por Àlex Garberí

Compliance Penal, Investigación15 de abril de 2016

¿Qué es el Compliance Officer?

La figura del Compliance Officer (Oficial de Cumplimiento, en castellano) apareció originalmente en los mercados financieros altamente regulados y en el sector farmacéutico, como una función encargada de vigilar el debido cumplimiento de la extensa normativa que debían cumplir las empresas en esos sectores.

A raíz de los escándalos financieros corporativos de principios de los 2000 y posteriormente la promulgación de la Sarbanes-Oxley Act en 2002 en los Estados Unidos de América, se comenzó a designar a esta figura como una especie de intendente para garantizar el cumplimiento normativo dentro de la empresa, con cada vez mayor injerencia en las decisiones del negocio.

Otros países han ido exigiendo en su legislación, bien sea tácita o expresamente, la existencia de una figura u órgano responsable del cumplimiento normativo corporativo. Tal es el caso de países como Inglaterra, Italia o Alemania, en donde incluso ya existen precedentes de sanciones por incumplimiento de la responsabilidad del Compliance Officer.

Hoy en día, el Compliance Officer es considerado dentro del entorno corporativo como una pieza vital en la dirección de las empresas. Su rol como garante del cumplimiento normativo lo ha convertido en una figura ya no consultiva o reactiva, sino un verdadero partícipe en la toma de decisiones empresariales.

En las macroestructuras de Compliance ya no se habla sólo de un Compliance Officer, sino de un Chief Compliance Officer (CCO), figura de mayor autoridad y responsabilidad dentro de la empresa que goza de independencia operativa y financiera, con la capacidad para promover y ejecutar medidas específicas de prevención de riesgos legales, comunicar los planes y llevar a cabo las formaciones del personal, realizar investigaciones y recomendar sanciones.

En España, la figura del Compliance Officer fue importada primordialmente de los países de habla inglesa, como una función de las empresas internacionales que se veían obligadas a cumplir con regulaciones extranjeras o políticas internas donde ya se exigía esta función.

Ni la reforma al Código Penal del año 2010 ni la reciente modificación que entró en vigor el 1 de julio de 2015, se refieren específicamente al Compliance Officer. Sin embargo, sí establece esta última la obligación de cumplir con un deber de supervisión o vigilancia que tácitamente se resume en el cargo en cuestión; ello como condición sine qua non para hacer valer la exención de la responsabilidad penal de la empresa en el supuesto en que se concrete un delito que la genere.

Se trata entonces de un cargo que no está regulado expresamente en el marco jurídico español, pero que ejerce unas funciones que son de obligatorio cumplimiento para la prevención de riesgos penales. Es por ello que las empresas deben definir claramente cuál es el rol que jugará el Compliance Officer, estableciendo sus responsabilidades y por encima de todo dotándolo de las atribuciones suficientes para que pueda ejercer la función encomendada que no es otra que la supervisión o vigilancia respecto al cumplimiento normativo de la empresa.

En el presente documento se desarrolla de manera referencial el marco general de las obligaciones y responsabilidades del Compliance Officer, tomando en cuenta tanto la legislación vigente, como la normativa internacional de referencia y la novel norma ISO 19600 sobre sistemas de gestión de Compliance.

1. Marco Legal del Compliance Officer

Como se ha mencionado, el Compliance Officer no está definido en la legislación española. No obstante, las funciones de supervisión y vigilancia sí están contempladas en el artículo 31 bis del Código Penal, tras la reforma que entró en vigor el 1 de julio de 2015.

Así, las obligaciones relativas a la supervisión y vigilancia derivan concretamente del párrafo segundo de dicha norma, que establece lo siguiente:

2. Si el delito fuere cometido por las personas indicadas en la letra a) del apartado anterior, la persona jurídica quedará exenta de responsabilidad si se cumplen las siguientes condiciones:

(…)

2.ª la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica;

(…)

 4.ª no se ha producido una omisión o un ejercicio insuficiente de sus funciones de supervisión, vigilancia y control por parte del órgano al que se refiere la condición 2.ª

Adicionalmente, es de obligado cumplimiento el cuarto punto del párrafo 5 del mismo artículo 31 bis, que encomienda al órgano encargado de vigilar el funcionamiento y observancia del modelo de prevención, la obligación de informar de posibles riesgos e incumplimientos.

Podemos concluir entonces que la supervisión, vigilancia y control deben ser encomendados a una persona u órgano que deberá cumplir con las siguientes premisas:

• Disponer de poderes autónomos de iniciativa y de control, o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos:Una de las características de la función debe ser su capacidad para tomar decisiones por cuenta propia y sin depender de la autorización de otros órganos, teniendo autonomía operativa y presupuestaria para llevar a cabo las investigaciones y ejecutar las medidas que considere apropiadas para garantizar el cumplimiento normativo.
• Que no se produzca una omisión o ejercicio insuficiente de sus funciones: El Compliance Officer será en muchas ocasiones el último filtro ante la prevención del delito. La determinación del límite que demarca el cumplimiento y la omisión en el ejercicio de sus funciones es una cuestión no exenta de dificultad, no existiendo todavía en nuestro país jurisprudencia sobre la materia. Es por ello que se exigirá al Compliance Officer la máxima diligencia (Diligencia debida) en el desarrollo de sus funciones.
• Cumplir con el deber de informar los posibles riesgos e incumplimientos:Constituye la piedra angular de la función de supervisión y vigilancia, pues de su habilidad para detectar y notificar los riesgos se desprenderá la capacidad de la empresa para prevenir los delitos y tomar las medidas adecuadas para garantizar el cumplimiento normativo. Esta obligación está en consonancia con la posición de garante del Compliance Officer, tanto frente a la empresa como a terceros.

2. Características de la estructura interna de Compliance

 Si bien el Código Penal enuncia las obligaciones de la función de supervisión, vigilancia y control, siendo su principal característica desde el punto de vista subjetivo la autonomía, no establece sino una limitación en cuanto al diseño de la estructura, y es que en las personas jurídicas de pequeñas dimensiones, las funciones de supervisión podrán ser asumidas directamente por el órgano de administración.

• ¿Qué es Compliance Penal?

Esto quiere decir que todas aquellas empresas que no sean consideradas personas jurídicas de pequeñas dimensiones deberán designar a una persona o un órgano para ejercer las funciones de supervisión, vigilancia y control.

Por otro lado, aquellas personas jurídicas de pequeñas dimensiones que consideren atribuir las funciones de supervisión al órgano de administración deberán tener en cuenta las dificultades que ello implicará para deslindar la responsabilidad de los Administradores de aquella que correspondería al Compliance Officer.

En todo caso, la función de supervisión y vigilancia, para poder ser considerada adecuada, deberá cumplir al menos con tres elementos:

• Acceso directo al órgano de gobierno:Si bien hasta hace algunos años era aceptable que la figura del Compliance Officer fuese un cargo intermedio que reportase al área legal o a un gerente o director financiero, hoy en día el estándar deseable es que la persona encargada o uno de los miembros del Comité (el CCO) tenga acceso no sólo al órgano de Administración, sino a quienes ejerzan el control del mismo o ante quienes rinde cuentas el órgano de Administración por ostentar la soberanía de la persona jurídica (Junta General).
• Independencia:Aunque ya mencionamos la excepción para los casos de las personas jurídicas de pequeñas dimensiones, una de las características (y así está reflejado en la Norma ISO 19600) de un modelo de gestión de Compliance eficaz es la independencia de la función de supervisión y vigilancia, que deberá tener libertad de criterio y la garantía de que no sufrirá represalias por las decisiones que pueda tomar.
• Nivel de autoridad apropiada y recursos adecuados: Esto incidirá directamente en la eficacia del modelo de Compliance, puesto que un Compliance Officer sin la autoridad y recursos para implementar medidas, no sólo estará limitado en sus funciones sino que denotará falta de voluntad de la empresa en implementar el programa de Prevención de Riesgos Penales. Es clave para la empresa dotar a su Compliance Officer de suficiente autoridad y recursos, de manera que pueda llevar a cabo la gestión del modelo, realizar las investigaciones, las formaciones al personal, consultar a expertos, atender las crisis y mitigar adecuadamente los riesgos, pues no hacerlo puede tener como consecuencia el fracaso de todo el modelo; todo ello sin perjuicio de que reporte y someta sus recomendaciones al órgano de Administración de la empresa.

3. Responsabilidades del Compliance Officer

Las responsabilidades del Compliance Officer en España parten del deber de informar los posibles riesgos e incumplimientos, pero no se limitan a ello. Se trata de una función que para poder cumplir cabalmente con ese deber y ser eficaz en su gestión, requiere ejecutar una serie de tareas de seguimiento, control, implementación, capacitación y notificación a los órganos de gobierno de la empresa.

Si bien no hay un consenso sobre todas las responsabilidades del Compliance Officer, que pueden variar de empresa a empresa según su organigrama y sector, sí existen unas líneas generales de actuación comunes para la función que vienen recogidas recientemente en la Norma ISO 19600. De manera enunciativa, destacan las siguientes:

• Debe identificar las obligaciones a que están sujetas las empresas, tanto desde el punto de vista legal como también aquellas directrices que deriven de Códigos Sectoriales o de sus propias políticas o de Códigos Éticos. La doctrina refiere estos dos tipos de obligaciones como Hard Law y Soft Law, siendo las primeras aquellas que derivan de un mandato jurídico cuyo incumplimiento representa una infracción, mientras que las últimas son aquellas que voluntariamente decide cumplir la empresa como buenas prácticas sectoriales o de desarrollo de buen gobierno.
• Debe comprender los procesos y procedimientos de la empresa, de manera que pueda integrar el desarrollo de los mismos con las obligaciones en materia de cumplimiento normativo.
• Frente a los empleados, el Compliance Officer será el responsable de proveer o coordinar los entrenamientos continuos en materia de cumplimiento normativo, así como la figura que dará soporte en el caso de dudas sobre cómo proceder o si cierta conducta constituye o no una infracción al Compliance de la empresa.
• De igual modo, es quien responderá por la adecuada comunicación del programa de Compliance a los empleados, debiendo divulgar cualquier información relevante en materia de cumplimiento a las empresas y hacer entrega del Código de Conducta y las políticas a que estará sujeto el personal.
• El Compliance Officer deberá también contribuir en la descripción de las obligaciones de Compliance que sean inherentes a cada área o cargo dentro de la empresa, como parámetro objetivo en la evaluación de desempeño del personal.
• Teniendo en cuenta que una de las principales responsabilidades del Compliance Officer es informar sobre cualquier incumplimiento, debe implementar las medidas y controles que le permitan conocer oportunamente los riesgos e incidencias, bien sea a través del personal o inferidas de la propia documentación que recaba a través de procesos internos. Ejemplo de ello son:

a – Sistema de denuncias,quejas y soporte telefónico o mediante correos electrónicos.

b – Reuniones periódicas con los responsables de procesos.

c – Informes periódicos de reporte de incidencias.

d –Mecanismos de soporte directo a los empleados que tengan dudas sobre si una conducta o no representa un riesgo, antes de ejecutarla.

e – Checkpoints y controles de procesos en los casos en que se exceda de los parámetros normales de operación en los cuales se requiera la aprobación del Compliance Officer (Por ejemplo: Firma de contratos que excedan determinado monto, autorización de obsequios corporativos).

f – Indicadores de desempeño y de cumplimiento de las medidas establecidas para garantizar el cumplimiento normativo y que reflejen la evolución del sistema de prevención de riesgos.

• Dado que uno de los sectores que puede generar riesgos para las empresas son sus relaciones con terceras partes, es también responsabilidad del Compliance Officer identificar y atender los riesgos derivados de sus relaciones con clientes, proveedores, distribuidores y comerciales externos, así como con cualquier colaborador que pudiese ser considerado representante de la empresa.
• Monitorear el funcionamiento del sistema de prevención de riesgos y tomar las medidas preventivas y correctivas que garanticen su eficacia y asegurar la revisión en los intervalos planificados.
• Proveer asesoría a la organización en materia de Compliance, bien sea directamente o a través de expertos externos.

Como se puede apreciar, se trata de un conjunto de responsabilidades importantes no sólo para el cargo sino que puede incidir sobre la actividad de la empresa, y es por ello que se debe garantizar que quien funja como Compliance Officer o conforme un Comité a tales fines, sea una persona que demuestre valores como integridad, compromiso, liderazgo, comunicación efectiva, la habilidad para insistir y convencer sobre la aceptación de sus recomendaciones y un conocimiento profundo (o el acceso a expertos en la materia) en temas de cumplimiento normativo.

Cabe destacar que el incumplimiento de estas responsabilidades puede acarrear no sólo las sanciones penales que establece el Código Penal para la empresa, sino también responsabilidades personales para elCompliance Officer que no haya ejercido su deber de vigilancia diligentemente. Aunque por lo novedoso del tema en España no tenemos aún pronunciamientos judiciales, existen precedentes en el entorno europeo, como el de un Tribunal Federal en Alemania que condenó a la Compliance Officer de una empresa de basura de Berlín en el año 2009 por haber incurrido en omisiones respecto a su deber de supervisión y vigilancia a pesar de haber notificado el incumplimiento. Caso que, desde luego, será el espejo en el que se mirarán nuestros tribunales en breve como viene sucediendo en materia de Derecho Comunitario de la Unión Europea.

4. ¿Compliance Officer o Comité?

Hasta ahora nos hemos referido indistintamente al Compliance Officer o al Comité, en el entendido de que las funciones deberán ser ejecutadas por uno u otro de la misma manera. Sin embargo una de las primeras dudas que se plantea la empresa es cómo definir su estructura de Compliance.

La decisión de designar a una persona que ya ejecute otra función en la empresa, crear un nuevo cargo, instaurar un comité o contratar a un externo que se encargue del tema dependerá de la complejidad organizativa y tamaño de la empresa, teniendo en consideración sus singularidades y resultaría difícil recomendar a priori alguna estructura específica.

Es habitual que las empresas pequeñas designen a una sola persona para ejercer estas funciones, como también lo es que decidan asignar estas responsabilidades a otra persona que ejerce labores de supervisión dentro de la empresa. Sin embargo, esta última alternativa, aunque aceptable en unos casos, tiene sus riesgos en tanto pueda generarse un conflicto de intereses o no se dote de una verdadera autonomía al Compliance Officer, poniendo en duda uno de los principios que debe regir la función.

Mención aparte para las personas jurídicas de pequeñas dimensiones, que por estar autorizadas para dejar la supervisión y vigilancia en manos del órgano de Administración, pueden incurrir no sólo en un conflicto de intereses (al estar sujetos a revisar sus propias actuaciones), sino en una falta de autonomía que podría hacer ineficaz el modelo. Es por ello que, en este supuesto, lo recomendable es que quien ejerza la función sea un director o administrador que no esté directamente vinculado con el área operativa, de manera que su labor no esté sujeta a la manera como se ejecutan los procesos.

Recomendaciones Generales

Resumimos a continuación algunas que pueden servir de orientación a las empresas al momento de definir su función de supervisión, vigilancia y control:

• La definición de la función del Compliance Officer será fundamental en la demostración de la eficacia del modelo, por tanto debe plantearse como una necesidad y darle la relevancia que tiene al cargo.
• La figura debe estar dotada de autonomía funcional y presupuestaria.
• Debe tener acceso a la Junta General y derecho a voz en los órganos de Administración.
• Debe ser reconocido como una autoridad en el cumplimiento, tanto por el personal como por la propia administración de la empresa.
• Su designación debe ser, en la medida de lo posible, realizada por la Junta General y no sujeta a revocación por parte de los Administradores.
• Quien ejerza las funciones debe tener suficiente tiempo para atender los asuntos relacionados al cumplimiento normativo.
• Debe tener acceso directo a expertos en materia de Compliance, Buen Gobierno, Fiscalidad, Penal, así como de cualquier otro tema en donde pudiera surgir un riesgo para la empresa.
• El Compliance Officer debe ser partícipe de las decisiones estratégicas, de manera que pueda analizar los riesgos antes de que se ejecuten las acciones que puedan poner en peligro a la empresa.

Para la implementación de sistemas de gestión de Compliance Penal y formación al Compliance Officer visita la sección de Consultoría o escríbenos a info@garberipenal.com.

También te puede interesar:

• El Compliance Officer: ¿Qué perfil debe tener?
• El Compliance Officer en el organigrama empresarial
• Compliance Officer y las PyMES
• ¿Es el Compliance Officer responsable por los delitos de la empresa?

Alex Garberí