Los canales éticos, han adquirido una gran relevancia desde la reciente y novedosa publicación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante Ley 2/2023).
Si bien la Ley 2/2023 ha impulsado que todas las empresas españolas de más de cincuenta (50) empleados/as cuenten con un sistema de información de forma obligada, el canal ético ya era una herramienta indispensable y clave para cualquier Sistema de Compliance, en tanto es un requisito del artículo 31 bis 5.2 del Código Penal español para los “modelos de organización y gestión”. Asimismo, también se trata de un elemento esencial de cualquier norma técnica en Compliance a nivel nacional e internacional. Es más, existe incluso la norma ISO 37002:2021 relativa a sistemas de gestión de canales de denuncias (whistleblowing management systems).
En este sentido, el canal ético podría definirse como el medio por el cual las organizaciones permiten canalizar consultas o denuncias que guarden relación con sospechas de comportamientos infractores o malas praxis dentro de las mismas. Asimismo, el canal posibilita que la organización sea conocedora, respetando el anonimato, de irregularidades, incumplimientos, infracciones, o, vulneraciones de la legislación vigente o la normativa interna de la organización (como el Código Ético y demás políticas y protocolos) por parte de los empleados/as, o incluso por terceros que con ella se relacionan.
Uno de los objetivos principales del canal ético es el fortalecimiento de la cultura de la información e integridad en las organizaciones, como mecanismo para prevenir y detectar amenazas al interés público y privado. De esta forma, se muestra el compromiso con los empleados/as y partes interesadas, generando confianza y demostrando que los asuntos y preocupaciones que se comuniquen serán procesados apropiadamente.
El canal ético puede tener diferentes formatos, siempre cumpliendo con los requisitos establecidos en la Ley 2/2023, de 20 de febrero, por ejemplo:
Además de las mencionadas modalidades, la citada Ley 2/2023, de 20 de febrero, prevé distintas configuraciones, como puede ser, la reunión presencial a solicitud del comunicante.
Más allá de la obligación legal, la implantación de un canal ético significa también una ventaja competitiva ante el público interno o externo de la organización, puesto que, a grandes rasgos, y entre otros:
En conclusión, el canal ético es un elemento vital de prevención en las organizaciones, puesto que nadie conoce mejor las irregularidades que se cometen en las mismas que quienes están dentro, de manera que contar con un instrumento que permita comunicar estos hechos se presenta como un gran beneficio para cualquier organización, que deberá esforzarse en fomentar su uso y llevar a cabo un procedimiento de gestión adecuado.
Departamento de Compliance de Molins Defensa Penal.
En el último #ComplianceKeys realizamos un breve comentario sobre uno de los elementos más importantes que configuran un Sistema de Compliance: el Código Ético o Código de Conducta (ComplianceKeys20).
En el presente #ComplianceKeys21, seguimos la misma línea que el anterior, y trataremos otra cuestión igualmente esencial respecto de la configuración de un correcto Sistema de Compliance: la formación y sensibilización en materia de Compliance.
En primer lugar, es destacable mencionar que la formación y sensibilización de la plantilla en materia de Compliance ya ha sido objeto de controversia en el panorama legal, de tal modo que la Fiscalía, en la Circular 1/2016 de 22 de enero, sobre la responsabilidad penal de las personas jurídicas conforme a la reforma del Código Penal efectuada por Ley Orgánica 1/2015, ya recalcó su relevancia, afirmando que “los modelos de organización y gestión no solo tienen por objeto evitar la sanción penal de la empresa sino promover una verdadera cultura ética empresarial. También, el Tribunal Supremo, en Sentencia de 29 de febrero de 2016, indica que se deberá desarrollar un modelo de formación en riesgos penales que transmita a los empleados y directivos el modelo o programa de prevención de riesgos penales implementado en la empresa. Para promover dicha cultura ética empresarial, será necesario llevar a cabo acciones de formación y sensibilización.
Asimismo, los estándares normativos en materia de Compliance, como lo son la UNE 19601 e ISO 37001, nos hablan, entre muchas otras cuestiones, de la importancia de diseñar una formación adecuada y eficaz para que los empleados y empleadas comuniquen los riesgos de Compliance, poniendo el foco en la necesidad de formar a la plantilla sobre el riesgo penal y la forma de evitarlo. Así pues, se entiende la formación como un elemento esencial de cualquier sistema de gestión de organizaciones, configurándose como el canal a través del cual el personal de la organización toma conciencia sobre la cultura de cumplimiento normativo.
Con la formación correspondiente en Compliance puede ponerse fin a la existencia de situaciones irregulares que se han ido “normalizando” en la organización y con el paso de los años han devenido en prácticas habituales comúnmente aceptadas por empleados, clientes y proveedores, como ocurre con determinados comportamientos constitutivos de corrupción. Con frecuencia, éstos no son percibidos como algo negativo.
¿Por qué es importante la formación y sensibilización en la organización?
Diseñar e implementar un Sistema de Compliance es importante, sobre todo para mitigar los riesgos, pero no será eficiente si los directivos y empleados no lo conocen y no lo entienden como útil y ventajoso para la organización. Es fundamental que la plantilla conozca los principios y valores básicos en los que se sustenta su organización, y, sobre todo, las pautas básicas de comportamiento y de diligencia que resulten de aplicación en el trabajo cotidiano del día a día.
Además, los empleados tienen el derecho a ser informados de todas aquellas obligaciones que les sean impuestas en su actividad profesional en virtud del deber del empresario de velar por el cumplimiento de la legalidad y de esclarecer las posibles infracciones cometidas.
Es necesario, por tanto, que se realicen acciones mediante formación, concienciación y sensibilización con el objetivo de conseguir el cambio efectivo en las operativas y en la conciencia de la plantilla.
¿Cómo debe ser una formación adecuada y eficaz?
El objetivo de un programa o plan de formación debe ser asegurar que toda la plantilla es competente para cumplir con su rol profesional y el compromiso que tienen con el Compliance.
Así, una buena formación es aquella que consigue sensibilizar y transmitir cultura de cumplimiento, y para ello debe configurarse del siguiente modo:
¿Cómo lograr una formación y sensibilización efectiva?
Ética y Compliance son temas complejos, y lo cierto es que no hay ningún método que garantice éxitos para los esfuerzos del área de Compliance. Ahora bien, sin lugar a dudas es necesaria una combinación entre formación, incentivos, cultura y monitoreo, de modo que el éxito residirá en determinar el mix adecuado para cada organización.
Por lo tanto, el mejor método versará en un correcto desarrollo de estrategia de formación y sensibilización sobre los valores y políticas internas de la organización. En cualquier caso, la estrategia de formación y sensibilización debe diseñarse siempre a medida de la organización y sus concretas necesidades en un momento dado.
¿Cuál es la finalidad de la sensibilización y formación de la plantilla?
Un correcto Sistema de Compliance tiene que tener como objetivo no solo prevenir y detectar de forma eficaz las malas praxis o conductas en la organización, sino que también debe contribuir a crear una verdadera cultura ética, comprometida con el cumplimiento de las normas internas y externas a las que esté sujeta. Es vital que toda la plantilla interiorice los valores y principios de la organización, contando así con herramientas para tomar buenas decisiones. Todo ello puede conseguirse con un adecuado plan de formación en Compliance, elaborado a la medida de cada organización.
En definitiva, el Sistema de Compliance no tiene ningún sentido, ni efecto, si la plantilla (desde consejeros y directivos a empleados) no lo conocen, pues resulta claro que “lo que no se conoce, no se comunica”.
Departamento de Compliance de Molins Defensa Penal.
El Código Ético podría definirse como la constitución normativa de una organización, esto es la norma fundamental de la que se desprenden todas las demás. Será asimismo el alma de la organización, un documento en el que se recojan los principios y valores que deben presidir en ella, y que deberán cumplir todos y cada uno de los integrantes de la misma.
Funcionalmente, el Código Ético es una herramienta muy útil para la dirección empresarial, cuyo objetivo es asegurar que los empleados y empleadas cumplan con la normativa a la que se encuentra sujeta la organización y que realicen su actividad conforme a los valores que ésta ha establecido y que constituyen la esencia de la cultura corporativa.
Es importante que el Código Ético esté vivo, que no sea un mero documento o proclamación de buenas intenciones, y que sea vinculante tanto para empleados y empleadas como para los directivos y directivas de la organización. No solamente a estos, sino que ya es una práctica habitual que terceros, especialmente colaboradores y proveedores, también se encuentren vinculados al cumplimiento de los principios fundamentales del Código Ético (en mayor o menor medida y, en ocasiones, a través de un concreto Código de Conducta para terceros y/o de cláusulas contractuales específicas).
Para poder proclamar los principios fundamentales de la organización, es altamente recomendable que el Código Ético empresarial se publique en la página web y sea accesible a terceros.
En cuanto a su contenido, el Código Ético debe ser capaz de ofrecer pautas, orientaciones y ser la sinergia de toda la multirregulación sectorial existente y que aplique a la concreta organización. Esto es, debe contener los principios sobre los cuales se desarrolle la normativa interna y específica de la organización.
En cualquier caso, y pese a que sea vinculante para los integrantes de la organización, incluso terceros y se cuelgue en la web, para que el Código Ético sea verdaderamente un código, y, además, ético, es inexcusable que se sustente en la estructura vertical de la organización, que llegue a todas las áreas de ésta. Ello no se puede conseguir sin la participación activa del órgano de administración y dirección de la organización, a través de lo que se llama un adecuado tone from the top.
Estos órganos de dirección son los que deben promover la verdadera cultura de cumplimiento. Para pretender una gestión del riesgo eficiente, es necesario influir en la alta dirección, generando una cultura de organización que tienda a la observancia absoluta del ordenamiento jurídico.
En consecuencia de lo anterior, puede ser recomendable el establecimiento de un sistema de retribución cualitativo por dar cumplimiento al Código Ético, y en general por la observancia de la normativa en materia de Compliance. Este requisito se impone en la mayoría de los ordenamientos (Estados Unidos, Chile, Italia) y también se apunta en las normas técnicas de Compliance nacionales e internacionales.
Por último, y no precisamente menos importante, cabe señalar, pese a que el Código Penal español no apela a la formación entre los requisitos establecidos para un “modelo de organización y gestión” en su artículo 31 bis 2º, la experiencia demuestra la importancia de la formación y sensibilización continuada como un elemento esencial para garantizar la vivencia del Compliance, y en lo que atañe a este artículo, del Código Ético y sus principios.
La formación y sensibilización periódica y sobrevenida es una forma de garantizar un correcto funcionamiento del Código Ético y de la estructura y normativa de Compliance.
En cualquier caso, las medidas de formación y sensibilización son herramientas sumamente eficientes en la medida en que suponen un ahorro de costes para la organización, esto es, cuanto más se garantice la vivencia y el cumplimiento del Código Ético, menos costes necesitará la organización para desarrollar controles a fin de garantizar su cumplimiento.
Departamento de Compliance de Molins Defensa Penal.
En los últimos #ComplianceKeys se ha ofrecido un breve análisis de algunas de las principales características de una prominente figura de todo Sistema de Compliance: el órgano de Compliance. Así, en las anteriores publicaciones se han tratado cuestiones tales como su configuración como órgano unipersonal o colegiado (ComplianceKeys17) o sus principales funciones y responsabilidades (ComplianceKeys18).
En el presente ComplianceKeys se tratará otra cuestión igualmente esencial respecto dicho órgano: su configuración como un órgano interno o externo respecto a la persona jurídica en cuestión.
En primer lugar, debe señalarse que, de la misma forma que sucediera respecto otras características relativas al órgano de Compliance, la regulación jurídico-penal en la presente materia es relativamente parca. Así, únicamente se establece en el artículo 31 bis 2.2ª del Código Penal que: “la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica […]”.
De este modo, el Código Penal únicamente establece que los órganos de gobierno de las personas jurídicas (por ser sobre quiénes recae originalmente el deber de prevenir delitos en las entidades que dirigen) deben asignar el deber de supervisar el funcionamiento y cumplimiento del Sistema de Compliance a un órgano de la persona jurídica.
La redacción del presente precepto, al hacer referencia a “un órgano de la persona jurídica” podría parecer indicativa de que las funciones y responsabilidades (ComplianceKeys18) de los órganos de Compliance solo pueden ser desarrolladas por órganos internos. No obstante, la interpretación práctica de este precepto no ha sido tan restrictiva.
Como puede observarse en la Circular de la Fiscalía General del Estado 1/2016, si bien debe designarse a un órgano interno de la persona jurídica que ejerza una función de supervisión general del Sistema de Compliance, ello no implica que este órgano deba desempeñar por sí mismo todas las tareas que caracterizan a la función de Compliance de una persona jurídica.
Es más, se establece expresamente en la mencionada Circular que tampoco existe inconveniente alguno en que las personas jurídicas puedan recurrir a la contratación externa de las distintas actividades en materia de Compliance.
Así pues, a modo de conclusión, de una lectura conjunta del artículo 31 bis 2.2ª del Código Penal y de su interpretación contenida en la Circular 1/2016 de la Fiscalía General del Estado puede aducirse que, si bien, las personas jurídicas deben contar necesariamente con un órgano interno responsable de la función de Compliance con el fin de disponer de un Sistema de Compliance que se pueda considerar eficaz, ello no implica que todas y cada una de las tareas que integran dicha función deban ser desempeñadas por dicho órgano.
Es más, debe tenerse en consideración que la externalización de algunas de las responsabilidades de la función de Compliance (como podrían ser, entre otras cuestiones, el análisis de los riesgos jurídico-penales asociados a las actividades que desarrolle una entidad, el desarrollo de determinada normativa interna, la ejecución de formaciones, entre otras) puede suponer un mayor beneficio que su desarrollo interno. Ello, simplemente por motivo de la objetividad y conocimiento especializado de los que puede gozar un tercero externo a la persona jurídica en cuestión.
Departamento de Compliance de Molins Defensa Penal.
En el último #ComplianceKeys (ComplianceKeys17) se realizó una breve introducción a una de las características básicas de los órganos de Compliance: su posible configuración como órganos unipersonales (por ejemplo, mediante la figura del Compliance Officer) o como órganos colegiados (por ejemplo, como un Comité de Ética y Compliance).
Profundizando en las características de esta relevante figura para todo Sistema o Programa de Compliance, en el presente ComplianceKeys18 se ofrecerán unas breves pinceladas respecto las principales funciones y responsabilidades que este órgano debe asumir, teniendo en cuenta que posteriormente será cada organización la que acabe de definir sus concretas funciones.
Esta cuestión de carácter básico ofrece cierta complejidad en la puesta en práctica. Ello, en la medida que el marco regulatorio apenas se pronuncia al respecto. En este sentido, el artículo 31 bis .2 del Código Penal únicamente establece que: “la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica […]”.
Respecto a esta sucinta referencia cabe destacar un aspecto primordial: el órgano de Compliance es el encargado de la supervisión e impulso del funcionamiento y cumplimiento del Programa o Sistema de Compliance, pero no de la prevención de delitos o del propio Sistema de Compliance en sí mismo.
En este contexto, diferentes miembros de las organizaciones deberán participar en la función de Compliance, esto es, en el funcionamiento de los mecanismos de prevención y control que conforman los Programas o Sistemas de Compliance (por ejemplo, en los circuitos de compras o de pagos, mediante la realización de auditorías, entre otros).
Así pues, el órgano de Compliance no es el encargado del cumplimiento en la práctica del Programa o Sistema de Compliance, solo de su supervisión y del impulso para su buen funcionamiento. En este sentido, el cumplimiento recae sobre todos y cada uno de los miembros que conforman una organización (con independencia de su posición jerárquica o sus funciones en la entidad).
Como es usual en materia de Compliance, la autorregulación, normas técnicas y la práctica profesional han venido a cubrir el vacío regulatorio respecto a la cuestión de qué funciones y responsabilidades deben asumir los órganos de Compliance.
Sin ánimo exhaustivo, algunas de las principales funciones y responsabilidades que según los estándares y las best practices en la materia deben asumir los órganos de Compliance son las siguientes (y que en muchas ocasiones pueden externalizarse en su totalidad o en parte):
Por otro lado, con el fin de garantizar su imparcialidad, y en relación con las responsabilidades que pudieran derivar del desarrollo de sus actividades, no suele ser recomendable que el órgano de Compliance asuma funciones decisorias (por ejemplo, en materia de sanción de un determinado miembro del personal como resultado de una investigación interna).
Como conclusión y recapitulación de lo anterior, puede establecerse que el escaso marco normativo respecto las funciones del órgano de Compliance hace necesario acudir a los estándares de autorregulación (como podrían ser los estándares UNE 19601 o ISO 37301), así como las best practices en la materia. Además, debe tenerse en cuenta que no habrá dos órganos de Compliance que realicen exactamente las mismas funciones: estas deben adaptarse a la concreta realidad de las organizaciones de las que formen parte.
Habiendo analizado en los anteriores #ComplianceKeys el estado de la responsabilidad penal de las personas jurídicas en el plano internacional, en las siguientes publicaciones se volverá a adoptar un enfoque nacional y se analizarán algunas cuestiones relativas a los principales elementos que conforman los Sistemas de Compliance.
En este sentido, de conformidad con el artículo 31 bis 2. 2ª del Código Penal y también de toda norma técnica nacional e internacional en Compliance, uno de los elementos esenciales para la eficacia de todo Sistema de Compliance es el “Órgano de Compliance”.
La normativa jurídico-penal es relativamente parca respecto a las características de este Órgano. El citado precepto solo establece que la supervisión del funcionamiento y cumplimiento del Sistema de Compliance debe confiarse a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica.
En este sentido, las personas jurídicas que decidan adoptar un Sistema de Compliance deberán acordar diversas decisiones respecto la configuración del Órgano de Compliance: ¿debe designarse a una persona individual o debe nombrarse a un órgano colegiado? ¿quién o quiénes deben constituir el Órgano de Compliance? ¿qué funciones debe tener el Órgano de Compliance?
En el presente ComplianceKeys se buscará, someramente, arrojar luz a una de las cuestiones planteadas anteriormente: algunos factores que deben tenerse en cuenta en el momento de optar por constituir un Órgano de Compliance unipersonal (ya sea bajo la denominación de Compliance Officer, responsable de Compliance, entre otros) o colegiado (mediante un Comité de Compliance, de Ética, etc.). En todo caso, esta segunda opción no obsta a que, dentro de los miembros del órgano colegiado, se nombre a un Compliance Officer.
Como se ha introducido, la regulación establecida al respecto en el Código Penal no ofrece respuesta respecto la presente (y otras) cuestión. De acudir a la Circular de la Fiscalía General del Estado 1/2016, sobre la responsabilidad penal de las personas jurídicas, puede concluirse que la vaguedad de la regulación es intencional. Esta vaguedad buscaría dotar de libertad a las personas jurídicas para configurar sus Órganos de Compliance de una forma que se adapte a su tamaño, actividad y recursos.
Concretamente, la mencionada Circular establece lo siguiente: “[…] la norma se está refiriendo a un órgano de cumplimiento (oficial de cumplimiento o compliance officer) que, dependiendo del tamaño de la persona jurídica, podrá estar constituido por una o por varias personas, con la suficiente formación y autoridad”.
Pues bien, la decisión de configurar el Órgano de Compliance como unipersonal o colegiado será de carácter estratégico, debiéndose tener en cuenta que cada opción tiene sus ventajas e inconvenientes.
A modo ilustrativo, a continuación, se mostrarán de forma esquemática algunas de las ventajas e inconvenientes comúnmente asociadas a cada una de las opciones:
| Opción | Ventajas | Inconvenientes |
| Órgano unipersonal | + Mayor agilidad en la adopción de decisiones.
+ En general, mayor responsabilidad y compromiso al recaer la función de Compliance en una sola persona. + En general, menor necesidad de recursos. + Identificación del Sistema de Compliance con un individuo que, de estar correctamente escogido, puede generar mayor confianza en los miembros de la persona jurídica. |
– Mayor posibilidad de existencia (o, en su caso, de relevancia) de conflictos de interés.
– Adopción de decisiones relevantes en materia de Compliance de forma no consensuada, por un único individuo. – Posibilidad que la carga de trabajo generada por la función de Compliance sea de difícil asunción por un único individuo. |
| Órgano colegiado | + Adopción de las decisiones en materia de Compliance de forma consensuada.
+ Mayor facilidad de tramitación de comunicaciones que eventualmente afectaran a un miembro del Órgano de Compliance. + Posibilidad de constituir el Órgano de Compliance incorporando perfiles técnicos de carácter complementario (legal, IT, laboral). + Opción atractiva para entidades de medio tamaño que no tengan los recursos para contratar a un persona que específicamente se dedique al desarrollo de función de cumplimiento pero gocen de un Sistema de Compliance de cierta complejidad. |
– Toma de decisión y ejecución de las mismas más lenta (dificultad para convocar reuniones, adoptar determinadas decisiones conflictivas, reaccionar ante situaciones urgentes, etc.).
– Posible configuración de un órgano colegiado con perfiles directivos ejecutivos (conflictos de interés).
|
Además, conviene recordar que el Código Penal prevé la posibilidad que, en personas jurídicas de pequeñas dimensiones, la función de Compliance recaiga directamente sobre su órgano de administración.
Con el fin de recapitular las diferentes cuestiones tratadas en el presente artículo, las conclusiones que deben extraerse de lo anterior son que cada entidad será libre de escoger, en función de su tamaño, del sector en el que opera, de la naturaleza de sus actividades, teniendo en consideración las ventajas y desventajas asociadas a la decisión, la configuración del concreto Órgano de Compliance que liderará el desarrollo y supervisión de su Sistema de Compliance.
Departamento de Compliance de Molins Defensa Penal.
Todo Programa o Sistema de Compliance está compuesto por un conjunto de elementos que suelen estar siempre presentes con independencia del objeto o el alcance del Programa o Sistema en cuestión. Hablamos, por ejemplo, de elementos como disponer de un órgano o responsable interno de Compliance, un mecanismo de comunicación interno, formación, etcétera.
Entre estos elementos innegociables, encontramos el informe y el mapa de riesgos penales. Ahora bien, lo cierto es que, en atención al objeto y al alcance concreto del Programa o Sistema de Compliance, el informe y mapa de riesgos puede ampliarse más allá de los riesgos penales, incorporando también otros riesgos de Compliance (tax; blanqueo de capitales; medio ambiente; entre otros).
El artículo 31 bis 5.1 del Código Penal requiere que los Programas o Sistemas de Compliance cuenten con una evaluación de los riesgos penales: “Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos”. Por su parte, la sección 4.6 de la ISO 37301 de Sistemas de gestión de Compliance y la sección 6.2 de la UNE 19601 de Sistemas de gestión de Compliance penal también exigen la identificación y evaluación de los riesgos.
¿En qué consiste la elaboración de un informe y mapa de riesgos penales? De forma muy resumida, elaborar un informe y un mapa de riesgos penales consiste en analizar las actividades, la estructura organizativa y las relaciones con terceros, esto es, el ecosistema de una determinada organización, con el objetivo de detectar y priorizar, a través de una evaluación, cuáles son los riesgos penales a los que se expone una determinada organización por sus concretas actividades.
Ello resulta muy importante, pues la evaluación y priorización de los riesgos penales va a marcar el posterior desarrollo e implementación del Programa o Sistema de Compliance. En consecuencia, no puede hacerse un análisis etéreo o copiar el informe y el mapa de un tercero, en tanto cada organización se enfrenta a sus propios riesgos penales. Por ejemplo, nada tiene que ver los riesgos penales de una empresa constructora de los de una empresa del sector farmacéutico. Incluso entre organizaciones del mismo sector el informe y el mapa de riesgos puede diferir notablemente según la dependencia de la contratación pública, los países en los que se opere, la cadena de suministro, etcétera.
¿Cuándo debe elaborarse el informe y el mapa de riesgos penales? Generalmente, tiene lugar durante las fases iniciales de diseño del Programa o Sistema de Compliance, en tanto permite realizar un estudio en profundidad de las actividades y la estructura organizativa de la organización. Además, la adopción de políticas, procedimientos y otros mecanismos de control debe realizarse sobre la base de los riesgos detectados, especialmente en aquellos riesgos valorados con una mayor criticidad.
Sin embargo, el informe y el mapa de riesgos penales debe estar vigente en todo momento, por lo que deberá ser revisado de forma periódica y se deberá actualizar debidamente cuando existan motivos internos o externos que puedan provocar un cambio en la identificación o la valoración de los riesgos penales. Por ejemplo, el lanzamiento de una nueva línea de negocio, la adquisición de una empresa, cambios en la legislación aplicable, sanciones o incumplimientos relevantes, entre otros motivos.
De este modo, el informe y el mapa de riesgos penales se configura como un elemento clave en todo Programa o Sistema de Compliance, que debe tener lugar en un estadio inicial de su diseño y que debe revisarse y actualizarse adecuadamente.
Departamento de Compliance de Molins Defensa Penal.
Cerramos el ciclo de #ComplianceKeys sobre el estado de la regulación de la responsabilidad penal de las personas jurídicas en diferentes países con el análisis de Canadá y los Estados Unidos.
Antes de entrar a valorar el estado actual de esta cuestión, conviene señalar que muchos sitúan los Estados Unidos como el lugar de origen de la responsabilidad corporativa por infracciones cometidas en su seno, principalmente a raíz del caso New York Central & Hudson River Railroad vs. United States.
Además, es seguramente el país con mayor recorrido y aplicación práctica respecto a la responsabilidad corporativa y a los Sistemas de Compliance, principalmente a través de sanciones y acuerdos extrajudiciales con el Departamento de Justicia (U.S. Department of Justice [DOJ]) o la Comisión del mercado de valores (U.S. Securities Exchange Commission [SEC]). Es el caso, por ejemplo, de los acuerdos alcanzados con ORACLE y con DANSKE BANK durante el año 2022 con la U.S. Securities Exchange Commission (SEC).
Por su parte, Canadá cuenta también con una regulación de la responsabilidad corporativa. En particular, existe una previsión legal, concretamente, en el Código Penal, que determina la responsabilidad de naturaleza penal para las personas jurídicas en el seno de las cuales se haya cometido un delito.
De este modo, tanto Canadá como los Estados Unidos cuentan con un cuerpo normativo que respalda la aplicación de la responsabilidad penal corporativa, por ejemplo, a través de la Foreign Corrupt Practices Act (FCPA) en Estados Unidos, o el Código Penal y la Corruption of Foreign Public Officials Act (CFPOA) en el caso de Canadá, así como una aplicación judicial y sancionadora firme que desarrolla esta cuestión, en la que cabe destacar las Sentencing Guidelines en Estados Unidos o el caso Canadian Dredge and Dock Co. vs. The Queen en Canadá.
Sin embargo, la principal diferencia de la regulación de la responsabilidad corporativa entre ambos países radica en que en los Estados Unidos rige el principio respondeat superior, lo que supone una aplicación más amplia o más automática de la responsabilidad penal corporativa. En cambio, en Canadá, para poder atribuir responsabilidad de naturaleza penal a las personas jurídicas, deben cumplirse la totalidad de requisitos recogidos en el código penal canadiense, lo que comporta una aplicación más limitada.
A continuación, se adjunta un resumen del estado de la cuestión en los diferentes países analizados:
| País | Naturaleza de la responsabilidad | Listado cerrado o abierto de delitos / infracciones | Posibilidad legal de exención por disponer de Compliance |
| Canadá | Penal | Listado abierto | Se prevé en determinadas leyes, como en la normativa anti-blanqueo de capitales |
| Estados Unidos | Penal | Listado abierto | No regulada |
Molins Compliance.
