Compliance penal

Un modelo de prevención vinculado a cómo trabaja tu empresa

El compliance penal organiza medidas para prevenir o reducir riesgos de determinados delitos en la actividad de una persona jurídica. El punto de partida es conocer quién decide, cómo se contrata, qué operaciones se realizan y qué controles existen. Un manual genérico no puede responder por sí solo a esas preguntas.

En EOM estudiamos la estructura y actividad para definir un proyecto proporcionado. El trabajo puede comprender identificación de riesgos, revisión de controles, procedimientos, responsabilidades, formación y seguimiento, conforme al alcance acordado. La finalidad es que el sistema pueda aplicarse y acreditarse en la práctica.

La implantación necesita participación de la empresa. El órgano de administración y las personas con funciones de control deben conocer qué decisiones les corresponden. El asesoramiento externo ayuda a diseñar y revisar el modelo, pero no sustituye el funcionamiento real de los controles internos.

Responsabilidad penal de la persona jurídica

El Código Penal contempla responsabilidad de personas jurídicas en los supuestos previstos, vinculada a determinados delitos cometidos en su nombre o por su cuenta y en su beneficio directo o indirecto. Deben distinguirse las actuaciones de representantes o personas con facultades de decisión y las de quienes están sometidos a su autoridad, con sus requisitos.

La responsabilidad de la entidad no se confunde con la de una persona física. Administradores, directivos y empleados pueden tener posiciones diferentes en un procedimiento. La existencia de una sociedad no permite trasladar automáticamente cualquier conducta individual a la empresa, ni excluirla sin analizar los hechos.

El artículo 31 bis recoge condiciones bajo las que un modelo adecuado y ejecutado eficazmente puede tener efectos de exención o atenuación. No hay una inmunidad automática por contratar un servicio de compliance o disponer de un certificado. Su adecuación y eficacia deben examinarse en relación con el supuesto.

Identificar los riesgos relevantes

La evaluación debe partir de la actividad y de los procesos concretos. Operaciones financieras, contratación, relación con terceros, tratamiento de información o actuaciones sometidas a regulación sectorial pueden plantear riesgos distintos. No todas las empresas necesitan el mismo catálogo ni el mismo nivel de control.

Para preparar el análisis pueden ser necesarias entrevistas, documentación societaria, organigrama, políticas existentes y una muestra de procedimientos relevantes. El alcance se acuerda para conocer qué se ha examinado y qué queda fuera. Una revisión limitada no equivale a una auditoría integral de todas las obligaciones.

La priorización permite vincular cada riesgo a medidas y responsables. Un inventario muy largo sin actuaciones concretas aporta poca capacidad de prevención. El resultado debe ayudar a decidir qué mejorar y cómo comprobar después que se ha hecho.

Protocolos y controles aplicables

El Código Penal exige, entre otros elementos, identificar actividades de riesgo, establecer procedimientos de decisión y ejecución, disponer de controles financieros adecuados e informar de posibles incumplimientos. El modelo debe incluir además un sistema disciplinario y verificación periódica conforme a la normativa.

En la práctica, los controles pueden relacionarse con autorizaciones, separación de funciones, revisión de contrapartes, documentación de decisiones o gestión de incidencias, según el riesgo y la actividad. Su diseño debe tener en cuenta los recursos y procesos de la empresa para que puedan aplicarse de forma efectiva.

La proporcionalidad no consiste en omitir controles esenciales por ser una empresa pequeña. Consiste en encontrar medidas adecuadas a su estructura y riesgos. También conviene evitar obligaciones internas imposibles de cumplir que terminen desactualizadas desde el primer día.

Responsables, independencia y recursos

La supervisión del modelo requiere atribuir funciones y disponer de los poderes y recursos correspondientes. Debe quedar claro quién recibe información, revisa incidencias y promueve cambios. Una designación nominal sin capacidad real de actuación puede dejar el sistema sin supervisión efectiva.

El artículo 31 bis contempla una particularidad para personas jurídicas de pequeñas dimensiones autorizadas a presentar cuenta de pérdidas y ganancias abreviada: determinadas funciones de supervisión pueden ser asumidas por el órgano de administración. No es una definición basada simplemente en decir que la empresa es una pyme.

Revisamos la estructura para proponer una organización adecuada y prevenir conflictos. Las funciones del asesor externo y las de la empresa constan en el encargo. La decisión sobre implantación y funcionamiento corresponde a los órganos y responsables que determine la normativa y el modelo.

Formación y evidencia de funcionamiento

Las personas que deben aplicar un control necesitan comprender qué se espera de ellas. La formación se adapta a funciones y situaciones de trabajo, con instrucciones sobre cómo actuar ante dudas o incidencias. Entregar un documento extenso sin explicación no acredita por sí solo que se haya implantado.

El sistema debe conservar evidencias proporcionadas de su funcionamiento: aprobaciones, revisiones, formación y actuaciones relevantes, respetando la protección de datos y la confidencialidad. La documentación permite saber qué se hizo y detectar puntos que necesitan corrección.

La finalidad no es acumular papeles, sino sostener un funcionamiento verificable. Si un control no se utiliza o genera dificultades, conviene revisarlo y explicar el cambio. Un modelo que permanece intacto mientras la actividad se transforma puede dejar de responder a los riesgos reales.

Canal de información y Ley 2/2023

El sistema interno de información tiene requisitos específicos de recepción, gestión, confidencialidad y protección del informante. Debe distinguirse de un simple buzón de sugerencias y del formulario comercial de esta web. Las comunicaciones sobre infracciones necesitan el canal y procedimiento adecuados.

En el sector privado existe una obligación general para personas físicas o jurídicas con cincuenta o más trabajadores, además de determinadas entidades y sectores con independencia de esa cifra. La aplicación exacta debe revisarse según la actividad y la norma. Estar por debajo del umbral no permite descartar automáticamente cualquier obligación.

Cuando procede, se estudian canales, responsable, procedimiento, acceso, conservación y garantías de las personas afectadas. La ley contempla comunicaciones anónimas y exige proteger frente a represalias en su ámbito. La herramienta tecnológica es una parte del sistema, junto con su gestión y garantías.

Gestión de incidencias e investigaciones internas

Una comunicación o indicio de incumplimiento requiere valorar su alcance y la actuación adecuada. Deben preservarse confidencialidad, presunción de inocencia, derechos laborales y protección de datos, además de atender las obligaciones de comunicación a autoridades cuando correspondan.

La investigación no autoriza a acceder indiscriminadamente a dispositivos o comunicaciones. Se define qué información puede obtenerse, con qué fundamento y quién debe intervenir. La conservación de evidencia y la prevención de conflictos de intereses son aspectos relevantes desde el inicio.

Si hay un procedimiento penal abierto, se debe coordinar la actuación interna con la defensa jurídica. Implantar medidas después de detectar hechos no equivale a que existieran y funcionaran antes. Cada actuación debe describirse con su fecha y finalidad reales.

Revisión periódica y cambios de actividad

El modelo necesita verificación periódica y actualización cuando existen infracciones relevantes o cambios de organización, control o actividad que lo hagan necesario. Una nueva línea de negocio, adquisición o expansión puede alterar los riesgos y responsabilidades.

La propuesta concreta si EOM participa en la implantación inicial, en una revisión o en el seguimiento continuado, con la periodicidad y el alcance que se acuerden. Una revisión puntual no es una vigilancia permanente de todas las operaciones.

Si la empresa ya tiene un modelo, podemos estudiar su documentación y funcionamiento para identificar ajustes. No es necesario descartar todo lo existente: el diagnóstico debe distinguir controles útiles, carencias y evidencias que necesitan actualizarse.

Alcance, coste y comienzo del proyecto

El presupuesto depende de la estructura, actividad, documentación y trabajo requerido. Recoge fases, entregables, participación de la empresa, honorarios e impuestos. Las herramientas, certificaciones o actuaciones de terceros se identifican cuando formen parte de la propuesta o constituyan costes separados.

Para empezar, indica sector, tamaño aproximado, estructura y si ya existen políticas o un modelo de prevención. Evita describir posibles hechos delictivos o datos de informantes en el formulario comercial. Organizaremos la conversación y el canal adecuado para la información necesaria.