Articles Tagged with: compliance penal
Inicio / Archivos de Blog
Los canales de denuncia y la nueva Ley de protección del denunciante

Los plazos de implementación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, corren se acaba el tiempo para que empresas y organizaciones implementen sus directrices.

No son pocas las dudas que introduce una Ley que adolece de imprecisiones y alguna incongruencia, por lo que no está de más introducir algunas notas aclaratorias sobre su contenido.

El Canal de denuncias es el sistema a través del cual se reciben las noticias de posibles comportamientos con relevancia penal, que pueden llegar, bien de los propios trabajadores o empleados de la compañía o del exterior, (clientes, colaboradores, proveedores, etc…). Y ello independientemente de si la denuncia es anónima o nominal.

El Sistema Interno de Información (o canal de denuncias) es un cauce o canal seguro de participación que permite informar sobre cualquier acción u omisión contraria a los principios de buen gobierno y, en particular, sobre cualquier infracción de las normas que puedan constituir un delito o una infracción administrativa grave.

Incluye mecanismos para garantizar la confidencialidad de todas las informaciones y ofrece un espacio de comunicación seguro que permite el anonimato para mantener el contacto con la empresa.

Se articula en torno a los siguientes elementos:

  • Canales de recepción de la información.

Integrará todo canal interno de información de que dispone la empresa para posibilitar la presentación de información respecto de las infracciones del Código ético, de los protocolos de obligado cumplimiento o del Derecho de la Unión Europea, así como infracciones penales o administrativas graves.

  • Responsable del Sistema.

El Responsable del Sistema se ocupará de la tramitación diligente de las informaciones recibidas.

Deberá desarrollar sus funciones de forma independiente y autónoma respecto del resto de los órganos de la entidad u organismo, no podrá recibir instrucciones de ningún tipo en su ejercicio, y deberá disponer de todos los medios personales y materiales necesarios para llevarlas a cabo

  • Procedimiento de gestión de informaciones.

Contempla los siguientes aspectos:

Recepción de informaciones: Recibida la información, se procederá a su registro en el Sistema de Gestión de Información, le será asignado un código de identificación y se procederá al envío de acuse de recibo de la comunicación al informante.

Trámite de admisión: si la denuncia expone hechos o conductas que se encuentran dentro del ámbito de aplicación del Sistema.

Instrucción: comprenderá todas aquellas actuaciones encaminadas a comprobar la verosimilitud de los hechos relatados.

 Terminación de las actuaciones: Concluidas todas las actuaciones, el instructor emitirá un informe que contendrá al menos:

  1. Una exposición de los hechos relatados junto con el código de identificación de la comunicación y la fecha de registro.
  2. Las actuaciones realizadas con el fin de comprobar la verosimilitud de los hechos.
  3. Las conclusiones alcanzadas en la instrucción y la valoración de las diligencias y de los indicios que las sustentan.

Emitido el informe, el Responsable del Sistema de Información adoptará alguna de las siguientes decisiones:

  1. Archivo del expediente.
  2. Remisión al Ministerio Fiscal.
  3. Adopción de acuerdo de inicio de un procedimiento sancionador.

Registro de informaciones: El Sistema de Gestión de Información estará contenido en una base de datos segura y de acceso restringido exclusivamente al personal de la Autoridad Independiente de Protección del Informante, convenientemente autorizado. La empresa contará con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar, garantizando, en todo caso, los requisitos de confidencialidad previstos en la ley.

Régimen jurídico del tratamiento de datos personales.

Los tratamientos de datos personales del SII se regirán por lo dispuesto en el Reglamento Europeo de Protección de Datos,  la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, y la propia Ley 2/2023 el presente título.

Medidas de protección.

Las personas que comuniquen o revelen infracciones tendrán derecho a protección siempre que concurran las circunstancias siguientes:

  1. a) tengan motivos razonables para pensar que la información referida es veraz en el momento de la comunicación o revelación, aun cuando no aporten pruebas concluyentes, y que la citada información entra dentro del ámbito de aplicación de la ley,
  2. b) la comunicación o revelación se haya realizado conforme a los requerimientos previstos en la ley.

Prohibición de represalias.

Se prohíben expresamente los actos constitutivos de represalia, incluidas las amenazas de represalia y las tentativas de represalia contra las personas que presenten una comunicación.

Se entiende por represalia cualesquiera actos u omisiones que estén prohibidos por la ley, o que, de forma directa o indirecta, supongan un trato desfavorable que sitúe a las personas que las sufren en desventaja particular con respecto a otra en el contexto laboral o profesional, solo por su condición de informantes, o por haber realizado una revelación pública.

Infracciones y sanciones.

El incumplimiento de la normativa por personas físicas o jurídicas podrá ser sancionado en función de la gravedad de la infracción con sanciones de hasta 100.000 euros para las infracciones leves y hasta 1.000.000 para las muy graves.

Plazos de implementación.

  1. Las Administraciones, organismos, empresas y demás entidades obligadas a contar con un Sistema interno de información deberán implantarlo en el plazo máximo de tres meses a partir de la entrada en vigor de la Ley, plazo que terminó el 13 de junio pasado.
  2. Como excepción, en el caso de las entidades jurídicas del sector privado con doscientos cuarenta y nueve trabajadores o menos, así como de los municipios de menos de diez mil habitantes, el plazo previsto en el párrafo anterior se extenderá hasta el 1 de diciembre de 2023.

Ya estamos tardando, señores.

LA DECLARACIÓN RESPONSABLE CONTRA LA CORRUPCIÓN ADMINISTRATIVA.

La Comunidad de Madrid ha presentado una batería de medidas para la reactivación económica, entre las que destaca la implantación de la declaración responsable, con el objetivo de agilizar la burocracia. De la declaración responsable se habla poco, tal vez por no ser un mecanismo del excesivo agrado del político ni del burócrata, que siempre han preferido tener el control previo y continuo de todo lo que se mueve en su ámbito.

Así, su regulación en nuestro derecho administrativo es tardía y no se recoge, en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, hasta la reforma introducida en 2009 con motivo de la transposición de la Directiva 2006/123/CE del Parlamento Europeo y del Consejo, de 12 de diciembre de 2006, relativa a los servicios en el mercado interior. Tarde, y por imposición de Europa, pero ya tenemos entre nosotros esta maravillosa figura que, utilizada convenientemente, puede librar al administrado, especialmente en el ámbito del emprendimiento,  de la losa que supone ajustar su ritmo de actuación al de la administración pública. Todos conocemos proyectos viables y prometedores que han muerto en los despachos públicos, debido al aburrimiento de sus promotores y financiadores ante los innumerables trámites, plazos y dilaciones padecidos, que lograban que pasara la oportunidad y pereciera la esperanza de sacarlos adelante.

Para solucionar dichas trabas existen diversas figuras, empleadas más frecuentemente de lo que sería deseable. Así, para los pequeños trámites, los pagos de facilitación» (facilitating payments), que son pagos o regalos de pequeña cuantía hechos a funcionarios (en el ámbito privado también se dan) para conseguir favores, acelerar un trámites administrativo u obtener permisos o licencias. Para los grandes expedientes, es más utilizado el sistema de la “comisión”, de la que existen todo tipo de modalidades, habiendo adquirido gran notoriedad la conocida como “3 per cent”. Estas figuras, con mayor o menor aceptación, según los países y territorios, constituyen una lacra para la democracia, a la que es necesario combatir sin descanso.

Pues bien, el mecanismo de la declaración responsable viene a solucionar, en gran medida, ambos problemas. Frente a la lentitud administrativa, se impone el ritmo del administrado, que se libera de los plazos y trámites previos, sujetándose simplemente a la revisión posterior de las actuaciones realizadas bajo la cobertura de dicha declaración. Por otra parte, se estimula a la administración a actuar de forma rápida y diligente, para supervisar, a posteriori, la actuación del administrado, garantizando su ajuste a Derecho y al contenido de la declaración, so pena de que prescriban los plazos de inspección y, eventualmente, de sanción.

Frente a la corrupción administrativa, la posibilidad de actuar sin intermediación previa de un político o funcionario, con la potestad para agilizar o paralizar un proyecto con contenido económico, priva a éstos de cualquier posibilidad de exigir “mordidas” y, al empresario o administrado, de todo interés en ofrecerlas.

Se puede objetar que, por vía de supervisión, son posibles las actuaciones deshonestas de los que forman parte del aparato burocrático. Y es cierto, pero dichas posibilidades se restringen extraordinariamente, en cuanto sólo van a poder ser realizadas por acción, no por mera omisión como sucedía sin ellas (el expediente se dejaba “descansar” en el cajón hasta que se “engrasara” al responsable de su tramitación). Además, los cauces de revisión de cualquier sanción administrativa, que pudiera ser utilizada como mecanismo de coerción del administrado de forma torticera, limitan la posibilidad de utilizarlos de forma corrupta.

Demos la bienvenida, pues, a la difusión de esta figura, y esperemos que su uso se generalice, en beneficio de la eficacia y corrección de la actuación administrativa.

La ley de Secretos Empresariales y el Compliance.

El pasado miércoles entró en vigor la Ley 1/2019, de 20 de febrero, de Secretos Empresariales, transposición de la Directiva UE 2016/943 de Secretos Comerciales.

La nueva Ley es relevante, en materia de Compliance, en relación con los tipos penales recogidos en los artículos 278 y 279 del Código Penal, relativos al apoderamiento y revelación de secretos de empresa, dentro de los delitos contra el mercado y los consumidores. El alcance de dichos preceptos, con un contenido difuso y de elaboración jurisprudencial,  queda ahora delimitado por el concepto de secreto empresarial regulado en la Ley.

La Ley define el secreto empresarial por la concurrencia de tres condiciones:

  • Que la información sea secreta, es decir, no generalmente conocida en el sector.
  • Que tenga un valor empresarial, real o potencial, precisamente por ser secreta.
  • Que su carácter secreto haya sido protegido por su titular.

Es importante no confundir el secreto empresarial con los derechos de propiedad intelectual o industrial, que recaen sobre creaciones que son públicas y están dotados de mecanismos de protección específicos.

Así, el concepto de secreto de empresa comprenderá aquellos secretos de naturaleza técnica o industrial no patentables, los relativos a la actividad comercial (fondo de comercio, precios y condiciones de servicio, planes de marketing y expansión…) y los relativos al Know-How (como la organización productiva y laboral). Estos elementos, fundamentales para la competitividad de las empresas, son especialmente vulnerables por diversos motivos.

En primer lugar, por ser especialmente codiciados por la competencia. Pero, además, por la dificultad que entraña su protección. La organización, procesos y planes de producción y ventas de la empresa  no sirven de nada si se guardan en una caja fuerte, y su implementación implica necesariamente su conocimiento por un número elevado de personas de la organización. Lo anterior, unido a la necesidad, en muchos casos, de hacer partícipes de los secretos a terceros y al alto grado de movilidad del personal de las empresas, convierte la seguridad en un auténtico quebradero de cabeza.

Desde el punto de vista del Compliance penal, se nos plantean dos cuestiones relevantes:

  • Evitar cualquier conducta que pudiera ser constitutiva de obtención de secretos empresariales de terceros.
  • Proteger nuestra información, evitando que pueda ser revelada a terceros y, en el caso de que esto sucediera, haciéndola susceptible de protección en el ámbito penal.

Respecto a lo primero, va a ser fundamental el compromiso ético de directivos y gerentes en el respeto de los pactos de confidencialidad respecto a la información de terceros, así como en el uso de información de procedencia dudosa, que pudiera suponer una ventaja competitiva. Y ello, porque dicho uso implica el riesgo de incurrir de lleno en los tipos penales relativos al descubrimiento de secretos.

Respecto a lo segundo, se requiere un cambio importante en la forma de tratar la información propia. Porque, como dice la Ley, la información empresarial secreta solo tiene tal carácter si es protegida por la empresa. Eso supone la adopción de medidas que van más allá de la firma de compromisos de confidencialidad y la aplicación de medidas de seguridad informática.

Será necesario, fundamentalmente, clasificar nuestra información, distinguiendo entre la que tiene carácter confidencial y la que carece de él. También habrá que establecer los protocolos de acceso y uso de la información que previamente hayamos calificado como secreta. Así, para la efectividad de las leyes que protegen  los secretos empresariales, es inexcusable una actuación proactiva de los sujetos titulares del bien jurídico protegido. La propia Ley excluye del ámbito de su protección aquella información que las empresas no se molesten en proteger.

En conclusión, la Ley parece oportuna y necesaria, y ofrece una protección que puede desplegar sus efectos.  Pero solo en tanto en cuanto se genere en las empresas un cambio de cultura respecto a la importancia de nuestros activos inmateriales, y de los ajenos, y la necesidad de esforzarse en su salvaguarda. Para ello deberemos integrar esta tarea entre los planes de seguridad y, por supuesto, los de Compliance.

La implantación de los modelos de compliance: resistencias.

 

En la actualidad, nadie duda de la conveniencia y eficacia de la implantación de modelos de compliance penal en las empresas y organizaciones. ¿Nadie? En teoría puede parecer así, pero a la hora de llevarlos a la práctica, nos encontramos con que nunca falta alguien dispuesto a poner palos en la rueda del sistema. Las causas de esto son variadas. Además de la resistencia al cambio presente en muchas organizaciones, podemos señalar algunas.

En primer lugar, el desconocimiento de las implicaciones de un modelo de compliance verdaderamente eficaz. En ocasiones, la dirección de la empresa, al conocer que el plan va más allá de una cobertura formal destinada a dar una imagen ética de cara al exterior, y supone una verdadera transformación en la operativa, sujeta a una supervisión independiente, se plantea si está dispuesta a admitirlo.

En otras ocasiones, el plan se ve frustrado u obstaculizado en el momento en que el análisis de riesgo pone de manifiesto conductas o procedimientos generadores de riesgo, de los que la propia empresa no es consciente y que requieren acciones correctoras que pueden, a corto plazo, atacar la cuenta de resultados. Y ello bien por la necesidad de hacer inversiones o bien por la necesidad de establecer restricciones en la operativa, fundamentalmente comercial. Nos referimos a los supuestos en que se revela la inconveniencia ética de contratar con determinados clientes, proveedores o áreas geográficas, o las limitaciones a políticas comerciales agresivas, de utilización de datos, etc.

Si las resistencias anteriormente mencionadas surgen, normalmente, de los niveles directivos de la organización, no hay que olvidar las que nacen en los escalones jerárquicos inferiores. Nuestra experiencia nos ha enseñado que, a veces, los empleados de la organización, al conocer el plan, recelan del mismo. Creen que se establece en salvaguarda y beneficio de la organización y en perjuicio propio, con restricciones y medidas de control que soporta, sin ninguna ventaja apreciable, el empleado cumplidor.

Los obstáculos mencionados no pueden ser desconocidos al desarrollar las actuaciones de implantación. De hacerlo podemos fracasar estrepitosamente en el objetivo final: un modelo de compliance que disminuya significativamente el riesgo de la comisión de conductas ilícitas en la organización. Y que, en caso de que éstas se produzcan, exima a ésta, y a sus directivos honestos, de responsabilidad.

En cuanto a las resistencias al más alto nivel, hay casos en que la empresa no es ética, lo sabe, y no está dispuesta a cambiar su rumbo. aquí hay poco que hacer. En el resto de los casos no es difícil convencer a la alta dirección de las ventajas del plan, tanto a largo como a corto plazo. Para ello es fundamental que se adapte a las características de la organización y se implemente sin suponer unas cargas que la empresa no está en condiciones de abordar de forma inmediata. No hace falta pasar de cero a cien en un instante. Los planes pueden y deben madurar a lo largo del tiempo, adaptándose a las características de la empresa, al tiempo que proporcionan a la misma herramientas de transformación.

En cuanto a las resistencias que se manifiestan en los niveles subordinados, es importante convertirlos en aliados. Puede lograrse mediante acciones de formación, puesto que nadie participará activamente en algo que no conoce. Y mediante acciones de concienciación, poniendo de manifiesto que el plan no solo es garantía de continuidad de la empresa que les emplea, sino la mejor garantía que el empleado ético no se verá perjudicado a título individual por las conductas del que no lo es.

Podemos concluir que los obstáculos descritos se presentarán, sin duda, en la ejecución de los planes de compliance, pero estamos firmemente convencidos de que pueden ser sorteados. Conocimiento, flexibilidad, combinada con rigor  y mano izquierda, serán las herramientas que debe utilizar el consultor para hacerles frente.

La Norma UNE 19601, ¿guinda del pastel de compliance?

El pasado jueves se publicó la esperada norma UNE 19601 “Sistemas de gestión de compliance penal”. Sin perjuicio de su análisis en profundidad en post posteriores, llama poderosamente la atención el título con el que se presenta: “norma que establece los requisitos para implantar un sistema de gestión de compliance penal”.

Analicemos dicho aspecto bajo el prisma de las fuentes del Derecho de nuestro ordenamiento jurídico. Estas no son otras que la ley (en sus diversas manifestaciones), la costumbre y los principios generales del Derecho, como fuentes directas, y la jurisprudencia como fuente indirecta. Pues bien, no hace falta ser un experto en Derecho para ver que las normas de certificación aprobadas por organismos privados, nacionales o internacionales, no están recogidas en nuestro sistema de fuentes.

En consecuencia, podemos afirmar, sin temor a equivocarnos, que la UNE 19601 no puede establecer los requisitos para implantar un sistema de gestión de compliance penal, porque la facultad para establecerlos corresponde al legislador, que ya lo ha hecho en el artículo 31.bis 5. Del Código Penal. Y no solo eso, sino que carece de cualquier eficacia en orden a desarrollar, interpretar y, mucho menos, modificar o restringir, los requisitos exigibles a un modelo de gestión de compliance.

Dicho lo anterior, cabe preguntarse sobre los efectos que puede desplegar la certificación de un modelo de gestión de riesgos penales. La respuesta a esta pregunta ya la dio la Circular 1/2016 de la Fiscalía General del Estado, al señalar, en su apartado 5.6., que ”las certificaciones sobre la idoneidad del modelo expedidas por empresas, corporaciones o asociaciones evaluadoras y certificadoras de cumplimiento de obligaciones, mediante las que se manifiesta que un modelo cumple las condiciones y requisitos legales, en modo alguno acreditan la eficacia del programa”. Poco cabe añadir a tan rotunda manifestación, que expresa la posición del órgano que constitucionalmente tiene atribuida la misión  de “promover la acción de la justicia en defensa de la legalidad, de los derechos de los ciudadanos y del interés público tutelado por la ley”.

De lo expuesto no se deduce que la certificación de un sistema de gestión no sea conveniente o útil, sino que hay que ponerla en su justo sitio. Según la misma Circular 1/2016, las certificaciones “podrán apreciarse como un elemento adicional más” de la observancia de que el modelo cumple los requisitos necesarios para su eficacia. Es decir, la Fiscalía atribuye a la certificación del modelo el carácter de prueba, lo que no es poco, en principio. Pero hay que reseñar que dicha prueba no tiene un valor especial respecto a cualquier otro de los medios de prueba de nuestro Derecho. Y ello lo deja muy claro la Circular, al señalar que las certificaciones no sustituyen la valoración de la eficacia del programa, que “de manera exclusiva compete al órgano judicial”. Así, la opinión del juez no va a verse limitada, condicionada o predeterminada por la certificación, cuya hipotética validez puede ser destruida por cualquier otra prueba.

Y así, lo que deben tener claro los operadores jurídicos y los sujetos que implanten un sistema de compliance es que un sistema certificado conforme a la UNE 19601 puede no ser válido (aunque es menos probable) y, por el contrario, un modelo no certificado puede ser perfectamente válido y desplegar todos sus efectos. Esto es muy importante reseñarlo para evitar dos problemas que puede plantear la aprobación de la «Norma”. Por un lado, la sensación de falsa seguridad que podría generar, en una persona jurídica, el disponer de un sistema certificado. Y por otro, las trabas que puede suponer, a la hora de decidir la implantación de un sistema de compliance, pensar que la no certificación del mismo va en menoscabo de su validez.

En conclusión, las certificaciones pueden ser una buena guinda para un programa de compliance, pero si el pastel es malo, no habrá guinda que lo arregle.

Oficinas anticorrupción: la quinta rueda del carro.

La alarma social producida por los casos de corrupción en España y su repercusión en los medios de comunicación, ha motivado la proliferación de iniciativas de todo tipo para tratar de atajarla. En este artículo nos vamos a centrar en una de ellas: la Autoridad independiente de integridad pública, incluida en una reciente iniciativa legislativa de un grupo parlamentario.

La citada Autoridad se define como un “ente de Derecho Público dotado de personalidad jurídica propia y plena capacidad pública y privada, y actuará con plena independencia orgánica y funcional respecto de las Administraciones Públicas en el desarrollo de su actividad y para el cumplimiento de sus fines.” La música suena bien pero, como veremos a continuación, no es oro todo lo que reluce.

Vamos a analizar someramente (el espacio no nos da para más) algunos aspectos de su organización y funciones:

–          En cuanto a su ámbito de actuación, se limita al sector público estatal, permitiendo la posibilidad de que proliferen agencias de todo tipo, tanto autonómicas como locales, abriendo así la puerta a los reinos de taifas y los conflictos de competencias en la lucha contra la corrupción. Si rememoramos la frase “divide y vencerás”, la corrupción ya ha dado el primer paso para vencer a quienes la combaten, dividiéndolos antes de que comience la batalla.

–          El nombramiento de su Presidente tampoco es una cuestión menor. “Se realizará por el Congreso de los Diputados por mayoría de 3/5 entre candidatos propuestos por los grupos parlamentarios entre personas de reconocido prestigio en posesión de un título superior y más de diez años de experiencia profesional en materias análogas o relacionadas con las funciones de la Autoridad”. A la vista de la experiencia en la designación por parte de nuestro Parlamento de los miembros de otros órganos como el Tribunal Constitucional y los vocales del Consejo General del Poder Judicial, el nombramiento del Presidente de este organismo, encargado de perseguir la corrupción, entre otros, de los partidos políticos cuyos diputados van a designarle, promete ser épica.

–          En cuanto a sus funciones, es una profusa mezcla de churras con merinas donde cabe de todo: iniciativas normativas, tutela de derechos, informes preceptivos en materia legislativa y en la designación de cargos públicos, facultades de la inspección de servicios, formación de empleados públicos, control presupuestario, tramitación de denuncias, competencia sancionadora, etc. Como podemos comprobar, se ha envidado a la grande sin mirar las cartas que tenemos en la mano y, sobre todo, sin pensar detenidamente en las que pueden tener otros órganos existentes en la administración, que ya ejercen las funciones descritas.

Con ser lo anterior preocupante, lo verdaderamente llamativo es la propia concepción del organismo. Porque agencias independientes se han creado en los últimos años para toda clase de materias: protección de datos, vivienda, medioambiente, etc. La diferencia fundamental entre aquellas y la Autoridad independiente de integridad pública es que las primeras tienen, como no podía ser de otra forma, tratándose de órganos de la administración, competencias en el ámbito puramente administrativo.

En cambio, este ente pretende nada menos que erigirse en Autoridad en cuestiones que entran plenamente dentro del ámbito penal. Así, el proyecto de ley, le otorga competencias para investigar o inspeccionar “el uso irregular de fondos públicos”, o “sancionar infracciones” de las establecidas en la propia ley, entre las que se encuentran nada menos que “los hechos que puedan ser constitutivos de delito o o infracción administrativa, en particular delitos contra la Administración Pública o contra la Hacienda Pública”.

El disparate legislativo no puede ser mayor, y demuestra que nuestros nuevos legisladores se han lanzado a dictar leyes sin haberse molestado en leer las ya vigentes. Porque nuestra Constitución y nuestras leyes atribuyen la potestad para sancionar conductas tipificadas como delitos, en exclusiva, a los jueces y tribunales. En este sentido basta con recordar el  art. 23.1 de la LOPJ, según el cual “corresponderá a la jurisdicción española el conocimiento de las causas por delitos y faltas cometidos en territorio español o cometidos a bordo de buques o aeronaves españolas”. Y los tribunales que ejercen dicha jurisdicción ya tienen como colaboradores a órganos como la fiscalía y las fuerzas de seguridad, sin que quepa atribuirle ninguna potestad independiente a la supuesta Autoridad anticorrupción.

Este “pequeño” obstáculo no le pasa del todo desapercibido a los promotores de la iniciativa que, en el apartado dedicado a la delimitación de funciones, establecen: “en el supuesto de que la autoridad judicial iniciase un procedimiento para determinar la relevancia penal de unos hechos que constituyan a la vez el objeto de actuaciones de investigación de la Autoridad Independiente de Integridad Pública, esta deberá cesar en su actuación tan pronto sea requerida por dichas autoridades o tenga conocimiento del inicio de cualquier procedimiento por parte de aquellas.” ¡Faltaría más!

Lo que parecen haber olvidado los autores de la iniciativa es que, en nuestro ordenamiento, cuando algún órgano administrativo, en el ejercicio de sus funciones, detecta una actividad susceptible de ser constitutiva de delito, debe abstenerse inmediatamente de actuar, pasando el tanto de culpa a la jurisdicción penal competente sin necesidad de requerimiento alguno. La creación de un órgano administrativo, que investigue y sancione ilícitos penales, es una patada en toda regla al principio constitucional de separación de poderes.

Se puede objetar a los argumentos anteriores que el invento no es nuevo y, por ejemplo, lleva funcionando algunos años en sitios como Cataluña, donde existe la Oficina Antifrau de Catalunya. A ello hay que responder que la Oficina Antifrau no pretende constituirse como Autoridad sancionadora sino que, por el contrario, se configura como un órgano con aspiraciones más modestas, y cuyas actuaciones de investigación deben cerrarse en cuanto se aprecien indicios de delito, momento en el que se trasladarán a la autoridad judicial o al ministerio fiscal.

En cualquier caso, y a pesar de sus limitadas pretensiones, las cifras de la Agencia Antifrau de Catalunya no invitan al optimismo. Como botón de muestra, y según los datos publicados por la misma, en 2016 se recibieron 174 denuncias y se llevaron a cabo 17, sí, diecisiete actuaciones de investigación. Notable logro, teniendo en cuenta que su presupuesto es de algo más de 5 millones de euros, lo que arroja un coste por cada actuación de investigación de unos 300.000 €. Por cierto, solo 3 de dichas actuaciones acabaron con una comunicación a la fiscalía.

Lo verdaderamente asombroso es que, la propia Agencia, reconoce tener 147, sí, ciento cuarenta y siete, investigaciones pendientes de resolver. Si continúan al ritmo de 2016, se pondrán al día dentro de casi una década, en el poco probable caso de que no entre ninguna más.

En suma, que la famosa Autoridad independiente de integridad pública, si se llegara a constituir, lleva el camino de convertirse en un nuevo elefante burocrático, donde gastar dinero público y colocar gente. Y todo para añadir confusión a la lucha contra la corrupción, y ser el sumidero por donde se pierdan, hasta la prescripción de los delitos, las denuncias que deberían ponerse en manos de los órganos judiciales independientes, que ya existen, y que tienen atribuida por Ley la represión de las conductas corruptas.

Lo anterior no quiere decir que no se dicten nuevas normas para la persecución de los actos que tanto daño hacen a la credibilidad de nuestras instituciones y a la propia democracia. Pero se trata de tomar medidas legislativas meditadas y ajustadas al ordenamiento vigente, requisitos imprescindibles para su eficacia. Esta supuesta Autoridad independiente se asemeja más, usando las palabras de Shakespeare, a “un cuento contado por un idiota lleno de ruido y furia”.

La lista oficial de PEPs: ni está ni se la espera.

En el magnífico foro organizado por Control Capital Net, el pasado 29 de junio, sobre sobre «Gestión de Riesgos en la Prevención del Blanqueo de Capitales» pregunté, a los representantes del Tesoro, si existía algún proyecto para la elaboración de una lista oficial de Personas con Responsabilidad Pública (los PRPs o PEPs) lo que fue contestado de forma negativa.

La cuestión no es menor, dada la relevancia que tiene identificar a los PEPs para impedir de forma eficaz el blanqueo derivado de la corrupción pública, tanto en el ámbito internacional como el interno. Así parece considerarlo nuestra Ley 10/2010, de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo, que  les dedica dos de los catorce artículos artículos que regulan las obligaciones de diligencia debida. Pues bien, una vez plasmada en la ley la obligación de someter a medidas de diligencia reforzada a los responsables de la “res publica”, lo deseable sería que, por parte del regulador, se  llevaran a cabo las actuaciones para su implementación efectiva. La tarea no parece inabordable, especialmente en lo que se refiere a los PEPs domésticos, habida cuenta de que se trata de cargos públicos cuyo nombramiento es objeto de publicación en diarios oficiales.

Desde el punto de vista de la privacidad, no debe haber  ningún obstáculo al tratamiento de los datos, pues la propia Ley 10/2010 habilita en su artículo 15 a los propios sujetos obligados, e incluso a “terceros colaboradores”, a crear sus propias listas. Mucho menos desde el punto de vista de las dificultades técnicas para su creación y mantenimiento, ya que se han abordado cuestiones infinitamente más complejas, como el Fichero de Titularidades Financieras.

Lo notable es que el artículo anime a los sujetos obligados a una tarea para la que no disponen de medios ni se esté dispuesto a facilitárselos. No imagino a los sujetos del sector inmobiliario o a los marchantes de arte (si me apuran ni al sector financiero) en la tarea de localizar a quienes “desempeñen o hayan desempeñado funciones públicas importantes en el Estado español, tales como los altos cargos de acuerdo con lo dispuesto en la normativa en materia de conflictos de intereses de la Administración General del Estado”, fichando al “alto personal de las fuerzas armadas” o identificando a “los concejales y demás altos cargos” de San Bartolomé de Tirajana, municipio que, como todos sabemos, tiene más de 50.000 habitantes (concretamente 56.698).

La única opción es acudir a las listas elaboradas por “colaboradores”, por cierto sin ninguna garantía de fiabilidad, a que se refiere el artículo 15 de la Ley, que se prestarán a “colaborar” con nosotros siempre que pasemos previamente por caja, lo que es inviable para los sujetos obligados con multitud de clientes o con pequeña capacidad de gestión o financiera.

En fin, seguiremos aconsejando a los sujetos obligados que identifiquen a los PEPs haciéndoles firmar en el KYC que reconocen serlo (cosa que la mayoría de ellos no saben). Y crucemos los dedos para que, quienes no lo hagan, no aparezcan implicados en ninguno de los casos de corrupción que, con más frecuencia de la deseada, salpican la política nacional.

El enfoque multidisciplinar en materia de corporate compliance.

El nuevo marco legal en el que se encuadra el “corporate compliance” en España tiene tintes de revolución, por cuanto supone la introducción en el campo del Derecho, fundamentalmente del Derecho Penal, de nuevos elementos distintos a los que tradicionalmente se han manejado por los juristas. Nos referimos a las herramientas de análisis de riesgos y gestión de los mismos.

En efecto, el elemento clave de los sistemas de prevención del riesgo penal es el mapa de riesgos, base para el plan de medidas que debe cerrar el gap entre el riesgo existente y el riesgo asumible. Y los elementos para elaborar dicho mapa no están en el Código Penal. Es cierto que las conductas tipificadas como delito van a ser los “puntos geodésicos”, que deben  delimitar el terreno donde van a operar las herramientas de prevención. Pero, no lo es menos, que la identificación y graduación de los riesgos exige la aplicación de criterios extrajurídicos de la más variada índole, abarcando desde la estructura organizativa o las dimensiones del sujeto de riesgo a su proyección geográfica, la índole de su actividad o su abanico de stakeholders.

Por otra parte, el Código Penal nos permite delimitar el campo de riesgos, pero no arroja ninguna luz sobre las medidas que deben abordarlo. Salvo dos herramientas concretas, como son el canal de denuncias, “whistle blowing procedure”, y el régimen sancionador, nada nos dice sobre cómo abordar la multiplicidad de riesgos y grados del mismo que se presentan ante nuestra organización.

En este aspecto será necesario utilizar determinadas herramientas dispersas por la legislación sectorial como, por ejemplo, la protección de datos, en particular desde el moderno enfoque de las privacy impact assessment (pia) para los riesgos contra la intimidad. Y, por supuesto, otras que no tienen la naturaleza de norma jurídica, pero cuya eficacia para la prevención de riesgos es evidente, como la normativa ISO. A título de muestra, a nadie se le oculta la potencialidad de la ISO 14000 como medida de prevención del delito ecológico. En suma, la panoplia de instrumentos que deben manejarse para un Modelo de Prevención del Riesgo Penal es muy amplia. Su aprovechamiento es la clave de la robustez del sistema, que habrá de someterse a una dura prueba en la fase de prevención del delito y, si llega el caso, como elemento de exculpación de la persona jurídica.

Consecuencia de lo anterior, es la necesidad de contar con profesionales polivalentes para un  enfoque adecuado de los sistemas de prevención. Abordarlos desde la óptica puramente jurídica está abocado al fracaso, pues supone adentrarse en una selva, en la que la propia continuidad de negocio de nuestros clientes está en juego, sin brújula que nos oriente y sin machete que nos permita desbrozar los obstáculos. Las opciones no pueden ser más que dos: o bien la de abrir la mente e hincar los codos para adquirir experiencia en sistemas de gestión, reinventándonos en profesionales multitarea, capaces de abordar la materia desde diversos flancos, o bien la de formar equipos multidisciplinares, que trabajen conjuntamente en la resolución del nuevo reto. Pongámonos a ello.

 

El compliance officer: una misión para titanes.

La figura del compliance officer está adquiriendo gran relevancia tras la reforma del Código Penal de 2015. Se debate en los foros económicos y profesionales sobre las características, formación y tareas de los llamados a desempeñar este trabajo y proliferan los cursos, máster y hasta postgrados dirigidos a ellos.

Sin embargo, parece haber cierta confusión sobre la figura. Así, están desde quienes consideran que el compliance officer es el responsable de una especie de departamento de cumplimiento (como el CISO lo es de gestionar la seguridad informática o el responsable de calidad el sistema de gestión de calidad)  a aquellos que afirman que su función básica es implantar el programa de compliance.

Para aclarar su naturaleza debemos acudir al Código Penal que, en su artículo 31 bis 2., regula dos aspectos básicos: su función y sus poderes.

En cuanto a su función, se dispone que es la “supervisión del funcionamiento y el cumplimiento del modelo de prevención”. Ello supone, por una parte, que no es preciso que el compliance officer haya implantado el modelo de prevención pero, por otra, que es responsable de velar porque dicho modelo cumpla la totalidad de los requisitos que, para su eficacia, recoge el 31 bis 5.

En cuanto a sus poderes, deberá disponer de “poderes autónomos de iniciativa y control” respecto al órgano de administración de la sociedad, lo que implica dotarle de garantías frente a represalias y de acceso ilimitado a la información de la sociedad, puesto que es evidente que no se puede controlar aquello que se desconoce.

Por otra parte, es muy importante señalar que el compliance officer está incluido dentro de las figuras a las que el Código atribuye la virtualidad de dar lugar a responsabilidad penal de las personas jurídicas, lo que implica que dicha responsabilidad puede recaer sobre él a su vez. Así lo establece el artículo 31 bis 1 en su letra a) tal y como señala la Circular 1/2016 de la Fiscalía General del Estado en su punto 2.3.

Por último, es necesario destacar la relevancia que, tanto la Circular 1/2016 como el Tribunal Supremo en sus dos recientes, y únicas, sentencias sobre responsabilidad penal corporativa, dan a la implantación de una cultura ética empresarial como requisito para la eficacia de los planes de compliance. Cultura ética que deberá verse reflejada en la cúspide directiva de la organización.

De todo lo expuesto se deduce claramente que la figura del compliance officer no puede homologarse a la de un técnico que supervisa el cumplimiento de una serie de indicadores del sistema de prevención, sino que debe supervisar el cumplimiento de estándares éticos en todos los niveles de la empresa, incluyendo a la alta dirección. Así, para desempeñar la función de compliance officer, será imprescindible estar en posesión de una experiencia y bagaje profesionales al menos asimilable a la de los componentes del órgano de administración que van a estar sujetos a su supervisión.

Al igual que los jugadores de fútbol no respetan a un entrenador que no haya jugado antes, por mucho título que tenga, resulta ilusorio pensar que los administradores de las empresas se van a someter al control de un empleado sin un bagaje profesional amplio, armado solamente de un título de compliance officer. Ningún CEO que se precie pondrá a  disposición de un recién contratado sus planes de negocio, estados contables, procedimientos de actuación, etc. y someterá su actuación a la fiscalización del mismo, salvo que el compliance officer sea una persona con una experiencia acreditada y peso específico.

La tarea del compliance officer se perfila así como ciertamente difícil. Y no tanto por las dificultad técnica que supone conocer una serie de materias cuyo contenido está disperso en múltiples normas, sino, sobre todo, porque siempre que se plantee un dilema ético en el ámbito empresarial le va a corresponder estar en el ojo del huracán, defendiendo normalmente la postura menos ventajosa para la obtención de los objetivos económicos de la compañía.

Pues bien, para salir airosos en esa difícil misión de velar por el control de la existencia de una cultura ética, en un entorno donde las presiones por conseguir resultados serán muy fuertes, unido a la responsabilidad directa que recae sobre sus hombros, se requerirán una serie de cualidades, formación, experiencia profesional, autoridad y personalidad, que no están al alcance de todos. ¡Suerte en su tarea!

Sigma Corporate imparte una jornada de formación en COEBA

El miércoles 13 de abril se ha celebrado en Badajoz la primera jornada técnica de compliance penal, organizada por la Confederación de Organizaciones Empresariales de la Provincia de Badajoz (COEBA). En ella se han abordado las reformas del Código Penal, que entraron en vigor el julio del pasado año.

La jornada ha dado respuesta a las cuestiones que plantea para los empresarios el nuevo régimen de atribución de responsabilidades del Código Penal, que puede suponer la imputación de los administradores, directivos y gerentes, así como de las propias empresas en su condición de personas jurídicas, si se llegara a producir un delito en el ejercicio de su actividad.

Ha sido presentada por D. Emilio Doncel, presidente de COEBA que ha introducido el nuevo marco normativo que se plantea al empresariado regional.

En ella han intervenido los socios de la empresa consultora Sigma Corporate, D. José María Ruiz Téllez y D. Juan Luis Martínez-Carande Corral. Los ponentes han abordado los requisitos para la imputación penal de las empresas, así como los modelos  de prevención de delitos, que permiten la exención de responsabilidad de las mismas así como de sus directivos.

Por su parte D. Mónica Barroso Bravo, delegada en Extremadura de AENOR, ha presentado el certificado Iuriscert, de sistemas de prevención de delitos, implantado en empresas como el Banco de Santander.

El notable interés que ha despertado la jornada, traducido en una notable asistencia de empresarios y profesionales, pone de manifiesto que el empresariado extremeño no es ajeno a las tendencias que abogan por imponer una cultura ética empresarial, que garantice la transparencia y honestidad en los mercados y los derechos de los usuarios y consumidores.

“Panama papers”: no todo vale.

La filtración de los papeles de Panamá ha ocasionado un revuelo mundial, donde se ha centrado el foco de atención de los medios en las personas que ostentaban la titularidad de las sociedades off shore creadas por el despacho Mossack Fonseca.

Curiosamente, prácticamente nadie se ha fijado en un aspecto básico, el origen de la información, que no es otro que la comisión de un delito de intrusión informática, tipificado como tal en nuestro ordenamiento y en la totalidad de los ordenamientos de los países desarrollados.

Al tiempo que salían a la palestra los titulares de las cuentas, dirigentes políticos de todo el mundo, como Hollande, y organismos fiscales, como nuestra AEAT, hacían pública sus intenciones de usar la información obtenida por el hacker para investigar a los titulares de las sociedades. Y ello sin cuestionarse la procedencia de los datos ni la necesidad de respetar las garantías de procedimiento que nuestro ordenamiento jurídico establece para los ciudadanos, así como el principio de que la administración debe actuar con sometimiento pleno a la Ley y el Derecho. No debemos olvidar que la ley penal considera las pruebas obtenidas de forma ilegítima “manzanas podridas” que no tienen, con alguna excepción puntual en el derecho comparado, valor probatorio alguno.

Cierto que los papeles de Panamá ponen de manifiesto lagunas en los mecanismos de prevención del fraude, como la laxitud en la  catalogación de los paraísos fiscales (según la OCDE, solo existen actualmente dos en el mundo: Naurú y Niué). También la necesidad de reforzar los mecanismos antiblanqueo en sectores como el deportivo donde, por ejemplo, nuestra normativa no considera a los clubes e intermediarios deportivos sujetos de riesgo específico.

Pero, por eso mismo, no se pueden rebajar las exigencias normativas en materia de prevención del blanqueo y el fraude y, al mismo tiempo, afilar los cuchillos para perseguirlo utilizando mecanismos ilegítimos, como el fruto de los delitos informáticos. Porque si legitimamos las actuaciones al margen de la ley de los ciberdelincuentes, convertidos en justicieros por obra y gracia de la prensa, nos quedamos sin argumentos para defender los derechos fundamentales de sus víctimas.

Formación, la gran olvidada en los modelos de compliance del Código Penal.

Tras la reforma del Código Penal por la Ley Orgánica 1/2015, se ha criticado la sobriedad en la regulación de los modelos de prevención que han de operar como eximentes de la responsabilidad penal corporativa, básicamente tomada del modelo italiano, regulado por el Decreto Legislativo 321/2001. Dichas críticas tal vez pequen de excesivas, dada la dificultad de definir de una forma más precisa un modelo que, por las propias características de cualquier modelo de gestión, deberá estar dotado de un carácter dinámico y evolutivo, lo que puede entrar en colisión con una regulación más detallada. No obstante, hay que reseñar que el estado del arte en materia de compliance no es el mismo en 2015 que en la época en que fue aprobado el Decreto italiano y se  podría haber hecho un esfuerzo mayor al delimitar los requisitos de los sistemas de compliance.

Un punto clave es la necesidad de formación y concienciación de los responsables de la ejecución del modelo, no contemplada en el artículo 31. Bis 5º del Código, como sí lo hace, por ejemplo,  la reciente norma ISO 19600, que establece las directrices de los sistemas de compliance y dedica su apartado 7.2 a la “competencia y formación”, destacando los siguientes aspectos:

–          La necesidad de que la organización asegure la competencia de las personas afectadas por el proceso de compliance.

–          Fundamenta dicha competencia en la educación, formación o experiencia adecuadas.

En realidad, para apreciar la necesidad de formación no es necesario acudir a normas extrajurídicas, porque muchas de las normas de nuestro ordenamiento que tienen que ver con materias de cumplimiento en organizaciones, le dedican algún precepto.

Así, el  Real Decreto 1720/2007 que aprueba el reglamento de la Ley Orgánica 15/1999 de protección de datos de carácter personal, en su artículo 89.2, dispone que “El responsable del fichero o tratamiento adoptará las medidas necesarias para que el personal conozca de una forma comprensible las normas de seguridad que afecten al desarrollo de sus funciones así como las consecuencias en que pudiera incurrir en caso de incumplimiento.”

El artículo 29 de la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo establece que “los sujetos obligados adoptarán las medidas oportunas para que sus empleados tengan conocimiento de las exigencias derivadas de esta Ley” añadiendo que “estas medidas incluirán la participación debidamente acreditada de los empleados en cursos específicos de formación permanente”.

Por su parte la Ley 31/1995 de prevención de riesgos laborales dedica su artículo 19  a la Formación de los trabajadores obligando al empresario a “garantizar que cada trabajador reciba una formación teórica y práctica, suficiente y adecuada, en materia preventiva”.

Cierto que el concepto de formación en materia penal es ajeno a nuestro ordenamiento, pero no lo es menos que el mismo concepto de derecho penal preventivo lo era hasta hace cinco años. Y, si las diversas normas dictadas en materia regulatoria la incluyen, hubiera sido conveniente incardinarla dentro de los requisitos del artículo 31 bis 5º. Porque sin una formación adecuada no es posible garantizar la competencia de los administradores, directivos y empleados para cumplir con el papel que tienen asignado en la efectiva implementación de los sistemas.

En este sentido, tanto la Fiscalía General del Estado, a través de la Circular 1/2016, como el Tribunal Supremo, en la Sentencia subordinan la eficacia del plan de compliance a la existencia de una cultura ética en la organización. Y no parece posible crear una cultura de cumplimiento si se desconoce la materia que ha de constituir el substrato la misma.

Por tanto, consideramos que, con independencia de su ausencia en el Código Penal, en la práctica, la acreditación del conocimiento de sus deberes y responsabilidades en materia de compliance por la cúpula directiva y el resto de la organización va a ser un pilar básico para que pueda operar la exención de responsabilidad de las personas jurídicas.

Todos los derechos reservados 2016. Sigma Corporate || RANNA Consultoría