La dificultad para reconocer qué es y qué no es compliance

¿Qué no es compliance?. Desde la introducción en nuestra legislación de la responsabilidad penal de la persona jurídica, hemos adoptado un nuevo anglicismo en nuestro vocabulario jurídico: el Compliance.

Sin embargo y a pesar de la generosa literatura que hoy día podemos encontrar en Internet, así como la cantidad de operadores ofertando la implantación de los denominados Sistemas de Gestión de Compliance Penal (SGCP) o el conocido como Corporate Compliance. Aún siguen existiendo en el mercado y, sobre todo en los destinatarios finales de dicho “producto”, un alto grado de incomprensión sobre la naturaleza y alcance del Compliance en las organizaciones

Una de las más claras evidencias de lo que apuntamos, es el gran número de organizaciones que consideran que, con sus códigos éticos o con la existencia de un manual en que especifiquen que tienen firme voluntad de alinearse y cumplir con las leyes, se puede llegar a alcanzar alguna suerte de escudo o parapeto, que cubra eventuales responsabilidades, sobre todo, para sus directivos y órganos de administración.

Nada más alejado de la realidad.

No es Compliance

Tener documentos que no cambian nada

Compliance no es una declaración de intenciones, ni un documento estático. Es un proceso vivo y en mejora continua que debe adaptarse como un “traje a medida” para cada organización.

Compliance no es adquirir un documento que me acredite como cumplidor. Porque el Compliance no se conforma con una mera literatura: es una herramienta de gestión de la organización y un potente transformador de su cultura empresarial. Cuando los documentos que hemos emitido no han cambiado absolutamente nada en nuestra forma de operar como organización, no necesitamos muchos indicadores semanas para comprender que no estamos ante un sistema de compliance.

Si no se adapta al contexto cambiante de la organización

Hemos de ser conscientes de que las organizaciones son entes vivos y en continuo movimiento, que operan en un entorno económico y normativo cambiante. Están compuestos por personas y relacionados con terceros cuyas interacciones hacen evolucionar a la propia organización. El reto del Compliance es adaptarse a los cambios constantes en la organización para ser eficaz en cualquier momento y circunstancia comprendiendo en cada momento cuales son los compromisos que la empresa asume y los requisitos que le son exigibles.

Si no define un marco dinámico de gestión del riesgo

Estos cambios inciden directamente en el grado de  riesgo de comisión de delito de dicha organización, que deberá – a fin de prevenirlo o reducir significativamente – establecer un un marco de gestión del riesgos que, de un modo dinámico, considere a la empresa como un ente en continua evolución, y por tanto también sujeto al cambio constante en los riesgos penales a los que se pueda ver expuesta.

Si no está embebido en los procesos de la organización

El Compliance huele a departamento financiero, viaja con los comerciales de la empresa y se mancha con la grasa de la cadena de producción. Si tenemos unos bonitos papeles encuadernados en un estante, no tenemos Compliance, porque debemos ser capaces de integrar plenamente el Compliance en el día a día de la empresa.

Por ello NO hay dos Sistemas de Gestión de Compliance Penal iguales, porque cada empresa tiene unas necesidades distintas, derivadas de sus diversas formas de gestionar la actividad.

Es compliance si

Gestiona con eficacia

Existen estándares y marcos de referencia que nos ayudan a desarrollar Sistemas que gestionen eficazmente el Compliance en cada organización.

A nivel internacional, disponemos de la norma ISO 19600:2014, que establece las Directrices que debe contener un Sistema de Gestión de Compliance, y alineada con dicha norma y con nuestro Código Penal, en España disponemos de la UNE 19601:2017 que determina con mayor precisión cómo alcanzar el Compliance Penal en España.

Cumple con el Código Penal

El Compliance eficaz servirá para salvaguardar la responsabilidad penal de las porque configura en las mismas un MODELO DE ORGANIZACIÓN Y GESTIÓN que:

• Es adecuado para prevenir delitos o para reducir de forma significativa el riesgo de su comisión,
• Se adopta y ejecuta con EFICACIA,
• Incluye MEDIDAS DE VIGILANCIA Y CONTROL idóneas para prevenir delitos o reducir su riesgo de comisión en la organización
• SUPERVISA su funcionamiento y cumplimiento

A través del artículo 35.bis, apartado 2, que acabamos de resumir, el Código Penal regula cómo un sistema de compliance eficaz permite alcanzar la exoneración de la persona jurídica.

Mas adelante, artículo 31.bis, apartado 5 C.P concreta qué debemos entender por MODELO DE ORGANIZACIÓN Y GESTIÓN, identificando en el mismo los siguientes elementos:

• IDENTIFICACIÓN DE LOS RIESGOS PENALES a los que está sometida una organización en concreto o que podrían darse en la misma, señalando las actividades donde se sitúan.
• PROCEDIMIENTO DE TOMA DE DECISIONES DE LA ORGANIZACIÓN: hay que definir el proceso de valoración, adopción y ejecución de decisiones de la empresa.
• DOTACIÓN DE RECURSOS ECONÓMICOS: se prevé que para la ejecución de un adecuado y eficaz modelo de prevención de delitos (Compliance) existan recursos para su correcta llevanza y ejecución.
• OBLIGACIÓN DE INFORMAR: de posibles incumplimientos o riesgos de incumplimiento (En este aspecto, es de señalar que acaba de aprobarse la Directiva del Parlamento Europeo y del Consejo sobre la protección de los denunciantes de infracciones, que los países miembros están obligados a trasponer a su normativa en un plazo máximo de dos años, y que determina la obligación de establecer el denominado Canal de Denuncias para las organizaciones de más de 50 empleados)
• ESTABLECER SISTEMA DISCIPLINARIO que sancione los incumplimientos de las medidas adoptadas en el MODELO DE PREVENCIÓN
• DETERMINAR UNA EVALUACIÓN PERIÓDICA DEL SISTEMA O MODELO, así como su modificación cuando fuere necesario y ante determinados eventos.

Compliance es abandonar las tres B para abrazar las tres C

Cambiemos las tres B de bueno-bonito-barato, por las tres C de Compliance que deben ser:

• Calidad: un SGCP adecuado y eficaz.
• Conformidad: que cumpla con las exigencias legales y voluntarias de la organización.
• Consistencia: enraizado en la cultura de la organización e integrado en sus procesos y procedimientos.