Todos temen al controlador interno en la empresa

El t¨¦rmino compliance (cumplimiento) est¨¢ de moda. Su utilizaci¨®n en el ¨¢mbito jur¨ªdico responde al cambio de paradigma que se abre camino en la regulaci¨®n de la actividad empresarial. As¨ª, en algunas materias, el ordenamiento ya no ofrece a las compa?¨ªas una lista tasada de obligaciones, sino que les exige que se autorregulen; es decir, que ellas mismas determinen los riesgos de su actividad y adopten medidas para evitar los incumplimientos legales. En caso de que estos se produzcan, la organizaci¨®n se expone a fuertes sanciones si las autoridades consideran que no adopt¨® las medidas de prevenci¨®n necesarias.

Este modelo es el que sigue la reforma de la responsabilidad penal de las personas jur¨ªdicas introducida en 2015 en el C¨®digo Penal, por el que las organizaciones son culpables de los delitos cometidos por sus directivos y empleados en el ejercicio de sus funciones, salvo que acrediten haber implantado un sistema de compliance penal (es decir, un programa de prevenci¨®n de delitos) eficaz.

Dentro de los requisitos del C¨®digo Penal se encuentra la creaci¨®n de un ¨®rgano ¡°con poderes aut¨®nomos de iniciativa y control¡±. Al frente del cual estar¨¢ el compliance officer (u oficial de cumplimiento), a quien la organizaci¨®n debe dotar de autoridad, independencia y recursos para poder ejercer su labor.

Esta funci¨®n de control interno, de tradici¨®n anglosajona, no encaja bien en la cultura jur¨ªdica y empresarial espa?ola, donde en lugar de verla como una ayuda para mitigar los riesgos penales, se percibe como una suerte de polic¨ªa interno o chivato. ¡°No es la primera vez que cuando me ven llegar dicen: ¡®?Ah¨ª viene la de asuntos internos!¡±, cuenta Alba Lema, compliance officer y miembro de la World Compliance Association (WCA). ¡°Sin embargo, somos lo contrario: profesionales que velamos por los intereses de la empresa, los empleados, los accionistas, clientes o proveedores¡±, asevera.

Los efectos de este recelo no se limitan al trato de sus compa?eros. En muchos casos, las organizaciones tampoco dotan al compliance officer de la autonom¨ªa que requiere su labor, bien por desconfianza o por temor a que entorpezca o frene algunas operaciones por un exceso de cautelas legales. ¡°En los ¨²ltimos a?os hemos mejorado, pero a¨²n tenemos que ganar independencia¡±, subraya Juan Ignacio Canosa, secretario general de la Asociaci¨®n Espa?ola de Compliance (ASCOM).

Lema admite que la independencia que requiere el oficial de cumplimiento ¡°no encaja bien¡± con el poder de direcci¨®n que la ley reconoce a los empresarios. Canosa coincide y cree imprescindible la redacci¨®n de un estatuto que dibuje los contornos de una profesi¨®n compleja y cuyo contenido no est¨¢ definido.

Ante esta ausencia de regulaci¨®n, sus atribuciones depender¨¢n del dise?o que la propia empresa haga del puesto de trabajo. ¡°Si no se definen sus garant¨ªas, sus atribuciones o qu¨¦ l¨ªmites hay a las interferencias del empresario, en la pr¨¢ctica, el papel del compliance officer puede quedar en nada¡±, explica Fernando Baz¨¢n, socio de Deloitte Legal, que apuesta por blindar su relaci¨®n laboral porque, ¡°si se le pide que denuncie a su propia empresa o evidencie los incumplimientos, habr¨¢ que ampararle¡±. Tambi¨¦n es partidario de una protecci¨®n frente al despido similar a la que tienen los representantes de los trabajadores, impidiendo un cese arbitrario, as¨ª como garantizar que reporte al m¨¢ximo ¨®rgano de la compa?¨ªa.

Delegado de privacidad

En el ¨¢mbito de la protecci¨®n de datos, el Reglamento europeo tambi¨¦n ha optado por un modelo de cumplimiento. Desde el 25 de mayo, las empresas est¨¢n obligadas a autoevaluar sus riesgos y a adoptar las medidas necesarias para prevenirlos. Adem¨¢s, todas las organizaciones que operen con datos a gran escala o especialmente sensibles deben contar con un delegado de protecci¨®n de datos (DPO). A diferencia del compliance officer, la norma s¨ª ofrece los rasgos generales sobre c¨®mo debe ejercer el DPO su labor. Y las organizaciones deben garantizar que ¡°no reciba ninguna instrucci¨®n¡± y no podr¨¢n destituirlo ni sancionarlo.

Este blindaje, y los deberes de cooperaci¨®n y reporte a las autoridades de protecci¨®n de datos, tambi¨¦n ha creado en algunos la sensaci¨®n de que el DPO es un polic¨ªa interno. Cecilia ?lvarez, presidenta de la Asociaci¨®n Profesional Espa?ola de Privacidad (APEP), rechaza esta interpretaci¨®n y aclara que su papel es ¡°ayudar¡± a que la normativa sea ¡°una realidad¡±. ¡°No es un enemigo, ni un polic¨ªa. Su independencia es de criterio y, sin duda, tiene que comportarse de forma leal con su organizaci¨®n¡±, asevera.

A pesar de las disposiciones legales, el abogado Miguel Recio admite dificultades en la implantaci¨®n del DPO en las empresas: ¡°Su figura no se acaba de entender y se le piden cosas que no tiene que hacer¡±, advierte. Como sucede con el compliance officer, cree que esto se explica por el ¡°d¨¦ficit cultural¡± en materia de cumplimiento.

Baz¨¢n introduce algo de optimismo: ¡°Son materias nuevas. La cuesti¨®n es que las empresas se vayan acostumbrando¡±.