Por Haidé Costa y Villaró y Fruitós Richarte y Travesset.
Profesores asociados en la Universitat Rovira i Virgili. Ex jueces y magistrados. Fundadores de JUDILEX experts in compliance.
El presente artículo se corresponde a un resumen sobre varias consultas efectuadas respecto a la configuración de los órganos de vigilancia y control (OVC) en los modelos de prevención de delitos (MPD). Consultas y posteriores dictámenes que son de difícil publicación, por ello y para comenzar los debates técnicos necesarios se han resumido en unas notas para reflexionar ahora que vendrán las primeras imputaciones y riesgos penales de los miembros de los OVC y las no consideraciones como modelos homologables y tributarios, no ya de exoneraciones de responsabilidad criminal, sino ni siquiera como circunstancias modificativas de esta responsabilidad. Característica pues del derecho penal, su rigidez y estructura que a pesar de que fácil por quienes lo han practicado, es difícil de entender desde el punto de vista teórico y sin conocimientos de praxis debidos.
Análisis del art. 31 bis apartado 2 CP
Conforme expone el apartado segundo del artículo 31 bis CP, cuando trata de las condiciones legales para que concurra la exención de responsabilidad, preceptúa que si el delito fundido cometido por los órganos directivos de una persona jurídica, hace falta que se cumplan forzosamente cuatro condiciones esenciales:
“2. Si el delito fuere cometido por las personas indicadas en la letra a) del apartado anterior, la persona jurídica quedará exenta de responsabilidad si se cumplen las siguientes condiciones:
1.ª el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión;
2.ª la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica;
3.ª los autores individuales han cometido el delito eludiendo fraudulentamente los modelos de organización y de prevención y
4.ª no se ha producido una omisión o un ejercicio insuficiente de sus funciones de supervisión, vigilancia y control por parte del órgano al que se refiere la condición 2.ª
En los casos en los que las anteriores circunstancias solamente puedan ser objeto de acreditación parcial, esta circunstancia será valorada a los efectos de atenuación de la pena.
Entre otras cuestiones, hay que concluir que es objetivamente aplicable que en caso de que el OCV, no se haya conformado debidamente o no haya realizado sus funciones específicas y legalmente atribuibles, no concurrirá el eximente de responsabilidad penal. Conforme a ello, a pesar de tener en cuenta, que es el Órgano de administración quién tiene que adoptar y ejecutar con eficacia el modelo de organización y gestión con medidas de vigilancia para reducir el riesgo, no se desprende claramente que la supervisión de este MPD (que sí tiene que aprobar el órgano de administración) se confíe, por parte de este, a otro órgano. Pues también puede interpretarse que esta “confianza” lo deba ser por parte de la JUNTA GENERAL de socios o accionistas. Esta es una cuestión, que pocos se plantean y que es vital, habida cuenta que una indebida designa de un órgano que no puede designar o confiar, supone su incapacidad. La interpretación literal, pues, nos lleva a entender que el órgano de vigilancia y control, no es un órgano designado sino de confianza y por tanto formado por cargos de confianza de la JUNTA como lo es el propio consejo, o administradores o incluso gerencias de la empresa.
En todo caso, sea quién sea el órgano confiante, queda claro que se trata de órgano de confianza y no de pura designa o meramente contractual o técnico o de relación civil o mercantil.
Sobre este tema hay que destacar la circular de la fiscalía General del estado 1/2016 que, en varios apartados, opta claramente para considerar el OVC como un órgano “dependiente” del órgano de administración. A ello llega con un concepto orgánico francés único y sin referir en ningún momento un sistema dual de JUNTA GENERAL/CONSEJO DE VIGILANCIA/ DIRECTORIO, en que el consejo de vigilancia es en sí quien tiene funciones de planificación, nombramiento y control de la dirección. Este sistema es más la estructura, por ejemplo, de las empresas de carácter público, en que el directorio son las gerencias societarias, y el órgano de control los designados por la junta general. En este sentido hay que hacer mención a los Arts. 478 y ss de la Ley de Sociedades de capital, que son ignorados en la referida circular.
Dicho ello, lo cierto es que lamentablemente la LSC ni tampoco el Reglamento del Registro Mercantil contemplan como órgano societario el OVC del art. 31 bis CP. Ello a pesar de ser un órgano societario establecido por una ley orgánica. El descontrol legislativo se hace patente en casos como este, sin que, con los años transcurridos, más de cuatro, alguien haya opuesto remedio. Ni a los penalistas parece interesarles, a pesar de ser el “compliance” temática de doctorados en todas las cátedras, ni a los mercantilistas, evidentemente, les ha ocupado ni un minuto de su tiempo.
Pero el art. 31 bis apartado segundo en la cuarta de sus condiciones establece que, para que concurra la exoneración de la responsabilidad penal se le atribuye una responsabilidad exclusiva y excluyente al OVC, como garante de la legalidad penal, en que no puede concurrir una “omisión” o “ejercicio insuficiente” de sus funciones de supervisión, vigilancia y control.
“4.ª no se ha producido una omisión o un ejercicio insuficiente de sus funciones de supervisión, vigilancia y control por parte del órgano al cual se refiere la condición 2.ª”
Esta posición de garante del sistema comporta una atribución de responsabilidad legal, en el sentido que el OCV está siempre y en todo momento en una posición de control, por encima incluso del órgano de administración, respecto a la supervisión y vigilancia. Esta carencia de funciones comporta que concurra la responsabilidad penal de la persona jurídica, pasando pues su responsabilidad por encima del órgano de administración.
Esta circunstancia es obviada e incluso despreciada por determinados consejos de administración, y, lo qué es más extraño, incluso por profesionales del cumplimiento normativo. Es evidente que en caso de disponer de un OVC de mero maquillaje o que no cumpla sus funciones (genrealmente por distintas razones, en especial para no ser nocente (tóxico) ni a directivos ni a consejos de administración) todo el sistema deja de funcionar y automáticamente es un órgano que por disruptivo se traslada a un punto invisible y de mera decoración. Por suerte para algunos, secundamos la teoría que podemos defender ante cualquier tribunal, que, al no regularse ni una sola línea respecto que es, quién lo tiene que nombrar, cómo se tiene que configurar, por parte de quién o dónde tiene que estar inscrito, hoy por hoy, a julio de 2019, cualquier OVC, tendrá virtualidad exoneradora de la responsabilidad criminal ,si es que no ha dejado de cumplir las funciones legalmente establecidas.
Referencia al apartado 3 del art. 31 Bis CP, y la Circular de la FGC 1/2016
En su apartado tercero el art. 31 Bis CP, establece claramente una distinción en lo relativo a la composición del OVC, y razona que, si la persona jurídica es de pequeñas dimensiones, éste puede ser el propio órgano de administración, siempre que la cuenta de pérdidas y ganancias sea abreviada.
Los umbrales son los siguientes:
- Que el total de las partidas de activo no supere los once millones cuatrocientos mil euros. (11.400.000 €)
- Que el importe neto de su cifra anual de negocios no supere los veintidós millones ochocientos mil euros. (22.800 €)
- Que el número mediano de trabajadores empleados durante el ejercicio no sea superior a doscientos cincuenta. (250)
“3. En las personas jurídicas de pequeñas dimensiones, las funciones de supervisión a que se refiere la condición 2.ª del apartado 2 podrán ser asumidas directamente por el órgano de administración. A estos efectos, son personas jurídicas de pequeñas dimensiones aquéllas que, según la legislación aplicable, estén autorizadas a presentar cuenta de pérdidas y ganancias abreviada.”
Impone pues el apartado 3 del art. 31 bis CP, que, para que el OVC sea el indicado en el apartado 2, en empresas que tengan que presentar cuentas de pérdidas y ganancias ordinarias, éste tenga que ser un órgano “ad hoc” sin especificar como se tiene que componer. La circular de la fiscalía 1/2016, sí establece una serie de características, comparaciones y deberes del órgano de vigilancia, a pesar de que se centra en las características del oficial de cumplimiento, efectuando una comparativa o incluso aplicando por analogía el OCI (órgano de control interno) de blanqueo de capitales o con la comisión interna de auditoría. Ciertamente las carencias o lagunas del OJ se pueden llenar con la analogía, pero este criterio no parece el más adecuado, pues además genera mucha inseguridad jurídica a la vez de definir qué es y cómo se regula, cuáles son sus funciones, en referencia a la OVC, y mucho más teniendo en cuenta que el ejercicio insuficiente de sus funciones impedirá apreciar la exención de responsabilidad penal.
Por esta razón el OVC, no tendría que ser un senado de antiguos directivos, gerentes o administradores, ni un mero órgano consultivo o para dar cuenta de aspectos sociales o de mera representación. El OVC no puede ser constituido por personas de gran prestigio, pero que desconozcan el funcionamiento de la persona jurídica, ni tampoco pueden ser meros auditores anuales de las actividades fiscales o financieras y que describan más o menos aspectos no económicos en sus auditorías. Su composición va mucho más allá y se trata de un verdadero órgano societario, a quien le está encomendada la función de vigilancia y control, pero a la vez implicado en el funcionamiento de la persona jurídica. Este órgano, hace falta que conozca la gestión, pero, a la vez, que lo conozcan cómo lo qué es: el órgano responsable del modelo de prevención, de su implementación; y que sea conocido por parte de toda la organización como el responsable del cumplimiento normativo en sentido general y, en especial ,del cumplimiento normativo penal.
Siguiendo con la circular 1/2016 de la FGE, define el OFICIAL DE CUMPLIMIENTO, o el OVC del siguiente modo:
5.4. El oficial de cumplimiento
…/…
En uno y otro supuesto (con la función más limitada de prevención de delitos o con la más amplia de control interno), la norma se está refiriendo a un órgano de cumplimiento (oficial de cumplimiento o compliance officer) que, dependiendo del tamaño de la persona jurídica, podrá estar constituido por una o por varias personas, con la suficiente formación y autoridad.
El texto no establece el contenido de las funciones de supervisión del oficial de cumplimiento. Deberá participar en la elaboración de los modelos de organización y gestión de riesgos y asegurar su buen funcionamiento, estableciendo sistemas apropiados de auditoría, vigilancia y control para verificar, al menos, la observancia de los requisitos que establece el apartado 5 del artículo pues un ejercicio insuficiente de sus funciones impedirá apreciar la exención, como establece la cuarta y última condición del apartado 2.
…/…
El oficial de cumplimiento debe necesariamente ser un órgano de la persona jurídica, lo que facilitará el contacto diario con el funcionamiento de la propia corporación. Ello no implica que este órgano deba desempeñar por sí todas las tareas que configuran la función de cumplimiento normativo, que pueden ser realizadas por otros órganos o unidades distintos al específico de cumplimiento normativo, como la unidad de riesgos, la unidad de control interno, el servicio de prevención de riesgos laborales o el de prevención del blanqueo. Lo esencial será que exista un órgano supervisor del funcionamiento general del modelo, que deberá establecer claramente el responsable de las distintas funciones y tareas.
Tampoco existe inconveniente alguno en que una gran compañía pueda recurrir a la contratación externa de las distintas actividades que la función de cumplimiento normativo implica. Carecería de sentido y restaría eficacia al modelo imponer a una multinacional la realización y control interno de todas las tareas que integran la función de cumplimiento normativo. Lo verdaderamente relevante a los efectos que nos ocupan es que la persona jurídica tenga un órgano responsable de la función de cumplimiento normativo, no que todas y cada una de las tareas que integran dicha función sean desempeñadas por ese órgano. Muchas de ellas incluso resultarán tanto más eficaces cuanto mayor sea su nivel de externalización, como ocurre por ejemplo con la formación de directivos y empleados o con los canales de denuncias, más utilizados y efectivos cuando son gestionados por una empresa
externa, que puede garantizar mayores niveles de independencia y confidencialidad.
No puede dejar de mencionarse que, sin perjuicio de las funciones propias del oficial de cumplimiento, siempre corresponderá al órgano de administración establecer la política de control y gestión de riesgos de la sociedad y su supervisión, que en las sociedades cotizadas tiene la condición de facultad indelegable [art. 529 ter b) LSC].
Precisamente por ello, pese a que se pretende que el oficial de cumplimiento sea lo más independiente posible, al ser un órgano de la persona jurídica designado por el órgano de administración, al que asimismo debe vigilar, difícilmente gozará de plena autonomía en su función. Para conseguir los máximos niveles de autonomía, los modelos deben prever los mecanismos para la adecuada gestión de cualquier conflicto de interés que pudiera ocasionar el desarrollo de las funciones del oficial de cumplimiento, garantizando que haya una separación operacional entre el órgano de administración y los integrantes del órgano de control que preferentemente no deben ser administradores, o no en su totalidad.
Es preciso realizar, por último, una referencia a la posición del oficial de cumplimiento en relación con su responsabilidad penal y la de la persona jurídica.
Por un lado, el oficial de cumplimiento puede con su actuación delictiva transferir la responsabilidad penal a la persona jurídica a través de la letra a) puesto que, como se ha dicho, está incluido entre las personas que ostentan facultades de organización y control dentro de la misma. Por otro lado, puede ser una de las personas de la letra a) que al omitir gravemente el control del subordinado permite la transferencia de responsabilidad a la persona jurídica. En este supuesto, la omisión puede llevarle a ser él mismo penalmente responsable del delito cometido por el subordinado. Finalmente, si el oficial de cumplimiento omite sus obligaciones de control, la persona jurídica en ningún caso quedará exenta de responsabilidad penal (condición 4ª del art. 31 bis 2).
De conformidad con este planteamiento, la exposición personal al riesgo penal del oficial de cumplimiento no es superior a la de otros directivos de la persona jurídica.
Comparativamente, su mayor riesgo penal sólo puede tener su origen en que, por su posición y funciones, puede acceder más frecuentemente al conocimiento de la comisión de hechos delictivos, especialmente dada su responsabilidad en relación con la gestión del canal de denuncias y siempre que la denuncia se refiera a hechos que se están cometiendo y que, por tanto, el oficial de cumplimiento pueda impedir con su actuación.
El órgano de Vigilancia y control en la UNE 19601, descripción de sus funciones aceptadas por la doctrina.
Cómo es sabido en el estado español no se acompañó la creación de una figura vital para la responsabilidad penal de las personas jurídicas, con un reglamento o un sencillo estatuto de sus miembros o su composición. Así el funcionamiento indebido o estructura del OVC supone nada más y nada menos que la consideración de atenuante del modelo de prevención o como mera circunstancia modificativa de la responsabilidad criminal, y no como una verdadera causa de exoneración o excusa absolutoria.
Es por este motivo que los profesionales y la doctrina se refieren a las normas de certificación como indicador de las características de los modelos de prevención. Por ello este órgano de la persona jurídica, hasta que no se regule debidamente en todos sus aspectos, el órgano de compliance, como lo denomina la UNE, es el máximo garante de la supervisión, vigilancia y control del compliance en la organización y tiene que forzosamente:
- impulsar y supervisar el sistema de gestión de compliance.
- procurar por la formación adecuada de los miembros de la organización.
- procurar que se incluyan las responsabilidades de cumplimiento en las descripciones de puestos de trabajo y en los procesos de trabajo de la organización.
- poner en marcha un sistema de información y documentación de compliance penal.
- respecto de los procesos de gestión de la información, tiene que asegurarse que el canal de denuncias funciona debidamente.
- Medir los indicadores buen funcionamiento del compliance.
- analizar los resultados del sistema para adoptar las medidas correctivas correspondientes.
- identificar y gestionar los riesgos penales. (mapear los riesgos)
- asegurar la revisión periódica del compliance.
- asegurar el acceso a los recursos de compliance a los trabajadores.
- informar de los resultados de implementación del compliance al órgano de administración.
La novedad recae en el énfasis de la norma UNE respecto del nombramiento de un órgano de compliance autónomo, independiente y con un estatus adecuado. Para ello se tiene que acreditar el liderazgo de sus componentes a través de características como habilidades de comunicación, capacidad, prestigio y formación, apoyado por una autoridad que le tiene que conferir el órgano de administración para que pueda, en todo momento, solicitar y recibir la colaboración plena de todos los miembros y órganos de la organización.
La consecución de este objetivo tiene tres vías, la suficiencia económica, la autoridad y la externalización o asesoramiento externo. La independencia, es la primera de las atribuciones para la consecución de un OVC con las características necesarias para cumplir sus objetivos. Esta independencia es la atribución de una partida del presupuesto de la organización destinada al órgano de compliance y a las políticas de cumplimiento. Ello porque la dependencia económica podría dificultar una toma de decisiones independiente del órgano de compliance.
En segundo lugar, el nombramiento de una persona experta y íntegra. La experiencia y el conocimiento suficientes, junto con el liderazgo debido, confieren la autoridad necesaria para relacionarse con los miembros de la organización con suficiente capacidad de influencia e integridad para seguir y hacer cumplir las políticas de cumplimiento. La persona o personas que se encarguen del cumplimiento tienen que ser ejemplares en su actuación, porque de otra forma no podrían justificar la necesidad del cumplimiento del resto de miembros de la organización.
Finalmente, la complementación del órgano con un experto externo garantiza, una vez más, la independencia del órgano y, por tanto, la no sujeción del mismo a las directrices de los responsables de la organización en caso de conflicto entre cumplimiento normativo y dirección de la persona jurídica.
Vemos pues la complejidad del OVC (comité de compliance) y como la casi absoluta mayoría de OVC que se conocen están informalmente conformados. En primer lugar, porque muchos son los mismos órganos de dirección, o lo qué es peor, de administración, que, cambiando de sillas, conforman el OVC. Resulta evidente que esta configuración además de indebida resulta casi absurda, y, en un sentido hispánico del control, mejor el autocontrol que no “el external control”. Por ello resulta evidente que el OVC, no podrá cumplir sus funciones no solo de control, sino, especialmente, de contrapeso en la dirección de la persona jurídica. Si seguimos en la conformación del OVC, veremos que es esencial que las personas que lo conformen sean íntegras, es decir, que no se les conozcan máculas o sospechas de mala gestión, de corrupción o de no integridad. Por lo tanto, éstas tienen que ser personas en quién toda la organización pueda confiar por su trayectoria, dentro y fuera de ella. Finalmente es necesaria la existencia de un experto externo en cumplimiento normativo y que rompa con la sujeción a las pautas directivas. Es por ello que los especialistas citan que no son válidos, ni tienen que formar parte de los OVC, las figuras internas directivas de departamentos de legal, auditoria, fiscalidad, contratación o seguridad. Es evidente que concurre en muchas ocasiones una incompatibilidad entre aquello que quiere o desea la organización y aquello que se puede situar dentro del cumplimiento normativo.
A la espera que el legislador nos aclare muchos aspectos, casi todos, sobre la configuración de los OVC, un mensaje de optimismo, el principio de legalidad y de tipicidad penal favorecen hoy por hoy a cualquier, órgano, miembro o persona que se haya implicado en una tarea como el cumplimiento normativo, por muy penal que este sea. Suerte y aciertos.
3 de agosto de 2019.
