Qué debe incluir una política de Compliance eficaz

El punto de partida de una política de Compliance eficaz es conocer dónde están los riesgos. Parece obvio, pero es precisamente aquí donde un modelo genérico empieza a perder utilidad. El artículo 31 bis.5.1.º del Código Penal exige identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos. Por tanto, el mapa de riesgos debe centrarse en riesgos penales vinculados a la actividad y estructura concretas de la persona jurídica, sin perjuicio de que el sistema de Compliance pueda abarcar también otros riesgos regulatorios. No todas las empresas tienen la misma exposición ni necesitan idénticos controles. El sector, el tamaño, la organización interna, la relación con proveedores, la gestión de recursos económicos o las funciones atribuidas a cada profesional cambian el escenario. Por eso, un buen mapa de riesgos no debería ser una fotografía prestada de otra compañía, sino el resultado de analizar la propia actividad. 

A partir de ese diagnóstico llegan los procedimientos. Una empresa necesita saber quién puede decidir, hasta dónde llegan sus atribuciones y qué controles deben aplicarse antes de determinadas operaciones. El artículo 31 bis.5.2.º y 3.º menciona expresamente los protocolos o procedimientos relativos a la adopción y ejecución de decisiones y los modelos adecuados de gestión de los recursos financieros. En la práctica, el cumplimiento normativo empieza a cobrar sentido cuando estas reglas dejan de ser formulaciones abstractas y se traducen en actuaciones reconocibles: autorizaciones, controles, responsabilidades delimitadas y evidencias documentales proporcionadas que permitan acreditar el funcionamiento efectivo del modelo.

Hay otro elemento menos tangible, pero decisivo: el compromiso de la dirección. Una política puede estar impecablemente redactada y fracasar si quienes dirigen la organización la tratan como un trámite. La Circular 1/2016 de la Fiscalía General del Estado señala que cualquier programa eficaz depende del compromiso y apoyo inequívocos de la alta dirección y vincula la eficacia real del modelo con la existencia de una verdadera cultura de cumplimiento. La jurisprudencia del Tribunal Supremo también ha conectado los modelos de prevención con la cultura de respeto al Derecho dentro de la persona jurídica. El mensaje que recibe la plantilla importa. Si las reglas se exigen a unos mientras otros pueden sortearlas cuando resultan incómodas, el sistema empieza a resquebrajarse antes incluso de que aparezca un incumplimiento. 

Una política de Compliance eficaz también debe detectar los problemas

Prevenir no significa asumir que nunca ocurrirá nada. Un sistema razonable debe disponer de mecanismos para comunicar posibles riesgos o incumplimientos y establecer quién recibe esa información, cómo se analiza y qué respuesta corresponde en cada caso. El artículo 31 bis.5.4.º impone la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el modelo, y el apartado 5.5.º exige un sistema disciplinario adecuado. Cuando resulte aplicable la Ley 2/2023, de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, el canal interno deberá además ajustarse a sus requisitos específicos. La Circular 1/2016 atribuye especial valor a que la propia organización detecte las conductas irregulares. En otras palabras, descubrir un problema no demuestra necesariamente que el Compliance haya fracasado; en determinadas circunstancias puede ser un indicio de que los controles funcionan.

Nada de esto sirve demasiado si las personas que deben aplicar las normas no las conocen o no comprenden para qué existen. Aunque la formación no aparece como requisito autónomo en la enumeración del art. 31 bis.5, constituye un elemento relevante para que las medidas de prevención sean realmente conocidas, aplicadas y eficaces. La formación y la comunicación interna deben adaptarse a los riesgos y funciones. No necesita la misma formación quien autoriza pagos que quien contrata proveedores o gestiona información sensible. Un programa útil debe acercar las obligaciones a las situaciones que cada profesional puede encontrarse en su trabajo. Cuando el Compliance se percibe únicamente como una sucesión de documentos jurídicos difíciles de trasladar al día a día, aumenta la distancia entre el modelo diseñado y el que realmente funciona. 

Por último, una política de Compliance eficaz necesita revisión. Las empresas cambian: aparecen nuevas actividades, se modifican procesos, se incorporan proveedores, se reorganizan departamentos y surgen riesgos que antes no existían. El artículo 31 bis.5.6.º exige una verificación periódica del modelo y su eventual modificación cuando se pongan de manifiesto infracciones relevantes o se produzcan cambios en la organización, la estructura de control o la actividad desarrollada que la hagan necesaria. La revisión debería quedar documentada y conducir, cuando proceda, a cambios concretos en el mapa de riesgos, los controles, la formación o los procedimientos. No debería entenderse como una tarea puramente formal: sirve para comprobar si los controles continúan siendo adecuados, localizar puntos débiles y corregirlos antes de que se conviertan en un problema mayor.

Conclusión

La eficacia del Compliance no se mide por el número de páginas de un manual ni por la cantidad de procedimientos aprobados. Se aprecia, sobre todo, en cómo funciona la organización cuando tiene que tomar una decisión, afrontar un riesgo o reaccionar ante un incumplimiento. Identificación de riesgos, procedimientos claros, controles financieros, responsabilidades definidas, mecanismos de comunicación, medidas disciplinarias, formación y revisión periódica forman parte de un mismo engranaje. El elemento decisivo es que el modelo esté adaptado a los riesgos de la organización, se aplique de manera efectiva y pueda acreditarse su funcionamiento. Cuando esas piezas se integran en la actividad ordinaria, el Compliance deja de ser una obligación escrita para convertirse en una herramienta de prevención y gestion.