La UNE 19601
La Norma UNE 19601, hasta hace poco conocida como UNE 307101, es un proyecto largamente esperado que permitirá homogeneizar los Modelos de Prevención de Delitos en España y que abrirá definitivamente el mercado de las certificaciones de Compliance y con ello, muy probablemente dará el espaldarazo definitivo a una era que arrancó en el año 2010 con la reforma del Código Penal y la aprobación del Art. 31 Bis: la Era del Compliance.
Desde hace unos días y hasta el próximo mes de marzo, la UNE 19601 se halla en periodo de exposición pública previo a su publicación definitiva. Hemos aprovechado la lectura del proyecto para redactar una primera aproximación de algunos de los aspectos que la definen y permiten comprender el porqué de su importancia.
El final de una era
Desde los años 70 del siglo pasado, tanto los Estados como los Organizaciones Supranacionales han tomado progresivamente conciencia de la imposibilidad de afrontar los riesgos derivados de la globalización de los mercados a través de los instrumentos legales surgidos de la Revolución Francesa y que llevaron a la formulación moderna del Derecho Penal. Esa incapacidad era muy evidente en los delitos derivados de la actividad de las empresas, especialmente las multinacionales. Desde la promulgación de la FCPA hasta nuestros días, una intensa actividad legislativa ha ido desplazando la carga de detectar, analizar y tratar los focos de riesgos desde el Estado hacia las corporaciones privadas y públicas que gestionan y se benefician de la actividad económica.
Los requerimientos de Buen Gobierno empresarial son cada día más intensos, obligando a los Administradores y Altos Directivos a dirigir las compañías atendiendo a multitud de normas cuyo incumplimiento entraña graves sanciones, no sólo para las personas físicas responsables, sino también para las corporaciones en cuyo beneficio se cometen. El aforismo clásico “societas deliquere non potest” ya hace años que ha caído, cual moderno y virtual muro de Berlín, y nos hemos instalado en un paradigma nuevo e irreversible
y el comienzo de otra
De forma paralela al crecimiento de la regulación, los Sistemas de Gestión de Compliance se han mostrado como las grandes herramientas para gestionar dichos riesgos, de modo que en los últimos 40 años hemos vivido también un proceso de proliferación, universalización y estandarización de los Marcos de Referencia Genéricos y específicos, nacionales e internacionales, que poco a poco han ido perfilando una disciplina autónoma y universal (Legal Compliance) que culmina en los últimos años con la publicación de las diversas Normas ISO que recogen las mejores prácticas en la materia y se convierten en referente mundial.
Con la UNE 19601 de alguna forma cerramos en España este ciclo de convergencia y unificación de normas técnicas, y se abre una nueva etapa en la que el Compliance se presenta con un lenguaje común y universal para empresas y organizaciones de todo el mundo.
Contexto Normativo
En concreto hacemos referencia a dos normas internacionales y una de ámbito nacional:
La norma “ISO 19600 sobre Sistemas de Gestión de Compliance. Directrices” es una norma publicada en el mes de diciembre del año 2014 que ofrece un compendio de recomendaciones y buenas prácticas en Compliance y se ha convertido en el referente mundial para el diseño e implementación de Sistemas de Gestión de Compliance en cualquier tipo de organización pública o privada, con o sin ánimo de lucro.
La norma “ISO 37001 Sistemas de gestión antisoborno. Requisitos con orientación sobre su uso” es una norma publicada en el mes de octubre de 2016 que se centra en impedir el soborno y la corrupción.
Por último, y sobre la base de las anteriores, el Subcomité Técnico 307 SC1 de AENOR ha desarrollado la norma “UNE 19601 sobre Sistemas de Gestión de Compliance Penal. Requisitos con orientación para su uso” que se encuentra actualmente en trámite de exposición pública y que está llamada a ser la Norma de referencia en el diseño e implementación de Sistemas de Compliance Penal en España.
Estructura de la Norma
La nueva Norma UNE 19600 integra los requisitos que establece nuestro Código Penal en la estructura de alto nivel (HLS) desarrollada por ISO para alinear los diversos sistemas de gestión. (Es interesante observar que la Norma UNE 19601 viene acompañada de un anexo (Anexo A) donde se correlacionan los requerimientos del Art. 31 Bis del CP con los apartados de la Norma).
De este modo, en la UNE 19601 encontramos los capítulos clásicos de la estructura HLS de ISO:
Cap. 4: Contexto de la Organización
Cap. 5: Liderazgo
Cap. 6: Planificación
Cap. 7: Elementos de Apoyo
Cap. 8: Operación
Cap. 9: Evaluación del desempeño
Cap. 10: Mejora
Cap. 11: Bibliografía
Anexos
La UNE 19601 podrá así alinearse con otros Sistemas de Gestión frecuentes en nuestro tejido empresarial, como la UNE-EN ISO 9001, UNE-EN ISO 14001, UNE-ISO/IEC 14001 o la futura ISO 45001 De Sistemas de Gestión de Seguridad y Salud en el Trabajo.
Directrices
Sin perjuicio de una exposición mucho más detallada a lo largo de los posteriores artículos que analicen en profundidad el documento, una vez haya sido aprobado definitivamente, resulta interesante hacer una sucinta aproximación a las principales directrices del Modelo. A diferencia de la UNE-ISO 19600. vale la pena destacar que esta Norma contiene un amplio catálogo de requisitos que la organización deberá cumplir y documentar si desea obtener posteriormente una certificación de conformidad.
Entendimiento de la Organización, su contexto y los grupos de interés
La Norma precisa más extensamente que la UNE 19600 los factores externos e internos que son relevantes para alcanzar los objetivos de Compliance, y sin ser exhaustiva exige como mínimo que consideremos:
- El tamaño y estructura de la Organización
- Las ubicaciones y sectores donde opera
- La naturaleza y complejidad de sus actividades y operaciones
- Las entidades sobre las cuales ejerce control
- Los miembros de la Organización y sus socios de negocio
- La naturaleza y extensión de las relaciones con funcionarios públicos
- Las obligaciones y compromisos legales, contractuales o profesionales
Liderazgo
En este capítulo encontramos con gran detalle los requisitos que deben evidenciar el Liderazgo en la Organización, haciendo una completa referencia a los que resultan exigibles en cada nivel de responsabilidad (Órgano de Gobierno, Órgano de Compliance y Alta Dirección).
Otro aspecto destacado lo encontramos en el Apartado 5.3, donde se requiere un procedimiento y un sistema de controles que garantice el proceso de decisión en las delegaciones de facultades e impida los conflictos de interés reales o potenciales. Es evidente que esta exigencia atiende a los riesgos que se derivan para la organización de lo prevenido en el Artículo 31 Bis 1 a) del Código Penal, pero también tiene gran importancia desde la perspectiva del Buen Gobierno, y la regulación que hace del mismo la Ley 31/2014 de reforma de las Sociedades de Capital.
Política de Compliance
Aunque está incluido en el Capítulo sobre Liderazgo, hemos querido destacar por su importancia que el apartado 5.2 fija detalladamente los aspectos que se deben contemplar la Política de Compliance Penal como documento de Alto Nivel sobre el que vertebra el Sistema de Gestión de Compliance.
Planificación y tratamiento del riesgo
El Capítulo 6 regula muy detalladamente el proceso de Identificación, análisis y valoración de los riesgos penales (6.2) donde la organización debe analizar (6.2.2), evaluar (6.2.3) y revisar (6.2.4) dichos riesgos de manera regular, en el supuesto de cambios significativos en la organización, en caso de incumplimientos o cuando haya un significado cambio jurisprudencial o normativo.
Como no podría ser de otro modo, el apartado 6.3 termina por fijar los requisitos que debemos cumplir a la hora de fijar los objetivos de Compliance Penal que deberán permitirnos aplicar a cada riesgo el tratamiento adecuado.
Elementos de Apoyo
En el capítulo 7 encontramos los principales elementos de apoyo para el desarrollo del Sistema, con una mención en el Apartado 7.1 a la Cultura de Compliance muy en linea con los postulados de la Circular de la Fiscalia General del Estado y la Jurisprudencia del Tribunal Supremo.
Es de destacar también la detallada regulación de la Diligencia Debida exigida en los procesos relacionados con los miembros de la Organización (7.3.2.1), y muy especialmente quienes ocupan posiciones singularmente expuestas a riesgos penales, sobre quien se viene a establecer una diligencia debida “reforzada” (7.3.2.2), como es habitual en sistemas de Compliance que se desarrollan bajo un enfoque basado en el riesgo.
El apartado 7.4 sobre Formación y concienciación en Compliance establece un catálogo de los requisitos que deben cumplirse, debiendo confeccionarse los programas de formación no sólo en atención al análisis de riesgos penales, sino también conforme a los resultados de los procesos de diligencia debida.
Termina el Capítulo con requerimientos sobre Comunicación externa e interna (7.5.1), y Política de Compliance (7.5.2) y los procedimientos de Información documentada (7.6) que obviamente configuran el soporte que no sólo nos ayudará a auditar nuestro Sistema, sino que fundamentalmente permitirá defender su eficacia ante los Tribunales, en caso de ser necesario.
Operación
El capítulo 8, arranca con un requerimiento genérico sobre Planificación y Control Operacional (8.1) donde se especifica que el sistema deberá establecer procesos y procedimientos, controles para dichos procesos y procedimientos y evidencias documentadas, exigiendo que todo ello esté sujeto a los controles específicos que se detallan en los apartados 8.2 a 8.9 de la Norma que a continuación identificamos:
8.2.- Diligencia Debida en aquellas actividades, relaciones de negocio o categorías de personal en que el riesgo penal sea relevante.
8.3.- Controles financieros
8.4.- Controles no financieros, especialmente en compras, operaciones y comercialización.
8.5.- Implementación de controles en las filiales y los socios de negocio
8.6.- Establecimiento de condiciones contractuales orientadas a reducir el riesgo penal con socios de negocio.
8.7.- Gestión de deficiencias de los controles
8.8.- Procesos de comunicación de incumplimientos e irregularidades
8.9.- Procedimientos de investigación de incumplimientos e irregularidades
Evaluación del Desempeño
La organización debe evaluar el desempeño del Compliance Penal y la eficacia del sistema de gestión de Compliance (Apartado 9.1.1), para ello la UNE 19601 ofrece una normas claras y detalladas, exigiendo que se establezca un Plan de Seguimiento (9.1.2) donde se fijen las fuentes de opinión que se van a consultar (9.1.3), los métodos de recogida (9.1.4) y análisis (9.1.5) de la información. El Sistema debe desarrollar un conjunto de indicadores que ayuden a medir el logro de los objetivos y el desempeño del sistema (9.1.6).
La evaluación del desempeño pasa también por el desarrollo de un sistema de informes de Compliance penal (9.1.7) que asegure que el Órgano de Administración, la Alta Dirección y el Órgano de Compliance están puntualmente informados, llegando a especificar el contenido que deben tener dichos informes (9.1.8).
El Capítulo termina especificando los procesos de Auditoría Interna (9.2) y las funciones que en esta materia asumen el órgano de Compliance (9.3), la Alta Dirección (9.4) y el órgano de Gobierno (9.5)
Mejora Continua
Termina la Norma con los requisitos frente a No conformidades y sus acciones correctivas (10.1) así como la exigencia de un proceso de mejora continua (10.2)
5.- Los anexos
Probablemente uno de los aspectos que despertarán más interés de la Norma son los Anexos que la acompañan. Se trata de un conjunto de documentos complementarios que facilitan su aplicación y comprensión.
En el Anexo A encontramos una interesante y completa correspondencia entre los apartados del Artículo 31 Bis 5 del Código Penal y los diferentes capítulos de la UNE 19601 a modo de checklist, que permite verificar y acreditar cómo el cumplimiento de los requerimientos de la Norma habilita la justificación y acreditación del Sistema ante los Tribunales.
En el Anexo B se nos ofrecen detalles y aclaraciones sobre los procedimientos de Diligencia Debida referidos tanto a los miembros de la Organización como a los socios de negocio, complementados en el Anexo D con indicaciones sobre la implementación del modelo de prevención penal en las filiales de la organización y los socios de negocio y una información sobre los requerimientos que se deberían incluir en los contratos de la organización (Anexo E- Cláusulas contractuales).
Destacar por último que en el Anexo C se recogen las 14 evidencias documentadas mínimas que debe obligatoriamente contener nuestro Sistema de Gestión de Compliance y que podremos completar con aquellos otros documentos que atendiendo a las especiales características de la Organización consideremos necesarios.
Una Norma que todavía puede sufrir algunas modificaciones durante le periodo de exposición pública, pero que está llamada a ser referente y capital en el futuro del Compliance Penal en nuestro país.
