La prevención de riesgos penales en la empresa.

Si eres empresario o administras una sociedad mercantil, deberías leer este post. Seguramente te has preocupado por tener bien ordenada la contabilidad de tu empresa, tus impuestos, los asuntos laborales con tus trabajadores y los aspectos mercantiles de la sociedad. Probablemente tendrás también un plan de prevención de riesgos laborales. Eso está bien y es necesario. Pero ahora deberías ocuparte también de gestionar los riesgos penales de tu empresa. 

Nuestro derecho penal ha cambiado radicalmente. Cuando estudié derecho en la facultad, mis profesores me decían societas delinquere non potest. Esto significaba que en el derecho español tan sólo podían tener responsabilidad penal por la comisión de delitos o faltas las personas físicas, nunca una sociedad mercantil en cuanto tal. Hoy las cosas han cambiado. La influencia del derecho anglosajón y las decisiones marco de la Unión Europea en materia penal han llevado a una destacada evolución del derecho penal español, que ha incorporado ya a nuestro sistema jurídico la responsabilidad penal de las personas jurídicas.

Actualmente, buena parte de mi trabajo como abogado en el ámbito del derecho penal económico está centrado en la prevención de riesgos penales en la empresa. He implantado sistemas de protección penal en empresas del sector eléctrico, industria alimentaria, distribución, calzado, actividad inmobiliaria, sector turístico, en la industria del mueble, etc. Y cada vez estoy más convencido de que es la mejor inversión que puede realizar un empresario. Quienes han invertido en esto piensan lo mismo. Un buen plan de prevención de riesgos penales en la empresa supondrá la exoneración de responsabilidad penal para la empresa. Viene a ser lo que es una vacuna en términos médicos. En vez de actuar cuando la enfermedad ya ha hecho estragos en el organismo del paciente (en nuestro caso, la comisión del delito), nos adelantamos a la aparición de la enfermedad administrando una vacuna (mediante la implantación de un sistema de compliance penal), lo que nos protege frente al virus (en forma de exoneración de la responsabilidad penal). Vacunarse no es obligatorio legalmente, como tampoco lo es implantar un sistema de compliance penal. Pero, ¿si supieras que existe una epidemia cometerías la insensatez de no vacunarte? Pues esto es lo mismo. Si bien implantar un plan de prevención de riesgos penales no es obligatorio (no te van a sancionar, como ocurriría si no tienes un plan de prevención de riesgos laborales), podría ser una insensatez no tener protegida a tu empresa.

Fue en el año 2010 cuando por primera vez se introduce en el Código Penal español la responsabilidad penal de las personas jurídicas, operando un cambio de enorme trascendencia tanto para los juristas como para los administradores, directivos y socios de las empresas españolas. En julio de 2015 vuelve a modificar el Código Penal reforzando el concepto de la responsabilidad penal de las personas jurídicas.

Es verdad que no todas las infracciones penales pueden derivar en responsabilidades para la persona jurídica. El Código Penal contiene un catálogo tasado de delitos de los que puede tener que responder una empresa. Sin embargo, la realidad de las cosas es que dicho catálogo es tan amplio que convierte en prácticamente ineludible la instauración de un sistema de prevención de riesgos penales en la empresa, si se quieren evitar disgustos desagradables. Piensa que la sociedad puede acabar siendo responsable entre otros de los delitos de estafa; insolvencias punibles; delitos contra la propiedad intelectual e industrial, el mercado y los consumidores; falsedad en medios de pago; daños informáticos; delitos contra la intimidad y allanamiento informático; delitos contra la Hacienda pública y la Seguridad Social; blanqueo de capitales; delitos de construcción, urbanización o edificación ilegal; delitos contra el medio ambiente; cohecho; tráfico de influencias; delitos contra los derechos de los ciudadanos extranjeros; delitos contra la salud pública, y un largo etcétera.

Y algo tal vez más importante aún. La sociedad puede acabar siendo responsable penalmente de la comisión de un delito sin que tú tengas conocimiento alguno de lo que ha ocurrido. De conformidad con lo que establece el artículo 31 bis del Código Penal, la persona jurídica será responsable de la comisión de un delito por una persona física en dos supuestos. En el primero de ellos, responderá “de los delitos cometidos en nombre o por cuenta de las mismas, y en su beneficio directo o indirecto, por sus representantes legales o por aquellos que actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en nombre de la persona jurídica u ostentan facultades de organización y control dentro de la misma.” Este sería el caso de un delito cometido por ejemplo por el propio administrador de la sociedad. Pero el segundo supuesto de responsabilidad de la persona jurídica se produce en el caso “de los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en beneficio directo o indirecto de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad atendidas las concretas circunstancias del caso.” Es decir, que como consecuencia de una mala decisión de un trabajador o colaborador de la empresa en un momento determinado, se puede acabar generando responsabilidad penal para la propia sociedad.

A pesar de lo que esto supone, la buena noticia como decía antes es que la responsabilidad penal de la empresa puede atenuarse e, incluso, la sociedad puede quedar directamente exenta de responsabilidad penal si se instaura un sistema de prevención de riesgos penales.

El Código Penal prevé 4 supuestos concretos en que la persona jurídica quedará exonerada de responsabilidad penal, que son los siguientes:

1. Si el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión.

2. Si la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica.

3. Si los autores individuales han cometido el delito eludiendo fraudulentamente los modelos de organización y de prevención de la compañía.

4. Si no se ha producido una omisión o un ejercicio insuficiente de sus funciones de supervisión, vigilancia y control por parte del órgano al que se refiere la condición segunda.

Es importante precisar que estas cuatro condiciones deben cumplirse en su totalidad para que opere la exención de responsabilidad penal para la persona jurídica. Si dichos requisitos tan sólo pueden ser objeto de acreditación parcial, no tendrán la virtualidad de eximir de responsabilidad penal a la sociedad, aunque se valorará a efectos de una posible atenuación de la pena.

En este contexto, tener articulado un buen sistema de prevención de riesgos penales en la empresa no es una cuestión menor, puesto que las consecuencias de una hipotética condena para la empresa pueden ser gravísimas. Piensa que lo mínimo que le puede ocurrir a la sociedad es una pena de multa de entre 300 euros y 9 millones de euros. Pero es que además el artículo 33.7 del Código Penal prevé penas como la prohibición para la empresa de realizar las actividades en cuyo ejercicio se ha delinquido, la inhabilitación para obtener subvenciones o la prohibición de contratar con la administración, lo cual en determinadas empresas puede llegar a ser determinante de su propia subsistencia. El Código Penal incluso instaura la pena capital para las empresas, en tanto en cuanto el artículo 33.7 llega a contemplar que el Juez acuerde la disolución de la empresa. También se prevé la posibilidad de suspender las actividades de la mercantil o la clausura de sus locales por un período de hasta 5 años, e incluso la posibilidad de intervenir judicialmente la propia empresa. Como es de ver, no se trata de cuestiones menores, sino de un riesgo de la máxima importancia para el futuro de cualquier compañía que todo administrador mínimamente diligente debe prever y gestionar.

La realidad de las cosas es que las empresas españolas se verán envueltas en un futuro inmediato en un creciente número de asuntos penales que deberán abordarse con sumo cuidado y preparación. Esto será así por evidencias como el hecho de que el plazo de prescripción de determinadas figuras delictivas es más extenso para el caso de las personas jurídicas que para las personas físicas, de tal forma que prescrita la posibilidad de emprender acciones penales contra la persona física responsable, al querellante se le abre la posibilidad de accionar contra la empresa. También se intentará por parte de las acusaciones involucrar a las empresas en estos procedimientos, por cuanto siempre se verá en el patrimonio empresarial mayores posibilidades de éxito económico en la formulación de una querella, ante los más elevados riesgos de insolvencia de los trabajadores o colaboradores de una empresa.

Al objeto de prevenir todos estos riesgos y conseguir que la empresa quede exenta de responsabilidad penal, es preciso instaurar una compliance guide, o sistema de prevención de riesgos penales en la empresa. Afortunadamente, la reforma del artículo 31 bis del Código Penal que entrará en vigor en julio de 2015 acaba con la inseguridad jurídica que existía en la anterior regulación, en tanto en cuanto perfila los requisitos que debe reunir todo plan de prevención de riesgos penales, que son seis:

1. Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos.

2. Establecerán los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquéllos.

3. Dispondrán de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.

4. Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.

5. Establecerán un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo.

6. Realizarán una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.

Con este objetivo, en el GRUPO ASESOR ROS hemos desarrollado un sistema de trabajo basado en referencias generalmente aceptadas en el ámbito del compliance penal como la UNE 19601. Hemos extraído métodos del United States Sentencing Comissions Guidelines Manual, y de las directrices del Decreto legislativo italiano 231 de 8 de junio de 2001, que regula la responsabilidad administrativa de las personas jurídicas derivada de la comisión en su seno de ilícitos penales. Estados Unidos e Italia han sido pioneros en la implantación de etse tipo de programas. También hemos extraído experiencias interesantes de la legislación española de prevención de riesgos laborales. Con todo ello, y la experiencia acumulada en el asesoramiento jurídico de empresa, hemos desarrollado lo que llamamos sistema ROS de prevención de riesgos penales, que estructuramos en tres ejes de actuación: Reflexión, Organización y Supervisión (ROS).

En la primera fase, la de Reflexión, realizamos un análisis y procesamiento de datos de la empresa con los administradores, directivos y trabajadores de la compañía, tras lo que se elabora el mapa de riesgos penales de la compañía. Definidos los riesgos, se redacta un código de conducta de la compañía y la compliance guide. Un paso esencial en esta fase es la implementación de un adecuado programa de formación para los trabajadores de la empresa y su compromiso con los objetivos de la prevención penal.

La segunda fase, la de Organización, es tan importante como la primera. De nada sirve tener instaurado una buena compliance guide si no es más que papel mojado en una estantería de la empresa. Hay que designar un compliance officer o responsable de cumplimiento en la compañía, instaurar un sistema interno de denuncia e investigación de delitos y poner en marcha un catálogo efectivo de infracciones y sanciones.

Por último, no podemos olvidar una última fase de Supervisión, basado en una auditoría externa periódica que nos informe del grado de cumplimiento del plan, actualice el mapa de riesgos penales de la empresa y revise tanto el código de conducta como el plan de prevención de riesgos penales.

Cumplimentadas las tres fases del sistema ROS (Reflexión, Organización y Supervisión), la empresa estará preparada para afrontar los retos de la responsabilidad penal de las personas jurídicas