Una década después de la primera condena del Tribunal Supremo a una empresa, los modelos de prevención de delitos han dejado de ser cosa de grandes corporaciones: ahora los piden los clientes. Pero, advierten los especialistas, un programa que solo existe en una carpeta no protege a nadie.
El cuestionario llega por correo electrónico, con el logotipo de un gran grupo industrial y un plazo de diez días. Entre preguntas sobre capacidad productiva y certificados de calidad aparecen otras que el gerente de una empresa mediana no esperaba: ¿dispone de un modelo de prevención de delitos? ¿Quién es su responsable de cumplimiento? ¿Ha formado a su plantilla en materia anticorrupción? El contrato marco que viene después incluye una cláusula que permite al cliente resolverlo si el proveedor se ve envuelto en un procedimiento penal.
Es el nuevo camino por el que el compliancepenal llega a las empresas medianas españolas. No a través de un juzgado, sino de la mesa de compras de sus clientes. «Las grandes compañías tienen la obligación de controlar con quién contratan, y ese control baja por la cadena de suministro en forma de cuestionarios y cláusulas», explican desde 4DLegal, consultora madrileña especializada en cumplimiento normativo que trabaja con más de 200 empresas. Según sus datos, cerca de la mitad de sus clientes llegó porque un cliente o un proveedor se lo había exigido.
Una responsabilidad que no es solo de los directivos
El origen está en una reforma que muchos empresarios siguen sin conocer en detalle. Desde 2010, el Código Penal permite condenar a la propia empresa, y no solo a las personas físicas, por determinados delitos cometidos en su nombre y en su beneficio por sus administradores, directivos o empleados. El catálogo es amplio: estafa, delitos contra la Hacienda Pública y la Seguridad Social, blanqueo de capitales, cohecho, tráfico de influencias, corrupción en los negocios, delitos contra el medio ambiente o contra la intimidad, entre otros.
Las penas tampoco son simbólicas. Además de multas que pueden calcularse en función del beneficio obtenido, el juez puede imponer la suspensión de actividades, la clausura de locales, la prohibición de contratar con el sector público o de recibir subvenciones durante años e incluso la disolución de la sociedad. A ello se suma que la Ley de Contratos del Sector Público impide licitar a las empresas condenadas por determinados delitos. Para una compañía que vive de contratos públicos, una condena puede equivaler al cierre.
En 2016, el Tribunal Supremo dictó la primera sentencia que condenaba a una persona jurídica. Desde entonces, la jurisprudencia ha ido perfilando una idea central: la empresa puede quedar exenta de responsabilidad si demuestra que, antes de que se cometiera el delito, tenía implantado un modelo de organización y gestión adecuado para prevenirlo.
Qué exige la ley a un modelo de prevención
El Código Penal, tras su reforma de 2015, enumera lo que debe tener ese modelo. Primero, un análisis de las actividades de la empresa en las que podrían cometerse delitos, el llamado mapa de riesgos. Después, protocolos y controles que reduzcan esos riesgos, un modelo de gestión de los recursos financieros que impida desviarlos, la obligación de informar de posibles irregularidades a un órgano de vigilancia, un sistema disciplinario que sancione los incumplimientos y una verificación periódica que actualice el sistema cuando cambian la actividad, la organización o la ley. La supervisión debe recaer en un órgano con poderes autónomos de iniciativa y control, el conocido como compliance officer.
La norma técnica UNE 19601, de sistemas de gestión de compliance penal, traduce esos requisitos a un esquema auditable y permite a las empresas obtener una certificación emitida por una entidad independiente. Cada vez más grandes clientes la valoran porque les ahorra comprobar por sí mismos el modelo de su proveedor.
El problema del programa de cajón
La Fiscalía General del Estado lo dejó claro en sus instrucciones a los fiscales: lo que se valora no es la existencia de un documento, sino que el modelo funcione de verdad y refleje un compromiso real de la organización con el cumplimiento. Un programa genérico, copiado de otra empresa o firmado y olvidado, no sirve para eximir a nadie.
Y, sin embargo, es lo que más se encuentra. En 4DLegal estiman que entre el 80 y el 90 % de las empresas que llegan a la firma ya habían trabajado antes con otra consultora. Muchas tienen un manual de compliance penal, pero con un mapa de riesgos que no se corresponde con su actividad real, un responsable de cumplimiento nombrado sobre el papel que no tiene tiempo ni independencia para ejercer, ninguna formación acreditada de la plantilla y ninguna revisión desde el día en que se entregó. «Supera el cuestionario del cliente, porque el cuestionario pregunta si existe. Pero el día que haya que defenderlo ante un juez, lo que importa es si se ha aplicado», señalan desde la consultora.
El canal de denuncias es una buena prueba de ello. La ley penal exige que exista una vía para informar de riesgos e incumplimientos, y la Ley 2/2023 de protección del informante obliga además a las empresas de 50 o más trabajadores a tenerlo. De los cerca de 50 canales que gestiona 4DLegal, solo en unos 10 se ha recibido alguna comunicación. Un canal sin actividad, sin formación y sin registros de gestión es, a juicio de la firma, uno de los indicios más claros de un modelo que no funciona.
Seis señales de que un modelo de compliance penal es solo papel
▪ El mapa de riesgos no se ha revisado desde el día en que se entregó, aunque la empresa haya cambiado de actividad, de tamaño o de clientes.
▪ El responsable de cumplimiento no tiene tiempo, presupuesto ni acceso directo al órgano de administración.
▪ La plantilla no ha recibido formación acreditada en el último año, o nadie sabe quién la recibió.
▪ No existen controles concretos sobre pagos, regalos, invitaciones o selección de proveedores.
▪ El canal de denuncias nunca ha recibido una comunicación ni hay registro de ninguna investigación.
▪ No hay un informe anual que deje constancia de qué se revisó y qué se corrigió.
Basta con que se den dos o tres de estas circunstancias, coinciden los especialistas, para que el modelo difícilmente resista el examen de un juez o la auditoría de un gran cliente.
El reto de la empresa mediana
Para una compañía de 60 o 200 trabajadores, el principal obstáculo no suele ser el coste, sino la falta de alguien que se ocupe. El cumplimiento acaba repartido entre el director financiero, recursos humanos y el gerente, y nadie revisa si los controles se aplican. Por eso, cada vez más empresas medianas optan por apoyarse en un responsable de cumplimiento externo que asuma el trabajo técnico, mantenga el sistema al día y rinda cuentas al órgano de administración.
Los especialistas resumen en pocas pautas lo que distingue un modelo eficaz de uno decorativo. Un mapa de riesgos hecho a medida, con las personas que conocen el negocio, y no una plantilla genérica. Controles concretos sobre los puntos donde el riesgo es real: pagos, regalos e invitaciones, relaciones con la Administración, selección de proveedores. Formación periódica con evidencia de quién la ha recibido. Un canal de denuncias que la plantilla conozca y en el que confíe. Y una revisión, al menos anual, que deje constancia por escrito de lo que se ha comprobado y de lo que se ha corregido.
Es lo que hace 4DLegal en buena parte de sus clientes: asumir de forma externa la función de responsable de cumplimiento, revisar el mapa de riesgos cuando cambia el negocio, formar a la plantilla, gestionar el canal y elaborar cada año el informe que documenta que el sistema está vivo. Un esquema que, según la firma, permite a una empresa mediana tener el mismo nivel de control que un gran grupo sin crear un departamento propio, y presentar a sus clientes evidencias en lugar de promesas.
«Un modelo de prevención no se compra: se mantiene», insisten desde 4DLegal. La diferencia, recuerdan, no se nota el día en que se firma el contrato con un gran cliente, sino el día en que algo sale mal. Y entonces ya no hay tiempo para fabricar las pruebas de que la empresa hacía lo correcto.
