La responsabilidad penal de las personas jurídicas ha tenido un lento desarrollo desde su incorporación al Código Penal en el año 2010. En la actualidad, no obstante, contamos con un cuerpo jurisprudencial suficiente en esta materia que nos permite conocer cómo debe ser el comportamiento de las empresas para evitar incurrir en la comisión de un delito.
La reforma del artículo 31 bis del Código Penal trajo consigo el desarrollo de los planes de compliance debido a que, tal y como se recoge en apartado cuatro del citado precepto, estos mecanismos podrán llevar a la exoneración de la responsabilidad penal de la persona jurídica o en su defecto, a la atenuación si «se han adoptado y ejecutado eficazmente un modelo de organización y gestión que resulte adecuado para prevenir delitos».
La primera sentencia que abordó la responsabilidad de la persona jurídica, la STS 154/2016, de 29 de febrero, puso de manifiesto la importancia de contar con un plan de prevención. En dicha resolución se señala que una mercantil merecerá reproche penal cuando, en primer lugar, se haya cometido un delito por parte de una persona física integrante de la organización y, en segundo lugar, no se haya cumplido «la exigencia del establecimiento y correcta aplicación de mecanismos de control eficaces que prevengan e intenten evitar, en lo posible, la comisión de infracciones delictivas por quienes integran la organización». Este punto de partido ha sido confirmado por las sentencias posteriores, y la jurisprudencia más reciente distingue incluso entre en un derecho penal de personas físicas y de personas jurídicas. Así, nos dice la STS 298/2024, de 8 de abril, que «en materia de responsabilidad penal de personas jurídicas no existe esa correlación ajustada entre gravedad del delito y gravedad de la pena. Un delito muy grave puede quedar sancionado solo con multa; y un delito de escaso relieve acarrear la disolución de la persona jurídica. A diferencia del clásico derecho penal de personas físicas, en el derecho penal de personas jurídicas, aunque también se parte del hecho delictivo (delito corporativo), a la hora de fijar la penalidad se toma en consideración tanto ¡o más! que la gravedad del hecho, la fisonomía de la persona jurídica. Lo que ha hecho es importante. Pero lo es también y puede serlo más cómo es la persona jurídica, como está organizada; cómo funciona».
Para llegar a la exención de responsabilidad, o al menos a la atenuación, es necesario que el programa de cumplimiento cuente con un contenido mínimo y esencial que le dote de efectividad. En este sentido, la Circular 1/2016 de la Fiscalía General del Estado puso de manifiesto que será necesario «establecer, aplicar y mantener procedimientos eficaces de gestión del riesgo que permitan identificar, gestionar, controlar y comunicar los riesgos reales y potenciales derivados de sus actividades». La eficacia del programa se coloca en el centro de su valoración, para lo que éste deberá «analizar, identificar y evaluar el riesgo por tipos de clientes, países o áreas geográficas, productos, servicios y operaciones» todo ello poniéndolo en relación con «el negocio, su duración o el volumen de operaciones».
De no cumplirse estos requisitos nos encontraremos frente a instrumentos ineficaces tal y como sucede con los denominados cosmetic compliance, compliance de papel, fake compliance, o cualquier otro término que quiera emplearse para referirse a programas cuya única finalidad sea solventar ficticiamente la situación, manteniendo la concepción del cumplimiento normativo como un mero trámite y no como una herramienta que permita promover una verdadera cultura ética empresarial.
La Fiscalía General del Estado en la Circular citada anteriormente hace referencia a este tipo de planes, poniendo de manifiesto que puede suceder que en la práctica con el fin de reducir que costes «las compañías se limiten a copiar los programas elaborados por otras» lo que «suscita serias reservas sobre la propia idoneidad del modelo adoptado y el verdadero compromiso de la empresa en la prevención de conductas delictivas».
El Tribunal Supremo se ha pronunciado en numerosas ocasiones sobre esta cuestión señalando que lo que se pretende no es la creación de un instrumento inservible, sino que se desea instaurar una filosofía de cumplimiento dentro de la propia empresa. Muestra de ello es la STS 813/2022, de 29 de octubre, donde se pone de manifiesto que «la presencia del cumplimiento de la ética y del derecho en el seno de las empresas mediante la implantación del compliance evita este tipo de circunstancias en las que el exceso de confianza en las personas con responsabilidades en la propia corporación facilita la comisión de este tipo de actos que, evidentemente, conllevan un reproche, no solamente interno en la empresa, sino social y colectivo por la defraudación de la confianza puesta en la empresa en sus directivos». Por su parte, la STS 61/2023, de 23 de enero, señala que lo que se busca es que «con el paso del tiempo debe existir la extensión de esta filosofía de uso para autoprotegerse» de situaciones en las que debido a la ausencia de control real se «comprueba una mayor facilidad para perpetra este tipo de actos delictivos».
Este criterio ha sido incluso trasladado a la jurisdicción civil donde recientemente se ha fallado contra un abogado que reclamaba unos honorarios por elaborar un programa de compliance, al estimarse por el Juzgado que su trabajo ha sido un plagio de otros modelos obtenidos de Internet y que el programa presentado carecía de los elementos esenciales.
Podemos concluir, por tanto, que la importancia de un plan de compliance no está en su mera existencia, sino en que demuestre que es un mecanismo eficaz tanto para conseguir mitigar el riesgo de comisión de un delito, como para instaurar una conciencia real de cumplimiento normativo dentro de la empresa.
