DATOS BÁSICOS
- Dónde: NH Príncipe de Vergara (C/Príncipe de Vergara, 92 Madrid)
- Cuándo: 26.Nov.2013
- Hora: 09:45
- Web
del evento
- Organizador: iiR España
- Teléfono: 91 7004915 / 0179
- Email: dmayo@iirspain.com
El entorno tecnológico globalizado en el que se
mueven las compañías hoy en día, puede suponer un desconocimiento normativo que
afecte al buen funcionamiento de las empresas. Esto, sumado a las exigencias
legales que se implantan año tras año para prevenir y detectar fraudes y
delitos relacionados con el sector empresarial, obligan a las empresas a
disponer y dotar de responsabilidades a una figura capaz de supervisar toda acción
susceptible de provocar alarma ante la administración.
Las funciones que deberá desempeñar un Compliance
Officer son extensas y variadas, con la dificultad añadida de que no están
vinculadas entre ellas si no que deben relacionarse con todos los niveles de
desarrollo de negocio. Por ello debe ser uno de los perfiles más completos de
la empresa y dominar un gran número de aspectos y terrenos legales.
Para realizar correctamente su función deberá
conocer tanto sus obligaciones como sus responsabilidades dentro de la
compañía, y saber delimitar correctamente la responsabilidad entre los actos
propios y los de persona jurídica. Elaborar un correcto Manual de Prevención de
Delitos ayudará a que los demás integrantes del negocio conozcan los límites
legales del mismo.
La formación correrá a cargo de expertos
relacionados con el área legal de grandes empresas como Clifford Chance,
Astrazeneca, Garrigues, Barclays Bank o Ecija Abogados. Asimismo, también
estarán presente Antonio del Moral, Magistrado del Tribunal Supremo, y Julián
Prieto Hergueta, Subdirector General del Registro en la Agencia Española
de Protección de Datos.
Al
respecto, recomendamos la lectura del artículo “Compliance officer o
cómplice officer” escrito por
Javier Ribas (Correo electrónico: Correo
electrónico Página Web: http://ribasyasociados.com )
El
proyecto de reforma del Código Penal, que parece haber cobrado un nuevo impulso
con el fin de la doctrina Parot y la lucha contra la corrupción, incluye tres
menciones expresas al órgano de vigilancia y control orientado a prevenir la
comisión de delitos.
- La primera, en
el artículo 31bis, al incluir en la lista de condiciones
necesarias para la exención de la responsabilidad penal corporativa, la
supervisión del funcionamiento y del cumplimiento del modelo de prevención
por parte de un órgano de la persona jurídica con poderes autónomos de
iniciativa y control.
- La segunda, en
el mismo artículo, al incluir como uno de los requisitos del modelo de
organización y gestión, la obligación de informar de posibles riesgos e
incumplimientos al órgano encargado de vigilar el funcionamiento y
observancia del modelo de prevención.
- La tercera, en
el nuevo artículo 286 seis, al incluir la contratación, selección
cuidadosa y responsable (culpa in eligendo), así como la vigilancia (culpa
in vigilando) del personal de inspección y control, como una de las
medidas de vigilancia y control cuya omisión puede generar responsabilidad
penal para el directivo responsable de su aplicación.
En
la práctica, este órgano suscita una serie de cuestiones que analizamos a
continuación y entre las que destaca la que inspira el título a este artículo,
es decir la responsabilidad de este órgano en caso de delito.
Nuevo departamento vs. departamento ya existente
Las
funciones que el proyecto asigna al órgano de vigilancia y control están
repartidas en la actualidad en diversos departamentos o comités:
- Comité de
Ética
- Auditoría
Interna
- Control
Interno
- Asesoría
Jurídica
- Cumplimiento
Normativo
Estas
funciones de vigilancia y control se dividen en tres grupos:
- Control
anterior a la infracción (control preventivo)
- Control
posterior a la infracción (control detectivo)
- Función
sancionadora, complemento necesario para la eficacia del control
Sin
embargo, en el momento de la distribución de estas funciones, estos tres grupos
no quedan bien definidos y pueden ser asignados a varios departamentos a la vez
o quedar sin asignar.
El
Comité de Ética es el destinatario habitual de las denuncias relativas a
posibles incumplimientos del código ético a través del correspondiente canal de
denuncias, y es también el que investiga, delibera y sanciona dicho
incumplimiento. En realidad propone la sanción y RRHH la impone. Pero la
función del Comité de Ética es predominantemente reactiva, es decir, acostumbra
a actuar cuando llega la denuncia, sin perjuicio de las campañas de
sensibilización que pueda organizar. En cambio, el proyecto exige una labor más
proactiva, más cercana a la función de control interno o de auditoría interna,
pero mucho más intensa, y no limitada a los delitos estrictamente económicos.
Ello hace pensar que el proyecto habla de dos órganos distintos uno proactivo y
emisor de denuncias y otro reactivo y receptor de denuncias. Por otro lado, el
objetivo de los departamentos con funciones de control ha sido hasta ahora
proteger a la empresa del fraude interno y de las amenazas en las que la
empresa es la víctima, mientras que la finalidad de los programas de corporate
defense es prevenir la responsabilidad penal de la empresa en los delitos en
los que la víctima es un tercero. Lo mismo sucede con los programas de D&O
defense en relación a los cargos directivos.
Por
otro lado está la función de los departamentos de Asesoría Jurídica y de
Cumplimiento Normativo, este último muy próximo en su nomenclatura al
Compliance Officer, pero no tanto en su encaje en la taxonomía que parece
proponer la doctrina al comparar el modelo anglosajón con el propuesto en la
reforma.
Por
otra parte, tanto las funciones como las denominaciones de los departamentos no
son uniformes en todas las empresas y sectores, por lo que, si queremos
realizar un análisis comparativo entre varias empresas, más que hablar de
departamentos tendremos que hablar de funciones.
Entiendo
que el camino lógico a seguir en una empresa tras la aprobación de la reforma
del Código Penal sería:
- Identificar
las funciones de supervisión y control establecidas en el texto que
finalmente se apruebe, integrándolas en el modelo de organización y
gestión.
- Analizar cómo
están repartidas en ese momento estas funciones en los diversos
departamentos y comisiones de la empresa.
- Decidir si
debe crearse un nuevo cargo, un nuevo departamento o una comisión que
incorpore a las personas que actualmente realizan las funciones
identificadas en distintos departamentos.
Lejos
del debate científico sobre si la función origina el órgano o el órgano crea la
función, que en el mundo de la gran empresa puede llegar a cobrar matices
kafkianos, es evidente que en este caso la función de vigilancia y control
viene determinada y exigida por una Ley Orgánica y que de ella deriva la
creación del órgano que debe desarrollar esta función.
Cargo unipersonal vs. órgano colegiado
En
función de las decisiones adoptadas por la empresa en relación al punto
anterior, podrán asignarse las funciones a una sola persona o a un equipo.
Aunque el proyecto habla de órgano, nada impide que se trate de un cargo
unipersonal, aunque, en mi opinión, lo más aconsejable es que sea un órgano
colegiado, ya que los requisitos que tiene que cumplir no acostumbran a estar
reunidos en una sola persona. También puede tratarse de una única persona que
se apoye en los expertos internos y externos de cada materia, con los que la
empresa ya cuenta habitualmente.
Entre
los factores que aconsejan una puesta clara por un órgano colectivo destacan
las siguientes:
- La gran carga
de trabajo a realizar.
- El enfoque
multidisciplinar.
- La gran
variedad de conocimientos exigidos.
- La capacidad
para actuar, contar con aliados y conseguir la ejecución de las decisiones
y las medidas adoptadas en los departamentos afectados.
Parece
evidente que el legislador no piensa en un hombre orquesta con múltiples
tentáculos e inteligencias, saber enciclopédico y don de la ubicuidad. Aunque
la función de dirección y coordinación del equipo debe recaer en una sola
persona, parece recomendable que se apoye en un grupo de expertos con capacidad
de actuación en los departamentos afectados.
Pensemos
que la labor de este órgano debe estar apoyada en un procedimiento sancionador,
por lo que será conveniente que las deliberaciones vayan revestidas de las
garantías que ofrece un órgano plural. Por ello habrá que decidir si la función
de valoración y sanción de infracciones (control posterior a la infracción)
debe permanecer en un comité de ética y las de prevención y vigilancia (control
anterior a la infracción) en un órgano de control que sería el compliance
officer. Esta opción se ajustaría más al principio de segregación de tareas y
preservaría la independencia entre el órgano que coordina las medidas de control
y el que sanciona su incumplimiento.
Otra
posibilidad sería enlazar los protocolos de vigilancia y control con las normas
de buen gobierno corporativo, asignando la máxima responsabilidad del control a
un consejero independiente que coordinaría la labor de una comisión
interdepartamental que a su vez asumiría todas las funciones de
vigilancia y control.
Responsable penal vs. simple coordinador del control
El
artículo 11 del Código Penal establece que los delitos que consistan en la
producción de un resultado sólo se entenderán cometidos por omisión cuando la
no evitación del mismo, al infringir un especial deber jurídico del autor,
equivalga, según el sentido del texto de la Ley , a su causación. A tal efecto, se equiparará
la omisión a la acción cuando exista una específica obligación legal o
contractual de actuar o cuando el omitente haya creado una ocasión de riesgo
para el bien jurídicamente protegido mediante una acción u omisión precedente.
El
artículo 316 del Código Penal establece un supuesto específico de
responsabilidad penal para los que, con infracción de las normas de prevención
de riegos laborales y estando legalmente obligados, no establezcan las medidas
preventivas necesarias para evitar accidentes laborales. Y el artículo 318
impone la pena señalada para los delitos atribuidos a personas jurídicas a los
administradores o encargados del servicio. Estos dos artículos, ampliamente
analizados en la Circular
4/2011 de la Fiscalía
General del Estado, contemplan un supuesto específico en el
que la responsabilidad penal derivada de la omisión del deber de control puede
recaer en una persona física.
Todo
parece indicar que la clave está en la delegación del control y en la
asignación legal o contractual de un deber de control. Esta delegación se
produce en la línea del negocio, es decir, desde el Consejo de Administración
al responsable del departamento o la unidad de negocio en la que puede
originarse el riesgo, y en la que debe establecerse por lo tanto el control. El
control debe estar cerca de riesgo, y debe ser un control experto. Me refiero a
que no puede pretenderse que el compliance officer tenga un conocimiento
omnicomprensivo que le permita realizar un control realmente experto del
cumplimiento de las medidas de prevención.
Es
importante por lo tanto analizar la línea de delegación, ya que el deber
jurídico del control, como establece el artículo 11 del Código Penal, puede
provenir de una obligación legal o de una obligación contractual. Y es
justamente la delegación de la función de control a un directivo concreto, en
el marco de la relación contractual que lo une a la empresa, la que puede hacer
atribuible el deber jurídico de control y la responsabilidad penal a un cargo
que no ostente la representación legal de la empresa. Por tanto, cabría la
posibilidad de que al compliance officer se le asignasen obligaciones de
control suficientes para atribuirle, conscientemente o no, las responsabilidad penal
de la omisión del control o de un control deficiente, y esa delegación de
obligaciones es la que habrá que analizar con detalle tanto en el momento del
nombramiento como en el momento de la depuración de las responsabilidades.
En
mi opinión, el deber de control debería residir en la línea de negocio,
distribuido entre los distintos directivos con funciones de control, y el
compliance officer, como órgano unipersonal o colegiado, debería realizar una
supervisión transversal de dicho control, como así se establece en el proyecto.
El
nuevo artículo 286 seis previsto en el proyecto atribuye la responsabilidad
penal de la omisión de las medidas de vigilancia y control al representante
legal o administrador de hecho o de derecho de la empresa. Dentro de
estas medidas de vigilancia se incluye la contratación, la selección cuidadosa
y responsable y la vigilancia del personal de inspección y control. Ello
significa que la responsabilidad penal derivada de la omisión de las medidas de
prevención y control corresponde al representante legal y que el compliance
officer forma parte del personal de inspección y control que el representante
legal debe contratar. Pero, como decía antes, podría darse el caso de que el
representante legal delegase este deber de control en el compliance officer y
éste asumiese la responsabilidad penal derivada de la omisión del control. Por
eso habrá que ver qué posición ocupa exactamente este órgano en la línea
jerárquica y en la estructura de control de la empresa, ya que si el compliance
officer no está integrado en la cadena de mando, sino en una posición colateral
de supervisión, no debería atribuírsele responsabilidad alguna, salvo en los
casos que más adelante comentaré.
Estructura de capas
Las
reflexiones del punto anterior me llevan a pensar en una estructura de capas en
las que se distribuyen las distintas funciones y responsabilidades asociadas al
control. Estas capas son independientes de la estructura jerárquica, en el
sentido que el beneficio de su existencia se obtiene del efecto acumulativo de
todas ellas.
- CAPA DE
RESPONSABILIDAD.- Está formada por la representación legal de la empresa,
es decir, el Consejo de Administración o los Administradores de hecho o de
derecho. De ella emanan las normas y protocolos que el personal deberá
cumplir.
- CAPA DE
RESPONSABILIDAD DELEGADA.- Está formada por los directivos de la línea de
negocio y la cadena de mando que por ley o por delegación contractual
asumen obligaciones de control. Es el máximo exponente del control en la
actividad cotidiana de la empresa.
- CAPA DE
COORDINACIÓN Y SUPERVISIÓN.- Está formada por el compliance officer, como
órgano unipersonal o colegiado encargado de comprobar que los controles
son eficaces a través de tareas rutinarias y de investigaciones internas.
Incluye también la labor de formación y sensibilización.
- CAPA DE
EXPERTOS.- Está formada por los distintos expertos internos y externos que
la empresa utiliza habitualmente para obtener asesoramiento en las
distintas materias que requieren una especialización. Por ejemplo: medioambiente,
seguridad informática, riesgos laborales, etc. La supervisión del control
deberá basarse en la capa de conocimiento de estos expertos para poder
analizar y valorar los riesgos y para identificar, seleccionar, aplicar y
contrastar la eficacia de los controles. Entre los expertos se incluirán
los abogados penalistas, que aportarán su conocimiento y experiencia sobre
la dinámica comisiva del delito, los elementos del tipo penal, el
tratamiento jurisprudencial y los argumentos de defensa, con el objetivo
de dotar de contenido y eficacia a la labor de preconstitución de la
prueba.
- CAPA DE
PRUEBA.- Está formada por los expertos que apoyan al compliance officer en
la obtención y custodia de las evidencias que acreditan la existencia y la
eficacia del control.
- CAPA
SANCIONADORA.- Está formada por el Comité de Ética, que recibe las
denuncias del canal y del compliance officer, delibera y propone las
sanciones, así como por el departamento de RRHH, que las impone. Es
posible que en algunas empresas la función del Comité de Ética se integre
en el órgano de supervisión, es decir en el compliance officer. De hecho,
este órgano aparece en el proyecto como receptor de denuncias y no como
emisor de las mismas. Por ello debe contemplarse la posibilidad de
mantener estas funciones repartidas en dos órganos o unificarlas en uno
solo, con las correspondientes cautelas en materia de independencia y
segregación de funciones que he comentado antes.
Función externa vs. función externalizada
Un
problema común a todas las empresas en la actualidad es la escasez de recursos,
derivada de un estricto control presupuestario. Ello hace pensar en la
posibilidad de que algunas de las funciones correspondientes al compliance
officer puedan ser externalizadas. También puede hablarse de un
"implant", como sucede en el caso de Data Privacy Officer (DPO).
Teniendo
en cuenta que en el proyecto actual la existencia de este órgano de supervisión
y control es una de las medidas exigidas para evitar la responsabilidad
personal de los representantes legales de la empresa, la externalización puede
ser una alternativa a considerar.
Las
ventajas de la externalización son claras:
- Mayor
objetividad en el control.
- Independencia.
- Mayor respeto
(menos confianzas) a un profesional externo que a un interno.
- Mayor
aceptación de un control externo que de un control interno.
- Nivel de
especialización más alto.
- Supervisión
del trabajo por el socio responsable (política de cuatro ojos).
- Aprovechamiento
de la experiencia obtenida en otros clientes.
- Secreto
profesional y acuerdos de confidencialidad.
- Seguro de
Responsabilidad Civil profesional.
- Sustitución en
caso de baja.
- Ahorro de
costes.
En
el caso de no apostar por la externalización, lo menos recomendable sería crear
un departamento sobredimensionado, ya que, como he dicho antes, el compliance
officer puede apoyarse perfectamente en los distintos expertos internos y
externos que habitualmente asesoran a la empresa en las materias de fondo.
Finalmente,
cabe decir que, en mi opinión, la responsabilidad penal no es externalizable.
Al menos en términos generales. El control es inherente a la representación
legal y debe estar cerca de la fuente que origina el riesgo, revestido de una
capa de conocimiento de la empresa que difícilmente puede llegar a tener un
profesional externo. No obstante, cabe la posibilidad de que un profesional
externo asuma responsabilidad penal por la vía de la delegación contractual del
deber de control y por la vía de la representación legal, asumiendo poderes de
la empresa o participando en el Consejo como consejero. Todo ello siempre que
no se produzca una delegación instrumental de la función de control a un
"responsable penal profesional", es decir, a alguien que cobre por
asumir las consecuencias de la omisión del control.
Finalmente,
el conocimiento de la empresa puede llegar a adquirirse con los años y con el
apoyo de los expertos internos y de los responsables de cada control.
Funciones del compliance officer
Entre
las funciones del compliance officer como órgano de supervisión y control
destacaría las siguientes:
- Evaluación
continua de riesgos basada en los expertos internos y externos.
- Evaluación
periódica del código ético y del modelo de prevención y control.
- Evaluación
continua de los controles y de su eficacia.
- Identificación
de carencias.
- Propuestas de
mejora y actualización del modelo.
- Alerta sobre
posibles riesgos.
- Denuncia de
infracciones al Comité de Ética, en su caso.
- Propuesta de
sanciones a RRHH en el caso de asumir las funciones del Comité.
Compliance officer o cómplice officer
Como
conclusión de las reflexiones sobre las principales cuestiones que la figura
del compliance officer suscita en el proyecto de reforma del Código Penal, y de
forma independiente a las decisiones que cada empresa adopte en relación a los
puntos comentados, en mi opinión, el nivel de responsabilidad penal del
compliance officer dependerá principalmente de los siguientes factores:
- El nivel de
delegación al compliance officer por parte del Consejo o de la
representación legal de la empresa en cualquiera de sus formas, de la
función de control.
- El traspaso o
no de poderes.
- La existencia
de un deber contractual de control.
- La existencia
de una ley que le asigne un deber de control.
- El alcance de
la actividad de control encomendada.
- El carácter
previo o posterior a la infracción de la función de control asignada.
- El nivel de
independencia con el que desarrolle su función.
- La diligencia
demostrada en la prevención.
- La pruebas
acumuladas a lo largo de su actividad que acrediten el control efectivo.
- El nivel de
complicidad o implicación en los actos delictivos.
- La
concurrencia de una tolerancia dolosa.
- La actividad
desarrollada tras el descubrimiento del delito.
- El nivel de
reparto o distribución de las funciones de control entre los distintos
directivos y departamentos de la empresa.
Téngase
en cuenta que, aunque el compliance officer es el especialista del control, su
función es transversal y que las obligaciones de control están repartidas entre
los distintos directivos de la empresa. Por ejemplo: al CIO corresponderán los
controles tecnológicos, al CISO los controles en materia de seguridad, al CFO
los controles financieros, al DPO los controles en materia de privacidad y
protección de datos, y así sucesivamente hasta completar todo el organigrama de
control.
En
conclusión, cada directivo tendrá sus obligaciones de control y el compliance
officer será el que verifique el cumplimiento de dichas obligaciones y la
eficacia del control en todos los niveles de la empresa, limitándose su
responsabilidad a la esfera laboral, salvo que concurran circunstancias que
modifiquen su nivel de implicación en el control o en el delito.
