Programas anticorrupción y compliance penal

Responsabilidad penal de personas jurídicas (art. 31 bis CP)

Desde la reforma del Código Penal de 2010 (ampliada en 2015), las personas jurídicas pueden ser penalmente responsables por los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto.

La responsabilidad se genera en dos supuestos:

Delitos cometidos por representantes y administradores

Cuando el delito lo cometen personas con poder de representación, autoridad para tomar decisiones o facultades de control dentro de la organización (art. 31 bis 1.a CP).

Delitos cometidos por empleados

Cuando el delito lo cometen personas sometidas a la autoridad de los anteriores, por haberse incumplido gravemente los deberes de supervisión, vigilancia y control (art. 31 bis 1.b CP).

Modelos de compliance: la exención penal (art. 31 bis 2 a 5 CP)

El artículo 31 bis establece que la persona jurídica queda exenta de responsabilidad penal si acredita que, antes de la comisión del delito:

1. El órgano de administración adoptó e implementó modelos de organización y gestión eficaces para prevenir delitos de la misma naturaleza (o reducir significativamente el riesgo).
2. La supervisión del modelo se encomendó a un órgano con poderes autónomos de iniciativa y control, o con la función legal de supervisión.
3. Los autores individuales cometieron el delito eludiendo fraudulentamente los modelos de prevención.
4. No se produjo una omisión o un ejercicio insuficiente de las funciones de supervisión por parte del órgano de compliance.

Para que el modelo sea eficaz, debe cumplir los requisitos del apartado 5:

• Mapa de riesgos: identificación de las actividades en cuyo ámbito pueden cometerse los delitos que se pretenden prevenir.
• Protocolos y procedimientos: reglas que concreten el proceso de formación de la voluntad de la persona jurídica y de ejecución de decisiones.
• Gestión de recursos financieros: modelo que cuente con los recursos adecuados para impedir la comisión de delitos.
• Canal de denuncias: obligación de informar sobre posibles riesgos e incumplimientos.
• Sistema disciplinario: sanciones por incumplimiento de las medidas del modelo.
• Verificación periódica: revisión del modelo y, en su caso, modificación cuando se detecten infracciones relevantes o cambios en la organización.

Canal de denuncias (Ley 2/2023)

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone la Directiva europea de whistleblowing.

Puntos clave para el abogado:

• Obligación de implantar un sistema interno de información para empresas con 50 o más trabajadores y todas las entidades del sector público.
• Protección del informante: prohibición de represalias, inversión de la carga de la prueba, medidas de apoyo (asesoría jurídica gratuita, protección frente a responsabilidad).
• Confidencialidad: la identidad del informante solo puede revelarse con su consentimiento expreso, salvo requerimiento judicial.
• Plazo de gestión: el canal debe acusar recibo en un máximo de 7 días naturales y dar respuesta en un plazo no superior a 3 meses.
• Canal externo: la Autoridad Independiente de Protección del Informante (AAI) actúa como canal externo complementario.

Órgano de compliance

El órgano de compliance (o compliance officer) es la pieza central del modelo de prevención. Sus funciones incluyen:

• Supervisar el funcionamiento y cumplimiento del modelo de prevención.
• Gestionar el canal de denuncias interno.
• Proponer actualizaciones del mapa de riesgos y de los protocolos.
• Reportar periódicamente al órgano de administración.
• Formación y sensibilización del personal.

En empresas de menor tamaño, el propio órgano de administración puede asumir estas funciones (art. 31 bis 3 CP). En empresas cotizadas, se recomienda que sea un órgano colegiado con dedicación exclusiva.

Mapa de riesgos y código ético

El mapa de riesgos es el documento vivo que identifica, evalúa y prioriza los riesgos penales asociados a cada área de la organización. Debe cubrir, como mínimo: cohecho, tráfico de influencias, fraude, blanqueo de capitales, delitos contra la Hacienda Pública, delitos contra los trabajadores y delitos medioambientales.

El código ético complementa el mapa de riesgos estableciendo los valores, principios y normas de conducta que deben guiar la actuación de todas las personas vinculadas a la organización.

Formación obligatoria

La formación no es un elemento decorativo del programa de compliance. La Circular 1/2016 de la Fiscalía General del Estado señala que un modelo que no incluya formación efectiva y periódica carece de eficacia real. La formación debe:

• Ser periódica (al menos anual) y adaptada a cada nivel de responsabilidad.
• Incluir casos prácticos y escenarios reales.
• Documentar la asistencia y la comprensión de los contenidos.
• Reforzarse cuando se detecten incumplimientos o cambios normativos relevantes.