Queremos comenzar con una idea que, en nuestra opini\u00f3n, deber\u00eda ocupar un lugar mucho m\u00e1s importante en el foco de las organizaciones cuando dise\u00f1an e implantan sistemas de compliance: no basta con hacer las cosas bien, debemos estar en las mejores condiciones para acreditar c\u00f3mo las hemos hecho. Esta afirmaci\u00f3n parece evidente, pero en la pr\u00e1ctica no siempre ocurre as\u00ed.<\/p>\n
Cuando revisamos un sistema encontramos habitualmente pol\u00edticas, procedimientos, mapas de riesgos, formaciones, canales de informaci\u00f3n, controles y \u00f3rganos con responsabilidades formalmente definidas. Todo ello es necesario y cada vez mas habitual en las organizaciones.<\/p>\n
El problema aparece cuando necesitamos reconstruir qu\u00e9 ocurri\u00f3 realmente ante una decisi\u00f3n, un riesgo o una incidencia concreta: \u00bfQui\u00e9n tom\u00f3 la decisi\u00f3n? \u00bfCon qu\u00e9 informaci\u00f3n? \u00bfQu\u00e9 control se aplic\u00f3? \u00bfQui\u00e9n lo ejecut\u00f3? \u00bfSe supervis\u00f3? \u00bfQu\u00e9 ocurri\u00f3 cuando apareci\u00f3 una desviaci\u00f3n? \u00bfQued\u00f3 constancia suficiente para explicar, meses o a\u00f1os despu\u00e9s, por qu\u00e9 actu\u00f3 la organizaci\u00f3n como lo hizo?<\/p>\n
Ah\u00ed comienza, a nuestro juicio, una de las diferencias m\u00e1s importantes en estos momentos: Cuando tenemos un sistema que est\u00e1 bien documentado y cuando tenemos un sistema que puede demostrar c\u00f3mo funciona.<\/p>\n
LOS DOCUMENTOS SON EL PUNTO DE PARTIDA<\/strong><\/p>\n En compliance penal esta cuesti\u00f3n resulta especialmente relevante: El art\u00edculo 31 bis del C\u00f3digo Penal no se conforma con la aprobaci\u00f3n formal de un modelo de organizaci\u00f3n y gesti\u00f3n. La regulaci\u00f3n exige atender a su adopci\u00f3n previa y a su ejecuci\u00f3n eficaz, con las diferencias que corresponden seg\u00fan el supuesto concreto de responsabilidad de la persona jur\u00eddica.<\/p>\n Esto no significa que la empresa tenga que probar su inocencia ni que debamos invertir las reglas procesales sobre carga de la prueba. La jurisprudencia del Tribunal Supremo exige acreditar los presupuestos propios de la responsabilidad penal de la persona jur\u00eddica y ha rechazado construirla autom\u00e1ticamente a partir del delito cometido por una persona f\u00edsica.<\/p>\n Pero una cosa es la carga jur\u00eddica de la acusaci\u00f3n y otra, muy distinta, la posici\u00f3n pr\u00e1ctica en la que queremos encontrarnos cuando tengamos que defender nuestro sistema.<\/p>\n Desde esa perspectiva profesional, en BONATTI COMPLIANCE creemos que la organizaci\u00f3n debe estar preparada para acreditar tres cuestiones:<\/p>\n 1. que el modelo exist\u00eda antes de los hechos;<\/p>\n 2. que estaba realmente implantado;<\/p>\n 3. que funcionaba de una manera adecuada al riesgo que pretend\u00eda gestionar.<\/p>\n Esta tr\u00edada \u2014existencia, implantaci\u00f3n y eficacia\u2014 estructura el an\u00e1lisis que utilizamos en nuestra firma para asegurar la eficacia del programa:<\/p>\n LA EVIDENCIA SE PRODUCE MIENTRAS EL SISTEMA FUNCIONA<\/strong><\/p>\n Por eso no concebimos la evidencia como un archivo que completamos para prepararnos ante una auditor\u00eda, una certificaci\u00f3n o un procedimiento judicial, sino que deber\u00eda generarse como consecuencia natural del funcionamiento del sistema.<\/p>\n Si hemos identificado un riesgo, deber\u00eda ser posible conocer qu\u00e9 controles hemos dise\u00f1ado para gestionarlo. Si existe un control, debemos saber qui\u00e9n es responsable de ejecutarlo y disponer de constancia suficiente de esa ejecuci\u00f3n. Si el control es supervisado, tendremos que conocer el resultado. Y cuando aparezca una incidencia, una desviaci\u00f3n o una debilidad, deber\u00eda poder reconstruirse qu\u00e9 hicimos con ella y c\u00f3mo afect\u00f3 posteriormente al sistema.<\/p>\n En BONATTI COMPLIANCE<\/strong> utilizamos esta secuencia como m\u00e9todo de trabajo: riesgo, control, responsable, ejecuci\u00f3n, supervisi\u00f3n, incidencia, respuesta y revisi\u00f3n.<\/p>\n No es un checklist jurisprudencial, sino una forma pr\u00e1ctica de comprobar que detr\u00e1s de la arquitectura documental encontraremos una cadena de funcionamiento perfectamente trazable.<\/p>\n La diferencia tratamiento es importante, porque no toda la evidencia tiene valor por el mero hecho de existir: Una carpeta con miles de documentos puede ser peor que un sistema documental m\u00e1s sencillo si nadie sabe relacionar esos documentos con los riesgos y decisiones que pretende acreditar.<\/p>\n La trazabilidad exige que la informaci\u00f3n nos permita responder a una pregunta concreta, no que acumulemos documentaci\u00f3n indiscriminadamente.<\/p>\n EL MISMO PROBLEMA APARECE FUERA DEL COMPLIANCE PENAL<\/strong><\/p>\n Esta reflexi\u00f3n no se limita a los modelos de prevenci\u00f3n de delitos. Pensemos en un Sistema Interno de Informaci\u00f3n.<\/p>\n Podemos disponer de una plataforma t\u00e9cnicamente impecable, de una pol\u00edtica aprobada y de un procedimiento que reproduce correctamente la Ley 2\/2023.<\/p>\n Pero el funcionamiento real del sistema va a depender de cuestiones mucho m\u00e1s din\u00e1micas, por ejemplo, c\u00f3mo se recibe y clasifica una informaci\u00f3n, qui\u00e9n puede acceder, c\u00f3mo se realiza el triaje, qu\u00e9 conflictos de inter\u00e9s se detectan, qu\u00e9 medidas de protecci\u00f3n se adoptan, cu\u00e1ndo procede investigar o derivar un asunto y qu\u00e9 razones fundamentan cada decisi\u00f3n.<\/p>\n Por eso nuestra metdolog\u00eda sobre SII parte de una tesis muy concreta: el sistema debe ser una arquitectura de gobierno, proceso, prueba y protecci\u00f3n.<\/p>\n El proceso de triaje nos ofrece un buen ejemplo: Cuando llega una comunicaci\u00f3n, la primera decisi\u00f3n no puede ser determinar si los hechos son ciertos, antes deberemos decidir c\u00f3mo tratarse esa informaci\u00f3n, qu\u00e9 r\u00e9gimen resulta aplicable, qui\u00e9n puede conocerla, qu\u00e9 garant\u00edas hay que activar y si procede investigar, archivar o derivar.<\/p>\n Si unos meses m\u00e1s tarde necesit\u00e1ramos explicar aquella decisi\u00f3n ante una autoridad, el valor del sistema depender\u00eda de que pudi\u00e9ramos reconstruir por qu\u00e9 se tom\u00f3 y c\u00f3mo fue gestionada. Eso es compliance demostrable.<\/p>\n NO DEBEMOS CONFUNDIR EFICACIA CON AUSENCIA DE INCIDENTES<\/strong><\/p>\n Esta es otra cuesti\u00f3n que nos parece especialmente importante diferenciar, porque genera dudas en muchas organizaciones: La aparici\u00f3n de un incumplimiento no demuestra autom\u00e1ticamente que el sistema de compliance haya fracasado, porque los sistemas de Compliance gestionan riesgos, pero no pueden garantizar que ninguna persona vaya a cometer nunca una infracci\u00f3n.<\/p>\n Ante un hecho irregular deberemos analizar y dar respuesta a este conjunto de factores:<\/p>\n El incidente puede proporcionar informaci\u00f3n muy relevante sobre la eficacia del sistema, pero no podemos sustituir ese an\u00e1lisis por la conclusi\u00f3n autom\u00e1tica de que \u00absi ocurri\u00f3, el<\/p>\n compliance no funcionaba\u00bb. De hecho, un sistema demuestra su madurez por la forma en que responde cuando algo falla.<\/p>\n Detectar una debilidad, investigar razonablemente sus causas, adoptar medidas correctoras, comprobar su ejecuci\u00f3n y revisar posteriormente el riesgo puede resultar mucho m\u00e1s revelador sobre el funcionamiento real del modelo que disponer de un procedimiento que nunca ha sido puesto a prueba.<\/p>\n\n
\n