El artículo 31.bis 5 del Código Penal exige que los modelos de compliance cumplan el requisito de “identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos”, esto es, la necesidad de un adecuado mapa de riesgos penales de la organización, como base del modelo.

Podemos afirmar que la fiabilidad de un mapa de riesgo penal está absolutamente condicionada por la calidad de los imputs obtenidos para su elaboración. En este sentido, no podemos fiarlo a las percepciones subjetivas de los miembros de la organización entrevistados para su elaboración. Y ello por dos razones:

–          Por el desconocimiento de dichos sujetos de los tipos penales y sus implicaciones. No parece muy razonable esperar que, un director comercial, pueda darnos la medida del riesgo del delito de corrupción entre particulares dentro de su empresa, cuando seguramente no conoce los elementos del tipo delictivo.

–          Por la percepción negativa de muchos de los responsables de la empresa a reconocer que, en su área concreta, radican riesgos relevantes. En este sentido, nuestra experiencia nos muestra, por ejemplo, cómo se tiende a considerar que, si los directivos de una empresa son buenos en su gestión operativa, lo serán igualmente en el aspecto ético. Experiencias como el caso Volkswagen son una evidencia palmaria de que las cosas no suceden así.

Ello no quiere decir que las entrevistas a los responsables de la organización no tengan valor para el mapa de riesgos. Por el contrario, son un elemento que nos van a permitir conocer datos que se escapan a las frías cifras y a las evidencias documentales de la estructura, operativa y resultados empresariales. Además, nos darán pistas esenciales sobre la existencia de una cultura de cumplimiento.

Pero deben ser complementarias de los factores objetivos de riesgo, que deben ser fijados a priori, en función de las características de la organización evaluada. Por ejemplo, el factor tamaño va a ser un factor esencial en la casi totalidad de los tipos delictivos. Así, en una empresa con un volumen de facturación elevado y operaciones en diversos países, el riesgo fiscal va a estar presente, cualquiera que sea la percepción subjetiva del Director Financiero. Luego podrá ser moderado por las medidas de prevención existentes y las evidencias de cumplimiento, pero no podemos valorarlo basándonos en preguntas del tipo “¿cree usted que el grado de cumplimiento fiscal de la empresa es adecuado?”, como frecuentemente hemos visto hacer.

Junto a la dimensión de la empresa, que deberá ser valorada, a su vez,  de distinta forma para cada delito específico (el número de empleados no tiene la misma ponderación para valorar el riesgo de delitos contra los derechos de los trabajadores que para el delito de falsedad contable) habrá que ponderar factores como la actividad, riesgo geográfico, riesgo histórico o relaciones con stakeholders, entre otros.

Ésta es la línea seguida por la circular 1/2016 de la Fiscalía General del Estado, al señalar que el análisis “identificará y evaluará el riesgo por tipos de clientes, países o áreas geográficas, productos, servicios, operaciones, etc., tomando en consideración variables como el propósito de la relación de negocio, su duración o el volumen de las operaciones”.

Si bien los criterios señalados en la Circular nos marcan la línea a seguir, hay que señalar que son criterios procedentes de la normativa de prevención de blanqueo de capitales y, por tanto, no comprenden la totalidad del espectro de los delitos imputables a las personas jurídicas.

Podemos afirmar que, una valoración  de riesgos fundamentada en criterios contrastables y cuantificables, es la piedra angular de un plan de prevención de riesgos penales. Solo así tendremos los elementos de juicio necesarios para adoptar las medidas idóneas para minimizar el riesgo. Y ello, a su vez, nos permitirá probar, en caso de producirse un ilícito en la empresa, que concurren las circunstancias para exonerar de responsabilidad a la misma, al acreditarse la adecuación del programa “para prevenir el concreto delito que se ha cometido”, y la “idoneidad entre el contenido del programa y la infracción”, en los términos de la Circular 1/2016 citada.

En conclusión, podemos afirmar que un mapa de riesgos basado en criterios y evidencias rigurosos y cuantificables es la base del éxito de un programa de compliance, siguiendo el conocido aforismo “lo que no se puede medir no se puede controlar”.