El compliance, o sea la prevención de delitos, es desde la última reforma del Código Penal una de las preocupaciones estrella para las empresas. No es que antes no se tuviera que cumplir la ley, claro, pero ahora está tipificado como delito penal que conlleva multas millonarias e incluso prohibición de actividad. Muchas empresas, especialmente las pymes, tienen un buen número de dudas sobre la conveniencia de implementar un programa de compliance, cómo hacerlo, qué coste es el adecuado y cuáles son sus principales figuras.

Entrevistamos a Diego Cabezuela, socio director de Círculo Legal y especialista en Derecho Penal y compliance, para que nos aclare algunos conceptos.

Lawyerpress (LP): ¿Qué penas le puede acarrear a una pyme del dejar de lado el ‘compliance’ en caso de cometer un delito?

Diego Cabezuela (DC): Bueno, las penas pueden ser muy variadas. Pero antes de contestar a su pregunta me gustaría resaltar que yo creo que esto del compliance tampoco es tan complicado. En definitiva es una cultura nueva, una cultura de cumplimento de la ley y que obliga a las empresas a prevenir lo que ocurra en su seno y evitar que los empleados puedan delinquir, en provecho de ella o llevados incluso por un exceso de celo. Se trata de establecer una serie de controles. La pena de referencia, la pena en la piensa el código penal para las empresas es la pena de multa. Dicho así puede parecer que se hace un cheque, se paga y no pasa nada, como una multa de tráfico. Pero no es exactamente así. Hay una modalidad que se llama de días multa, que puede llegar hasta 9 millones de euros y esta no es la mayor, puede haber otras mayores. Existe otra modalidad que es la llamada proporcional en la cual la cuantía se calcula proporcional al daño causado o del beneficio conseguido en base al daño causado. Esto por ejemplo, en un caso de delito urbanístico o de medio ambiente puede suponer multas totalmente estremecedoras que hagan inviable la continuidad de una empresa. Luego hay otras penas que son las de suspensión de actividades, prohibición de contratar con la administración, pero que están pensadas para empresas peligrosas.

LP: ¿Qué coste puede tener para una pyme implementar un programa de prevención de delitos?

DC: Primero señalar que hay programas bien hechos y programas mal hechos. Hay programas de corta y pega que están por ahí en el mercado, que se venden muy barato y existen programas que se basan en un estudio de la empresa, de sus necesidades, sus riesgos reales y que establecen unos controles que tienden a ser efectivos. Yo diría que para una pyme un coste entre 15.000 y 30.000 euros podría ser una cantidad razonable. Aunque el concpeto de pyme es muy amplio y variará en función del número de trabajadores, de si tiene filiales en el extranjero o no, etc…

LP: En un programa de ‘compliance’, ¿qué es exactamente un mapa de riesgos y por qué es tan importante?

DC: El mapa de riesgos no es más que la relación de riesgos penales que tiene una empresa. Hay veintitantos delitos que pueden acarrerar responsabilidad penal de las personas jurídicas, pero no todos estos delitos afectan a todas las empresas. Por ejemplo, los delitos relacionados con la trata de seres humanos, la mayor parte de las empresas normales no tendrán nada que ver con ellos y no tienen porqué establecer controles para que sus empleados dejen de cometerlos. Lo primero que hay que hacer, por tanto, es identificar qué riesgos penales tiene cada sociedad para establecer controles encaminados a prevenir esos delitos. Eso es un mapa de riesgos.

LP: ¿Y qué es el canal de denuncias?

DC: Es algo muy interesante y que debe formar parte de cualquier programa de cumplimiento,  y es un canal, una vía que debe establecerse para que cualquier trabajador que crea que en su empresa se está cometiendo alguna actividad delictiva, algo que viola el programa de cumplimiento y los controles para el cumplimiento, lo pueda poner en conocimiento de la empresa, normalmente en conocimiento del encargado de cumplimiento o compliance officer. En base a eso se realizará una investigación.

LP: Es decir, que si yo tengo conocimiento de que en mi empresa, por ejemplo, se están pagando sobornos…

DC: … Pues haces una denuncia y deberías ser recibida por una persona encargada del cumplimiento del programa de prevención de delitos. Una persona independiente y autónoma al consejo de administración para que haga una investigación interna, vea si esa denuncia es cierta, es falsa, si hay pruebas, si no hay pruebas y en base a lo que resulte esa denuncia, la empresa deberá tomar una posición, evitar ese hecho para que no se produzca en el futuro, denunciarlo, no denunciarlo, ocultarlo.

LP: Esa denuncia, ¿supongo que debe ser anónima?

DC: Debe ser anónima, aunque eso plantea algún problema en el tema de protección de datos. Pero,  en todo caso, sí debe existir una protección absoluta al denunciante, una ausencia de represalias y todo eso debe estar claramente establecido en el propio programa de cumplimiento.

LP: Ha mencionado la figura del compliance officer. ¿El compliance officer es quien paga el pato cuando se le escapa algo y la empresa delinque?

DC: Esa es una buena pregunta porque es un tema que no está regulado. Ha sido tema de muchas mesas redondas, y tratamientos por gente de una enorme capacidad y saberes jurídicos y no ha habido hasta el momento ninguna regulación clara. Lo que sí tenemos es la circular de la Fiscalía que salió a primeros de este año y en la cual se da por primera vez luz a cómo debe tratarse la figura del compliance officer. El compliance officer es el que está obligado a vigilar el cumplimiento, por tanto si se produce un delito, sigamos como ejemplo el del soborno, se puede plantear  si él por haber omitido ese control puede responder personalmente además de la persona que haya pagado el soborno. La circular de la Fiscalía dice que debe responder únicamente si ha omitido precauciones elementales, si se ha encontrado con una denuncia anónima o no anónima y había un delito casi a medio cometer y ha mirado para otro lado. Es decir, por el hecho de producirse un pequeño desliz ni el compliance officer ni ninguna de las personas que a diferente nivel tiene la obligación de mantener el control tienen porqué tener ninguna responsabilidad penal.

LP: Si mi empresa tiene bien implando el compliance, ¿puede ser un atenuante en caso de que alguien cometa un delito dentro de la compañía?

DC: Puede ser más que un atenuante, puede ser una causa de exoneración de responsabilidad. Si hay un buen programa implementado y el delito se ha cometido burlando ese programa, el cumplimiento y los controles, unos controles bien establecidos, entonces no hay ningún tipo de responsabilidad.  Y, como mínimo, si no representa una circunstancia que me evite la responsabilidad, probablemente será una circunstancia atenuante y que disminuya la pena.

Podcast de la intervención de Diego Cabezuela en Derecho Abierto