El proyecto de reforma del Código Penal, que parece haber cobrado un nuevo impulso con el fin de la doctrina Parot y la lucha contra la corrupción, incluye tres menciones expresas al órgano de vigilancia y control orientado a prevenir la comisión de delitos.

• La primera, en el artículo 31bis, al incluir en la lista de condiciones necesarias para la exención de la responsabilidad penal corporativa, la supervisión del funcionamiento y del cumplimiento del modelo de prevención por parte de un órgano de la persona jurídica con poderes autónomos de iniciativa y control.
• La segunda, en el mismo artículo, al incluir como uno de los requisitos del modelo de organización y gestión, la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar el funcionamiento y observancia del modelo de prevención.
• La tercera, en el nuevo artículo 286 seis, al incluir la contratación, selección cuidadosa y responsable (culpa in eligendo), así como la vigilancia (culpa in vigilando) del personal de inspección y control, como una de las medidas de vigilancia y control cuya omisión puede generar responsabilidad penal para el directivo responsable de su aplicación.

En la práctica, este órgano suscita una serie de cuestiones que analizamos a continuación y entre las que destaca la que inspira el título a este artículo, es decir la responsabilidad de este órgano en caso de delito.

Nuevo departamento vs. departamento ya existente

Las funciones que el proyecto asigna al órgano de vigilancia y control están repartidas en la actualidad en diversos departamentos o comités:

1. Comité de Ética
2. Auditoría Interna
3. Control Interno
4. Asesoría Jurídica
5. Cumplimiento Normativo

Estas funciones de vigilancia y control se dividen en tres grupos:

1. Control anterior a la infracción (control preventivo)
2. Control posterior a la infracción (control detectivo)
3. Función sancionadora, complemento necesario para la eficacia del control

Sin embargo, en el momento de la distribución de estas funciones, estos tres grupos no quedan bien definidos y pueden ser asignados a varios departamentos a la vez o quedar sin asignar.

El Comité de Ética es el destinatario habitual de las denuncias relativas a posibles incumplimientos del código ético a través del correspondiente canal de denuncias, y es también el que investiga, delibera y sanciona dicho incumplimiento. En realidad propone la sanción y RRHH la impone. Pero la función del Comité de Ética es predominantemente reactiva, es decir, acostumbra a actuar cuando llega la denuncia, sin perjuicio de las campañas de sensibilización que pueda organizar. En cambio, el proyecto exige una labor más proactiva, más cercana a la función de control interno o de auditoría interna, pero mucho más intensa, y no limitada a los delitos estrictamente económicos. Ello hace pensar que el proyecto habla de dos órganos distintos uno proactivo y emisor de denuncias y otro reactivo y receptor de denuncias. Por otro lado, el objetivo de los departamentos con funciones de control ha sido hasta ahora proteger a la empresa del fraude interno y de las amenazas en las que la empresa es la víctima, mientras que la finalidad de los programas de corporate defense es prevenir la responsabilidad penal de la empresa en los delitos en los que la víctima es un tercero. Lo mismo sucede con los programas de D&O defense en relación a los cargos directivos.

Por otro lado está la función de los departamentos de Asesoría Jurídica y de Cumplimiento Normativo, este último muy próximo en su nomenclatura  al Compliance Officer, pero no tanto en su encaje en la taxonomía que parece proponer la doctrina al comparar el modelo anglosajón con el propuesto en la reforma.

Por otra parte, tanto las funciones como las denominaciones de los departamentos no son uniformes en todas las empresas y sectores, por lo que, si queremos realizar un análisis comparativo entre varias empresas, más que hablar de departamentos tendremos que hablar de funciones.

Entiendo que el camino lógico a seguir en una empresa tras la aprobación de la reforma del Código Penal sería:

1. Identificar las funciones de supervisión y control establecidas en el texto que finalmente se apruebe, integrándolas en el modelo de organización y gestión.
2. Analizar cómo están repartidas en ese momento estas funciones en los diversos departamentos y comisiones de la empresa.
3. Decidir si debe crearse un nuevo cargo, un nuevo departamento o una comisión que incorpore a las personas que actualmente realizan las funciones identificadas en distintos departamentos.

Lejos del debate científico sobre si la función origina el órgano o el órgano crea la función, que en el mundo de la gran empresa puede llegar a cobrar matices kafkianos, es evidente que en este caso la función de vigilancia y control viene determinada y exigida por una Ley Orgánica y que de ella deriva la creación del órgano que debe desarrollar esta función.

Cargo unipersonal vs. órgano colegiado

En función de las decisiones adoptadas por la empresa en relación al punto anterior, podrán asignarse las funciones a una sola persona o a un equipo. Aunque el proyecto habla de órgano, nada impide que se trate de un cargo unipersonal, aunque, en mi opinión, lo más aconsejable es que sea un órgano colegiado, ya que los requisitos que tiene que cumplir no acostumbran a estar reunidos en una sola persona. También puede tratarse de una única persona que se apoye en los expertos internos y externos de cada materia, con los que la empresa ya cuenta habitualmente.

Entre los factores que aconsejan una puesta clara por un órgano colectivo destacan las siguientes:

1. La gran carga de trabajo a realizar.
2. El enfoque multidisciplinar.
3. La gran variedad de conocimientos exigidos.
4. La capacidad para actuar, contar con aliados y conseguir la ejecución de las decisiones y las medidas adoptadas en los departamentos afectados.

Parece evidente que el legislador no piensa en un hombre orquesta con múltiples tentáculos e inteligencias, saber enciclopédico y don de la ubicuidad. Aunque la función de dirección y coordinación del equipo debe recaer en una sola persona, parece recomendable que se apoye en un grupo de expertos con capacidad de actuación en los departamentos afectados.

Pensemos que la labor de este órgano debe estar apoyada en un procedimiento sancionador, por lo que será conveniente que las deliberaciones vayan revestidas de las garantías que ofrece un órgano plural. Por ello habrá que decidir si la función de valoración y sanción de infracciones (control posterior a la infracción) debe permanecer en un comité de ética y las de prevención y vigilancia (control anterior a la infracción) en un órgano de control que sería el compliance officer. Esta opción se ajustaría más al principio de segregación de tareas y preservaría la independencia entre el órgano que coordina las medidas de control y el que sanciona su incumplimiento.

Otra posibilidad sería enlazar los protocolos de vigilancia y control con las normas de buen gobierno corporativo, asignando la máxima responsabilidad del control a un consejero independiente que coordinaría la labor de una comisión interdepartamental  que a su vez asumiría todas las funciones de vigilancia y control.

Responsable penal vs. simple coordinador del control

El artículo 11 del Código Penal establece que los delitos que consistan en la producción de un resultado sólo se entenderán cometidos por omisión cuando la no evitación del mismo, al infringir un especial deber jurídico del autor, equivalga, según el sentido del texto de la Ley, a su causación. A tal efecto, se equiparará la omisión a la acción cuando exista una específica obligación legal o contractual de actuar o cuando el omitente haya creado una ocasión de riesgo para el bien jurídicamente protegido mediante una acción u omisión precedente.

El artículo 316 del Código Penal establece un supuesto específico de responsabilidad penal para los que, con infracción de las normas de prevención de riegos laborales y estando legalmente obligados, no establezcan las medidas preventivas necesarias para evitar accidentes laborales. Y el artículo 318 impone la pena señalada para los delitos atribuidos a personas jurídicas a los administradores o encargados del servicio. Estos dos artículos, ampliamente analizados en la Circular 4/2011 de la Fiscalía General del Estado, contemplan un supuesto específico en el que la responsabilidad penal derivada de la omisión del deber de control puede recaer en una persona física.

Todo parece indicar que la clave está en la delegación del control y en la asignación legal o contractual de un deber de control. Esta delegación se produce en la línea del negocio, es decir, desde el Consejo de Administración al responsable del departamento o la unidad de negocio en la que puede originarse el riesgo, y en la que debe establecerse por lo tanto el control. El control debe estar cerca de riesgo, y debe ser un control experto. Me refiero a que no puede pretenderse que el compliance officer tenga un conocimiento omnicomprensivo que le permita realizar un control realmente experto del cumplimiento de las medidas de prevención.

Es importante por lo tanto analizar la línea de delegación, ya que el deber jurídico del control, como establece el artículo 11 del Código Penal, puede provenir de una obligación legal o de una obligación contractual. Y es justamente la delegación de la función de control a un directivo concreto, en el marco de la relación contractual que lo une a la empresa, la que puede hacer atribuible el deber jurídico de control y la responsabilidad penal a un cargo que no ostente la representación legal de la empresa. Por tanto, cabría la posibilidad de que al compliance officer se le asignasen obligaciones de control suficientes para atribuirle, conscientemente o no, las responsabilidad penal de la omisión del control o de un control deficiente, y esa delegación de obligaciones es la que habrá que analizar con detalle tanto en el momento del nombramiento como en el momento de la depuración de las responsabilidades.

En mi opinión, el deber de control debería residir en la línea de negocio, distribuido entre los distintos directivos con funciones de control, y el compliance officer, como órgano unipersonal o colegiado, debería realizar una supervisión transversal de dicho control, como así se establece en el proyecto.

El nuevo artículo 286 seis previsto en el proyecto atribuye la responsabilidad penal de la omisión de las medidas de vigilancia y control al representante legal o administrador de hecho o de derecho de la empresa.  Dentro de estas medidas de vigilancia se incluye la contratación, la selección cuidadosa y responsable y la vigilancia del personal de inspección y control. Ello significa que la responsabilidad penal derivada de la omisión de las medidas de prevención y control corresponde al representante legal y que el compliance officer forma parte del personal de inspección y control que el representante legal debe contratar. Pero, como decía antes, podría darse el caso de que el representante legal delegase este deber de control en el compliance officer y éste asumiese la responsabilidad penal derivada de la omisión del control. Por eso habrá que ver qué posición ocupa exactamente este órgano en la línea jerárquica y en la estructura de control de la empresa, ya que si el compliance officer no está integrado en la cadena de mando, sino en una posición colateral de supervisión, no debería atribuírsele responsabilidad alguna, salvo en los casos que más adelante comentaré.

Estructura de capas

Las reflexiones del punto anterior me llevan a pensar en una estructura de capas en las que se distribuyen las distintas funciones y responsabilidades asociadas al control. Estas capas son independientes de la estructura jerárquica, en el sentido que el beneficio de su existencia se obtiene del efecto acumulativo de todas ellas.

1. CAPA DE RESPONSABILIDAD.- Está formada por la representación legal de la empresa, es decir, el Consejo de Administración o los Administradores de hecho o de derecho. De ella emanan las normas y protocolos que el personal deberá cumplir.
2. CAPA DE RESPONSABILIDAD DELEGADA.- Está formada por los directivos de la línea de negocio y la cadena de mando que por ley o por delegación contractual asumen obligaciones de control. Es el máximo exponente del control en la actividad cotidiana de la empresa.
3. CAPA DE COORDINACIÓN Y SUPERVISIÓN.- Está formada por el compliance officer, como órgano unipersonal o colegiado encargado de comprobar que los controles son eficaces a través de tareas rutinarias y de investigaciones internas. Incluye también la labor de formación y sensibilización.
4. CAPA DE EXPERTOS.- Está formada por los distintos expertos internos y externos que la empresa utiliza habitualmente para obtener asesoramiento en las distintas materias que requieren una especialización. Por ejemplo: medioambiente, seguridad informática, riesgos laborales, etc. La supervisión del control deberá basarse en la capa de conocimiento de estos expertos para poder analizar y valorar los riesgos y para identificar, seleccionar, aplicar y contrastar la eficacia de los controles. Entre los expertos se incluirán los abogados penalistas, que aportarán su conocimiento y experiencia sobre la dinámica comisiva del delito, los elementos del tipo penal, el tratamiento jurisprudencial y los argumentos de defensa, con el objetivo de dotar de contenido y eficacia a la labor de preconstitución de la prueba.
5. CAPA DE PRUEBA.- Está formada por los expertos que apoyan al compliance officer en la obtención y custodia de las evidencias que acreditan la existencia y la eficacia del control.
6. CAPA SANCIONADORA.- Está formada por el Comité de Ética, que recibe las denuncias del canal y del compliance officer, y delibera y propone las sanciones, así como por el departamento de RRHH, que las impone. Es posible que en algunas empresas la función del Comité de Ética se integre en el órgano de supervisión, es decir en el compliance officer. De hecho, este órgano aparece en el proyecto como receptor de denuncias y no como emisor de las mismas. Por ello debe contemplarse la posibilidad de mantener estas funciones repartidas en dos órganos o unificarlas en uno solo, con las correspondientes cautelas en materia de independencia y segregación de funciones que he comentado antes.

Función interna vs. función externalizada

Un problema común a todas las empresas en la actualidad es la escasez de recursos, derivada de un estricto control presupuestario. Ello hace pensar en la posibilidad de que algunas de las funciones correspondientes al compliance officer puedan ser externalizadas. También puede hablarse de un «implant», como sucede en el caso de Data Privacy Officer (DPO).

Teniendo en cuenta que en el proyecto actual la existencia de este órgano de supervisión y control es una de las medidas exigidas para evitar la responsabilidad personal de los representantes legales de la empresa, la externalización puede ser una alternativa a considerar.

Las ventajas de la externalización son claras:

1. Mayor objetividad en el control.
2. Independencia.
3. Mayor respeto (menos confianzas) a un profesional externo que a un interno.
4. Mayor aceptación de un control externo que de un control interno.
5. Nivel de especialización más alto.
6. Supervisión del trabajo por el socio responsable (política de cuatro ojos).
7. Aprovechamiento de la experiencia obtenida en otros clientes.
8. Secreto profesional y acuerdos de confidencialidad.
9. Seguro de Responsabilidad Civil profesional.
10. Sustitución en caso de baja.
11. Ahorro de costes.

En el caso de no apostar por la externalización, lo menos recomendable sería crear un departamento sobredimensionado, ya que, como he dicho antes, el compliance officer puede apoyarse perfectamente en los distintos expertos internos y externos que habitualmente asesoran a la empresa en las materias de fondo.

Finalmente, cabe decir que, en mi opinión, la responsabilidad penal no es externalizable. Al menos en términos generales. El control es inherente a la representación legal y debe estar cerca de la fuente que origina el riesgo, revestido de una capa de conocimiento de la empresa que difícilmente puede llegar a tener un profesional externo. No obstante, cabe la posibilidad de que un profesional externo asuma responsabilidad penal por la vía de la delegación contractual del deber de control y por la vía de la representación legal, asumiendo poderes de la empresa o participando en el Consejo como consejero. Todo ello siempre que no se produzca una delegación instrumental de la función de control a un «responsable penal profesional», es decir, a alguien que cobre por asumir las consecuencias de la omisión del control.

Finalmente, el conocimiento de la empresa puede llegar a adquirirse con los años y con el apoyo de los expertos internos y de los responsables de cada control.

Funciones del compliance officer

Entre las funciones del compliance officer como órgano de supervisión y control destacaría las siguientes:

1. Evaluación continua de riesgos basada en los expertos internos y externos.
2. Evaluación periódica del código ético y del modelo de prevención y control.
3. Evaluación continua de los controles y de su eficacia.
4. Identificación de carencias.
5. Propuestas de mejora y actualización del modelo.
6. Alerta sobre posibles riesgos.
7. Denuncia de infracciones al Comité de Ética, en su caso.
8. Propuesta de sanciones a RRHH en el caso de asumir las funciones del Comité.

Compliance officer o cómplice officer

Como conclusión de las reflexiones sobre las principales cuestiones que la figura del compliance officer suscita en el proyecto de reforma del Código Penal, y de forma independiente a las decisiones que cada empresa adopte en relación a los puntos comentados, en mi opinión, el nivel de responsabilidad penal del compliance officer dependerá principalmente de los siguientes factores:

1. El nivel de delegación al compliance officer por parte del Consejo o de la representación legal de la empresa en cualquiera de sus formas, de la función de control.
2. El traspaso o no de poderes.
3. La existencia de un deber contractual de control.
4. La existencia de una ley que le asigne un deber de control.
5. El alcance de la actividad de control encomendada.
6. El carácter previo o posterior a la infracción de la función de control asignada.
7. El nivel de independencia con el que desarrolle su función.
8. La diligencia demostrada en la prevención.
9. La pruebas acumuladas a lo largo de su actividad que acrediten el control efectivo.
10. El nivel de complicidad o implicación en los actos delictivos.
11. La concurrencia de una tolerancia dolosa.
12. La actividad desarrollada tras el descubrimiento del delito.
13. El nivel de reparto o distribución de las funciones de control entre los distintos directivos y departamentos de la empresa.

Téngase en cuenta que, aunque el compliance officer es el especialista del control, su función es transversal y que las obligaciones de control están repartidas entre los distintos directivos de la empresa. Por ejemplo: al CIO corresponderán los controles tecnológicos, al CISO los controles en materia de seguridad, al CFO los controles financieros, al DPO los controles en materia de privacidad y protección de datos, y así sucesivamente hasta completar todo el organigrama de control.

En conclusión, cada directivo tendrá sus obligaciones de control y el compliance officer será el que verifique el cumplimiento de dichas obligaciones y la eficacia del control en todos los niveles de la empresa, limitándose su responsabilidad a la esfera laboral, salvo que concurran circunstancias que modifiquen su nivel de implicación en el control o en el delito.

Este artículo es especialmente extenso porque es la base de un manual del compliance officer que estamos preparando en el despacho, por lo que agradeceré cualquier aportación que contribuya a completar el rol de este órgano.