Cómo cartografiar la exposición penal de una organización

La implementación de un programa de compliance penal exige elaborar previamente un mapa de riesgos, este documento debe reflejar la realidad organizativa y económica de la empresa, identificar las actividades donde podrían cometerse delitos y explicar cómo funcionarán los controles destinados a prevenirlos.

No se trata de una relación abstracta de tipos penales ni de un inventario elaborado para satisfacer formalmente una auditoría. El mapa debe mostrar cómo opera la persona jurídica: qué actividades desarrolla, cómo distribuye sus facultades, quién autoriza recursos, cuáles procesos concentran mayor exposición y qué mecanismos permiten detectar desviaciones.

Dentro del sistema examinado por el material doctrinal, el artículo 31 bis, apartado 5, del Código Penal español (CPE) coloca la identificación de las actividades de riesgo como el primer requisito de los modelos de organización y gestión. La lógica es elemental: ningún programa puede prevenir eficazmente aquello que la empresa no ha identificado. 

El mapa constituye, por ello, el diagnóstico sobre el cual se construyen las políticas, protocolos, canales de denuncia, sistemas disciplinarios y mecanismos de supervisión. Si el diagnóstico es incompleto, los controles derivados también lo serán.

II. Un documento vinculado con la realidad empresarial

Cada empresa debe elaborar su propio mapa. Los riesgos de una institución financiera no coinciden con los de una constructora, una compañía tecnológica, una industria alimentaria o una sociedad dedicada al transporte. Incluso dos organizaciones pertenecientes al mismo sector pueden presentar exposiciones diferentes por su tamaño, estructura, presencia territorial, clientes o modelo de dirección.

La individualización es indispensable, un formato genérico puede enumerar delitos posibles, pero difícilmente explicará dónde se originan los riesgos dentro de una organización concreta. Tampoco permitirá conocer quién debe controlarlos ni qué evidencia demostrará la aplicación de las medidas preventivas.

El documento debe construirse mediante el análisis de departamentos, procesos, contratos, operaciones financieras, sistemas de autorización y relaciones con terceros. También debe considerar la estructura jerárquica y los canales reales de decisión, no solamente aquellos descritos formalmente en los organigramas.

Una empresa puede afirmar que determinada operación requiere varias autorizaciones, pero la práctica puede revelar que una sola persona concentra la decisión. El mapa debe registrar esa realidad, pues la prevención penal pierde eficacia cuando se diseña sobre procedimientos que únicamente existen por escrito.

III. Identificación y valoración de los riesgos

La identificación responde a la pregunta sobre qué delitos podrían cometerse dentro de la actividad empresarial. La valoración, en cambio, examina la probabilidad de que ocurran y la magnitud de sus consecuencias. El material doctrinal recoge la posibilidad de clasificar los riesgos siguiendo categorías utilizadas en otros ámbitos preventivos: triviales, moderados, importantes o intolerables. La finalidad de esta graduación consiste en relacionar la intensidad del peligro con las medidas necesarias para neutralizarlo.

Un riesgo reducido no exige necesariamente el mismo despliegue de recursos que uno capaz de comprometer la continuidad de la empresa o afectar bienes jurídicos fundamentales. Sin embargo, el planteamiento examinado advierte que el CPE exige identificar los riesgos previsibles, sin establecer expresamente que las exposiciones consideradas menores puedan ser omitidas. La proporcionalidad debe operar, por tanto, en la selección de los controles y no en la desaparición artificial de riesgos del mapa. Todas las exposiciones razonablemente previsibles deben contemplarse; la intensidad de la respuesta podrá variar según su relevancia.

IV. El control financiero como eje transversal

El primer componente del control interno es el financiero. Comprende riesgos mercantiles, tributarios, de corrupción, blanqueo de capitales y financiación del terrorismo, entre otros.

Su carácter transversal deriva de que prácticamente cualquier empresa administra recursos, efectúa pagos, contrata servicios, registra operaciones y cumple obligaciones fiscales. Los riesgos financieros no pertenecen exclusivamente a bancos o entidades especializadas; pueden materializarse en cualquier organización cuando existen facturas falsas, pagos sin respaldo, cuentas opacas, intermediarios injustificados o registros contables incorrectos.

El mapa debe identificar las unidades responsables de estos procesos: contratación pública o privada, tesorería, pagos, fiscalidad, auditoría y control interno. Después debe establecer procedimientos específicos para cada fuente de exposición. 

La sola existencia de un departamento financiero no equivale a control. Resulta necesario definir quién solicita una erogación, quién la autoriza, qué documentación la respalda, cómo se verifica el destinatario y quién revisa posteriormente su correcta contabilización. También debe analizarse la segregación de funciones. Cuando una misma persona puede solicitar, autorizar, ejecutar y registrar una operación, la concentración de facultades incrementa el riesgo y reduce la posibilidad de detectar irregularidades.

V. El control operacional o sectorial

El segundo componente corresponde al control operacional o sectorial. Mientras los riesgos financieros suelen atravesar a toda la organización, los operativos dependen de las particularidades de la actividad productiva.

Una industria alimentaria deberá examinar la calidad y seguridad de sus productos. Una constructora analizará los riesgos derivados de obras, materiales y condiciones de trabajo. Una empresa tecnológica tendrá que revisar procesos vinculados con datos, sistemas y servicios digitales. Cada actividad genera peligros propios o inherentes que deben relacionarse con los delitos susceptibles de producir responsabilidad para la persona jurídica.

El mapa no puede limitarse a copiar el catálogo legal. Debe vincular cada riesgo con un proceso: dónde podría surgir, qué personas intervendrían, qué recursos serían utilizados y qué controles deberían impedirlo.

Esta conexión convierte al documento en una herramienta operativa. El área responsable puede comprender qué debe vigilar, con qué periodicidad y mediante qué evidencia. Sin esta traducción práctica, el análisis penal permanece separado de la actividad diaria.

VI. Riesgo inherente y controles preventivos

El diagnóstico debe distinguir entre el riesgo inherente y el riesgo residual. El primero corresponde al peligro propio de una actividad antes de aplicar controles. El segundo es aquel que permanece después de implementar medidas preventivas.

Aunque esta terminología no sustituye los requisitos jurídicos, permite comprender que ningún control elimina completamente la posibilidad de incumplimiento. La empresa debe valorar si el nivel residual resulta aceptable o si exige medidas adicionales.

La proporcionalidad vuelve a ocupar un lugar central. Los riesgos intolerables demandan controles reforzados, supervisión frecuente y participación de niveles superiores de decisión. Los riesgos moderados pueden atenderse mediante procedimientos ordinarios, siempre que exista evidencia de su aplicación.

La valoración no debe manipularse para justificar menores inversiones. Considerar trivial un peligro relevante puede revelar que la empresa subordinó la prevención a la rentabilidad inmediata. La clasificación debe apoyarse en información, experiencia, incidentes previos y conocimientos técnicos.

VII. Autocontrol y heterocontrol

El material distingue dos dimensiones dentro del mapa: el control interno o autocontrol y el control externo o heterocontrol. El primero comprende los mecanismos adoptados por la empresa para vigilar sus propias fuentes de riesgo. El segundo se refiere a la evaluación realizada por examinadores externos e imparciales. 

El autocontrol permite una supervisión continua. Las áreas internas conocen los procesos, acceden a la información y pueden intervenir con rapidez. Sin embargo, también pueden enfrentar conflictos de interés, presiones jerárquicas o tolerancia frente a prácticas arraigadas. El heterocontrol aporta una perspectiva independiente. Una evaluación externa puede detectar deficiencias normalizadas dentro de la organización o cuestionar clasificaciones excesivamente optimistas.

No obstante, la revisión externa tampoco garantiza por sí sola la eficacia. El evaluador depende de la información proporcionada y del alcance de su encargo. Si la empresa oculta procesos o limita el acceso documental, el dictamen puede describir una imagen incompleta. Por ello, el programa debe definir cómo se realizará la evaluación externa, quién tendrá acceso a sus resultados y qué medidas se adoptarán frente a las deficiencias identificadas.

VIII. Estándares y certificaciones técnicas

El diseño puede considerar pautas emitidas por organismos técnicos, como las relacionadas con la prevención del blanqueo de capitales o los estándares de gestión elaborados por entidades de normalización.

El documento menciona referencias provenientes del Grupo de Acción Financiera Internacional (GAFI), así como certificaciones de organizaciones como AENOR, ISO o las normas DIN. Estas herramientas pueden orientar el diagnóstico y facilitar un lenguaje común para evaluar controles. 

Sin embargo, su cumplimiento no sustituye las exigencias legales ni vincula automáticamente al órgano jurisdiccional. Una certificación demuestra que el sistema fue revisado conforme a cierto estándar, pero no acredita necesariamente que todos los riesgos penales hayan sido identificados o que los controles funcionaran ante el hecho investigado. El mapa debe responder primero a la ley y a la empresa real. Los estándares técnicos son instrumentos auxiliares, no salvoconductos penales.

IX. Actualización y revisión permanente

El mapa de riesgos no puede permanecer estático. La actividad empresarial cambia: aparecen productos, mercados, tecnologías, proveedores y formas de contratación. Cada modificación puede generar exposiciones nuevas o alterar la importancia de las existentes.

También deben considerarse los incidentes. Una denuncia, auditoría o investigación interna puede revelar que determinado riesgo fue valorado incorrectamente. La respuesta adecuada consiste en revisar el diagnóstico, fortalecer los controles y documentar la corrección.

La actualización debe realizarse periódicamente y siempre que existan cambios relevantes. Un mapa elaborado años atrás, sin relación con la operación actual, pierde valor preventivo y probatorio.

La revisión no implica reescribir formalmente el documento sin modificar la práctica. Su finalidad es comprobar que los controles continúan siendo adecuados y que las unidades responsables cumplen sus funciones.

X. Conclusión

El mapa de riesgos es la base del compliance penal porque conecta la norma con la realidad económica y organizativa de la empresa. Su función consiste en identificar exposiciones, valorar su importancia y asignar controles proporcionados. Debe comprender riesgos financieros y operacionales, definir responsabilidades, prever supervisión interna y externa, y actualizarse conforme evolucione la organización.

Un mapa genérico puede producir una apariencia de orden, pero no permite prevenir delitos ni demostrar diligencia. La verdadera cartografía penal empresarial exige reconocer dónde se toman las decisiones, cómo circulan los recursos y qué procesos pueden generar daños. La prevención comienza cuando la empresa deja de describirse como quisiera ser y se analiza como realmente funciona.