apartado 1.a) (LA LEY 3996/1995), solo la 3.ª, referida a la elusión fraudulenta de los modelos de organización, resultaba inaplicable a los autores del delito del apartado 1.b) (LA LEY 3996/1995).
- 17.ª Los modelos de organización y gestión deberían observar las condiciones y requisitos que establecen los apartados 2 (LA LEY 3996/1995) y 5 del art. 31 bis del Código Penal (LA LEY 3996/1995), cuyo contenido debería ser interpretado por el Ministerio Fiscal siguiendo las pautas que se indicaban en los apartados 5.3.º y 5.4.º de la indicada Circular, atendiendo, con las necesarias adaptaciones a la naturaleza y tamaño de la correspondiente persona jurídica, a la normativa sectorial aplicable a las entidades, a las que se imponía específicamente un determinado modelo de organización y gestión.
- 18.ª Las personas jurídicas de pequeñas dimensiones (art. 31 bis, 3.º del Código Penal) (LA LEY 3996/1995) podrían demostrar su compromiso ético mediante una razonable adaptación a su propia dimensión de los requisitos formales del apartado 5.º, en coherencia con las menores exigencias que estas sociedades tenían también desde el punto de vista contable, mercantil y fiscal.
Por ello, el Ministerio Fiscal, atendiendo a las especiales características de estas sociedades, tendría que extremar la prudencia en su imputación, en evitación de una inconstitucional situación de «bis in ídem».
- 19.ª Sin perjuicio de tener en cuenta las muy diversas circunstancias concurrentes en cada caso concreto, el Ministerio Fiscal habría de observar también, las siguientes pautas de carácter general para valorar la eficacia de los modelos de organización y gestión:
- 19.ª.1. La regulación de los modelos de organización y gestión debía interpretarse de manera que el régimen de responsabilidad penal de la persona jurídica no quedara vacío de contenido, y fuera de imposible apreciación en la práctica.
- 19.ª.2. El objeto de los modelos de organización y gestión no era sólo evitar la sanción penal de la empresa, sino que la misma se articulaba también con la finalidad de promover una verdadera cultura ética corporativa, de tal modo, que su verdadera eficacia residiera en la importancia que tales modelos conllevaban en la toma de decisiones de los dirigentes y empleados, y en qué medida constituían una verdadera expresión de su cultura de cumplimiento.
En este sentido, el Ministerio Fiscal debería analizar si los programas de prevención establecidos, expresaban un compromiso corporativo que realmente fuera suficientemente disuasor de las conductas presuntamente criminales.
- 19.ª.3. Las certificaciones sobre la idoneidad del modelo expedidas por empresas o asociaciones evaluadoras y certificadoras de cumplimiento de obligaciones, mediante las que se manifestara que un modelo cumplía con las condiciones y requisitos legales, podrían apreciarse como un elemento adicional más de la adecuación del modelo, pero en modo alguno, que acreditaran su eficacia, ni sustituyeran la valoración que de manera exclusiva competía al órgano judicial.
- 19.ª.4. Cualquier programa eficaz dependería del inequívoco compromiso y apoyo de la alta dirección para trasladar una cultura de cumplimiento al resto de la compañía. Si eran los principales responsables de la entidad quienes incumplían el modelo de organización y de prevención, o recompensaban o incentivaban directa o indirectamente a los empleados que lo incumplían, difícilmente podría admitirse que existiera un programa eficaz, que reflejara una verdadera cultura de respeto a la ley en la empresa, de tal modo que, en estos casos, el Ministerio Fiscal tendrían que presumir que el programa no era eficaz.
- 19.ª.5. La responsabilidad corporativa debería ser más exigente en los supuestos en los que la conducta criminal redundara principalmente en beneficio de la sociedad, que en aquellos otros casos en los que dicho beneficio resultara secundario o meramente tangencial, al directa y personalmente perseguido por el delincuente.
En estos supuestos, cabría exigir a la persona jurídica que la contratación o promoción del individuo que delinquió, se adecuara a unos protocolos y procedimientos, que garantizaran unos altos estándares éticos en la contratación y en la promoción tanto de los directivos, como de los empleados.
- 19.ª.6. El Ministerio Fiscal, del mismo modo, tendría que conceder especial valor al descubrimiento de los delitos efectuada por la propia corporación, de tal manera que, detectada la conducta delictiva por la persona jurídica y puesta en conocimiento de la autoridad, debería solicitar la exención de pena de dicha persona jurídica, al evidenciarse, no solo la validez del modelo, sino su consonancia con una cultura de cumplimiento corporativo.
- 19.ª.7. Si bien la comisión de un delito no invalidaría automáticamente el modelo de prevención, este podría quedar seriamente en entredicho a tenor de: (i) la gravedad de la conducta delictiva y su extensión en la corporación; (ii) el alto número de empleados implicados; (iii) la baja intensidad del fraude empleado para eludir el modelo; o (iv) la frecuencia y duración de la actividad criminal.
- 19.ª.8. El Ministerio Fiscal debería atender al comportamiento de la corporación sucedido en el pasado. A tales efectos se debía valorar positivamente la firmeza de la respuesta en situaciones precedentes, y de manera negativa, la existencia de anteriores procedimientos penales o en trámite, aunque se refirieran a conductas delictivas diferentes de la investigada, o previas sanciones en vía administrativa.
- 19.ª.9. Las medidas que se hubieran adoptado por la persona jurídica tras la comisión del delito, constituye un hecho consistente sobre los que se puede acreditar el compromiso de sus dirigentes con el programa de cumplimiento.
Así, cabe citar, entre otros: (i) la imposición de medidas disciplinarias a los autores; (ii) o la inmediata revisión del programa para detectar sus posibles debilidades; (iii) la restitución y la reparación inmediata del daño; (iv) la colaboración activa con la investigación, o, (v) la aportación al procedimiento de una investigación interna, sin perjuicio del valor atenuante que pueda tener alguna de estas actuaciones.
Por el contrario, operarían en sentido inverso: (i) el retraso en la denuncia de la conducta delictiva; o, (ii) su ocultación; y, (iii) la actitud obstructiva o no colaboradora con la justicia.
- 20.ª La cláusula de exención de la responsabilidad de la persona jurídica que incorpora el apartado 2 del art. 31 bis del Código Penal (LA LEY 3996/1995), constituiría una causa de exclusión de la punibilidad, a modo de excusa absolutoria, cuya carga probatoria incumbiría a la persona jurídica, la cual debería acreditar que los modelos de organización y gestión cumplían las condiciones y requisitos exigidos en la Ley.
3. El "Cumplimiento Normativo" (o "Compliance") en el Derecho anglosajón
A los efectos de interpretar adecuadamente todos estos hitos legislativos, debe tenerse presente que la figura del «Cumplimiento Normativo» o «Compliance», proyectado sobre la responsabilidad penal de las personas jurídicas nace en el mundo empresarial anglosajón, más concretamente en el sector financiero, que tradicionalmente ha estado sometido a una regulación bastante rigurosa.
En las entidades financieras surge la necesidad de asegurarse el cumplimiento con toda la normativa, bastante compleja en ocasiones, y con sanciones muy altas en caso de incumplimiento, por lo que comienzan a emplear a departamentos dedicados en exclusiva a asegurar el cumplimiento, deslindándolos del área de asesoría legal que hasta entonces era la encargada de esa función. En este sentido, la regulación cada vez más profusa y exigente no se limita al sector financiero, sino que se extiende a otros muchos sectores de la economía, que también empiezan a interesarse en implementar sus propios planes de «Compliance» (4) .
Por ello, puede afirmarse que la influencia del derecho anglosajón es la que ha inspirado esta reforma, EEUU ha ido marcando la pauta desde la famosa sentencia del Tribunal Supremo norteamericano de 1909, New York Central & Hudson River Railroad v. United States, en la que por primera vez se declaró la responsabilidad penal de una persona jurídica. A nivel europeo, podríamos decir que la fuente de conocimiento para reformar el Código Penal en esta materia procede principalmente de Francia e Italia (5) .
El cumplimiento tiene más tradición en los países anglosajones y en Europa se ha extendido su implantación en los últimos diez años como consecuencia de una normativa nacional e internacional cada vez más exigente con la industria financiera. Especialmente tras la aprobación de la Directiva 2004/39 (LA LEY 4852/2004) CE, del Parlamento Europeo y del Consejo, de 21 de abril de 2004, relativa a los mercados de instrumentos financieros (MiFID) en la que se recoge específicamente la función de cumplimiento.
Se podría afirmar que el cumplimiento incluye entre otros temas: la protección de datos, el KYC (Know Your Customer), la ley del mercado de valores, la prevención de blanqueo de capitales (PBC), códigos y reglamentos de conducta internos, responsabilidad social corporativa y reputación. Además, las leyes, reglas y estándares de cumplimiento provienen de varias fuentes: legislación, reglas y normas emitidas por los legisladores y supervisores, convenciones de mercado, códigos de prácticas promovidos por asociaciones de la industria y códigos internos de conducta, por lo que pueden ir más allá de lo que es meramente vinculante legalmente hablando y abarca normas más amplias de integridad y conducta ética.
4. El "Compliance" en España
En España, este moderno concepto de «Compliance» ha llegado con algo más de retraso, principalmente, mediante la aprobación de las reformas legales a las que se ha hecho referencia anteriormente.
En un comienzo, son las empresas con matrices situadas en el extranjero las que prestan atención a esta nueva figura por ser algo prácticamente intrínseco a su cultura corporativa. Otras empresas nacionales, pero con importantes conexiones internacionales, también deben implementar planes de «Compliance» para proporcionar seguridad a sus socios extranjeros.
Tras estas empresas «early adopters», la función de «Compliance» se comenzó a extender a todo el sector empresarial español, e incluso las pequeñas y medianas empresas son cada vez más conscientes de su importancia. Y es que nuestro país no ha sido ajeno a un creciente volumen de producción normativa, la cual en muchos sectores es de una gran complejidad, habiéndose multiplicado las normas que obligan a las empresas a adaptar su actuación a unos estándares. Los ejemplos son muchos: la protección de datos o las normas de buen gobierno para una mayoría de empresas; o la Directiva sobre Mercados de Instrumentos Financieros en el sector financiero. Incluso han aparecido normas ISO específicas destinadas a la gestión del cumplimiento.
La implantación y difusión de los programas de «Compliance» es necesario, también por una razón adicional y muy importante a la que se ha hecho ya mención en estas consideraciones: en muchos países, también en España, se están introduciendo en la legislación cambios que obligan a la empresa a adaptar sus prácticas a determinados estándares, y esa es la labor, precisamente, del departamento de cumplimiento regulatorio.
Esos cambios legales hacen recaer sobre las empresas la responsabilidad en que han incurrido sus directivos o empleados, a no ser que aquellas puedan demostrar que han puesto los medios necesarios para evitar esas conductas inadecuadas, por ejemplo: (i) en el cumplimiento de las leyes fiscales; (ii) la transparencia de la información contable; (iii) las actuaciones con impacto sobre el medio ambiente; o, (iv) las prácticas que pueden ser discriminatorias en la política de contratación del personal (6) .
Esto quiere decir que las empresas tienen que ser capaces de demostrar, por ejemplo: (i) que sus empleados han asistido regularmente a cursos u otras modalidades de formación en el que se trataron las prácticas corruptas que la empresa debía evitar; y que al mismo tiempo, (ii) se proporcionaban las instrucciones necesarias y precisas y los medios adecuados para que los asistentes pudieran hacer frente a tales eventualidades; (iii) que se llevaban controles regulares de esas actuaciones incorrectas; y, muy importante, (iv) que no se trataba de acciones aisladas, sino de actuaciones organizadas, coordinadas y unificadas regularmente por la propia persona jurídica.
Ello lleva a la conclusión, de que este conjunto de acciones tiene un contenido mayor, y, además, va más allá de las actuaciones concretas que puedan llevar a cabo las divisiones o departamentos —jurídico, comercial, de personal, fiscal, etc.—, en un determinado momento de la empresa. Esta es la tarea que se encomienda al departamento de cumplimiento regulatorio, sea cual sea la denominación que el mismo recibida de conformidad con la estructura y la organización de la propia empresa o persona jurídica.
En definitiva, de lo que se trata es de enfatizar y poner de especial relieve que, la empresa debe tener una preocupación positiva por la ética y la responsabilidad social, y utilizar el departamento de cumplimiento normativo o de «Compliance», para llevar a cabo una buena parte de esos cometidos a los que viene obligada legalmente, y que hacen referencia, como ha quedado dicho a la realización de las siguientes tareas o funciones: (i) unificar criterios de actuación; (ii) organizar la formación; (iii) desarrollar sistemas de control (no todos, claro, pero sí los más directamente relacionados con la Responsabilidad Social y la ética); y (iv) coordinar todas estas actuaciones con otros departamentos de la propia empresa o persona jurídica.
Por ello, puede afirmarse, que el «Compliance» o cumplimiento normativo (7) consiste en establecer las políticas y procedimientos adecuados y suficientes para garantizar que una empresa, incluidos sus directivos, empleados y agentes vinculados, cumplen con el marco normativo aplicable. Dentro del marco normativo no han de considerarse únicamente las normas legales, como leyes y reglamentos, sino que también deberían incluirse en el mismo: (i) las políticas internas; (ii) los compromisos con clientes, proveedores o terceros; y de manera especial, (iii) los códigos éticos que la empresa se haya comprometido a respetar, ya que existen multitud de casos en los que una actuación puede ser legal pero no ética.
5. Contenido de la función de "Compliance"
El ejercicio de esta función es habitualmente llevada a cabo mediante cinco conjuntos de actuaciones, las cuales han de coordinarse entre sí, y ser objeto de una planificación cuidadosa. En este sentido, se pueden citar las siguientes:
- a) La identificación: se han de identificar los riesgos a los que se enfrenta la empresa o persona jurídica, teniendo en cuenta su severidad e impacto y la probabilidad de que se den.
- b) La prevención: conociendo los riesgos, se debe diseñar e implementar procedimientos de control que protejan a la empresa.
- c) La monitorización y la detección: la efectividad de los controles implementados debe ser supervisada, informando a la dirección de la exposición de la empresa a los riesgos, y realizando las auditorías periódicas que sean precisas.
- d) La resolución: cuando pese a todo surge algún problema de cumplimiento, debe trabajarse para su solución.
- e) El asesoramiento: los directivos y trabajadores deben recibir toda la información necesaria para llevar a cabo su trabajo de acuerdo con la normativa vigente.
Tradicionalmente, estas funciones recaían en los departamentos de asesoría jurídica, al menos a nivel general. Pero debido a la mayor complejidad regulatoria, han surgido personas que se especializan en esta función, ya sea desde dentro de la empresa como asesor «in-house», o bien como parte de compañías especializadas en «Compliance». De ahí que los grandes despachos de abogados y firmas de auditoría estén potenciando sus áreas de «Compliance» para prestar esta función a las compañías que lo requieran.
A su vez, dentro del organigrama de la empresa, los encargados de «Compliance» pueden trabajar de forma centralizada, diseñando y controlando las actividades de toda la organización; o de forma descentralizada, integrándose en las distintas áreas de la empresa de una forma más autónoma, sin perjuicio de que exista una persona supervisora a nivel general, pero siempre bajo la responsabilidad personal y directa de aquella persona que desempeñe la función de cumplimiento normativo o «Compliance Officer».
Resulta importante que estos departamentos, ya sean centralizados o descentralizados, internos o externos, se articulen e implementen de manera que se les dote de la suficiente autonomía y autoridad, como para poder dirigir indicaciones a todas las esferas de poder de la empresa, y de los recursos suficientes para que su trabajo sea efectivo y no meramente ilusorio, evitando convertirse en un departamento con efectos únicamente publicitarios para o frente a terceros.
Todo ello responde a la idea de considerar el «Compliance», como un elemento generador de valor en y para la empresa, evitando la producción de riesgos legales o de cualquier otra tipología, especialmente los de carácter reputacional, y, finalmente, contribuyendo a una mejor cultura empresarial, considerando al desarrollo de estas políticas como una inversión muy importante para la empresa o la persona jurídica, y no solamente como un gasto más.
II. LA PROFESIÓN DEL «COMPLIANCE OFFICER» Y EL ESTATUTO PROFESIONAL DE "CUMPLEN"
Como consecuencia de las reformas del Código Penal referidas, durante los últimos años, la preocupación del tejido empresarial de nuestro país y las demás personas jurídicas afectadas por dicha regulación en materia de responsabilidad penal, ha ido en aumento, y las empresas han empezado de manera lenta, pero cabe vez de manera más concienciada, a interesarse por la implementación de códigos de conducta, por el establecimiento interno de canales de denuncia, y por el diseño de mapas legales de riesgos permanente actualizados, concretándose todo ello, en el diseño e implementación de programas de prevención, que eviten la incursión de dichas personas jurídicas en responsabilidades penales o de otra índole, que afecten a su reputación y a su correcto funcionamiento.
Y a pesar de ser una figura que carece de forma y contenido desde un punto de vista jurídico en España, su implantación práctica en las empresas españolas es cada vez mayor. Tal vez, cabe referirse a figuras afines como sería la de los responsables del cumplimiento de las medidas de diligencia debida de aquellas empresas, que figuran como sujetos obligados en la Ley de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo, pero lo cierto es que se trata de cuerpos legales distintos con consecuencias jurídicas, igualmente diferentes.
Hoy en día la respuesta es clara: la obligatoriedad de las funciones de «Compliance» no sólo abarcará el desarrollo de políticas concretas sobre el cumplimiento de conductas morales y éticas implementadas por la empresa, sino que, de manera especial y adicional, abarcará todas aquellas obligaciones de naturaleza legal que impliquen un riesgo para aquella, que haya que prevenir o evitar, y en su caso, una vez producido, solventar.
Su labor será gestionar riesgos legales, y consecuentemente será el responsable de las labores de información e investigación de todo hecho relacionado con el cumplimiento de las normas de la empresa.
Por tanto, ya sea de oficio o como consecuencia de una denuncia en el buzón de ético o denuncias (que hace referencia al término anglosajón «Whistleblowing»), el «Compliance Officer» deberá iniciar las diligencias de verificación y comprobación de los incumplimientos detectados o denunciados.
Es precisamente en este marco donde surge la figura del Oficial de Cumplimiento, o —ya que intentamos reproducir los sistemas jurídicos anglosajones—: el «Compliance Officer» (8) .
1. La Asociación de Profesionales de Cumplimiento Normativo "CUMPLEN"
En el examen de todo lo atinente de la función del «Compliance Officer» es donde surge la Asociación de Profesionales de Cumplimiento Normativo, o CUMPLEN.
En esta consideración, debe partirse del hecho consistente en que CUMPLEN constituye en la actualidad una Asociación de profesionales de «Cumplimiento Normativo», sin ánimo de lucro, cuya finalidad fundamental es, contribuir al desarrollo y difusión y profesionalización del «Compliance», abarcando un enfoque multidisciplinar, que intensifique la toma de conciencia e importancia de lo que significa el «Compliance» para las empresas y personas jurídicas en particular, y para la sociedad en general.
Para ello, CUMPLEN ha pretendido desde su constitución ser un referente en el mundo del «Compliance» y representar un instrumento adecuado para aglutinar a profesionales y entidades, bien sean estas de naturaleza privada o pública, con el denominador común de estar preocupadas por la innovación, el análisis, la mejora y la proyección de futuro del «Compliance», así como de las funciones que el derecho, la sociedad, las personas jurídicas o las empresas le atribuyen a su más fiel exponente, que no es otro que las funciones profesionales atribuidas al «Compliance Officer».
Y todas estas cuestiones asumidas siempre bajo los compromisos de la excelencia, la implicación ética en el desarrollo de sus funciones profesionales, la innovación constante en la implementación de las misma y el más absoluto respeto personal y profesional en el ejercicio y desenvolvimiento de sus funciones profesionales.
2. Contenido del Estatuto del "Compliance Officer"
El nuevo Estatuto del «Compliance Officer» de CUMPLEN no trata de ser la directriz con relación a dicho profesional y el ejercicio de sus funciones propios de una asociación privada, sino que el mismo nace con una vocación de universalidad, a los efectos de reglamentar en su conjunto una nueva profesión o función profesional.
En este sentido, puede afirmarse que el objetivo principal tanto de CUMPLEN como de su Estatuto, pretenden de manera fundamental, profesionalizar la figura del «Compliance Officer» concretando y precisando sus roles y características principales, sus responsabilidades, a las que ha de enfrentarse en sus cometidos profesionales, y el nivel de especialización que el mismo ha de contar, para un desarrollo adecuado y exigente de su función.
Así, en su art. 1.º, dedicado a la profesión del «Compliance Officer» y a sus principios rectores se determina que dicha profesión se ejerce en régimen de libre y leal competencia, y su contenido se corresponde con la función de asistencia al órgano de administración y dirección de la persona jurídica u organizaciones públicas y privadas en el cumplimiento de la legalidad vigente, asesorando en la identificación e implantación de controles, y monitorizando la efectividad de los mismos como expresión de garantía de los derechos y libertades de las personas, y al mismo tiempo, con pleno respeto a los derechos humanos, y a los principios del Estado Social y Democrático de Derecho constitucionalmente establecido.
Asimismo, se indica, que el «Compliance Officer» debe desempeñar funciones dirigidas a velar por la práctica ética de las empresas o personas jurídicas públicas y privadas a las que presta sus servicios.
Por ello, el «Compliance Officer» deberá participar en la elaboración de los modelos de organización y gestión de riesgos, y asegurar su buen funcionamiento, estableciendo sistemas apropiados de auditoría, vigilancia y control en el ámbito de la empresa o persona jurídica en la cual desempeñe su función. La atribución de estas funciones profesionales ha provocado la proliferación de la existencia de «Compliance Officer», como la persona o el profesional responsable de la supervisión y gestión de cuestiones relacionadas con el cumplimiento. Generalmente, entre sus funciones se encuentran las de diseñar y aplicar controles, normativas y procedimientos internos que permitan garantizar el cumplimiento de la legislación y normativa aplicables, gestionar las auditorías e investigaciones sobre cumplimiento y normativas o responder a las solicitudes de información de los organismos reguladores. Además, esta figura puede supervisar el cumplimiento de los códigos de conducta voluntarios de las compañías.
Debe tenerse presente que, en el ejercicio de su función profesional, el «Compliance Officer» siempre deberá contar, con los recursos —humanos, económicos, y otra índole— suficientes para el adecuado ejercicio de su función, y para que su labor sea realmente eficaz y efectiva en el seno de cualquier empresa o persona jurídica.
En dicho precepto se determinan, igualmente, los principios rectores y los valores superiores que deben informar la profesión y el ejercicio de la función de «Compliance Officer», que no son otros que aquellos criterios significados por las pautas de la confidencialidad, la libertad, la autonomía, la dignidad y la integridad, en el ejercicio de sus funciones, valores estos, que se consideran irrenunciables en el ejercicio de su función.
3. Concepto de "Compliance Officer" y requisitos para el ejercicio del cargo
Debe tenerse siempre en cuenta, que el «Compliance Officer» debe ser una persona de reconocida honorabilidad y aptitud, y en su consecuencia, ha de observar una trayectoria intachable en lo que concierne al respeto a las leyes, a los principios rectores y valores superiores de su profesión, acorde con las exigencias de su función, así como de las normas deontológicas y de las buenas prácticas profesionales, que se reconocen en el meritado Estatuto, y que el mismo pretende que se alcen como unos valores comúnmente aceptados en el ejercicio de tales funciones profesionales.
Del mismo modo, debe resaltarse el concepto que en el mismo se trata de establecer de la figura del «Compliance Officer». Así, se señala que como tal profesional, puede ejercer la función de «Compliance Officer» la persona que, estando en posesión del título oficial de Licenciado en Derecho, en Dirección de Administración y Dirección de empresa, o con titulación análoga, y además con la suficiente experiencia para ello, se dedique de forma profesional a realizar los actos propios de la profesión, bien de manera individualizada, o incorporado a una sociedad profesional, o prestando servicios en concepto de tal a una empresa o persona jurídica.
No es, por tanto, y de manera excluyente una profesión estrictamente jurídica. Es evidente que la formación de esta naturaleza y en este sentido, se juzga como fundamental, pues en otro caso, se hace difícil interpretar y aplicar el conjunto normativo que afecta a la persona jurídica en aras al cumplimiento de la legalidad que le afecta. Por lo tanto, los valores correspondientes a la formación y a la experiencia deben ser considerados como los baluartes fundamentales que permiten a un profesional convertirse en «Compliance Officer».
Del mismo modo, se señala que el «Compliance Officer», puede prestar sus servicios para una o varias empresas o personas jurídicas, sean estas de carácter pública o privada.
Otro factor a destacar debe hacer alusión necesariamente a los valores, criterios y principios rectores que han de informar el ejercicio de su función. Así dentro del planteamiento ético que deben presidir su ejercicio profesional se hace especial referencia a: (i) la lealtad, y su compromiso con la empresa para la que presta sus servicios; (ii) a su integridad en el desarrollo de su función; (iii) a la importancia del elemento justicia como elemento aglutinante en la toma de decisiones; (iv) a su respeto debido a la normativa vigente, a la cultura y a la normativa interna de la empresa con la que se haya vinculado; (v) a su consideración a los mercados y a los consumidores, y en definitiva, (vi) se hace alusión a valores tales como el respeto, y el compromiso con su quehacer profesional que siempre han de ser observados.
CUMPLEN ha apostado por el concepto de la «autonomía del "Compliance Officer"», antes que por el de su independencia, toda vez que aquel concepto se piensa colectivamente que encaja y representa mejor el contenido de sus obligaciones profesionales. La independencia en el sentido inicialmente escogido determinaba que se llevara a cabo una interpretación excluyente de las responsabilidades y compromisos que se le exigen a todo «Compliance Officer», y que apartaba la figura de dicho profesional del día a día en el conocimiento y el funcionamiento en la toma de decisiones en la empresa, convirtiéndole casi, en un ser ajeno a la estructura de la misma, cuando sus compromisos exigen una verdadera y total implicación en su seno, y en el cumplimiento de la visión y la misión de la empresa o persona jurídica, que debe informar su actuación negocial, y cualquier otra que lleve a término».
También se ha tratado de dar una especial importancia a la especialización profesional con la que ha de contar el profesional del cumplimiento normativo, que, de origen, debe tener unos conocimientos que le acrediten suficientemente para el desempeño de las funciones que son propias de su profesión. Esta especialización unida al conocimiento de la estructura de la empresa, de los valores que conforman la ética empresarial o de la persona jurídica, su funcionamiento, su cultura corporativa, y cualquier otro aspecto atinente a los mismos, se juzgan como fundamentales para todo «Compliance Officer». No obstante, ello, la especialización debe también ir unida de manera inexorable a la propia experiencia con la que cuente un «Compliance Officer».
CUMPLEN, siendo consciente de todo ello, se ha encaminado decididamente tanto por la formación como por la especialización que debe reunir el profesional que aspire a ser «Compliance Officer», conceptos a los que debe serle añadido el de la formación continuada a la que debe aspirar dicho profesional, en el ejercicio constante de su función.
En este sentido, es necesario, la existencia de certificaciones profesionales, que cualifiquen a cualquier profesional para el ejercicio de la función de «Compliance Officer», y le permita adquirir los conocimiento adecuados y suficientes que le cualifiquen en el desarrollo de su profesión, y le permitan afrontar todos aquellos retos por los que tenga que atravesar la empresa o persona jurídica a la que preste sus servicios, bien sean derivados por las características del ejercicio de su actividad, bien a consecuencia de los cambios normativos que se produzcan, o cualesquiera otras circunstancias que afecten a los mercados, o al ámbito de la competencia donde interactúe dicha persona jurídica.
Finalmente, debe insistirse en que esta nueva versión del Estatuto profesional del «Compliance Officer», si bien ha sido elaborado por la Asociación de profesionales de Cumplimiento Normativo, CUMPLEN, trata de ser una regulación general, de todos y para todos los que quieran desarrollar y asumir una carrera profesional vinculada al cumplimiento normativo, específicamente encarnada en los servicios profesionales atribuidos al «Compliance Officer».
CUMPLEN, con la elaboración de dicha normativa, no sólo ha pretendido el establecimiento de un nuevo estatuto en el que regular la profesión del «Compliance Officer», sino que lo ha llevado a cabo con la voluntad de actualizar (9) el contenido del mismo, y de manera principal, consensuar el modelo a establecer valiéndose de la experiencia acumulada durante este tiempo, entre los principales grupos de interés que se pueden ver afectados por dicha normativa, a los efectos de dar una respuesta homogénea y coherente a las principales cuestiones que afectan y que preocupan en el ejercicio de las funciones profesionales que debe asumir dicho profesional, difundiendo su contenido, para su general conocimiento y cumplimiento.
En esta nueva versión regulatoria de la profesión, se pretende potenciar la responsabilidad individual y personal del «Compliance Officer», de modo que la misma no quede diluida entre sociedades profesionales, u otra forma de ejercicio colectivo de la profesión, debiéndose tener en consideración, que siempre ha de ser un «Compliance Officer» quien asuma la responsabilidad de las decisiones, que en el ámbito de su actuación se tomen en cualquier persona jurídica, con independencia del modo de actuación o de organización con que el mismo se prevalga para el desarrollo de su función.