EmpresaPenalSu programa de compliance no le va a salvar (y por qué)

Su empresa tiene un manual de compliance. Lo encargó hace unos años, está encuadernado, y nadie lo ha vuelto a abrir. Si mañana hay un procedimiento penal, ese manual no le va a servir de nada. Y lo que es peor: puede volverse en su contra.

La empresa responde por sí misma

Conviene recordar el punto de partida, porque muchos empresarios siguen sin creerlo. Desde 2010, la persona jurídica responde penalmente de forma autónoma. Puede ser condenada aunque no se identifique al autor material del delito, y puede ser absuelta aunque su administrador sea condenado.

Y responde por dos vías: por los delitos de sus representantes y administradores, y por los cometidos por empleados cuando ha habido un incumplimiento grave de los deberes de supervisión.

Esta segunda vía es la que sorprende: no hace falta que usted supiera nada. Basta con que no hubiera hecho lo suficiente para evitarlo.

Las penas que destruyen empresas

La multa es lo de menos. Lo que mata son las otras: prohibición de contratar con el sector público, pérdida de subvenciones y beneficios fiscales (incluida la devolución de los ya percibidos), suspensión de actividades, clausura de locales, intervención judicial y, en el extremo, disolución.

Para muchas compañías, la primera de esas penas es el fin del negocio. Y llega antes que la sentencia: llega con la reputación.

Las cinco preguntas del juez

La ley dice que un modelo de organización y gestión eficaz, adoptado antes de los hechos, exime o atenúa. La palabra clave es eficaz, y los tribunales han sido explícitos sobre qué significa. Estas son las preguntas con las que se examina:

1. ¿El mapa de riesgos es real? Un análisis genérico, copiado de otra empresa, sin identificar los riesgos concretos de esta actividad y estos procesos, no vale. En una constructora, en una clínica y en una empresa de logística los riesgos no se parecen en nada.

2. ¿El órgano de cumplimiento tiene poder de verdad? Debe tener autonomía, medios y capacidad de iniciativa. Si depende jerárquicamente de la persona a la que debe controlar, no es independiente, y el tribunal lo verá en cinco minutos.

3. ¿Los controles funcionan? No basta con que existan sobre el papel. Tiene que haber constancia de que se ejecutan, de que se revisan y de que detectan cosas. Un control que nunca ha detectado nada es sospechoso, no tranquilizador.

4. ¿Se ha sancionado alguna vez a alguien? Un régimen disciplinario que jamás se ha aplicado es una declaración de intenciones. Y la pregunta incómoda es esta: si nunca se ha sancionado, ¿es que nunca ha pasado nada, o es que nadie miraba?

5. ¿El modelo se actualiza? Un programa que no se ha revisado en cinco años es un programa muerto. La actividad cambia, la ley cambia, los riesgos cambian.

El canal de denuncias no es un formulario

Es la pieza que más se descuida y la que más peso tiene. Desde la Ley 2/2023, es obligatorio a partir de 50 trabajadores, y su ausencia se sanciona por sí sola.

Pero el riesgo real no es no tenerlo: es tenerlo y gestionarlo mal. Una denuncia interna mal tramitada, o un informante contra el que después se toma cualquier decisión desfavorable, convierte un problema pequeño en dos problemas grandes. Y recuerde: si el perjuicio llega dentro de los dos años siguientes, se presume represalia, y es la empresa quien debe probar lo contrario.

Un programa vivo, o ninguno

Un modelo que supera ese examen es la mejor inversión que puede hacer una empresa expuesta: es, literalmente, la única defensa que la ley le reconoce.

Uno que no lo supera es un gasto que además genera una falsa seguridad, y que en el juicio se convierte en prueba de que la empresa sabía cuáles eran sus riesgos y decidió no hacer nada real al respecto.

Relacionado: compliance penal, canal de denuncias, responsabilidad penal de la persona jurídica e investigaciones internas.