RESUMEN:
La progresiva expansión de las funciones de cumplimiento normativo dentro de las organizaciones está viniendo acompañada de una preocupación cada vez más recurrente entre quienes desempeñan dichas funciones: hasta qué punto la responsabilidad derivada de la comisión de delitos en el seno de la empresa puede proyectarse también sobre el propio Compliance Officer.
Partiendo de esta problemática, el presente trabajo analiza los distintos títulos de imputación que podrían fundamentar una eventual responsabilidad criminal del Compliance Officer. En primer lugar, los supuestos de responsabilidad por actos propios, atendiendo a las categorías de autoría, coautoría, participación y dominio del hecho en el contexto de estructuras empresariales complejas. En segundo término, las particularidades que presentan las decisiones adoptadas en órganos colegiados y la relevancia penal que pueden adquirir el voto, la abstención, la delegación o la omisión de actuación en dichos procesos. Finalmente, el trabajo aborda la cuestión central relativa a la posible condición de garante del Compliance Officer, analizando los presupuestos de la comisión por omisión, los límites derivados de su ámbito competencial, la delimitación entre los considerados por la doctrina como garantes primarios y complementarios y la distribución organizativa del control del riesgo.
Desde esta perspectiva, este trabajo pretende sistematizar los principales problemas dogmáticos que suscita la eventual responsabilidad penal del responsable de cumplimiento en el marco de las organizaciones empresariales.
Palabras clave:
Compliance Officer; responsabilidad penal de la persona jurídica; autoría; participación; posición de garante; comisión por omisión; dominio funcional del hecho.
ABSTRACT:
The progressive expansion of compliance functions within organizations has been accompanied by a growing concern among those entrusted with such responsibilities: the extent to which liability arising from criminal offences committed within the company may also be attributed to the Compliance Officer.
Against this backdrop, the present article examines the various grounds of attribution that could support the imposition of individual criminal liability on the Compliance Officer. First, it analyses situations involving liability for one’s own conduct, with particular attention to the concepts of perpetration, co-perpetration, participation, and control over the act within the context of complex corporate structures. Second, it addresses the specific issues raised by decisions adopted within collegiate bodies and the criminal significance that voting, abstention, delegation, or failure to act may acquire in such decision-making processes. Finally, the article explores the central question of whether the Compliance Officer may be regarded as a guarantor, examining the requirements of liability for omission, the limits deriving from the scope of the officer’s powers and responsibilities, the distinction between what legal scholarship has described as primary and secondary guarantors and the organizational allocation of risk-control functions.
From this perspective, the study seeks to systematize the principal doctrinal issues raised by the potential criminal liability of the Compliance Officer within the framework of business organizations.
Keywords:
Compliance Officer; corporate criminal liability; perpetration; participation; guarantor position; liability by omission; joint perpetration; functional control over the act.
Abreviaturas:
CP: Código Penal
CNMC: Comisión Nacional de los Mercados y la Competencia
DPO: Data Protection Officer
EBA: European Banking Authority
LO: Ley Orgánica
LOPDGDD: Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales
MiFID I: Directiva 2004/39/CE relativa a los mercados de instrumentos financieros
MiFID II: Directiva 2014/65/UE relativa a los mercados de instrumentos financieros
RGPD: Reglamento General de Protección de Datos
STS: Sentencia del Tribunal Supremo
UE: Unión Europea
1. LA PROGRESIVA EXPANSIÓN DE LA FUNCIÓN DE COMPLIANCE Y SUS IMPLICACIONES DESDE LA PERSPECTIVA DE LA RESPONSABILIDAD PENAL
Sabido es que la figura del Compliance Officer adquiere relevancia penal en el ordenamiento jurídico español a partir de la introducción de la responsabilidad penal de las personas jurídicas mediante la LO 5/2010 y su posterior reformulación por la LO 1/2015. En efecto, aunque en determinados sectores especialmente regulados, como el financiero o el farmacéutico, se trataba ya de una posición previamente consolidada, es a partir de dichas reformas cuando su presencia se proyecta de forma transversal sobre el conjunto del tejido empresarial. Y si bien la regulación penal apenas ha experimentado modificaciones relevantes desde entonces en lo que respecta al compliance penal y al diseño de los modelos de prevención, tanto la consolidación natural de dicha figura como diversas normas administrativas y sectoriales han fortalecido progresivamente el papel de las funciones de cumplimiento, impulsando su participación en procesos clave de las organizaciones. Así, resulta cada vez más habitual, e incluso exigido en determinados ámbitos regulatorios, que el Compliance Officer intervenga en aspectos tales como el diseño y aprobación de nuevos productos, la contratación de terceros o participando como miembro activo en órganos y comités con capacidad de generar exposiciones relevantes desde una perspectiva regulatoria, reputacional o de conducta, por poner algunos ejemplos. Esta evolución evidencia que la función de cumplimiento poco a poco se va asentando y tomando mayor protagonismo en la toma de decisiones corporativas.
Esta mayor integración reaviva una cuestión que acompaña a la institución desde sus orígenes: ¿en qué supuestos o hasta qué punto podría llegar a responder criminalmente el Compliance Officer por los delitos cometidos en el seno de la organización? La cuestión central consiste, por tanto, en determinar si una eventual responsabilidad penal corporativa derivada de la ausencia o ineficacia del modelo de cumplimiento alcanza exclusivamente a la persona jurídica o si, por el contrario, puede extenderse al Compliance Officer en atención a las concretas funciones de supervisión, diseño, implementación o mantenimiento del modelo que le hayan sido efectivamente atribuidas.
La respuesta a dicha pregunta dista de ser sencilla, pero puede ordenarse alrededor de dos grandes vías de imputación. En primer lugar, por actos propios o por la participación activa del Compliance Officer en un hecho delictivo, ya sea mediante su ejecución directa, su intervención en un órgano colegiado, la emisión de instrucciones, la validación consciente de una operación o cualquier otra aportación relevante al hecho ajeno. En segundo lugar, por omisión, cuando el delito es cometido por otra persona o área de la organización y el Compliance Officer, pese a encontrarse jurídicamente obligado y materialmente facultado para actuar, no haga lo procedente para evitarlo. En el primer caso operan las reglas generales de autoría y participación; en el segundo, la posición de garante y los presupuestos del artículo 11 CP.
Esta distinción será la que ordene el análisis que vamos a llevar a cabo a lo largo de las siguientes páginas. De tal modo que, en la primera parte procederemos a analizar una eventual responsabilidad penal derivada de conductas activas propias y de las distintas formas de participación en hechos ajenos, incluidas las que se producen en órganos colegiados, para, posteriormente, examinar de forma separada la eventual responsabilidad por omisión y el alcance de la posición de garante que pudiera derivarse de la función de cumplimiento.
2. RESPONSABILIDAD DEL COMPLIANCE OFFICER POR ACTOS PROPIOS Y DOMINIO DEL HECHO
2.1. Autoría directa y dominio funcional del hecho
Indudablemente estamos aquí ante el supuesto de hecho más fácil de identificar y frente al que perfectamente podemos acudir a reglas ya aplicadas, entre otros, en el ámbito empresarial respecto de cualesquiera otros directivos. El problema, no obstante, es que incluso en el ámbito de las conductas activas la determinación de la autoría —y por ende, eventualmente, de la responsabilidad penal— en los modelos organizativos de las personas jurídicas plantea importantes problemas prácticos. Si ya en no pocas ocasiones resulta complicado identificar la autoría o la coautoría, o distinguirlas de otras formas de participación cuando hablamos de delitos cometidos entre personas físicas, tantas o más dificultadas nos encontramos en los entornos corporativos. Y es que, a diferencia de las personas físicas, o cuando menos de forma mucho más recurrente, las organizaciones suelen operar a través de complejos contextos, tales como entornos de grandes direcciones o departamentos con diversos modelos de responsabilidad, mediante la ejecución de tareas compartidas entre distintas áreas o responsables, a través de órganos o comités internos, mediante agentes y representantes, etc. Es por ello que, identificar al autor o autores de una conducta delictiva suele ser arduo, y requiere analizar siempre desde una perspectiva ex ante quién tomó la decisión, quién la instigo o quién la ejecutó.
En la actualidad, cuando hablamos de responsabilidad individual, uno de los criterios más consolidados desde hace décadas en la doctrina y la jurisprudencia para determinar la autoría es el del dominio del hecho, y en particular, el dominio funcional del hecho, de tal modo que será considerado autor a aquél que tenga el control funcional sobre la conducta típica y pueda decidir sobre su realización o interrupción. La teoría del dominio del hecho constituye, en efecto, un criterio central en la atribución de autoría penal, especialmente en contextos intrincados como el de las personas jurídicas.
Esta construcción, no pensada en inicio para estos entornos, y desarrollada principalmente en la dogmática penal alemana —primero con autores como Wezel o Gallas, y más adelante, fundamentalmente, con Roxin—, sostiene que es autor quien ostenta el dominio del curso causal del delito, esto es, quien tiene el control final sobre su realización a través de la acción, la voluntad y, en definitiva, el dominio funcional. Dicho en términos prácticos, será autor quien, en primera instancia, lleve a cabo personalmente la acción típica; pero también quien tenga la capacidad de gobernar la acción, bien por su conocimiento, bien por su capacidad de dirección y control; o incluso la capacidad de utilizar a sus subordinados como ejecutores de la acción ilícita. Cuando el reproche se funde, no en una aportación activa, sino en la falta de una actuación debida, la eventual autoría no podrá deducirse directamente de este criterio, sino que exigirá acreditar previamente una posición de garante y los presupuestos de la comisión por omisión que analizaremos en la segunda parte de este trabajo.
Aplicado al ámbito empresarial, esta teoría permite diferenciar responsabilidades criminales entre los directivos o responsables distinguiendo entre quienes (a) ejecutan materialmente la acción típica por su propia mano —autoría directa—; (b) por participar favoreciendo, cooperando ejecutivamente o contribuyendo de algún modo a la acción delictiva; (c) en casos sin duda excepcionales, quizás en estructuras muy jerarquizadas, por servirse de otro como instrumento —autoría mediata—, al disponer de la capacidad efectiva para ordenar la acción; o incluso cuando (d) su participación se “limita” a aconsejar o proporcionar de algún modo los medios para su comisión —complicidad—. Característica esencial del autor directo es, de este modo, el dominio del hecho, en tanto dirige su acción a la realización del tipo penal. La coautoría, por su parte, presupone que varias personas, de común acuerdo, participan en la ejecución del hecho típico, lo que exige, de un lado, una decisión conjunta —elemento subjetivo— y, de otro, un dominio funcional del hecho con una aportación relevante en la fase ejecutiva —elemento objetivo—. La diferencia entre coautoría y participación viene marcada por el carácter no subordinado de la aportación: será autor quien dirija su acción a la realización del tipo con dominio de la acción, dominio que será funcional cuando exista división de tareas entre los intervinientes, siempre que todos conserven ese control característico de la autoría.
En lo que se refiere a los directivos —y por definición, todo Compliance Officer de una organización empresarial es un directivo—, su eventual responsabilidad penal no se deriva de la mera pertenencia al órgano de dirección o de una determinada posición jerárquica en el organigrama, sino de su concreta intervención en el hecho. De este modo, el Compliance Officer podrá responder como autor —por dominio del hecho— en primer lugar, cuando realiza directamente la conducta típica, esto es, en supuestos de autoría directa, en los que su intervención no se canaliza a través de funciones de supervisión, sino mediante la ejecución personal del injusto (v. gr, si soborna a un supervisor para evitar la imposición de una sanción administrativa —piénsese en un funcionario de la CNMC en el contexto de un expediente sancionador por vulneración de la competencia—). En estos casos, su condición de responsable de cumplimiento resulta de hecho jurídicamente irrelevante a efectos del título de imputación, pues responde como cualquier otro sujeto que realiza el tipo penal.
Junto a estos supuestos, podrá también apreciarse autoría —por dominio funcional del hecho— cuando, sin ejecutar materialmente la conducta típica, éste intervenga de forma decisiva en la configuración o viabilidad del esquema ilícito, siempre que disponga de una capacidad real de intervención impeditiva o de veto sobre la operación y, pese a ello, contribuya a su realización (v. gr., cuando valida artificiosamente una operación de riesgo como “conforme” a efectos de permitir su ejecución, cuando bloquea o neutraliza objeciones internas que habrían impedido la operación —piénsese en el archivo artificial de una denuncia para impedir una investigación con indicios delictivos—, o cuando utiliza su posición para dotar de cobertura formal a prácticas ilícitas cuya continuación depende de su aprobación o no oposición efectiva). En estos supuestos, su aportación deja de ser meramente accesoria o consultiva y se integra funcionalmente en el iter delictivo, en la medida en que la ejecución del hecho depende, en términos relevantes, de su decisión o aquiescencia cualificada.
Por el contrario, y como ya sucediera con la posición de cualquier otro directivo, la mera pertenencia del Compliance Officer al sistema de cumplimiento o su conocimiento abstracto del riesgo no permiten, por sí solos, afirmar una posición de autoría, en la medida en que, con carácter general, carece de facultades decisorias directas sobre la ejecución de las operaciones de negocio. Sólo cuando su intervención trascienda ese plano y se proyecte de forma efectiva sobre la realización del hecho, mediante una aportación esencial o un control funcional del curso de la acción, podrá apreciarse el correspondiente dominio del hecho. La clave, por tanto, no reside en el mero conocimiento, sino en la combinación entre conocimiento y competencia efectiva, esto es, en si el sujeto disponía de información y capacidad real de influir de manera decisiva en la realización del hecho dentro de su esfera funcional. Esta atribución requiere identificar las funciones efectivas —no sólo el organigrama formal—, el acceso a información relevante, la capacidad de incidencia en los procesos decisorios y, sobre todo, el nexo funcional entre su actuación concreta y el riesgo típico. De tal modo que sólo allí donde el Compliance Officer deje de actuar como instancia de control y pase a convertirse en un punto de validación imprescindible del esquema ilícito, su conducta se desplazará desde la neutralidad institucional hacia una imputación penal por actos propios estructuralmente defendible.
Comoquiera que el dominio del hecho, pese a su consolidación doctrinal y jurisprudencial, sigue siendo un concepto jurídico indeterminado que debe concretarse a la luz de las circunstancias de cada caso, tanto doctrina como jurisprudencia han ido perfilando una serie de criterios que permiten respaldar una valoración casuística de la posición de dominio frente a la mera titularidad formal de un cargo dentro de la organización. Las fórmulas de dominio comúnmente conocidas y analizadas para determinar la autoría o la coautoría son, originariamente: casos en los que el autor tiene dominio o influencia determinante del transcurso y resultado de la acción, de forma tan intensa que existe un dominio del curso del acontecer; casos en los que éste tiene capacidad de que concluya dicho resultado, o de impedirlo, bien por no cumplir la parte que le corresponde, bien por medio de alguna acción que anule el plan delictivo o lo haga fracasar; posibilidad de dar un giro, o de terciar, para cambiar el resultado; o por tener en definitiva, subjetiva y objetivamente, un general dominio sobre el hecho. Obviamente, estos elementos únicamente pueden ser tomados en cuenta como indicios para determinar la relación interna de esos posibles autores o coautores con el hecho y, más importante, con su capacidad real para dominar el curso del acontecer y su dependencia de su propia voluntad en el transcurso y resultado del hecho. No obstante llevadas a la práctica empresarial, estas fórmulas bien pueden extrapolarse o traducirse conforme a los siguientes criterios:
- a) Tomando como referencia elementos tales como: (i) la posición jerárquica y funciones asignadas —debiendo examinarse el cargo material, no sólo formal que ocupa el directivo (el Compliance Officer, en nuestro caso) y las competencias estatutarias o contractuales que le corresponden, así como que a mayor ubicación en la escala jerárquica y mayor amplitud de funciones, mayor será la probabilidad de que ostente un poder de configuración relevante sobre el curso de los acontecimientos—; (ii) el control, real y efectivo, de medios materiales y humanos, esto es, la disponibilidad de recursos técnicos, económicos o personales necesarios para la ejecución del hecho constituye otro indicio significativo; o (iii) la delimitación de esferas de riesgo asumidas.
- b) En este caso, la cuestión se empieza a complicar, pues más allá del plano teórico expuesto en el punto anterior, será necesario verificar elementos tales como: (i) la capacidad real de decisión o influencia que da lugar a la comisión del delito —esto es, deberá valorarse si el Compliance Officer disponía de un poder efectivo para adoptar decisiones determinantes en relación con el hecho investigado—; (ii) la participación activa o pasiva en la génesis del hecho —analizándose si el Compliance Officer intervino directa o indirectamente en la conducta delictiva, ya sea mediante la emisión de órdenes, la facilitación de medios o el diseño de estrategias—; o incluso (iii) la posibilidad efectiva de impedir o reconducir la conducta. Todos ellos elementos cruciales y en modo alguno fáciles de verificar, pues en muchos casos, no será ni mucho menos sencillo verificar si, en el seno de organizaciones complejas, un Compliance Officer tiene capacidad real, por sí mismo, de intervenir activamente la contratación de un agente que comete posteriormente un acto de corrupción, por ejemplo.
- c) Sin duda alguno, un elemento aún más difícil de verificar, por implicar un juicio de inferencia subjetivo para confirmar elementos tales como: (i) si el Compliance Officer era consciente de riesgos propios del ámbito competencial; o (ii) si contaba información suficiente para la evaluación del riesgo —no en vano, el dominio del hecho presupone un conocimiento razonable de las operaciones o dinámicas generadoras del riesgo—.
Como ya se ha expuesto, estos elementos deben ser analizados a efectos meramente indiciarios y siempre de forma conjunta y contextualizada para determinar, en cada caso concreto, la eventual condición de autor o coautor del Compliance Officer y valorar su actuación en el hecho delictivo investigado, evitando tanto imputaciones automáticas basadas exclusivamente en el cargo como exoneraciones apoyadas en una visión meramente formal de la organización.
La conclusión que podemos extraer, por tanto y más allá de reproches fundados en posiciones de garante que veremos más adelante, es que una eventual imputación del Compliance Officer como autor o coautor por dominio funcional del hecho debe quedar condicionada a la verificación de los requisitos expuestos. A modo de ejemplo, en un supuesto medioambiental en el que una instalación industrial realiza vertidos contaminantes contraviniendo las condiciones de su autorización y generando un riesgo grave para el equilibrio de los sistemas naturales, la determinación de la autoría o participación de los distintos intervinientes dentro de la persona jurídica no puede basarse en automatismos ni en la mera adscripción a un departamento, sino que exige un análisis individualizado de los roles efectivamente desempeñados. El responsable operativo que ordena o mantiene los vertidos, controla el proceso productivo y dispone de capacidad para detenerlos podrá ostentar, en principio, una posición de autor si dirige su conducta a la realización del tipo. El análisis deberá extenderse igualmente a quienes, desde niveles superiores, hayan decidido conscientemente mantener la actividad contaminante, hayan impartido instrucciones determinantes o hayan asegurado los medios necesarios para su continuidad, pudiendo configurarse, según la concreta aportación, supuestos de coautoría, inducción o cooperación. En este contexto, el Compliance Officer podrá incurrir en responsabilidad penal como autor no por su posición en el sistema de cumplimiento, sino únicamente cuando su intervención trascienda la mera supervisión y se integre funcionalmente en el esquema ilícito. Así podría ocurrir, por ejemplo, si valida conscientemente como conforme una operación industrial respecto de la cual dispone de conocimientos e información técnica suficientes sobre la superación persistente de los límites de emisión, si neutraliza advertencias internas cuya consideración habría impedido la continuidad de los vertidos o si utiliza su posición para dotar de cobertura formal a la actividad contaminante, siempre que disponga de capacidad real de veto o de intervención impeditiva y su aportación resulte decisiva para la ejecución del plan. En tales supuestos, su actuación deja de ser accesoria o meramente consultiva y se convierte en una aportación esencial al dominio funcional del hecho.
Por el contrario, quedarán al margen de la autoría aquellos supuestos en los que la intervención no supere el plano meramente formal, consultivo o ex post, sin capacidad real de incidir decisivamente en la realización del hecho. También deberán excluirse a quienes carezcan de acceso relevante a la información o de control sobre los procesos en los que se materializa el riesgo delictivo, así como quienes se limiten a tareas ejecutivas o auxiliares, sin autonomía decisoria ni control sobre los medios.
2.2. Atribución de responsabilidad al Compliance Officer en estructuras colegiadas
Otra de las dificultades clásicas en la aplicación de los criterios de autoría en entornos corporativos se presenta cuando las decisiones son adoptadas colectivamente en órganos colegiados como el Consejo de Administración, Comités de Dirección o instancias especializadas, tales como otras comisiones, comités o grupos especializados de distinta naturaleza. Esta cuestión adquiere una especial relevancia en el caso que nos ocupa por una doble razón. En primer lugar, porque muchas organizaciones no optan por designar un responsable de cumplimiento único, sino por atribuir estas funciones a un órgano colegiado integrado por distintos directivos —como, entre otros y en función de los casos, los directores de asesoría jurídica, de recursos humanos, de finanzas, o el propio director de cumplimiento, en su caso—. No en vano, cuando el art. 31 bis.2. 2.ª CP permite confiar la supervisión del modelo a un órgano de la persona jurídica, está contemplando tanto estructuras unipersonales como colegiadas. En segundo lugar, porque el propio Compliance Officer suele formar parte de numerosos órganos internos de decisión o supervisión. En efecto, además de participar en los comités específicamente vinculados al cumplimiento —como los éticos o los propios de seguimiento y supervisión del modelo penal—, es frecuente su presencia en otros de naturaleza comercial, disciplinaria o de producto o negocio, así como en aquellos encargados de gestionar riesgos específicos, como los relacionados con la prevención del blanqueo de capitales o la privacidad.
En estos supuestos, como ya sucediera en el apartado anterior, el eje de la imputación no puede anudarse a la mera pertenencia al órgano ni a la participación formal en el proceso decisorio, sino a la aportación individual de cada interviniente. La decisión colegiada no constituye, por sí misma, el objeto de imputación, sino el contexto en el que deben reconstruirse las conductas de sus integrantes. De lo contrario, el Derecho penal corre el riesgo de desplazarse hacia un control ex post de decisiones empresariales complejas con criterios de corrección material, desdibujando los límites propios de la imputación penal.
Es por ello que todos estos escenarios exigen un análisis individualizado de la conducta y del conocimiento de cada miembro del órgano. Y a partir de esta premisa, conviene distinguir dos planos: de un lado, aquellos supuestos en los que el miembro realiza una aportación positiva al proceso decisorio —mediante su voto, el impulso de la propuesta, su validación o cualquier otra intervención activa—, cuya eventual relevancia deberá examinarse conforme a las reglas de autoría y participación; y, de otro, aquellos en los que el reproche se funda en la falta de una actuación que se considera debida, cuyo análisis exige determinar previamente si el sujeto ocupaba una posición de garante respecto del riesgo concreto. A ambos dos nos referiremos a continuación.
a) Aportaciones activas a la decisión colegiada
Dentro de este primer grupo pueden distinguirse, a su vez, las siguientes situaciones.
- Participación activa mediante voto favorable a decisiones ejecutivas. Se trata, sin duda, del supuesto más evidente de imputación. La emisión de un voto afirmativo constituye una forma directa de intervención en el proceso de formación de la voluntad del órgano y, por tanto, podría llegar a fundamentar responsabilidad penal cuando la decisión incorpore o asuma un riesgo jurídicamente desaprobado.
Ahora bien, tal afirmación admite excepciones o matizaciones, pues en defensa del Compliance Officer bien podríamos decir que, conforme a la doctrina de los actos neutrales, el mero hecho de votar no comporta, por sí mismo, relevancia penal Desde esta perspectiva, la neutralidad del acto se mantendrá cuando la decisión se adopte dentro de parámetros normales de diligencia y sin señales objetivas de riesgo, tal y como señala entre otras la STS 387/2014, de 9 de junio, en tanto en cuanto las acciones aparentemente neutras —como votar un acuerdo o firmar un contrato— no son típicas si se ajustan a los estándares de adecuación social, entran dentro del funcionamiento ordinario de los órganos societarios y no implican, por sí mismos y desde un inicio, un riesgo jurídicamente desaprobado. Esta neutralidad desaparece, en cambio, cuando el sujeto conoce que su conducta se inserta en un plan delictivo o cuando, por su forma o contexto, sólo puede entenderse como parte funcional del mismo. De ahí que el voto favorable a una contratación formalmente válida pero sustancialmente orientada a facilitar ilícitos pueda constituir participación dolosa si se acredita la conciencia del riesgo. Y es que no será lo mismo aprobar la contratación de un tercero sobre el que existen advertencias relevantes no mitigadas, que hacerlo en ausencia de cualquier indicio de riesgo. Dicha neutralidad desaparecerá, en definitiva, cuando el sujeto conozca que la decisión se inserta en un contexto de riesgo típicamente relevante o contribuye a su realización, integrándose funcionalmente en el hecho. Así ocurrirá, por ejemplo, cuando se aprueben operaciones con anomalías objetivas —comisiones desproporcionadas, ausencia de justificación económica o mercantil, opacidad en la ejecución, etc.— o con alertas internas no resueltas.
La clave radicará, por tanto, en un juicio ex ante sobre el riesgo y el conocimiento disponible, de tal modo no será el acto de votar lo relevante, en estos casos, sino la aportación o contribución consciente al riesgo. Tal exigencia resultará especialmente intensa en delitos dolosos, de hecho, de modo que el riesgo jurídicamente desaprobado no surgirá del mero acto de votar, sino de votar con conocimiento suficiente de que esa decisión incrementa de forma relevante la probabilidad de realización del tipo —un acto de corrupción, según el ejemplo que hemos ido siguiendo en este caso—.
- Voto emitido una vez conformada la mayoría decisoria. Cuando la mayoría necesaria para la adopción del acuerdo ya se ha alcanzado, el voto restante puede carecer de eficacia respecto de la formación formal de la voluntad del órgano, pero todavía puede operar, según el contexto, como manifestación de adhesión, refuerzo de la decisión o aportación a su posterior ejecución. De este modo, su relevancia deberá determinarse atendiendo al significado concreto de esa intervención y no únicamente a su falta de eficacia causal para conformar la mayoría.
- Delegación de voto. La delegación puede constituir una aportación activa cuando el delegante orienta el sentido del voto, transmite instrucciones o utiliza este mecanismo para favorecer la adopción del acuerdo. En cambio, si el reproche consistirá en haberse desentendido de una decisión respecto de la cual subsistía un deber personal e indelegable de actuación, el supuesto deberá examinarse desde la posición de garante.
b) Conductas omisivas y eventual responsabilidad en posición de garante
Un segundo grupo comprende los supuestos en los que no se atribuye al miembro una contribución positiva al acuerdo, sino la omisión de una actuación que, atendidas sus funciones y facultades, se considera jurídica o normativamente exigible. En particular, deberán interpretarse desde la óptica de la garantía: (i) no emitir voto cuando exista un deber específico de pronunciarse; (ii) abstenerse cuando la abstención implique el incumplimiento de una actuación debida; (iii) no asistir a la sesión, especialmente cuando la ausencia sea deliberada o impida ejercer las funciones propias; (iv) no ejercer un derecho o facultad de voto disponible para impedir o dificultar el acuerdo; (v) no formular objeciones, reservas o advertencias frente a un riesgo conocido; (vi) no solicitar información, aclaraciones o la suspensión del proceso decisorio cuando ello forme parte de sus funciones; (vii) no ejercer facultades de veto, bloqueo o suspensión; (viii) no escalar la cuestión al órgano competente o a una instancia superior; (ix) no promover la convocatoria, reconsideración o revisión del acuerdo; (x) no dejar constancia de la oposición cuando dicha constancia sea funcionalmente necesaria para activar otros mecanismos de control; (xi) delegar el voto o la intervención cuando subsista un deber personal e indelegable de actuación; o (xii) no realizar el seguimiento posterior ni activar las medidas correctoras o impeditivas que se encuentren a su alcance.
Una vez más, la enumeración anterior no implica en modo alguno que estas conductas sean merecedoras de imputación penal de forma automática. A través de dicha relación, nos estamos limitando, por el momento, a identificar aquellos potenciales casos en los que, por fundarse el reproche en un no hacer, no resultan suficientes las reglas relativas al dominio del hecho ni la mera pertenencia al órgano. Siendo necesario verificar, además, si existía un deber jurídico específico de actuar respecto del riesgo, que el sujeto disponía de información y facultades reales para intervenir y que concurrían los restantes presupuestos de la comisión por omisión, conforme a los criterios que veremos a continuación.
En conclusión, ninguna de las formas de intervención examinadas —activa u omisiva— constituye por sí sola un título automático de imputación por el mero hecho de producirse en el seno de un órgano colegiado, sino que su relevancia habrá de determinarse a la luz de las circunstancias de cada caso, atendiendo a la concreta aportación del Compliance Officer, a su conocimiento, al significado de su conducta dentro del proceso decisorio y a la relación de ésta con el hecho delictivo. Ello no impide, naturalmente, que determinadas actuaciones positivas —como votar favorablemente, impulsar, validar o dotar de cobertura a una decisión ilícita— puedan fundamentar su responsabilidad penal cuando supongan una contribución consciente y penalmente relevante a la conducta delictiva promovida o ejecutada a través del órgano, de acuerdo con las reglas generales de autoría y participación. En cambio, cuando el reproche descanse en no votar, no asistir, abstenerse o no ejercer facultades de advertencia, escalado, veto o bloqueo, la eventual imputación no podrá derivarse de la mera pasividad, sino que exigirá acreditar una posición de garante propia y los restantes presupuestos de la comisión por omisión, que serán analizados en el apartado siguiente.
3. RESPONSABILIDAD POR OMISIÓN: EL COMPLIANCE OFFICER COMO PRETENDIDO GARANTE DE LA ORGANIZACIÓN
3.1. Hacia una concepción restrictiva de la responsabilidad penal del Compliance Officer
Este grupo de supuestos a analizar a continuación es bien distinto, pues aquí nos encontramos ante casos en los que el delito será cometido por otra persona o área de la organización y la eventual responsabilidad del Compliance Officer se fundamenta en no haber actuado para evitarlo. La cuestión consistirá, por tanto, y en primer lugar, en determinar si ocupaba una posición de garante respecto del riesgo concreto y, por otro lado, si su omisión podía equipararse jurídicamente a la realización activa del hecho en los términos del artículo 11 CP. Estamos, sin duda, ante casos mucho más difíciles de identificar y analizar, siempre desde una perspectiva ex ante y teniendo en cuenta las particularidades de cada caso.
La posición de garante constituye, por tanto, el presupuesto previo de cualquier responsabilidad por omisión. De hecho, no será suficiente con acreditar si el Compliance Officer pudo haber dificultado el delito, mejorar el sistema o reaccionar de otra manera a como se hizo en un caso concreto, sino que será necesario analizar si existía un deber jurídico específico de actuar respecto de ese riesgo, así como si las funciones efectivamente asumidas le situaban en una posición de protección o control suficiente para exigirle su evitación, más allá de los medios a su disposición para llevar a cabo tal actuación esperada. El reto por tanto, es evidente, y en modo alguno de fácil solución salvo casos muy evidentes y obvios que, por desgracia, difícilmente serán los que nos encontremos en el día a día.
En Derecho penal, es sabido que tanto en la omisión propia como en la impropia, la relevancia de la inactividad depende de si el sujeto ha creado o mantenido un riesgo jurídicamente desaprobado allí donde el ordenamiento le exigía actuar. Si bien el estudio de estas figuras excede con mucho este trabajo, como punto de partida será suficiente recordar aquí que, mientras la omisión propia deriva del incumplimiento de un deber específico previsto en el tipo penal que se consuma sin necesidad del resultado (como ocurre en el paradigmático caso de la omisión del deber de socorro del art. 195 CP), la omisión impropia, por su parte, deriva de la infracción de la posición de garantía del art. 11 CP; esta última, a su vez puede apreciarse, según la literalidad de dicho propio precepto a) cuando exista una específica obligación legal o contractual de actuar, o b) cuando el omitente cree una ocasión de riesgo para el bien jurídicamente protegido mediante una acción u omisión precedente.
En el caso concreto del Compliance Officer, el artículo 31 bis CP constituye un punto de partida organizativo relevante, pero no una fuente automática y suficiente de una posición individual de garante ex art. 11 CP. En efecto, dicho precepto exige que la supervisión del funcionamiento y cumplimiento del modelo se confíe a un órgano de la persona jurídica dotado de poderes autónomos de iniciativa y control, pero no define por sí mismo el alcance penal de los deberes individuales de quienes lo integran ni les atribuye una obligación general de impedir los delitos cometidos en la organización. Consecuentemente, la eventual posición de garante deberá reconstruirse conforme al artículo 11 CP a partir del encargo efectivamente asumido y aceptado, del concreto reparto interno de competencias, de los medios y facultades atribuidos y de la relación funcional con el riesgo típico. Es por ello por lo que deben distinguirse tres planos: el artículo 31 bis CP configura el marco organizativo del modelo y de su supervisión; la normativa interna, el contrato, el nombramiento o la delegación concretan las funciones efectivamente asumidas; y el artículo 11 CP determina si tales funciones alcanzan la intensidad necesaria para fundar una posición penal individual de garante. De este modo, la delegación puede generar deberes funcionales propios del delegado, pero no traslada mecánicamente la totalidad de la eventual posición de garantía del órgano de administración ni extingue los deberes residuales que puedan incumbir a éste.
Precisamente por ello, y como ya se indicó supra, no basta con el nombramiento formal ni con la asignación de una determinada posición jerárquica en el organigrama. Para que pueda siquiera plantearse una imputación penal es imprescindible verificar la concurrencia de, cuando menos, otros dos elementos previos: (i) una capacidad efectiva de influencia sobre el curso de los acontecimientos, pues el Derecho penal no sanciona posiciones meramente formales o nominales, sino ámbitos reales de dominio o control del riesgo; y (ii) competencias y conocimientos específicos sobre la materia vinculada al delito de que se trate —medioambiente, fiscalidad, fraude, blanqueo de capitales, seguridad, etc.—. Así es, la posición de garante tampoco puede presumirse de manera abstracta o global. Resulta ilusorio atribuir a una sola persona, o incluso a un reducido órgano colegiado, la responsabilidad por omisión respecto de la totalidad de las conductas potencialmente ilícitas cometidas en una gran organización. Motivo por el cual, deberá atenderse siempre al ámbito concreto de riesgo asumido, a las facultades atribuidas y a los medios disponibles para su supervisión.
A todo lo anterior, debemos de añadir, incluso, un tercer escollo adicional, derivado del distinto grado de implicación del Compliance Officer en la supervisión de los riesgos penales. En materias de elevada especialización técnica, como el medioambiente o la fiscalidad, la gestión inmediata del riesgo suele corresponder a áreas especializadas que disponen de los conocimientos y medios necesarios para controlar la fuente de peligro —más arriba pusimos un ejemplo de eventual responsabilidad del responsable de cumplimiento en un caso de medioambiente, pero ni que decir tiene que, en la mayoría de los casos, se exigirá un nivel de conocimientos verdaderamente altos para poderle atribuir de forma racional la posición de garante—. Del mismo modo, en privacidad y seguridad de la información, las funciones de supervisión suelen distribuirse, al menos en primera instancia, entre el Data Protection Officer, el Chief Information Security Officer y las áreas operativas competentes. Por el contrario, en ámbitos como la prevención de la corrupción o del blanqueo de capitales, determinadas funciones de supervisión pueden quedar atribuidas con mayor intensidad al Compliance Officer. Esta diversidad confirma que su posición no puede definirse de forma abstracta, sino a partir del concreto reparto organizativo de competencias y de su relación funcional con cada riesgo.
Por ello, la eventual posición de garante del Compliance Officer no puede deducirse directamente del artículo 31 bis CP ni proyectarse sobre la totalidad de la actividad empresarial. Deberá referirse a aquellos focos de riesgo que le hayan sido específicamente asignados mediante el encargo aceptado, la normativa interna y la estructura organizativa, y en los que además dicha persona se encuentre capacitada para el ejercicio efectivo de las tareas de supervisión encomendadas. Y sólo cuando las funciones concretamente asumidas satisfagan los presupuestos del artículo 11 CP, podrá afirmarse la existencia de un deber jurídico específico de actuar. Por el contrario, en ausencia de medios o conocimientos adecuados, acceso relevante a la información o capacidad real de intervención, la imputación penal deberá situarse en los niveles de la organización en los que efectivamente radique el control del riesgo.
La delimitación de la posición de garante en el seno de estructuras empresariales complejas exige, por ello, abandonar cualquier concepción monolítica o indiferenciada del deber de vigilancia y avanzar hacia una comprensión funcional y graduada del dominio del riesgo. En este contexto, resulta particularmente útil tomar como punto de partida, en atención a los distintos niveles de vinculación respecto de la fuente de peligro, entre lo que la doctrina más autorizada ha venido a denominar garantes primarios y garantes complementarios, distinción que no introduce una jerarquía artificial de responsabilidades, sino que permite identificar con mayor precisión los distintos títulos de imputación penal que pueden surgir en el seno de la organización. De este modo, son garantes primarios aquellos sujetos a quienes corresponde la gestión inmediata del riesgo y que, por ello, ostentan un dominio funcional directo sobre su generación, desarrollo o contención. Son quienes adoptan las decisiones operativas o estratégicas que constituyen el presupuesto fáctico del eventual ilícito y que, precisamente por ello, se encuentran en una posición privilegiada tanto para crear el riesgo típico como para evitar su materialización. Tal condición no depende necesariamente del nivel jerárquico ocupado dentro de la organización, sino de la concreta relación funcional existente entre el sujeto y la fuente de peligro. Por ello, la posición de garante primario recaerá normalmente sobre aquellos responsables a cuya esfera competencial pertenezca el riesgo de que se trate, ya sea por desarrollar directamente la actividad generadora del mismo o por ejercer competencias decisorias inmediatas sobre ella. Sería el caso, v. gr., de la Dirección fiscal en el caso del diseño y ejecución de las políticas fiscales de la organización —que terminan en el cálculo y liquidación de tasas e impuestos—; de las áreas comerciales que, en su caso, llevan a cabo actos promocionales para la mejor venta de sus productos; o de las ya comentadas áreas medioambientales en su ámbito de responsabilidad, por poner algunos ejemplos.
La distinción entre garante primario y garante complementario descansa, precisamente, sobre la autonomía de los respectivos deberes de actuación. Por ello, la responsabilidad del segundo no puede deducirse automáticamente de la del primero ni viceversa. Cada uno responde dentro de la esfera competencial que le es propia y en función de los concretos deberes que le incumbían respecto del riesgo. La mera existencia de mecanismos de supervisión o control no altera la titularidad originaria de la fuente de peligro ni convierte al supervisor en corresponsable de toda infracción cometida por quien ostenta su gestión inmediata. Sólo cuando concurran los específicos presupuestos que fundamentan su propia posición de garantía podrá afirmarse una responsabilidad autónoma del garante complementario.
Por otro lado, la atribución al Compliance Officer de una competencia decisoria concreta no lo convierte automáticamente en garante primario. Cuando participa, informa, recomienda o supervisa una decisión adoptada por otra área, su posición seguirá siendo, en su caso, complementaria. Sólo podrá hablarse de gestión inmediata de la fuente de peligro cuando la decisión sobre su creación o continuidad quede realmente incorporada a su propia esfera competencial. Sin embargo, fuera de estos supuestos, su posición será, por regla general y siempre que concurran los presupuestos necesarios, la de garante complementario. Ello obedece a que los riesgos de corrupción, medioambientales, fiscales, laborales, de protección de datos o de cualquier otra naturaleza suelen originarse y gestionarse inicialmente en áreas operativas o funciones especializadas distintas de compliance, cuyos responsables mantienen una relación inmediata con la fuente de peligro. El papel del Compliance Officer consiste entonces, no en ejecutar o autorizar las actividades generadoras del riesgo, sino en ejercer las funciones de prevención, detección y reacción que le hayan sido concretamente atribuidas dentro del modelo. Su eventual deber de garante no se proyecta sobre cada decisión individual adoptada en el seno de la organización ni sobre la eficacia global del sistema, sino sobre aquellos focos de riesgo y actuaciones respecto de los cuales haya asumido una función específica de supervisión. Por ello, la mera materialización del riesgo no permite fundamentar automáticamente su responsabilidad, que exige la concurrencia de los presupuestos adicionales de imputación desarrollados a continuación.
Así, la posibilidad de atribuir responsabilidad penal al Compliance Officer por omisión debiera ser excepcional. En primera instancia, la gestión inmediata del riesgo corresponde normalmente a las áreas y responsables directamente vinculados con la actividad generadora del peligro. Y respecto del Compliance Officer, será posible únicamente previa acreditación de una posición de garantía propia sobre el riesgo concreto.
3.2. Presupuestos y supuestos de la responsabilidad por omisión del Compliance Officer
Afirmada la posibilidad de apreciar una posible posición de garante —si bien no en todo caso, según acabamos de ver—, una eventual responsabilidad por omisión debería exigir comprobar, de forma cumulativa, la acreditación de cinco elementos: (i) que el riesgo concreto se encuentre dentro del ámbito de supervisión efectivamente asumido; (ii) que el Compliance Officer disponga de información y conocimientos suficientes sobre su existencia o inminencia; (iii) que cuente con facultades reales y efectivas para intervenir; (iv) que la actuación omitida fuera objetivamente idónea para evitar el resultado, directamente o mediante la activación de los mecanismos organizativos correspondientes; y (v) que el resultado finalmente producido perteneciera al ámbito de protección del deber de garantía infringido. Obviamente, la concurrencia de todos estos requisitos deberá valorarse desde una perspectiva ex ante, atendiendo a las circunstancias conocidas o cognoscibles en el momento en que correspondía actuar y evitando que el resultado finalmente producido condicione retrospectivamente el juicio de imputación.
Dentro de este análisis conjunto, especialmente relevante resulta el cuarto requisito que incorpora específicamente un juicio hipotético de comportamiento alternativo conforme a Derecho, debiendo determinarse si la conducta concreta exigible era objetivamente apta para evitar el resultado. Así, la mera capacidad para dificultar genéricamente la comisión del delito, mejorar el sistema o reducir riesgos futuros no satisfará, por sí sola, la exigencia de equivalencia del artículo 11 CP; motivo por el cual, si, aun actuando correctamente, el resultado se hubiera producido del mismo modo, la omisión será penalmente irrelevante. Por su parte, el quinto requisito, responde a una cuestión distinta, ya que exige comprobar que el resultado producido sea precisamente uno de aquellos que el deber de garantía infringido estaba llamado a evitar. No bastará, por tanto, con que el Compliance Officer hubiera podido desplegar alguna actuación potencialmente útil; es necesario, además, que el riesgo materializado pertenezca al ámbito de protección del concreto deber incumplido.
Sólo una vez acreditados los referidos presupuestos procederá determinar la concreta forma de intervención imputable al omitente ya sea en concepto de autoría en comisión por omisión, cooperación necesaria o complicidad. Distinciones todas ellas determinantes desde la perspectiva del principio de culpabilidad, en la medida en que, conforme a la doctrina consolidada del Tribunal Supremo, la calificación dependerá del grado de relevancia de la aportación para la ejecución del delito y, en particular, de su incidencia en el incremento del nivel de riesgo típicamente relevante. De tal modo que, sólo cuando la omisión del garante suponga una contribución esencial a la creación o intensificación del riesgo prohibido cabrá plantear su imputación como cooperación necesaria; en los restantes supuestos, y aun concurriendo conocimiento del riesgo, la conducta quedará, en su caso, relegada al ámbito de la complicidad o, más frecuentemente, fuera del reproche penal.
Sentadas estas premisas, resulta útil concretar algunos escenarios en los que, excepcionalmente, las funciones atribuidas al Compliance Officer puedan situarlo en una posición de garantía respecto del riesgo. En este sentido, la calificación no dependerá de la denominación formal de la competencia ni de su mera participación en el procedimiento, sino de si ha asumido una facultad autónoma y efectiva de gestión inmediata o, cuando su posición sea complementaria, un deber específico de activar mecanismos organizativos aptos para impedir el resultado.
- a) Entre los supuestos de posible garantía primaria se encuentran, en primer lugar, la integración formal en órganos decisorios dotada de un verdadero poder de veto. La mera pertenencia a un comité de compras, inversiones o contratación internacional, o el carácter preceptivo del informe de cumplimiento, no bastan. Será necesario que el Compliance Officer disponga de una competencia autónoma y propia para excluir la operación por el riesgo concreto sometido a su control, sin que el ejercicio de esa facultad dependa de una ulterior decisión discrecional del negocio. Cuando sólo pueda valorar, objetar o elevar la cuestión para que otro órgano decida, su posición seguirá siendo, en su caso, complementaria.
Una situación semejante puede producirse cuando la normativa interna somete determinadas operaciones sensibles —como regalos, donaciones, patrocinios o contribuciones políticas— a la autorización obligatoria y final del Compliance Officer. Si éste aprueba positivamente y con conocimiento una operación ilícita, su eventual responsabilidad se fundará, en principio, en una conducta activa propia. Si el reproche consiste en no ejercer la facultad de bloqueo o veto, sólo cabrá apreciar una posición de garante primario cuando su autorización constituya la decisión perceptiva y definitiva sobre la continuidad de la operación, y exprese una verdadera asunción de la gestión inmediata del riesgo, no un mero control de segunda línea.
También podría concurrir una posición primaria en la gestión directa del canal de denuncias cuando, además de recibir, investigar o tramitar la comunicación, el Compliance Officer tenga atribuida con autonomía la facultad propia de suspender una operación todavía no ejecutada o adoptar otra medida impeditiva inmediata. La mera investigación no desplaza hacia él la gestión del riesgo denunciado, que normalmente seguirá radicada en el área operativa competente. Si únicamente puede recomendar la medida cautelar o elevarla al órgano facultado para adoptarla, su eventual posición continuará siendo complementaria.
Finalmente, puede operar como garante primario cuando asuma una auténtica función de gatekeeper en las relaciones con terceros y le corresponda la decisión definitiva sobre la admisión de proveedores, agentes o joint ventures tras el proceso de diligencia debida. Sólo entonces la introducción del tercero en la esfera organizativa queda sometida a su gestión inmediata. Por el contrario, si su intervención consiste en identificar alertas, evaluar el riesgo o formular una recomendación que el negocio u otro órgano puede aceptar o rechazar, seguirá actuando como mero asesor, sin posibilidad de ser considerado garante per se.
- b) Fuera de estos casos, la posición del Compliance Officer será normalmente complementaria. Adquirirán entonces especial relevancia las omisiones ya identificadas respecto de los órganos colegiados: no votar cuando exista un deber específico de pronunciarse; abstenerse o no asistir con la finalidad de eludir una intervención debida; no formular objeciones o advertencias frente a un riesgo conocido; no solicitar información o la suspensión del proceso decisorio; no ejercer facultades de veto, bloqueo o suspensión atribuidas; no escalar la cuestión al órgano competente; no promover la reconsideración del acuerdo; o no realizar el seguimiento posterior ni activar las medidas correctoras disponibles. Y ninguna de estas conductas debiera ser considerada típica por sí sola. Su eventual relevancia dependerá de que la actuación omitida estuviera comprendida, además, en un deber propio, de disponer de información suficiente y de haber activado —pudiendo hacerlo— mecanismos concretos objetivamente aptos para impedir el resultado.
- c) En cuanto a las funciones de diseño y mantenimiento del sistema, sólo de forma excepcional podrá proyectarse una posición de garantía penalmente relevante. No basta con constatar, a la vista del delito ya cometido, que el modelo podría identificado de forma más efectiva el riesgo o haber incorporado controles adicionales, alertas más sensibles o una calibración distinta. El Derecho penal no permite convertir cualquier diferencia entre el sistema existente y otro hipotéticamente más eficaz en una infracción del deber de garantía. Será necesario que la deficiencia responda a una omisión grave y concreta respecto de un riesgo típico conocido o cognoscible, que haya contribuido de forma clara a la materialización del delito y que la medida omitida estuviera comprendida en las funciones efectivamente asumidas y fuera objetivamente idónea para evitar el resultado. Así, podrán adquirir relevancia la decisión consciente de mantener criterios de segmentación o alerta que excluyen sistemáticamente operaciones concretas de blanqueo; la falta consciente de adaptación de controles ante una nueva operativa que se sabe utilizada para introducir fondos de origen delictivo; o la inacción frente a alertas claras y reiteradas cuando el Compliance Officer dispone de capacidad para investigar, someter la operación a examen especial, escalarla o activar su bloqueo. En definitiva, el reproche no podrá recaer sobre una deficiencia abstracta del modelo, sino sobre la omisión de una actuación concreta frente a un riesgo típico comprendido en la esfera funcional asumida.
- d) Finalmente, aspectos de menor transcendencia, como la ausencia de formación específica, la impartición de acciones formativas genéricas, una deficiente calibración no vinculada a operaciones conocidas o la mera ineficacia pedagógica del sistema de compliance, aun cuando sean reprochables desde una perspectiva organizativa, no deberían permitir por sí solas afirmar responsabilidad penal individual.
En conclusión, la diversidad de funciones y responsabilidades que puede asumir el Compliance Officer impide atribuir un significado penal uniforme a cualquier inacción o ejercicio inadecuado de sus competencias. El mero desempeño de tareas de investigación, información, asesoramiento, advertencia o escalado no determina, por sí solo, una posición de garante respecto de los delitos cometidos en la organización, ni convierte toda deficiencia funcional en un título de imputación. Sólo cabrá fundamentar una responsabilidad conforme al artículo 11 CP cuando, en supuestos como los expuestos, el Compliance Officer haya asumido una función primaria de gestión inmediata del riesgo o, de forma mucho más excepcional, ocupe una posición complementaria dotada de un deber propio, específico y efectivo de actuación. Ahora bien, en ambos casos será imprescindible que concurran cumulativamente los presupuestos anteriormente señalados: que el riesgo se integre en el ámbito funcional asumido, que disponga de información suficiente y de facultades reales para intervenir, que la conducta omitida sea objetivamente idónea para evitar el resultado y que éste pertenezca al ámbito de protección del deber infringido. Fuera de estos supuestos, la mera posibilidad de haber investigado mejor, informado antes, asesorado de otro modo o escalado con mayor intensidad podrá revelar, en su caso, una deficiencia organizativa o profesional, pero no bastará para construir una responsabilidad penal por comisión por omisión.
3.3. De la necesaria consideración del elemento subjetivo en una eventual atribución de responsabilidad al Compliance Officer
Como complemento de lo anterior, debe tenerse muy en cuenta el carácter estrictamente doloso de la mayoría de los tipos penales que pueden dar lugar a responsabilidad de la persona jurídica. La posición de garante y los presupuestos del artículo 11 CP resuelven únicamente la dimensión objetiva de la imputación, pero no permiten, per se, atribuir al Compliance Officer un delito doloso cometido en la organización. Será necesario acreditar además el elemento subjetivo exigido por el concreto tipo penal, ya sea en forma de dolo directo o, cuando resulte admisible y de forma más excepcional, de dolo eventual, quedando excluida cualquier imputación encubierta basada en la mera infracción del deber de cuidado.
De este modo, en los supuestos en los que la omisión se califique como cooperación necesaria o complicidad, resulta especialmente útil la doctrina jurisprudencial del denominado doble dolo, referida al conocimiento del hecho principal y al carácter favorecedor de la propia contribución. Esta construcción, aunque no haya sido elaborada específicamente para la posición de garante del responsable de cumplimiento, expresa una exigencia subjetiva plenamente trasladable a las formas de participación omisiva. Por su parte, cuando la imputación se formule como autoría en comisión por omisión, deberá acreditarse con mayor precisión del dolo del omitente, comprensivo del conocimiento de la situación típica, de las circunstancias que activaban su deber y de la posibilidad real de actuar.
En efecto, cuando hablamos de delitos imprudentes, la responsabilidad por omisión sí puede afirmarse cuando el omitente, por no emplear el cuidado debido, no llega a conocer la situación de hecho que activaba su deber de actuar, o cuando, aun conociéndola, intenta evitar el resultado de forma descuidada o manifiestamente inadecuada. Así lo ha señalado reiteradamente el Tribunal Supremo al afirmar que existe culpa omisiva cuando el garante “no consiguió impedir el resultado por la forma descuidada o inadecuada en la que intentó cumplir el deber que le incumbía”. Este esquema resulta compatible, por ejemplo, con ámbitos como la prevención del blanqueo de capitales, en los que el legislador admite expresamente la punición de conductas imprudentes basadas en déficits graves de diligencia.
Sin embargo, tal construcción no es trasladable sin más a los delitos dolosos, cuya estructura típica excluye toda forma de imputación imprudente. Para afirmar la responsabilidad dolosa del Compliance Officer por omisión deberá acreditarse, de forma suficientemente individualizada, que: (i) conocía suficientemente el hecho delictivo principal o, al menos, el riesgo típico concreto de su realización; (ii) conocía las circunstancias que activaban su deber y su posibilidad real de actuar; y, pese a ello (iii) decidió omitir la conducta debida, queriendo favorecer el hecho o aceptando conscientemente su realización. Será necesario por tanto disponer de una representación concreta del significado delictivo de la conducta en curso y de la función impeditiva de la actuación que le incumbía. No en vano, como ha señalado el Tribunal Supremo, la participación omisiva en delitos dolosos exige que el omitente “conozca la posibilidad de actuar conforme a su posición y, aun así, omita la conducta exigible, contribuyendo de forma relevante al resultado”.
Precisamente por este motivo, la ineficacia del sistema de compliance, incluso cuando sea grave, no puede confundirse con dolo eventual. La jurisprudencia ha sido constante al exigir que este último se base en la aceptación consciente del resultado típico, y no en la mera previsibilidad abstracta del riesgo o en una confianza infundada en que el resultado no se producirá. La frontera entre dolo eventual y culpa consciente no se traspasa por la simple pasividad o por una vigilancia deficiente, sino únicamente cuando el sujeto, representándose seriamente la probabilidad de realización del delito, asume dicho resultado como posible y actúa —u omite— pese a ello.
Sólo en este marco cabría plantear, de forma excepcional, la apreciación de dolo en la conducta omisiva del Compliance Officer. Así, por ejemplo, cuando éste, teniendo conocimiento concreto y actual de que un directivo está utilizando intermediarios para canalizar pagos corruptos en una licitación pública, decide conscientemente no activar los mecanismos de control o bloqueo a su alcance con el fin de no interferir en la operación. Del mismo modo, podría afirmarse el dolo cuando el Compliance Officer, con capacidad efectiva para suspender pagos o vetar a determinados terceros, tolera deliberadamente la continuidad de una relación contractual respecto de la cual conoce la existencia de sobornos sistemáticos, asumiendo el riesgo de que el delito se consume como consecuencia directa de su inacción.
Fuera de estos supuestos —caracterizados por el conocimiento concreto del riesgo típico y la aceptación consciente del resultado—, la conducta del Compliance Officer no puede superar el umbral de la mera imprudencia organizativa o de la infracción del deber de cuidado. Cuando el concreto tipo penal no admita la modalidad imprudente, cualquier intento de fundamentar la imputación penal sobre la base de una diligencia ineficaz, de una supervisión defectuosa o de una reacción tardía supondría introducir de forma encubierta una responsabilidad imprudente allí donde se exige, de manera inequívoca, dolo.
4. CONCLUSIONES
El análisis desarrollado permite concluir:
- La responsabilidad penal del Compliance Officer no deriva de su cargo, de su integración en la función de cumplimiento ni del fracaso del modelo de prevención. Su eventual imputación puede construirse por dos vías distintas. La primera comprende los actos propios y las formas de intervención activa en hechos ajenos, incluidas las aportaciones realizadas en órganos colegiados; en estos casos resultan aplicables las reglas generales de autoría y participación, atendiendo a la concreta contribución, al dominio del hecho o al carácter favorecedor de la conducta. La segunda se refiere a los delitos cometidos por otra persona o área de la organización que el Compliance Officer no evita; sólo aquí entran en juego la posición de garante y los presupuestos del artículo 11 CP.
- El artículo 31 bis CP configura el marco organizativo de la supervisión del modelo, pero no constituye por sí solo una fuente automática de una posición individual de garante. Ésta deberá reconstruirse conforme al artículo 11 CP a partir del encargo efectivamente asumido y aceptado, del reparto real de competencias, de los medios y facultades atribuidos y de la relación funcional con el riesgo típico. El Compliance Officer no es, por tanto, garante universal de todos los delitos cometidos en la empresa, ni la mera realización de tareas de investigación, información, asesoramiento, advertencia o escalado determina per se un deber penal de impedirlos.
- La distinción entre garante primario y garante complementario permite identificar quién gestiona de forma inmediata la fuente de peligro y quién ejerce funciones específicas de supervisión o activación de mecanismos de control. Entre ambos no existe corresponsabilidad automática: cada sujeto responde dentro de su propia esfera competencial. El Compliance Officer sólo podrá ocupar una posición primaria cuando haya asumido una facultad autónoma y definitiva sobre la creación o continuidad del riesgo —como un verdadero poder de autorización final—. Fuera de tales supuestos, su eventual posición será normalmente complementaria y exigirá, en todo caso, un deber propio, específico y efectivo de actuación. Ahora bien, esta clasificación no permite presumir que el Compliance Officer incurra en responsabilidad penal en todo caso, sino que obliga a comprobar si las funciones efectivamente asumidas alcanzan la intensidad exigida por el artículo 11 CP. Su consideración como garante primario será excepcional, pues requerirá que haya asumido una verdadera capacidad autónoma y definitiva de decisión sobre la creación o continuidad del riesgo, desplazando hacia su esfera la gestión inmediata de la fuente de peligro. Más difícil aún será fundamentar su condición de garante complementario: las facultades de supervisión, advertencia o escalado no bastan por sí solas, sino que deberá acreditarse un deber propio y específico de actuación, referido al riesgo concreto y acompañado de medios y facultades efectivas para impedir el resultado mediante la activación de los mecanismos organizativos correspondientes.
- La responsabilidad omisiva exige comprobar, por tanto y desde una perspectiva ex ante, que el riesgo concreto se encontraba dentro del ámbito funcional efectivamente asumido; que el Compliance Officer disponía de información suficiente sobre su existencia o inminencia; que contaba con facultades reales y efectivas para intervenir; que la actuación omitida era objetivamente idónea para evitar el resultado, directamente o mediante la activación de mecanismos organizativos concretos; y que el resultado producido pertenecía al ámbito de protección del deber infringido. Si el resultado se hubiera producido igualmente actuando conforme a Derecho, o si el riesgo materializado era ajeno al deber asumido, la omisión será penalmente irrelevante.
- La intervención en órganos colegiados tampoco posee un significado penal predeterminado. Las aportaciones positivas —como votar favorablemente, impulsar, validar o dotar de cobertura a una decisión ilícita— podrán fundamentar responsabilidad cuando constituyan una contribución consciente y penalmente relevante conforme a las reglas de autoría o participación. En cambio, la abstención, la inasistencia, la falta de voto o la omisión de facultades de advertencia, información, escalado, veto, bloqueo o seguimiento sólo adquirirán relevancia desde la óptica de la garantía. Acreditados sus presupuestos, la concreta forma de intervención podrá calificarse, según la entidad funcional de la omisión, como autoría en comisión por omisión, cooperación necesaria o complicidad.
- Especial cautela merecen las funciones de diseño y mantenimiento del modelo. La constatación retrospectiva de que pudieron implantarse más controles, alertas más sensibles o una calibración diferente no permite construir responsabilidad penal. La mera ineficacia del sistema, una formación insuficiente, una deficiente calibración abstracta o la posibilidad de haber diseñado un modelo hipotéticamente mejor podrán revelar fallos organizativos o profesionales, pero no constituyen por sí solos un título de imputación penal.
- Finalmente, deberá concurrir el elemento subjetivo exigido por el concreto tipo penal. En los delitos dolosos será necesario acreditar que el Compliance Officer conocía suficientemente el hecho delictivo principal o, al menos, el riesgo típico concreto de su realización; que conocía las circunstancias que activaban su deber y su posibilidad real de actuar; y que decidió omitir la conducta debida, queriendo favorecer el hecho o aceptando conscientemente su realización. Cuando el tipo admita la modalidad imprudente, la responsabilidad exigirá una infracción grave del deber de cuidado y los restantes presupuestos objetivos de la comisión por omisión. En suma, la responsabilidad penal del Compliance Officer debe ser excepcional, pero no puede descartarse de antemano: responderá cuando se integre activamente en el hecho conforme a las reglas generales de autoría y participación o cuando, ocupando una verdadera posición de garante, su omisión satisfaga todos los requisitos objetivos y subjetivos de imputación. Fuera de estos supuestos, ni el cargo, ni el fracaso del modelo, ni una expectativa abstracta de vigilancia pueden fundamentar por sí solos responsabilidad penal.
BIBLIOGRAFÍA
Rafael AGUILERA GORDILLO, Manual de compliance penal, Aranzadi, Cizur Menor, 2026.
Enrique BACIGALUPO, Compliance y Derecho penal, Aranzadi, Cizur Menor, 2011.
Silvina BACIGALUPO SAGGESE, «Alcance y límites de la posición de garante del órgano de control y supervisión de riesgos penales en el ámbito empresarial», en La imputación y la defensa de la persona jurídica, Aranzadi, Cizur Menor, 2017.
Miguel BAJO FERNÁNDEZ y Silvina BACIGALUPO SAGGESE, Derecho penal económico, Centro de Estudios Ramón Areces, Madrid, 2010.
Bernardo DEL ROSAL BLASCO, Manual de responsabilidad penal y defensa penal corporativas, Wolters Kluwer, Madrid, 2018.
Bernardo DEL ROSAL BLASCO, «Responsabilidad penal de las personas jurídicas: títulos de imputación y requisitos para la exención», en Lorenzo MORILLAS CUEVA (dir.), Estudios sobre el Código Penal reformado (Leyes Orgánicas 1/2015 y 2/2015), Dykinson, Madrid, 2015.
Enrique GIMBERNAT ORDEIG, «Comportamiento alternativo conforme a Derecho y omisión impropia», en Estudios penales y criminológicos, Dykinson, Madrid, 2018.
Alfredo LIÑÁN LAFUENTE, La responsabilidad penal del Compliance Officer, 2.ª ed., Aranzadi, Madrid, 2024.
Raquel MONTANER FERNÁNDEZ, «Compliance», en Jesús-María SILVA SÁNCHEZ (dir.) y Ricardo ROBLES PLANAS (coord.), Lecciones de Derecho penal económico y de la empresa, Atelier, Barcelona, 2020.
Adán NIETO MARTÍN, «Problemas fundamentales del cumplimiento normativo en el Derecho penal», en Lothar KUHLEN, Juan Pablo MONTIEL e Íñigo ORTIZ DE URBINA JIMENO (eds.), Compliance y teoría del Derecho penal, Marcial Pons, Madrid, 2013.
Eduardo PORRES ORTIZ DE URBINA, «La responsabilidad penal de los directivos de empresa», Revista de Jurisprudencia, abril de 2020.
Gonzalo QUINTERO OLIVARES, «La crisis de la configuración individualista de la teoría de la participación. La entrada de entes y grupos», Cuadernos Digitales de Formación, núm. 36, 2009.
Ricardo ROBLES PLANAS, «Imputación del delito a personas físicas», en Jesús-María SILVA SÁNCHEZ (dir.) y Ricardo ROBLES PLANAS (coord.), Lecciones de Derecho penal económico y de la empresa, Atelier, Barcelona, 2020.
Claus ROXIN, Autoría y dominio del hecho en Derecho penal, traducción de Joaquín Cuello Contreras y José Luis Serrano González de Murillo, Marcial Pons, Madrid, 2016.
Jesús-María SILVA SÁNCHEZ, «Apuntes sobre el contexto histórico-dogmático del artículo 11 del Código Penal», La Ley, núm. 4144, 1996.
Jesús-María SILVA SÁNCHEZ, El delito de omisión. Concepto y sistema, 2.ª ed., B de F, Montevideo, 2003.
Jesús-María SILVA SÁNCHEZ, El riesgo permitido en Derecho penal económico, Atelier, Barcelona, 2022.
