Transcurridos casi 10 años de la Ley Orgánica 5/2010, de 22 de junio, por la que se modificó el Código Penal introduciendo la responsabilidad penal directa de las personas jurídicas, el Tribunal Supremo aún no ha tenido ocasión de manifestarse ni fijar los criterios con los que valorar la eficacia eximente o no de un sistema de prevención de riesgos penales.
Sí que ha afirmado el alto Tribunal que el elemento inicial y objetivo de todo Sistema de Prevención de Riesgos Penales con aspiraciones de ser efectivo ha de ser la convicción y la voluntad de instaurar en la organización, de forma permanente y continua, una auténtica y real cultura corporativa ética y de firme compromiso de respeto a la legalidad.
Por su parte, la Fiscalía General del Estado en su Circular 1/2016 afirma que la eficacia del Sistema de Prevención radica en la importancia que tiene y que se le otorga en los procesos operacionales, de gestión y de gobierno, tanto por la alta dirección como por los empleados, siendo ello reflejo de la existencia de una auténtica y real cultura corporativa en la organización.
Ante la falta de pronunciamientos sobre la eficacia por parte del Tribunal Supremo, debemos remitirnos y poner el acento en los criterios fijados en los estándares genéricos y específicos sobre sistemas de gestión de riesgos de cumplimiento normativo, cuyos principios han sido recogidos por el Código Penal Español y por la Fiscalía General del Estado en su Circular 1/2016 sobre la responsabilidad penal de las personas jurídicas.
Los más actuales marcos de referencia en gestión de riesgos de cumplimiento normativo -Estándar Genérico Internacional ISO 19600:2014 Sistemas de Gestión de Compliance, Estándar Específico Internacional ISO 37001:2017 Sistemas de Gestión Antisoborno y Estándar Específico Nacional ISO-UNE 19601:2017 Sistemas de Gestión de Compliance Penal -recogen el testigo de COSO I (Internal Control-Integrated Framework 1992), de la Australian Standart As 3806-2006 y de la IDW AssS 980 de 2011, acogiendo el binomio eficacia/seguridad razonable.
Todos ellos huyen del concepto de seguridad absoluta -inexistente en los Sistema de Gestión de Cumplimiento Normativo -y hacen referencia a la seguridad razonable, aceptando cierto grado de riesgo residual de incumplimiento, de manera que la materialización de un riesgo (comisión de un hecho delictivo) no implica necesariamente la ineficacia del Sistema.
La eficacia de un Sistema de Prevención de Riesgos Penales en términos de razonabilidad viene recogido en el propio Código Penal en su artículo 31 bis.2.1ª al incluir como primera condición para la eficacia eximente del sistema que éste incluya medidas de vigilancia y control idóneas para prevenirdelitos o para reducir de forma significativael riesgo de su comisión. Con ello, se alinea con el término seguridad razonable y admite la posibilidad de la materialización de hechos delictivos sin que ello implique la ineficacia del sistema y, la consiguiente, responsabilidad penal de la persona jurídica.
De manera más explícita el binomio eficacia/seguridad razonable es recogido por la Fiscalía General del Estado en su Circular 1/2016 sobre la responsabilidad penal de las personas jurídicas, al manifestar que "todo sistema por eficaz que sea, soportará un cierto grado de riesgo residual, de manera que la capacidad de detección se valorará como elemento de validez y eficacia del modelo de prevención, de manera que detectada la conducta delictiva, corregido el sistema, sancionado el infractor y puesto en conocimiento de la autoridad (capacidad de reacción), la fiscalía deberá solicitar la exención de la responsabilidad penal de la persona jurídica, al evidenciarse no solo la efectividad del sistema, sino también su consonancia con la cultura corporativa existente en la organización."
Si la máxima de la cultura corporativa, desde la perspectiva penal, es la tolerancia cero a la comisión de hechos delictivos, un Sistema de Prevención de Riesgos Penales será eficaz cuando tenga capacidad de garantizar razonablemente que los objetivos de negocio se consiguen sin incurrir en prácticas delictivas garantizando lasostenibilidad de la organización.
En conclusión, un Sistema de Prevención de Riesgos Penales será eficaz cuando garantice razonablemente el "pleno" cumplimiento de la cultura corporativa de tolerancia cero a la comisión de delitos, y para ello deberá tener, además de capacidad de prevención y detección de riesgos penales, capacidad de reacción ante la comisión de delitos, concretada en acciones de corrección y mejora continua para que aquellos no vuelvan a repetirse en el futuro -si la comisión de un hecho delictivo no implica necesariamente la ineficacia del sistema, su repetición por falta de reacción, sí es prueba de su deficiencia e ineficacia para gestionar diligentemente los riesgos penales a los que la organización está expuesta -. Con ello, se consigue una gestión global de los riesgos penales que da pleno sentido a la cultura corporativa y dota al Sistema de eficacia en términos de razonabilidad.
Artículo publicado en el diario Expansión el día 28 de enero de 2020
Por Jordi Sot (socio) y Jordi Dapeña (abogado senior) del área de Compliance de Toda & Nel-lo
El equipo de Compliance de Toda & Nel-lo ofrece un servicio integral que incluye el diseño, la implementación y la gestión operativa de un Sistema de Prevención de Riesgos Penales idóneo y eficaz en términos de razonabilidad, con capacidad para prevenir y reducir significativamente la materialización de los riegos penales identificados, así como con capacidad de detección y capacidad de reacción, incluyendo un protocolo de actuación ante incumplimientos (Comité de Crisis) con el objetivo de gestionar los efectos y decidir la estrategia a seguir ante incumplimientos con relevancia penal.
