Proteger a la empresa del delito cometido desde dentro

El compliance penal suele asociarse con la prevención de delitos cometidos por directivos o trabajadores en nombre, por cuenta o en beneficio de una persona jurídica. Bajo esa perspectiva tradicional, la organización aparece como posible responsable de una conducta que perjudica a terceros, acreedores, consumidores, competidores o administraciones públicas.

Sin embargo, la actividad delictiva desarrollada dentro de una empresa también puede dirigirse contra ella. Administradores, socios, directivos o empleados pueden aprovechar su posición, sus facultades y el acceso a recursos corporativos para distraer dinero, disponer indebidamente de activos, manipular registros o causar perjuicios al patrimonio administrado.

Estas conductas reciben habitualmente la denominación de delitos ad intra, porque el daño se proyecta hacia el interior de la organización. En tales supuestos, la empresa deja de ocupar la posición de eventual beneficiaria del delito y se convierte en víctima directa o perjudicada.

La diferencia modifica sustancialmente la función del programa de cumplimiento. El compliance ya no se orienta primordialmente a evitar la atribución de responsabilidad penal a la persona jurídica, sino a proteger su patrimonio, garantizar la integridad de sus procesos y detectar tempranamente las conductas desleales de quienes actúan dentro de ella.

II. Delitos ad intra y delitos ad extra

La distinción entre delitos ad intra y ad extra atiende principalmente a la dirección del perjuicio. En los primeros, la conducta afecta a la propia organización. En los segundos, el daño recae sobre personas o intereses externos.

Una estafa realizada mediante recursos empresariales contra clientes o acreedores constituye un ejemplo de criminalidad ad extra. Por el contrario, la distracción continuada de fondos de la entidad por un administrador representa un supuesto paradigmático de criminalidad ad intra.

No se trata de categorías legales rígidas, sino de conceptos útiles para diseñar la prevención. Una misma empresa necesita controles orientados hacia ambos frentes: impedir que su estructura sea utilizada para perjudicar a terceros y evitar que quienes ejercen funciones internas lesionen su patrimonio.

El error consistiría en limitar el mapa de riesgos a los delitos capaces de generar responsabilidad penal para la persona jurídica. El buen gobierno corporativo exige reconocer también aquellas conductas que pueden convertir a la empresa en víctima, aunque no produzcan una imputación penal contra ella.

III. Administración desleal y apropiación indebida

Entre las conductas ad intra más significativas se encuentran la administración desleal y la apropiación indebida. La primera puede producirse cuando quien posee facultades para administrar un patrimonio ajeno las infringe, excediéndose en su ejercicio y causando un perjuicio al patrimonio administrado. La segunda se relaciona con la apropiación de dinero, efectos, valores u otros bienes recibidos con obligación de entregarlos o devolverlos.

La Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal (CP) regula la administración desleal en su artículo 252 y la apropiación indebida en los artículos 253 y siguientes; lo que en México se contempla en el artículo 388 del Código Penal Federal (CPF) la administración desleal o fraudulenta, la que sanciona a quien, administrando bienes ajenos, cause perjuicio al titular con ánimo de lucro, mediante acciones como alterar cuentas, simular operaciones, retener valores o realizar actos perjudiciales en beneficio propio o de terceros. La ubicación sistemática de estas conductas es relevante, pues la previsión específica de responsabilidad penal de las personas jurídicas aplicable a determinadas estafas no se extiende automáticamente a esas secciones. 

Cuando la conducta consiste en sustraer recursos de la sociedad, la empresa normalmente no obtiene un beneficio directo o indirecto; experimenta un menoscabo. Esta circunstancia dificulta satisfacer uno de los presupuestos generales establecidos para atribuir responsabilidad penal a la persona jurídica. 

IV. La relevancia preventiva del compliance interno

Que un delito ad intra no genere responsabilidad penal para la empresa no significa que resulte ajeno al compliance. La organización posee un interés evidente en impedir que sus recursos sean utilizados fraudulentamente por quienes ejercen funciones de confianza.

La Sentencia de la Sala Segunda del Tribunal Supremo Español 365/2018, de 18 de julio (STS 365/2018) destacó la importancia de implantar programas de cumplimiento para dificultar la comisión y prolongación de apropiaciones internas. La resolución, identificada con el ECLI ES:TS:2018:2947, examinó la utilidad de los controles empresariales frente a conductas desarrolladas desde posiciones internas de poder o confianza. 

La aportación principal de esta perspectiva consiste en ampliar la finalidad del programa. El compliance no solo protege a la empresa frente al riesgo de ser condenada; también la protege frente a quienes podrían defraudarla desde dentro.

Esta función preventiva posee valor patrimonial, societario y reputacional. Una apropiación continuada puede deteriorar la liquidez, alterar la contabilidad, afectar obligaciones fiscales y comprometer la confianza de socios, empleados e inversionistas.

V. La confianza no elimina el deber de control

Muchas irregularidades internas se prolongan porque la empresa sustituye el control por relaciones personales de confianza. La antigüedad, la posición jerárquica o los vínculos entre socios pueden generar la convicción de que determinadas personas no necesitan supervisión.

Sin embargo, la confianza no constituye un mecanismo de control. Puede facilitar la cooperación, pero también crear espacios de opacidad cuando una persona concentra facultades para autorizar, ejecutar, registrar y revisar sus propias operaciones.

El compliance interno no presume que todos los integrantes actuarán deslealmente. Su finalidad consiste en reducir oportunidades, asegurar que las decisiones relevantes sean verificables y evitar que la continuidad operativa dependa exclusivamente de la honestidad individual.

Por ello, la supervisión debe concentrarse en funciones sensibles, no en la vigilancia indiscriminada de los trabajadores. Cuanto mayor sea la capacidad para disponer de activos, modificar registros, contratar terceros o realizar pagos, mayor deberá ser la trazabilidad.

VI. Segregación de funciones y trazabilidad

De la prevención de delitos ad intra se desprende la necesidad de separar competencias incompatibles. Quien solicita un pago no debería ser la única persona autorizada para aprobarlo, ejecutarlo y registrarlo. Del mismo modo, quien administra determinados activos no debería controlar exclusivamente su inventario y revisión.

La segregación de funciones reduce la posibilidad de que una sola persona complete una operación irregular sin intervención de terceros. También facilita la detección, pues obliga a contrastar información entre áreas distintas.

La trazabilidad complementa esta estructura. Cada operación relevante debe permitir identificar quién la promovió, quién la autorizó, qué documentación la respaldó y cómo fue registrada. No se trata de multiplicar formularios, sino de conservar evidencia suficiente para reconstruir la decisión.

Los controles deben ser proporcionales a la empresa. Una sociedad pequeña puede utilizar autorizaciones cruzadas y revisiones periódicas; una corporación compleja necesitará sistemas automatizados, auditorías especializadas y supervisión multinivel.

VII. El papel del órgano de administración

La implantación del compliance interno forma parte del buen gobierno empresarial. El órgano de administración debe conocer los riesgos de fraude, aprobar controles adecuados y comprobar que las funciones críticas no se encuentren concentradas injustificadamente.

Delegar la gestión financiera o administrativa no elimina toda responsabilidad de supervisión. El administrador puede encomendar tareas, pero debe seleccionar personas competentes, proporcionar recursos y establecer mecanismos razonables de reporte.

La pasividad ante señales de alerta resulta especialmente problemática. Diferencias contables reiteradas, documentos incompletos, resistencia a entregar información o movimientos incompatibles con la actividad deben ser examinados. La reiteración de anomalías no puede normalizarse por la sola antigüedad o confianza depositada en quien las produce.

El deber de vigilancia tampoco exige impedir cualquier delito. Exige organizar controles razonables según la dimensión, actividad y nivel de exposición de la empresa.

VIII. Responsabilidad de la persona física y de la persona jurídica

La criminalidad interna obliga a individualizar cuidadosamente las responsabilidades. La conducta del directivo o empleado debe analizarse conforme a los elementos del delito que pudiera haber cometido. La responsabilidad de la persona jurídica requiere, en cambio, presupuestos propios y no puede deducirse automáticamente del hecho individual.

El CPF limita la responsabilidad corporativa a los supuestos expresamente previstos y exige que el delito se cometa en nombre o por cuenta de la entidad y en su beneficio directo o indirecto. También contempla los hechos realizados por subordinados cuando no exista debido control organizacional.

Cuando la empresa es la perjudicada por la apropiación o la gestión desleal, no debe confundirse su defecto de control con una participación en el delito. Una supervisión insuficiente puede facilitar el hecho, pero no convierte automáticamente a la víctima en responsable penal.

IX. El compliance no exonera al autor individual

Otro límite debe expresarse con claridad: la existencia de un programa corporativo no excluye ni atenúa automáticamente la responsabilidad penal de la persona física que lo infringe. El directivo que se apropia de fondos no puede defenderse alegando que la empresa carecía de controles. La ausencia de vigilancia puede explicar por qué la conducta permaneció oculta, pero no elimina el dolo ni transforma en lícita la apropiación.

De igual forma, un programa eficaz no funciona como excusa para quien decide eludirlo. El compliance acredita la diligencia de la organización y facilita la detección, pero no sustituye el juicio individual sobre la conducta del autor.

La separación resulta indispensable: el programa puede ser relevante para valorar la organización de la empresa, mientras la culpabilidad de la persona física depende de sus propios actos, conocimientos e intenciones.

X. Canales de información e investigación interna

Los delitos ad intra suelen permanecer ocultos mientras quienes conocen las irregularidades carecen de una vía segura para comunicarlas. Por ello, los canales internos de información pueden cumplir una función decisiva.

La recepción del reporte, sin embargo, constituye apenas el inicio. La empresa necesita procedimientos para clasificar la alerta, preservar documentos, evitar represalias y determinar si corresponde iniciar una investigación.

La investigación interna debe ser independiente, proporcional y respetuosa de los derechos laborales y procesales. Su objetivo no consiste en declarar penalmente culpable a una persona, sino en esclarecer hechos, proteger activos y adoptar decisiones corporativas.

Cuando aparezcan indicios suficientes de delito, la respuesta no puede agotarse en una sanción disciplinaria. La empresa deberá valorar la comunicación a las autoridades y el ejercicio de acciones para recuperar los bienes o reclamar los daños ocasionados.

XI. Conclusión

El compliance ad intra amplía la prevención más allá de la responsabilidad penal corporativa. Su finalidad consiste en impedir que administradores, directivos o empleados utilicen sus competencias para perjudicar a la propia organización.

Los programas internos pueden dificultar apropiaciones, detectar distracciones de dinero y limitar la continuidad del fraude. Para ello necesitan segregación de funciones, trazabilidad, canales de información, revisiones independientes y participación efectiva del órgano de administración.

Sin embargo, deben conservarse los límites jurídicos. La empresa perjudicada no responde penalmente por el simple hecho de haber sido defraudada, ni la ausencia de controles exonera al autor individual.

El verdadero valor del compliance interno se encuentra en transformar la confianza en una relación gobernada por responsabilidades verificables. Una empresa responsable no desconfía indiscriminadamente de sus integrantes; evita que la confianza sea utilizada como cobertura para el delito.