Togas.biz

Sistemas de Gestión de Compliance Penal, Alcance y materias objeto de Canal de Denuncias

El artículo 31 bis del Código Penal español cita los modelos de organización y gestión que permitan la vigilancia y control para la prevención de delitos o reducir su riesgo de comisión.

Exige, asimismo, en su apartado 5. 4º, que el citado modelo imponga la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.

Por su parte, la UNE 19601:2017 incide igualmente, estableciéndolo como requisito, en esa obligación de informar sobre posibles incumplimientos e “irregularidades”. La norma recoge explícitamente que deben facilitarse al efecto “canales de comunicación”, matizando que los procedimientos de información pueden encontrarse inmersos en otros procedimientos sobre comunicaciones de incumplimientos e irregularidades relativos a otras materias, incluso externalizándolos

El art. 24 de la LOPDGDD, como hemos visto ya en post anteriores, legitima la creación y mantenimiento de sistemas de información a través de los cuales pueda ponerse en conocimiento de una entidad, la comisión en el seno de la misma o en la actuación de terceros que contratasen con ella, de actos o conductas que pudieran resultar contrarios a la normativa general o sectorial que le fuera aplicable.

De la lectura de las tres normas se advierte:

  • A la vista de la redacción del art. 31 bis, 5. 4º del Código Penal, éste no delimita, y menos aun explicita, los canales por los que realizar la comunicación de incumplimientos o riesgos, aun cuando la obligación de informar conlleva, lógicamente, que exista el “medio para hacerlo”, como responsabilidad directa de la persona jurídica.
  • La citada UNE 19601:2017 si explicita la existencia de “canales de comunicación”, concepto por otra parte abierto y que no tiene por qué entenderse limitado a medios tecnológicos en tanto en cuanto otras alternativas ofrezcan las garantías y accesibilidad requeridas por la norma. Precisa en sus Notas que el procedimiento puede encontrarse inserto en otros existentes para comunicaciones sobre otras materias, por lo que el requisito de conformidad no exige un canal específico e independiente en materia de riesgos penales.
  • Pero señalado lo anterior, hemos de tomar en consideración que la LOPDGDD establece expresamente que “transcurridos tres meses desde la introducción de los datos, deberá procederse a su supresión del sistema de denuncias, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del modelo de prevención de la comisión de delitos por la persona jurídica”, lo cual podría afectar, complementando a las dos normas anteriores, el diseño y gestión del Canal.

Aun cuando de las tres normas se puede concluir que el Canal de Denuncias puede contemplar en su alcance materias “mas allá” de las relativas a incumplimientos o riesgos penales, necesariamente debe existir una gestión específica en cuanto el tratamiento de los datos relativos a estos últimos, entre otras razones puesto que serían los únicos exentos de la exigencia de “supresión” que recoge el párrafo segundo del art. 24.4 de la LOPDGDD (no sujetos a supresión a los efectos únicos de poder evidenciar el funcionamiento del modelo de prevención de delitos de la persona jurídica).

Por todo ello, a efectos prácticos y a fin de evitar riesgos en la gestión del canal, pudiera resultar recomendable tratar esta materia concreta en un canal independiente aun cuando, per se, ninguna de las tres normas lo exige.

A la vista de lo anterior, podríamos quizás considerar como buena práctica, el estructurar el canal de denuncias de tal forma que, aun cuando fuese único, internamente se establecieran, por ejemplo, tres secciones iniciales bien diferenciadas atendiendo a la información que se pretende facilitar. Esto es:

  • Una sección para informar de incumplimientos o riesgos de carácter penal,
  • Otra para cualquier otra clase de incumplimientos relativos a otras normativas y,
  • Por último, una sección diferenciada, si se considera su implantación, no tanto para comunicar información como para aclarar dudas o plantear cuestiones por parte de los miembros de la organización (facilitando de esta forma por medio del canal, también, con fines informativos y de formación, el cumplimiento del deber de asesoramiento que exige la Norma UNE 19601:2017 en su apartado 8.7 o, de una manera implícita, el propio Código Penal).

Un canal de denuncias implementado exclusivamente en base a una dirección de correo electrónico que no contará, lógicamente, con filtro alguno, parece todo lo contrario a esto que se propone

Jugará, en todo caso, un papel esencial, no solo complementario, la redacción y difusión de un reglamento o normativa de utilización del canal de denuncias, que explique claramente la forma de acceder al mismo, el alcance y materias para las que está concebido, derechos de los afectados y otras circunstancias respecto las que, sin duda, debe atenderse a las tres normas citadas en este post, así aquellas más específicas según el caso (prevención del blanqueo de capitales, sectores regulados, etc.).

Francisco Javier González Campos

Socio Bonatti Compliance