COMPLIANCE PENAL: LA VERIFICACIÓN PERIÓDICA DEL MODELO DE PREVENCIÓN
Salvador Silvestre 
@SsilvestreS
Área de Compliance Penal de GOVERTIS
(DEUXTIC)
Índice:
1.- ¿Es obligatorio verificar el Modelo de Prevención Penal?
2.- Pautas imprescindibles en el proceso de verificación
2.1.- ¿Cuándo debe revisarse?
2.2.- ¿Qué debe ser objeto de revisión?
2.3.- Procedimientos asociados a la verificación del modelo
3.- Conclusiones
1.- ¿Es obligatorio verificar el Modelo de Prevención Penal?
Antes de implantar un modelo prevención penal en la empresa o quizá cuando éste ya se ha planificado e implantado, una de las primeras cuestiones que surgen dentro de la organización es ¿Qué ocurre después de la implantación?; ¿se requiere algún tipo de mantenimiento o verificación?.
El artículo 31 bis. 5 del Código Penal establece que: Los modelos de organización y gestión a que se refieren la condición 1.ª del apartado 2 y el apartado anterior deberán cumplir los siguientes requisitos:
“(…) 6. Realizarán una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.”
El Código Penal ya configura este tipo de verificaciones como requisito necesario a la hora de valorar la idoneidad del modelo, con lo cual, efectivamente se hace necesaria esa revisión del modelo, que llevará aparejada la revisión de los riesgos penales de la empresa.
Por otro lado, la ISO 19600:2014, sobre Sistemas de Gestión de Compliance trata en los apartados 9 y 10 cuestiones que formarían parte de este proceso de verificación del modelo y que forman parte de cualquier Ciclo PDCA (Plan, Do, Check, Act).
En el apartado 9 trata cuestiones relativas a cómo debe realizarse lo que denomina la “Evaluación del desempeño”, que en definitiva son cuestiones de seguimiento, medición, análisis, auditoría y evaluación. En el apartado 10, cuestiones relacionadas con la mejora del sistema de compliance, tratamiento de no conformidades y proceso de mejora continua.
De conformidad con la ISO 19600:2014 la organización deberá mejorar continuamente la idoneidad, adecuación y eficacia del sistema de gestión de compliance.
2.- Pautas imprescindibles en el proceso de verificación
2.1.- ¿Cuándo debe revisarse? 
El Código Penal no establece plazo para realizar la verifi
cación ni indica procedimiento de revisión, no obstante, la Circular de la Fiscalía 1/2016, considera que un adecuado modelo debe contemplar estos dos aspectos.
En principio, en cuanto al aspecto temporal, podríamos hablar de dos tipos de verificación:
- Verificación ordinaria o programada: Es aquella que la organización y el comité de compliance deciden establecer de forma periódica sin que ocurra ningún evento extraordinario. En principio, este tipo de verificaciones, dependiendo de la zona de confort en la que quiera moverse la empresa, podrá hacerse de forma mensual, trimestral, o anualmente.
- Verificación extraordinaria: Se haría necesaria esta modificación cuando ocurrieran circunstancias internas o externas que afecten el nivel de riesgo de la empresa. Para la Fiscalía (Circular 1/2016, el modelo deberá ser revisado inmediatamente si concurren determinadas circunstancias que puedan influir en el análisis de riesgo, alterándose las circunstancias iniciales o alterando significativamente el riesgo de la persona jurídica.
En este punto, y aunque el Código Penal apunta algunas cuestiones, podríamos diferenciar entre circunstancias internas que obligarían a una revisión del modelo (por ej., constatación de infracciones relevantes de las disposiciones del Modelo de Prevención Penal, desarrollo de nuevas líneas de actividad y negocio, cambios en la dirección o en la plantilla, nuevos proveedores o terceros que puedan involucrarla en actos ilícitos etc…) y circunstancias externas (por ej., modificaciones en el Código Penal que afecten la actividad de la organización, modificaciones legislativas, nuevos criterios jurisprudenciales, acontecimientos económicos, sociales o culturales que puedan incidir en una mayor supervisión de ese riesgo.
Si se encontrase alguna no conformidad u oportunidad de mejora, debería:
- Determinar sus causas.
- Evaluar la necesidad de efectuar acciones concretas para asegurar que la no conformidad no se vuelve a repetir.
- Determinar e implementar las acciones correctivas o de mejora apropiadas.
- Revisar la efectividad de las acciones tomadas.
2.2.- ¿Qué debe ser objeto de revisión?
La verificación del modelo puede proyectarse sobre su diseño, el nivel de implantación y sobre su eficacia o idoneidad. En mi opinión, la dirección de la compañía es la que debe velar por asegurarse de que el modelo es adecuado e idóneo, lo cual, es perfectamente compatible y no veo problema en que dicha revisión pueda realizarse exclusivamente de forma interna, o también internamente con el apoyo de soporte legal externo o mediante la exclusiva revisión de consultores externos, siendo estos dos últimas opciones las más objetivas frente a terceros bajo mi punto de vista.
La revisión o chequeo de la adecuación del diseño de modelo elaborado, pasaría por revisar que el modelo de prevención reúne todos los requisitos exigidos por el Código Penal (artículo 31 bis. 5) a la luz de los criterios interpretativos que la Fiscalía y los Tribunales vayan emitiendo.
Asimismo, debería evaluarse el nivel de implantación, verificando si políticas, procedimientos y controles establecidos son adecuados para responder a los riesgos que la organización quiere prevenir, identificar y gestionar.
Por último, una evaluación de su idoneidad nos llevaría a tener que revisar mediante la realización de pruebas si el modelo es robusto y eficaz, al margen de que durante su vigencia pueda cometerse algún delito en la empresa, habida cuenta que el criterio actual de la Fiscalía es que “(…) el delito no invalida necesariamente el programa de prevención, que puede haber sido diseñado e implementado adecuadamente sin llegar a tener una eficacia absoluta.”
2.3.- Procedimientos asociados a la verificación del modelo
En la ISO 19600:2014, sobre Sistemas de Gestión de Compliance, podemos encontrar determinadas pautas que ayudarían a crear procedimientos encaminados a realizar una correcta verificación del modelo.
En este sentido, podríamos mencionar:
- Seguimiento, medición, análisis y evaluación
- Tratamiento de no conformidades y mejoras
- Formación y concienciación
- Proceso de revisión por la dirección
- Mejora continua del sistema de Compliance
- No conformidades y acciones correctivas
Estos procedimientos no tendrían otra finalidad dentro del proceso de verificación que dar cumplimiento a lo dispuesto en el Art.31 bis 2. 1ª y 2ª:
“1.ª el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión;
2.ª la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica;”
3.- Conclusiones
En última instancia, y al efecto de resumir las ideas fuerza manejadas en este post podemos concluir lo siguiente:
1.- La idoneidad del modelo pasa por su verificación, actualización y mejora continua.
2.- La verificación pasa por contemplar dos aspectos fundamentales: plazo de revisión y procedimiento.
3.- Al margen de las verificaciones programadas que se proyecten, la existencia de determinadas circunstancias conllevaría el que tuviera que revisarse el modelo de forma inmediata: desarrollo de nuevas líneas de actividad y negocio, cambios en la dirección o en la plantilla, etc…
4.- Pese a que no resultará fácil a Jueces y Fiscales comprobar que los modelos de prevención penal son idóneos, lo bien cierto es que en la Circular 1/2016, observamos que dentro de los criterios para valorar la eficacia de los modelos de prevención hay dos cuestiones que conectan directamente con la esencia de la verificación del modelo, una de ellas es que para la Fiscalía, la capacidad de detección de los incumplimientos lucirá como un elemento sustancial de la validez del modelo y otra es que la correcta verificación del modelo refleja la cultura ética y compromiso de la empresa.
Bibliografía consultada:
- Circular de la Fiscalía 1/2016, sobre la responsabilidad penal de las personas jurídicas conforme a la reforma del Código Penal efectuada por Ley Orgánica 1/2015.
- Cuadernos KPMG. Serie test de Compliance/8. Alain Casanovas.
- Guía para prevenir la responsabilidad penal de la empresa. ARANZADI.
- Procedimientos ISO19600 JL. Colom. Govertis2016. Información interna.
Expertos en Ciberseguridad, Privacidad, IT GRC y Cumplimiento Normativo unificando la perspectiva Legal y Tecnológica.
