Archivo de la categoría: Compliance officer

Curso de compliance

Posted on por

Nuestro despacho va a lanzar en marzo un curso de compliance de 150 horas que tendrá tres formatos alternativos:

– Presencial – 5 meses (50 horas presenciales + 100 horas online)
– Presencial intensivo – 2 días (16 horas presenciales + 134 horas online)
– Online (150 horas online)

Las características diferenciales de este curso son las siguientes:

– En las dos modalidades presenciales no se superarán los 10 asistentes por clase con el fin de conseguir el máximo aprovechamiento en los debates, talleres y casos prácticos.

– Toda la formación será impartida por abogados en ejercicio, por lo que  irá orientada a la aplicación práctica de la metodología a la función de compliance.

– La metodología irá orientada específicamente a la prevención de la responsabilidad de la empresa y del directivo.

– Se realizarán 20 talleres de aplicación y prueba de medidas preventivas y controles específicos.

– Se analizarán y resolverán 40 casos prácticos.

– Se analizarán 50 escenarios de riesgo con sus respectivos controles y evidencias.

– Se revisarán 20 actividades críticas que habitualmente se externalizan.

– Se identificarán 20 categorías de proveedores críticos de diversos sectores.

– Se explicará la metodología de control de los proveedores críticos.

– Se explicará el uso de herramientas informáticas de análisis de riesgos, gestión de controles y de evidencias.

Si deseas que te envíe el programa y el precio del curso en sus tres modalidades te ruego que me lo indiques enviando un mensaje a xavier.ribas@ribastic.com

Te ruego también que especifiques cuál de los tres formatos te interesa más.

El programa coincide en estructura y alcance con la metodología Compliance 3.0 desarrollada y registrada por nuestro despacho, por lo que su distribución está restringida.

Novedades en el proyecto de reforma del Código Penal

Posted on por

El Ministerio de Justicia ha dado a conocer el contenido del proyecto de reforma del Código Penal en relación a la responsabilidad penal de las empresas y los directivos, que queda de la siguiente manera en relación con el texto anterior del proyecto:

– Se mantiene la responsabilidad penal de las empresas.

– Se mantiene la posibilidad de que las empresas puedan quedar exentas de responsabilidad penal en el caso de que el órgano de administración haya adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyan las medidas de vigilancia y control idóneas para prevenir delitos.

– Se mantiene la exigencia de crear un órgano de supervisión (Comité de Compliance o Compliance Officer).

– Se suprime el artículo que establecía la responsabilidad del representante legal o administrador por el sólo hecho de no haber implantado las medidas de vigilancia y control exigidas.

– Se mantiene la responsabilidad penal de los directivos derivada de su representación legal de la empresa o por la omisión del deber de control, de acuerdo con los artículos 11, 31 y 31 bis apartado 3 del Código Penal. Esta función de control puede ser delegada en el órgano de supervisión y en los responsables de control de cada área, como sucede, por ejemplo, en el caso del delegado de prevención de riesgos laborales.

Modificación de la Ley de Sociedades de Capital para la mejora del gobierno corporativo

Posted on por

El BOE de hoy publica la Ley 31/2014, de 3 de diciembre, por la que se modifica la Ley de Sociedades de Capital para la mejora del gobierno corporativo. Esta modificación incluye importantes medidas que deben ser tenidas en cuenta en los proyectos de Compliance, entre las que destacan las siguientes.

REMUNERACIÓN DE LOS ADMINISTRADORES

1. El sistema de remuneración de los administradores deberá guardar una proporción razonable con la importancia de la sociedad, la situación económica que tuviera en cada momento y los estándares de mercado de empresas comparables.

2. El importe máximo de la remuneración anual del conjunto de administradores deberá ser aprobado por la junta general.

3. El sistema de remuneración establecido deberá estar orientado a promover la rentabilidad y sostenibilidad a largo plazo de la sociedad e incorporar las cautelas necesarias para evitar la asunción excesiva de riesgos y la recompensa de resultados desfavorables.

DEBER GENERAL DE DILIGENCIA

1. Los administradores deberán desempeñar el cargo y cumplir los deberes impuestos por las leyes y los estatutos con la diligencia de un ordenado empresario, teniendo en cuenta la naturaleza del cargo y las funciones atribuidas a cada uno de ellos.

2. Los administradores deberán tener la dedicación adecuada y adoptarán las medidas precisas para la buena dirección y el control de la sociedad.

3. En el desempeño de sus funciones, el administrador tiene el deber de exigir y el derecho de recabar de la sociedad la información adecuada y necesaria que le sirva para el cumplimiento de sus obligaciones.

PROTECCIÓN DE LA DISCRECIONALIDAD EMPRESARIAL

En el ámbito de las decisiones estratégicas y de negocio, sujetas a la discrecionalidad empresarial, el estándar de diligencia de un ordenado empresario se entenderá cumplido cuando el administrador haya actuado de buena fe, sin interés personal en el asunto objeto de decisión, con información suficiente y con arreglo a un procedimiento de decisión adecuado.

DEBER DE LEALTAD Y CONFLICTO DE INTERESES

La modificación introduce cambios en las obligaciones básicas derivadas del deber de lealtad del administrador y en el deber de evitar situaciones de conflicto de intereses.

EXTENSIÓN SUBJETIVA DE LA RESPONSABILIDAD

1. Los administradores responderán frente a la sociedad, frente a los socios y frente a los acreedores sociales, del daño que causen por actos u omisiones contrarios a la ley o a los estatutos o por los realizados incumpliendo los deberes inherentes al desempeño del cargo, siempre y cuando haya intervenido dolo o culpa.

2. La culpabilidad se presumirá, salvo prueba en contrario, cuando el acto sea contrario a la ley o a los estatutos sociales.

3. La responsabilidad de los administradores se extiende igualmente a los administradores de hecho.

DELEGACIÓN DE FACULTADES

Se modifica el régimen aplicable a la delegación de facultades del consejo de administración y se introducen requisitos formales en la contratación del consejero delegado.

FACULTADES INDELEGABLES

En las sociedades no cotizadas destacan las siguientes:

1. La supervisión del efectivo funcionamiento de las comisiones que hubiera constituido y de la actuación de los órganos delegados y de los directivos que hubiera designado.

2. La determinación de las políticas y estrategias generales de la sociedad.

3. La formulación de las cuentas anuales y su presentación a la junta general.

4. La formulación de cualquier clase de informe exigido por la ley al órgano de administración siempre y cuando la operación a que se refiere el informe no pueda ser delegada.

En las sociedades cotizadas destacan las siguientes:

1. La aprobación del plan estratégico o de negocio, los objetivos de gestión y presupuesto anuales, la política de inversiones y de financiación, la política de responsabilidad social corporativa y la política de dividendos.

2. La determinación de la política de control y gestión de riesgos, incluidos los fiscales, y la supervisión de los sistemas internos de información y control.

3. La determinación de la política de gobierno corporativo de la sociedad y del grupo del que sea entidad dominante; su organización y funcionamiento y, en particular, la aprobación y modificación de su propio reglamento.

4. La aprobación de la información financiera que, por su condición de cotizada, deba hacer pública la sociedad periódicamente.

5. La aprobación de las inversiones u operaciones de todo tipo que por su elevada cuantía o especiales características, tengan carácter estratégico o especial riesgo fiscal, salvo que su aprobación corresponda a la junta general.

6. La aprobación de la creación o adquisición de participaciones en entidades de propósito especial o domiciliadas en países o territorios que tengan la consideración de paraísos fiscales, así como cualesquiera otras transacciones u operaciones de naturaleza análoga que, por su complejidad, pudieran menoscabar la transparencia de la sociedad y su grupo.

FUNCIONES DE CONTROL DEL SECRETARIO DEL CONSEJO

El secretario del consejo de administración deberá velar por que las actuaciones del consejo de administración se ajusten a la normativa aplicable y sean conformes con los estatutos sociales y demás normativa interna.

OTRAS MEDIDAS IMPORTANTES

También son dignos de mención los cambios introducidos en las siguientes materias:

1. Categorías de consejeros
2. Consejeros independientes
3. Comisión de auditoría
4. Cominisión de nombramientos y retribuciones
5. Informe anual de gobierno corporativo

Razones por las que todavía no se ha condenado a ninguna empresa por corrupción

Posted on por

Cuatro años después de la implantación de la responsabilidad penal de las personas jurídicas en el Derecho español, los tribunales todavía no se han pronunciado sobre esta materia.

Almudena Vigil analiza las causas de esta situación en un artículo de Expansión en el que resume las opiniones de José Manuel Maza, magistrado de la Sala de lo Penal del Tribunal Supremo y las mías propias.

 

El proyecto Castor y los protocolos de toma de decisiones

Posted on por

Este artículo se basa en la información publicada en los medios de comunicación sobre el proyecto Castor y ha sido escrito con la única finalidad de realizar un análisis teórico de los protocolos de toma de decisiones y los modelos de prevención y control en las empresas. El autor no tiene la intención de valorar la actividad preventiva desarrollada por las empresas y organismos públicos participantes en el proyecto.

En el artículo Ébola y compliance me referí de manera esquemática a los protocolos de toma de decisiones como uno de los elementos clave de un modelo de prevención y control de riesgos legales en el seno de una empresa. Si en ese artículo utilicé la gestión de la crisis del Ébola en España como análisis teórico basado en el estudio del caso, en este artículo voy a utilizar el proyecto Castor como referencia en el análisis de un proceso de toma de decisiones orientado a la prevención de riesgos.

Protocolo de toma de decisiones

En el proyecto de reforma del Código Penal se establece que los modelos de organización y gestión de las empresas deberán establecer los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas.

En mi opinión, el esquema básico de un proceso de toma de decisiones críticas o de alto riesgo, que debería formar parte del reglamento del Consejo de Administración y del modelo de prevención y control de una empresa, es el siguiente:

– Solicitud de informes internos y externos
– Asesoramiento técnico especializado en los riesgos a prevenir
– Asesoramiento jurídico especializado en los riesgos a prevenir
– Evaluación objetiva de los riesgos: laboral, fiscal, medioambiental, penal, etc.
– Análisis de advertencias y mensajes de alerta recibidos
– Análisis de escenarios posibles
– Análisis de alternativas
– Análisis de costes y nivel de endeudamiento
– Balance de prioridades entre intereses individuales y colectivos
– Mayoría reforzada en el proceso de votación

Informes obligatorios

Además de los informes que la empresa decida solicitar voluntariamente en la fase inicial del proceso de toma de decisiones, la solicitud de estos informes puede ser en muchos casos un requisito establecido por la ley.

Entre los numerosos ejemplos de esta obligación legal tienen especial trascendencia para los proyectos de compliance los tres siguientes:

1. Los informes previos exigidos en la Ley de Evaluación Ambiental

2. El informe de experto previsto en la normativa de prevención del blanqueo de capitales.

3. Los informes exigidos en la Ley de Sociedades de Capital, entre los que destacan los siguientes:

– Informe técnico sobre la viabilidad de la sociedad proyectada
– Informe técnico sobre la valoración de las aportaciones no dinerarias
– Informe que justifique las adquisiciones onerosas durante los dos primeros años
– Informe de valoración de acciones y participaciones
– Informe de gestión
– Informe de auditoría
– Informes relativos a los puntos del orden del día de una junta general
– Informe de justificación de la modificación de los estatutos sociales
– Informe previo al aumento de capital con cargo a aportaciones no dinerarias
– Informe previo al aumento de capital por compensación de créditos
– Informe de valoración previo a la separación y exclusión de socios
– Informes previos a la liquidación de la sociedad
– Informe previo a la conversión de obligaciones convertibles en acciones
– Informe previo a la supresión del derecho de suscripción preferente
– Informes solicitados por el sindicato de obligacionistas
– Informe previo a la constitución por fusión de una sociedad anónima europea
– Informe previo a la constitución por transformación en sociedad anónima europea
– Informe previo a la representación de las acciones de sociedades cotizadas
– Informe previo a la aprobación del reglamento del Consejo en las sociedades cotizadas
– Informe de buen gobierno corporativo en las sociedades cotizadas

He querido ser especialmente exhaustivo en la relación de estos informes para demostrar las numerosas obligaciones que la Ley de Sociedades de Capital exige a las sociedades en relación a los informes que tienen que recabar antes de realizar acciones que pueden afectar a la empresa, a sus accionistas y los restantes grupos de interés.

El proyecto Castor

De acuerdo con la información publicada en los medios de comunicación, las elementos que objetivamente debían ser prioritariamente valorados antes de iniciar el proyecto Castor, por afectar al medio ambiente y a la seguridad colectiva, eran los siguientes:

– El gas se iba a almacenar en una cavidad del subsuelo marino de la costa de Vinaroz
– La cavidad estaba cerca de la falla de Amposta
– En esta zona el subsuelo está formado por roca caliza porosa
– La cavidad se había formado con la extracción de petróleo entre 1973 y 1989
– El vacío dejado por el petróleo originó una probable contracción de la roca porosa
– Al inyectarse gas a 250 atmósferas la roca porosa podía expandirse y provocar fracturas
– La expansión de la roca porosa podía afectar a la falla de Amposta
– Como resultado del desplazamiento de la falla se podían producir temblores
– Tras el procedimiento correspondiente se publicó la declaración de impacto ambiental
– En ella se mencionaba la recepción de 141 escritos de los afectados de la zona
– En estos escritos se alegaban, entre otros riesgos, el de terremotos (Página 94816)
– En el estudio de impacto ambiental no hay ningún apartado relativo al riesgo sísmico
– En la declaración de impacto ambiental tampoco

Análisis de advertencias de riesgo

He incluido en el protocolo de toma de decisiones un apartado relativo al análisis de las advertencias de riesgo recibidas por el Consejo durante el periodo previo al proceso de formación de la voluntad societaria.

Es de vital importancia tener en cuenta estas advertencias de riesgo, ya que, si se produce un siniestro, la prueba de que la empresa ni siquiera las ha analizado puede ser decisiva en el momento de evaluar actuación y su eventual responsabilidad por parte de los tribunales, los peritos y las compañías de seguros.

También es importante valorar la existencia de evidencias que acrediten la recepción de la advertencia por parte del Consejo. Una advertencia publicada en el BOE, como en el caso  de la declaración de impacto ambiental, es una evidencia clara del conocimiento del riesgo.

La empresa debe esforzarse en estos casos en analizar a fondo la advertencia y determinar, a través de los correspondientes expertos en la materia, el nivel de probabilidad de que el riesgo se materialice y su posible impacto.

El objetivo final será determinar dónde se encuentra el umbral que diferenciará una decisión prudente de una decisión arriesgada.

Una vez finalizado el proceso de información y análisis de riesgos, el Consejo procederá a la votación de la decisión, que deberá contar con una mayoría reforzada proporcional al nivel del riesgo asumido. Y teniendo siempre en cuenta que en materia de riesgos penales no es posible hablar de apetito de riesgo.

La responsabilidad del Compliance Officer como estrategia de defensa de la empresa

Posted on por

En relación a la reciente advertencia del jurista alemán y catedrático de derecho penal, Cornelius Prittwitz, sobre el riesgo de que las empresas desplacen su responsabilidad legal hacia la figura del Compliance Officer, mi opinión es que habrá que tener en cuenta las circunstancias de cada caso en el momento de realizar la atribución de responsabilidades. Entre los principales elementos a valorar destacan a mi juicio los siguientes:

– La doctrina jurisprudencial que establece que «los contratos son los que son y no lo que las partes dicen que son». Análogamente, por mucho que una empresa quiera desplazar su responsabilidad al compliance officer, será el juez el que valorará las circunstancias de cada caso y la cuota de responsabilidad de cada una de las personas que forman la estructura de control de la empresa, incluyendo a la propia empresa.

– La Circular 1/2011 de la Fiscalía General del Estado en la que se venía a advertir a los fiscales españoles que no se dejasen deslumbrar por el despliegue de medidas de control meramente teóricas y sin acreditación de su efectividad, aportadas por las empresas imputadas como prueba del debido control. El ya famoso compliance cosmético o make-up compliance.

– La cultura real de cumplimiento o incumplimiento de la empresa, que es la que finalmente debe ser tenida en cuenta, como sucedió en el caso SAC, en el que la empresa se defendió de la acusación de tener una cultura orientada al uso de información privilegiada alegando que tenía 38 compliance officers.

– La concurrencia de factores como la tolerancia dolosa, que pueden provocar la derogación del control y por ello, la ineficacia de un modelo de prevención y control.

– El criterio de la proximidad del riesgo, aplicado por ejemplo en el caso de los accidentes laborales, mediante el que se valora la capacidad del responsable del control de evitar el riesgo en función de la distancia funcional o geográfica que le separa del riesgo. Este criterio hace que la responsabilidad derivada de un accidente laboral en una fábrica se depure en ese centro de trabajo y no afecte al Consejo, salvo que haya un incumplimiento generalizado de la normativa de prevención de riesgos laborales. El Compliance Officer estaría en una situación de garante genérico parecida a la del Consejo, mientras que el Delegado de PRL en la fábrica sería un garante específico y mucho más cercano al riesgo.

– Los recursos asignados por la empresa al Compliance Officer. De manera parecida a la responsabilidad del Delegado de Prevención de Riesgos Laborales, el Compliance Officer no podrá ser declarado responsable si la empresa no le ha asignado recursos suficientes para realizar su función.

– La forma en que se ha realizado la delegación de las funciones de control. La jurisprudencia define los requisitos que debe cumplir una delegación de funciones por parte del Consejo, de manera que una delegación incompleta o imperfecta podría exonerar de responsabilidad al Compliance Officer. Para ello habría que valorar las descripción del puesto de trabajo (Job description), así como las políticas, normas, procedimientos, manuales, instrucciones y órdenes directas en las que figure una asignación expresa de funciones de control al Compliance Officer.

– La posibilidad de que el Consejo haya delegado al Compliance Officer funciones de control indelegables, de acuerdo con la normativa mercantil en preparación. Esta circunstancia también eximiría de responsabilidad al Compliance Officer, especialmente en el caso de sociedades cotizadas.

– La posible falta de adaptación de los estándares internacionales a la realidad española y a su sustanciación en los tribunales.

– La posición que ocupa el Compliance Officer en la estructura de control de la empresa y, de acuerdo con ello, la posibilidad de que no tenga asignada una función directa de control, sino de coordinación de los diversos responsables de control de la empresa, que por su proximidad al riesgo y por sus conocimientos especiales en la prevención de cada tipo de riesgos son los verdaderos garantes y por ello responsables en caso de omisión de un deber específico de control.

– Otros argumentos, como la imposibilidad de tener todos los conocimientos necesarios para realizar de forma eficaz la función de control en las diferentes áreas de la empresa, que ya cité en el artículo titulado «Compliance Officer o cómplice officer» que dividí en dos partes:

Primera parte
Segunda parte

Por todo ello veo difícil que las empresas consigan desplazar toda la responsabilidad legal a la figura del Compliance Officer.

 

Seguro de directivos D&O y responsabilidad penal

Posted on por

El rechazo a la petición de Miguel Blesa de cubrir su fianza de 16 millones con cargo al seguro de responsabilidad civil de consejeros que en su día suscribió Caja Madrid ha generado un debate sobre la cobertura de este tipo de seguros en el caso de la imputación de un delito a un directivo o a la sociedad.

Paralelamente, las empresas están en estos momentos planteando la renovación o modificación de estas pólizas para dar cobertura, durante el próximo ejercicio, a la responsabilidad civil de sus directivos, por lo que es el momento propicio para valorar el alcance de estos seguros.

Opcionalmente, algunas compañías ofrecen la posibilidad de incluir en el ámbito de la cobertura del seguro algunos aspectos relativos a la responsabilidad penal de la empresa.

La responsabilidad civil derivada de la comisión de un delito por parte de un directivo no puede quedar cubierta por la póliza, debido a la concurrencia de dolo, pero los gastos de defensa de la empresa para hacer frente a una eventual acción penal contra la misma por omisión del debido control sobre el directivo sí podrían llegar a estar contratados. Tras la reforma del Código Penal de 2010 algunas compañías de seguros incluyeron esta posibilidad, junto a otras prestaciones, en los seguros de D&O.

Sin embargo, debe tenerse en cuenta que en los grupos de empresa existe la posibilidad de que la póliza haya sido suscrita por la sociedad matriz del grupo en relación a todos los directivos de las empresas que lo forman. Ello genera el riesgo de que la cobertura del seguro no se extienda a la compañía en la que el directivo presta sus servicios.

Por todo ello, en el momento de comprobar el alcance real del seguro de D&O, deberán tenerse en cuenta los siguientes puntos:

Cobertura en relación al directivo

Deberá comprobarse los actos y responsabilidades que quedan incluidos en la cobertura del seguro y los que quedan excluidos. Es normal que los delitos estén excluidos, dada su naturaleza dolosa, así como la responsabilidad civil derivada de los mismos.

Cobertura en relación a la empresa

Deberá comprobarse en qué supuestos podrá la empresa hacer frente a la responsabilidad civil derivada de las acciones u omisiones del directivo. Probablemente quedará excluida la responsabilidad civil derivada del delito, pero podría contratarse la extensión a la responsabilidad penal. Para ello habrá que valorar toda la oferta existente en el mercado, ya que no todas las compañías de seguros ofrecen este servicio.

Responsabilidad penal corporativa

Las pólizas de responsabilidad civil suscritas por las empresas están limitadas a los riesgos del negocio y no cubren la responsabilidad penal corporativa. El cauce habitual para cubrir este riesgo es a través de los seguros de D&O. Esta cobertura se limita generalmente a los gastos de defensa. Reconociendo la dificultad jurídica para que llegue a existir un producto así, además del coste prohibitivo de la prima, el escenario ideal para una empresa incluiría la posibilidad de asegurar el impacto económico de la pena principal (pérdida de bonificaciones fiscales o de Seguridad Social, saldos fiscales, ayudas públicas y contratos públicos), la multa y la indemnización por daños y perjuicios.

Fianzas

Es importante comprobar si las fianzas están incluidas. Algunas compañías ofrecen esta cobertura, pero lo más probable es que las fianzas estén excluidas en relación a procedimientos penales o que sólo se contemplen los costes de constitución de las mismas.

Grupos de empresa

En los grupos de empresa deberá tenerse en cuenta la diferencia entre tomador y asegurado. Lo más probable es que el tomador sea la matriz del grupo y que los asegurados sean los directivos del grupo. Pero también deberá comprobarse si las compañías del grupo figuran como aseguradas en el caso de una acción de responsabilidad penal corporativa derivada de las acciones u omisiones del directivo y de la falta de control sobre las mismas. De no ser así, podría darse el caso de que, a pesar de haberse contratado esta cobertura, la empresa afectada no estuviese contemplada en el contrato de seguro.

La póliza de seguros constituye el último elemento de un programa de corporate compliance. Cuando todos los muros de contención que defienden a la empresa fallan, el último recurso es tener aseguradas todos los riesgos posibles con el fin de salvaguardar el patrimonio de la empresa y de sus directivos.

10 errores habituales en el análisis de riesgos

Posted on por

El proyecto de reforma del Código Penal y la certificación Iuriscert de AENOR en relación a los sistemas de prevención de delitos en las empresas dan mucha importancia al proceso de análisis de riesgos. Desde la reforma de 2010 muchas empresas han basado el diseño de su modelo de prevención y control de delitos en un mapa de riesgos elaborado internamente o a través de un consultor externo. En este artículo resumo mi opinión personal sobre los informes que he revisado y en especial, sobre los errores que, a mi modo de ver, se repetían en ellos, y que podían distorsionar los resultados.

1. Basar el análisis exclusivamente en fórmulas matemáticas

Los cálculos relativos a la probabilidad y al impacto de los riesgos analizados pueden realizarse manualmente o con el apoyo de aplicaciones y hojas de cálculo. Estas herramientas son de gran ayuda, pero no pueden ser el único soporte del análisis de los riesgos. Las fórmulas deben contener factores de ponderación que permitan ajustar los cálculos a la realidad, a través de multiplicadores y divisores que tengan en cuenta el contexto. Pero lo más importante es que el análisis lo realice un profesional especializado, que tenga conocimientos de las dinámicas comisivas, del sector al que pertenece la empresa y del factor humano, que hace que cada empresa sea distinta. Una vez obtenidos los resultados, debe aplicarse el filtro del sentido común, basado en este caso en la experiencia del profesional que firma el informe y en una visión en conjunto del análisis, que compare la valoración de cada riesgo con todos los demás, asegurando que se cumple el principio de proporcionalidad.

2. Aplicar un factor multiplicador excesivo a la existencia de un precedente

En uno de los informes revisados, que correspondía a una empresa industrial, el delito de pornografía infantil apareció en el grupo de los delitos con mayor probabilidad de comisión. Ello se debía a que el consultor había utilizado un algoritmo que aplicaba un factor multiplicador a la existencia de un precedente relativo a ese delito en la empresa. Incluso en el caso de no utilizar herramientas informáticas, la existencia de un precedente se valora excesivamente en los informes analizados. El profesional que realiza el análisis debería tener en cuenta todos los factores, y realizar un juicio de proporcionalidad, teniendo en cuenta el contexto, los restantes riesgos y la probabilidad de que el delito vuelva a cometerse. También debe tenerse en cuenta la antigüedad y las circunstancias del precedente, ya que pueden haberse producido cambios en la empresa y en las personas que participaron en él. En el caso concreto analizado, la persona que cometió el delito ya no estaba en la empresa.

3. Basar el análisis de la probabilidad exclusivamente en la opinión del cliente

Sería pecar de frivolidad aplicar a este caso la frase «los pacientes siempre mienten»del Dr. House, porque no es cierto que los clientes siempre mientan. El problema es que no son objetivos. No pueden serlo. Podríamos decir que el cliente está contaminado por las prácticas de la empresa y del sector al que pertenece y le cuesta tener una visión que se sitúe por encima de lo que está acostumbrado a ver. Tampoco conoce las dinámicas comisivas ni los factores de riesgo. Además, puede estar afectado por la «niebla de la batalla», es decir, la dificultad para sacar conclusiones a largo plazo o de tener una visión completa de todo el escenario a causa de la constante atención que requieren los asuntos a resolver diariamente y las urgencias del negocio. En este caso incluyo en el concepto cliente al conjunto de personas entrevistadas durante el proceso de análisis de riesgos. El cliente es un gran experto en su empresa y nos va ayudar mucho a conocer sus puntos débiles, pero no puede convertirse en absoluto en la única fuente de información. El profesional debe documentarse y tener en cuenta el conocimiento que él mismo puede aportar al análisis a través de otras fuentes de información y de su propia experiencia.

4. Basar el análisis del impacto exclusivamente en la opinión del cliente

En mi opinión es un error partir exclusivamente de las respuestas del cliente para calcular el impacto económico y reputacional de la comisión de un delito en el seno de la empresa. Un área en la que los profesionales podemos aportar conocimiento es justamente en la valoración económica de las consecuencias de un delito. Los abogados, por ejemplo, podemos analizar la jurisprudencia y conocer el rango en el que se mueven las indemnizaciones por responsabilidad civil derivada de un delito. Podemos también cuantificar las multas aplicables a cada tipo penal y los distintos supuestos agravados. Asimismo, podemos apoyarnos en expertos para cuantificar el impacto de cada delito en la marcha del negocio y para analizar los posibles daños en la reputación de la empresa en el mercado, la presumible reacción de los clientes y su comportamiento en materia de pedidos. A pesar de la importancia de este trabajo casi todos los informes que he revisado basan el análisis del impacto exclusivamente en la opinión del cliente. Y después incluyen un disclaimer exonerándose de cualquier tipo de responsabilidad por los errores de valoración, ya que el análisis lo ha hecho el cliente y no ellos. Supongo que por eso se dice que se paga a los consultores para que te digan lo que ya sabes, pero lo que encuentro excesivo es que encima te lo pregunten a ti y no lo averigüen por otros canales para confirmar que las conclusiones son acertadas.

5. Utilizar al cliente como única fuente de información sin aportar valor al análisis

Este punto es una conclusión de los dos anteriores. Considero que el profesional al que se le encomienda la valoración del riesgo penal debe tener experiencia en el sector, conocimiento de las dinámicas comisivas y de los riesgos, así como fuentes de información suficientes para que su intervención en el proyecto sea valiosa y no se limite a transcribir lo que opinan los interlocutores entrevistados.

6. No tener en cuenta el factor humano y el instinto defensivo del interlocutor

Los interlocutores entrevistados tienen habitualmente escasa práctica en materia de autodianóstico y autocrítica. Además de los factores culturales, es inevitable que el entrevistado se sienta de alguna manera investigado y adopte una posición defensiva, como si de un interrogatorio se tratara. Esta reacción es muy humana y obliga a un trabajo previo de distensión y de información sobre el objetivo final del proyecto. A pesar de esta preparación previa, las repuestas del entrevistado pueden estar contaminadas por el miedo y ocultar situaciones de riesgo. También pueden centrase excesivamente en la labor preventiva realizada para justificar su trabajo. Este esfuerzo de justificación dilata mucho las entrevistas, ya que cada pregunta tiene como respuesta un arsenal de argumentos defensivos que además distorsionan los resultados. Esta es una razón más que obliga a ponderar los resultados con otras fuentes de información y con la habilidad de identificar los riesgos que han quedado ocultos a causa de las estrategias de autodefensa.

7. No apreciar el traspaso de responsabilidades entre departamentos

El efecto inmediato de la estrategia de autodefensa del entrevistado es un truco de prestidigitación que consiste en que, al acabar la entrevista, el consultor está convencido de que el riesgo se concentra en otro departamento. Esta habilidad, innata o adquirida, consciente o inconsciente, se potencia en las empresas en las que se producen duplicidades organizativas, se asignan competencias similares a distintos departamentos o bien las funciones de control no están correctamente establecidas. Un error habitual es dejarse llevar por acusaciones interdepartamentales, aunque éstas no sean evidentes. Esta maniobra de distracción hace que no se profundice en el análisis de riesgos del departamento entrevistado y que se sobrevaloren los riesgos de otros departamentos.

8. No comparar los resultados del análisis con el mapa de riesgos sectorial

Para evitar que la subjetividad en las respuestas del entrevistado nos contamine, tenemos que haber hecho antes los deberes. Lo ideal es haber elaborado un mapa de riesgos sectorial que nos sirva de referencia para comprobar si la empresa se ajusta o no al patrón y, en caso negativo, conocer las causas. Es posible que el interlocutor esté hablando constantemente en términos de riesgo residual, es decir el que permanece tras la aplicación de los controles. Valorar el riesgo en estas condiciones sería como medir el viento desde un coche en marcha. En los informes revisados no he encontrado referencia alguna a la situación de la empresa en relación al mapa de riesgos del sector.

9. Presentar los resultados sin haber aplicado el filtro del sentido común

El informe en que se consideraba altamente probable el delito de pornografía infantil en una empresa industrial no se habría llegado a presentar si se hubiese realizado un juicio previo de proporcionalidad. No es lógico que en el sector industrial la probabilidad de que este riesgo se materialice esté por encima del relativo al delito medioambiental, por ejemplo. Antes de presentar el informe a un Consejo de Administración hay que realizar una comprobación tan simple como la de someter las conclusiones finales a los principios básicos del sentido común.

10. Atribuir al cliente los errores que se produzcan en la valoración del riesgo

Y lo que considero fuera de lugar, aunque el socio que firma el informe esté atormentado por su departamento de Risk Management, es incluir un disclaimer que reconozca literalmente que no se ha hecho un análisis de riesgos sino que la labor del consultor se ha limitado a solicitar la opinión del cliente y a transcribirla en el informe, por lo que si el cliente está equivocado, la firma consultora no tiene la culpa. Considero que el cliente espera algo más de la firma a la que ha solicitado que valore sus riesgos. Cuando vamos a un centro médico de reconocido prestigio para realizar un chequeo lo último que esperamos es que el médico se limite a preguntarnos cómo nos encontramos. Nuestro cuerpo, los instrumentos de medición y los análisis clínicos son fuentes de información mucho más fiables que nuestra simple opinión no experta. Aunque nos conozcamos muy bien. El cliente confía en nuestro criterio y en un cierto nivel de implicación en la valoración de sus riesgos. Implicación que debería extenderse a la propuesta de soluciones. Pero es de suponer que el propio disclaimer habrá dejado bien claro que eso no forma parte del alcance del trabajo contratado y que hay que pedir otro informe en el que habrá otro disclaimer que exonerará de responsabilidad a la firma consultora, porque las soluciones propuestas también se basan en la información suministrada por el cliente, y no en la creatividad y el talento que cabría esperar a la vista de las facturas suministradas por la consultora.