Más allá del Compliance: la responsabilidad civil subsidiaria de las Personas Jurídicas

En la época de las tecnologías que nos ha tocado vivir parece que el mercado laboral solo tiene ojos para las ciencias informáticas y los mercados financieros. La gestión, el análisis y almacenamiento de datos, las nuevas opciones de inversión, las criptomonedas, la tecnología blockchain o el desarrollo de la inteligencia artificial son algunos de los principales campos de conocimiento del momento y, por consiguiente, los que más relevancia están adquiriendo en un mundo eminentemente científico-tecnológico: las grandes empresas buscan perfiles que encajen en estos parámetros a cambio de promesas en forma de rascacielos, afterworks a las orillas de la calle Ponzano, desayunos corporativos y mochilas de regalo para todos. Mientras tanto y ante semejante oferta, los estudiantes se deciden cada vez más a cursar carreras técnicas o científicas, claudicando de forma ya sí que irremediable cuando el plan de estudios se presenta en lengua anglosajona y termina con el vocablo bussiness. Un asedio más para quienes nos decantamos por la rama de las humanidades.

Esa sociedad de las ciencias y de las tecnologías es, a ojos del hombre medio, una vorágine del cambio y de la evolución permanente. Resulta casi imposible permanecer actualizado en todo momento a la última noticia financiera, a la nueva versión del software correspondiente o al último logro de una inteligencia artificial aun por regular. En esas, además de aguantar a los ingenieros sermonear sobre lo inteligentes que son y a los candidatos a convertirse en el nuevo lobo de WallStreet explicarnos cómo van a terminar trabajando en Bali y siendo millonarios vendiendo proyectos que ni tan siquiera son capaces de explicar, tenemos – debemos – que defender el doble mérito que las ciencias jurídicas tienen en nuestro mundo y, por descontado, sostener la importancia que sigue y seguirá teniendo el Derecho en nuestra sociedad.

Ya ven ustedes que de vez en cuando uno se levanta con ganas de reivindicar la superioridad jurídica sobre las ingenierías o las ciencias económicas, una superioridad justificada y sustentada en años de historia. El derecho es una de las mayores y más grandes construcciones de la humanidad como realidad comunitaria, responde a una necesidad que solo el ser humano alberga: la de autorregularse individualmente siendo consciente con ello de la relación que mantiene con sus semejantes. Y aquí, aunque muchos no lo crean, las ciencias jurídicas tienen también que acomodarse y actualizarse a los nuevos tiempos con idéntica o superior destreza y adaptabilidad que las ingenierías y los MBA imperantes.

Poniendo fin al sermón al que les estoy sometiendo de forma innecesaria, centraré el tiro para que este articulillo pueda continuar su cauce natural y culminar con su propósito. Ruego que sean capaces de disculpar esta primera parte de digresiones e incongruencias, ya saben ustedes que el primer tercio es el de capote, y en él se recibe el tema a tratar, se miden las distancias y embestidas y se deja alguna perlita antes de adentrarse en faena. Hecho esto, lo suyo comenzar con el tema pertinente que no es otro que el que se recoge en el título de esta página: la responsabilidad civil subsidiaria que nuestro código penal reconoce a las personas jurídicas.

Decíamos que las ciencias jurídicas tienen también la obligación de adaptarse a los nuevos tiempos y como consecuencia de ello están sometidas a un constante cambio que se traduce, sobre todo, en la necesidad de adaptar los textos legislativos y la aplicación del derecho a realidad que, por desconocidas, no estaban reguladas hasta ahora. En ese mundo de los negocios y la tecnología, el plano corporativo y empresarial cobra cada vez mayor importancia en detrimento del individuo. La persona jurídica es el nuevo sujeto de derecho en sustitución de la persona física, por cuanto el hombre participa en sus relaciones comerciales, sociales y políticas cada vez más como colectivo y no tanto como individuo. Así lo ha dictaminado el mercado y el capitalismo, pero es ese otro debate.

Por todo esto, el derecho ha tenido que adaptarse, reinventarse y regular sus procedimientos, sanciones o reproches, adecuándolos a las conductas de las personas jurídicas y la responsabilidad que estas tengan de forma independiente. Ahí está el Derecho de la Empresa, el Derecho de las Nuevas Tecnologías o el Derecho Penal Económico entre una gran lista de sectores jurídicos que ganan importancia y se nos presentan todavía como un sinfín de caminos por explotar. También el derecho, pese a su herencia milenaria, sucumbe a los anglicismos y aquello del Compliance aparece en todos los desayunos jurídicos. En los networkings varios oímos constantemente hablar de sistemas de cumplimiento y modelos de prevención dentro del ámbito de las personas jurídicas, pero, ¿qué es eso?

Si bien la responsabilidad penal de las personas jurídicas está contemplada para aquellos supuesto en los que se cumplan los condicionantes que el artículo 31.bis del Código Penal recoge, se hace necesario matizar que existe la posibilidad de que la persona jurídica quede exenta de dicha responsabilidad siempre y cuando, antes de la comisión del delito, se hubiese adoptado y ejecutado eficazmente un modelo de organización y gestión que resulte adecuado para prevenir delitos o para reducir de forma significativa el riesgo de su comisión. Esto es, el órgano de administración de la persona jurídica debe haber adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyan las medidas de vigilancia y control idóneas para prevenir delitos o para reducir de forma significativa el riesgo de que estos sean cometidos en el seno de la empresa.

Es más, aunque estos extremos no se puedan acreditar de forma clara y fehaciente, la pena a imponer sobre la persona jurídica podría verse atenuada en cierto modo, siempre y cuando se demuestre de forma parcial que se han tomado las medidas de cumplimiento, control y vigilancia pertinentes. Esto explica de forma clara y evidente la creciente popularidad del mencionado Compliance. Sobre los extremos que debe cubrir el sistema de cumplimiento que ha de ser implementado en las empresas a modo de blindaje frente a la posible responsabilidad penal, el propio código los enumera despejando ciertamente las dudas posibles que puedan surgir al respecto.

Así, dichos modelos de organización deberán concretar aquellas actividades que, por la naturaleza de la empresa, cuyo desarrollo y práctica sean susceptibles de la comisión de los delitos que se pretenden prevenir. En segundo término, quedaran fijados los protocolos y pasos a seguir de forma detallada frente a estos, siendo imprescindible la existencia de modelos de gestión de recursos financieros apropiados para la prevención de la actividad delictiva. De igual modo, el legislador hace referencia a lo que comúnmente se conoce como canal de denuncias interno y al papel del compliance, esto es, se impone a las empresas la obligación de informar de los posibles riesgos o incumplimientos, así como determinar qué organismo será el encargado de vigilar todo este proceso. Claro está, de nada sirve un canal de denuncias interno o un sistema de vigilancia si frente a los incumplimientos de las medidas y obligaciones recogidas en el modelo no adopta le persona jurídica una sanción concreta, por lo tanto, también se exige la creación de un sistema disciplinario. Por último, se encarga a la empresa el deber de adaptar su modelo en el transcurso del tiempo y ante las posibles vulneraciones o debilidades que se detecten.

Estas seis exigencias recogidas en el artículo 31 bis. 5 C.P. son el padre nuestro de la responsabilidad penal de las personas jurídicas, por cuanto su efectivo cumplimiento es determinante en lo que a la exención de la misma se refiere, debiéndose satisfacer de forma efectiva la prevención o reducción significativa del riesgo de comisión delictiva en todas aquellas actividades que, por su naturaleza – o no – realice la empresa. Si bien, queda cubierto aquí al ámbito penal de la cuestión, no así la responsabilidad que de la rama civil por la comisión de delitos pueda exigírsele a una persona jurídica, una responsabilidad que, por diferente a la penal, no deja de tener una importancia menor.

Centramos con asertividad preventiva la atención sobre la responsabilidad penal de la persona jurídica y olvidamos, en muchas ocasiones, reparar en la responsabilidad civil subsidiaria que el propio Código Penal reconoce en su artículo 120.3 y que, por descontado, afecta con enorme relevancia al tráfico y la actividad de la empresa, teniendo un impacto jurídico determinante sobre la propia persona jurídica por cuanto se abre la posibilidad a que esta responda civilmente de los delitos cometidos en sus establecimientos, siempre y cuando se cumplan los requisitos previstos.

Así las cosas, reza el apartado tercero del referido artículo del Código Penal que serán responsables civilmente, en defecto de los que lo sean criminalmente, las personas jurídicas «en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que los dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción lo siguiente». Y es aquí, después de hablar de las nuevas tecnologías y de la dictadura del manejo masivo de los datos, cuando cobra precisamente sentido la responsabilidad civil subsidiaria de la persona jurídica, que como indica la STS 106/2020, «se trata de un supuesto cuya vinculación lo es exclusivamente con el delito, y no con su autor», una importancia que se explica frente a la creciente facilidad en la comisión delictiva que los instrumentos informáticos aportan.

En cierto modo, existe una relación aparente entre la responsabilidad civil subsidiaria y la responsabilidad penal en lo que a las medidas a adoptar se refiere, por cuanto en la rama penal hablamos de medidas de supervisión, control, cumplimiento y vigilancia mientras que en la civil nos referimos al deber de cuidado, observancia de prescripciones reglamentarias y desentendimiento en dicha labor. Si bien, para el primer caso la actividad preventiva se proyecta de forma corporativa sin perjuicio de que exista un órgano determinado encargado del concreto ejercicio de supervisión, para la segunda el deber exigido corresponde a los trabajadores que se encuentren en el establecimiento concreto en que se produce la actividad delictiva. En el mismo sentido, ambas responsabilidades se diferencian en el preciso momento en que una nace de la otra, teniendo presente que hablamos de derecho civil resarcitorio de los perjuicios derivados de la infracción penal cometida.

Parece evidente que, en ocasiones, la actividad delictiva puede llevarse a cabo con independencia de que la empresa haya adoptado las medidas de seguridad adecuadas, más cuando los procesos informáticos intervienen en las actividades que se desarrollan en los locales de las empresas. No obstante, conviene recordar aquí que correspondería a la empresa la carga de acreditar la existencia de las medidas de seguridad requeridas, así como su adecuado cumplimiento. Para recalcar la importancia que atañe la defensa de las personas jurídicas en este tipo de procedimientos, el propio Tribunal Supremo establece que, si bien es necesario demostrar una relación entre la infracción cometida por los trabajadores de la empresa en sus deberes reglamentarios y el daño causado, no es esta una relación causal al uso, sino que hablamos de «una relación simplemente adecuada, de manera que el resultado se vea propiciado por ella».

La posibilidad de que la parte dañada por el delito exija la responsabilidad civil subsidiaria a una persona jurídica implica, siempre que se cumplan los presupuestos del artículo 120.3 del Código Penal, que la entidad sea llamada al correspondiente procedimiento judicial en el que se tratará de determinar si ciertamente se produjeron las infracciones de los reglamentos de policía, correspondiéndole entonces a la persona jurídica el deber de practicar y proponer las pruebas tendentes a exonerar su responsabilidad civil subsidiaria, una responsabilidad que se exige habitualmente cuando de lo que hablamos es de delitos económicos – por ejemplo, el delito de estafa – por cuanto el afectado procura, en toda forma, asegurar al máximo de lo que le sea posible el resarcimiento del perjuicio económico causado.