Conforme a lo estipulado en el artículo 31.bis.5 del código penal “La entidad, impondrá la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención”.

Por tanto, las entidades deben contar con una herramienta/ mecanismo interno, a través del cual, los miembros de la organización o terceros relacionados con la misma puedan n comunicar los actos indebidos o comportamientos contrarios a la normativa vigente o interna de la Entidad.

NORMATIVA

La necesidad sobre la implantación del Buzón Compliance, se incluye en diversas normas. Entre las más relevantes, son las siguientes:

Directiva 2019/1937, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión.

Garantiza la protección efectiva de las personas que informen sobre infracciones en materia de contratación pública, productos financieros, prevención de blanqueo de capitales, protección del medio ambiente, etc. Además, asegura que estos no tendrán ningún tipo de represalias por parte de la organización. Las comunicaciones deben hacerse a través de un canal interno.

Código Penal

El Código establece en su artículo 31 bis 2. 4º la “obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y la observancia del modelo de prevención”. Lógicamente, y de manera implícita, supone que las empresas deben proporcionar un canal a través del cual se pueda enviar la información.

Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo

Esta Ley establece en su artículo 26 bis la obligación de contar con procedimientos internos para que sus empleados, directivos o agentes puedan comunicar, incluso anónimamente, información relevante sobre posibles incumplimientos de esta ley, su normativa de desarrollo o las políticas y procedimientos implantados.

Actualmente, se encuentra pendiente de transposición de la DIRECTIVA (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (“WHISTLEBLOWERS”).

PRINCIPIOS

En este apartado cobran especial relevancia los siguientes apartados:

1. Sistema proporcional: conforme a la dimensión y necesidades de la empresa.
2. Sistema documentado: una vez realizada la comunicación debe generarse un registro documentado y su análisis posterior deberá quedar reflejada en un documento.
3. Sistema notificado: para la correcta aplicación y funcionamiento de la herramienta, ésta debe ser difundida a todos los miembros de la organización.
4. Confidencialidad: la identidad del comunicante y los datos que se informen sobre una actuación irregular a través del Buzón Compliance, nunca serán revelados sin su consentimiento.
5. Imparcialidad: se deberá asignar una persona o departamento imparcial para tramitar la comunicación.
6. Diligencia: la tramitación se realizará de una manera diligente, salvaguardando los derechos de las partes implicadas en la comunicación.
7. Plazo de respuesta razonable: debe darse una respuesta al denunciante sobre la tramitación de la denuncia en un plazo razonable, que no demore en exceso el procedimiento.
8. Protección frente a represalias: en ningún caso la comunicación supondrá ningún tipo de represalias para el comunicante. Además, la empresa protegerá al mismo frente a posibles acciones de terceros.

NOTIFICACIÓN DEL BUZÓN COMPLIANCE

Notificación a empleados

La notificación podrá realizarse de acuerdo al siguiente procedimiento:

• Notificación vía e-mail a todos los empleados de la implantación del Buzón Compliance, así como de sus diferentes modos de acceso.
• Notificación con carácter, al menos anual, de un email recordándoles la existencia del Buzón Compliance y su funcionamiento.

Notificación a los proveedores

La comunicación a los proveedores se realizará a la firma del contrato. Además, el canal se publicitará , si fuera posible, en función del tamaño de la empresa, en su página web.

Notificación a los clientes

El canal se publicará y será accesible, si fuera posible, en función del tamaño de la empresa, en su página web.

Notificación a terceros

Siempre que la entidad lo considere oportuno, podrá tener acceso al buzón compliance, el público en general no incluido en los apartados anteriores.

Como hemos visto en las lecciones anteriores, la persona jurídica pueda quedar exenta de responsabilidad. No obstante, la responsabilidad de la persona física (ej. administrador, empleado, directivo) subsistirá si así se constata. Por lo tanto, cumplir con el modelo de prevención de delitos tiene la misma importancia para todos los miembros de la organización independientemente de su rango jerárquico en la misma.

A continuación y a modo de ejemplo, se expone una comparación de las penas impuestas a las personas jurídicas y físicas por el mismo delito.

RESPONSABILIDAD DEL ADMINISTRADOR

La Circular 1/2016 de la Fiscalía General del Estado define el concepto de administrador como aquella persona que adopta e impone las decisiones de la gestión y dirección de una sociedad, de forma permanente y no sujeta a esferas superiores de aprobación o decisión. Por ello, los administradores responderán personalmente si en la persona jurídica se dan las condiciones de autoría del delito.

Además, los administradores responderán, igualmente, por la actuación de otras personas en el seno de la Organización a través de la figura jurídica de la comisión por omisión o ‘’comisión impropia’’. El Código Penal deriva la responsabilidad de los delitos que se produzcan por la no evitación de los mismos cuando exista una obligación legal o contractual de actuar, por la obligación que tienen los administradores o directivos de implementar medidas de vigilancia y control idóneas para prevenir los delitos.

Por ello, el Órgano de Administración es el responsable de adoptar las medidas oportunas para garantizar razonablemente el cumplimiento de la normativa en vigor en materia penal, así como de definir, desarrollar e implantar, la estructura y funcionamiento de los órganos de control interno y de los procedimientos específicos.

No obstante, la responsabilidad de los administradores no es automática, como opera con la responsabilidad hacia la persona jurídica, sino que precisa un previo análisis del caso concreto y de sus circunstancias.

Un caso particular respecto a la responsabilidad de los administradores, lo encontramos en el delito contra los derechos de los trabajadores del artículo 311CP. La autoría de este hecho punible se dirige directamente hacia el administrador o el responsable de aplicar las medidas en materia laboral. Por ejemplo, en situaciones de pandemia, resulta de vital importancia contar con medidas de prevención de higiene y seguridad laboral, para la protección de los empleados. Si la empresa no aplicara las medidas oportunas para la prevención de riesgos en la salud de sus trabajadores, incumplirá la normativa de prevención de riesgos laborales y, además el administrador o encargado incurrirá en responsabilidad penal por el artículo 318 CP. Nótese que el precepto penal no exige la causación de un resultado, sino simplemente la puesta en peligro grave de la seguridad de los trabajadores.

Respecto a la responsabilidad de la empresa, ésta sufrirá la aplicación de consecuencias accesorias (suspensión de actividades, clausura de negocio, etc.) por el artículo 129 CP, junto a la responsabilidad principal del administrador como persona encargada y obligada a la implantación de las citadas medidas.

ÓRGANO DE PREVENCIÓN Y CONTROL DE DELITOS

Unos de los elementos esenciales del Modelo de prevención, es que la empresa cuente con un órgano encargado de la supervisión periódica de los sistemas de control y prevención del riesgo establecidos, con poderes autónomos de iniciativa y de control. Con la intención de que los principales riesgos se identifiquen, gestionen y se den a conocer en el ámbito interno, de manera adecuada para la prevención de los mismos.

La circular de la Fiscalía, indica que la persona jurídica debe contar con un oficial de cumplimiento, que necesariamente debe ser un órgano de la persona jurídica que facilitará el contacto diario con la organización. No obstante, ello no implica que las diversas tareas de cumplimiento normativo no puedan ser realizados por otras áreas distintas. Lo realmente importante, es que haya un órgano creado específicamente para encargarse de la supervisión y control del modelo. Incluso, la Fiscalía prevé la posibilidad de externalizar otras tareas como son la formación de directivos y empleados o con los canales de denuncias para garantizar mayores niveles de independencia y confidencialidad.

Para las empresas de pequeña dimensión, el apartado 3 del artículo 31bis CP establece respecto al órgano de control y supervisión que las funciones podrán ser asumidas directamente por el órgano de administración. A estos efectos, el artículo 257 de la Ley de Sociedades de Capitales establece que son personas jurídicas de pequeñas dimensiones aquellas que reúnan, a la fecha de cierre del balance y del estado de cambios en el patrimonio neto, al menos dos de las circunstancias siguientes, al menos dos de las circunstancias siguientes:

1. Que el total de las partidas del activo no supere los cuatro millones de euros.
2. Que el importe neto de su cifra anual de negocios no supere los ocho millones de euros.
3. Que el número medio de trabajadores empleados durante el ejercicio no sea superior a cincuenta.

SEGREGACIÓN DE FUNCIONES

En relación al apartado anterior, para la adecuada implantación del sistema de prevención de delitos se requiere, que la organización cuente con una clara segregación de funciones para diferenciar las tres líneas de defensa. Así como, disponer de un correcto sistema de control interno para la gestión del riesgo donde se describan las responsabilidades, funciones y obligaciones respecto a la prevención de delitos.

Un ejemplo de organigrama para la correcta segregración de funciones sería el siguiente:

Dentro de las figuras que aparecen en el esquema anterior hay que destacar al Responsable del control y el Owner del control.

RESPONSABLE DEL CONTROL

En la medida en que la Alta Dirección delegue las responsabilidades y roles en los responsables de cada departamento o en personas que dispongan de una mayor capacidad de gestión departamental, éstos deben asegurar que los miembros adscritos a su departamento cumplan los requisitos exigidos para el correcto funcionamiento del Modelo.

FUNCIONES

Los responsables de los departamentos, respecto al desarrollo del Modelo, deberán:

• Colaborar en la comunicación y formación sobre Modelo de organización y gestión, asegurando que los miembros de los departamentos conocen los objetivos y controles aplicables en el desempeño de sus funciones.
• Promover a los miembros de su departamento una cultura de cumplimiento.
• Trasladar al OCI de Delitos de GLHI la adecuación y eficacia del Modelo, proponiendo las mejoras necesarias para su desarrollo y funcionamiento.
• Colaborar en la supervisión y actualización de los riesgos penales identificados en el ámbito de su departamento, conforme a las funciones y responsabilidades que se desarrollan en las áreas de negocio. Especialmente, en el momento que se produzcan cambios significativos que requieran una nueva evaluación de los riesgos penales.
• Gestión, seguimiento y control del riesgo asignado, así como de la puesta en marcha de las acciones definidas en el programa de prevención de delitos.
• Proponer controles y procedimientos adecuados para la prevención de los riesgos asignados.

OWNER DEL CONTROL

El owner del control es la persona o departamento responsable de la implantación y supervisión del control creado para la prevención o detección de delitos. El responsable del departamento designará a una o varias personas, que serán las encargadas de la implantación y supervisión del control creado para la prevención o detección de delitos. No obstante, el owner del control podrá coincidir con el propio responsable del departamento si así se considerase oportuno.

FUNCIONES

Las principales funciones asignadas a los owners de los controles son las siguientes:

• Vigilancia y control de los procedimientos implantados en la entidad, que les hayan sido encomendados, para la prevención y detección de delitos.
• Colaborar en la evaluación de la integridad de los controles creados, asegurando su eficacia para la prevención de riesgos y comunicando al responsable del departamento las mejoras y deficiencias de los procedimientos creados.
• Colaborar en la actualización periódica del Modelo y, en particular, en la evaluación de riesgos en la medida que se produzcan cambios significativos.
• Elevar al responsable del departamento los hechos o conductas sospechosas, o asuntos relacionados con el Modelo.

Las organizaciones que hayan desarrollado un modelo de organización y gestión de delitos pueden encontrarse, dependiendo del grado de cumplimiento de los mismos, ante cualquiera de los siguientes escenarios, siempre y cuando se cumplan los requisitos establecidos por la ley:

EXONERACIÓN DE LA RESPONSABILIDAD

• El órgano de administración ha ADOPTADO y EJECUTADO con eficacia, antes de la comisión del delito, el MODELO DE ORGANIZACIÓN Y GESTIÓN.
• La SUPERVISIÓN del funcionamiento y del cumplimiento del Modelo implantado ha sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o, ha encomendado legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica (OPCD).
• Los autores individuales han cometido el delito «ELUDIENDO FRAUDULENTAMENTE» el modelo de organización y gestión.
• No se ha producido una «OMISIÓN» o un «EJERCICIO INSUFICIENTE» de las funciones de supervisión, vigilancia y control por parte del OPCD.

A pesar de todo lo expuesto anteriormente, cabe la posibilidad de que las personas jurídicas pueden quedar exentas de responsabilidad la pena si cumplen los siguientes requisitos expuestos por el apartado 2 del artículo 31bis CP:

CARGA DE LA PRUEBA

La carga de la prueba recae, a diferencia de la persona físicas, en la propia persona jurídica siendo ésta la que debe acreditar que cumple las condiciones y requisitos legales para exonerar su responsabilidad.

A tenor de lo dispuesto por la Fiscalía, no supone inversión de la carga de la prueba ni daña la presunción de inocencia exigir al investigado que facilite para lograr su exculpación aquellos datos que está en condiciones de proporcionar de manera única e insustituible. Según la doctrina, es la empresa quien tiene los recursos y la posibilidad de acreditar que, pese a la comisión del delito, su programa era eficaz y cumplía los estándares exigidos legalmente. Ésta dispone de medios idóneos para proporcionar los datos que atañen a su organización, especialmente los relacionados con algunos requisitos del articulo 31bis. 5 CP.

ATENUACIÓN DE LA PENA

En el supuesto que la empresa no cumple con todos los requisitos expuestos anteriormente, tiene la posibilidad de atenuar la pena por las circunstancias que expone el articulo 31 quater CP y que se detallan a continuación.

No obstante, la responsabilidad de la persona física (ej. administrador, empleado, directivo) subsistirá aunque la persona jurídica quede exenta, si así se constata. Por lo tanto, cumplir con el modelo de prevención de delitos tiene la misma importancia para todos los miembros de la organización, independientemente de su rango jerárquico en la misma.

PERSONAS JURÍDICAS PENALMENTE RESPONSABLES

En este curso, abordaremos el estudio y compresión de la redacción del articulo 31bis del Código Penal que regula la responsabilidad penal de las personas jurídicas.

El artículo dispone en su apartado 1 que las personas jurídicas serán responsables penalmente:

a) De los delitos cometidos en nombre o por cuenta de las mismas, y en su beneficio directo o indirecto, por sus representantes legales o por aquellos que actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en nombre de la persona jurídica u ostentan facultades de organización y control dentro de la misma.

b) De los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en beneficio directo o indirecto de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad atendidas las concretas circunstancias del caso.

Aparto 1 del artículo 31bis del Código Penal

PERSONAS JURÍDICAS RESPONSABLES

Las personas que pueden ser responsables penalmente las siguientes:

1. Sociedades civiles y mercantiles
2. Sociedades mercantiles públicas
3. Asociaciones y Fundaciones
4. Unión Temporal de Empresas
5. Partidos políticos desde el año 2015
6. Sindicatos desde el año 2015

No obstante, no todas personas jurídicas son responsables penalmente. El artículo 31 quinquies del Código Penal, exonera de responsabilidad a:

1. El Estado
2. Administraciones territoriales e institucionales
3. Organismos reguladores
4. Agencias y Entidades públicas Empresariales
5. Organizaciones internacionales de derecho público
6. Aquellas otras que ejerzan potestades públicas de soberanía o administrativas.

¿CUÁNDO SERÁ PENALMENTE RESPONSABLE LA PERSONA JURÍDICA?

La persona jurídica será responsable, si se dan las siguientes circunstancias:

1. Comisión de uno de los delitos tipificados por el Código penal.
2. Que el delito haya sido cometido:
   • Por el ADMINISTRADOR DE DERECHO de la persona jurídica
   • Por el ADMINISTRADOR DE HECHO de la persona jurídica.  
   • Aquél, que sin ser legalmente el Administrador de la entidad, ejerce en la práctica como tal (PODERES).
   • Por el REPRESENTANTE LEGAL de la persona jurídica.
   • Cualquier EMPLEADO o DEPENDIENTE de los anteriores, como consecuencia de la falta de supervisión, vigilancia y control de los mismos.
3. Que el delito haya sido cometido en NOMBRE O POR CUENTA de la persona jurídica.
4. Que haya sido cometido en BENEFICIO DIRECTO O INDIRECTO de la persona jurídica.

En resumen las empresas son responsables penalmente por los delitos cometidos por sus administradores, directivos y empleados en nombre o por cuenta de la misma, siempre y cuando la sociedad obtenga un beneficio directo o indirecto. Por lo tanto, la persona jurídica tiene:

• Responsabilidad por transferencia, indirecta, derivada, vicarial o por representación, por la comisión de delitos en el seno de la organización por las personas bajo su cargo y en beneficio de la misma.
• Responsabilidad propia, directa o autónoma de la persona jurídica, que es propiamente el ente colectivo el que comete el delito, cuando omite la adopción de las medidas de precaución que le son exigibles para garantizar un desarrollo ordenado y no delictivo de la actividad empresarial.

La circular de la fiscalía 1/2016, entiende que la responsabilidad de la persona jurídica se fundamenta en un hecho ajeno a través del sistema de responsabilidad indirecta o vicarial por la comisión del delito por las personas físicas indicadas en al artículo 31bis1. Esto supone que de la autoría de la persona física, nace consecuentemente la responsabilidad de la persona jurídica, como establece el articulo 31 ter CP.

La responsabilidad penal de las personas jurídicas será exigible siempre que se constate la comisión de un delito que haya tenido que cometerse por quien ostente los cargos o funciones aludidas en el artículo anterior, aun cuando la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella.