Compliance: Qué es y para qué sirve

Hasta hace relativamente poco, el compliance era un término reservado a las grandes corporaciones. Hoy aparece en los organigramas de empresas de todos los tamaños y en buena parte de las ofertas de empleo del ámbito jurídico. El motivo es sencillo: desde que las personas jurídicas pueden responder penalmente en España, prevenir delitos dentro de una organización dejó de ser una buena práctica para convertirse en una necesidad.

En este nuevo artículo vamos a ver qué es el compliance, para qué sirve realmente, qué elementos componen un programa de cumplimiento, qué hace un compliance officer y cómo se implanta todo ello en una empresa.

1Qué es compliance

Cuando hablamos de qué es compliance nos referimos al conjunto de políticas, procedimientos y controles que una organización establece para asegurarse de que su actividad cumple la normativa que le resulta aplicable, así como sus propios códigos internos.

La traducción habitual es cumplimiento normativo, aunque se queda algo corta. El compliance no consiste únicamente en obedecer la ley, que es una obligación evidente, sino en poder demostrar que se han puesto los medios para que esa ley se cumpla dentro de la organización. Esa diferencia, entre cumplir y acreditar que se ha intentado cumplir, es la que da sentido a toda la disciplina.

Conviene fijar además una idea que suele malinterpretarse: el compliance no sustituye a la asesoría jurídica. El departamento legal responde a la pregunta de qué dice la norma; el compliance se ocupa de que la organización esté organizada de tal modo que esa norma se respete en el día a día.

2Para qué sirve: el origen de todo

La explicación de por qué esta función ha crecido tanto está en una reforma concreta del Código Penal.

Durante mucho tiempo rigió en nuestro ordenamiento el principio de que las sociedades no podían delinquir. La reforma operada por la Ley Orgánica 5/2010 introdujo la responsabilidad penal de las personas jurídicas en el Código Penal, y la posterior reforma de 2015 perfiló el papel de los modelos de organización y gestión: una empresa que acredite haber implantado un modelo adecuado de prevención de delitos, con anterioridad a la comisión de estos, puede quedar exenta de responsabilidad o ver atenuada su pena.

Ahí está el verdadero para qué sirve el compliance. No es un gesto de imagen ni un trámite burocrático: es el mecanismo que permite a una organización demostrar ante un tribunal que el delito cometido por un directivo o un empleado se produjo pese a existir controles razonables, y no por una dejación de funciones.

A eso se suman otros beneficios que las empresas valoran cada vez más: acceso a licitaciones públicas que lo exigen, confianza de inversores y socios, y reducción del riesgo reputacional, que con frecuencia resulta más costoso que la propia sanción.

3Qué contiene un programa de compliance

Un modelo de prevención no es un documento, sino un sistema vivo. Estos son sus componentes habituales.

El mapa de riesgos

Es el punto de partida y la pieza que más condiciona el resultado. Consiste en identificar a qué delitos está realmente expuesta la organización según su actividad, su sector y su estructura. No es lo mismo una constructora que una empresa tecnológica, y un modelo copiado de una plantilla genérica resulta inservible precisamente por esto.

El código ético y las políticas internas

Traducen los principios a conductas concretas. Un código ético que solo contenga declaraciones de buenas intenciones no sirve; tiene que decir qué está permitido, qué no, y qué ocurre cuando alguien se aparta de ello.

Los controles y procedimientos

Son las medidas que hacen difícil que el riesgo se materialice: dobles firmas, separación de funciones, límites de gasto, procedimientos de contratación de proveedores o controles sobre regalos y atenciones.

El canal de denuncias

Es hoy una pieza obligatoria para un amplio número de entidades, tras la entrada en vigor de la Ley 2/2023 de protección del informante, que traspuso la directiva europea conocida como directiva whistleblowing. Debe permitir comunicaciones anónimas y, sobre todo, garantizar que quien informa no sufrirá represalias.

La formación

Un modelo que la plantilla desconoce no existe a efectos prácticos. La formación periódica y documentada es, además, una de las evidencias que se examinan cuando hay que acreditar la diligencia de la organización.

La supervisión y la revisión periódica

El modelo debe vigilarse, actualizarse cuando cambie la normativa o la actividad, y revisarse tras cualquier incidente. Un programa de hace ocho años que nadie ha tocado es, en la práctica, un indicio en contra.

4Qué hace un compliance officer

El compliance officer es la figura responsable de supervisar el modelo. Sus funciones habituales incluyen elaborar y mantener el mapa de riesgos, diseñar los controles, gestionar el canal de denuncias, impartir o coordinar la formación, investigar las comunicaciones recibidas y reportar periódicamente al órgano de administración.

Hay dos rasgos que definen el puesto y que conviene entender bien. El primero es la independencia: debe contar con autonomía real y acceso directo al máximo órgano de gobierno, porque un responsable que depende de quien debe fiscalizar no puede cumplir su función. El segundo es que su trabajo es transversal: se relaciona con finanzas, recursos humanos, compras y dirección, lo que exige tanto criterio jurídico como habilidad para negociar dentro de la organización.

En cuanto al perfil, predomina la formación jurídica, aunque no es la única vía: hay profesionales procedentes de la auditoría, el control interno o la economía que acceden al puesto con formación complementaria.

5Tipos de compliance

Aunque el penal es el más conocido, la función se ha ido especializando.

El compliance penal es el que deriva directamente de la responsabilidad de las personas jurídicas. El compliance laboral se ocupa del cumplimiento en materia de contratación, prevención de riesgos, igualdad y relaciones laborales, incluidos los procedimientos disciplinarios y las causas y formas de los distintos tipos de despido. El compliance fiscal aborda las obligaciones tributarias, y el compliance en materia de protección de datos se solapa parcialmente con la función del delegado de protección de datos, una figura con requisitos y responsabilidades propias.

A ellos se ha sumado con fuerza una dimensión tecnológica. Cuando una organización toma decisiones mediante algoritmos, trata grandes volúmenes de información personal o despliega sistemas de inteligencia artificial, el cumplimiento deja de ser solo jurídico y entra de lleno en el terreno de la ética digital, que marca criterios allí donde la norma aún no llega.

El crecimiento de esta función ha tenido además un efecto visible en las retribuciones del sector jurídico: la especialización en cumplimiento es hoy uno de los factores que más pesa al analizar cuánto cobra un abogado en España, por encima de áreas tradicionalmente mejor pagadas.

6Cómo se implanta en una empresa

El proceso sigue un orden bastante estable.

Se parte de un diagnóstico de la situación actual y de la actividad real de la empresa. A continuación se elabora el mapa de riesgos, se diseñan los controles para los riesgos relevantes y se redactan el código ético y las políticas. Después se implanta el canal de denuncias, se forma a la plantilla y se designa al responsable de cumplimiento. Por último se establece el sistema de supervisión y el calendario de revisiones.

Conviene conocer también el marco de referencia. En España la norma UNE 19601 regula los sistemas de gestión de compliance penal, y en el ámbito internacional existe la ISO 37301 para sistemas de gestión del cumplimiento. Certificarse no es obligatorio, pero aporta una evidencia externa de que el modelo existe y funciona.

Todo ello se apoya, además, en el conocimiento de cómo se relacionan las distintas fuentes normativas, algo que resulta mucho más claro si se tiene presente la jerarquía normativa que ordena el ordenamiento jurídico.

7Los errores que invalidan un modelo

El primero y más frecuente es el modelo de plantilla: un documento genérico descargado o copiado que no refleja la actividad real de la empresa. Los tribunales han sido claros al respecto, porque lo que se valora es la idoneidad del modelo para prevenir los delitos concretos a los que esa organización está expuesta.

El segundo es el compliance de papel: existe la documentación, pero nadie la aplica ni la conoce. El tercero es la falta de independencia del responsable. Y el cuarto, no revisar el modelo nunca, lo que lo deja desactualizado frente a cambios normativos o de actividad.

8Una salida profesional en crecimiento

Para quien se plantea dedicarse a esto, la vía natural es el Grado en Derecho, que aporta la base sobre la que se construye toda la función: comprensión del ordenamiento, responsabilidad penal, derecho mercantil y laboral.

A partir de ahí se abren itinerarios distintos. Quien quiera ejercer la abogacía necesita el Máster en Abogacía y Procura, de carácter habilitante, que además da acceso a vías de ejercicio como el turno de oficio, cuyo funcionamiento y requisitos para solicitar un abogado de oficio conviene conocer. Quien se oriente al cumplimiento normativo puede llegar desde ahí o desde la auditoría, con formación específica posterior.

Es un perfil con una ventaja poco habitual: la demanda crece y el número de profesionales formados todavía no la cubre.

9Más vale prevenir que acreditar después

El compliance tiene una paradoja interna: cuando funciona, no se nota. Su resultado visible es la ausencia de problemas, lo que explica que a veces se perciba como un coste y no como una inversión.

En definitiva, entender qué es el compliance supone asumir que una organización no solo responde de lo que hace, sino también de cómo se ha organizado para evitar lo que no debería hacer. Al final, lo que distingue a una empresa diligente de una negligente no es que nunca ocurra nada, sino lo que había previsto para que no ocurriera. Y como el compliance se construye con método y no con intuición, la vía habitual para especializarse pasa por la formación de posgrado que recoge el catálogo de másteres oficiales online.