Una alternativa a la dimisión de Compliance Officer

En las Jornadas de Compliance de Barcelona del pasado mes de junio, organizadas por Thomson Reuters Aranzadi y Cumplen, di una ponencia sobre la figura del Compliance Officer, sus derechos, sus deberes y su responsabilidad. Fue mi primera conferencia después de un accidente de tráfico que ocasionó la fractura múltiple de mi mandíbula y una buena temporada de dieta líquida y sin poder hablar, por lo que me alegro mucho de haber podido superar mis dificultades para vocalizar, a pesar de la letra ese, que todavía se resiste.

Al hablar de la responsabilidad del Compliance Officer expliqué las opciones que este cargo tiene ante el descubrimiento de un delito continuado tolerado por la alta dirección de la empresa y de las estrategias a seguir ante una mala práctica sectorial apoyada por los directivos de la empresa, tal como previamente había descrito en una infografía y en un vídeo publicados en mi blog.

Estas opciones se concretaban en la negociación de alternativas con los directivos afectados, la comunicación al Consejo de Administración o la comunicación a los accionistas, y finalizaban en la denuncia externa, con el consiguiente riesgo de despido o la dimisión del Compliance Officer, con la correspondiente pérdida de la indemnización.

Al final de la jornada estuve hablando con Emilio del Bas, abogado laboralista, que me comentó que existía otra alternativa a la dimisión que permitía salir de la empresa incumplidora sin perder la indemnización que correspondería en el caso de un despido improcedente.

Días después me envió la argumentación jurídica que Emilio del Bas consideraba aplicable a los supuestos de impedimento grave para el desarrollo de las funciones encomendadas al Compliance Officer interno por parte de la empresa. Esta argumentación, que desde aquí le agradezco, sustentaba una alternativa más ventajosa que la dimisión voluntaria, consistente en solicitar la extinción del contrato laboral por parte del Compliance Officer.

El fundamento jurídico de la tesis de Emilio del Bas se encuentra recogido en el artículo 50.1.c del Estatuto de los Trabajadores, que establece como causa justa para que el trabajador pueda solicitar la extinción del contrato, cualquier otro incumplimiento grave de sus obligaciones por parte de la empresa, distinto a los ya previstos en dicho artículo.

Este artículo debe ponerse en relación con los artículos 4.2.a y 5.a del Estatuto de los trabajadores.

El primero establece el derecho a la ocupación efectiva de los trabajadores y el segundo el deber laboral básico del trabajador de cumplir con las obligaciones concretas de su puesto de trabajo, de conformidad a las reglas de la buena fe y diligencia.

De la conjunción de estos dos últimos preceptos a juicio de Emilio del Bas resultan inequívocos, tanto el derecho del trabajador a la ocupación efectiva, entendida ésta como desarrollo en toda su extensión de su profesión de Compliance Officer, como su deber de hacerlo conforme a las reglas de la buena fe y diligencia, es decir, sin limitaciones a su alcance.

En consecuencia, de darse por parte de la empresa el supuesto de impedir o limitar de modo grave las funciones propias e inherentes al Compliance Officer estaríamos en el supuesto de grave incumplimiento empresarial del art. 50.1.c del Estatuto de los Trabajadores, que le habilitaría para instar la extinción de su contrato de trabajo por imposibilidad material de llevar a cabo el objeto del mismo, pero a diferencia de en el caso de la dimisión voluntaria, con las siguientes coberturas:

  1. Indemnización idéntica a la establecida para los supuestos de despido improcedente, y
  2. Acceso a las prestaciones económicas por desempleo.

La extinción del contrato laboral a instancias del trabajador supone una alternativa reconocida de forma reiterada por el Tribunal Supremo. En el caso del Compliance Officer el incumplimiento grave de la empresa consistiría en impedir al Compliance Officer la realización de sus funciones de prevención y control, imposibilitando la aplicación del modelo de compliance de la empresa, la supervisión de su cumplimiento y la sanción de sus incumplimientos, de acuerdo con los requisitos establecidos en el artículo 31 bis del Código Penal para la exención de la responsabilidad penal de la empresa.

Adicionalmente, el impedimento y la limitación de las funciones del Compliance Officer tendrían el efecto perverso de consolidar el delito continuado denunciado como práctica habitual de la empresa.

Última convocatoria del Curso de Compliance Officer antes del verano

Por una anulación de última hora han quedado libres dos plazas en la convocatoria del Curso intensivo de Compliance Officer de los días 18 y 19 de junio (16 horas presenciales y 134 horas online – Máximo 12 alumnos)

Esta será la última convocatoria que haremos antes del verano.

El programa es el mismo que el de las convocatorias enteriores, pero si queréis que os lo envíe podéis remitirme un mensaje a xavier.ribas@ribastic.com

Muchas gracias.

Xavier Ribas

Curso de compliance

Nuestro despacho va a lanzar en marzo un curso de compliance de 150 horas que tendrá tres formatos alternativos:

Presencial – 5 meses (50 horas presenciales + 100 horas online)
Presencial intensivo – 2 días (16 horas presenciales + 134 horas online)
Online (150 horas online)

Las características diferenciales de este curso son las siguientes:

– En las dos modalidades presenciales no se superarán los 10 asistentes por clase con el fin de conseguir el máximo aprovechamiento en los debates, talleres y casos prácticos.

– Toda la formación será impartida por abogados en ejercicio, por lo que  irá orientada a la aplicación práctica de la metodología a la función de compliance.

– La metodología irá orientada específicamente a la prevención de la responsabilidad de la empresa y del directivo.

– Se realizarán 20 talleres de aplicación y prueba de medidas preventivas y controles específicos.

– Se analizarán y resolverán 40 casos prácticos.

– Se analizarán 50 escenarios de riesgo con sus respectivos controles y evidencias.

– Se revisarán 20 actividades críticas que habitualmente se externalizan.

– Se identificarán 20 categorías de proveedores críticos de diversos sectores.

– Se explicará la metodología de control de los proveedores críticos.

– Se explicará el uso de herramientas informáticas de análisis de riesgos, gestión de controles y de evidencias.

Si deseas que te envíe el programa y el precio del curso en sus tres modalidades te ruego que me lo indiques enviando un mensaje a xavier.ribas@ribastic.com

Te ruego también que especifiques cuál de los tres formatos te interesa más.

El programa coincide en estructura y alcance con la metodología Compliance 3.0 desarrollada y registrada por nuestro despacho, por lo que su distribución está restringida.

El proyecto Castor y los protocolos de toma de decisiones

Este artículo se basa en la información publicada en los medios de comunicación sobre el proyecto Castor y ha sido escrito con la única finalidad de realizar un análisis teórico de los protocolos de toma de decisiones y los modelos de prevención y control en las empresas. El autor no tiene la intención de valorar la actividad preventiva desarrollada por las empresas y organismos públicos participantes en el proyecto.

En el artículo Ébola y compliance me referí de manera esquemática a los protocolos de toma de decisiones como uno de los elementos clave de un modelo de prevención y control de riesgos legales en el seno de una empresa. Si en ese artículo utilicé la gestión de la crisis del Ébola en España como análisis teórico basado en el estudio del caso, en este artículo voy a utilizar el proyecto Castor como referencia en el análisis de un proceso de toma de decisiones orientado a la prevención de riesgos.

Protocolo de toma de decisiones

En el proyecto de reforma del Código Penal se establece que los modelos de organización y gestión de las empresas deberán establecer los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas.

En mi opinión, el esquema básico de un proceso de toma de decisiones críticas o de alto riesgo, que debería formar parte del reglamento del Consejo de Administración y del modelo de prevención y control de una empresa, es el siguiente:

– Solicitud de informes internos y externos
– Asesoramiento técnico especializado en los riesgos a prevenir
– Asesoramiento jurídico especializado en los riesgos a prevenir
– Evaluación objetiva de los riesgos: laboral, fiscal, medioambiental, penal, etc.
– Análisis de advertencias y mensajes de alerta recibidos
– Análisis de escenarios posibles
– Análisis de alternativas
– Análisis de costes y nivel de endeudamiento
– Balance de prioridades entre intereses individuales y colectivos
– Mayoría reforzada en el proceso de votación

Informes obligatorios

Además de los informes que la empresa decida solicitar voluntariamente en la fase inicial del proceso de toma de decisiones, la solicitud de estos informes puede ser en muchos casos un requisito establecido por la ley.

Entre los numerosos ejemplos de esta obligación legal tienen especial trascendencia para los proyectos de compliance los tres siguientes:

1. Los informes previos exigidos en la Ley de Evaluación Ambiental

2. El informe de experto previsto en la normativa de prevención del blanqueo de capitales.

3. Los informes exigidos en la Ley de Sociedades de Capital, entre los que destacan los siguientes:

– Informe técnico sobre la viabilidad de la sociedad proyectada
– Informe técnico sobre la valoración de las aportaciones no dinerarias
– Informe que justifique las adquisiciones onerosas durante los dos primeros años
– Informe de valoración de acciones y participaciones
– Informe de gestión
– Informe de auditoría
– Informes relativos a los puntos del orden del día de una junta general
– Informe de justificación de la modificación de los estatutos sociales
– Informe previo al aumento de capital con cargo a aportaciones no dinerarias
– Informe previo al aumento de capital por compensación de créditos
– Informe de valoración previo a la separación y exclusión de socios
– Informes previos a la liquidación de la sociedad
– Informe previo a la conversión de obligaciones convertibles en acciones
– Informe previo a la supresión del derecho de suscripción preferente
– Informes solicitados por el sindicato de obligacionistas
– Informe previo a la constitución por fusión de una sociedad anónima europea
– Informe previo a la constitución por transformación en sociedad anónima europea
– Informe previo a la representación de las acciones de sociedades cotizadas
– Informe previo a la aprobación del reglamento del Consejo en las sociedades cotizadas
– Informe de buen gobierno corporativo en las sociedades cotizadas

He querido ser especialmente exhaustivo en la relación de estos informes para demostrar las numerosas obligaciones que la Ley de Sociedades de Capital exige a las sociedades en relación a los informes que tienen que recabar antes de realizar acciones que pueden afectar a la empresa, a sus accionistas y los restantes grupos de interés.

El proyecto Castor

De acuerdo con la información publicada en los medios de comunicación, las elementos que objetivamente debían ser prioritariamente valorados antes de iniciar el proyecto Castor, por afectar al medio ambiente y a la seguridad colectiva, eran los siguientes:

– El gas se iba a almacenar en una cavidad del subsuelo marino de la costa de Vinaroz
– La cavidad estaba cerca de la falla de Amposta
– En esta zona el subsuelo está formado por roca caliza porosa
– La cavidad se había formado con la extracción de petróleo entre 1973 y 1989
– El vacío dejado por el petróleo originó una probable contracción de la roca porosa
– Al inyectarse gas a 250 atmósferas la roca porosa podía expandirse y provocar fracturas
– La expansión de la roca porosa podía afectar a la falla de Amposta
– Como resultado del desplazamiento de la falla se podían producir temblores
– Tras el procedimiento correspondiente se publicó la declaración de impacto ambiental
 En ella se mencionaba la recepción de 141 escritos de los afectados de la zona
– En estos escritos se alegaban, entre otros riesgos, el de terremotos (Página 94816)
– En el estudio de impacto ambiental no hay ningún apartado relativo al riesgo sísmico
– En la declaración de impacto ambiental tampoco

Análisis de advertencias de riesgo

He incluido en el protocolo de toma de decisiones un apartado relativo al análisis de las advertencias de riesgo recibidas por el Consejo durante el periodo previo al proceso de formación de la voluntad societaria.

Es de vital importancia tener en cuenta estas advertencias de riesgo, ya que, si se produce un siniestro, la prueba de que la empresa ni siquiera las ha analizado puede ser decisiva en el momento de evaluar actuación y su eventual responsabilidad por parte de los tribunales, los peritos y las compañías de seguros.

También es importante valorar la existencia de evidencias que acrediten la recepción de la advertencia por parte del Consejo. Una advertencia publicada en el BOE, como en el caso  de la declaración de impacto ambiental, es una evidencia clara del conocimiento del riesgo.

La empresa debe esforzarse en estos casos en analizar a fondo la advertencia y determinar, a través de los correspondientes expertos en la materia, el nivel de probabilidad de que el riesgo se materialice y su posible impacto.

El objetivo final será determinar dónde se encuentra el umbral que diferenciará una decisión prudente de una decisión arriesgada.

Una vez finalizado el proceso de información y análisis de riesgos, el Consejo procederá a la votación de la decisión, que deberá contar con una mayoría reforzada proporcional al nivel del riesgo asumido. Y teniendo siempre en cuenta que en materia de riesgos penales no es posible hablar de apetito de riesgo.

 

La responsabilidad del Compliance Officer como estrategia de defensa de la empresa

En relación a la reciente advertencia del jurista alemán y catedrático de derecho penal, Cornelius Prittwitz, sobre el riesgo de que las empresas desplacen su responsabilidad legal hacia la figura del Compliance Officer, mi opinión es que habrá que tener en cuenta las circunstancias de cada caso en el momento de realizar la atribución de responsabilidades. Entre los principales elementos a valorar destacan a mi juicio los siguientes:

– La doctrina jurisprudencial que establece que “los contratos son los que son y no lo que las partes dicen que son”. Análogamente, por mucho que una empresa quiera desplazar su responsabilidad al compliance officer, será el juez el que valorará las circunstancias de cada caso y la cuota de responsabilidad de cada una de las personas que forman la estructura de control de la empresa, incluyendo a la propia empresa.

– La Circular 1/2011 de la Fiscalía General del Estado en la que se venía a advertir a los fiscales españoles que no se dejasen deslumbrar por el despliegue de medidas de control meramente teóricas y sin acreditación de su efectividad, aportadas por las empresas imputadas como prueba del debido control. El ya famoso compliance cosmético o make-up compliance.

– La cultura real de cumplimiento o incumplimiento de la empresa, que es la que finalmente debe ser tenida en cuenta, como sucedió en el caso SAC, en el que la empresa se defendió de la acusación de tener una cultura orientada al uso de información privilegiada alegando que tenía 38 compliance officers.

La concurrencia de factores como la tolerancia dolosa, que pueden provocar la derogación del control y por ello, la ineficacia de un modelo de prevención y control.

– El criterio de la proximidad del riesgo, aplicado por ejemplo en el caso de los accidentes laborales, mediante el que se valora la capacidad del responsable del control de evitar el riesgo en función de la distancia funcional o geográfica que le separa del riesgo. Este criterio hace que la responsabilidad derivada de un accidente laboral en una fábrica se depure en ese centro de trabajo y no afecte al Consejo, salvo que haya un incumplimiento generalizado de la normativa de prevención de riesgos laborales. El Compliance Officer estaría en una situación de garante genérico parecida a la del Consejo, mientras que el Delegado de PRL en la fábrica sería un garante específico y mucho más cercano al riesgo.

– Los recursos asignados por la empresa al Compliance Officer. De manera parecida a la responsabilidad del Delegado de Prevención de Riesgos Laborales, el Compliance Officer no podrá ser declarado responsable si la empresa no le ha asignado recursos suficientes para realizar su función.

– La forma en que se ha realizado la delegación de las funciones de control. La jurisprudencia define los requisitos que debe cumplir una delegación de funciones por parte del Consejo, de manera que una delegación incompleta o imperfecta podría exonerar de responsabilidad al Compliance Officer. Para ello habría que valorar las descripción del puesto de trabajo (Job description), así como las políticas, normas, procedimientos, manuales, instrucciones y órdenes directas en las que figure una asignación expresa de funciones de control al Compliance Officer.

La posibilidad de que el Consejo haya delegado al Compliance Officer funciones de control indelegables, de acuerdo con la normativa mercantil en preparación. Esta circunstancia también eximiría de responsabilidad al Compliance Officer, especialmente en el caso de sociedades cotizadas.

La posible falta de adaptación de los estándares internacionales a la realidad española y a su sustanciación en los tribunales.

La posición que ocupa el Compliance Officer en la estructura de control de la empresa y, de acuerdo con ello, la posibilidad de que no tenga asignada una función directa de control, sino de coordinación de los diversos responsables de control de la empresa, que por su proximidad al riesgo y por sus conocimientos especiales en la prevención de cada tipo de riesgos son los verdaderos garantes y por ello responsables en caso de omisión de un deber específico de control.

Otros argumentos, como la imposibilidad de tener todos los conocimientos necesarios para realizar de forma eficaz la función de control en las diferentes áreas de la empresa, que ya cité en el artículo titulado “Compliance Officer o cómplice officer” que dividí en dos partes:

Primera parte
Segunda parte

Por todo ello veo difícil que las empresas consigan desplazar toda la responsabilidad legal a la figura del Compliance Officer.

 

Compliance officer o cómplice officer (Primera parte)

El proyecto de reforma del Código Penal, que parece haber cobrado un nuevo impulso con el fin de la doctrina Parot y la lucha contra la corrupción, incluye tres menciones expresas al órgano de vigilancia y control orientado a prevenir la comisión de delitos.

  • La primera, en el artículo 31bis, al incluir en la lista de condiciones necesarias para la exención de la responsabilidad penal corporativa, la supervisión del funcionamiento y del cumplimiento del modelo de prevención por parte de un órgano de la persona jurídica con poderes autónomos de iniciativa y control.
  • La segunda, en el mismo artículo, al incluir como uno de los requisitos del modelo de organización y gestión, la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar el funcionamiento y observancia del modelo de prevención.
  • La tercera, en el nuevo artículo 286 seis, al incluir la contratación, selección cuidadosa y responsable (culpa in eligendo), así como la vigilancia (culpa in vigilando) del personal de inspección y control, como una de las medidas de vigilancia y control cuya omisión puede generar responsabilidad penal para el directivo responsable de su aplicación.

En la práctica, este órgano suscita una serie de cuestiones que analizamos a continuación y entre las que destaca la que inspira el título a este artículo, es decir la responsabilidad de este órgano en caso de delito.

Nuevo departamento vs. departamento ya existente

Las funciones que el proyecto asigna al órgano de vigilancia y control están repartidas en la actualidad en diversos departamentos o comités:

  1. Comité de Ética
  2. Auditoría Interna
  3. Control Interno
  4. Asesoría Jurídica
  5. Cumplimiento Normativo

Estas funciones de vigilancia y control se dividen en tres grupos:

  1. Control anterior a la infracción (control preventivo)
  2. Control posterior a la infracción (control detectivo)
  3. Función sancionadora, complemento necesario para la eficacia del control

Sin embargo, en el momento de la distribución de estas funciones, estos tres grupos no quedan bien definidos y pueden ser asignados a varios departamentos a la vez o quedar sin asignar.

El Comité de Ética es el destinatario habitual de las denuncias relativas a posibles incumplimientos del código ético a través del correspondiente canal de denuncias, y es también el que investiga, delibera y sanciona dicho incumplimiento. En realidad propone la sanción y RRHH la impone. Pero la función del Comité de Ética es predominantemente reactiva, es decir, acostumbra a actuar cuando llega la denuncia, sin perjuicio de las campañas de sensibilización que pueda organizar. En cambio, el proyecto exige una labor más proactiva, más cercana a la función de control interno o de auditoría interna, pero mucho más intensa, y no limitada a los delitos estrictamente económicos. Ello hace pensar que el proyecto habla de dos órganos distintos uno proactivo y emisor de denuncias y otro reactivo y receptor de denuncias. Por otro lado, el objetivo de los departamentos con funciones de control ha sido hasta ahora proteger a la empresa del fraude interno y de las amenazas en las que la empresa es la víctima, mientras que la finalidad de los programas de corporate defense es prevenir la responsabilidad penal de la empresa en los delitos en los que la víctima es un tercero. Lo mismo sucede con los programas de D&O defense en relación a los cargos directivos.

Por otro lado está la función de los departamentos de Asesoría Jurídica y de Cumplimiento Normativo, este último muy próximo en su nomenclatura  al Compliance Officer, pero no tanto en su encaje en la taxonomía que parece proponer la doctrina al comparar el modelo anglosajón con el propuesto en la reforma.

Por otra parte, tanto las funciones como las denominaciones de los departamentos no son uniformes en todas las empresas y sectores, por lo que, si queremos realizar un análisis comparativo entre varias empresas, más que hablar de departamentos tendremos que hablar de funciones.

Entiendo que el camino lógico a seguir en una empresa tras la aprobación de la reforma del Código Penal sería:

  1. Identificar las funciones de supervisión y control establecidas en el texto que finalmente se apruebe, integrándolas en el modelo de organización y gestión.
  2. Analizar cómo están repartidas en ese momento estas funciones en los diversos departamentos y comisiones de la empresa.
  3. Decidir si debe crearse un nuevo cargo, un nuevo departamento o una comisión que incorpore a las personas que actualmente realizan las funciones identificadas en distintos departamentos.

Lejos del debate científico sobre si la función origina el órgano o el órgano crea la función, que en el mundo de la gran empresa puede llegar a cobrar matices kafkianos, es evidente que en este caso la función de vigilancia y control viene determinada y exigida por una Ley Orgánica y que de ella deriva la creación del órgano que debe desarrollar esta función.

Cargo unipersonal vs. órgano colegiado

En función de las decisiones adoptadas por la empresa en relación al punto anterior, podrán asignarse las funciones a una sola persona o a un equipo. Aunque el proyecto habla de órgano, nada impide que se trate de un cargo unipersonal, aunque, en mi opinión, lo más aconsejable es que sea un órgano colegiado, ya que los requisitos que tiene que cumplir no acostumbran a estar reunidos en una sola persona. También puede tratarse de una única persona que se apoye en los expertos internos y externos de cada materia, con los que la empresa ya cuenta habitualmente.

Entre los factores que aconsejan una puesta clara por un órgano colectivo destacan las siguientes:

  1. La gran carga de trabajo a realizar.
  2. El enfoque multidisciplinar.
  3. La gran variedad de conocimientos exigidos.
  4. La capacidad para actuar, contar con aliados y conseguir la ejecución de las decisiones y las medidas adoptadas en los departamentos afectados.

Parece evidente que el legislador no piensa en un hombre orquesta con múltiples tentáculos e inteligencias, saber enciclopédico y don de la ubicuidad. Aunque la función de dirección y coordinación del equipo debe recaer en una sola persona, parece recomendable que se apoye en un grupo de expertos con capacidad de actuación en los departamentos afectados.

Pensemos que la labor de este órgano debe estar apoyada en un procedimiento sancionador, por lo que será conveniente que las deliberaciones vayan revestidas de las garantías que ofrece un órgano plural. Por ello habrá que decidir si la función de valoración y sanción de infracciones (control posterior a la infracción) debe permanecer en un comité de ética y las de prevención y vigilancia (control anterior a la infracción) en un órgano de control que sería el compliance officer. Esta opción se ajustaría más al principio de segregación de tareas y preservaría la independencia entre el órgano que coordina las medidas de control y el que sanciona su incumplimiento.

Otra posibilidad sería enlazar los protocolos de vigilancia y control con las normas de buen gobierno corporativo, asignando la máxima responsabilidad del control a un consejero independiente que coordinaría la labor de una comisión interdepartamental  que a su vez asumiría todas las funciones de vigilancia y control.

Responsable penal vs. simple coordinador del control

El artículo 11 del Código Penal establece que los delitos que consistan en la producción de un resultado sólo se entenderán cometidos por omisión cuando la no evitación del mismo, al infringir un especial deber jurídico del autor, equivalga, según el sentido del texto de la Ley, a su causación. A tal efecto, se equiparará la omisión a la acción cuando exista una específica obligación legal o contractual de actuar o cuando el omitente haya creado una ocasión de riesgo para el bien jurídicamente protegido mediante una acción u omisión precedente.

El artículo 316 del Código Penal establece un supuesto específico de responsabilidad penal para los que, con infracción de las normas de prevención de riegos laborales y estando legalmente obligados, no establezcan las medidas preventivas necesarias para evitar accidentes laborales. Y el artículo 318 impone la pena señalada para los delitos atribuidos a personas jurídicas a los administradores o encargados del servicio. Estos dos artículos, ampliamente analizados en la Circular 4/2011 de la Fiscalía General del Estado, contemplan un supuesto específico en el que la responsabilidad penal derivada de la omisión del deber de control puede recaer en una persona física.

Todo parece indicar que la clave está en la delegación del control y en la asignación legal o contractual de un deber de control. Esta delegación se produce en la línea del negocio, es decir, desde el Consejo de Administración al responsable del departamento o la unidad de negocio en la que puede originarse el riesgo, y en la que debe establecerse por lo tanto el control. El control debe estar cerca de riesgo, y debe ser un control experto. Me refiero a que no puede pretenderse que el compliance officer tenga un conocimiento omnicomprensivo que le permita realizar un control realmente experto del cumplimiento de las medidas de prevención.

Es importante por lo tanto analizar la línea de delegación, ya que el deber jurídico del control, como establece el artículo 11 del Código Penal, puede provenir de una obligación legal o de una obligación contractual. Y es justamente la delegación de la función de control a un directivo concreto, en el marco de la relación contractual que lo une a la empresa, la que puede hacer atribuible el deber jurídico de control y la responsabilidad penal a un cargo que no ostente la representación legal de la empresa. Por tanto, cabría la posibilidad de que al compliance officer se le asignasen obligaciones de control suficientes para atribuirle, conscientemente o no, las responsabilidad penal de la omisión del control o de un control deficiente, y esa delegación de obligaciones es la que habrá que analizar con detalle tanto en el momento del nombramiento como en el momento de la depuración de las responsabilidades.

En mi opinión, el deber de control debería residir en la línea de negocio, distribuido entre los distintos directivos con funciones de control, y el compliance officer, como órgano unipersonal o colegiado, debería realizar una supervisión transversal de dicho control, como así se establece en el proyecto.

El nuevo artículo 286 seis previsto en el proyecto atribuye la responsabilidad penal de la omisión de las medidas de vigilancia y control al representante legal o administrador de hecho o de derecho de la empresa.  Dentro de estas medidas de vigilancia se incluye la contratación, la selección cuidadosa y responsable y la vigilancia del personal de inspección y control. Ello significa que la responsabilidad penal derivada de la omisión de las medidas de prevención y control corresponde al representante legal y que el compliance officer forma parte del personal de inspección y control que el representante legal debe contratar. Pero, como decía antes, podría darse el caso de que el representante legal delegase este deber de control en el compliance officer y éste asumiese la responsabilidad penal derivada de la omisión del control. Por eso habrá que ver qué posición ocupa exactamente este órgano en la línea jerárquica y en la estructura de control de la empresa, ya que si el compliance officer no está integrado en la cadena de mando, sino en una posición colateral de supervisión, no debería atribuírsele responsabilidad alguna, salvo en los casos que más adelante comentaré.

Estructura de capas

Las reflexiones del punto anterior me llevan a pensar en una estructura de capas en las que se distribuyen las distintas funciones y responsabilidades asociadas al control. Estas capas son independientes de la estructura jerárquica, en el sentido que el beneficio de su existencia se obtiene del efecto acumulativo de todas ellas.

  1. CAPA DE RESPONSABILIDAD.- Está formada por la representación legal de la empresa, es decir, el Consejo de Administración o los Administradores de hecho o de derecho. De ella emanan las normas y protocolos que el personal deberá cumplir.
  2. CAPA DE RESPONSABILIDAD DELEGADA.- Está formada por los directivos de la línea de negocio y la cadena de mando que por ley o por delegación contractual asumen obligaciones de control. Es el máximo exponente del control en la actividad cotidiana de la empresa.
  3. CAPA DE COORDINACIÓN Y SUPERVISIÓN.- Está formada por el compliance officer, como órgano unipersonal o colegiado encargado de comprobar que los controles son eficaces a través de tareas rutinarias y de investigaciones internas. Incluye también la labor de formación y sensibilización.
  4. CAPA DE EXPERTOS.- Está formada por los distintos expertos internos y externos que la empresa utiliza habitualmente para obtener asesoramiento en las distintas materias que requieren una especialización. Por ejemplo: medioambiente, seguridad informática, riesgos laborales, etc. La supervisión del control deberá basarse en la capa de conocimiento de estos expertos para poder analizar y valorar los riesgos y para identificar, seleccionar, aplicar y contrastar la eficacia de los controles. Entre los expertos se incluirán los abogados penalistas, que aportarán su conocimiento y experiencia sobre la dinámica comisiva del delito, los elementos del tipo penal, el tratamiento jurisprudencial y los argumentos de defensa, con el objetivo de dotar de contenido y eficacia a la labor de preconstitución de la prueba.
  5. CAPA DE PRUEBA.- Está formada por los expertos que apoyan al compliance officer en la obtención y custodia de las evidencias que acreditan la existencia y la eficacia del control.
  6. CAPA SANCIONADORA.- Está formada por el Comité de Ética, que recibe las denuncias del canal y del compliance officer, y delibera y propone las sanciones, así como por el departamento de RRHH, que las impone. Es posible que en algunas empresas la función del Comité de Ética se integre en el órgano de supervisión, es decir en el compliance officer. De hecho, este órgano aparece en el proyecto como receptor de denuncias y no como emisor de las mismas. Por ello debe contemplarse la posibilidad de mantener estas funciones repartidas en dos órganos o unificarlas en uno solo, con las correspondientes cautelas en materia de independencia y segregación de funciones que he comentado antes.

Función interna vs. función externalizada

Un problema común a todas las empresas en la actualidad es la escasez de recursos, derivada de un estricto control presupuestario. Ello hace pensar en la posibilidad de que algunas de las funciones correspondientes al compliance officer puedan ser externalizadas. También puede hablarse de un “implant”, como sucede en el caso de Data Privacy Officer (DPO).

Teniendo en cuenta que en el proyecto actual la existencia de este órgano de supervisión y control es una de las medidas exigidas para evitar la responsabilidad personal de los representantes legales de la empresa, la externalización puede ser una alternativa a considerar.

Las ventajas de la externalización son claras:

  1. Mayor objetividad en el control.
  2. Independencia.
  3. Mayor respeto (menos confianzas) a un profesional externo que a un interno.
  4. Mayor aceptación de un control externo que de un control interno.
  5. Nivel de especialización más alto.
  6. Supervisión del trabajo por el socio responsable (política de cuatro ojos).
  7. Aprovechamiento de la experiencia obtenida en otros clientes.
  8. Secreto profesional y acuerdos de confidencialidad.
  9. Seguro de Responsabilidad Civil profesional.
  10. Sustitución en caso de baja.
  11. Ahorro de costes.

En el caso de no apostar por la externalización, lo menos recomendable sería crear un departamento sobredimensionado, ya que, como he dicho antes, el compliance officer puede apoyarse perfectamente en los distintos expertos internos y externos que habitualmente asesoran a la empresa en las materias de fondo.

Finalmente, cabe decir que, en mi opinión, la responsabilidad penal no es externalizable. Al menos en términos generales. El control es inherente a la representación legal y debe estar cerca de la fuente que origina el riesgo, revestido de una capa de conocimiento de la empresa que difícilmente puede llegar a tener un profesional externo. No obstante, cabe la posibilidad de que un profesional externo asuma responsabilidad penal por la vía de la delegación contractual del deber de control y por la vía de la representación legal, asumiendo poderes de la empresa o participando en el Consejo como consejero. Todo ello siempre que no se produzca una delegación instrumental de la función de control a un “responsable penal profesional”, es decir, a alguien que cobre por asumir las consecuencias de la omisión del control.

Finalmente, el conocimiento de la empresa puede llegar a adquirirse con los años y con el apoyo de los expertos internos y de los responsables de cada control.

Funciones del compliance officer

Entre las funciones del compliance officer como órgano de supervisión y control destacaría las siguientes:

  1. Evaluación continua de riesgos basada en los expertos internos y externos.
  2. Evaluación periódica del código ético y del modelo de prevención y control.
  3. Evaluación continua de los controles y de su eficacia.
  4. Identificación de carencias.
  5. Propuestas de mejora y actualización del modelo.
  6. Alerta sobre posibles riesgos.
  7. Denuncia de infracciones al Comité de Ética, en su caso.
  8. Propuesta de sanciones a RRHH en el caso de asumir las funciones del Comité.

Compliance officer o cómplice officer

Como conclusión de las reflexiones sobre las principales cuestiones que la figura del compliance officer suscita en el proyecto de reforma del Código Penal, y de forma independiente a las decisiones que cada empresa adopte en relación a los puntos comentados, en mi opinión, el nivel de responsabilidad penal del compliance officer dependerá principalmente de los siguientes factores:

  1. El nivel de delegación al compliance officer por parte del Consejo o de la representación legal de la empresa en cualquiera de sus formas, de la función de control.
  2. El traspaso o no de poderes.
  3. La existencia de un deber contractual de control.
  4. La existencia de una ley que le asigne un deber de control.
  5. El alcance de la actividad de control encomendada.
  6. El carácter previo o posterior a la infracción de la función de control asignada.
  7. El nivel de independencia con el que desarrolle su función.
  8. La diligencia demostrada en la prevención.
  9. La pruebas acumuladas a lo largo de su actividad que acrediten el control efectivo.
  10. El nivel de complicidad o implicación en los actos delictivos.
  11. La concurrencia de una tolerancia dolosa.
  12. La actividad desarrollada tras el descubrimiento del delito.
  13. El nivel de reparto o distribución de las funciones de control entre los distintos directivos y departamentos de la empresa.

Téngase en cuenta que, aunque el compliance officer es el especialista del control, su función es transversal y que las obligaciones de control están repartidas entre los distintos directivos de la empresa. Por ejemplo: al CIO corresponderán los controles tecnológicos, al CISO los controles en materia de seguridad, al CFO los controles financieros, al DPO los controles en materia de privacidad y protección de datos, y así sucesivamente hasta completar todo el organigrama de control.

En conclusión, cada directivo tendrá sus obligaciones de control y el compliance officer será el que verifique el cumplimiento de dichas obligaciones y la eficacia del control en todos los niveles de la empresa, limitándose su responsabilidad a la esfera laboral, salvo que concurran circunstancias que modifiquen su nivel de implicación en el control o en el delito.

Este artículo es especialmente extenso porque es la base de un manual del compliance officer que estamos preparando en el despacho, por lo que agradeceré cualquier aportación que contribuya a completar el rol de este órgano.