Compliance penal: por qué el modelo de cajón no te protege

Conviene empezar por aquí, porque circula en las dos direcciones: ninguna ley obliga a tener un programa de compliance penal. No hay multa por no tenerlo ni inspección que lo exija.

Lo que sí hay es una consecuencia: el artículo 31 bis del Código Penal permite condenar a la persona jurídica por delitos cometidos en su beneficio, y tener un modelo eficaz es la única forma de quedar exenta. No es una obligación: es una defensa.

Y esa defensa hay que construirla antes. Adoptado después del delito, el modelo no exime, pero puede atenuar si se implanta de forma eficaz antes del comienzo del juicio oral (art. 31 quater, letra d).

El artículo 31 bis.5 enumera lo que debe tener el modelo. La palabra importante es acumulativos: fallar uno tumba la exención.

1. Identificar las actividades en cuyo ámbito pueden cometerse los delitos a prevenir. Un mapa de riesgos de la actividad real, no una plantilla genérica.
2. Protocolos y procedimientos que concreten cómo se forma la voluntad de la organización y cómo se toman las decisiones.
3. Gestión de los recursos financieros adecuada para impedir la comisión de los delitos que deben prevenirse.
4. Obligación de informar de riesgos e incumplimientos al órgano que vigila el modelo. En la práctica, el canal interno.
5. Sistema disciplinario que sancione el incumplimiento de las medidas del modelo.
6. Verificación periódica del modelo, y su modificación cuando aparezcan infracciones relevantes o cambien la organización, el control o la actividad.

El cuarto conecta con algo que muchas organizaciones ya tienen obligatorio por otra vía: el canal de denuncias de la Ley 2/2023. Quien ya lo tiene bien montado tiene medio camino andado; quien lo tiene de adorno, tiene un problema doble.

Aquí está lo que casi nadie destaca y conviene saber antes de encargarle a nadie un programa.

La Circular 1/2016 de la Fiscalía General del Estado advierte que la mera adopción de un modelo de los que «profusamente ofrece el mercado especializado» no puede ser un salvoconducto para la impunidad; que lo decisivo es si el modelo expresa una verdadera cultura de cumplimiento en las decisiones de la empresa; y que su comportamiento puede desnudar el modelo como un «mero artificio exculpatorio».

En la práctica, un manual descargado, sin análisis de riesgos propio y sin evidencias de que se aplica, difícilmente servirá como eximente.

Lo que sostiene un modelo ante un juez no es el índice: es el rastro. Riesgos identificados sobre la actividad real, decisiones documentadas, comunicaciones del canal con su tratamiento, formación con registro y revisiones fechadas.

Si quieres ver qué aspecto tiene un rastro comprobable, puedes verificar un expediente sellado como lo haría un tercero: sin registrarte y sin fiarte de nuestra palabra.

El artículo distingue quién comete el delito, y eso cambia lo que se exige al modelo:

Alta dirección —representantes legales o quienes tienen facultades de organización y control—. Aquí la exención es más difícil: además del modelo eficaz, hace falta que exista un órgano de supervisión con poderes autónomos y que los autores hayan eludido fraudulentamente los controles.

Subordinados, cuando el delito se pudo cometer por haberse incumplido gravemente los deberes de supervisión. Aquí basta con haber adoptado y ejecutado eficazmente un modelo adecuado antes del delito.

Y una precisión que sorprende: la responsabilidad de la empresa es autónoma (art. 31 ter). Basta con que se pruebe que el delito lo cometió alguien de los círculos del art. 31 bis, aunque no se haya identificado a la persona física concreta, no se la haya podido juzgar, haya fallecido o huido, o concurran en ella circunstancias que afecten a su culpabilidad. Pero si se concluye que no hubo delito, la empresa tampoco puede ser condenada.

• Mapa de riesgos sobre tu actividad real. Qué delitos son verosímiles en tu negocio: no los mismos en una constructora que en una consultora.
• Revisa el canal de denuncias que quizá ya tengas por la Ley 2/2023: es el cuarto requisito, y suele estar a medias.
• Escribe el régimen disciplinario y comunícalo. Sin consecuencias, el modelo pierde credibilidad ante un juez.
• Fecha las revisiones. La verificación periódica es requisito, y un modelo sin revisar desde su aprobación se defiende mal.

Si vas a encargarlo fuera, la pregunta que más filtra es sencilla: ¿el análisis de riesgos se hace sobre mi actividad o me dan uno de sector?