La construcción estricta del compliance penal

La construcción estricta de un programa de compliance penal se inscribe dentro de la evolución contemporánea del denominado derecho penal del riesgo. El desarrollo económico, la sofisticación financiera y la expansión de las empresas han creado peligros globales cuya administración ya no puede depender únicamente de respuestas posteriores. La organización debe identificar las fuentes de exposición derivadas de su actividad y evitar que un riesgo inicialmente permitido evolucione hasta convertirse en un hecho punible.

No todo riesgo empresarial es ilícito. La producción de bienes, la prestación de servicios, la intermediación financiera y la introducción de nuevas tecnologías generan peligros que el ordenamiento admite porque forman parte de actividades económica y socialmente necesarias. La obligación corporativa consiste en disminuir razonablemente el daño potencial, no en reducirlo a cero, pues una exigencia absoluta impediría el progreso económico y la innovación. 

El compliance penal debe construirse, por tanto, alrededor de una frontera: aquella que separa el riesgo permitido del riesgo jurídicamente prohibido. Su función consiste en impedir que decisiones comerciales, deficiencias estructurales o fallas de supervisión desplacen la actividad empresarial hacia el segundo ámbito.

II. Autorresponsabilidad y culpabilidad corporativa

La responsabilidad penal de la persona jurídica no debería fundarse en la transferencia automática de la culpabilidad correspondiente a la persona física que ejecutó materialmente el delito. El modelo de autorresponsabilidad exige identificar un fundamento propio de imputación referido a la organización empresarial.

Dentro de esta concepción adquiere relevancia la teoría del defecto de organización. La empresa responde no solo porque se cometió un hecho típico en su ámbito, sino porque existían deficiencias estructurales relacionadas con el cumplimiento de la legalidad penal. Estas deficiencias pueden derivar de decisiones inadecuadas acumuladas durante años: controles insuficientes, competencias mal delimitadas, supervisión inexistente o incentivos que favorecen comportamientos irregulares.

La culpabilidad corporativa aparece así vinculada con la forma en que la persona jurídica utilizó su capacidad de organización. El delito individual continúa siendo necesario, pero la responsabilidad empresarial encuentra su fundamento en una estructura incapaz de prevenir, detectar o reaccionar frente a la conducta. 

III. Corregir los defectos de organización

Si la responsabilidad se relaciona con un defecto organizacional, resulta coherente reconocer efectos favorables a la empresa que adopta medidas dirigidas a corregirlo. Los programas de organización y gestión pueden contribuir a atenuar o, en determinados sistemas, excluir la responsabilidad cuando demuestran un compromiso auténtico con la prevención.

Esta relación explica el lugar que ocupa el compliance dentro del modelo corporativo. El programa no constituye un beneficio concedido gratuitamente a la empresa, sino una respuesta frente a la exigencia de organizarse diligentemente. La persona jurídica recibe un tratamiento favorable cuando acredita que identificó sus riesgos y adoptó medidas adecuadas para impedir su materialización.

Sin embargo, la posibilidad de exoneración no debe confundirse con una inmunidad automática. La empresa necesita demostrar que el programa existía antes del delito, que se encontraba adaptado a sus actividades y que era aplicado por quienes tenían responsabilidades de dirección, control y supervisión.

IV. El antecedente estadounidense

La evolución de los programas de cumplimiento como elementos relevantes para la responsabilidad corporativa tuvo un impulso decisivo en Estados Unidos. No olvidemos que, durante procesos seguidos contra empresas eléctricas en la década de 1950, una de las compañías condenadas alegó que su departamento jurídico había establecido instrucciones internas destinadas a asegurar el cumplimiento normativo. Aunque el argumento no fue acogido entonces, contribuyó al desarrollo posterior de la idea de que una estructura preventiva podía ser valorada al determinar la responsabilidad o la sanción de la empresa. Con el tiempo, el compliance se consolidó como un instrumento mediante el cual la organización afirma su respeto al derecho y se compromete a identificar los delitos susceptibles de cometerse dentro de su estructura. 

El desarrollo histórico muestra que el programa no nació como un simple catálogo de prohibiciones. Su función defensiva se construyó sobre la necesidad de acreditar que la empresa intentó impedir el delito mediante decisiones internas concretas.

V. La contradicción provocada por el delito consumado

La principal dificultad aparece cuando el delito se comete a pesar de la existencia del programa. Si una persona perteneciente a la organización actúa en beneficio de la empresa y materializa un hecho punible, puede sostenerse que el mecanismo preventivo fracasó.

Esta circunstancia genera una contradicción difícil de resolver. La empresa afirma que su programa era idóneo, pero el resultado demuestra que el riesgo no fue neutralizado. En el derecho español, el Código Penal español (CPE) exige que los modelos de organización y gestión hayan sido adoptados y ejecutados eficazmente antes de la comisión del delito. La cuestión consiste en determinar cómo puede acreditarse esa eficacia cuando el hecho que pretendía evitarse finalmente ocurrió.

La doctrina recurre al concepto de eficacia relativa, tal como lo menciona la Fiscalía General Española en su circular 1/2016. Bajo esta perspectiva, la comisión del delito no demuestra necesariamente la inutilidad completa del programa. El sistema todavía puede considerarse eficaz cuando posee capacidad real para detectar la infracción, reaccionar frente a ella y corregir las causas que permitieron su comisión. 

VI. Diseño, detección y reacción

La eficacia relativa exige valorar el programa en varias dimensiones. La primera corresponde al diseño: la organización debe haber identificado sus riesgos y establecido controles razonables. La segunda se refiere a la operación: las políticas tienen que ser conocidas, financiadas y aplicadas. La tercera comprende la detección y la respuesta: el sistema debe descubrir irregularidades, investigarlas y producir consecuencias.

Un programa que no logró impedir el delito puede conservar cierta relevancia si permitió descubrirlo oportunamente, limitar sus efectos, identificar a los responsables y modificar los controles. En cambio, un modelo incapaz de prevenir, detectar o reaccionar carece de los atributos necesarios para funcionar como defensa.

La construcción estricta del compliance exige, por ello, superar la visión exclusivamente documental. Manuales, organigramas y códigos éticos son instrumentos necesarios, pero insuficientes cuando no existe evidencia de aplicación. La autoridad debe examinar si el modelo formaba parte de la actividad cotidiana o si solo fue presentado después de iniciada la investigación.

VII. La prueba de la eficacia

La idoneidad del programa plantea un problema probatorio. Puede recurrirse a informes técnicos elaborados por especialistas en compliance para explicar el diagnóstico, los controles y el funcionamiento del sistema. No obstante, el material advierte que también existen dudas acerca del valor que debe concederse a las certificaciones emitidas por entidades privadas.

Una certificación acredita que, en determinado momento, el programa fue evaluado conforme a ciertos estándares. No demuestra por sí sola que los controles funcionaran frente al delito concreto. La empresa deberá acompañarla con evidencia interna: capacitaciones, reportes, auditorías, investigaciones, medidas disciplinarias y modificaciones realizadas después de detectar deficiencias.

La valoración definitiva no corresponde al certificador, sino a la autoridad encargada de resolver el caso. El dictamen técnico puede aportar conocimientos especializados, pero no reemplaza el análisis jurídico de la eficacia ni determina automáticamente la exoneración.

VIII. Negociación penal y colaboración empresarial

En el modelo federal estadounidense, la existencia de controles internos puede ser invocada durante la negociación con la fiscalía, aun cuando dichos controles hayan fallado. En estos procedimientos se consideran el compromiso general de la empresa con el orden jurídico, su colaboración con los investigadores y las medidas adoptadas para mejorar el programa.

El material menciona los acuerdos de enjuiciamiento aplazado —Deferred Prosecution Agreements (DPA)— y los acuerdos de no procesamiento —Non-Prosecution Agreements (NPA)—. Estas figuras pueden beneficiar a la empresa al evitar o suspender el proceso, mientras permiten a la fiscalía exigir colaboración, reconocimiento de hechos, pago de multas, indemnizaciones y reorganización interna.

El compliance no garantiza la impunidad dentro de este esquema. Con frecuencia, su efecto consiste en atenuar la respuesta y facilitar una solución negociada, no en eliminar completamente la responsabilidad. La empresa suele asumir consecuencias económicas y compromisos correctivos. 

IX. La excepcionalidad de la exoneración

El hecho de que se haya cometido un delito dentro de una empresa que contaba con un modelo de organización obliga a examinar críticamente su funcionamiento. El diseño pudo ser incorrecto, la ejecución insuficiente o la supervisión meramente formal.

Por ello, la exoneración completa aparece como un resultado excepcional. La existencia de certificaciones, políticas o responsables de cumplimiento no elimina la necesidad de probar que el sistema era efectivo. Incluso cuando el programa produzca efectos favorables, estos pueden limitarse a la graduación de la sanción.

Esta conclusión no vuelve inútil al compliance. Su valor también reside en prevenir otros hechos, facilitar la detección, reducir daños y demostrar una conducta corporativa distinta de la correspondiente a una empresa indiferente o deliberadamente orientada hacia el delito.

X. Conclusión

La construcción estricta del compliance penal exige relacionar riesgos, controles y responsabilidad organizacional. El programa debe mantener la actividad empresarial dentro del riesgo permitido y corregir los defectos estructurales que puedan facilitar delitos. Su eficacia no puede valorarse exclusivamente por la existencia de documentos o certificaciones. Debe comprobarse mediante la aplicación anterior al hecho, la capacidad de detección y la reacción institucional.

La comisión del delito revela que la prevención no fue absoluta, pero no necesariamente vuelve irrelevante todo el sistema. La cuestión decisiva consiste en establecer si la empresa había organizado seriamente su cumplimiento o si utilizó el programa como una apariencia defensiva. En la práctica, el compliance puede contribuir a atenuar consecuencias, facilitar acuerdos y, excepcionalmente, sustentar una exoneración. Su verdadero valor, sin embargo, comienza mucho antes del proceso penal: cuando obliga a la empresa a conocer sus riesgos y a gobernarlos con diligencia.