Los límites y funciones del compliance penal en la empresa

La actividad empresarial produce riesgos mercantiles, administrativos, laborales, tributarios, reputacionales y éticos. Sin embargo, no todos ellos poseen la misma naturaleza ni generan consecuencias equivalentes. Cuando la conducta empresarial amenaza o lesiona bienes jurídicos protegidos y el ordenamiento prevé una sanción para la persona jurídica, el riesgo adquiere una dimensión específicamente penal.

Esta transición exige distinguir el compliance penal de las restantes manifestaciones del cumplimiento normativo. Una pérdida reputacional, una infracción contractual o una decisión éticamente cuestionable pueden afectar gravemente a la empresa, pero no equivalen a una pena. La respuesta penal se encuentra sometida a presupuestos, principios y garantías particularmente estrictos.

El programa de cumplimiento adquiere relevancia penal cuando se dirige a prevenir delitos, controlar los procesos que pueden favorecerlos y demostrar que la organización adoptó medidas razonables para mantenerse dentro del marco jurídicamente permitido. El estudio doctrinal analizado subraya que los efectos mercantiles, éticos o reputacionales del incumplimiento no deben confundirse con las consecuencias derivadas del ejercicio del poder punitivo. 

II. El compliance no es, por naturaleza, derecho penal

El compliance es, primordialmente, un mecanismo técnico de administración de riesgos. Su arquitectura procede de la gestión corporativa: identifica peligros, asigna responsabilidades, establece controles, genera información y diseña respuestas frente a desviaciones.

El derecho penal se interesa por estos mecanismos únicamente cuando los riesgos gestionados pueden traducirse en delitos. Por ello, el programa no se transforma automáticamente en una institución penal por contener políticas destinadas a evitar conductas ilícitas.

Esta precisión tiene consecuencias prácticas. Una empresa puede disponer de controles administrativos, financieros o laborales sin contar con un verdadero compliance penal. Para utilizar esta última denominación debe existir un régimen que reconozca la responsabilidad penal de las personas jurídicas y permita valorar la organización preventiva como elemento de exclusión, reducción o individualización de sus consecuencias.

Cuando un ordenamiento solamente contempla sanciones administrativas para la empresa, resultaría más preciso hablar de compliance administrativo. La expresión criminal compliance adquiere sentido estricto cuando existe una amenaza penal corporativa y el programa se relaciona con los presupuestos de esa responsabilidad. 

III. La empresa dentro del riesgo permitido

Toda actividad económica genera peligros. La producción industrial, la prestación de servicios, la administración de recursos financieros y la contratación de personal pueden ocasionar daños aun cuando se desarrollen legítimamente. El derecho no exige eliminar absolutamente todos los riesgos, pues semejante pretensión impediría buena parte de la actividad empresarial.

La función del compliance consiste en mantener esos peligros dentro del denominado riesgo permitido. Para ello, la organización debe conocer las fuentes de exposición propias de su actividad, valorar su intensidad y establecer medidas proporcionadas para impedir que se conviertan en hechos penalmente relevantes.

El programa no garantiza que nunca se cometerá un delito. Su utilidad reside en reducir racionalmente la probabilidad de que ocurra, detectar oportunamente las desviaciones y acreditar que la empresa no permaneció indiferente frente a los peligros previsibles.

La diligencia corporativa se demuestra mediante hechos: controles aplicados, recursos asignados, capacitación impartida, alertas atendidas y medidas correctivas. Cuando estas actuaciones existen únicamente en documentos, el riesgo permanece fuera de control, aunque la empresa disponga de un manual formalmente completo.

IV. La prevención no equivale a inmunidad

La adopción de un programa de cumplimiento no garantiza automáticamente la impunidad de la persona jurídica, debe rechazarse expresamente que el compliance funcione como una especie de vacuna jurídica preventiva.

Su existencia puede resultar indispensable para invocar determinados efectos favorables, pero debe concurrir con los demás requisitos establecidos por el ordenamiento. Además, la empresa tendrá que demostrar que el modelo era adecuado para sus riesgos y que se aplicaba de manera efectiva.

La autoridad no debería limitarse a verificar que existen un código ético, un canal de denuncia o un responsable de cumplimiento, debe examinar si esos elementos formaban parte de un mecanismo genuino de prevención y si poseían capacidad real para reducir el riesgo delictivo. Un programa aprobado poco antes de una auditoría, desconocido por los trabajadores o desatendido por la dirección no ofrece la misma evidencia que un sistema utilizado regularmente. En materia penal, la forma documental debe corresponder con la realidad organizativa. 

V. La influencia del modelo estadounidense

La evolución contemporánea del compliance penal se encuentra profundamente influida por la experiencia estadounidense. Durante la década de 1990 se desarrollaron directrices federales para individualizar las sanciones aplicables a las organizaciones, considerando favorablemente la adopción de programas eficaces de prevención y detección de delitos.

Estas directrices no se limitan a exigir documentos. Valoran la promoción de una cultura corporativa respetuosa del derecho, la designación de responsables, la formación de los trabajadores, la existencia de canales de denuncia, la cooperación con las investigaciones y la modificación del programa cuando un delito revela sus deficiencias.

Tenemos planteamientos de análisis utilizados por la División Criminal del Departamento de Justicia estadounidense al evaluar programas corporativos, así como la Circular 1/2016 de la Fiscalía General del Estado Español: si el modelo está correctamente diseñado, si se aplica seriamente y de buena fe, y si funciona en la práctica. Esto concentra la esencia de la evaluación, un programa puede estar bien redactado, pero carecer de implementación. También puede haber sido puesto en marcha formalmente sin producir resultados efectivos. La defensa corporativa requiere superar simultáneamente los planos del diseño, la aplicación y el funcionamiento. 

VI. La amenaza penal exige garantías reforzadas

La prevención empresarial no puede desvincularse de los principios que limitan el poder punitivo. Cuando el programa se utiliza para atribuir, excluir o reducir responsabilidad penal, su valoración debe respetar legalidad, proporcionalidad, culpabilidad, igualdad y derecho de defensa.

La empresa posee libertad para organizar sus procesos internos, pero no puede crear delitos ni establecer penas criminales. Sus códigos disciplinarios producen efectos dentro de la relación corporativa, laboral o contractual; no sustituyen las normas emanadas de los poderes públicos.

Esta distinción también debe observarse durante las investigaciones internas. La organización puede recopilar información, entrevistar empleados y adoptar medidas correctivas dentro de los límites legales. Sin embargo, no ejerce las facultades propias de una fiscalía ni puede desconocer los derechos de las personas investigadas.

La severidad de la sanción penal exige reglas más rigurosas que las aplicables a contingencias administrativas o reputacionales. El compliance puede aportar evidencia sobre la diligencia organizativa, pero su utilización no debe erosionar las garantías fundamentales que estructuran el proceso penal.

VII. El hecho punible como punto de partida

La discusión sobre la eficacia penal del programa presupone la existencia de un hecho punible, este puede ser imputable a una persona física determinada o indeterminada, pero la persona jurídica sometida al análisis debe encontrarse plenamente identificada.

Este punto impide debatir el compliance en abstracto, la autoridad deberá relacionar el programa con el delito concreto, el área donde ocurrió, las personas que intervinieron y los controles que debían evitarlo.

No basta con afirmar que la empresa poseía una cultura general de cumplimiento. Debe establecerse si había identificado el riesgo específico, si existían medidas dirigidas a controlarlo y si las personas responsables de la vigilancia actuaron conforme a sus funciones.

La evaluación penal es necesariamente contextual. Un control adecuado para una pequeña empresa puede resultar insuficiente para una corporación internacional. Del mismo modo, las medidas apropiadas para riesgos laborales no sustituyen las exigidas frente a corrupción, blanqueo de dinero o manipulación financiera.

VIII. Autorregulación regulada y control público

El compliance concede a la empresa un margen para organizar la prevención, pero esa libertad no es absoluta. El modelo descrito como autorregulación regulada combina la capacidad corporativa para diseñar controles con la permanencia de la supervisión estatal.

La empresa conoce mejor sus procesos y puede concretar las medidas más adecuadas para su actividad. El Estado, por su parte, establece los límites, verifica el cumplimiento y conserva la potestad de imponer las consecuencias previstas legalmente.

Esta fórmula intermedia resulta especialmente relevante en industrias financieras, alimentarias, farmacéuticas o tecnológicas, donde la complejidad de los riesgos exige conocimientos especializados, pero también controles públicos rigurosos.

La existencia de una organización preventiva no permite eludir inspecciones, autorizaciones o deberes regulatorios. El compliance complementa esos mecanismos; no los reemplaza. La expansión internacional de las empresas puede requerir esquemas de supervisión multinivel, pero no justifica la desaparición de la intervención pública. 

IX. El papel del consejo de administración

El consejo de administración debe comprender que el riesgo penal forma parte del gobierno corporativo. No puede delegar completamente su atención en el oficial de cumplimiento ni considerar que la aprobación del programa agota sus deberes.

Los órganos directivos deben conocer los principales riesgos, asignar recursos, recibir informes y verificar que las medidas funcionen. También deben evitar que los incentivos económicos contradigan las políticas preventivas.

Una organización que recompensa resultados obtenidos mediante prácticas inseguras o irregulares debilita su propio programa. La diligencia se refleja tanto en los controles formales como en las decisiones empresariales que determinan qué conductas son premiadas, toleradas o corregidas.

X. Conclusión

El riesgo empresarial adquiere relevancia penal cuando puede materializarse en una conducta delictiva atribuible a la persona jurídica. En ese momento, el compliance deja de ser únicamente una herramienta de eficiencia o reputación y se convierte en un componente de prevención y defensa. Su existencia no asegura inmunidad. La empresa debe acreditar que el programa fue diseñado correctamente, aplicado de buena fe y capaz de funcionar en la práctica.

El compliance penal opera dentro de un sistema de autorregulación regulada: la organización administra sus riesgos, pero el Estado conserva la definición de los delitos, la supervisión y la potestad sancionadora.

La mejor defensa no se encuentra en la cantidad de políticas aprobadas, sino en la evidencia de que la empresa identificó el peligro, actuó diligentemente y mantuvo su actividad dentro del riesgo jurídicamente permitido.