Los Compliance Program se han extendido no sólo en el ámbito jurídico sino también en el económico y empresarial, como muestra de la mayor exigencia que el sistema jurídico impone a las organizaciones para que en el ejercicio de sus fines -siempre capitalistas, en las sociedades mercantiles- prime el cumplimiento de la legalidad, como cambio de paradigma del modelo de gestión empresarial.

Sin embargo, todavía hoy la cuestión de la seguridad jurídica es una asignatura pendiente respecto del nivel de exigencia para las personas jurídicas, al no existir certeza sobre cuál es el estándar de cumplimiento exigible y quedar cierto margen de autonomía para las empresas. Evidentemente, los Compliance Cosméticos, término acuñado ante la proliferación de la oferta de servicios de Compliance y que es utilizado en nuestro país para describir a los programas formateados y escasos de contenido, existen y existirán como muestra de una cultura imperante carente de ética no ya en el seno de las empresas, sino en los propios prestadores del servicio. Pero prescindiendo de tales –pseudo- productos, la calidad de un programa o sistema de Compliance preocupa y mucho a los profesionales de la materia, y va indisolublemente unida al concepto de seguridad jurídica.

Procesos de estandarización y de certificación 

En este sentido, como apunta B. Feijoo Sánchez (El Delito Corporativo en el Código Penal Español, Civitas, Thomson Reuters, 2015), no deben confundirse los procesos de estandarización mediante normas como la ISO 19600 (Compliance Management Systems) o la 37001 (Anti-bribery Compliance Systems) con los procesos de certificación a través de entidades como AENOR (Asociación Española de Normalización y Certificación) del modelo de gestión de riesgos, por ejemplo. A través de los primeros se ayuda a determinar las mejores prácticas en materia de cumplimiento normativo internacional, mientras que con la certificación se busca dejar claro a las autoridades que se cumplen unos estándares concretos.

Lo importante de la distinción es que no existe una coincidencia entre los niveles de exigencia impuestos por los diferentes mercados a efectos de calidad organizativa en las empresas y los que derivan del entorno regulatorio penal. Y este es un tema que merece desde luego un estudio en profundidad, no exento de complejidades. Empezando porque, si bien existe una pluralidad de delitos o conductas con cierta aceptación en la comunidad mundial, cada país tiene su específica regulación penal y figuras que pueden no existir en otros entornos o al menos no afectar a las personas jurídicas. De ahí que limitarse a ofrecer protección frente a los delitos más comunes (blanqueo de capitales, corrupción, revelación de secretos) por extrapolación de lo que se hace en otros países sea un craso error, máxime en España, un país pionero en sentar un sistema de numerus clausus claramente determinado de delitos por los que responderán sus personas jurídicas.

Cultura de cumplimiento normativo 

Y este es un punto de inflexión importante, porque se ha venido afirmando por determinados sectores puristas del Compliance, que los modelos de prevención de riesgos penales no valen dentro de las empresas. Que hay que adoptar una idílica (en el sentido más platónico del término) cultura de cumplimiento normativo en el seno empresarial, como si de ello dependiera la solución a todos los problemas, ofreciendo blindaje tan sólo respecto de los delitos comúnmente aceptados en la esfera internacional sobre los que existen específicas regulaciones. Sin embargo, partiendo de esa cultura de cumplimiento redondeada por una nueva ética empresarial, sin la que no puede entenderse por definición un sistema de Compliance, en España eso no es suficiente. Hay que hablar de delitos en plural, establecer matrices de riesgo que comprendan siquiera una aproximación a todas las figuras posibles (que además, inciden en materias ajenas al Derecho Penal), y proponer la adopción de modelos de gestión que colmen las exigencias estructurales y funcionales que impone el Código Penal (función de supervisión y vigilancia, canales de denuncia y recursos financieros adecuados, sistemas disciplinarios, verificaciones periódicas) sin perder de vista el catálogo de delitos existente.

Por ello, como señala la doctrina más acreditada (Gallego Soler, Criminal Compliance) las certificaciones “… no pueden ser por sí mismas una constatación de que se ha adoptado un modelo de prevención idóneo y eficaz. Si se obtiene esa certificación, se podrá demostrar que la empresa tenía un modelo de prevención de delitos (de modo similar a lo que sucede si se tiene el informe del experto externo en materia de blanqueo, conforme al artículo 28 de la Ley 10/2010), pero no garantiza la idoneidad operativa del modelo erga omnes, y por tanto no es prueba plena en el proceso penal…”.

Certificación como modelo de gestión

La certificación es un medio de prueba, sí, pero de la existencia de un modelo de gestión –o si se quiere de prevención- cuya eficacia estará por probar en un proceso penal, donde el juez se encuentra vinculado a cualquier medio probatorio de los considerados tradicionalmente válidos (Nieto Martín, Compliance y teoría del Derecho Penal).

Tanto la estandarización como la certificación son dos elementos útiles en la carrera hacia la prevención de riesgos penales y, en consecuencia, para evitar, atenuar o mitigar la tan temida responsabilidad penal de las organizaciones. Sin embargo, es el propio Código Penal el que establece en su artículo 31 bis el conjunto de obligaciones que son el origen del Criminal Compliance en nuestro país. Por lo tanto, a la espera de que la Fiscalía General del Estado se pronuncie próximamente sobre su interpretación de los Compliance Program (es un secreto a voces que se exigirá una verdadera cultura de cumplimiento empresarial como requisito de eficacia) y, que el mismísimo Tribunal Supremo aborde la responsabilidad penal de las personas jurídicas en un Pleno previsto para el 15 de diciembre, el desarrollo de cualquier Compliance Program debe buscar en el propio Código Penal la tan anhelada seguridad jurídica, a pesar de los retos y dificultades que ello plantea.