¿Es obligatorio el compliance?

El modelo de organización y de control interno a que se refiere el precepto se plasma en un Manual de Cumplimiento Normativo, también conocido en el lenguaje empresarial como “Compliance”. Con este documento las personas jurídicas se autorregulan.

Hernán Hormazábal MalaréeDe acuerdo con el artículo 31 bis 1 del Código Penal si el administrador de una empresa comete ciertos y determinados delitos en nombre o por cuenta de esa compañía y en su beneficio directo o indirecto o lo comete alguno de sus subordinados, ese delito no sólo acarreará responsabilidad penal para el autor, sino también para la persona jurídica.
Frente a esta última responsabilidad, que a pesar de lo que diga el código, como hemos tenido ocasión de explicar, estrictamente no es penal, la compañía puede blindarse si se cumplen las condiciones que se señalan en el párrafo 2 del mencionado artículo 31 bis del Código Penal. En este precepto, entre otras condiciones, se le pide a la persona jurídica que se autorregule, que se organice y gestione conforme a un modelo que contemple “medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión”.

 

El modelo de organización y de control interno a que se refiere el precepto se plasma en un Manual de Cumplimiento Normativo, también conocido en el lenguaje empresarial como “Compliance”. Con este documento las personas jurídicas se autorregulan. Las medidas de vigilancia y de control que en este documento se contemplan, para que cumplan con la exigencia de ser idóneas y para que el blindaje sea eficaz, deben surgir de la propia realidad de la empresa de que se trate, según su actividad específica y sus circunstancias particulares. Para ello es necesario identificar las zonas o áreas dentro de la empresa en que se desarrolla alguna actividad que importe el riesgo de cometer algún delito.

El Manual o Compliance no es, por lo menos de modo explícito, jurídicamente obligatorio. No hay un mandato de autorregulación. Si el Consejo de Administración de la compañía o su Administrador no lo hace, es decir no prevé antes de que ocurra el delito aquellas medidas de vigilancia y de control idóneas, no se contempla sanción alguna para la empresa. La sanción recién aparece una vez que alguna de las personas físicas a que se refieren el artículo 31 bis a) o b) del Código Penal ha cometido el delito. Pero no sólo esto, sino que es necesario, además, que se compruebe que en su organización interna no había previsto un Manual de Cumplimiento Normativo que documentara las razonables medidas de vigilancia y control idóneas que se hubieran podido tomar para evitar que se cometiera ese delito.

Como puede apreciarse, la sanción a la persona jurídica está asociada a la omisión de un Manual de Cumplimiento Normativo en general y a la no previsión en particular dentro de ese Manual de las medidas de vigilancia y control idóneas. Dicho en otras palabras, el perjuicio a la compañía está asociado a falta de un Manual eficaz, un Manual con reglas internas destinadas, dentro de lo razonable, si no a evitar la comisión del delito, por lo menos a disminuir el riesgo de su comisión.

En esta medida puede sostenerse con propiedad que la responsabilidad de las personas jurídicas no sólo surge de la acción u omisión de alguno de sus gestores o de alguno de los subordinados de éstos, sino también de una omisión de aquellas personas que dentro de sus facultades estaba la de establecer normas internas específicas de prevención del delito. Se trata, por regla general, de facultades del Consejo de Administración o del Administrador de la empresa que son los órganos que tienen facultades reglamentarias. La sanción a la empresa, que siempre será una multa, repercute directamente en su cuenta de resultados que podría haber evitado el Consejo o el Administrador con el Compliance.

Indiscutiblemente se trata de una omisión que ha causado un daño a la empresa y que se debe a la culpa o negligencia del Consejo o del Administrador que remite no sólo al articulo 1902 del Código Civil que obliga a reparar el daño causado, sino también al artículo 236 de la Ley de Sociedades de Capital que establece la responsabilidad del administrador frente a la sociedad, frente a los socios y frente a los acreedores sociales, del daño que causen por actos u omisiones contrarios a la ley o a los estatutos o por los realizados incumpliendo los deberes inherentes al desempeño del cargo, siempre y cuando haya intervenido dolo o culpa.

La imposición de alguna sanción por aplicación de las normas del Código Penal a la empresa constituye un daño cuya reparación puede demandar la sociedad, los socios y los acreedores sociales a la persona del administrador, lo que no deja de ser una sanción. Esta circunstancia, sin duda, constituye una buena razón para que los administradores se preocupen por establecer una regulación interna preventiva de riesgos penales, es decir un Manual de Prevención de Riesgos Penales.

Vulneraciones punibles de derechos humanos

Una de las líneas de investigación que más ha provocado mi interés en los últimos años, no sólo por su novedad sino también por razones personales, es la que se refiere a aquellos comportamientos que por su gravedad trascienden a la comunidad internacional. Se trata de crímenes, dice el Estatuto de Roma, que no deben quedar sin castigo pues constituyen una amenaza para la paz, la seguridad y el bienestar de la humanidad. En el Estatuto de Roma (ER en adelante) se recogen cuatro categorías de delitos, en dos de las cuales, en las de genocidio (artículo 6 ER) y de lesa humanidad (artículo 7 ER), se contemplan acciones específicas cometidas por un agente del Estado contrarias a una norma garantizadora de un derecho humano. La concurrencia de estos tres elementos, -agente del Estado, infracción de norma protectora de un derecho humano y tipificación como delito-, permiten sostener que el objeto de protección en los delitos de genocidio y de lesa humanidad, son los derechos humanos específicos protegidos en cada uno de los comportamientos que se contemplan en estas categorías.

La competencia para investigar, enjuiciar y fallar en relación con estos delitos la tiene la Corte Penal Internacional (artículo 5 ER). Sin embargo, como dice el propio ER (artículo 1) esta competencia es complementaria. La competencia, en consecuencia, se rige por el principio de territorialidad. Serán competentes los tribunales del lugar donde ocurrieron los hechos salvo que el Estado “no esté dispuesto a llevar a cabo la investigación o el enjuiciamiento o no pueda realmente hacerlo” (artículo 17.1. a)   ER).

Ahora bien, para que comportamientos tan graves como asesinatos, torturas o desapariciones forzadas puedan entrar en la categoría delitos de lesa humanidad, el ER exige un plus. Es necesario que los actos constitutivos de estos delitos se cometan “como parte de un ataque generalizado o sistemático contra una población civil” (Artículo 7 1. ER). Luego, por el contrario, si no concurren alguno de estos elementos, generalidad o sistematicidad, el asesinato, tortura o desaparición forzada en su investigación y enjuiciamiento no tendrá competencia la Corte Penal Internacional (CPI en adelante).

De las exigencias de que los actos vayan dirigidos de forma sistemática o generalizada contra la población civil se infiere que se trata de delitos que sólo pueden cometerse en contextos socio-políticos de ausencia de mínimos democráticos. En los agentes del Estado o los grupos que actúan con la tolerancia del Estado contra la población civil hay una intencionalidad política, la de mantenerse en el poder. Los delitos de lesa humanidad desde esta perspectiva constituyen actos de terrorismo de Estado.

Estas circunstancias han llevado a la doctrina a sostener que respecto de estos delitos no pueden admitirse obstáculos ni fácticos ni jurídicos que favorezcan la impunidad. Los Estados, han dicho los Tribunales Internacionales, deben remover esos obstáculos pues si favorece la impunidad estaría violando los compromisos que adquirieron cuando suscribieron los tratados internacionales en los que se comprometieron a respetar y proteger los derechos humanos. Por eso, la doctrina ha señalado y así se ha recogido en normas internacionales, que el Estado tiene el deber de perseguirlos, que no pueden amnistiarlos, declararlos prescritos ni conmutar las penas. Se puede identificar en el derecho internacional un principio jurídico de interdicción de la impunidad.

Un tema controvertido es el de aquellos hechos que de haber sido realizados en un contexto de generalidad o sistematicidad hubieran sido calificados de delitos de lesa humanidad. Se trataría de actos, como tortura o desaparición forzada por ejemplo, en los que faltarían esos elementos, pero concurren todas las demás exigencias. Han sido realizados por un agente del Estado pero en un contexto en que se puede apreciar la concurrencia de mínimos democráticos. Se trataría de una situación excepcional. Esas torturas estarían fuera del ámbito competencial de la CPI y estarían única y exclusivamente bajo la jurisdicción de los tribunales domésticos.

Estos hechos delictivos en los que faltan los elementos de generalidad o sistematicidad no dejan de ser violaciones de derechos humanos constitutivas de un crimen internacional. Son infractoras de una norma internacional que protege la integridad corporal, la dignidad y la vida de las personas y han sido definidas como delitos por normas internacionales. Así, si el hecho punible fueran torturas, su ilicitud internacional provendría de la Convención contra la Tortura y otros Tratos o Penas Crueles, Inhumanos o Degradantes de 10 de diciembre de 1984 o una desaparición forzada provendría de la Convención Internacional para la protección de todas las personas contra las desapariciones forzadas de la Asamblea General de las Naciones Unidas. Indiscutiblemente son crímenes internacionales, sólo que a su respecto no tiene competencia la CPI, sino sólo los tribunales internos.

Al ser crímenes internacionales los tribunales del Estado en cuyo territorio se cometió el delito, están obligados por el derecho internacional. Tienen el deber de investigar y enjuiciar y no pueden aplicar las reglas de la prescripción ni del delito ni de la pena y el gobierno tampoco puede beneficiar a los autores con amnistías ni indultos. Si así lo hiciera estaría infringiendo las normas generales que obligan al Estado a proteger efectivamente los derechos humanos.

Responsabilidad penal de las personas jurídicas: una metáfora

 

A partir de las reformas del Código Penal español en los años 2010 y 2015 se suele decir que ahora las personas jurídicas del mismo modo que las personas físicas tienen responsabilidad penal. Esto no es cierto. Las personas jurídicas, sean empresas, asociaciones o cualquiera que sea la forma que adopten, no pueden ni podrán delinquir por la sencilla razón de que no pueden actuar y mucho menos actuar conforme a un determinado propósito, como exige el código penal para poder hacer efectiva una responsabilidad penal. Cuando se dice que una persona jurídica ha comprado o alquilado algún bien, se está diciendo que ha sido la persona natural que la administra la que ha celebrado dichos contratos a su nombre. No ha sido ella la que los ha firmado, ha sido su administrador el que lo ha hecho. Por tanto, cuando se dice que la empresa ha comprado o alquilado algo, se está recurriendo a una metáfora.

También la responsabilidad “penal” de las personas jurídicas es una metáfora. Será una persona física que ocupa una posición especial dentro de la empresa la que habrá cometido delito pero no la persona jurídica. Lo que ocurre es que ese delito, además de acarrear la imposición de una pena para la persona física, tiene repercusiones en la persona jurídica. Son a estas repercusiones que el código las llama penas, pero desde un punto de vista técnico no lo son exactamente. De esta forma y a modo de resumen, podemos decir que hay ciertos y determinados delitos, que cometidos por ciertas y determinadas personas, además de poder ser fuente de responsabilidad penal para esas personas, pueden acarrear consecuencias ciertamente gravosas para la persona jurídica. Esas consecuencias gravosas serán en todo caso multas que pueden ir acompañadas de otras medidas como por ejemplo, suspensión de actividades, clausura de locales, intervención judicial e incluso, en casos extremos, la disolución de la persona jurídica.

Las personas físicas cuya actividad delictual puede repercutir en la empresa en la forma de estas consecuencias son, desde luego, sus gestores cuando cometen el hecho delictivo actuando en su nombre y en beneficio de la empresa y las personas subordinadas a éstas cuando cometen el hecho también en su beneficio pero sólo siempre y cuando la actuación se enmarque dentro de las actividades sociales. Estas personas si cometen el delito podrán sufrir la pena que la ley tiene asignada al delito de que se trate. Tienen, en consecuencia, responsabilidad penal y con respecto a la persona jurídica, la multa u otra medida, será una consecuencia accesoria del hecho de la persona física pero no propiamente una pena, pues la pena es una consecuencia del delito y las personas jurídicas no pueden delinquir. Por eso decimos, que responsabilidad penal de las personas jurídicas es una metáfora pero sea o no una metáfora la realidad es que la consecuencia accesoria existe y que las empresas tienen que blindarse otorgándose regulaciones que minimicen el riesgo de que sus gestores o sus subordinados cometan delitos.

Compliance significa autoregulación

El Compliance o Programa de Cumplimiento Normativo no es un documento de contenido exclusivamente jurídico, como pudiera alguien entenderlo en la medida que a primera vista pareciera que tiene por objeto blindar a las empresas frente al riesgo de una responsabilidad penal. De acuerdo con la interpretación que de los artículos 31 bis a 31 quinquies, 33.7, y 66 bis de la Parte General del Código Penal han hecho la Fiscalía General del Estado y el Tribunal Supremo el fundamento de la responsabilidad es la constatación de un defecto de organización que pone de manifiesto la ausencia de una cultura de respeto al Derecho en la empresa de que se trate. En estas disposiciones está implícita, en consecuencia, la obligación de que las empresas se otorguen y ejecuten una normativa interna para prever que el desarrollo de su actividad se desarrolle dentro del marco de la ley.

El legislador al introducir esta regulación en el código penal vino a sumar a los riesgos de infracción legal que ya tenían las empresas, en algunos casos una nueva fuente de responsabilidad y en otros simplemente a agravar una responsabilidad que ya tenían. Entre estas últimas, por ejemplo, las empresas ya tenían una responsabilidad administrativa si vulneraban, por ejemplo, las normas que protegen el medio ambiente o las normas tributarias. Ahora, si esa vulneración del medio ambiente o de las normas tributarias se realiza en las condiciones que establece el código penal, la empresa se verá sometida a un proceso ante la justicia penal que puede acabar en una sanción. En otros casos, en el código se establece una nueva fuente de responsabilidad para las empresas que antes no estaba prevista. Tal sería el caso y para poner un ejemplo lamentablemente demasiado frecuente, los comportamientos que se engloban bajo el término corrupción y que técnicamente en el código penal se individualizan como delitos de cohecho, prevaricación, corrupción entre particulares y también financiación ilegal de partidos políticos.

En el código penal, al establecerse que si las empresas cuentan con un programa o manual de cumplimiento normativo o compliance pueden quedar exentas de responsabilidad o tener una responsabilidad atenuada, se está contemplando implícitamente para las empresas un mandato legal de auto-regulación para que se organicen de forma tal que permita apreciar que dentro de lo razonable, con esa regulación, los riesgos de incumplimiento quedaron reducidos significativamente. No es exigible, así lo han entendido tanto la Fiscalía como el Tribunal Supremo, que la prevención del riesgo sea absoluta porque es imposible, sino sólo la de los que razonablemente son previsibles.

¿Qué es el Compliance?

Se ha incorporado desde el inglés al lenguaje jurídico-empresarial el término compliance. Con el término compliance en el derecho anglosajón se quiere significar que una determinada actividad se desarrolla o se ha desarrollado dentro del marco de las normas jurídicas que regulan esa actividad. No se trata, en consecuencia, del cumplimiento de una norma jurídica única pues no existe esa norma genérica que regule todas las actividades, sino que existen muchas normas de carácter sectorial a las que tiene que someterse la actividad. Así, por ejemplo, la construcción es una actividad que está sometida a numerosas normas. Por ejemplo, de carácter urbanístico, medioambientales, de seguridad laboral, fiscales etc. De esta manera, si un edificio se ha construido con absoluto respeto de las normas que regulan la planificación y desarrollo de una ciudad, se dice que el edificio está conforme a esas normas (in compliance with the codes). En otras palabras, que se ha sometido a la obligación de respetar esas normas urbanísticas.

 Sin embargo, en nuestros ámbitos jurídicos, especialmente los empresariales, se utiliza el término compliance para significar única y exclusivamente la obligación de las personas jurídicas (empresas) de establecer mecanismos internos que prevengan que determinadas personas físicas que ocupan puestos de relevancia dentro de ellas, en su afán de alcanzar objetivos por ejemplo, cometan un delito en beneficio de la empresa. Si ello ocurriera, no sólo será objeto de una sanción penal la persona física que cometió el delito, sino también la empresa. Por regla general será una multa que puede ir acompañada de otras penas como suspensión de actividades o clausura de locales. En los casos más graves puede imponerse la disolución de la persona jurídica.

La buena noticia es que las empresas pueden blindarse frente a la eventualidad de que puedan ser objeto de una sanción penal. La ley, concretamente el Código Penal, prevé que pueda quedar exenta de responsabilidad penal o al menos que se atenúe si puede probar que había adoptado todas las medidas preventivas que razonablemente son las indicadas para evitar la comisión del delito de que se trate. Implícita está la obligación de las empresas de desarrollar y aplicar un programa de prevención. Y aquí vuelve a aparecer el término compliance esta vez para referirse al documento interno que la empresa se ha otorgado en que constan esas medidas preventivas que no es otra cosa que un Manual de Prevención.

 De esta manera, con el término compliance podemos estar refiriéndonos al hecho de que la empresa se ha autoregulado estableciendo normas internas de prevención de delitos o bien, al documento mismo, el corporate compliance program, en que están plasmadas esas normas que evitaran que las personas físicas que integran la empresa cometan algún delito en su beneficio, es decir al Manual de Prevención.