Cómo construir un modelo de compliance penal

El marco regulatorio español exige hoy a las empresas algo más que buenas intenciones. La responsabilidad penal de las personas jurídicas es una realidad asentada en nuestra legislación penal: una empresa puede ser condenada si no ha adoptado, antes de que se cometa el delito, un modelo eficaz de organización y gestión que prevenga o reduzca de forma significativa el riesgo. La pregunta que debe hacerse cualquier dirección no es si necesita un modelo de compliance penal, sino cuándo va a implementarlo y con qué profundidad.

Qué dice el marco jurídico y qué exige a la empresa

La legislación penal española reconoce expresamente la responsabilidad de las personas jurídicas. No se trata de una responsabilidad objetiva: la empresa que haya adoptado y ejecutado de forma eficaz un modelo de prevención puede invocar una exención o una atenuación significativa de la pena. Este es el núcleo del incentivo regulatorio que impulsa a las organizaciones a construir programas de cumplimiento serios.

El modelo, para ser eficaz, debe responder a los delitos que representan un riesgo real para la empresa concreta. En nuestra práctica hemos observado que muchas organizaciones copian plantillas genéricas sin adaptar el análisis de riesgos a su sector, su estructura de gobierno o su cadena de suministro. Un modelo genérico no basta: los tribunales mercantiles y penales han consolidado el criterio de que la eficacia del programa se evalúa en función de su adecuación a la actividad real de la empresa.

La legislación aplicable en este ámbito abarca, además del código penal, la normativa tributaria – relevante para el delito fiscal –, la legislación laboral – para el ámbito de la seguridad e higiene y las relaciones de trabajo –, la normativa de competencia, y de forma transversal, la normativa de protección de datos. El Reglamento General de Protección de Datos y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) imponen obligaciones que, si se incumplen sistemáticamente, pueden conectar con supuestos de responsabilidad penal en determinados contextos.

El perímetro del cumplimiento penal no se limita, por tanto, a los delitos clásicos de corrupción o blanqueo. Incluye delitos contra la Hacienda Pública, delitos informáticos, vulneración de datos personales, delitos medioambientales y una lista extensa que varía según el sector. La empresa debe realizar un mapa de riesgos honesto y actualizado, no una lista ornamental.

¿Cuáles son los elementos estructurales de un modelo eficaz?

Un programa de cumplimiento penal que supere el escrutinio judicial –y el de los órganos supervisores– debe articularse sobre componentes verificables. Enumerar políticas sin dotarlas de procedimientos, recursos y supervisión equivale a no tener modelo. Estos son los pilares que cualquier dirección debe exigir a su equipo de compliance:

• Análisis de riesgos penales: identificación y ponderación de los delitos de riesgo relevantes para la empresa, diferenciados por área de negocio, geografía y relación con terceros (proveedores, distribuidores, agentes).
• Código ético y políticas de conducta: documento de referencia que establece los valores y las reglas de comportamiento aplicables a toda la organización, incluida la alta dirección. Sin compromiso visible de la cúpula directiva, el código es papel mojado.
• Procedimientos de control interno: controles concretos, asignados a responsables identificados, con frecuencia de revisión definida. Cada riesgo del mapa debe tener al menos un control mitigante documentado.
• Canal de denuncias (whistleblowing): la Directiva europea de protección del denunciante, transpuesta al ordenamiento español, exige que las empresas por encima de cierto umbral de plantilla dispongan de un canal interno de denuncias accesible, confidencial y gestionado de forma independiente. Su ausencia es hoy un incumplimiento normativo autónomo, además de un factor agravante en la valoración del modelo de compliance.
• Órgano de supervisión del compliance: debe ser autónomo respecto de la línea de negocio, con recursos suficientes y acceso directo al consejo de administración o al órgano equivalente. En empresas de menor tamaño, puede externalizarse, pero la responsabilidad de supervisión no puede diluirse.
• Formación y comunicación continua: el personal, los directivos y los terceros vinculados deben conocer el modelo y sus obligaciones. La formación documentada es un elemento que los tribunales valoran al apreciar la eficacia del programa.
• Sistema de revisión y actualización: el modelo no es un documento estático. Debe actualizarse cuando cambia la actividad de la empresa, la estructura corporativa, la regulación aplicable o el mapa de riesgos.

¿Cuántos de estos elementos tiene su empresa operativos y documentados hoy? La pregunta no es retórica: en una inspección o en el marco de una investigación penal, la respuesta determinará si el modelo es invocable como eximente o atenuante.

El papel de la protección de datos dentro del modelo de compliance

La protección de datos no es una rama separada del compliance: es una dimensión transversal que afecta a la práctica totalidad de las operaciones de la empresa. La Agencia Española de Protección de Datos (AEPD) es la autoridad de control en España y ha desarrollado una práctica sancionadora rigurosa. Integrar la normativa de protección de datos dentro del modelo de compliance penal es la única forma de gestionar de manera coherente el ciclo de vida de los datos personales.

Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud: en todos los casos, la mayor fuente de riesgo inicial no era la ausencia de políticas, sino la inexistencia de un registro de actividades de tratamiento actualizado y la falta de un protocolo operativo para gestionar una brecha de seguridad.

La creencia de que con una cláusula de privacidad en la web ya se cumple el RGPD es uno de los errores más frecuentes y más costosos que encontramos en nuestra práctica. El RGPD impone un conjunto de obligaciones sustantivas que van mucho más allá de la capa informativa: base jurídica identificada para cada tratamiento, contratos con encargados de tratamiento, evaluaciones de impacto cuando el riesgo es elevado, y la obligación de notificar una brecha de seguridad a la AEPD en un plazo máximo de 72 horas desde que la empresa tiene conocimiento de ella.

La integración del cumplimiento del RGPD y la LOPDGDD en el modelo de compliance penal cumple una doble función: reduce el riesgo de sanción administrativa y dota al modelo penal de un componente de control documentado que refuerza su eficacia ante los tribunales.

Para profundizar en el alcance de nuestros servicios en esta área, puede consultar nuestra práctica de protección de datos y compliance.

¿Qué decisiones y plazos críticos debe gestionar la dirección?

El compliance penal no es un proyecto de un departamento técnico. Es una decisión estratégica que empieza en el consejo de administración y se despliega hacia abajo. La dirección debe tomar y documentar al menos estas decisiones en el proceso de construcción del modelo:

1. Aprobación del modelo por el órgano de administración: el acuerdo del consejo o del administrador único de aprobación del programa es el punto de partida. Sin este acto formal, el modelo carece del respaldo institucional que la legislación penal exige para ser invocado como eximente.
2. Designación del responsable de compliance: la persona o el órgano designado debe contar con independencia funcional, acceso a la información y capacidad de reporte directo al consejo. La designación debe constar en acta.
3. Aprobación del análisis de riesgos: el mapa de riesgos penales no puede delegarse íntegramente en un externo sin revisión por parte de la dirección. La empresa debe aprobar sus propios riesgos, lo que supone también aceptar la responsabilidad de gestionarlos.
4. Puesta en marcha del canal de denuncias: la implementación del canal requiere, a su vez, un protocolo de gestión de las comunicaciones recibidas, plazos internos de respuesta y garantías de confidencialidad y no represalia para el denunciante.
5. Calendario de revisión periódica: la dirección debe aprobar una cadencia de revisión del modelo – como mínimo anual – y destinar los recursos necesarios para llevarla a cabo.

El cumplimiento de estos hitos no es una carga burocrática. Es la diferencia entre un modelo que protege a la empresa y a sus directivos, y un documento que únicamente genera la ilusión de protección.

En materia de plazos, la normativa no siempre establece un plazo único de implementación, pero sí fija obligaciones cuyo incumplimiento continuado genera exposición sancionadora. La obligación de canal de denuncias, por ejemplo, lleva tiempo en vigor para las empresas que superan el umbral de plantilla aplicable. Conviene verificar con la normativa vigente el estado de cumplimiento actual de cada empresa.

¿Cómo reduce el asesoramiento temprano el coste y el riesgo?

La experiencia en nuestra práctica indica que el coste de construir un modelo de compliance penal desde cero es siempre inferior al coste de gestionarlo de forma reactiva tras un incidente. Las empresas que acuden a nosotros después de una inspección, una denuncia o el inicio de una investigación penal se enfrentan a un escenario mucho más complejo y costoso que las que han optado por un enfoque preventivo.

El asesoramiento temprano permite, entre otras cosas:

• Identificar los riesgos penales reales antes de que se materialicen, no después.
• Diseñar controles proporcionados a la actividad y al tamaño de la empresa, evitando la sobrecarga de cumplimiento que penaliza especialmente a las empresas medianas.
• Integrar en un solo programa las obligaciones de cumplimiento penal, de protección de datos y de canal de denuncias, reduciendo duplicidades y costes de mantenimiento.
• Generar documentación que será decisiva en el momento en que la empresa deba invocar el modelo ante un tribunal o ante la AEPD.
• Formar al personal y a la dirección en un entorno controlado, antes de que la presión de una investigación condicione el comportamiento de los sujetos clave.

La práctica de los juzgados de lo mercantil y de lo penal indica que los modelos implantados con antelación suficiente, revisados periódicamente y operativos en el momento del hecho son los únicos que ofrecen protección real. Un modelo aprobado el día anterior a la inspección no protege a nadie.

¿Está su empresa en condiciones de demostrar hoy que su modelo de compliance es eficaz? No se trata de una pregunta académica: es la que formulará el instructor de un procedimiento penal o el inspector de la autoridad de control.

Errores frecuentes en la construcción del modelo

En nuestra experiencia asesorando a empresas en España, los errores que con más frecuencia comprometen la eficacia de un programa de cumplimiento penal son los siguientes:

• Confundir el cumplimiento formal con el cumplimiento real: tener un código ético aprobado y olvidarlo en el cajón no es compliance. Los tribunales han sido claros: la eficacia del modelo se mide por su implantación y supervisión efectivas, no por su existencia documental.
• Delegar el compliance sin supervisión interna: externalizar la función de compliance es legítimo y, en empresas medianas, frecuentemente eficiente. Pero la dirección no puede desentenderse de la supervisión del programa. La responsabilidad de vigilancia es irrenunciable.
• No actualizar el modelo tras cambios en la empresa: una fusión, la apertura de una nueva línea de negocio o la incorporación de un socio comercial en una jurisdicción de riesgo son eventos que obligan a revisar el mapa de riesgos y los controles asociados.
• Canal de denuncias sin protocolo de gestión: implementar el canal técnico sin definir quién lo gestiona, en qué plazos y con qué garantías equivale a crear un buzón vacío. El canal debe ser operativo y confiable para que el personal lo utilice.
• Segregar la protección de datos del programa de compliance penal: la adaptación al RGPD y la construcción del modelo penal comparten herramientas, lógica de riesgos y documentación. Tratarlos como proyectos independientes multiplica el coste y genera incoherencias que debilitan ambos programas.
• Ignorar a los terceros: proveedores, distribuidores, agentes y socios comerciales son vectores de riesgo penal. El programa debe extender sus controles más allá del perímetro de la empresa, mediante cláusulas contractuales y procesos de selección y supervisión de terceros.

Identificar y corregir estos errores antes de que se produzca un incidente es uno de los servicios de mayor valor que presta una consultora jurídica especializada. Para conocer cómo abordamos una inspección desde el punto de vista estratégico, puede consultar nuestro caso práctico sobre defensa ante una inspección.

Compliance penal y operaciones transfronterizas

Las empresas españolas con actividad internacional o controladas por grupos extranjeros deben integrar en su modelo de compliance las exigencias de las jurisdicciones en las que operan. El incumplimiento de normativas extranjeras con alcance extraterritorial – legislación anticorrupción de amplio espectro, normas de control de exportaciones, sanciones internacionales – puede derivar en responsabilidad penal o en sanciones administrativas severas.

En operaciones transfronterizas, coordinamos con abogados locales de confianza en la jurisdicción correspondiente para asegurar que el modelo de compliance de la empresa española es coherente con las exigencias locales del país en el que opera o invierte. Esta coordinación es especialmente relevante en operaciones de fusión o adquisición, donde la diligencia debida (due diligence) en materia de compliance es una fase crítica del proceso.

Un hallazgo frecuente en la diligencia debida de compliance es que la empresa adquirida carece de modelo penal o de registro de tratamientos actualizado. Este tipo de situación afecta al precio y a las condiciones de la operación, y en ocasiones genera una contingencia que solo se revela en la fase de integración. El comprador que ha prestado atención al compliance en su proceso de revisión llega a la integración con mucha más información y con menor riesgo residual.

Para cuestiones relacionadas con transferencias internacionales de datos y sus implicaciones en operaciones corporativas, puede consultar nuestro análisis sobre preguntas frecuentes en materia de transferencias.

Checklist de partida para la dirección

Antes de encargar la construcción formal del modelo, la dirección puede realizar una evaluación inicial con las siguientes preguntas:

• ¿Existe un mapa de riesgos penales documentado y actualizado en el último ejercicio?
• ¿Ha aprobado el consejo de administración un código ético y un modelo de organización y gestión?
• ¿Hay un responsable de compliance designado con autonomía funcional real?
• ¿Cuenta la empresa con un canal de denuncias accesible, confidencial y operativo?
• ¿Existe un registro de actividades de tratamiento de datos personales actualizado?
• ¿Hay un protocolo de gestión de brechas de seguridad aprobado y conocido por el equipo responsable?
• ¿Se ha realizado formación en compliance en los últimos doce meses y está documentada?
• ¿Incluye el modelo controles sobre terceros con los que la empresa mantiene relaciones comerciales relevantes?
• ¿Se revisa el modelo con una cadencia mínima anual?
• ¿Integra el programa de compliance las exigencias del RGPD y la LOPDGDD?

Si la respuesta a más de tres de estas preguntas es negativa o incierta, la empresa tiene una exposición relevante que conviene abordar de forma ordenada y con el apoyo de asesoramiento especializado.

Servicios relacionados

La construcción de un modelo de compliance penal conecta de forma natural con otras áreas de nuestra práctica. La adaptación al RGPD y la LOPDGDD es una dimensión inseparable del programa de cumplimiento. En operaciones de M&A, la revisión del compliance de la empresa objetivo forma parte de la diligencia debida. Y en el ámbito laboral, el canal de denuncias y las políticas de conducta tienen un impacto directo sobre las relaciones de trabajo y la gestión de conflictos internos. Nuestro equipo integra estas dimensiones desde el inicio del proyecto, evitando los silos que debilitan los programas de cumplimiento.