Daniel Tejada, Author at REDEPEC

I. Introducción. La regulación en el Código Penal

El artículo 31 bis CP, en su versión final, a diferencia de lo que se planteó durante la elaboración de la norma, no excluye a persona jurídica alguna de carácter privado de la posible autoría de los delitos específicamente contemplados en la parte especial del Código Penal. Así, ni en el art. 20 del proyecto de Ley¹, ni en la versión final del texto, se descartó la responsabilidad penal de las personas jurídicas en atención al tipo o tamaño de la sociedad, distinguiéndose sin más entre personas jurídicas de pequeñas dimensiones y aquellas que no lo son, exceptuando además a las personas jurídicas públicas². De hecho, la única dispensa existente en el precepto se refiere a la innecesaridad de que, en las personas jurídicas de pequeñas dimensiones, las funciones de supervisión sean ejercidas por un órgano específico de control, bastando con que el órgano de administración las asuma directamente. A contrario sensu , ello implica que todas las sociedades, grandes o pequeñas, incluso con escasa complejidad estructural , se ven abocadas a adoptar una estructura de compliance caso de querer verse eximidas de responsabilidad. Incluso, la propia redacción del artículo 31 ter 1 CP, que permite modular la multa impuesta a personas físicas y jurídicas , según criterios de proporcionalidad, parece dar a entender que el legislador asume la cierta falta de proporcionalidad que encarna la simultánea imposición de una sanción penal a pequeñas personas jurídicas y a su administrador, por lo que, aceptando tal posibilidad, modula, que no elimina, la pena de multa a imponer a ambas. Sin embargo, de aceptarse este planteamiento, la complejidad y el coste de la elaboración de un plan de cumplimiento puede hacer inviable económicamente el futuro de una pequeña sociedad.

Boletín Oficial de las Cortes Generales. CONGRESO DE LOS DIPUTADOS X legislatura…

Art. 31 quinquies 1 CP: “Las disposiciones relativas a la responsabilidad penal…

II. La proporcionalidad como vía de flexibilizar la exigencia de compliance y de limitar la responsabilidad penal de las pequeñas sociedades

Desde el prisma de la falta de proporcionalidad surgen los primeros intentos de limitar, que no suprimir, la responsabilidad de las pequeñas sociedades mediante la relajación de las exigencias de compliance.

Doctrinalmente³ se señala que la llamada a la proporcionalidad es común a toda una serie de instrumentos internacionales, como la Recommendation of the Council for Further Combating Bribery of Foreign Public Officials in International Business Transactions de la OCDE, en cuya última edición de 26 de noviembre de 2021, tras hacer un llamamiento a la existencia de controles internos en pequeñas y medianas empresas⁴, se reconoce que la guía debe tener una aplicación flexible respecto de dichas empresas⁵. En el mismo sentido, también se trae a colación el United States Sentencing Commission Guidelines Manual, cuya última edición es de 2021, que regula en su capítulo VIII, páginas 509 a 553, las sentencias sobre organizaciones. En el apartado correspondiente a Effective Compliance and Ethics Program, la guía hace hincapié en el tamaño societario a la hora de establecer un medio informal de cumplimiento de sus exigencias para las pequeñas organizaciones⁶.

CASANOVAS, Alain, Compliance normalizado. El estándar UNE 19601, Ed. Thomson Reuter Aranzadi,…

Recomendación 23.C.ii: business organisations and professional associations, where appropriate, in their efforts…

Introduction Anexo II, Good Practice Guidance on Internal Controls, Ethics and Compliance:…

Pág. 520. In meeting the requirements of this guideline, small organizations shall…

En España, la Circular 1/2016 de la Fiscalía General del Estado no prescinde de la exigencia de responsabilidad penal a las pequeñas sociedades, sino que hace un llamamiento a la flexibilidad en la demostración de su compromiso ético mediante una “razonable adaptación a su propia dimensión de los requisitos formales del apartado 5, que les permita acreditar su cultura de cumplimiento normativo, más allá de la literalidad del precepto y en coherencia con las menores exigencias que estas sociedades tienen también desde el punto de vista contable, mercantil y fiscal “.

No excluye ningún tipo de sociedades, sino que afirma que “La única especialidad que el Legislador dispensa a estas entidades consiste en eximirlas del cumplimiento de la condición segunda del apartado anterior, de modo que las funciones del oficial de cumplimiento las desempeñe directamente el órgano de administración. Se mantiene, por lo tanto, la obligación de adoptar los modelos de organización y gestión, con los requisitos contemplados en el apartado 5”.

La consecuencia será que “las características de los modelos de organización y control de estas personas jurídicas de pequeñas dimensiones deberán acomodarse a su propia estructura organizativa, que no puede compararse con la de las empresas dotadas de una organización de cierta complejidad, que les viene en buena medida legalmente impuesta”.

Únicamente se descartan las llamadas sociedades pantalla, encaminadas a la comisión de delitos, en cuanto que el régimen de responsabilidad de las personas jurídicas no está realmente diseñado para ellas (supervisión de los subordinados, programas de cumplimiento normativo, régimen de atenuantes…) de tal modo que la exclusiva sanción de los individuos que las dirigen frecuentemente colmará todo el reproche punitivo de la conducta, que podrá en su caso completarse con otros instrumentos como el decomiso o las medidas cautelares reales. Se entiende así que las sociedades instrumentales, aunque formalmente sean personas jurídicas, materialmente carecen del suficiente desarrollo organizativo para que les sea de aplicación el art. 31 bis, especialmente tras la completa regulación de los programas de cumplimiento normativo”.

Dichas personas jurídicas serán inimputables cuando carezcan de cualquier clase de actividad legal o cuando lo sea de manera meramente residual y aparente para lograr sus propios propósitos delictivos.

Nótese, sin embargo, que el fundamento último de la exclusión de las sociedades pantalla predeterminadas al delito reside en la ausencia de desarrollo organizativo, argumentación que será absolutamente trascendente cara a la posible exclusión de la responsabilidad penal de pequeñas sociedades, no encaminadas a la comisión de delitos, con existencia real y actividad cierta y tangible, pero dotadas de escasa complejidad organizativa.

Con relación a la doctrina sentada por el Tribunal Supremo en esta materia, cabe subrayar que tradicionalmente optó por un llamamiento a la proporcionalidad, pero sin exceptuar claramente a las pequeñas personas jurídicas de la exigencia de compromiso con el derecho y, por ende, del marco de responsabilidad penal fijado en el artículo 31 BIS CP, limitándose a expulsar de la norma a las sociedades pantalla.

La primera sentencia que con rigor y profundidad abordó el problema de la responsabilidad penal de las personas jurídicas, la STS 156/2016, de 29 de febrero, aparta del ámbito de aplicación del artículo 31 bis CP a las sociedades ficticias, pero no aborda realmente la problemática de las pequeñas sociedades⁷. A pesar de ello, deja como eje esencial de la exclusión de las primeras la ausencia de una estructura organizativa real que pudiera fundamentar la exigencia de responsabilidad, lo cual resultará capital⁸.

La sociedad meramente instrumental, o “pantalla”, creada exclusivamente para servir de instrumento…

“Lo que no admite duda, visto el texto legal (art. 31 bis…

La posterior STS 221/2016, de 16 de marzo, tras reafirmar que la esencia de la responsabilidad penal de las personas jurídicas reside en su carácter de delito corporativo, hace referencia a un defecto estructural en los mecanismos de prevención exigibles a toda persona jurídica⁹.

“El hecho sobre el que ha de hacerse descansar la imputación no…

Sin embargo, la reciente reforma operada por la Ley 18/2022, que permite que la sociedades de responsabilidad limitada se constituyan con un simple capital social no mayor de un euro, e introduce simultánea responsabilidad personal de los socios por la diferencia existente entre el capital social fijado y la cifra de 3.000 euros, nos pone de manifiesto el resultado profundamente insatisfactorio que produce la extensión ilimitada del régimen de la responsabilidad penal de la persona jurídica a cualquier tipo de sociedades, especialmente respecto de aquellas cuya estructura es extremadamente simple y apenas encubre a la persona física que la ha constituido, que resulta ser la mayor parte de las veces su administrador único, en un fenómeno bastante común de huida de la responsabilidad universal del comerciante individual.

III. El fundamento dogmático de la responsabilidad penal de las personas jurídicas y de su exención

Como señaló en su día la STS 234/2019, de 8 de mayo, el fundamento de la responsabilidad penal de la persona jurídica radica en su consideración como delito corporativo, por la existencia de un defecto estructural en los mecanismos de prevención. Esto viene a reconocer que es precisa la existencia de una organización que posea una cierta entidad para que podamos hablar de defecto estructural.

En esta línea se ha decantado la parte más relevante de la doctrina, que ha abogado por la introducción del llamado actor corporativo, entendiendo que únicamente un actor corporativo puede cometer un delito corporativo¹⁰. Se entenderá por actor corporativo “aquella persona jurídica que goza de un sustrato –sc. estructura– organizativo-material suficiente para considerarse como una entidad independiente de las personas físicas. De conformidad con este planteamiento sólo un actor corporativo tiene capacidad para cometer un delito corporativo puesto que sólo a aquellas personas jurídicas que gozan de una cierta estructura organizativo- material puede reprochárseles dicho déficit”¹¹. De esta manera, “sólo esos actores corporativos dotados de substrato organizativo- empresarial propio son los destinatarios primigenios de los estándares nacionales e internacionales de Compliance”¹².

10.

GÓMEZ JARA, Carlos, Actor Corporativo y Delito Corporativo. Ed. Aranzadi, 2020. pág.18

11.

GÓMEZ- JARA, op, cit, pág. 26.

12.

GÓMEZ-JARA, op, cit, pág. 27.

La consecuencia inmediata de dicha consideración es que podemos distinguir entre sociedades imputables y sociedades inimputables. Esto es, de la misma forma que en el Derecho penal de las personas físicas no todas las personas físicas son imputables, en el Derecho penal de las personas jurídicas no todas las personas jurídicas deben ser consideradas imputables per definitionem¹³. Y ello porque sólo en las estructuras complejas podremos encontrar una voluntad propia e independiente de la de la persona física que comete la infracción, y que las hará susceptibles de reproche penal^14. La doctrina profundiza en la cuestión, haciendo un más que sugestivo planteamiento sobre escalas de imputabilidad de las pequeñas sociedades, distinguiendo entre aquéllas personas jurídicas que carecen de estructura compleja, en que el socio único es administrador único y empleado (que serían inimputables), aquellas otras que tendrían algún tipo de organización, aunque no compleja, y asalariados no socios, las cuales podrían ser semi- imputables, a las que habría que aplicar el artículo 31 ter) CP, y la regla de modulación de la multa, y, finalmente, las sociedades con estructura suficientemente desarrollada y compleja, totalmente imputables¹⁵. Sólo en estas sociedades resultaría razonable la instauración de un plan de cumplimiento.

13.

GÓMEZ- JARA, op, cit, pág. 28.

14.

GÓMEZ JARA, op, cit, págs. 30 y 31.

15.

GÓMEZ JARA, op, cit, págs. 37 a 46. El autor propone una…

Como hemos visto, el planteamiento anterior subyacía tanto en las argumentaciones de la Circular de la Fiscalía General del Estado como en las contenidas en sentencias del Tribunal Supremo arriba citadas a las que, sin embargo, les faltaba dar un paso más allá de su limitada aplicación a las sociedades pantalla, sin existencia real y puro instrumento al servicio del delito, con ausencia de una verdadera actividad, organización o infraestructura. Este paso, dejando a un lado relevantes ejemplos en instancias judiciales inferiores¹⁶, lo dará la STS 894/2022, de 11 de noviembre, como consecuencia natural de los fundamentos dogmáticos ya recogidos en la jurisprudencia, aunque precedida en este punto por la STS 747/2022, de 27 de julio¹⁷.

17.

Que hace mención a que “El régimen de responsabilidad penal de personas…

IV. La STS 984/2022

4.1 Los hechos

En el año 2014, día 19 de marzo, la denunciante C. M. C suscribió un contrato de asociación con la entidad E.C.T S.L., en cuyo nombre actuó el acusado O.G.S, de la cual era administrador y representante legal el también acusado J.M.M.

C. inició su negocio en Rúa XX de Lugo, como local franquiciado de E.C.T SL y abonó a la sociedad la cantidad de 6000,50 euros, mediante transferencia bancaria realizada el día 29 de marzo siguiente, en concepto de reserva de zona y servicios adicionales asesoramiento, plano 3D, estudio de mercado etc-; la entidad asumió la obligación de suministrarle «los productos propios para el desarrollo del negocio», haciéndose mención en la cláusula núm. 6.5 del contrato que era distribuidora de marcas reconocidas (D&G, Relish, Rare, Nolitat Antony Morato…) con continuidad sujeta a posibles variaciones.

En el mes de junio de 2014 C. solicitó a la entidad nueva mercancía, ofreciéndole el acusado J.M.M ropa que indicó ser de la marca «Amelie Arnour», presentándola como una prestigiosa marca creada en el año 1976 en Paris por la diseñadora y actriz Amelie Le Pen, cuyas prendas se producían en una fábrica sita en Villepinte, a 15 km de París, y en cuyos sus talleres se realizaba todo el proceso de manufactura. C. aceptó el ofrecimiento, adquirió prendas -un lote Amelie 608 euros y vestido Amelie 19 euros-, en la creencia de que la información que le había sido facilitada era cierta, y recibió diversas prendas en su tienda. Para su abono hizo entrega de prendas de otras marcas más una cantidad adicional de 300 euros. En todo caso, la denunciante descubrió que dichas prendas no se correspondían con la oferta y que, en realidad, habían sido fabricadas por un almacén de venta al por mayor, por la entidad M. S.L., y posteriormente reetiquetadas como Amelie Arnour, marca que aún no había sido inscrita en ese momento.

Finalmente, C comunicó a la entidad E.C.T SL la rescisión del contrato de asociación suscrito entre ambos, el día 10 de julio de 2014.

4.2 La acusación

Durante la instrucción, fueron llamados a declarar como imputados los dos administradores solidarios, no así la sociedad, y en el curso de su declaración se les pregunta por esos hechos que, presumiblemente, se califican como delito de estafa, sin que se formule a ninguno de ellos pregunta alguna que pudiera guardar relación con el delito corporativo en que se supone que podría haber incurrido la sociedad.

Más tarde, el Ministerio Fiscal presenta su escrito de acusación, calificando los hechos como delito de estafa de los arts. 248 y 249 CP, acusando solo a los dos administradores, aunque solicitando que, junto con ellos, se declare la responsabilidad civil directa de la sociedad. Por su parte, la denunciante, constituida como acusación particular, en su escrito de acusación relaciona elementos fácticos que aparentemente apunten al delito corporativo del que acusa a la sociedad y, sin embargo, le imputa el mismo delito de estafa que a las dos personas físicas.

Finalmente, el auto de apertura de juicio oral tiene por formulada acusación contra las dos personas físicas y contra la jurídica, para los tres por el mismo delito de estafa de los arts. 248.1º, 249 y 250.6º CP., presentando, a continuación, sus respectivos escritos de defensa los tres acusados. Los de J.M y EC.T SL son sustancialmente iguales.

4.3 La condena

La Audiencia Provincial condenó a J.M.M y a E.C.T SL como autores criminalmente responsables del delito de estafa, con la concurrencia de la circunstancia modificativa de la responsabilidad criminal atenuante de dilaciones indebidas. Se impone a J.M.M, a las penas de prisión de 1 año y de inhabilitación especial para el derecho de sufragio pasivo durante el tiempo de la condena y a E.C.T SL, a pena de multa del doble de la cantidad defraudada, en total 1.854 euros.

4.4 La casación

La defensa de la persona jurídica presenta recurso de casación “Por infracción de Ley al amparo de lo dispuesto en el Art. 849.1 de la Ley de Enjuiciamiento Criminal, por aplicación indebida de preceptos de carácter sustantivo, los artículos 248, 249, 109, 110, 116 y 123 del Código Penal; todos ellos en relación con los artículos 27 y 28 del Código Penal”. Nótese que no se contiene mención alguna a la posible infracción del artículo 31 BIS CP. Tampoco se articula un motivo específico con este contenido. No obstante, la sentencia salva este defecto impugnativo aludiendo a que “aunque no hay un desarrollo expreso, en la medida que se interesa la absolución de los dos condenados, uno de los cuales es una persona jurídica, la voluntad impugnativa que subyace en el recurso nos ha de llevar a dedicar la atención a esta cuestión”.

4.5 La posición de la Sala

Tras subrayar que la persona jurídica no fue oída como investigada, lo cual parece ser un defecto común a muchas de las instrucciones que se realizan con personas jurídicas, la sentencia hace hincapié en un elemento mollar de las declaraciones de las personas físicas imputadas: no se formuló a ninguno de ellos pregunta alguna que pudiera guardar relación con el delito corporativo en que se supone que podría haber incurrido la sociedad. Además, pone de manifiesto la sentencia del alto tribunal que las actuaciones practicadas no habían puesto de relieve indicio alguno que apuntase a un propio delito corporativo que debiera llevar a su imputación, por lo que la apertura de juicio oral contravino lo dispuesto en el artículo 783.1 Lecrim, y hubiera debido dictarse auto de sobreseimiento libre del artículo 637.2 Lecrim, ante la ausencia de delito corporativo.

Pone la sentencia el acento en el delito corporativo y en la falta de base fáctica que lo sustente, subrayando que premisa básica del delito de la persona jurídica es la existencia de una complejidad organizativa, dado que, existiendo criterios de imputabilidad propios de la persona jurídica, éstos pasan por “los fallos en que, por defecto de organización o funcionamiento, incurra en el ejercicio de su actividad sobre la gestión, el control, la supervisión o vigilancia para la prevención del delito de que se trate, y todo ello sin prescindir de los criterios rectores del campo del derecho en que nos estamos moviendo, que es el penal, informado por principios como el de culpabilidad subjetiva, de manera que su responsabilidad habrá de serlo por la perpetración de su propio hecho corporativo y en función del reproche culpabilístico de dicho hecho, al margen y obviando criterios de responsabilidad objetiva, como supondría hacerla responsable por una simple transferencia acrítica del hecho cometido por la persona física; el cometido por ésta, como hecho de conexión, podría ser presupuesto de la comisión del de aquélla, pero no serviría como fundamento, que ha de buscarse en uno propio”.

En definitiva, la complejidad organizativa es presupuesto necesario para que podamos hablar de defecto estructural en los mecanismos de prevención y control que le fueran exigibles por razón de su organización, de manera que “cabrá hablar de imputabilidad respecto de aquéllas que presenten un cierto grado de complejidad, con la consecuencia de que no todas las personas jurídicas serán imputables, sirviendo de apoyo, de alguna manera, para esto que decimos el distinto tratamiento que en orden a las funciones de supervisión se establecen en el propio art. 31 bis CP para las personas jurídicas de pequeñas dimensiones, en comparación con los mecanismos de compliance propios de las de mayor complejidad”.

La sentencia deja con acierto al margen la cuestión del ne bis in idem– pues se trata de sociedades reales y no puras pantallas, con existencia jurídica propia y actividad real- y se centra en el elemento complejidad para fundamentar la falta de imputabilidad: “en el caso que nos ocupa nos encontramos con una sociedad, que, si bien formalmente contaba con dos socios administradores solidarios, solo uno de ellos ejercía sus funciones como tal, como lo evidencia que la sentencia de instancia condena exclusivamente a uno; y no solo eso, sino que lo que nos parece determinante es que se trata de una sociedad de tan mínima complejidad que era la forma de presentarse al público, a través de ella, su administrador, que, como persona física, ha sido condenada, o, dicho de otra manera, era tan mínima su complejidad, que difícilmente se diferenciaba el socio de la propia sociedad”¹⁸.

18.

Ahora bien, falta de complejidad no se identifica sin más con sociedades…

Faltando dicha complejidad, «ni siquiera cabría apreciar la culpabilidad que derivaría del incumplimiento de unos deberes de supervisión y control, que si, como hemos dicho, quedan consumidos en la propia dinámica delictiva del administrador que delinque, bastará con la condena de este, y la absolución de la persona jurídica procederá por su consideración como inimputable, debido a que no cabe estimar que concurra en ella el elemento de culpabilidad, en la medida que es incompatible con su naturaleza hablar de mecanismos internos de control y, en consecuencia, de cultura de respeto a la norma, a partir de la cual se residencia su capacidad de culpabilidad. Lo determinante es la existencia de una complejidad interna, presumible a partir de un suficiente sustrato material organizativo, que, si falta, falta el presupuesto para hablar de imputabilidad penal, por inexistencia de capacidad de culpabilidad, ya que, debido a su mínima estructura, no se da la base desde la que conformarla, y es que, no habiendo posibilidad de establecer mecanismos de control, no puede surgir el fundamento de su responsabilidad, de ahí que no toda sociedad pueda considerarse imputable en el ámbito penal, y, esto que decimos, encuentra apoyo en el Preámbulo de la LO 1/2015, de 30 de marzo, en la medida que los mecanismos de control lo pone en relación con las dimensiones de la persona jurídica”.

V. Conclusiones

La sentencia extiende la inaplicación del régimen de responsabilidad penal del artículo 31 BIS a aquellas sociedades sin estructura organizativa compleja. En este sentido, proyecta a éstas la doctrina que ya había sentado respecto de las sociedades pantalla.

La base de todo ello está en el concepto de autor corporativo: sólo un autor corporativo puede cometer un delito corporativo.

La esencia del autor corporativo es la complejidad de la organización. Únicamente una organización compleja debe acudir a mecanismos de compliance. La falta de tales mecanismos fundamentará la antijuricidad de la conducta, pues estaremos ante un estado de cosas que facilitará la comisión de delitos en su seno, residiendo su culpabilidad en la ausencia de cultura de cumplimiento, en la falta de compromiso con el derecho¹⁹.

19.

Que es lo que mantiene GÓMEZ JARA, Carlos, en Tratado de responsabilidad…

La ausencia de complejidad organizativa será en evidente en casos de socio unipersonal y administrador único con ausencia de otros trabajadores. En estos casos, podremos hablar de persona jurídica inimputable, por ausencia de capacidad de culpabilidad, a la que cabría aplicar el artículo 637.3 LECrim.

Habrá otros casos menos evidentes, que tendrán que dilucidarse en atención a datos concretos obrantes en la causa, tomando en cuenta la existencia de algún tipo de organización, aunque no compleja y asalariados no socios, sociedades que podrían ser semi- imputables, aplicándoseles la modulación prevista en el artículo 31 ter 1 CP.

Al resto de las personas jurídicas les sería de aplicación el artículo 31 BIS CP.

En fase de instrucción ,al estar ante una cuestión puramente fáctica, será preciso citar a la persona jurídica en calidad de investigada, determinar su composición accionarial, estructura, trabajadores, cuenta de pérdidas y ganancias, cifra de negocio, actividad. A partir de ahí, podremos determinar su imputabilidad y, en su caso, abordar el sobreseimiento libre del artículo 637.3 LECrim.

Es preciso que la acusación describa la existencia de los elementos del delito corporativo en su escrito de acusación. No será suficiente una mera alusión a los artículos del Código Penal que fundamentan la responsabilidad penal de las personas jurídicas. De no describirse el sustrato fáctico del delito corporativo, no procederá la apertura de juicio oral, sino acordar el sobreseimiento libre del artículo 637-2 Lecrim²⁰

20.

GÓMEZ JARA, Autor corporativo cit. págs. 106 y 107.

La sentencia que en su caso se dicte deberá también explicar por qué estamos ante un actor corporativo y en qué ha consistido el delito corporativo.

I. Introducción

El 21 de febrero de 2023 se publicó en el Boletín Oficial del Estado la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante referida como “Ley 2/2023”). Esta ley transpone la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión (en adelante referida como “la Directiva europea”). La finalidad de ambos textos es brindar protección frente a las represalias que puedan sufrir las personas físicas que informen sobre las infracciones a que se refieren ambos textos. Aunque el objeto de este marco normativo es muy claro, conviene recordarlo para no buscar en él pretensiones más allá de la protección a los informantes, como puedan ser instrucciones pormenorizadas sobre modo de organizar la gestión de la denuncia de irregularidades. Por ello, la Ley 2/2023 determina un marco normativo bastante general de los denominados sistemas internos de información, tanto para el sector privado como para el público. En cuanto al modo concreto de gestionar las comunicaciones recibidas, se limita a ordenar el canal externo de información de la Autoridad Independiente de Protección del Informante, regulada igualmente en esta Ley. El procedimiento allí descrito no es de aplicación general a todos los sistemas de información, sino a dicha autoridad u otras entidades u órganos autonómicos relacionados con ese ámbito competencial. No obstante, puede adoptarse como fuente de inspiración para procedimentar la gestión de comunicaciones en otras entidades públicas y también en el sector privado.

Visto lo anterior, es comprensible que los destinatarios tanto de la Directiva europea como de la Ley 2/2023 echen en falta contenidos prácticos que les ayuden a implantar y gestionar eficazmente los canales y sistemas para la denuncia de irregularidades. Por ello, la existencia de un estándar internacional previo sobre este particular constituye una ayuda de gran valor para quienes deseen completar estas normas básicas con principios de gestión generalmente aceptados en la comunidad internacional. En los siguientes apartados destaco algunos aspectos del estándar ISO 37002:2021 sobre sistemas de gestión de la denuncia de irregularidades, de notable utilidad a la hora de implantar y gestionar las medidas que vienen exigidas por el marco legal de aplicación.

II. La normalización internacional

La organización internacional de normalización ISO ya había contemplado los canales internos para el planteamiento de inquietudes¹ en el contexto de normas sobre compliance: los estándares ISO 37001:2016 e ISO 37301:2021 hacen referencia a dichos procedimientos para el planteamiento de inquietudes, incluyendo una regulación básica sobre su finalidad y características, pero sin desarrollar el modo de gestionarlos ni entrar en detalles procedimentales. Dada su creciente relevancia, se comprende que en el contexto de la reunión 67 del Technical Management Board de ISO, celebrado en Beijing (China) el 10 de septiembre de 2016, se decidiese impulsar la creación de un nuevo estándar mediante la creación del grupo de trabajo (“Working Group”, WG) ISO/TC 309 WG 3 que daría lugar al estándar ISO 37002:2021 sobre sistemas de gestión para la denuncia de irregularidades. Esta norma de aplicación voluntaria recoge prácticas ampliamente reconocidas en muchas jurisdicciones, que están alineadas con los contenidos tanto de la Directiva europea como de la Ley 2/2023. Pero es relevante subrayar la internacionalidad del estándar ISO y no vincularlo exclusivamente con el marco europeo, que, como veremos, cubre y supera.

En el estándar ISO 37001:2016 se localiza en su apartado 8.9 Planteamiento…

III. Principios rectores para la buena gestión de denuncias internas

Al estándar ISO 37002:2021 le aplican los mismos principios implícitos que a cualquier sistema de gestión, cuales son la subordinación a ley (su contenido no puede contravenir el derecho positivo aplicable), el de proporcionalidad (adecuación a las circunstancias tanto internas como externas de cada organización), enfoque basado en el riesgo (priorización de las actividades en virtud de la exposición al riesgo que suponen para la organización) y mejora continua (adaptación a las circunstancias cambiantes e incremento de su eficacia).

Al margen de lo anterior, la Introducción del estándar ISO 37002:2021 señala que “este documento proporciona orientación para que las organizaciones creen un sistema de gestión de la denuncia de irregularidades basado en los principios de confianza, imparcialidad y protección”. Estos tres principios explícitos coinciden con los aspectos clave cuyo déficit provoca disfunciones en la gestión de la denuncia de irregularidades. En no pocas ocasiones, al desarrollar un análisis de las causas raíz de su pobre desempeño, surgen deficiencias directa o indirectamente vinculadas con alguno o varios de estos tres elementos. En verdad, los principios están interrelacionados, de modo que las carencias en alguno de ellos afectan fácilmente al resto.

Es importante subrayar que estos tres principios afectan a todo el estándar y, por lo tanto, son de aplicación a todas partes involucradas en una denuncia, y que, como explicaré más adelante, son el denunciante, los sujetos de la denuncia y a las otras partes interesadas pertinentes.

Principio de confianza

Podría decirse que la confianza equivale a la esperanza o seguridad de que la denuncia de irregularidades será adecuadamente gestionada -en su más amplia interpretación-, pero siempre desde una perspectiva objetiva. Es decir, lo que permite adquirir confianza en el sistema de gestión de la denuncia de irregularidades no es que beneficie sesgadamente a determinados colectivos (incluidos los denunciantes), sino su capacidad de demostrar sólidamente cómo se gestionan las irregularidades y el modo en concluyen, frente a todos los colectivos implicados. Aunque lo contrario podría incluso generar confianza a grupos mayoritarios, no lo haría con el conjunto y quebraría, además, el Principio de imparcialidad.

Principio de imparcialidad

La imparcialidad supone la ausencia de interés o ánimo en beneficiar o perjudicar a alguna de las personas implicadas en la denuncia de irregularidades. Suele asociarse con “neutralidad” u “objetividad” y se erosiona cuando las personas que deben gestionar una irregularidad están afectadas por sesgos o prejuicios que afectan, positiva o negativamente, a colectivos o personas involucradas con una denuncia de irregularidades (por ejemplo, son amigos del denunciante o del sujeto de la denuncia, o pertenecen a un mismo grupo familiar o de proximidad). También si tienen interés directo o indirecto en un resultado concreto de la gestión de una denuncia de irregularidades (por ejemplo, cuando les afecta directa o indirectamente, o guarda relación con una actividad o proceso que les puede afectar). Finalmente, también pueden verse afectadas por factores de diversa índole que conculcan su libre pensamiento y capacidad para actuar de manera justa en la gestión de la denuncia de irregularidades (por ejemplo, cuando dependen de un superior afectado por cualquiera de los factores anteriores, o el expediente guarda relación con alguna actividad en la que han estado involucradas anteriormente).

Cabe cuidar la imparcialidad tanto en fondo como en forma. El estándar ISO 37002:2021 trae a colación esta diferencia cuando, por ejemplo, en su apartado 8.4.1 Tratamiento de la denuncia de irregularidades señala que “en interés, tanto de la imparcialidad real como de la percibida, se debería considerar, según corresponda, la posibilidad de emplear investigadores externos…”

Todo lo anterior invita a concluir sobre la conveniencia una política sobre conflicto de intereses específica para las personas involucradas en la operación del sistema de gestión de denuncia de irregularidades.

Principio de protección

Proteger supone resguardar de un daño o peligro. Cuando se piensa en ello surge inmediatamente la figura del denunciante, pues es la más expuesta a sufrir consecuencias adversas con motivo de su denuncia. Sin embargo, no sólo el denunciante sino todos los protagonistas implicados en la denuncia de irregularidades merecen protección. Esto aparece contemplado en los apartados 8.3.2 Evaluación y prevención de riesgos de conducta perjudicial, respecto del denunciante y de otras partes interesadas pertinentes. Los apartados 8.4.2 Protección y apoyo al denunciante y 8.4.4 Protección de los sujetos de la denuncia se proyectan sobre estos dos colectivos en particular. Vemos, pues, que este Principio de protección se aplica de manera generalizada y no sólo al denunciante, como podría pensarse.

Como veremos más adelante, la protección guarda relación con conductas perjudiciales, que no equivalen necesariamente a las “represalias” a que se refiere la Directiva europea y la Ley 2/2023. Como desarrollaré más adelante, la definición 3.13 Conducta perjudicial del estándar ISO 37002:2021 señala que tanto puede darse de forma activa como omisiva, pero también tanto de forma dolosa como imprudente.

IV. Otros aspectos asociados con una adecuada cultura corporativa

La Introducción del estándar ISO 37002:2021 también se refiere a la importancia de fomentar una cultura de apertura, transparencia, integridad y de rendición de cuentas, que se consideran igualmente principios relevantes para la norma.

Apertura

Cuando el estándar ISO 37002:2021 señala la conveniencia de fomentar una cultura de apertura, coincide con lo que informalmente califica como “cultura de hablar/escuchar”, así citada en varios apartados de esta norma² y definida como “proporcionar un entorno bidireccional fiable, donde cualquier parte pertinente tenga la confianza suficiente y se aliente a plantear inquietudes sobre irregularidades o sospechas de irregularidades, y la organización demuestre su compromiso de recibir, evaluar, tratar y concluir los casos de denuncia de irregularidades”³.

Se cita una “cultura de hablar/escuchar” en los apartados 5.1.2 Alta dirección…

Es la definición que aparece en la Nota 2 del apartado 5.1.2…

Transparencia

La transparencia suele asociarse con una gestión ética, no porque sean conceptos equivalentes, sino por la tendencia a ocultar actuaciones vergonzantes o reprobables. Sin embargo, el mero hecho de comunicar de forma transparente determinadas informaciones o hechos, no los legitima. La transparencia, por sí sola, no rehabilita las malas praxis.

Por otra parte, la transparencia no supone divulgar alegremente cualquier información, sino siempre sobre la base del principio de “necesidad de conocer”, que abordaré más adelante.

En cualquier caso, es el apartado 7.4 Comunicación del estándar ISO 37002:2021 el que guarda mayores vínculos explícitos con prácticas de transparencia, como también sucede con los mismos apartados en estándares previos ISO 37001:2016 e ISO 37301:2021. Las comunicaciones internas y externas de las organizaciones en materia de gestión de la denuncia de irregularidades ganan protagonismo, especialmente en el contexto de la información no financiera que demandan algunos reguladores y la sociedad en general.

Integridad

La integridad en las organizaciones supone actuar de forma honesta, manteniendo un compromiso con la ética y los valores que se derivan de ella. Se juzga comparando la coherencia entre los valores que dicen observar las personas y sus actos. En el contexto del sistema de gestión de la denuncia de irregularidades, y cuando se aplica sobre personas⁴, se cita la integridad en su acepción moral o personal⁵, esto es, como sinónimo de honradez, honestidad y respeto a los demás.

No a la integridad de la información o de los documentos, por…

Cuando el estándar ISO 37002:2021 la aplica sobre la función de gestión…

Rendición de cuentas

La rendición de cuentas, que en ocasiones se engloba dentro del “principio de responsabilidad” supone, en esencia, que las personas y las organizaciones se hacen responsables de sus actos. Es lo que viene a decir la definición 3.30 Rendición de cuentas del estándar ISO 37002:2021: “obligación hacia otro por el cumplimiento de una responsabilidad”. Por lo tanto, las actuaciones deben ser trazables para poder ser fiscalizadas y dar o pedir explicaciones. Rendir cuentas atraviesa por informar de lo que se está gestionando y asumir las consecuencias derivadas de esos actos.

Las funciones y cargos investidos de ciertas capacidades responden tanto del modo en que las ejercitan como si no lo hacen. Señala el apartado 5.3.1 Alta dirección y órgano de gobierno que el “órgano de gobierno, la alta dirección y todo el resto del personal deberían ser responsables de comprender, cumplir y aplicar las recomendaciones del sistema de gestión de la denuncia de irregularidades, en lo que respecta a su función en la organización”. Esto enfatiza que todas las personas de la organización rinden cuentas de sus actos y de lo que se espera de ellas respecto de la gestión de la denuncia de irregularidades.

V. Entidades que pueden disponer de un sistema

Tanto la Directiva europea como la Ley 2/2023 abordan la protección al informante tanto en el sector privado como en el público. Son alcances que igualmente prevé el estándar ISO 37002:2021, cuya plasticidad admite igualmente su aplicación en grupos de sociedades. De hecho, recurre al concepto de “organización”, que es la “persona o grupo de personas que tienen sus propias funciones con responsabilidades, autoridades y relaciones para lograr sus objetivos (3.25)”

La Nota 1 que incorpora esta definición reafirma lo dúctil del concepto, pues, entre otras opciones, comprende (i) un comerciante individual, (ii) una corporación, firma, empresa, autoridad, sociedad, organización benéfica o institución, tanto de naturaleza jurídica privada como pública, y (iii) una parte de las estructuras citadas, o una combinación de ellas. Esto permite establecer el sistema de gestión de la denuncia de irregularidades que mejor se adapte a cada caso, en aras a su eficacia. Cubre pues las opciones que también pueden resultar de aplicar la Directiva europea y la Ley 2/2023, si bien el legislador español añade una cautela formal adicional: los canales a través de los cuales informar sobre infracciones referidas en su artículo 2, deben integrarse en un mismo sistema interno de información⁶. Es un modo de garantizar el tratamiento homogéneo y garantista de las comunicaciones que versen sobre dichas materias en particular.

Artículo 5.2.d) de la Ley 2/2023, referido al sistema interno de información…

VI. Irregularidades denunciables

El estándar ISO 37002:2021 define “irregularidad” como toda “acción u omisión que pueda causar daño”. Vemos que es un concepto mucho más amplio que las infracciones de derecho positivo a que se refieren tanto la Directiva europea como el artículo 2 de la Ley 2/2023, pudiendo acoger cualquier incumplimiento de la normativa aplicable pero también la violación de los códigos éticos, de conducta y demás políticas de la organización. Por eso se refiere a “irregularidades”, que evoca menos al derecho positivo que el término “infracciones” que emplea el citado marco jurídico.

La relación enunciativa y no limitativa de hechos denunciables que aporta el estándar ISO 37002:2021 pueden producirse por acción u omisión, y también obrando dolo o negligencia. Además, (i) no es preciso que causen un daño, sino que tengan la capacidad de hacerlo, (ii) tanto puede tratarse de circunstancias presentes como pasadas o futuras, y (iii) pueden guardar relación con un solo hecho o una serie de ellos.

En comparación con lo establecido en la Directiva europea y en la Ley 2/2023, es posible que un concepto tan amplio genere inseguridad. Pero se establecen dos mecanismos que restringen sensiblemente su trascendencia a efectos del sistema de gestión.

En primer lugar, la organización puede limitar el alcance del sistema de gestión de la denuncia de irregularidades a determinados tipos de irregularidades, siempre que cubra las necesidades de la organización en virtud de lo dispuesto en el Capítulo 4 Contexto de la organización del estándar ISO 37002:2021. Desde luego, en España debería alcanzar las infracciones de derecho positivo relacionadas en el artículo 2 de la Ley 2/2023.

En segundo lugar, la irregularidad es informada por el denunciante, que debe basar su comunicación sobre observaciones, experiencias o informaciones, que llevarían a la misma creencia a otra persona. Por consiguiente, para que las irregularidades denunciadas entren en la esfera del estándar ISO 37002:2021 no deben ser meras especulaciones, intuiciones u opiniones, debiendo estar basadas en un sustrato razonable que conduciría a cualquiera a actuar del mismo modo en que lo hace el denunciante. Esta línea argumental puede ser de ayuda para interpretar los condicionantes de protección contemplados en la Ley 2/2023⁷.

Artículo 35.1.a) de la Ley 2/2023, que se refiere a los condicionantes…

En cuanto a los tipos de denuncias que pueden cursarse, el estándar ISO 37002:2023 comprende las contempladas en la Directiva europea y la Ley 2/2023. La Nota 2 de la definición 3.10 Denuncia de irregularidades trata los siguientes tipos:

Las denuncias confidenciales, donde el destinatario conoce la identidad del denunciante o la información que puede identificarlo, pero que no se gestiona fuera del principio “necesidad de conocer” (need to know) salvo que preste su consentimiento el denunciante, y excepto en los casos donde lo requiera la ley. Es el tratamiento por defecto de toda denuncia de irregularidades y guarda estrecha relación con los tres principios esenciales del estándar: confianza, imparcialidad y protección.

Las denuncias anónimas, donde el denunciante no revela su identidad. Serán tratadas igualmente como confidenciales, salvo que devengan abiertas por decisión del denunciante.

Las denuncias abiertas, que son aquellas que realiza el denunciante sin ocultar su identidad ni exigir que se mantenga en secreto. Es el caso de las denuncias de irregularidades que hace públicas el propio denunciante (incluyendo las revelaciones públicas a que se refiere la Ley 2/2023⁸), o las que comunica privadamente, pero permitiendo que se conozca su identidad.

Artículo 27 de la Ley 2/2023.

VII. Responsable de gestionar las denuncias

El estándar ISO 37301:2021 se refiere a la “función de la denuncia de irregularidades” como las “personas con la responsabilidad y autoridad para el funcionamiento del sistema de gestión (3.1) de la denuncia de irregularidades (3.10)”. Es un concepto convergente con el “responsable del sistema interno de información” a citado en la Ley 2/2023⁹, que tanto puede ser unipersonal como colegiado, si bien en este último caso la ley española exige que delegue en uno de sus miembros las facultades de gestión del sistema y la tramitación de expedientes de investigación¹⁰.

Artículos 5.2.g) y 8 de la Ley 2/2023.

10.

Artículo 8.2 de la Ley 2/2023.

Las capacidades decisorias de la función de gestión de denuncias se limitan a las que constan en el estándar ISO 37002:2021 y se circunscriben la tramitación razonable de las denuncias de irregularidades¹¹. Aunque no dispone de capacidades decisorias, pueden ser objeto de delegación en mayor o menor medida, según disponga la alta dirección. Tal delegación es frecuente de cara al ejercicio de bastantes cometidos operativos de la gestión de la denuncia de irregularidades, desarrollados en los apartados 8.2 a 8.5 del estándar ISO 37002:2021.

11.

Así, por ejemplo, la categorización y priorización que cabe dar a la…

En cualquier caso, para que una organización disponga de función de la gestión de denuncia de irregularidades es preciso que (i) se le haya encomendado la operación del sistema de gestión, y (ii) dicha función disponga de autoridad para acometer esta tarea. Son requisitos alineados con las exigencias de la Ley 2/2023¹².

12.

Artículo 8 de la Ley 2/2023.

VIII. Partes implicadas en una denuncia

El estándar ISO 37002:2021 contempla diferentes sujetos que están de algún modo relacionados con las eventuales comunicaciones y su gestión. Podemos distinguir entre aquellos que guardan relación con la denuncia de irregularidades (denunciante, sujetos de la denuncia y partes interesadas pertinentes), y aquellos otros que intervienen en su gestión (función de la gestión de denuncia de irregularidades, personas que llevan a cabo labores de apoyo y protección al denunciante y a las partes interesadas pertinentes, encargados de la investigación, órgano de gobierno y alta dirección como sujetos que son informados, etc). A continuación me fijaré en el primer grupo, subrayando nuevamente que los principios de confianza, imparcialidad y protección del estándar ISO 37002:2021 aplican a todos ellos, dado que son los valores generales que propugna la norma.

El denunciante

“Denunciante” es un término definido como la “persona que informa sobre sospechas de irregularidades (3.8) o sobre irregularidades reales y tiene una creencia razonable de que la información es verdadera en el momento de informar”. Por lo tanto, el denunciante es el que desencadena la gestión de la denuncia de una irregularidad a través de los canales establecidos por la organización y su sistema de gestión, o incluso externamente: recordemos que el apartado 8.4.2 Protección y apoyo al denunciante cubre tanto las denuncias que se comuniquen internamente como también las externas ante las autoridades pertinentes.

El denunciante puede ser (i) personal de la organización, incluyendo representantes sindicales, (ii) personal de terceras partes con las que la organización mantiene o prevé mantener alguna relación o vínculo, (iii) toda persona que haya desempeñado en el pasado o vaya a desempeñar en el futuro cualquiera de estas posiciones.

Por la propia naturaleza de estas categorías, parecería que cuando el estándar ISO 37002:2021 se refiere a la “persona” está pensando en personas físicas, cuál es el planteamiento de la Directiva europea y la ley española. No obstante, la Nota 2 a la definición 3.9 Denunciante aclara que igualmente pueden ser personas jurídicas¹³.

13.

De hecho, cuando el denunciante es una persona jurídica es muy probable…

Los sujetos de la denuncia

Aunque el estándar ISO 37002:2021 no define “sujetos de la denuncia” emplea extensivamente esta expresión¹⁴, vinculada claramente con los autores de las irregularidades, sus partícipes e incluso sus encubridores. No es un concepto constreñido al término “denunciados” que emplea la Directiva europea y la Ley 2/2023. Junto con los denunciantes, son los protagonistas indiscutibles de la denuncia de irregularidades.

14.

Aparece mencionado en los apartados 5.1.2 Alta dirección, 7.5.4 Protección de datos,…

El estándar internacional es consciente de que los sujetos de la denuncia pueden verse afectados negativamente por una gestión inadecuada que desvele su identidad, no preserve la confidencialidad de las investigaciones, conculque las garantías de proceso pertinentes, o no les brinde apoyo y comunicación regular. Todo ello considerando en particular que (i) pueden ser objeto de denuncias fraudulentas, es decir, cursadas a sabiendas de que la información facilitada es incorrecta o incompleta, ocasionalmente con la voluntad de perjudicarles, y (ii) pueden también cursarse denuncias de buena fe, pero que una vez investigadas no confirmen la sospecha o entendimiento del denunciante (normalmente debido a su desconocimiento de la totalidad de hechos y circunstancias relacionadas con el contenido de comunicación).

En cualquier caso, el párrafo c) del apartado 8.4.1 Tratamiento de las irregularidades denunciadas reconoce la presunción de inocencia de cualquier sujeto de la denuncia, como igualmente exige la Ley 2/2023¹⁵.

15.

Artículo 39 de la Ley 2/2023 referido a la presunción de inocencia…

Las partes interesadas pertinentes

El estándar ISO 37002:2021 recurre al término no definido “partes interesadas pertinentes” en múltiples ocasiones¹⁶, que únicamente comprende a los sujetos próximos a la posición del denunciante, pero no a quienes son objeto de la denuncia ni aquellos otros a los que dedica el apartado 8.4.4 Protección de los sujetos de la denuncia.

16.

Aparece inicialmente mencionado en la Nota 5 de la definición 3.13 Conducta…

Son ejemplos de partes interesadas pertinentes (i) personas que acompañen al denunciante en el momento de cursar la denuncia de irregularidad o que le presten apoyo o ayuda durante el proceso de su gestión, (ii) testigos señalados por el denunciante, (iii) miembros de la familia del denunciante, (iv) representantes sindicales u otros colectivos que den soporte al denunciante, y (v) sujetos que hayan desarrollado investigaciones internas que alimenten o den soporte a las conclusiones o sospechas del denunciante. Como sucede en el caso del denunciante, tanto pueden ser personas físicas como jurídicas. Todo ello conforma un alcance mayor y más razonable que el reflejado en la Ley 2/2023¹⁷.

17.

Artículo 3.4 de la Ley 2/2023.

Una parte interesada pertinente muy peculiar son aquellos sujetos de los que se piensa erróneamente que han denunciado la irregularidad, cuando realmente no lo han hecho. Podría ser el caso, por ejemplo, de víctimas de acoso sexual o denigración moral señalados en la denuncia cursada por un tercero que ha testificado esa situación. Es una aproximación que va más allá de las previsiones de la Directiva europea y la Ley 2/2023, que omiten esta figura tan singular. Sobre ellos también se proyecta el contenido del apartado 8.4.5 Protección de las partes interesadas pertinentes.

IX. Confidencialidad y «necesidad de conocer»

El principio general es que la identidad del denunciante, de los sujetos de la denuncia y de las partes interesadas pertinentes no debería revelarse a nadie más allá de lo necesario sin su consentimiento. La Nota 2 a la definición 3.10 Denuncia de irregularidades del estándar ISO 37002:2021 califica como denuncia confidencial aquella donde el destinatario conoce la identidad del denunciante o cualquier información que pueda identificarlo, pero que no se gestiona fuera del principio “necesidad de conocer” (need to know) salvo que preste su consentimiento el denunciante, y excepto en los casos donde lo requiera la Ley. Por lo tanto, el principio de “necesidad de conocer” va más allá de los casos obvios que contempla la Directiva europea y la Ley 2/2023¹⁸, abarcando no sólo a las autoridades legitimadas, sino también a otras personas (eventualmente terceros), cuando resulte necesario para la adopción de medidas correctoras (no sólo punitivas) en la entidad o la tramitación de los procedimientos sancionadores o penales que, en su caso, procedan. Cabe subrayar que el principio de “necesidad de conocer” no supone suspender el tratamiento confidencial de las informaciones de la denuncia, sino extender sus cautelas a otros sujetos cuya intervención es completamente necesaria en el contexto de su gestión.

18.

Artículo 32.2 de la Ley 2/2023.

En los casos donde la organización considere probable que se produzca una brecha de confidencialidad, debería notificarla al denunciante y a las partes afectadas lo antes posible¹⁹, adoptando medidas adicionales para evitar o minimizar los perjuicios.

19.

Incluso en el momento de recepción de la denuncia de irregularidad, si…

El estándar ISO 37002:2021 es consciente de que mantener la confidencialidad sobre el denunciante y otras partes interesadas es complejo y requiere de procesos y procedimientos enfocados a ello. En relación con los mismos, sugiere que se tenga en cuenta que (i) con independencia de los hechos comunicados, una serie de características de una persona (su nombre, voz, forma de escribir, género, descripción de su puesto de trabajo, departamento al que pertenece, operación en la que está trabajando, etc) pueden identificarla, (ii) las circunstancias que envuelven a la irregularidad denunciada (hechos, fechas, personas involucradas, etc) pueden llevar a que se conozca quién es el denunciante, (iii) el modo en que se lleva a cabo una investigación (departamentos a los que se accede, información que se solicita, entrevistas que se mantienen), pueden también identificar al denunciante, (iv) cómo se informa del resultado de una investigación o de gestión de la irregularidad (a qué personas, bajo qué circunstancias) pueden igualmente identificar al denunciante, (v) los datos que se recopilan a efectos de seguimiento o como indicadores de evaluación pueden identificar inadvertidamente al denunciante (mencionando el departamento, la materia o el tipo de irregularidad, etc.), (vi) en caso de denuncias tanto anónimas como confidenciales, es posible que se precise revelar la identidad del denunciante para seguir la investigación, cuando, por ejemplo, así lo precisan terceros clave, cuya opinión puede ser determinante, (vii) en caso de denuncias anónimas, que los denunciantes adquieran consciencia de que tal circunstancia restringe la capacidad de la organización para protegerlo y también puede limitar la eficacia de la investigación, (viii) también en caso de denuncias anónimas y para vencer el inconveniente de archivar o dejar de investigar casos debido a la imposibilidad de contactar con el denunciante, las organizaciones pueden establecer mecanismos de comunicación con ellos que garanticen igualmente su anonimato.

X. Etapas esenciales en la gestión de denuncias

El estándar ISO 37002:2021 describe y articula las cuatro etapas por las que atraviesa la gestión de la denuncia de irregularidades: recepción, evaluación o triage, tratamiento y conclusión. La Ley 2/2023 estable igualmente cuatro etapas en relación con el canal externo de la Autoridad Independiente de Protección al Informante, muy coincidentes con las anteriores: recepción de informaciones, trámite de admisión, instrucción y terminación de las actuaciones. No obstante, el estándar internacional es más prolijo en cuanto a buenas prácticas en cada una de ellas, convirtiéndose en un apoyo interpretativo clave para los sistemas de información inspirados en el procedimiento articulado para la indicada autoridad.

En el apartado 1 Objeto y campo de aplicación del estándar, estos cuatro pasos aparecen meramente indicados, pero se repiten en el apartado 4.4 Sistema de gestión de la denuncia de irregularidades del Capítulo 4 Contexto de la organización, y luego son objeto de mayor desarrollo en el Capítulo 8 Operación, dentro de sus apartados 8.2 Recepción de denuncias de irregularidades, 8.3 Evaluación de denuncias de irregularidades, 8.4 Evaluación y prevención de riesgos de conducta perjudicial y 8.5 Conclusión de casos de denuncia de irregularidades. No cabe duda de que estas cuatro etapas condicionan el modo en que se estructura, documenta y opera un sistema de gestión de la denuncia de irregularidades²⁰.

20.

Tanto el estándar ISO 37001:2016 (Capítulo 8 Operación, apartado 8.9 Planteamiento de…

Recepción de las denuncias de irregularidades

El sistema de gestión debería especificar cómo cursar y recibir las comunicaciones susceptibles de tratamiento²¹. Estos contenidos son los que vienen desarrollados desde una perspectiva operativa en el apartado 8.2 Recepción de las denuncias de irregularidades del estándar ISO 37002:2021.

21.

El alcance del sistema de gestión de la denuncia de irregularidades, según…

Evaluación de las denuncias de irregularidades (triaje)

En este paso de evaluación se analizan tres cuestiones básicas (triaje), como son (i) la categoría y prioridad que debe darse a la gestión de la denuncia recibida, (ii) la integridad de la información recibida y, por lo tanto, su nivel de fiabilidad, en el sentido de que se infiera el nexo causal entre los hechos y la irregularidad comunicada, siendo tal vínculo plausible por el nivel de detalle y verosimilitud de los datos suministrados, y (iii) la relevancia de la información recibida, pues aún siendo cierta puede quedar fuera del alcance del sistema de gestión de la denuncia de irregularidades. En caso contrario, seguirá el proceso normal para su gestión o incluso uno especial de urgencia (en virtud de la priorización). Todo ello puede conducir a solicitar más información o desestimar la denuncia.

Sobre la base de esta evaluación inicial, también se concluye preliminarmente en cuanto a dos aspectos clave: (i) evaluación del riesgo de perjuicio que pueden implicar los hechos denunciados para el denunciante, los sujetos de la denuncia, las partes interesadas pertinentes, la propia organización, o cualquier tercero en general y (ii) el nivel de protección y apoyo que cabe aplicar a los denunciantes, pero también a otras personas implicadas.

Estos contenidos son los que vienen desarrollados desde una perspectiva operativa en el apartado 8.3 Evaluación de las denuncias de irregularidades del estándar ISO 37002:2021.

Tratamiento de las denuncias de irregularidades

El tratamiento de las denuncias supone, (i) desarrollar una investigación imparcial cuando sea oportuno, esto es, en virtud de la información previamente evaluada, (ii) sobre la base del análisis preliminar desarrollado en la etapa de evaluación, poner en marcha las medidas tanto protección como de apoyo eficaces y oportunas para quien corresponda, y (iii) Establecer el seguimiento para el denunciante y otras personas implicadas (incluidos los denunciados), también pensando en prevenir, contener o mitigar el perjuicio asociado con la denuncia en sí o con los hechos denunciados.

Estos contenidos son los que vienen desarrollados desde una perspectiva operativa en el apartado 8.4 Tratamiento de las denuncias de irregularidades del estándar ISO 37002:2021.

Conclusión de los casos de denuncia de irregularidades

Con esta etapa se cierra la investigación (cuando ha sido oportuno realizarla) y se adoptan las medidas procedentes. También se decide acerca de la monitorización de aquellas medidas relacionadas con la protección y apoyo tanto al denunciante como a otras personas implicadas (puede ser preciso mantenerlas a pesar de que haya concluido el expediente). En este sentido, la Ley 2/2023 restringe la protección a los dos años siguientes a ultimar las investigaciones, aunque se puede solicitar su extensión a la Autoridad Independiente de Protección al Informante²².

22.

Artículo 36.4 de la Ley 2/2023.

Estos contenidos son los que vienen desarrollados desde una perspectiva operativa en el apartado 8.5 Conclusión de los casos de denuncia de irregularidades del estándar ISO 37002:2021.

XI. Externalización y comunicación a las autoridades

Señala el apartado 5.3.1 Alta dirección y Órgano de gobierno del estándar ISO 37002:2023, que se puede asignar la totalidad o parte de la función de gestión de la denuncia de irregularidades a personas externas a la organización, aunque establece varias cautelas frente a tal escenario.

Así, antes de la externalización deberían desarrollarse procedimientos de debida diligencia para asegurar que se apliquen los más altos estándares de protección de datos por defecto y por diseño, según determina el apartado 7.5.4 Protección de datos del estándar ISO 37002:2021. En cualquier caso, siempre se deberán mantener personas en el seno de las organizaciones con responsabilidad y autoridad sobre la externalización. Caber recordar que el apartado 8.1 Planificación y control operacional del estándar ISO 37002:2021 señala que “la organización debería asegurarse de que los procesos, productos o servicios proporcionados externamente, que son pertinentes para el sistema de gestión de la denuncia de irregularidades, estén controlados”. Con ello, se deja claro que delegar responsabilidades no significa abdicar de ellas, y que siempre competerán a la organización, a su alta dirección, e incluso al órgano de gobierno en su posición residual de garante. En contra de este enfoque que brinda libertad a las organizaciones, la Ley 2/2023 sólo permite externalizar la fase de recepción de informaciones²³, aspecto a tener muy presente en la contratación de servicios con terceros.

23.

Artículo 6.1 de la Ley 2/2023.

En relación con las fases de la gestión de la denuncia de irregularidades y puesto que en su evaluación puede concluirse su trascendencia como infracción legal, el estándar ISO 37002:2021 ampara informar a las autoridades correspondientes. La Ley 2/2023 es más drástica, exigiendo remitir con carácter inmediato la información al Ministerio Fiscal cuando los hechos pudieran ser indiciariamente constitutivos de delito²⁴ o cuando así se desvele en el transcurso de la investigación²⁵.

24.

Artículos 8.2.j), con carácter general, y 18.2.b) en relación con el canal…

25.

Artículo 20.2.b) en relación con el canal de información de la Autoridad…

XII. Conducta perjudicial

Mantener los principios de confianza, imparcialidad y protección precisa evitar que el denunciante sea represaliado por haber cursado legítimamente una denuncia de irregularidades. El estándar ISO 37002:2021 brinda algunos ejemplos, sustancialmente coincidentes con los regulados en la Directiva europea. No obstante, evita emplear el término “represalia”, que evoca un acto consciente y voluntario contra el denunciante, y recurre al de “conducta perjudicial”, que tanto puede ser una acción u omisión deliberada como también negligente²⁶. Así, por ejemplo, una gestión defectuosa de la denuncia de irregularidades que derive en el conocimiento de la identidad del denunciante anónimo encaja como conducta perjudicial, sin que sea un acto de represalia en el sentido coloquial del término. Esta es una de las diferencias entre el enfoque del estándar ISO 37002:2021 respecto de la Directiva europea y la Ley 2/2023. También es motivo de alejamiento respecto de los estándares previos ISO 37001:2016 e ISO 37301:2021 igualmente empleaban la expresión “represalia”.

26.

Sobre este particular, véanse las Notas 2 y 3 que incorpora la…

Es igualmente importante saber que la conducta perjudicial no sólo es aquella que puede afectar al denunciante, pues la definición 3.13 Conducta perjudicial la relaciona con un denunciante u otra “parte interesada pertinente”. Este último término no definido lo emplea el estándar ISO 37002:2021 de manera frecuente para referirse a sujetos próximos al denunciante, que pueden ser objeto de conductas perjudiciales con motivo de la denuncia, como familiares o compañeros del denunciante, personas que le han brindado apoyo, sujetos que pueden convertirse en potenciales denunciantes, personas que pueden ser percibidas como denunciantes, aunque realmente no lo sean, y cualquier persona física o jurídica implicada en un proceso de denuncia de irregularidades.

Sin embargo, no tienen la consideración de actos perjudiciales aquellos que se adopten contra el denunciante por motivo de sus propias irregularidades, no vinculadas con haber cursado una denuncia de irregularidad. Esta cautela evita que los sistemas de gestión de denuncias se conviertan en un instrumento de impunidad ante ciertas conductas irregulares, lo cual sería del todo paradójico.

XIII. La protección y su alcance

Según cuáles sean los potenciales focos de las conductas irregulares, la organización debería reflexionar y decidir sobre qué hacer respecto de los siguientes aspectos, que se refieren tanto al denunciante como a otras partes interesadas pertinentes: (i) medidas orientadas a la protección de su identidad, (ii) si procede compartir la información, en caso de que sea estrictamente preciso, según el principio de “necesidad de conocer” (need to know), (iii) si procede brindar apoyo y protección durante todo el proceso de gestión de la denuncia, incluyendo las comunicaciones regulares con los afectados (denunciante y otras partes interesadas pertinentes), especialmente considerando si son colectivos especialmente vulnerables como niños, personas discapacitadas, migrantes, personas mayores, etc., (iv) si procede cambiar el lugar de trabajo a algunos sujetos o proyectar sobre ellos algún tipo de preparativos o medidas cautelares, y, (v) si procede, advertir a los sujetos de la denuncia o a otras partes interesadas que llevar a cabo una conducta perjudicial o quebrantar la confidencialidad en el tratamiento de la información puede constituir una falta disciplinaria.

Obviamente, el nivel de apoyo y protección, así como las acciones que se vayan a adoptar tras esta reflexión dependerán del tipo, momento y consecuencias de la irregularidad denunciada.

Sin perjuicio de lo anterior, los riesgos que se hayan detectado en los momentos iniciales de la gestión deberían ser objeto de seguimiento a lo largo de todo el proceso para evitar que se materialicen en cualquier momento, incluyendo, por ejemplo, cuando se decida realizar una investigación, cuando ésta se lleva a cabo o cuando se informa de sus resultados. Incluso, si procede, cuando el caso haya sido cerrado.

Protección y apoyo al denunciante

El estándar ISO 37002:2021 nos habla de protección y apoyo al denunciante, que es la persona física o jurídica que informa acerca de irregularidades, sean sospechadas o reales, bajo la creencia razonable de que cuanto informa es verdadero en el momento en el que lo hace. Como ya indiqué, esto no quita la protección a otros colectivos tratados en los apartados 8.4.4 Protección de los sujetos de la denuncia y 8.4.5 Protección de las partes interesadas pertinentes, y que igualmente pueden ser objeto de conductas perjudiciales. Recordemos, además, que la protección no sólo cubre a los denunciantes internos, sino también los externos que han recurrido a los canales dispuestos por las autoridades competentes.

Aunque una política dedicada a la denuncia de irregularidades debe incluir una prohibición expresa de cualquier conducta perjudicial, se extiende el mensaje a cualquier otra política de la organización²⁷, cuyo contenido debería dejar siempre claro que no se tolerarán intentos de identificar al denunciante o de llevar a cabo conductas perjudiciales, circunstancias que darán lugar a las acciones disciplinarias procedentes.

27.

Evitar, detectar y responder adecuadamente ante conductas perjudiciales no es sólo un…

Proteger a este colectivo supone llevar a cabo las actividades razonables para (i) evitar la conducta perjudicial (por ejemplo, que se conozca la identidad del denunciante, cuando era secreta), (ii) contener el daño que ya se ha causado (por ejemplo, para que la identidad del denunciante que ha sido desvelada por negligencia, deje de difundirse todavía más), y (iii) evitar un daño mayor (por ejemplo, que tanto el denunciante como otras partes interesadas pertinentes sufran otras conductas perjudiciales).

El apartado 8.3.2 Evaluación y prevención de riesgos de conducta perjudicial del estándar ISO 37002:2021 señala una serie de factores a considerar para evaluar el riesgo de perjuicio para el denunciante y otras partes interesadas pertinentes. Lógicamente, este apartado 8.4.2 Protección al denunciante se remite a dichos factores a la hora de establecer una estrategia de protección adecuada.

En la práctica, las labores de apoyo al denunciante conllevan empatizar y tranquilizarlo, trasladándole la importancia de su conducta para la organización, dando al mismo tiempo los pasos que procuren su bienestar, lo que incluye apoyo emocional (de modo que la denuncia de la irregularidad no le ocasione desequilibrios o trastornos emocionales), financiero (para que el denunciante no se vea impedido a discontinuar su rol en la denuncia de irregularidades debido a restricciones económicas que guarden relación con la organización), legal (de modo que el denunciante conozca sus derechos y el modo de trasladar su denuncia externamente, llegado el caso) y reputacional (para que no se produzcan efectos que impacten negativamente en la imagen o reputación del denunciante y otras partes interesadas pertinentes. La Ley 2/2023 reconoce algunas de estas labores de soporte²⁸, y deja en manos de la Autoridad Independiente de Protección al Informate decidir acerca de algunas de ellas (apoyo financiero y psicológico).

28.

Artículo 37 de la Ley 2/2023.

La reparación de una conducta perjudicial supone restituir al denunciante a la situación que habría tenido de no haberse producido la misma, o lo más cercana a ella en el caso de que no pueda revertirse completamente²⁹, incluyendo indemnizarlo por los daños sufridos³⁰.

29.

Existen conductas perjudiciales difíciles de revertir, especialmente cuanto afectan a la intimidad…

30.

El estándar ISO 37002:2021 se refiere genéricamente a los “daños”, lo que…

Aparte de las medidas de reparación, la organización debe pensar en adoptar las medidas disciplinarias apropiadas ante cualquier persona responsable de una conducta perjudicial.

Protección de los sujetos de la denuncia

No existen motivos para dejar de aplicar los principios de confianza, imparcialidad y protección a las personas contra las que se dirigen las denuncias de irregularidades, especialmente cuando la propia norma reconoce la posibilidad de denuncias fraudulentas³¹, como también lo hacen la Directiva europea y la Ley 2/2023³². No debería minusvalorarse el daño que puede sufrir injustamente este colectivo.

31.

Aparecen citadas en los apartados 7.3.2 Medidas de formación y toma de…

32.

Preámbulo III de la Ley 2/2023.

Por todo ello y en cuanto a este grupo cabe, a título enunciativo, (i) proteger su identidad, (ii) preservar la confidencialidad para evitar daños a su reputación, y (iii) asegurar los derechos que le asistan y que no existan motivos para restringir, y (iv) proporcionar apoyo durante todo el proceso, lo que incluye una comunicación regular.

Cuando se descarta la existencia de irregularidades o no se obtienen evidencias acerca de las mismas, procede igualmente aplicar medidas de remediación en los diferentes ámbitos que puedan precisar, incluyendo las que afectan a la reputación, financieras o estatus profesional.

Protección de las partes interesadas pertinentes

El estándar ISO 37002:2021 no limita la protección al eventual impulsor de una denuncia de irregularidad, es decir, al denunciante, sino que la extiende a otros sujetos de su entorno, que guardan relación o empatizan con su posición o argumentos, pudiendo también ser personas físicas o jurídicas según aclara la Nota 5 del apartado 3.13 Conducta perjudicial del estándar. La protección se extiende igualmente a los sujetos sobre los que se piensa erróneamente que han denunciado la irregularidad, cuando realmente no lo han hecho.

Puesto que algunos de estos sujetos pueden ser externos a la organización (la familia del denunciante, por ejemplo), el nivel de protección dependerá de las capacidades reales, habilidades y competencias para actuar. Aunque esto puede dar lugar a escenarios muy variados, la organización debería siempre reflexionar hasta dónde puede extender su nivel de protección, sin desestimar de entrada a ningún sujeto o colectivo que puedan sufrir una conducta perjudicial.

XIV. Conclusiones

No cabe duda de que el estándar ISO 37002:2021 constituye una excelente fuente de información de buenas prácticas compatibles con el marco jurídico de la Directiva europea y la Ley 2/2023. Sin embargo, siendo el objeto de estas normas fijar un umbral mínimo de garantías de protección al informante, es lógico que no sólo hallemos en el estándar internacional directrices útiles para este propósito, sino también usos más avanzados y generalmente aceptados.

Adoptar el nuevo marco normativo básico como único referente para estructurar y gestionar los sistemas internos de información, públicos o privados, es muy arriesgado, pues omite algunas cuestiones relevantes para su eficacia, según he ido comentando al hilo de este artículo. Así, por ejemplo, relegar a un segundo plano las vulneraciones éticas o de valores que no constituyan infracciones de derecho positivo, o ignorar la posibilidad de que la persona jurídica ostente la condición de denunciante y sea objeto de protección directa y desvinculada de la persona física, son planteamientos ya superados por muchas organizaciones.

Para evitar una regresión, se debe aclarar que el nuevo marco jurídico-positivo no impide introducir mejoras a sus contenidos mínimos, para lo cual el estándar internacional ISO 37002:2021 constituye un referente obligado.

I. Comportamiento y compliance

La eclosión en nuestro Derecho Penal de la responsabilidad penal de las personas jurídicas en 2010 y su posterior consolidación en 2015 ha llevado a la doctrina penal a tener que ocuparse de conceptos hasta entonces desconocidos y más propios de otras disciplinas sociales. Creo que no me equivoco si afirmo que, el Derecho Penal, como disciplina social, no puede (ni mucho menos debe) operar al margen de otras disciplinas sociales. Esta afirmación se ve reforzada cuando insertamos el Derecho Penal en contextos organizativos que trascienden al comportamiento individual y que hacen que muchas de las asunciones sobre cómo y por qué los individuos se comportan como lo hacen han de ser estudiadas y repensadas de la mano, precisamente, de esas otras ciencias sociales en (la Economía y, muy particularmente la Psicología y la Sociología de las organizaciones)¹.

Como señalaba hace unos años Miró Llinares, en ocasiones se lleva a…

Dicho de otro modo: el comportamiento humano no puede ser un convidado de piedra en la confección de los programas de compliance. La consideración de cómo nos comportamos y por qué lo hacemos de ese preciso modo –sobre todo en contextos organizativos– no puede obviarse en la confección de un programa de compliance realmente eficaz del que se quiera predicar que cumple con sus objetivos de prevención, detección y reacción ante los incumplimientos por él sancionables. No se debe abandonar la construcción de los programas de compliance a una suerte de absolutismo ilustrado conductual (todo para la prevención de comportamientos delictivos, pero sin considerar cómo y por qué estos se producen).

Es cierto que a las organizaciones no son legisladores a quienes les corresponde la confección de leyes penales que desplieguen las deseadas dosis de prevención general y especial entre la población. No obstante, desde que se introdujo en 2010 la posibilidad de acompañar a las personas físicas como imputadas / acusadas en procesos penales tienen muchos incentivos (cuando menos, económicos) en legislar ad intra; en construir (y, naturalmente, aplicar y supervisar) sus propios programas de compliance de manera que cumplan realmente su objetivo propuesto, tienen alicientes en no cometer los errores en los que muchas veces cae el legislador penal de obviar la realidad sobre la que quieren influir a través de la legislación.

En EEUU, país con mayor solera a la hora de imponer responsabilidad con el adjetivo de penal a entes colectivos², pese a contar con una de las armas más poderosas en materia anticorrupción (la FCPA³), se sigue luchando por encontrar la tecla adecuada a la hora de valorar la efectividad de los programas de compliance⁴a la vez que sonados casos de corrupción siguen copando titulares y las estadísticas no parecen mejorar⁵. Cada vez resulta más claro que un enfoque de compliance basado puramente en la disuasión y en modelos de control (command-and-control compliance) va cediendo terreno a favor de otros modelos basados más en valores (values-based compliance) en donde los patrones conductuales que conforman la cultura de compliance deben ser objeto de seguimiento por parte de la función de compliance.

Hace ya 111 años que el Tribunal Supremo Federal estadounidense dictó la…

Sobre la FCPA en español vid Álvaro y Daniel Tejada Plana: “The…

Tal y como reconoció en una conferencia en el año 2016 el…

Desde 2016 se han impuesto casi 20.000 millones de dólares en sanciones…

Como señala Langevoort, es claro que alrededor de todo el mundo (especialmente en Estados Unidos y Europa), los reguladores se han convencido de que un compliance adecuado debe contar con una vertiente de análisis de datos y otra conductual, sobre todo en lo que hace a empresas con un perfil de riesgo elevado. Por ello, concluye que la función de compliance tiene que ser más sofisticada e invertir en recursos en ambos campos⁶.

Donald C. Langevoort: “Global Behavioral Compliance”, en Corporate Compliance on a Global…

Dicho esto, se ha de conceder que son varios los organismos públicos internacionales que ya llevan tiempo aprovechando y poniendo de relieve las enseñanzas de la psicología y de otras ciencias sociales para mejorar sus respectivos campos de influencia.

La primera experiencia de este tipo fue la desarrollada por el Gobierno de Reino Unido, que en 2010 creó el Behavioural Insights Team⁷. En 2014 se desgajó del Gobierno Británico y ahora es una entidad independiente que emplea las ciencias conductuales y la arquitectura de decisiones (nudges) para plantear mejoras en distintos ámbitos de la política pública. Dentro del Reino Unido, la Financial Conduct Authority tiene una unidad especializada en ciencias conductuales (Behavioural Science and Design Unit) y ha publicado durante los últimos años varios informes relacionados con la economía conductual y la ética conductual⁸. Como otros ejemplos en el mundo financiero podemos referirnos al caso del Banco Central holandés (De Nederlansche Bank), que a raíz de la crisis financiera de 2007 expandió su supervisión para incluir la evaluación del comportamiento tanto a nivel individual como a nivel de grupo⁹, o al más reciente caso de la OSFI (Office of the Superintendent of Financial Institutions) canadiense, que en febrero de 2023 publicó un borrador de guía sobre Culture and Behaviour Risk en donde se establecen las expectativas del regulador a la hora de llevar a cabo su labor de supervisión de la cultura y evaluación del impacto de patrones conductuales en la gestión efectiva del riesgo¹⁰.

La Unión Europea también viene aplicando las ciencias conductuales en distintas áreas…

Kristine Erta, Stefan Hunt, Zanna Iscenko y Will Brambley: Applying behavioural economics…

John M. Conley, Lodewijk Smeehuijzen, Cynthia A. Williams y Deborah E. Rupp:…

10.

Accesible online en https://www.osfi-bsif.gc.ca/Eng/fi-if/rg-ro/gdn-ort/gl-ld/Pages/cbrsk_dft.aspx#fnb1.

En este ámbito, y con una relación más directa con el objeto de este trabajo, es destacable la publicación en el mes de diciembre de 2016 por la Financial Conduct Authority de un documento sobre comportamiento y compliance en las organizaciones en donde se advertía de la relevancia de las concepciones morales del comportamiento y del contexto social en el que se toman las decisiones a la hora de influir en el comportamiento relativo al compliance. Siguiendo la influencia de los postulados de la ética conductual, el regulador financiero británico señalaba que las acciones de las personas están constreñidas por el deseo de verse a sí mismas como personas virtuosas y morales, y abogaba por reducir los incumplimientos legales aumentando el rol de la moral en el proceso de toma de decisiones¹¹.

11.

Zanna Iscenko, Chris Pickard, Laura Smart y Zita Vasas: Behaviour and Compliance…

La economía y la psicología conductuales gozan, pues, de cierto predicamento entre reguladores y autoridades. Por su parte, algunas empresas muy potentes en su sector llevan ya tiempo usando la psicología conductual para tratar de reducir los costes derivados de los procedimientos penales y civiles. En 2015, Business Insider publicaba un artículo titulado “JP Morgan is working on a new employee surveillance program”¹²donde se podía leer como el gigante financiero había gastado casi 800 millones de euros y contratado a 2.500 trabajadores para el área de compliance para vigilar el comportamiento de los empleados. En otra noticia de 2017 podíamos leer como compañías como Facebook, Bank of America, HSBC, Google, Allianz o el departamento de recaudación de impuestos de Reino Unido cuentan con (u ofrecen empleos a) expertos en análisis de conductas entre sus filas¹³. Del mismo modo, en un reciente artículo de la Harvard Business Review se indica que varias de las mayores entidades financieras europeas (el antiguo Royal Bank of Scotland¹⁴, ING o ABN AMRO) han implementado un enfoque conductual a la gestión del riesgo mediante la creación de equipos que analizan cuál es el germen (root cause) de los comportamientos arriesgados que pueden dar lugar a la imposición de severas sanciones¹⁵.

12.

Portia Crow: JP Morgan is working on a new employee surveillance program,…

13.

Fai Makki: Nudge units are just the tool for effective policy, January…

14.

Más en profundidad sobre la creación en 2015 del behavioral risk team…

15.

Wieke Scholten, Femke de Vries y Tijs Besieux: “A Better Approach to…

Otro ejemplo claro de la permeabilidad de las ciencias conductuales al ámbito privado lo encontramos en el gigante farmacéutico Novartis, que en 2020 renovó su código ético no solo con el input de miles de empleados, sino que lo basó en postulados conductuales¹⁶. Por su parte, un importante despacho de abogados norteamericano lanzó a finales de julio de 2020 un departamento de consultoría conductual que aunaba el asesoramiento jurídico con la aplicación de las ciencias conductuales¹⁷.

16.

https://www.novartis.com/esg/ethics-risk-and-compliance/ethical-behavior/code-ethics.

17.

La noticia se puede leer en https://www.ropesgray.com/en/newsroom/news/2020/07/ropes-gray-launches-legal-industrys-first-ever-analytics-and-behavioral-science-consulting-practice.

Entroncando con lo anterior, voces autorizadas como van Rooij y Sokol destacan que el compliance se ha convertido en una industria propia donde predominan las posiciones jurídicas, pero resaltan que, cada vez más, las empresas acuden a consultores, economistas conductuales, psicólogos y científicos organizacionales para comprender cómo pueden lograr una aplicación práctica de las reglas redactadas por los abogados¹⁸. En este sentido, abogan por estudiar el compliance desde un punto de vista ex ante en lo que se refiere a la relación entre las normas y el comportamiento, de manera que se ponga el foco de atención en determinar qué mecanismos juegan un papel relevante en cómo las normas modelan el comportamiento y qué intervenciones pueden activar dichos mecanismos (en vez de buscar qué normas son adecuadas para afrontar un determinado comportamiento ya acontecido en el pasado). Para ello, destacan la necesidad de realizar un análisis empírico y de inferencia causal para conocer el funcionamiento de dichos mecanismos y procesos conductuales¹⁹. Es claro, pues, que conocer cómo y por qué nos comportamos debería ser un punto básico a la hora de erigir el conjunto normativo que trata de prevenir, detectar y reaccionar ante los incumplimientos que puedan darse en el entorno empresarial.

18.

El propio van Rooij junto con Adam Fine señala, al destacar el…

19.

Benjamin van Rooij y D. Daniel Sokol: “Compliance as the Interaction between…

Para bien o para mal, el compliance a día de hoy se asemeja más a un arte que a una ciencia²⁰. Para lograr una mayor eficacia en la consecución de sus objetivos debemos intentar usar las herramientas que otros saberes nos brindan para ofrecer una respuesta lo más científica posible y que, primordialmente, tenga en cuenta el contexto organizativo y los factores situaciones a él asociados que afectan a los comportamientos que deben ser el centro de gravedad de los programas de compliance. Coincidimos con autores como Haugh, quien sostiene que el estudio (ético) conductual es el futuro del compliance porque reconoce la importancia del riesgo conductual y las realidades de cómo puede ser mitigado²¹.

20.

Langevoort: “Global Behavioral Compliance”, en Corporate Compliance on a Global Scale. Legitimacy…

21.

Todd Haugh: Leading a Healthier Company: Advancing a Public Health Model of…

No cabe duda de que los réditos de la aplicación de las ciencias conductuales –en particular de la ética conductual– al compliance poco a poco se harán más visibles y ocuparán una posición más prominente en el estudio de una disciplina con mucho recorrido²². A través de las líneas que siguen, y sobre la base de un trabajo previo²³, se pretende humildemente aprovechar el auge de la ética conductual para despertar una curiosidad en la materia que sirva para mejorar el compliance tal y como se concibe hoy en día.

22.

Es comprensible el lamento de ciertos autores sobre el hecho de que,…

23.

Daniel Tejada Plana: Behavioral Compliance: Reforzando el compliance a través de la…

II. Algunos apuntes sobre la ética conductual (behavioral ethics)

2.1 Behavioral ethics meets behavioral law and economics

24.

Tomo prestado el título de la contribución de Yuval Feldman (capítulo 9,…

Se habla mucho en la Psicología y Economía conductuales de los numerosos sesgos que alteran nuestro proceso de toma de decisiones, que suponemos racional, a la hora de abordar aspectos económicos. Sostenía Pareto en 1906 que “a veces las acciones del hombre concreto son, salvo un ligero error, las del homo oeconomicus; a veces concuerdan casi exactamente con las del homo ethicus”²⁵. Transcurridos más de 100 años desde que publicase su Manual de Economía Política, la Psicología nos ha demostrado que existen numerosos sesgos cognitivos, fallos en nuestro comportamiento cuasi automatizados y que transcurren en gran medida extra muros de nuestra consciencia y que hacen que nos comportemos de forma irracional en muchos aspectos de nuestra vida.

25.

Vilfredo Pareto: Manual de Economía Política, traducción de Guillermo Cabanellas, Atalaya, 1945,…

En la obra del premio Nobel Herbet A. Simon de 1957²⁶encontramos la referencia al concepto de “bounded rationality”, que podemos traducir al español como racionalidad limitada. Sostenía Simon que existían dos tipos de hombres racionales: el consumidor y el empresario, cada uno queriendo maximizar su utilidad / beneficio y comportándose de modo racional para ello. Pese a que Simon no disputaba en su obra la utilidad de este hombre ideal como punto de partida para muchos problemas de análisis económico, sostenía que la especificidad de los problemas a los que se enfrentaba la teoría de la organización presentaban determinadas características que hacían que esta idealización fuese inadecuada, con poco o ningún espacio de utilidad. Por ello, proponía un cambio de enfoque que tomase en consideración los límites empíricos de la racionalidad humana y su limitación en comparación con las complejidades del mundo al que debe hacer frente. Este nuevo enfoque, más apegado a la realidad del comportamiento humano, lo denominó principio de la racionalidad limitada.

26.

Herbert A. Simon: Models of Man: Social and Rational- Mathematical Essays on…

Simon pretendía reemplazar la asunción de una racionalidad global del hombre económico con un tipo de comportamiento racional que fuese a su vez compatible con el acceso a la información y las capacidades intelectuales de los hombres dentro de los ambientes en donde estos se mueven²⁷. No obstante, sostenía que una de las dificultades más importantes a las que tenía que hacer frente la teoría del comportamiento social era la incorporación a la misma de los procesos cognitivos, ya que, por aquel entonces, no existía una buena descripción de esos procesos²⁸.

27.

Herbert A. Simon: Models of Man: Social and Rational- Mathematical Essays on…

28.

Herbert A. Simon: Models of Man: Social and Rational- Mathematical Essays on…

Llenando ese vacío que achacaba Simon, Feldman indica que, durante los últimos 20 años, hemos asistido a un incremento espectacular en la influencia de la psicología en el campo de la economía y, en particular, en el movimiento del análisis económico del derecho²⁹. A resultas de ello, se han dedicado esfuerzos significativos para cartografiar los sesgos en el conocimiento humano y para examinar sus implicaciones para entender cómo los individuos se desvían del proceso de toma de decisión racional³⁰.

29.

Mucho se ha escrito sobre el análisis económico-conductual del derecho (behavioral law…

30.

Yuval Feldman: “Behavioral Ethics Meets Behavioral Law and Economics”, en The Oxford…

Junto con los estudios centrados en resolver los misterios del comportamiento económico irracional existe un campo que comparte apellido con la economía conductual y que, aunque probablemente sea menos conocido, puede resultar sumamente provechoso para el compliance penal: la ética conductual (behavioral ethics)³¹. Esta rama del estudio del comportamiento ético mediante el uso de mecanismos y técnicas de las ciencias sociales adopta un enfoque descriptivo (no prescriptivo / normativo) y trata de explicar cómo y por qué la gente toma las decisiones éticas y no éticas que toma; es decir, en vez de establecer cómo nos deberíamos comportar llegado el caso, busca entender cómo la gente se comporta en realidad al enfrentarse a dilemas éticos³².

31.

El nacimiento de la behavioral ethics se puede situar a principios del…

32.

Max H. Bazerman y Ann E. Tenbrunsel: Blind Spots. Why We Fail…

De la suma de la ética conductual³³y el compliance surge lo que podemos denominar compliance conductual (behavioral compliance). Como nos recuerda la Circular de la Fiscalía General del Estado 1/2016, el fin último de los programas de compliance es la promoción de “una verdadera cultura ética empresarial”; por ello, la clave para valorar la verdadera eficacia de estos programas reside en cómo estos afectan a la toma de decisiones de los directivos y empleados de la empresa³⁴. Esto da muestra de la relevancia del tema abordado: no podremos erigir un compliance eficaz si no sabemos realmente cómo y por qué los miembros de la organización³⁵toman las decisiones que toman (principalmente, aquellas que pueden dar con la persona jurídica en el banquillo de los acusados³⁶).

33.

Así como de otras ciencias sociales como, principalmente, la psicología. No obstante,…

34.

Circular 1/2016, de 22 de enero, sobre la responsabilidad penal de las…

35.

En frecuente tratar de achacar los grandes escándalos –de cualquier naturaleza– a…

36.

Aunque no solo esas. Como vienen destacando una serie de sentencias de…

Muchos de los esfuerzos en tratar de mejorar los sistemas de compliance pasan por alto que la gran mayoría de los comportamientos poco éticos (unethical behaviors) ocurren extramuros de la consciencia de quien los realiza³⁷. Y es aquí donde la ética conductual puede aportar su granito de arena a mejorar los sistemas de compliance y, dentro de este universo, la cultura de compliance. El principal argumento de la ética conductual es que, en un gran número de casos, las personas no llevamos a cabo ningún razonamiento moral deliberado y reflexivo antes de decidir cumplir o no con la ley³⁸. Por ello, si nos queremos tomar en serio el diseño de intervenciones más efectivas a la hora de prevenir el surgimiento de comportamientos poco éticos, necesitamos aumentar nuestra comprensión acerca de por qué y cómo las aproximaciones racionales a la ética fallan y por qué existe un elemento de irracionalidad en nuestro proceso de toma de decisiones éticas³⁹.

37.

Max H. Bazerman y Mahzarin R. Banaji: “The Social Psychology of Ordinary…

38.

Yuval Feldman: The Law of Good People. Challenging States’ Ability to Regulate…

39.

David De Cremer y Win Vandekerckhove: “Managing unethical behavior in organizations: The…

2.2 Usando la ética conductual para iluminar algunos puntos ciegos

Como ya hemos avanzado, el comportamiento de los seres humanos dista mucho de ser perfecto y coherente. Con frecuencia, no solo actuamos en contra de nuestros intereses económicos, sino que también, como nos indican estudios del campo de la ética conductual, somos inconsistentes en nuestra actuación con nuestras creencias y valores.

El enfoque de la ética conductual sugiere que los empleados se comportan de forma no ética no porque lleven a cabo una elección racional y deliberada, sino que este comportamiento se debe a una serie de limitaciones o tendencias que todos los individuos tenemos⁴⁰. Para estos autores, la ética conductual se basa en la identificación de la naturaleza irracional del proceso de toma de decisiones éticas de las personas. Argumentan que, debido a sus “puntos ciegos”⁴¹, no logran (logramos) ver el significado y las consecuencias poco éticas de su (nuestro) propio comportamiento. En este punto la ética del comportamiento comparte un presupuesto común con la economía conductual: los seres humanos, en cuanto que decisores, a menudo se desvían de asunciones racionales –especialmente cuando se requieren decisiones éticas–. Al mismo tiempo, sin embargo, ambas ciencias conductuales difieren⁴². La rama económica tiene como objetivo entender por qué la gente no siempre sigue su propio interés racional, mientras que la sección ética quiere entender por qué la gente no siempre reconoce que el interés propio motiva de forma casi automáticamente sus acciones y, por lo tanto, conduce en muchas ocasiones a comportamientos poco éticos⁴³.

40.

David De Cremer y Celia Moore: “Toward a Better Understanding of Behavioral…

41.

Ovul Sezer, Francesca Gino and Max H Bazerman: “Ethical blind spots: explaining…

42.

Todd Haugh: “The Ethics of Intracorporate Behavioral Ethics”, en California Law Review,…

43.

David De Cremer y Celia Moore: “Toward a Better Understanding of Behavioral…

Para O’Grady, la ética conductual, en vez de mirar la ética y la moral desde una perspectiva filosófica o basada en reglas de conducta, explora empíricamente como la gente se comporta en realidad cuando se enfrentan a dilemas éticos dentro del amplio contexto de prescripciones sociales⁴⁴. En un sentido similar, Treviño, Weaver y Reynolds destacan que los estudios de ética conductual tratan de explicar el comportamiento individual que ocurre en el contexto de prescripciones sociales más amplias que el propio individuo⁴⁵.

44.

Catherine Gage O’Grady: “Behavioral Legal Ethics, Decision Making, and the New Attorney’s…

45.

Linda K. Treviño, Gary R. Weaver y Scott J. Reynolds : “Behavioral…

Es evidente que de nada sirve aprender qué debemos hacer y cómo queremos comportarnos si llegado el momento crucial, la hora H del día D, no hacemos lo que debemos y no nos comportamos como deseamos. O, peor aún, desconocemos a qué se debe esa falta de coherencia. O peor todavía: aun habiéndonos comportado de forma contraria a nuestras creencias y deseos, nos convencemos de que ello no es así, engañándonos para hacernos creer que seguimos siendo honestos. Si una de las funciones del compliance es la de tratar de evitar comportamientos entre los empleados y directivos que puedan generar responsabilidad penal para la persona jurídica, es evidente que habrá de tener las herramientas necesarias para conocer por qué los empleados y directivos se comportan como se comportan y por qué en no pocas ocasiones este comportamiento difiere de lo prescrito. Es por ello necesario un enfoque descriptivo –no prescriptivo– del comportamiento humano y de los fallos éticos que nos llevan a cometer hechos poco éticos que pueden acabar fácilmente en actos delictivos.

En su conocida obra acerca de los puntos ciegos éticos⁴⁶, los profesores de las Universidades de Harvard y Notre Dame, Bazerman y Tenbrunsel, establecen que una de las principales causas por las existe un trecho entre nuestro comportamiento moral esperado y nuestro comportamiento moral verdadero se debe a que nuestro actuar ético, al igual que sucede con nuestra racionalidad, está sujeto a una serie de limitaciones psicológico-cognitivas. En este sentido, destacan el concepto de ética limitada o comportamiento ético limitado (bounded ethicality), que se basa en “la idea de que nuestra capacidad de tomar decisiones éticas se ve limitada o restringida por presiones internas y externas”⁴⁷.

46.

Max H. Bazerman y Ann E. Tenbrunsel: Blind Spots. Why We Fail…

47.

Vid la definición en la página web de Ethics Unwrapped https://ethicsunwrapped.utexas.edu/glossary/bounded-ethicality?lang=es.

Tal y como señalan estos autores, este concepto se centra en los procesos psicológicos que llevan a gente normal, ética y honesta a comportarse de forma éticamente cuestionable, contradiciendo sus propios estándares éticos. De este modo, sostienen que la bounded ethicality aparece cuando las personas tomamos decisiones que perjudican a otros, de forma inconsistente con nuestras preferencias y creencias conscientes. Todos estamos a expensas de unas limitaciones cognitivas y sistémicas en nuestra moral que favorecen nuestro propio interés a expensas del de los demás y que nos impiden apreciar las implicaciones morales de nuestras decisiones⁴⁸. Para Feldman y Kaplan, la bounded ethicality hace referencia a un conjunto de sesgos que evitan que la gente puede tomar decisiones éticas de manera objetiva. Es decir, este concepto implica que la gente suele ser ciega a sus actos moralmente cuestionables, de modo que les resulta fácil actuar de modo no ético sin remordimientos⁴⁹. Así pues, nuestra ética limitada supone una restricción crítica en la calidad de nuestro proceso de toma de decisiones éticas⁵⁰que nos hace ver espejismos éticos a la hora de comparar cómo queremos comportarnos y cómo nos hemos comportado en realidad⁵¹.

48.

Max H. Bazerman y Ann E. Tenbrunsel: Blind Spots. Why We Fail…

49.

Yuval Feldman y Yotam Kaplan: “Big Data & Bounded Ethicality”, en Bar…

50.

Dolly Chugh, Max H. Bazerman y Mahzarin R. Banaji: “Bounded Ethicality as…

51.

Ann E. Tenbrunsel, Kristina A. Diekmann, Kimberly A. Wade-Benzoni y Max H….

Es frecuente encontrar en la literatura especializada⁵²referencias al modelo de toma de decisiones éticas de Rest⁵³. Dicho modelo –racional y consciente– consta de cuatro fases consecutivas:

52.

Francesca Gino: “Understanding ordinary unethical behavior: why people who value morality act…

53.

James Rest, Darcia Narvaez, Muriel J. Bebeau y Stephen Thoma: Postconventional Moral…

Conciencia / sensibilidad moral (o identificación de la cuestión moral) à en esta primera fase el sujeto reconoce la cuestión que se le presenta como una cuestión con implicaciones morales o que requiere para su solución un principio o estándar moral.
Juicio o razonamiento moral à el sujeto decide qué es lo correcto ante esa situación, cuál sería el curso de acción más justificable desde un punto de vista moral.
Intención moral à una vez que el sujeto ha decidido cuál es el curso de acción más ético, ha de motivarse para llevarlo a la práctica.
Comportamiento moral à la conversión de las intenciones morales en actuaciones en el mundo real.

No obstante, existen posturas que cuestionan que la toma de decisiones éticas se lleve a cabo siguiendo este proceso reglamentado y linear de forma consciente y deliberada⁵⁴. Así, Haidt pone de manifiesto que las intuiciones morales surgen automáticamente y casi instantáneamente, mucho antes de que el razonamiento moral tenga oportunidad de empezar; y son esas primeras intuiciones las que dirigen nuestro razonamiento posterior⁵⁵. Como señalan Biasucci y Prentice, cuando sentimos que estamos razonando acerca de un problema moral, lo que con frecuencia ocurre es que estamos creando racionalizaciones para decisiones que las partes emocionales de nuestro cerebro ya han asimilado⁵⁶.

54.

Johnatan Haidt: “The Emotional Dog and lts Rational Tail: A Social Intuitionist…

55.

Johnatan Haidt: The righteous mind : why good people are divided by…

56.

Id., p.12. De un modo similar, Nina Strohminger , Brendan Caldwell, Daryl…

Bazerman y Tenbrunsel también critican este modelo de toma de decisiones porque presupone 1) que la consciencia es necesaria para que una decisión tenga implicaciones morales, 2) que el razonamiento del individuo determina el juicio que hace y 3) que la intención moral es necesaria para que entienda su acción moral. Por el contrario, ellos sostienen que este modelo no tiene en cuenta las situaciones en donde carecemos de consciencia moral, juzgamos antes de razonar y calculamos mal la intención moral⁵⁷. Para estos autores, el modelo de Rest, al ignorar decisiones poco éticas que ocurren extramuros de nuestra consciencia, dejan una parte importante de las decisiones —y de sus razones— poco éticas sin examinar⁵⁸.

57.

Max H. Bazerman y Ann E. Tenbrunsel: Blind Spots. Why We Fail…

58.

Id., p. 33 in fine.

En este sentido, un concepto vinculado con el de bounded ethicality es el de bounded awareness (o consciencia limitada)⁵⁹, que se refiere a la tendencia común de excluir información relevante para nuestra toma de decisiones al introducir límites arbitrarios y disfuncionales alrededor de nuestra definición de un problema, lo que produce que fallemos sistemáticamente a la hora de ver información relevante para nuestras decisiones⁶⁰. Bazerman y Chugh definen esta falla cognitiva como un sesgo a la hora de observar determinada información y dejar de lado otra información igualmente accesible y perceptible⁶¹, un fallo a la hora de alinear la información necesaria para tomar una buena decisión y la información de la que finalmente somos conscientes⁶².

59.

Max H. Bazerman y Ovul Sezer: “Bounded awareness: Implications for ethical decision…

60.

Max H. Bazerman y Ann E. Tenbrunsel: Blind Spots. Why We Fail…

61.

Max Bazerman y Dolly Chugh: “Bounded Awareness: Focusing Failures in Negotiation”, en…

62.

Dolly Chugh y Max Bazerman: “Bounded awareness: what you fail to see…

De una forma también relacionada con los conceptos aquí esbozados, Tenbrunsel y Messick sostienen que las personas son incapaces de ver los componentes morales de una decisión no tanto debido a una falta de educación o formación en la materia, sino a causa de toda una serie de procesos psicológicos que hacen que los aspectos éticos de una decisión se difumen o desvanezcan. Introducen así el término de “desvanecimiento ético” (ethical fading) para definir el proceso por el cual los colores morales de una decisión ética se desvanecen y pasan a ser tonos descoloridos carentes implicaciones morales⁶³.

63.

Ann E. Tenbrunsel y David M. Messick: “Ethical Fading: The Role of…

La labor de un compliance officer es sin duda complicada, y ha de atender a muchos asuntos a la vez, por lo que es normal que priorice aquellos puntos que representan un mayor peligro inmediato para la organización y que pueda prestar menos atención a ciertas transgresiones menores. También es posible que, precisamente por ser cuestiones menores, vuelen por debajo del radar y no hagan saltar las alarmas. Esto es incluso coherente con una metodología estándar de evaluación y mitigación de riesgos⁶⁴, que dados unos recursos limitados, alzaprima la gestión de aquellos riesgos más graves o de más probabilidad de ocurrencia. Es evidente que en el mundo real, con restricciones presupuestarias y limitaciones temporales y de recursos humanos, la función de compliance no puede llegar a todo.

64.

La guía del Departamento de Justicia de los Estados Unidos sobre evaluación…

No obstante, la psicología y la ética conductual nos indican que es importante atender al peligro de creación de pendientes resbaladizas que puedan hacer que la organización poco a poco vaya asumiendo de forma incremental riesgos pequeños que, combinados, hagan del asunto un verdadero problema⁶⁵. Y ello porque, al ser este crecimiento gradual, normalmente pasa desapercibido.

65.

Incluso la neurociencia aporta su granito de arena al estudio de las…

Un aspecto relacionado con lo anterior y que contribuye a hacer pensar sobre el peligro de este tipo de pendientes es el denominado sesgo del resultado (outcome bias)⁶⁶, que describe una tendencia a tomar en consideración los resultados al evaluar la calidad del proceso de toma de decisión que el sujeto ha llevado a cabo⁶⁷. El hecho de que vayamos poco a poco escalando en nuestro comportamiento poco ético puede deberse en ocasiones a que los resultados que obtenemos con este comportamiento sean positivos. De este modo, pasamos por alto el deterioro progresivo del proceso de toma de decisiones por el hecho de que los resultados que nos proporcionan nuestras acciones son positivos. Dicho de otro modo, mientras que los resultados sean buenos, no nos centramos en cómo se han conseguido, algo que puede erosionar la cultura de compliance de la organización al dar la impresión de que está bien hacer las cosas mal mientras que los resultados sean buenos y no pase nada.

66.

Francesca Gino, Don A. Moore y Max H. Bazerman, “No Harm, No…

67.

Max H. Bazerman y Ann E. Tenbrunsel: Blind Spots. Why We Fail…

Es lógico pues, que muchos autores defiendan las ventajas que los reguladores podrían obtener si se familiarizasen con muchos de estos conceptos ético-psicológicos⁶⁸. Y como demuestra el cada vez mayor uso de las ciencias conductuales que hacen numerosos organismos nacionales e internacionales, dejar de lado el input que la psicología y la ética conductuales pueden aportar para comprender de un modo más preciso el comportamiento humano y poder así ajustar mucho mejor los distintos elementos básicos de cualquier sistema de compliance (evaluación de riegos, formación, retribuciones y recompensas, régimen sancionador…) más pronto que tarde dejará de ser una opción.

68.

Linda K. Treviño, Jonathan Haidt y Azish E. Filabi: “Regulating for ethical…

2.3 ¿Por qué yo…si todo el mundo lo hace?

En el memorándum que envió el 27 de septiembre de 2006 a los directivos de Berkshire Hathaway⁶⁹, Warren Buffet comenzaba diciendo que las cinco palabras más peligrosas que hay en el mundo de los negocios es “todo el mundo lo hace” (de hecho, destacaba el conocido inversor que esas palabras deberían hacer saltar una enorme alerta roja). El oráculo de Omaha sostenía que cumplir con la legalidad era una condición necesaria, pero no suficiente; sus empleados debían hacer siempre aquello con lo que estuviesen cómodos si se imprimiese en la primera página de los periódicos; y nunca dejarse llevar por lo que hiciesen los demás.

69.

Vid el texto en https://www.ft.com/content/48312832-57d4-11db-be9f-0000779e2340.

Esta lección del avezado inversor, que guarda relación con los procesos de “contagio social”⁷⁰, nos sirve para introducir, junto con todo el conjunto de procesos psicológicos a los que nos hemos referido, el trabajo del psicólogo canadiense Albert Bandura sobre la desconexión moral (moral disengagement)⁷¹. Bandura sostiene que los estándares morales no operan de forma automática, sino que han de ser activados. El problema es que existen toda una serie de factores sociales y psicológicos que nos permiten desactivar nuestros controles morales, lo que permite diferentes tipos de conducta por personas con los mismos estándares morales bajo distintas circunstancias. Bandura describe ocho mecanismos de desactivación o desconexión, cuya ocurrencia es perfectamente plausible en el ámbito organizativo⁷²:

70.

Sobre el particular, vid Siegwart Lindenberg, Frédérique Six y Kess Keizer: “Social…

71.

Albert Bandura: “Moral Disengagement in the Perpetration of Inhumanities”, en Personality and…

72.

Así, por ejemplo, Celia Moore, James R. Detert, Linda Kleve Treviño, Vicki…

Justificación moral, social o económica: reconstrucción cognitiva de nuestro comportamiento sobre la base de distintas justificaciones para convencernos de que nuestra conducta es personal y socialmente aceptable.
Lenguaje eufemístico: uso de eufemismos para enmascarar o camuflar la realidad de la conducta.
Comparación ventajosa: comparación del comportamiento poco ético con otros comportamientos peores para hacer más aceptable nuestras acciones, haciendo ver la opción no ética que tomamos como mejor que las alternativas.
Desplazamiento de la responsabilidad: no nos sentimos responsables cuando llevamos a cabo las órdenes de nuestros superiores, desplazando la inmoralidad del acto hacia arriba.
Difusión de la responsabilidad: al formar parte de un grupo, diluimos nuestra responsabilidad o creemos que nuestra acción dentro del plan más complejo es moral, mientras que el resto no.
Trivialización de las consecuencias de las acciones para hacerlas más aceptables o distorsión de la evidencia que apunta a la existencia de consecuencias negativas.
Deshumanización de las víctimas: muchas veces el convertir a las potenciales víctimas en números o estadísticas hace más fácil la comisión del acto no ético.
Atribución de la culpa a la víctima, de modo que nos auto-justifiquemos que es la propia víctima quien ha provocado su sufrimiento o que este es merecido por cualquier razón.

Puede parecer que estos aspectos que se acaban de destacar estén alejados de una aplicación práctica en el día a día de las empresas o que no se vea su utilidad a la hora de reforzar un modelo de prevención de delitos. No obstante, Hess afirma que las racionalizaciones y la desconexión moral no solo son dos conceptos muy importantes para entender por qué los individuos cometen ilícitos en contextos organizativos, sino también útiles para comprender por qué los programas de compliance comienzan a deteriorarse⁷³. Por ejemplo, de una manera similar a los mecanismos de Bandura, Haugh⁷⁴, sobre la base de las teorías criminológicas de la asociación diferencial y la racionalización de Sutherland y Cressey⁷⁵ y de la neutralización de Sykes y Matza⁷⁶, lista también ocho mecanismos de racionalización propios de la criminalidad empresarial⁷⁷

73.

David Hess: “Chipping Away at Compliance: How Compliance Programs Lose Legitimacy and…

74.

Todd Haugh: “The Criminalization of Compliance”, en Notre Dame Law Review, Vol….

75.

Vid, entre otros, Edwin H. Sutherlan: White Collar Crime. The Uncut Version,…

76.

Gresham M. Sykes y David Matza: “Techniques of Neutralization: A Theory of…

77.

Proporcionando numerosos ejemplos del mundo real, Eugene Soltes: Why They Do It:…

Por su parte, Kaptein y val Helvoort llegaron a identificar 1.251 técnicas de neutralización diferentes que finalmente agruparon en cuatro grandes categorías⁷⁸:

78.

Muel Kaptein y Martien van Helvoort: “A Model of Neutralization Techniques”, en…

Distorsión de los hechos (i.e. reconstruir de forma incorrecta los hechos a uno mismo o a terceros de modo que no supongan una violación de una norma particular);
Negación de la norma que debe ser aplicada a la situación o comportamiento en cuestión (bien negando que exista una norma, bien reconociendo que existe una norma que se ha infringido pero porque se ha cumplido una más importante, bien porque se relativiza la infracción comparándola con otros comportamientos);
Culpabilización de las circunstancias, ya sea porque uno no tiene más opciones o porque el rol que juega no permite un comportamiento distinto;
Ocultación tras uno mismo, indicando que no se tiene un conocimiento perfecto y completo de la situación o que no se poseen las cualidades necesarias para tomar otro curso de acción.

Todos estos mecanismos nos sirven para reducir lo que Ayal y Gino denominan disonancia ética:⁷⁹ la tensión que surge de la inconsistencia entre el comportamiento deshonesto de un individuo y sus actitudes y valores éticos⁸⁰.

79.

Este concepto trae causa del de disonancia cognitiva, elaborado por Leon Festinger…

80.

Shahar Ayal y Francesca Gino: “Honest Rationales for Dishonest Behavior”, en The…

Otro elemento claramente relacionado con las técnicas de racionalización como palancas favorecedoras del comportamiento poco ético es la ambigüedad: cuanto mayor sea el margen de maniobra para justificar ante nosotros mismos un comportamiento poco ético, mayores son las posibilidades de que caigamos en la tentación⁸¹. Cuando las normas no son claras y crean zonas grises de comportamiento, los directivos y empleados pueden tender a interpretarlas de la manera que les sea más beneficiosa. Cuando no se establecen límites tajantes sobre determinadas conductas (piénsese por ejemplo en los denominados pagos de engrase o de facilitación en el ámbito de la corrupción internacional o en prácticas contables o fiscales demasiado agresivas) o se repiten determinados comportamientos que están en la delgada línea roja que separa en ocasiones lo lícito de lo ilícito, se abre una puerta (ambigüedad) por donde el comportamiento poco ético puede entrar con suma facilidad al ser mucho más sencillo la justificación del comportamiento. Como señala Zúñiga Rodríguez

81.

Vid también David M. Bersoff: “Why Good People Sometimes Do Bad Things:…

“en muchas operaciones comerciales no están tan claras las fronteras entre un comportamiento agresivo pero lícito, de aquél que supera las barreras de lo autorizado. Este aspecto conlleva dos cuestiones relevantes para el asunto de la responsabilidad y la prevención de los comportamientos, asuntos claves para el Derecho Penal. Primero, los sujetos no tienen conciencia real del carácter ilícito de su conducta —salvo casos flagrantes—, con la consiguiente falta de arrepentimiento y posible reiteración de los delitos.”⁸²

82.

Laura Zúñiga Rodríguez: “¿Cuál es la valoración jurídica de los compliance en…

Otro aspecto relacionado con la ambigüedad y que se ha señalado anteriormente como uno de los mecanismos de desconexión moral es el uso de eufemismos. Como destacan Moore y Gino, existen estudios empíricos confirman que el uso de etiquetas eufemísticas puede suavizar prácticas poco éticas⁸³, facilitando de este modo nuestra participación en ellas. En parte, sostienen estas autoras, es porque el lenguaje señala cómo debemos entender una decisión, lo que a su vez cambia la elección adecuada en ese contexto en particular⁸⁴. Es importante, pues, que la función de compliance esté atenta a las comunicaciones y a los mensajes que se envían en la organización para poder detectar este tipo de prácticas y corregirlas para que no deterioren la cultura organizativa.

83.

En la demanda presentada por la Fiscalía del Estado de Nueva York…

84.

Celia Moore y Francesca Gino: “Ethically adrift: How others pull our moral…

Di Miceli relata en su libro⁸⁵ como en Siemens se referían a los sobornos como “gastos útiles” (nützliche Aufwendungen) y hablaban de “consultores de negocio” para referirse a las personas empleadas para el pago de los sobornos; como Enron describía los millones de dólares en sobornos pagados en India como “fondos para educar a los indios” o como Oderbrecth creó una unidad denominada “División de Operaciones Estructuradas” que fue denominada por el Departamento de Justicia de los Estados Unidos como un “departamento de sobornos” en la querella presentada en diciembre de 2016. También destaca cómo en Lehman Brothers se empleaban metáforas relacionadas con el mundo del juego, lo que permitía a sus empleados a crear la ilusión de que estaban actuando en una realidad paralela donde no había consecuencias⁸⁶. De modo similar, Campbell y Göritz describen el uso de metáforas de guerra en organizaciones corruptas, que se perciben a sí mismas como si se encontrasen luchando en un una especie de guerra. En su estudio, estos autores vieron cómo las organizaciones corruptas se percibían a sí mismas más como una fuerza militar que como una compañía ordinaria: los empleados percibían a sus organizaciones en una incesante lucha por contratos y a las organizaciones competidoras como enemigos que necesitaban ser derrotados para asegurar la continuidad de su propia compañía, lo que desataba un torrente de racionalizaciones⁸⁷.

85.

Alexandre Di Miceli Da Silveira: The Virtuous Barrel. How to Transform Corporate…

86.

Id., p. 89.

87.

Jamie-Lee Campbell y Anja S. Göritz: “Culture Corrupts! A Qualitative Study of…

En este sentido, hay que tener en cuenta que una de las funciones claves de la función de compliance es descubrir las impresiones⁸⁸ y el lenguaje cultural que facilita el comportamiento y el pensamiento arriesgado que puede llevar a la larga a fallos éticas⁸⁹.

88.

Por ejemplo, experimentos demuestran que los mecanismos de disclosure per se pueden…

89.

Donald C. Langevoort: “Cultures of Compliance”, en American Criminal Law Review, Vol….

2.4 Just-in-time compliance

De acuerdo con Feldman y Kaplan, nuestra percepción de la regulación y el enforcement debe cambiar para acomodar los hallazgos de la ética conductual y el concepto de la ética limitada (bounded ethicality), de modo que se incida más en la deliberación ética y se reduzca el margen de racionalización⁹⁰. Para reducir el comportamiento poco ético, proponen no solo llevar a cabo intervenciones específicas y concretas, sino también en tiempo real, esto es, cuando los individuos están tomando sus decisiones éticas / no éticas⁹¹, usando lo que denominan como alertas éticas⁹².

90.

Yuval Feldman y Yotam Kaplan: “Big Data & Bounded Ethicality”, en Bar…

91.

Id., p. 10.

92.

Id., p. 29.

En su libro acerca de la deshonestidad⁹³, Ariely relata el famoso experimento de las matrices para mostrar cómo los recordatorios en momentos clave pueden reducir nuestro comportamiento deshonesto⁹⁴. En la versión del experimento en la que los estudiantes podían hacer trampas al triturar sus resultados, se pidió la mitad de los estudiantes antes de comenzar con la prueba que tratasen de recordar los Diez Mandamientos⁹⁵; a la otra mitad, que recordasen diez libros que habían leído en el instituto. ¿Los resultados? Entre aquellos estudiantes a quienes se les pidió que recordasen los Diez Mandamientos (con independencia de que recordasen todos, alguno o ninguno) el número de tramposos fue significativamente menor que entre aquellos a los que solo se les pidió recordar libros. Alejándose del contexto religioso, Ariely hizo la misma prueba con códigos de honor de distintas universidades y obtuvo resultados similares: aquellos estudiantes que firmaban el código ético antes del ejercicio de las matrices mentían menos a la hora de indicar el número de matrices resueltas⁹⁶.

93.

Dan Ariely: The (Honest) Truth About Dishonesty. How We Lie to Everyone…

94.

Vid también Nina Mazar, On Amir y Dan Ariely: “The Dishonesty of…

95.

Sobre el priming effect de conceptos religiosos y su reducción en los…

96.

Sobre estos puntos, vid también Lisa S. Shu, Francesca Gino y Max…

Otro ejemplo muy relacionado lo encontramos en un artículo publicado en 2012 por cinco reconocidos autores en el campo de la psicología y la ética en el que sugirieron una interesante forma de reducir el comportamiento poco ético: firmando al principio de un documento una suerte de “declaración de honestidad” se conseguía despertar un componente ético que disminuía las posibilidades de mentir en el documento en cuestión⁹⁷. En un claro ejemplo de empujón ético, estos autores defendían que algo tan simple como hacer firmar un compromiso de compliance antes de rellenar un formulario –en vez de hacerlo al final– podía reducir el comportamiento poco ético al despertar el comportamiento moral justo en el momento oportuno. Por el contrario, hacerlo después permite al individuo embarcarse en toda una serie de trucos mentales para justificar su comportamiento (piénsese en que los testigos juran o prometen decir la vedad antes de prestar testimonio y no después). En el experimento que llevaron a cabo, el firmar al principio en vez de al final reducía el comportamiento poco ético de un 79% a un 37% (una reducción de un 113%).

97.

Lisa L. Shu, Nina Mazar, Francesca Gino, Dan Ariely y Max H….

Este tipo de experimentos pueden ser de gran valor al mundo del compliance. Como señala Cigüela Sola, “es preferible que los mensajes éticos incidan en momentos temporalmente próximos a las decisiones de riesgo, pues aquellos que se envían descontextualizados o con mucha antelación respecto a la actividad dilemática tienden a perder efectividad y diluirse”⁹⁸. En un sentido similar, Treviño, Nieuwenboer y Kish-Gephart sugieren, sobre la base del estudio anteriormente expuesto, que puede ser útil para los directivos solicitar a los empleados que firmen un formulario antes de eventos importantes⁹⁹.

98.

Javier Cigüela Sola: “Cultura corporativa, compliance e injusto de la persona jurídica:…

99.

Linda Klebe Treviño, Niki A. den Nieuwenboer y Jennifer J. Kish-Gephart: “(Un)Ethical…

Es decir, el “recordatorio ético” justo antes de llevar a cabo una conducta es más útil para prevenir comportamientos poco éticos que hacerlo al final. Por ello, en vez de hacer firmar a los empleados que han elaborado y presentado la oferta de la empresa para una subasta que reconozcan que no han sobornado al funcionario o director de compras de turno después de haber llevado a cabo la conducta, es preferible hacerlo antes. Dará mayores resultados el obligar a los empleados que ocupen posiciones especialmente expuestas al riesgo (o expuestas a más que un riesgo bajo de soborno, por emplear la terminología de la UNE-ISO 37001) a que firmen un documento en el que reconocen conocer y cumplir el código antisoborno de la empresa antes de llevar a cabo la búsqueda y selección de una agente en Oriente Medio o en Asia que después. Del mismo modo, ofrecerá una mayor seguridad el hacer firmar a los directores de ventas que acuden a una reunión con competidores el código de conducta referente a prácticas anticompetitivas antes de que entren en la sala que hacerlo al terminar¹⁰⁰.

100.

Vid otros ejemplos similares en Jeff Kaplan y Azish Filabi: Head to…

Otros autores han llevado a cabo experimentos que demuestran la utilidad de reforzar los mecanismos de alerta temprana antes de dejarse guiar por opciones que parecen demasiado buenas para ser verdad. Debido a la existencia de sesgos cognitivos que influyen de manera inconsciente en nuestra toma de decisiones morales y la tendencia de buscar aquella información que confirme nuestras creencias, las personas nos encontramos en una precaria situación a la hora de detectar problemas éticos. En un artículo en el año 2015¹⁰¹, Zhang, Fletcher, Gino y Bazerman llevaron a cabo un experimento que demuestra la necesidad de llevar a cabo un periodo de reflexión previo a la toma de determinadas decisiones que pueden tener connotaciones éticas o que hagan saltar algún tipo de alarma de compliance (por ejemplo, si contratar o no un agente en un país con un índice de corrupción elevado o qué condiciones hacerlo).

101.

Ting Zhang, Pinar O. Fletcher, Francesca Gino y Max H. Bazerman: “Reducing…

En cualquier caso, los autores hacen notar que, pese a la reducción en el grado de recomendaciones que se consigue haciendo la reflexión antes de llevar a cabo la decisión en comparación con hacerla después, el porcentaje de participantes que recomendó el fondo de Madoff fue muy elevado. Por ello, junto con el refuerzo de los mecanismos de alerta previos a la toma de decisiones, destacan una serie de herramientas que pueden ayudar a los individuos a evitar tomar decisiones poco éticas sin ser conscientes de ello:

Hacer preguntas. Aun cuando parezca obvio, muchas veces nos limitamos a tomar una decisión con la información que está sobre la mesa, sin que se nos ocurra ampliar el abanico informativo¹⁰². Como destacan Bazerman y Tenbrunsel, una manifestación de nuestro comportamiento ético limitado consiste en tomar una decisión con la información disponible en un primer momento en vez de preguntarse primero qué información sería importante tener para poder responder a la pregunta que se plantea y cómo afectaría la decisión a otros aspectos de la situación o de otras personas¹⁰³.
Abordar la cuestión sobre varias perspectivas, ya sea con preguntas indirectas que te permitan obtener la información que una interpelación más directa no te brindaría, ya sea tratando de obtener información sobre el tema de distintas fuentes.
Valorar la razonabilidad de la información que se obtiene para poder confirmar si los datos que obtienes son demasiado buenos para ser verdad o entran dentro de lo razonable.
Prestar atención a respuestas evasivas que tiendan a distraer la atención sobre el foco del asunto.
Tomarse más tiempo para decidir. En uno de sus libros¹⁰⁴, Gladwell hace referencia al experimento llevado a cabo por dos psicólogos de Princeton¹⁰⁵ en donde les pedían a un grupo de estudiantes de teología que diesen una charla sobre la parábola del Buen Samaritano en un edificio cercano. En uno de los supuestos, los experimentadores metían prisa a los estudiantes y en otra de las variantes les animaban a ir yendo con tiempo para poder preparar bien la charla. En el camino a dar la charla, los estudiantes se encontraban con un hombre desplomado en un callejón, con la cabeza en el suelo, tosiendo y quejándose. Pues bien, solo el 10% de los estudiantes que iban con prisa paró a ayudar, mientras que un 63% de los estudiantes a los que se les habían indicado que tenían más tiempo paró a ayudar.

102.

Daniel Kahneman usa el acrónimo WYSIATI (What You See Is All There…

103.

Max H. Bazerman y Ann E. Tenbrunsel: Blind Spots. Why We Fail…

104.

Malcom Gladwell: The Tipping Point. How Little Things Can Make a Big…

105.

John M. Darley y C. Daniel Batson: ‘‘From Jerusalem to Jericho: A…

2.5 Compliance e incentivos

Los incentivos existentes en una organización y las consecuencias indeseadas que estos pueden tener en el comportamiento de los empleados son, sin duda, un elemento al que la función de compliance tiene que prestar un especial cuidado¹⁰⁶. No en vano, tanto la UNE 19601 como la UNE-ISO 37001 establecen como medidas de diligencia debida aplicables a aquellos empleados especialmente expuestos a riesgos penales la revisión de los objetivos y las primas por rendimiento, así como otro tipo de elementos de remuneración¹⁰⁷.

106.

Un claro ejemplo de la importancia de la relación entre las estructuras…

107.

Vid apartado 7.3.2.2 de la UNE 19601 y apartado 7.2.2.2 UNE-ISO 37001….

La fijación de objetivos se ha visto como una poderosa herramienta motivacional, pero existe un conjunto sustancial de evidencia empírica que demuestra que, además de motivar la realización de esfuerzos constructivos, la fijación de objetivos también puede inducir comportamiento poco ético, pudiendo incluso crear un clima propicio a este tipo de conductas¹⁰⁸. Un ejemplo cercano es el la filial brasileña del Banco Santander, que en 2017 se enfrentó a una demanda colectiva en donde la Fiscalía brasileña sostenía, entre otras cuestiones, que la entidad financiera aplicaba una presión constante para cumplir con objetivos abusivos, excesivos y continuamente incrementados, realizaba demandas excesivas e inapropiadas, imponía excesivas cargas de trabajo que provocaban tensión física y psicológica y hacía constantes amenazas de despido por no cumplir los objetivos¹⁰⁹.

108.

Lisa D. Ordóñez, Maurice E. Schweitzer, Adam D. Galinsky y Max H….

109.

Información procedente de la documentación presentada por Banco Santander Brasil, S.A. a…

No cabe duda de que es un tanto ilusorio recompensar una determinada conducta y esperar al mismo tiempo obtener un comportamiento distinto a aquel que se recompensa¹¹⁰. Por ello, una misión muy relevante de la función de compliance es comprobar la alineación de los objetivos globales de la organización y de las recompensas establecidas para su consecución con los objetivos propios de compliance¹¹¹. En este sentido, es muy importante tener en cuenta no solo los aspectos puramente cuantitativos relacionados con la fijación de objetivos (que sean razonablemente alcanzables), sino también los cualitativos (las habilidades y los recursos para cumplir dichos objetivos). Es decir, es necesario tener en cuenta, entre otros aspectos, la formación que se da a los empleados y los recursos que se ponen a su disposición a la hora de fijar sus objetivos y ver si estos son coherentes. Además, la propia función de compliance ha de tener en cuenta la existencia de puntos ciegos que le pueden afectar a ella de forma concreta en este ámbito¹¹².

110.

Steven Kerr: “On the Folly of Rewarding A, while Hoping for B”,…

111.

Vid el principio 25 (y las recomendaciones asociadas) del Código de buen…

112.

Miriam H. Baer: “Compliance Elites”, en Fordham Law Review, Vol. 88, Issue…

Naturalmente, no se aboga aquí por la erradicación de la fijación de objetivos como herramienta de gestión útil¹¹³, sino por una utilización que tenga en cuenta las posibles consecuencias indeseadas que este mecanismo pueda provocar¹¹⁴. La fijación de objetivos ambiciosos puede deparar resultados muy positivos para las organizaciones, pero desde la función de compliance se ha de estar muy atento a lo que se ha denominado como la paradoja de los “objetivos imposibles” (the stretch goals paradox)¹¹⁵.

113.

Vid sobre el particular, Edwin A. Locke y Gary P. Latham: A…

114.

Adam Barsky: “Understanding the Ethical Cost of Organizational Goal-Setting: A Review and…

115.

Sim B. Sitkin, Kelly E. See, C. Chet Miller, Michael W. Lawless…

De forma reveladora, en 2016 Ernst & Young llevó a cabo su décimo cuarta encuesta sobre el fraude global en la que entrevistó a casi 3.000 altos directivos y los datos obtenidos parecen casar con lo que se ha puesto de manifiesto anteriormente: un 42% de los encuestados defendió que el comportamiento poco ético era justificable para alcanzar los objetivos financieros y un 36% sostuvo que este tipo de comportamientos eran defendibles para ayudar a la organización a sobrevivir en una recesión económica¹¹⁶. De forma similar, en el informe sobre integridad global elaborado por la misma firma en el año 2020, un 30% de los encuestados afirmó que estarían dispuestos a dejar de lado la ética para mejorar su progresión profesional o su paquete de remuneración¹¹⁷. Por su parte, una encuesta previa de 2013 realizada por otra big four (KPMG) reveló que la principal causa (root cause) del comportamiento ilícito era la presión por llegar a cumplir los objetivos costase lo que costase¹¹⁸.

116.

EY 14^th Global Fraud Survey 2016: Corporate misconduct — individual consequences, p….

117.

EY Global Integrity Report 2020, p. 7 (disponible online en https://assets.ey.com/content/dam/ey-sites/ey-com/ja_jp/news/2020/pdf/ey-global-integrity-report-2020-en.pdf).

118.

KPMG Forensic Integrity Survey 2013 (https://advisory.kpmg.us/content/dam/advisory/en/pdfs/fraud-and-misconduct/forensic-integrity-survey.pdf). Si bien es cierto que…

Estos números ciertamente deben poner sobre alerta a la función de compliance y no perder de vista los estudios conductuales que revelan la interrelación entre los incentivos y sus aspectos ocultos.

III. Behavioral ethics y compliance: una simbiosis en pro de la eficacia

La eficacia de los programas de compliance es el punctum dolens de esta nueva herramienta que nos lleva acompañando, de manera especialmente intensa, desde 2015. Cuando se introdujo en 2010 la responsabilidad penal de la persona jurídica, no se ofrecía ninguna pauta de qué eran ni cómo debían articularse. En 2015, y pese a las críticas que ello suscitó¹¹⁹, el Código Penal (art. 31 bis.5) reglamentó los requisitos que debían cumplir los modelos de organización y gestión (programas de compliance penal) para poder operar como eximente¹²⁰.

119.

El Consejo de Estado, en su dictamen sobre el anteproyecto de ley…

120.

La prevención de la criminalidad empresarial (corporate crime) cuenta desde entonces con…

Desde 2015 nuestro Código Penal habla de adoptar y ejecutar “con eficacia” programas de compliance que incluyan medidas “idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión”, de supervisar la “eficacia de los controles internos”, de disponer de “de modelos de gestión de los recursos financieros adecuados” y de establecer “un sistema disciplinario que sancione adecuadamente el incumplimiento”. No obstante, no existe un verdadero conocimiento de qué medidas son eficaces y adecuadas para conseguir que los programas de compliance sirvan realmente para prevenir, detectar y reaccionar ante la comisión de aquellos ilícitos generadores de responsabilidad penal para la persona jurídica. Gran parte de la valoración de los programas de compliance se centra en los esfuerzos llevados a cabo y en los recursos invertidos, con poco o ningún conocimiento de si todos esos inputs realmente están dando como resultado el output deseado. Esta es la principal crítica que hace una reputada experta como Hui Chen, quien critica que muchas veces las mediciones sean una mera verificación de si algo existe (una concreta política, por ejemplo) o si se ha llevado a cabo (sesiones de formación)¹²¹.

Hui Chen: “The Use and Measurement of Compliance Programs in the Legal…

Hoy en día, el compliance atrae una atención y recursos por parte de las empresas que crece rápidamente¹²². Esto, sin embargo, como resalta Langevoort¹²³, no ha evitado una dinámica consistente en la difusión de prácticas comunes más por la presión a la que se ven sometidas las empresas por igualarse con sus pares que por evidencia real acerca de qué funciona y qué no funciona¹²⁴; es decir, se acude al copia y pega en gran parte a la ausencia de métricas adecuadas para medir los resultados obtenidos por los programas de compliance¹²⁵.

122.

Por ofrecer un dato relacionado: un estudio cifra el mercado global de…

123.

Donald C. Langevoort: “Cultures of compliance”, en American Criminal Law Review, Vol….

124.

De un modo similar, Griffith defiende que pese a los esfuerzos realizados,…

125.

Langevoort: “Global Behavioral Compliance”, en Corporate Compliance on a Global Scale. Legitimacy…

En nuestro país, la Fiscalía se refería a un problema similar en su Circular 1/2016 cuando señalaba que

“No es infrecuente en la práctica de otros países que, para reducir costes y evitar que el programa se aleje de los estándares de la industria de los compliance, las compañías se limiten a copiar los programas elaborados por otras, incluso pertenecientes a sectores industriales o comerciales diferentes. Esta práctica suscita serias reservas sobre la propia idoneidad del modelo adoptado y el verdadero compromiso de la empresa en la prevención de conductas delictivas.”¹²⁶

126.

Circular FGE 1/2016, p. 22. La Fiscalía también recela de las certificaciones,…

Son varios los autores que señalan que se sabe poco acerca de la estructura y eficacia de los programas de compliance y que en muchos foros, cuando se habla de programas de compliance efectivos, en realidad se habla únicamente de cómo crear programas de compliance que merezcan el calificativo de efectivos a los ojos de la regulación vigente, sin que necesariamente sean eficaces¹²⁷.

127.

John Armour Jeffrey Gordon y Geeyoung Min: “Taking Compliance Seriously”, en Yale…

En el capítulo introductorio de un reciente libro dedicado exclusivamente a la medición del compliance, sus editores destacan que el problema fundamental es que ha sido –y sigue siendo, se podría añadir– muy complicado establecer si los programas de compliance son efectivos a la hora de detectar y prevenir comportamientos ilícitos, pero afirman que existe un gran potencial tanto para los que ven el compliance desde el mundo académico como para los que lo viven día a día para evaluar realmente el compliance, es decir, ir más allá de medir aquello que resulta conveniente y fácil (como el número de formaciones impartidas, el dinero invertido en compliance) para pasar a evaluar si realmente el proceso de compliance está produciendo los resultados deseados¹²⁸.

128.

Benjamin van Rooij y Melissa Rorie: «Measuring Compliance: The Challenges in Assessing…

De manera similar, otros autores abogan por pasar de un compliance basado en las esperanzas (hope-based compliance, o la mentalidad que lleva tanto a los insiders como a los outsiders a valorar los programas de compliance examinando cuántos recursos se invierten en ellos y si estos programas realizan esfuerzos razonables o cumplen con las best practices de la industria) a un compliance más empírico sustentado en evidencias (evidence-based compliance). En otras palabras, la implementación de programas de compliance sin una evaluación rigurosa no es más que una esperanza en que estos sirvan para prevenir los ilícitos organizativos, por lo que sentencian que la revolución del compliance debe ser empíricamente probada o será una revolución fallida¹²⁹.

129.

Brandon L. Garret y Gregory Mitchell: “Testing Compliance” en Law and contemporary…

Así pues, si queremos ver el diseño de los programas de compliance como una inversión que nos proporcione una ventaja competitiva¹³⁰, creemos que las enseñanzas de la ética de la conducta pueden resultar de suma utilidad para ayudar a construir programas de compliance mucho más apegados a la realidad conductual de la empresa y que, por ende, sean más eficaces: un compliance conductual¹³¹. En este sentido, autores tan reconocidos al otro lado del Atlántico como el ya citado Langevoort han sostenido ya hace tiempo la necesidad de tener en cuenta habilidades predictivas del comportamiento humano a la hora de diseñar programas de compliance efectivos y la necesidad de huir de asunciones de comportamientos racionales y de centrarse en posibilidades conductuales más sutiles. Este autor destaca la utilidad práctica de la ética conductual para el compliance, y la fija en el conocimiento que se puede tener de comportamientos reales a través del enfoque descriptivo (antes que prescriptivo) de esta disciplina, lo que ofrece una mejor oportunidad para prevenir y detectar comportamientos irregulares allí donde su ocurrencia es más probable. Es por ello por lo que aboga por un enfoque distinto del clásico “sticks and carrots”, porque si nuestra actuación discurre por senderos ajenos a nuestra consciencia, es muy probable que ni los incentivos ni las sanciones funcionen (o, al menos, no con toda la eficacia que podrían / deberían)¹³².

130.

Robert C. Bird y Stephen Kim Park: “Turning Corporate Compliance Into Competitive…

131.

Como señala Langevoort, el compliance conductual no es sino una nueva perspectiva…

132.

Donald C. Langevoort: “Behavioral Ethics, Behavioral Compliance”, en Georgetown Law Faculty Publications…

Como destaca Ortiz de Urbina¹³³, precisamente una de las críticas dirigidas al Análisis Económico del Derecho se basan en que el modelo de elección racional presupone la existencia de sujetos absolutamente racionales, algo inexistente en la realidad. De este modo, partir de unos destinatarios ideales de nuestro programa de compliance nos puede llevar a elaborar un programa tan ideal como alejado de las necesidades prácticas. El no incorporar los sesgos y fallos éticos (así como los sesgos cognitivos) y la realidad de las consecuencias que tienen las múltiples interacciones sociales (que, a la larga, acaban construyendo la cultura de la organización) a la receta de cómo elaborar nuestro programa de cumplimiento nos puede llevar a resultados, cuando menos, insatisfactorios. Si los sistemas de compliance penal parten de una premisa equivocada, si los empleados (algunos) actúan de tal manera que inconscientemente pueden ignorar o sortear las salvaguardas instauradas por aquellos, cantidades ingentes de dinero serán malgastadas¹³⁴.

133.

Íñigo Ortiz de Urbina Gimeno: “Análisis Económico del Derecho y política criminal”,…

134.

Linda Klebe Treviño, Niki A. den Nieuwenboer y Jennifer J. Kish-Gephart defienden…

En nuestro país, existen autoras como Hernández Cuadra que defienden que

“para que exista una prevención efectiva, es necesario que se desarrollen programas de compliance que contemplen no solo cuáles son las obligaciones de la empresa [legales, regulatorias e internas], sino también qué elementos influyen en la conducta de los individuos que integran la organización…De este modo las empresas podrán establecer mecanismos que potencien aquellos factores que propicien un impacto positivo en la conducta y eliminen aquellos que ocasionen un impacto negativo”¹³⁵.

135.

Esperanza Hernández Cuadra: “La importancia de adoptar un enfoque ético en el…

Por ello, añade la autora, es “necesario y fundamental, dotar a los profesionales de compliance de herramientas y conocimientos que les ayuden a profundizar más en [cuestiones acerca de cómo nos comportamos realmente y cuál es el proceso de toma de decisiones éticas], y poder dinamizar el desarrollo de una verdadera cultura ética corporativa”¹³⁶. En este sentido es importante ver el compliance, como lo contempla Griffith, esto es, como un conjunto de procesos internos usados por las empresas para adaptar el comportamiento a las normas aplicables¹³⁷. Esta eficacia y efectividad de las reglas internas requiere, por un lado, asegurarse de que la historia, experiencia y cultura de la organización están incorporadas en esas normas y, por otro lado, de la disponibilidad de un amplio conocimiento empírico que permita a aquellos que hacen las normas predecir y prevenir posibles comportamientos ilícitos¹³⁸.

136.

Id., p. 34.

137.

Sean J. Griffith: “Corporate Governance in an Era of Compliance”, en William…

138.

Francesco Centonze: “The Imperfect Science: Structural Limits of Corporate Compliance and Co-regulation”…

De forma consistente con lo puesto de relieve en nuestro país por Hernández Cuadra, Feldman y Kaplan¹³⁹ defienden que muchas teorías actuales de la disuasión deben ser repensadas a la luz de los hallazgos de la ética conductual. Para mejorar el compliance no solo hay que desarrollar un conjunto de sanciones efectivas, sino que también es necesario considerar el modo en que estas sanciones afectan la reflexión y la conciencia ética de los agentes en tiempo real a la luz de su capacidad de comprender su propia ilicitud sobre la base de toda una serie de puntos ciegos éticos¹⁴⁰. Es decir, si desconocemos los mecanismos subconscientes que en no pocas ocasiones conducen a los empleados a actuar, es evidente que los mecanismos de compliance que una empresa pueda tener en pie no serán los más adecuados (cuando menos serán mejorables) para prevenir, detectar y sancionar comportamientos que podrían servir como presupuesto para la responsabilidad penal y/o civil o administrativa de la persona jurídica.

139.

Yuval Feldman y Yotam Kaplan: “Behavioral Ethics as Compliance”, en Bar Ilan…

140.

Del mismo modo, Haugh sostiene que, desgraciadamente, la mayoría de las empresas…

Creemos que Haugh tiene razón cuando afirma que los programas de compliance no deben construirse pensando en cuál va a ser la reacción de las autoridades, sino en cuál va a ser el impacto en los verdaderos clientes de estos programas: los propios empleados de la organización. El compliance conductual considera de forma inherente las implicaciones conductuales de los programas de compliance y especialmente atiende a cómo las políticas de la compañía pueden fomentar o desterrar las racionalizaciones por parte de los empleados –lo que para el autor es un aspecto nuclear de la criminalidad empresarial–¹⁴¹. Por ello, sostiene este autor que la mejor manera de mejorar la efectividad de los programas de compliance es centrándose en el comportamiento de los empleados¹⁴².

141.

Todd Haugh: ““Cadillac Compliance” Breakdown”, en Stanford Law Review Online, Vol. 69,…

142.

Todd Haugh: “The Trouble With Corporate Compliance Programs”, en Mit Sloan Management…

Esto entronca con las palabras del Profesor Silva Sánchez, quien sostiene que “parece razonable considerar que los sesgos cognitivos y otros efectos de fuerzas situacionales sean considerados expresivos de una organización o, en otros términos, de una cultura corporativa defectuosa”¹⁴³. Por ello, aboga por incorporar a los programas de compliance “un sistema de control constante sobre la tendencia de los sujetos (y del grupo) a los sesgos cognitivos y a la influencia nociva del contexto”¹⁴⁴. En este sentido, afirma que en las empresas se puede hablar de dos deberes de garante relacionados con los sesgos cognitivos donde el compliance puede jugar un papel fundamental: un deber de garante de protección de los empleados respecto de sus propios sesgos y un deber de garante de control de aquellos empleados con sesgos¹⁴⁵. Para Silva Sánchez, el deber de neutralizar esos sesgos cognitivos nos incumbe a cada uno de nosotros pero, y aquí es lo interesante a los efectos que nos importan, también afirma que “dicho deber de neutralización podría integrarse en la posición de garantía de un tercero que tuviera deberes de control sobre los riesgos generados a través del agente que padece el sesgo”¹⁴⁶.

143.

Jesús-María Silva Sánchez: “Responsabilidades individuales en estructuras de empresa. La influencia de…

144.

Id., p. 281.

145.

Id., p. 279, donde Silva Sánchez llega incluso a plantear la posibilidad…

146.

Id., p. 261. De un modo similar, pero desde una perspectiva no…

Esto es relevante, pues, como recuerda la Sentencia del Tribunal Supremo 123/2019, de 8 de marzo (Pte. Excmo. Sr. D. Miguel Colmenero Menéndez de Luarca):

“la persona jurídica no se le imputa un delito especial integrado por un comportamiento de tipo omisivo, sino el mismo delito que se imputa a la persona física, en el cual, generalmente, participará a través de una omisión de las cautelas obligadas por su posición de garante legalmente establecida, tendentes a evitar la comisión de determinados delitos”.

En cualquier caso, rescatando las palabras de Paine allá por 1994¹⁴⁷, el reconocer la importancia del contexto organizativo –y los distintos sesgos y reacciones psicológicas que ello genera– a la hora de explicar el comportamiento de los empleados no supone exculpar a quienes cometan actos ilícitos¹⁴⁸, no podemos caer en la dicotomía de hacer responsable al empleado o al sistema, pero debemos tener en cuenta y conocer todas las influencias si queremos desarrollar un sistema de compliance lo más efectivo posible. Es decir, lo que aquí se pretende es potenciar un modelo complementario, no alternativo.

147.

Lynn S. Paine: “Managing for Organizational Integrity”, en Harvard Business Review, 1994…

148.

Como se ha destacado en el ámbito de la psicología organizacional, el…

No podemos perder de vista que la aplicación de la ética conductual al compliance ha de verse como un añadido al que todavía le falta un largo proceso de refinamiento y siempre teniendo en cuenta que no puede considerarse exenta de riesgos y/o problemas¹⁴⁹. En cualquier caso, creemos que la aplicación de las ciencias conductuales al compliance y, en definitiva, un enfoque más empírico para saber qué es lo que funciona y qué no será algo cada vez más difícil de obviar en el día a día de la función de compliance¹⁵⁰.

149.

Vid en este sentido, por ejemplo, Yuval Feldman y Yotam Kaplan: “Big…

150.

En la encuesta de Deloitte de 2021 sobre el estado de compliance…

IV. A modo de conclusión

El compliance es una disciplina que, si bien tiene una relación intensa con el Derecho penal, abarca aspectos más amplios y complejos si cabe que la responsabilidad propia de este ámbito. No solo trata de evitar que las personas jurídicas incurran en responsabilidad penal, sino, como indica en nuestro país el Ministerio Público, fomentar una cultura de respeto al Derecho para de este modo crear buenos ciudadanos corporativos. Ciencias sociales como la psicología, la sociología, la gestión empresarial y la criminología nos advierten de que las organizaciones tienen una serie de elementos que las hacen únicas y que es necesario tener en cuenta si queremos que la configuración de los programas de compliance sea realmente eficaz.

Si los comportamientos ilícitos surgen sin que haya habido antes un proceso deliberado y racional, sino inconsciente y oculto, conocer realmente cómo es ese proceso nos llevará a aumentar las posibilidades de evitarlo. En este sentido, los postulados y las enseñanzas de ética conductual son de gran utilidad.

El compliance penal busca en primer lugar prevenir la comisión de comportamientos ilícitos; en segundo lugar, en un estadio posterior –es decir, si estos ya se han cometido– busca detectarlos y, como último fin, sancionarlos y evitar que se vuelvan a repetir. Por lo tanto, parece evidente que es necesario aprehender cuáles son los mecanismos cognitivos que entran en juego a la hora de tomar decisiones y comportarse en el marco organizativo para que el compliance penal pueda desplegar todo su potencial. Si el input con el que construimos nuestro sistema de compliance y los métodos con los que desarrollamos los mecanismos de prevención, detección y reacción que implementamos no son los correctos, el output necesariamente no será el adecuado (o cuando menos, contará con un amplio margen de mejora). Por otro lado, también es evidente que es necesario conocer ante qué situaciones de riesgo penal van a tener que enfrentarse los empleados de nuestra organización y cómo se comportan al desempeñar sus funciones para poder determinar si existe un salto entre la prescripción de la normativa interna de compliance y la realidad conductual de los empleados. Lógicamente, si nuestro modelo de compliance no prevé determinados riesgos (i.e. aquellos que provienen de las deficiencias cognitivas de los empleados) es evidente que tampoco preverá mecanismos para evitar su comisión.

El Derecho como disciplina social que reprende comportamientos indeseables no puede ser ajeno a otras disciplinas sociales que sirven para entender cómo nos comportamos. El Derecho penal no puede operar como un compartimento estanco al margen de las conocimientos que proporcionan otras ciencias, máxime si este conocimiento permite refinar y mejorar el propio Derecho penal (o, en este caso, la disciplina del compliance). Si usamos las gafas de la ética conductual podemos enfocar mejor el problema de la criminalidad producida en el seno de las organizaciones, ya sea ad intra o ad extra, y conseguir una solución mucho más satisfactoria.

Esto entronca con muchas de las críticas –en no pocas ocasiones merecidas– de las autoridades y parte de la doctrina sobre los denominados como paper / fake / cosmetic compliance. El compliance penal no ha de verse como un seguro para evitar las imputaciones penales, puede y debe ir mucho más allá, creando una verdadera cultura ética de respeto a la legalidad. En un mundo cada vez más globalizado, en donde existen compañías que pueden considerarse más grandes y con más medios que muchos estados, la importancia de que estas se doten de mecanismos que sirvan para alentar y desarrollar una –verdadera– cultura de cumplimiento no puede desdeñarse.

Los Abogados juegan un papel esencial en la configuración de los sistemas de compliance, pero en modo alguno es un terreno exclusivo de este gremio. De la misma manera que los Abogados buscamos información sobre hechos pasados similares al caso que se nos presenta y que nos permite ofrecer una solución en cierto modo predictiva sobre lo que es razonable esperar, para así evitar los problemas legales antes de que surjan o gestionarlos si ya nos vemos abocados a ello, las empresas deberían introducir perfiles que tengan conocimiento sobre desastres éticos acaecidos en otras empresas (que, en la mayoría de las ocasiones, van acompañados de desastres de naturaleza legal, ya sea civil, administrativa o penal) y sobre la cultura y los comportamientos y fallos cognitivos y éticos que los desencadenaron. Se trata en este sentido de crear una suerte de jurisprudencia conductual que permita a los departamentos de compliance, contando con el asesoramiento de expertos en el comportamiento humano y en cómo los distintos sesgos y el contexto organizativo inciden en cómo los empleados se comportan, mejorar su función de prevención.

Como en toda buena mudanza, algo se pierde por el camino. Es claro que los resultados obtenidos en los experimentos pueden diferir de los que obtengamos al extrapolarlos al mundo real de los negocios, cada vez más competitivo a causa de la globalización. En cualquier caso, los resultados obtenidos son prometedores y el intento merece la pena. Cada vez son más las voces que señalan que el compliance, tal y como está hoy en día configurado y es aplicado, puede mejorarse; y que el uso de evidencias empíricas y el apoyo en las ciencias conductuales es un camino que, tarde o temprano, el compliance (que en España está en un estado todavía muy incipiente) tendrá que recorrer. Al hacer este camino no fracasaremos, sino que encontraremos maneras de cómo no hacer las cosas y mejorar una herramienta básica para la gestión del riesgo y el fomento de una cultura de (mayor) respeto al Derecho.

I. Introducción. La regulación en el Código Penal

II. La proporcionalidad como vía de flexibilizar la exigencia de compliance y de limitar la responsabilidad penal de las pequeñas sociedades

III. El fundamento dogmático de la responsabilidad penal de las personas jurídicas y de su exención

IV. La STS 984/2022

4.1 Los hechos

4.2 La acusación

4.3 La condena

4.4 La casación

4.5 La posición de la Sala

V. Conclusiones

I. Introducción

II. La normalización internacional

III. Principios rectores para la buena gestión de denuncias internas

Principio de confianza

Principio de imparcialidad

Principio de protección

IV. Otros aspectos asociados con una adecuada cultura corporativa

Apertura

Transparencia

Integridad

Rendición de cuentas

V. Entidades que pueden disponer de un sistema

VI. Irregularidades denunciables

VII. Responsable de gestionar las denuncias

VIII. Partes implicadas en una denuncia

El denunciante

Los sujetos de la denuncia

Las partes interesadas pertinentes

IX. Confidencialidad y «necesidad de conocer»

X. Etapas esenciales en la gestión de denuncias

Recepción de las denuncias de irregularidades

Evaluación de las denuncias de irregularidades (triaje)

Tratamiento de las denuncias de irregularidades

Conclusión de los casos de denuncia de irregularidades

XI. Externalización y comunicación a las autoridades

XII. Conducta perjudicial

XIII. La protección y su alcance

Protección y apoyo al denunciante

Protección de los sujetos de la denuncia

Protección de las partes interesadas pertinentes

XIV. Conclusiones

I. Comportamiento y compliance

II. Algunos apuntes sobre la ética conductual (behavioral ethics)

2.1 Behavioral ethics meets behavioral law and economics

2.2 Usando la ética conductual para iluminar algunos puntos ciegos

2.3 ¿Por qué yo…si todo el mundo lo hace?

2.4 Just-in-time compliance

2.5 Compliance e incentivos

III. Behavioral ethics y compliance: una simbiosis en pro de la eficacia

IV. A modo de conclusión

Login

Clave de acceso

Invitation only

Registro