El Codi Ètic podria definir-se com la constitució normativa d’una organització, això és la norma fonamental de la qual es desprenen totes les altres. Serà, així mateix, l’ànima de l’organització, un document en el qual es recullin els principis i valors que han de presidir en ella, i que hauran de complir tots i cadascun dels integrants d’aquesta.
Funcionalment, el Codi Ètic és una eina molt útil per a la direcció empresarial, l’objectiu de la qual és assegurar que els empleats i empleades compleixin amb la normativa a la qual es troba subjecta l’organització i que realitzin la seva activitat conforme als valors que aquesta ha establert i que constitueixen l’essència de la cultura corporativa.
És important que el Codi Ètic estigui viu, que no sigui un simple document o proclamació de bones intencions, i que sigui vinculant tant per a empleats i empleades com per als directius i directives de l’organització. No solament a aquests, sinó que ja és una pràctica habitual que tercers, especialment col·laboradors i proveïdors, també es trobin vinculats al compliment dels principis fonamentals del Codi Ètic (en major o menor mesura i, a vegades, a través d’un concret Codi de Conducta per a tercers i/o de clàusules contractuals específiques).
Per a poder proclamar els principis fonamentals de l’organització, és altament recomanable que el Codi Ètic empresarial es publiqui a la pàgina web i sigui accessible a tercers.
Pel que fa al seu contingut, el Codi Ètic ha de ser capaç d’oferir pautes, orientacions i ésser la sinergia de tota la multiregulació sectorial existent i que apliqui a la concreta organització. Això és, ha de contenir els principis sobre els quals es desenvolupi la normativa interna i específica de l’organització.
En qualsevol cas, i malgrat que sigui vinculant per als integrants de l’organització, fins i tot tercers i es pengi a la web, perquè el Codi Ètic sigui veritablement un codi, i, a més, ètic, és inexcusable que se sustenti en l’estructura vertical de l’organització, que arribi a totes les àrees d’aquesta. Això no es pot aconseguir sense la participació activa de l’òrgan d’administració i direcció de l’organització, a través del que es diu un adequat tone from the top.
Aquests òrgans de direcció són els que han de promoure la veritable cultura de compliment. Per a pretendre una gestió del risc eficient, és necessari influir en l’alta direcció, generant una cultura d’organització que tendeixi a l’observança absoluta de l’ordenament jurídic.
En conseqüència d’això, pot ser recomanable l’establiment d’un sistema de retribució qualitatiu per donar compliment al Codi Ètic, i en general per l’observança de la normativa en matèria de Compliance. Aquest requisit s’imposa en la majoria dels ordenaments (els Estats Units, Itàlia, Xile) i també s’apunta en les normes tècniques de Compliance nacionals i internacionals.
Finalment, i no precisament menys important, cal assenyalar, malgrat que el Codi Penal espanyol no apel·la a la formació entre els requisits establerts per a un “model d’organització i gestió” en el seu article 31 bis 2º, l’experiència demostra la importància de la formació i sensibilització continuada com un element essencial per a garantir la vivència del Compliance, i en el que concerneix a aquest article, del Codi Ètic i els seus principis.
La formació i sensibilització periòdica i sobrevinguda és una manera de garantir un correcte funcionament del Codi Ètic i de l’estructura i normativa de Compliance.
En qualsevol cas, les mesures de formació i sensibilització són eines summament eficients en la mesura en què suposen un estalvi de costos per a l’organització, això és, com més es garanteixi la vivència i el compliment del Codi Ètic, menys costos necessitarà l’organització per a desenvolupar controls per tal de de garantir el seu compliment.
Departament de Compliance de Molins Defensa Penal.
En els últims #ComplianceKeys s’ha ofert una breu anàlisi d’algunes de les principals característiques d’una prominent figura de tot Sistema de Compliance: l’òrgan de Compliance. Així, en les anteriors publicacions s’han tractat qüestions com ara la seva configuració com a òrgan unipersonal o col·legiat (ComplianceKeys17) o les seves principals funcions i responsabilitats (ComplianceKeys18).
En el present ComplianceKeys es tractarà una altra qüestió igualment essencial respecte aquest òrgan: la seva configuració com un òrgan intern o extern respecte a la persona jurídica en qüestió.
En primer lloc, ha d’assenyalar-se que, de la mateixa forma que succeís respecte altres característiques relatives a l’òrgan de Compliance, la regulació jurídic-penal en la present matèria és relativament parca. Així, únicament s’estableix en l’article 31 bis 2.2a del Codi Penal que: “la supervisió del funcionament i del compliment del model de prevenció implantat ha estat confiada a un òrgan de la persona jurídica […]”.
D’aquesta manera, el Codi Penal únicament estableix que els òrgans de govern de les persones jurídiques (per ser sobre qui recau originalment el deure de prevenir delictes en les entitats que dirigeixen) han d’assignar el deure de supervisar el funcionament i compliment del Sistema de Compliance a un òrgan de la persona jurídica.
La redacció del present precepte, en fer referència a “un òrgan de la persona jurídica” podria semblar indicativa que les funcions i responsabilitats (ComplianceKeys18) dels òrgans de Compliance només poden ser desenvolupades per òrgans interns. No obstant això, la interpretació pràctica d’aquest precepte no ha estat tan restrictiva.
Com pot observar-se en la Circular de la Fiscalia General de l’Estat 1/2016, si bé ha de designar-se a un òrgan intern de la persona jurídica que exerceixi una funció de supervisió general del Sistema de Compliance, això no implica que aquest òrgan hagi d’exercir per si mateix totes les tasques que caracteritzen a la funció de Compliance d’una persona jurídica.
És més, s’estableix expressament en l’esmentada Circular que tampoc existeix cap inconvenient en què les persones jurídiques puguin recórrer a la contractació externa de les diferents activitats en matèria de Compliance.
Així doncs, a mode de conclusió, d’una lectura conjunta de l’article 31 bis 2.2a del Codi Penal i de la seva interpretació continguda en la Circular 1/2016 de la Fiscalia General de l’Estat pot adduir-se que, si bé, les persones jurídiques han de comptar necessàriament amb un òrgan intern responsable de la funció de Compliance amb la finalitat de disposar d’un Sistema de Compliance que es pugui considerar eficaç, això no implica que totes i cadascuna de les tasques que integren aquesta funció hagin de ser exercides per aquest òrgan.
És més, ha de tenir-se en consideració que l’externalització d’algunes de les responsabilitats de la funció de Compliance (com podrien ser, entre altres qüestions, l’anàlisi dels riscos jurídic-penals associats a les activitats que desenvolupi una entitat, el desenvolupament de determinada normativa interna, l’execució de formacions, entre altres) pot suposar un major benefici que el seu desenvolupament intern. Això, simplement per motiu de l’objectivitat i coneixement especialitzat dels quals pot gaudir un tercer extern a la persona jurídica en qüestió.
Departament de Compliance de Molins Defensa Penal.
En l’últim #ComplianceKeys (ComplianceKeys17) es va realitzar una breu introducció a una de les característiques bàsiques dels òrgans de Compliance: la seva possible configuració com a òrgans unipersonals (per exemple, mitjançant la figura del Compliance Officer) o com a òrgans col·legiats (per exemple, com un Comitè d’Ètica i Compliance).
Aprofundint en les característiques d’aquesta rellevant figura per a tot Sistema o Programa de Compliance, en el present ComplianceKeys18 s’oferiran unes breus pinzellades respecte les principals funcions i responsabilitats que aquest òrgan ha d’assumir, tenint en compte que posteriorment serà cada organització la que acabi de definir les seves concretes funcions.
Aquesta qüestió de caràcter bàsic ofereix una certa complexitat en la posada en pràctica. Això, en la mesura que el marc regulador gairebé no es pronuncia sobre aquest tema. En aquest sentit, l’article 31 bis .2 del Codi Penal únicament estableix que: “la supervisió del funcionament i del compliment del model de prevenció implantat ha estat confiada a un òrgan de la persona jurídica […]”.
Respecte a aquesta succinta referència cal destacar un aspecte primordial: l’òrgan de Compliance és l’encarregat de la supervisió i impuls del funcionament i compliment del Programa o Sistema de Compliance, però no de la prevenció de delictes o del propi Sistema de Compliance en si mateix.
En aquest context, diferents membres de les organitzacions hauran de participar en la funció de Compliance, això és, en el funcionament dels mecanismes de prevenció i control que conformen els Programes o Sistemes de Compliance (per exemple, en els circuits de compres o de pagaments, mitjançant la realització d’auditories, entre altres).
Així doncs, l’òrgan de Compliance no és l’encarregat del compliment en la pràctica del Programa o Sistema de Compliance, només de la seva supervisió i de l’impuls per al seu bon funcionament. En aquest sentit, el compliment recau sobre tots i cadascun dels membres que conformen una organització (amb independència de la seva posició jeràrquica o les seves funcions en l’entitat).
Com és usual en matèria de Compliance, l’autoregulació, normes tècniques i la pràctica professional han vingut a cobrir el buit regulador respecte a la qüestió de quines funcions i responsabilitats han d’assumir els òrgans de Compliance.
Sense ànim exhaustiu, algunes de les principals funcions i responsabilitats que segons els estàndards i les best practices en la matèria han d’assumir els òrgans de Compliance són les següents (i que en moltes ocasions poden externalitzar-se íntegrament o en part):
D’altra banda, amb la finalitat de garantir la seva imparcialitat, i en relació amb les responsabilitats que poguessin derivar del desenvolupament de les seves activitats, no sol ser recomanable que l’òrgan de Compliance assumeixi funcions decisòries (per exemple, en matèria de sanció d’un determinat membre del personal com a resultat d’una recerca interna).
Com a conclusió i recapitulació de l’anterior, pot establir-se que l’escàs marc normatiu respecte les funcions de l’òrgan de Compliance fa necessari acudir als estàndards d’autoregulació (com podrien ser els estàndards UNE 19601 o ISO 37301), així com les best practices en la matèria. A més, ha de tenir-se en compte que no hi haurà dos òrgans de Compliance que realitzin exactament les mateixes funcions: aquestes han d’adaptar-se a la concreta realitat de les organitzacions de les quals formin part.
Havent analitzat en els anteriors #ComplianceKeys l’estat de la responsabilitat penal de les persones jurídiques en el pla internacional, en les següents publicacions es tornarà a adoptar un enfocament nacional i s’analitzaran algunes qüestions relatives als principals elements que conformen els Sistemes de Compliance.
En aquest sentit, de conformitat amb l’article 31 bis 2. 2ª del Codi Penal i també de tota norma tècnica nacional i internacional en Compliance, un dels elements essencials per a l’eficàcia de tot Sistema de Compliance és “l’Òrgan de Compliance”.
La normativa juridicopenal és relativament parca respecte a les característiques d’aquest Òrgan. El citat precepte només estableix que la supervisió del funcionament i compliment del Sistema de Compliance ha de confiar-se a un òrgan de la persona jurídica amb poders autònoms d’iniciativa i de control o que tingui encomanada legalment la funció de supervisar l’eficàcia dels controls interns de la persona jurídica.
En aquest sentit, les persones jurídiques que decideixin adoptar un Sistema de Compliance hauran d’acordar diverses decisions respecte la configuració de l’Òrgan de Compliance: Ha de designar-se a una persona individual o ha de nomenar-se a un òrgan col·legiat? Qui ha de constituir l’Òrgan de Compliance? Quines funcions ha de tenir l’Òrgan de Compliance?
En el present ComplianceKeys es buscarà, succintament, donar llum a una de les qüestions plantejades anteriorment: alguns factors que cal tenir en compte en el moment d’optar per constituir un Òrgan de Compliance unipersonal (ja sigui sota la denominació de Compliance Officer, responsable de Compliance, entre altres) o col·legiat (mitjançant un Comitè de Compliance, d’Ètica, etc.). En tot cas, aquesta segona opció no obsta al fet que, dins dels membres de l’òrgan col·legiat, es nomeni un Compliance Officer.
Com s’ha introduït, la regulació establerta sobre això en el Codi Penal no ofereix resposta respecte la present (i altres) qüestió. Després d’acudir a la Circular de la Fiscalia General de l’Estat 1/2016, sobre la responsabilitat penal de les persones jurídiques, pot concloure’s que la vaguetat de la regulació és intencional. Aquesta vaguetat buscaria dotar de llibertat a les persones jurídiques per a configurar els seus Òrgans de Compliance d’una forma que s’adapti a la seva grandària, activitat i recursos.
Concretament, l’esmentada Circular estableix el següent: “[…] la norma s’està referint a un òrgan de compliment (oficial de compliment o compliance officer) que, depenent de la grandària de la persona jurídica, podrà estar constituït per una o per diverses persones, amb la suficient formació i autoritat”.
Doncs bé, la decisió de configurar l’Òrgan de Compliance com a unipersonal o col·legiat serà de caràcter estratègic, havent-se de tenir en compte que cada opció té els seus avantatges i inconvenients.
De manera il·lustrativa, a continuació, es mostraran de forma esquemàtica alguns dels avantatges i inconvenients comunament associats a cadascuna de les opcions:
| Opció | Avantatges | Inconvenients |
| Òrgan unipersonal | + Major agilitat en l’adopció de decisions.
+ En general, major responsabilitat i compromís al recaure la funció de Compliance en una sola persona. + En general, menor necessitat de recursos. + Identificació del Sistema de Compliance en un individu que, d’estar correctament escollit, pot generar major confiança en els membres de la persona jurídica. |
– Major possibilitat d’existència (o, si és el cas, de rellevància) de conflictes d’interès)
– Adopció de decisions rellevants en matèria de Compliance de forma no consensuada, per un únic individu. – Possibilitat que la càrrega de treball generada per la funció de Compliance sigui de difícil assumpció per un únic individu. |
| Òrgan col·legiat | + Adopció de les decisions en matèria de Compliance de forma consensuada.
+ Major facilitat de tramitació de comunicacions que eventualment afectaran a un membre de l’Òrgan de Compliance. + Possibilitat de constituir l’Òrgan de Compliance incorporant perfils tècnics de caràcter complementari (legal, IT, laboral). + Opció atractiva per entitats de mitjana grandària que no tinguin els recursos per contractar a una persona que específicament es dediqui al desenvolupament de la funció de compliment però gaudeixin d’un Sistema de Compliance de certa complexitat. |
– Presa de decisions i execució de les mateixes més lentament (dificultat per convocar reunions, adoptar determinades decisions conflictives, reaccionar en front de situacions urgents, etc.).
– Possible configuració d’un òrgan col·legiat amb perfils directius executius (conflictes d’interès).
|
A més, convé recordar que el Codi Penal preveu la possibilitat que, en persones jurídiques de petites dimensions, la funció de Compliance recaigui directament sobre el seu òrgan d’administració.
Amb la finalitat de recapitular les diferents qüestions tractades en el present article, les conclusions que han d’extreure’s són que cada entitat serà lliure de triar, en funció de la seva grandària, del sector en el qual opera, de la naturalesa de les seves activitats, tenint en consideració els avantatges i desavantatges associats a la decisió, la configuració del concret Òrgan de Compliance que liderarà el desenvolupament i supervisió del seu Sistema de Compliance.
Departament de Compliance de Molins Defensa Penal.
Tot Programa o Sistema de Compliance està compost per un conjunt d’elements que solen estar sempre presents amb independència de l’objecte o l’abast del Programa o Sistema en qüestió. Parlem, per exemple, d’elements com disposar d’un òrgan o responsable intern de Compliance, un mecanisme de comunicació intern, formació, etcètera.
Entre aquests elements innegociables, trobem l’informe i el mapa de riscos penals. Ara bé, la veritat és que, en atenció a l’objecte i a l’abast concret del Programa o Sistema de Compliance, l’informe i mapa de riscos pot ampliar-se més enllà dels riscos penals, incorporant també altres riscos de Compliance (tax; blanqueig de capitals; medi ambient; entre altres).
L’article 31 bis 5.1 del Codi Penal requereix que els Programes o Sistemes de Compliance comptin amb una avaluació dels riscos penals: “Identificaran les activitats en l’àmbit de les quals puguin ser comesos els delictes que han de ser previnguts”. Per part seva, la secció 4.6 de l’ISO 37301 de Sistemes de gestió de Compliance i la secció 6.2 de la UNE 19601 de Sistemes de gestió de Compliance penal també exigeixen la identificació i avaluació dels riscos.
En què consisteix l’elaboració d’un informe i mapa de riscos penals? De forma molt resumida, elaborar un informe i un mapa de riscos penals consisteix a analitzar les activitats, l’estructura organitzativa i les relacions amb tercers, això és, l’ecosistema d’una determinada organització, amb l’objectiu de detectar i prioritzar, a través d’una avaluació, quins són els riscos penals als quals s’exposa una determinada organització per les seves concretes activitats.
Això resulta molt important, perquè l’avaluació i priorització dels riscos penals marcarà el posterior desenvolupament i implementació del Programa o Sistema de Compliance. En conseqüència, no pot fer-se una anàlisi etèria o copiar l’informe i el mapa d’un tercer, en tant cada organització s’enfronta als seus propis riscos penals. Per exemple, res té a veure els riscos penals d’una empresa constructora dels d’una empresa del sector farmacèutic. Fins i tot entre organitzacions del mateix sector l’informe i el mapa de riscos pot diferir notablement segons la dependència de la contractació pública, els països en els quals s’operi, la cadena de subministrament, etcètera.
Quan ha d’elaborar-se l’informe i el mapa de riscos penals? Generalment, té lloc durant les fases inicials de disseny del Programa o Sistema de Compliance, en tant permet realitzar un estudi en profunditat de les activitats i l’estructura organitzativa de l’organització. A més, l’adopció de polítiques, procediments i altres mecanismes de control ha de realitzar-se sobre la base dels riscos detectats, especialment en aquells riscos valorats amb una major criticitat.
No obstant això, l’informe i el mapa de riscos penals ha d’estar vigent en tot moment, per la qual cosa haurà de ser revisat de manera periòdica i s’haurà d’actualitzar degudament quan existeixin motius interns o externs que puguin provocar un canvi en la identificació o la valoració dels riscos penals. Per exemple, el llançament d’una nova línia de negoci, l’adquisició d’una empresa, canvis en la legislació aplicable, sancions o incompliments rellevants, entre altres motius.
D’aquesta manera, l’informe i el mapa de riscos penals es configura com un element clau en tot Programa o Sistema de Compliance, que ha de tenir lloc en un estadi inicial del seu disseny i que ha de revisar-se i actualitzar-se adequadament.
Departament de Compliance de Molins Defensa Penal.
Tanquem el cicle de #ComplianceKeys sobre l’estat de la regulació de la responsabilitat penal de les persones jurídiques en diferents països amb l’anàlisi del Canadà i els Estats Units.
Abans d’entrar a valorar l’estat actual d’aquesta qüestió, convé assenyalar que molts situen els Estats Units com el lloc d’origen de la responsabilitat corporativa per infraccions comeses en el seu si, principalment arran del cas New York Central & Hudson River Railroad vs. United States.
A més, és segurament el país amb major recorregut i aplicació pràctica respecte a la responsabilitat corporativa i als Sistemes de Compliance, principalment a través de sancions i acords extrajudicials amb el Departament de Justícia (U.S. Department of Justice [DOJ]) o la Comissió del mercat de valors (U.S. Securities Exchange Commission [SEC]). És el cas, per exemple, dels acords aconseguits amb ORACLE i amb DANSKE BANK durant l’any 2022 amb l’U.S. Securities Exchange Commission (SEC).
Per part seva, el Canadà compta també amb una regulació de la responsabilitat corporativa. En particular, existeix una previsió legal, concretament, en el Codi Penal, que determina la responsabilitat de naturalesa penal per a les persones jurídiques en el si de les quals s’hagi comès un delicte.
D’aquesta manera, tant el Canadà com els Estats Units compten amb un cos normatiu que recolza l’aplicació de la responsabilitat penal corporativa, per exemple, a través de la Foreign Corrupt Practices Act (FCPA) als Estats Units, o el Codi Penal i la Corruption of Foreign Public Officials Act (CFPOA) en el cas del Canadà, així com una aplicació judicial i sancionadora ferma que desenvolupa aquesta qüestió, en la qual cal destacar les Sentencing Guidelines als Estats Units o el cas Canadian Dredge and Dock Co. Vs. The Queen al Canadà.
No obstant això, la principal diferència de la regulació de la responsabilitat corporativa entre tots dos països radica en el fet que als Estats Units regeix el principi respondeat superior, la qual cosa suposa una aplicació més àmplia o més automàtica de la responsabilitat penal corporativa. En canvi, al Canadà, per poder atribuir responsabilitat de naturalesa penal a les persones jurídiques, han de complir-se la totalitat de requisits recollits en el codi penal canadenc, la qual cosa comporta una aplicació més limitada.
A continuació, s’adjunta un resum de l’estat de la qüestió en els diferents països analitzats.
| País | Naturalesa de la responsabilitat | Llistat tancat o obert de delictes / infraccions | Possibilitat legal d’exempció per disposar de Compliance |
| Canadà | Penal | Llistat obert | Es preveu en determinades lleis, com en la normativa anti-blanqueig de capitals. |
| Estats Units | Penal | Llistat obert | No regulada |
Molins Compliance.
En el #ComplianceKeys14 d’aquesta setmana, el penúltim article respecte la present matèria, s’analitzarà breument la regulació de la responsabilitat penal de les persones jurídiques i l’estat dels Sistemes de Compliance com a mecanisme d’exempció de responsabilitat penal en diferents països d’Àfrica.
De l’estudi realitzat, ha pogut observar-se que la qüestió relativa a la responsabilitat penal de la persona jurídica no ha tingut, de moment, un gran recorregut, en les diferents jurisdiccions analitzades. Si bé, la majoria dels països objecte d’estudi (Kenya, Marroc, Nigèria i Sud-àfrica) han permès l’atribució de responsabilitat penal a la persona jurídica; aquestes nacions no compten, amb caràcter general, amb un sistema desenvolupat que permeti preveure quins criteris es tindran en compte per a determinar aquesta atribució.
Referent a això destaca el supòsit de Kenya, Estat en el qual, malgrat que la seva legislació penal no preveu expressament la possibilitat d’atribuir responsabilitat penal a les persones jurídiques, això no ha resultat un obstacle per a motivar la responsabilitat penal d’aquests ens en considerar-los la jurisprudència com a equivalents, als presents efectes, a les seves contraparts de carn i os.
D’altra banda, tampoc s’ha regulat, amb caràcter general, l’efecte eximent (ni atenuant) dels Sistemes de Compliance en les jurisdiccions analitzades. No obstant, això no significa que les companyies que operin en aquests Estats no hagin d’autoregular-se, sinó més aviat el contrari. L’adopció de Sistemes de Compliance eficaços permetrà prevenir la comissió de conductes delictives en el si de les persones jurídiques que operin en aquests països, avançant les barreres de defensa corporativa i evitant la inseguretat jurídica que suposa la falta de regulació respecte la present matèria.
Finalment, destaca positivament la regulació sud-africana en la matèria, la qual estableix succintament que les persones jurídiques podran respondre per accions o omissions dels seus directius o empleats quan s’observin determinades circumstàncies (que les accions o omissions s’haguessin observat en l’exercici del càrrec, en interès de la persona jurídica, entre altres). Podent tenir en compte, si bé no de manera automàtica, l’adopció de Sistemes de Compliance a efectes d’atorgar un possible eximent o atenuant.
A continuació, s’adjunta una taula amb un resum de l’estat de la qüestió en els diferents països analitzats:
| País | Naturalesa de la responsabilitat | Llistat tancat o obert de delictes / infraccions | Possibilitat legal d’exempció per disposar de Compliance |
| Egipte | Administrativa | Llistat tancat (sancions regulades en normativa administrativa específica) | No regulada |
| Kenya | Penal (no regulada de manera diferent de la responsabilitat penal de les persones físiques) | Llistat obert | No regulada |
| Marroc | Penal | Llistat obert (si bé s’estableixen previsions específiques respecte els delictes de terrorisme, corrupció de menors i discriminació) | No regulada |
| Nigèria | Penal | Llistat tancat | No regulada |
| Sud-àfrica | Penal | Llistat obert | Possibilitat d’exempció o atenuació de responsabilitat penal per la implementació de Sistemes de Compliance, si bé aquesta no és automàtica. |
Molins Compliance.
Sentències més rellevants del Tribunal Suprem en les que, en major o menor mesura, es debat o es falla sobre qüestions vinculades a la responsabilitat penal de les persones jurídiques.
L’establiment d’un sistema de Compliance com a mecanisme de prevenció de delictes i de constatació de l’ètica en els negocis, permet a les empreses no perdre competitivitat quan altres empreses del sector sí que comptin amb aquest.
Molts són els danys econòmics col·laterals que està deixant al seu pas el COVID-19. Moltes les empreses que estan assistint impotents a una disminució progressiva del seu patrimoni.
