La entrada en vigor de la Ley 2/2023 de 20 de febrero, de Protección al Informante, introduce de facto importantes modificaciones en las obligaciones y riesgos inherentes a la posición del Compliance Officer como órgano de la persona jurídica. Y decimos “de facto” porque la citada norma, a pesar de no hacer ninguna referencia directa al art. 31 bis del Código Penal – y diríamos que sin tenerlo siquiera en cuenta – sitúa en una nueva e imprevista situación legal a quienes tienen encargada la tarea de la supervisión del funcionamiento y cumplimiento del modelo de prevención en el seno de la persona jurídica.
Hasta la entrada en vigor de la citada Ley 2/2023, y de conformidad con lo dispuesto en art. 31 bis del Código Penal, la situación del Compliance Officer en síntesis es la siguiente:
- Puede ser interno o externo.
- No dispone de un estatuto propio que regule su función más allá de tener atribuida la supervisión y control del modelo de prevención.
- Cuando la persona jurídica opte por dotarse de un modelo de cumplimiento, de conformidad con el art. 31 bis. 5, 4º) del Código Penal deberá implementar un canal de denuncias para que dicho modelo sea eficaz y pueda suponer una eximente de la responsabilidad penal de dicha persona jurídica, por lo que ya le venía impuesta al Compliance Officer la responsabilidad sobre dicho canal de denuncias.
- La obligación de denunciar hechos indiciariamente delictivos cometidos en el seno de la persona jurídica y detectados en el cumplimiento de su función de supervisión y control, viene regida por el art. 262 de la Ley de Enjuiciamiento Criminal, que se limita a los delitos flagrantes. El incumplimiento de dicha obligación se castiga “bajo la multa de 25 a 250 pesetas” conforme a la arcaica y no revisada literalidad del art. 259 de la LECrim.
- No goza el Compliance Officer de ninguna protección especial frente a posibles represalias de la persona jurídica causadas por el cumplimiento de su función.
Sin embargo, tras la entrada en vigor de la Ley 2/2023 y la obligatoria implementación de un canal de denuncias, esta situación se ve alterada. Pues si a tenor del art. 31 bis, 5, 4º) del Código Penal es competencia del Compliance Officer la recepción de las denuncias de posibles riesgos o incumplimientos en el seno de la persona jurídica, de acuerdo con el art. 8 de la reciente Ley 2/2023, esta función de recepción de denuncias resulta hoy ser la propia del Responsable del sistema interno de información.
La posibilidad de asumir el Compliance Officer el rol de Responsable del canal de denuncias viene específicamente prevista en el art. 8.6 de la Ley 2/2023, que establece que “podrá” ser el Compliance Officer la persona designada como Responsable del Sistema, “siempre que cumpla los requisitos establecidos en esta ley”. Siendo esos requisitos, esencialmente, el que sea un “directivo de la entidad, que ejercerá su cargo con independencia del órgano de administración o de gobierno de la misma”. Pero en la práctica, es predecible que en la inmensa mayoría de los casos el Compliance Officer ya existente va a asumir las funciones de Responsable del canal de denuncias a fin de evitar duplicidades.
Compliance officer: responsable de la información interna
Pues bien, en el caso de que el Compliance Officer asuma, además, el rol de Responsable del sistema interno de información, en tal condición añadida le será aplicable todo lo establecido en la Ley 2/2023 y su posición desde ese momento será, en síntesis, la siguiente:
- Deberá ser un “directivo” de conformidad con lo establecido en el art. 8.5, en el entendido que estamos ante una empresa del “sector privado”. A pesar de lo confuso y poco preciso del término “directivo”, entendemos que el legislador ha querido referirse a una persona que pertenece al gobierno de una corporación o sociedad, por lo que debe entenderse como un cargo de carácter interno, reservando la Ley en su artículo 6 la posibilidad de externalizar únicamente la gestión del canal interno, pero no a la persona responsable del mismo. Por tanto, estamos ante un requisito previo que en principio no favorece los principios de independencia y autonomía que la propia norma exige a ese órgano.
- Sus funciones como Responsable del sistema interno de información vienen establecidas en el art. 8 y concordantes de la Ley 2/2023, estando sometido al régimen de infracciones y sanciones previstas en la misma.
- De conformidad con lo establecido en los arts. 9.1 y 9.2, j) el Compliance Officer/Responsable del canal viene ahora obligado a remitir directamente la información al Ministerio Fiscal “con carácter inmediato” cuando los hechos denunciados pudieran -a su juicio- ser indiciariamente constitutivos de delito, sea o no flagrante, lo que incluye los delitos ya consumados cometidos en el pasado. Entendemos que la remisión de dicha información podrá también hacerse mediante denuncia ante el Juzgado de instrucción competente o ante los Cuerpos y Fuerzas de Seguridad del Estado.
- En caso de que la denuncia contra la persona jurídica haya sido interpuesta directamente ante la Autoridad Independiente de Protección del Informante (A.A.I.), entra en juego el art. 19.5, que establece que durante la tramitación del expediente “todas las personas naturales o jurídicas, privadas o públicas, deberán colaborar con las autoridades competentes y estarán obligadas a atender los requerimientos que se les dirijan para aportar documentación, datos o cualquier información relacionada con los procedimientos que se estén tramitando, incluso los datos personales que le fueran requeridos”. Obligación de información cuyo incumplimiento está administrativamente sancionado con multas de 1.001 hasta 10.000 euros para persona física, (art. 65.1 a) y de hasta 100.000 euros para personas jurídicas (art. 65.1 b). Así, el Compliance Officer/Responsable del Canal viene en principio obligado a aportar a la citada Autoridad cualquier información que le sea requerida con referencia a los hechos denunciados.
- Además, el art. 20 referido a la terminación de las actuaciones deja a la citada Autoridad Independiente la posibilidad de remisión de la información obtenida al Ministerio Fiscal “si, pese a no apreciar inicialmente indicios de que los hechos pudieran revestir el carácter de delito, así resultase del curso de la instrucción”. Lo que deja abierta la inquietante posibilidad de que aunque “inicialmente” no se hayan apreciado indicios de delito, se instruya el expediente y en el curso del mismo se requiera y obtenga del denunciado información auto incriminatoria, para posteriormente remitir todo ello al Ministerio Fiscal.
- No establece la ley 2/2023 protección alguna para el Responsable del canal de denuncias ante posibles represalias de la persona jurídica denunciada. Y tampoco proporciona ninguna protección al Compliance Officer, que en este sentido sigue en la misma posición anterior. Pero como novedad, sí podrán ser acreedores a la protección que dicha Ley dispensa en el caso de que, precisamente, ellos mismos se erijan en informantes.
Así pues, la Ley 2/2023 establece la obligación del Compliance Officer/Responsable del Canal de denuncias tanto de denunciar al Ministerio Fiscal las irregularidades detectadas que pudieran ser constitutivas de delito, como de proporcionar en su caso toda la información que le requiera la Autoridad Independiente so pena de sufrir importantes sanciones económicas, incluso a título personal.
Estamos ante nuevas y graves obligaciones legales que suponen en apariencia una profunda contradicción con el derecho a la no autoincriminación que recoge el art. 24 de la Constitución española cuando en su apartado 2 establece que todos tienen derecho “a no declarar contra sí mismos, a no confesarse culpables y a la presunción de inocencia.”. Como estableció la STS 154/2016 de 29 de febrero, ponente Maza Martín, los derechos y garantías constitucionales, como la tutela judicial efectiva, la presunción de inocencia, al Juez legalmente predeterminado o a un proceso con garantías, amparan a la persona jurídica de igual forma que lo hacen en el caso de las personas físicas. En consecuencia, la persona jurídica tiene el derecho constitucional a no autoincriminarse, y este derecho puede entrar directamente en conflicto con estas nuevas obligaciones del Compliance Officer/ Responsable del canal de denuncias, que no olvidemos es un órgano de la persona jurídica.
A ello se añade la dificultad de externalizar dichos cargos así como la ausencia de protección legal ante posibles represalias por el escrupuloso cumplimiento de sus funciones de supervisión y control, protección que, lamentablemente, sólo cabe lograr mediante la denuncia o la revelación pública.
Todo ello revela una poco deseable voluntad del legislador de prevenir los comportamientos ilícitos o delictivos en las personas jurídicas desde un modelo de cumplimiento basado en la promoción de la denuncia y en el temor a posibles sanciones, dejando así de lado el anterior modelo del Código Penal basado en el principio de la autorresponsabilidad desde 2015.
Siendo el debido control de la organización el fundamento de la responsabilidad penal de la persona jurídica, el canal de denuncias hasta ahora venía constituido como una herramienta intrínsecamente interna cuyo propósito no era otro que potenciar el flujo de la información en la empresa a todos los niveles. La información es poder, y el conocimiento en tiempo real de lo que está ocurriendo dentro de la empresa es un elemento esencial para el continuo análisis de riesgos y la planificación de una efectiva prevención de delitos, en definitiva para la mejora continua del sistema.
La empresa ya contaba con otros medios de reporte como son las comunicaciones directas entre los empleados, por ejemplo la información al superior, pero si algo debe caracterizar al canal es que – teóricamente – puede potenciar las comunicaciones porque es ágil, de fácil manejo y permite saltar en la escala jerárquica, posibilitando una comunicación directa con el responsable del sistema.
La trasposición de la Directiva Whistleblower por la Ley española 2/2023 de Protección del Informante efectivamente refuerza las garantías de uso del canal mediante la necesaria prohibición de las represalias, pero a nuestro criterio afecta negativamente a la configuración del canal como instrumento para asegurar el debido control en la organización, puesto que merma su eficacia como herramienta de control interno para primar su función de instrumento de traslado de información a las autoridades. La prohibición de represalias por el uso del canal también era ya una constante que debía plasmarse en los Códigos Éticos de las empresas, pues el canal es una herramienta que sólo funciona si está basado en la confianza. Así, el canal de denuncias es una evidencia más del compromiso ético de la empresa, que crea la herramienta para mejorar el sistema de cumplimiento.
Sin perjuicio de los problemas constitucionales que la indicada obligación de autoincriminarse pueda suponer, las empresas pueden ahora ser más reticentes a potenciar el uso del canal por parte de sus empleados, perjudicando así el flujo de información que como hemos apuntado es el núcleo del control interno e instrumento para la correcta organización.
El programa de cumplimiento debe estar basado en la ética, debe generar confianza y fomentar la transparencia y la comunicación, pues son bases de la responsabilidad propia y de la cultura de cumplimiento. La obligación de denunciar ante las autoridades tiene un difícil encaje con una verdadera autorresponsabilidad, pues la empresa debe comunicar los hechos ilícitos y proporcionar información como expresión de su compromiso ético y no simplemente porque ello sea en todo caso obligatorio o se vea amenazada con sanciones.
Estas nuevas obligaciones se alejan así de los objetivos que la introducción de un sistema de responsabilidad penal de las personas jurídicas pretende y que no es el de impulsar el cumplimiento con nuevos instrumentos coactivos. Al contrario, es el de potenciar lo que se ha llamado “buenos ciudadanos corporativos” que actúan impulsados por una cultura de cumplimiento que han asumido como propia las organizaciones y empresas que cumplen la Ley desde un compromiso ético con sus empleados, con los terceros interesados y, en definitiva, con la sociedad en general.
Para leer el artículo completo de los socios de MDC, Juan Molins y Manuel de Cárdenas, en Economist & Jurist, pulsa aquí.
Si desea ampliar la siguiente información o contratar nuestros servicios, no dude en ponerse en contacto con nuestro despacho llamando al +34 625 795 122 o 915 919 104 o enviando un email a contacto@mdcabogados.eu