1. Introducción

Nada descubro al recordar que el sistema de responsabilidad penal de la persona jurídica adoptado en la Ley Orgánica 1/2015 es tributario del modelo italiano2 regulado en el Decreto Legislativo n.º 231 de 8 de junio de 20013. Es cierto que este modelo regula una responsabilidad de tipo administrativo de la persona jurídica, anudada a un ilícito penal y que España optó por una derivación más extrema del sistema, que pretende dotar a la persona jurídica de una responsabilidad penal propia. No obstante, ambos modelos tienden a converger, pues el italiano ha transitado hacia una vía que de facto se asemeja a una responsabilidad “cuasi penal4” y el español hacia la natural relajación del modelo penal clásico, hacía una subespecie que aún se está definiendo.

El problema que provoca copiar ―de manera casi literal5― la regulación de otro país en una materia concreta es que se importan términos y conceptos, que fueron el fruto en ese país de una reflexión y debate académico y legislativo para adaptarse a su propia idiosincrasia, a otro ecosistema jurídico sin llevar a cabo un estudio de las acepciones y consecuencias de estos6. En este caso concreto nos encontramos que en el artículo 31 bis. 2 CP se adoptan términos tales como “elusión fraudulenta” o “poderes autónomos de iniciativa y control” que provienen del modelo italiano y atienden a una finalidad concreta del sistema adoptado, que no puede ser directamente exportable al sistema español sin ser reinterpretados. Pero para ello es necesario saber qué y por qué se reinterpreta.

En este artículo se analizará una sentencia de la sección sexta de la Corte Suprema di Cassazione7 italiana sobre el caso Impregilo S.p.a, que se ha convertido en un referente en la doctrina italiana. Varias de las interpretaciones que hace la Corte de Casación sobre el modelo culposo de responsabilidad de la empresa, la idoneidad de un modelo organizativo, la autonomía e independencia del órgano de vigilancia y los requisitos de la elusión fraudulenta, son extrapolables al sistema español. Ello servirá para ampliar determinados ámbitos de interpretación que afectan a la regulación de la responsabilidad penal de la persona jurídica y comparar cánones valorativos de la Corte Suprema de Casación italiana con la expuesta por la Sala Segunda del Tribunal Supremo español sobre aspectos confluyentes.

2. El caso Impregilo S.p.a

¿Puede suceder que un delito sea cometido por los máximos responsables de una empresa (los apicales, según terminología italiana), en nombre y por cuenta de la persona jurídica y en su beneficio directo, y que a pesar de ello la persona jurídica resulte absuelta? La respuesta es que teóricamente sí, pero que en la práctica resultaría casi imposible. Estamos hartos de oírlo y leerlo. Si el delito lo ha cometido el máximo responsable de la empresa ¿cómo se podrá probar que el sistema preventivo de compliance penal era idóneo? Si el órgano que debe promover la cultura de cumplimiento es el que precisamente delinque, se puede llegar a la conclusión de que todo el modelo de prevención estaba construido sobre un espejismo8. Pero ello no tiene por qué ser siempre así.

Esta es la primera lección del caso Impregilo, donde el delito de manipulación de mercado ―publicación de información económico financiera falseada con la intención de alterar el precio de la acción cotizada― lo cometieron el consejero delegado y el presidente del consejo de administración de la empresa, pero la persona jurídica finalmente fue absuelta de la infracción administrativa derivada del delito de manipulación del mercado9.

Los hechos se circunscriben a la emisión de información falseada al mercado, por parte de las personas que tenían más poder en la empresa ―presidente del consejo de administración y consejero delegado (los superapicales)―, incumpliendo (eludiendo fraudulentamente) las propias medidas de control que existían en la empresa para intentar evitar que ello sucediese. A continuación se resumirá sucintamente el iter procesal de este caso, pues se articula en dos etapas. Una primera etapa en la que la empresa es absuelta en el juzgado de primera instancia de Milán, así como en la segunda instancia del Tribunal de Apelación de Milán. El Ministerio Fiscal recurrió en casación y dio origen a la primera sentencia de la Corte de Casación, donde considera que existen circunstancias que no se tuvieron debidamente en cuenta respecto a la posible responsabilidad de la empresa y ordena al Tribunal de Apelación de Milán que reevalúe determinados aspectos; La segunda etapa se concreta en la segunda sentencia del Tribunal de Apelación de Milán ―que vuelve a confirmar la absolución de la persona jurídica― y la segunda sentencia de la Corte de Casación, que en esta ocasión ratificó la absolución.

Primera etapa:

Segunda etapa:

A continuación se analizarán las aportaciones más reseñables de la sentencia de la Corte de Casación conocida como Impregilo bis.

3. La “culpa organizativa”: criterio de valoración sobre la idoneidad del modelo para prevenir el delito en concreto

La sección sexta de la Corte de Casación adopta en la sentencia la estructura del delito culposo para aplicarlo a lo que denomina “colpa di organizzazione dell´ente”, traspasando los conceptos de riesgo permitido, imputación objetiva del resultado y el canon del comportamiento alternativo conforme a Derecho al campo de la responsabilidad administrativa (cuasi penal) de la persona jurídica.

El modelo de organización y supervisión constituye uno de los elementos que contribuyen a determinar la existencia o inexistencia de la culpa de la organización. A la hora de valorarlo, se ha de partir de la premisa –según la Corte de Casación– de que la comisión de un hecho delictivo por una persona física, si bien es un criterio necesario previo a la imputación a la persona jurídica, carece de relevancia a la hora de valorar la idoneidad del modelo, pues la comisión de un delito no equivale a probar que el modelo era inadecuado15.

La Corte adopta una concepción normativa de la culpa del ente16, concretando que el organismo será responsable si no ha adoptado una organización adecuada para prevenir la comisión del hecho delictivo, al omitir las reglas cautelares que deben guiarla.

Pero la sentencia no se queda ahí, sino que da un paso más, al establecer la necesidad de que la valoración del modelo se encuentre anudada a la imputación del resultado culpable, poniendo el foco en el concreto riesgo que provocó el resultado, y en las medidas precautorias que se adoptaron ex ante17. Así, para que pueda concluirse que existe responsabilidad culposa de la persona jurídica será necesario que el resultado se corresponda precisamente con el peligro que la norma cautelar infringida pretendía evitar, por lo que ha de existir una correspondencia causal entre la violación de la norma y la producción del resultado18.

Tal y como resume NISCO, la sentencia Impregilo bis establece que la deficiencia organizativa solo puede justificar la responsabilidad de la entidad si se puede demostrar su eficacia causal respecto del delito subyacente19. Ello exige al juez que valore, no solo el modelo en abstracto, sino también en concreto, lo que implica que este deba situarse en un momento anterior a la ejecución del delito y verificar si la medida fue adecuada para evitar su comisión, al momento de la ejecución del hecho, o si existía otra medida plausible –adoptada por otras empresas que aplicasen similares modelos de prevención según las mejores prácticas20– que de haberse adoptado hubiese impedido la comisión del delito por la persona física (método valorativo del pronóstico póstumo).

Para completar el proceso de valoración, la Corte de Casación acude al canon del “comportamiento alternativo conforme a Derecho” para concluir la inexistencia de la culpa organizativa si el hecho realizado que incumplió la norma de prevención hubiese sido inevitable, aun aplicando esta. Es decir, en la hipótesis de que aún en la observancia de la norma de precaución, en lugar de la conducta no observada, no se habría eliminado o reducido el peligro derivado de la actividad.

Sobre ello, permítaseme utilizar un ejemplo adaptado al ámbito de los riesgos asociados a la actividad empresarial:

Ej.: en una empresa se encuentra establecido un procedimiento de control semanal del nivel de CO2 que se emite en una fábrica a la atmósfera, estando establecida la paralización del proceso productivo si se supera dicho límite. El encargado de recibir los reportes semanales es el director de calidad. Durante 7 meses el director de calidad se encuentra de baja y no se nombra a un sustituto para que supervise ese concreto procedimiento de control.

Por otro lado, el jefe de fábrica necesita que se aumente la producción para obtener más beneficios, pero sabe que si lo hace superará el límite de CO2 permitido, por lo que altera el contador para que los informes no revelen que se incumple la normativa medioambiental. Durante un año se emite un nivel no permitido de gases a la atmósfera, hasta que lo descubre una inspección de la administración.

Queda constancia que durante 7 meses el nivel de riesgo permitido se descontroló, pues el responsable de revisar los informes de emisiones no lo controló. La pregunta es, ¿si se hubiera aplicado el procedimiento de control diseñado al efecto, se hubiera producido el resultado del mismo modo? Parece claro que, aunque dicho procedimiento se hubiera aplicado, no se hubiese podido evitar el resultado, pues los datos se encontraban falseados de origen (el director de fábrica eludió fraudulentamente el control). La desestabilización del foco de peligro que se produjo no tuvo incidencia en el resultado delictivo, pues aun habiéndose aplicado, el resultado hubiese sido similar. El delito no fue causado por la desestabilización concreta de ese foco de peligro específico, por lo que la persona jurídica no debería tener responsabilidad penal21.

En este caso, aplicando la teoría de la evitabilidad22, (ya en versión amplia o estricta), parece claro que, aunque se hubiera controlado el riesgo revisando los informes, no se hubiese podido evitar el resultado debido a la elusión fraudulenta del control por parte del director de fábrica. Por lo tanto, la omisión imprudente no fue la causante del resultado.

FUSCO y PALIERO califican esta verificación en sentido negativo como una especie de “prueba de resistencia” a la que debe someterse la causalidad de la culpa para permitir el cierre del circuito etiológico normativo, excluyendo la culpa cuando se contraste la hipótesis de que, aunque la norma se hubiera cumplido, el hecho delictivo se habría producido igualmente23.

La sentencia comentada concluye este apartado afirmando que el modelo organizativo no debe ser examinado por el juez en su totalidad, sino en relación con las normas cautelares que se infringen y que entrañan el riesgo de reiteración del delito.

El modo de valoración llevado a cabo por la Corte de Casación coincide parcialmente con el planteamiento realizado por parte de la doctrina española. En especial, con la propuesta de MARTÍNEZ BUJÁN, que aunque partiendo de una propuesta de la aplicación de una teoría de la imputación (estrictamente) objetiva del resultado, defiende que la infracción penal de la persona jurídica únicamente existirá cuando pueda acreditarse que la comisión del delito por parte de la persona física –en las condiciones definidas en el n.º 1 de artículo 31 bis CP– «fue precisamente la materialización del riesgo creado con la omisión24». Este autor también valora la posible aplicación de la teoría del comportamiento alternativo conforme a Derecho ―adaptado a su propuesta objetivizada― como elemento de valoración que ha de tenerse en cuenta para evaluar la idoneidad del modelo. En su opinión, para que esta versión pudiese ser aplicada, sería necesaria la demostración de que la implantación de medidas adecuadas de prevención no habría evitado la comisión del concreto delito por la persona física, lo que exigiría acudir a criterios estrictamente normativos previstos para la regulación de la persona jurídica en el seno del sector de actividad del que se trate (en caso de ser un sector regulado) o a los usos del sector correspondiente25.

GONZÁLEZ CUSSAC, quien también defiende la posibilidad de utilizar mecanismos de la teoría de la imputación objetiva para valorar la idoneidad del programa, es partidario de que la verificación de este deba hacerse sobre el delito concreto enjuiciado y no sobre una valoración global sobre si el programa expresa, o no, una cultura de cumplimiento por parte de la empresa26.

Por otro lado, la utilización de la estructura del delito imprudente para valorar la responsabilidad de la persona jurídica, basado en la relación de causalidad/imputación objetiva entre el delito cometido por la persona física y el defecto de organización, ha sido criticada por NIETO MARTÍN y por FEIJOO SÁNCHEZ.

Para NIETO MARTÍN, aplicar el prisma causal a la valoración de la eficacia del programa de cumplimiento, conlleva descartar otros elementos del programa (la práctica totalidad de estos) que sí deberían ser valorados (composición del órgano de cumplimiento, implicación de la dirección en el modelo de cumplimiento, la formación, la actualización, canal de alertas, etc.). Afirma NIETO MARTÍN que: «La utilización de la estructura del delito imprudente produce, por tanto, la jibarización extrema e indebida del programa de cumplimiento en la que solo importa el funcionamiento de un concreto control, en un momento determinado. El resto de elementos, así como los esfuerzos continuados de la entidad en su implementación son mero adorno, en cuanto conforme a esta noción del defecto de organización están desprovistos de un efecto causal relevante.27». En sentido similar, y compartiendo la crítica de la aplicación de la estructura de la imputación del resultado del delito imprudente, FEIJOO SÁNCHEZ se manifiesta contrario a construir la responsabilidad penal de la persona jurídica, basada exclusivamente en un defecto puntual, pues según el citado autor conduce a un callejón sin salida que no permite desprenderse del modelo principal28. Este autor critica la sentencia comentada en este artículo, precisamente por aplicar una estructura ideada para la persona física, a una persona jurídica que carece de las aptitudes necesarias para que se pueda extrapolar el canon de valoración, advirtiendo que: «La sentencia entiende que se debe realizar un pronóstico objetivo en el momento en el que se cometió el delito y verificar si se pudiera haber evitado con el modelo correcto (es decir, el modelo sin las deficiencias detectadas). Habría que explicar mejor cómo es posible un pronóstico objetivo con respecto a entidades que carecen de perspectiva de primera persona y no realizan pronósticos ni previsiones.29»

En este ámbito, aunque comparto algunos de los argumentos de los citados autores sobre la necesidad de valorar el modelo de organización en su totalidad como elementos de evaluación relevantes, considero que la estructura culposa del modelo de responsabilidad de la persona jurídica representa un importante avance para encontrar unas reglas de aplicación práctica que permitan al juez apoyarse en unas normas de valoración homologables y previsibles por parte de la empresa30.

En mi opinión existen dos ámbitos de valoración, que son complementarios y que cada uno tiene incidencia en planos distintos, aunque convergentes31. Me explico.

La labor del juez, a la hora de valorar el modelo de cumplimiento, debe partir de un primer análisis completo, donde debe comprobar el diseño, el funcionamiento, la implicación de los administrativos y directivos, y los esfuerzos de la persona jurídica por implantar una auténtica “cultura de cumplimiento”. Por lo tanto, en contra de lo que en algún párrafo se afirma en la sentencia Impregilo bis, sí es necesario que el juez valore el modelo de cumplimiento en su totalidad (de hecho, aunque diga que ello no es necesario, la propia sentencia lo hace a lo largo de su argumentación). Ese primer análisis ha de servir para comprobar la organización interna de la empresa y su implicación para convertirse en un buen “ciudadano corporativo”. Pero para decidir sobre su exención de responsabilidad es necesario descender a un escalón inferior, y poner el foco en el riesgo concreto y las medidas de control adoptadas al efecto. Y aquí sí resulta muy conveniente la estructura de la “culpa de la organización” desarrollada por la sentencia Impregilo bis.

En este segundo escalón, una vez que se haya evaluado el sistema en la totalidad, se ha de analizar en concreto el hecho delictivo, su relación con el riesgo previsible y la idoneidad de las medidas adoptadas (si existieren) para prevenir el delito o reducir el riesgo de su comisión (art. 31.bis. 2.1ª CP). Solo si el riesgo se previno y se adoptó una medida ex ante adecuada para reducir el riesgo de su comisión, se puede romper la imputación objetiva del resultado culposo que plantea la citada sentencia. Pues en ese caso, sí se podrá constatar que el riesgo fue previsto, y gracias a las medidas de control adoptadas, se mantuvo dentro del ámbito permitido, por lo que la desestabilización del foco de peligro no es imputable a la empresa, sino al actuar elusivo de la persona física que cometió el delito a pesar de la existencia de barreras de contención del riesgo32. En este ámbito, GONZÁLEZ CUSSAC reconoce la utilidad que tienen las herramientas de la imputación objetiva para llevar a cabo esta valoración, entendiendo la previsión del riesgo desde una identidad material relativa ex ante33.

No obstante, tiene razón NIETO MARTÍN cuando advierte que el modelo de la imprudencia, aplicado a la imputación objetiva, puede llevar a resultados arbitrarios, en función de la versión que se adopte de la teoría del comportamiento alternativo conforme a derecho. Si se acoge una versión laxa, que castigue el mero incremento del riesgo como consecuencia de no adoptar un control más adecuado, conllevará casi en todas las situaciones a concluir que existe responsabilidad de la empresa. No obstante, si se acoge una versión más estricta de esta teoría (que parece que es por la que opta la Corte de Casación italiana) conllevará en la mayoría de las veces a la absolución34.

Creo que esa crítica –no exenta de razón– puede atenuarse en muchos casos atendiendo a la reglamentación del debido control respecto de varios riesgos penales. En muchos de los delitos que provocan la responsabilidad de la persona jurídica, los procedimientos de control derivan de una normativa extrapenal ―como por ejemplo en los delitos de blanqueo de capitales, financiación del terrorismo, delitos contra la intimidad que afecta al tratamiento de datos, delitos de alteración de precios, información privilegiada, medio ambiente, etc.―. En estos casos, el riesgo previsible tiene una correlación directa con medidas ya reglamentadas de prevención, por lo que el cumplimiento de estas medidas ya será un estándar para someterlo al tamiz del test alternativo conforme a Derecho, sin que sea dable exigir otras medidas de control alternativas que, siendo deseables ex post para evitar el resultado, no eran exigibles ex ante.

Es cierto, que existen otros riesgos penales que, por lo abstracto o etéreo de su tipificación, resulta más complejo valorar la idoneidad ex ante de la medida de prevención concreta y la existencia de otros modelos más “virtuosos” siguiendo el mecanismo epistémico valorativo del “pronóstico póstumo”, como establece la sentencia. En todo caso, dado que la idoneidad o no del control representa un elemento de imputación causal ―siguiendo el modelo propuesto por la sentencia― se deberán aplicar las normas fundamentales del Derecho penal, y en caso de duda de si otro tipo de control hubiera sido más eficaz, o no, para disminuir el riesgo, o en caso de duda de si el comportamiento alternativo conforme a Derecho no hubiere podido impedir el resultado35, la conclusión debe ser la absolución de la persona jurídica en aplicación del principio “in dubio pro” aplicado a este concreto ámbito.

Si se opta por valorar únicamente el modelo en su totalidad y en abstracto36, sin descender al riesgo concreto, el peligro de arbitrariedad planteado por NIETO MARTÍN sigue existiendo, pues en ausencia de unos parámetros normativos que regulen las características del modelo de supervisión, el mayor o menor celo del juzgador en abstracto servirá para castigar o no a la persona jurídica.

En mi opinión, el método valorativo debe abarcar los dos niveles. Un primer nivel general y abstracto, donde se valore la idoneidad general del modelo, y un segundo nivel donde se habrá de descender al riesgo concreto37. Si una empresa cuenta con un modelo general adecuado para implantar una “cultura de cumplimiento”, pero ha fallado en la prevención concreta de un riesgo intrínseco, el modelo servirá para atenuar la responsabilidad penal, pero no para excluirla38. Pero si tras superar el primer examen, se constata que el riesgo concreto fue identificado y adoptadas las medidas de control adecuadas ex ante para reducir su riesgo de comisión, la persona jurídica deberá ser declarada exenta de responsabilidad penal39. Ello permite, como sucede en la sentencia de Impregilo bis valorar la eficacia causal de un defecto en el diseño del modelo y su afectación o no a la evitación del resultado. En este caso, la Corte de Casación concluye que a pesar de que no puede considerarse que el responsable de cumplimiento podía ser considerado como “autónomo e independiente” y por lo tanto el modelo de prevención adolecía de un defecto estructural, este no puede ser considerado causal de la comisión del delito, por lo que a pesar de que el modelo puede ser considerado no idóneo por carecer el órgano de cumplimiento de poderes efectivos de autonomía y control, se absuelve a la empresa al considerar que este defecto no tuvo una determinación causal en el resultado delictivo cometido por el presidente y el consejero delegado.

En este supuesto, nos encontramos con un sistema que quizás no fuese idóneo para prevenir o disminuir el riesgo de comisión de toda clase de delitos, pero sí lo fue –según la Corte de Casación– respecto del riesgo concreto de manipulación de precios en el mercado. Ello coincide con una idea interesante que plantea BOLDOVA PASAMAR, quien afirma que el plan de cumplimiento ni tan siquiera tiene que ser eficaz para prevenir otros delitos, sino únicamente la clase de delitos que se cometieron, pues la organización podría ser defectuosa para otra clase de delitos, y ello sería irrelevante40.

Es más, tanto el artículo 31.bis. 2.1º CP (centrado en la exención de responsabilidad de la persona jurídica cuando el delito lo cometen los representantes legales o apoderados específicos de la persona jurídica) como el artículo 31.bis.4 CP (previsto para cuando el delito lo cometen los empleados o subordinados) ponen el foco en el riesgo concreto. Así se exige como primer pilar, para valorar el carácter exoneratorio del plan de compliance, que se hayan adoptado “medidas de vigilancia y control para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión” (art. 31.bis.2 1ºCP) o que antes de la comisión del delito se haya adoptado y ejecutado con eficacia “un modelo de organización y gestión que resulte adecuado para prevenir delitos de la naturaleza del que fue cometido o para reducir de forma significativa el riesgo de su comisión” (art.31.bis 4 CP). Como puede observarse, el canon valorativo sobre la idoneidad del modelo se focaliza en las medidas de prevención adoptadas para prevenir delitos de la misma naturaleza del que fue cometido41. Ello implica que si no se adoptaron medidas para prevenir el riesgo de los delitos de la misma naturaleza del que fue cometido, no se habrá cumplido de manera adecuada el requisito que el legislador establece con carácter exoneratorio.

Muy interesante resultan las tres exégesis que realiza GONZÁLEZ CUSSAC respecto a la identidad formal del delito que debe ser prevenido interpretando el requisito de “la misma naturaleza”. Plantea tres posibilidades: Una restrictiva, donde se exigiría la equivalencia entre preceptos legales específicos; una declarativa, donde la equivalencia se satisfaría en un ámbito de figuras delictivas similares ―aunque no idénticas―, ubicadas en un mismo capítulo o título del CP; y una extensiva, donde la equivalencia se extendería más allá del ámbito de la figura delictiva (otro nomen iuris). El autor se inclina por defender el criterio declarativo con acertada interpretación42. Coincido con él que lo importante será haber previsto la posibilidad de que en una actividad se cometan estafas, sin que sea necesario especificar el tipo penal concreto, pero sin que pueda interpretarse que la previsión genérica de “todo tipo de defraudaciones” sea idónea para considerar previsto y controlado el riesgo de una determinada conducta delictiva.

Cosa distinta será evaluar si la medida de prevención y control concreta resultaba idónea para disminuir el riesgo de la comisión del delito, y en ese ámbito ya entra en juego el modelo valorativo del comportamiento alternativo conforme a derecho. Pero para ello, se ha de partir de la premisa de que el riesgo se evaluó y se adoptaron determinadas medidas de prevención.

Por otra parte, FEIJOO SÁNCHEZ se posiciona frontalmente contra la utilización de la estructura de la imputación del resultado de un delito imprudente, que está pensada y construida para la persona física, en las personas jurídicas, calificando dicha extrapolación como errónea, dado que el delito corporativo no es como tal un delito imprudente, sino una forma nueva de responsabilidad para personas jurídicas desconocidas hasta el momento43. La referencia a la imprudencia o la culpa, según este autor, debe entenderse a lo sumo como una imagen aproximativa a la realidad que se está aplicando –persona que no gestiona adecuadamente su ámbito de organización-, pero ha de desprenderse de las características dogmáticas propias aplicables a la persona física44.

El modelo de valoración de la sentencia Impregilo bis tiene a mi entender una virtud más sobre las expuestas, y es que puede proyectarse sobre las empresas que carezcan de un modelo formal de supervisión y control, pero cumplan adecuadamente la normativa sectorial que controla y previene el riesgo. NISCO ha puesto de manifiesto este problema en las situaciones que denomina “un modelo de facto45”, donde una valoración abstracta del modelo será siempre negativa pues no existirá un programa de cumplimiento formal, pero ello no debe impedir que se pueda aplicar la regla de la imputación objetiva al riesgo concreto y al resultado. Esta situación también se ha puesto de manifiesto por MARTÍNEZ-BUJÁN, al confrontar la aplicación de la teoría de la imputación (estrictamente) objetiva a situaciones donde existan controles no formalizados, concluyendo que: «Asimismo, podrá quedar excluida la imputación objetiva del resultado en el caso en que, existiendo un estado de cosas peligroso, la PJ adopta las medidas de vigilancia idóneas para neutralizarlo ex ante, aunque sin cumplir los requisitos formales y procedimentales de un modelo legal de compliance.46»

Recordemos que no existe una obligación legal de implantar un plan de supervisión y control de riesgos penales (aunque su no adopción pueda generar determinadas consecuencias jurídicas47), y que el propio Código Penal en el artículo 31.bis. 3 CP establece la posibilidad de que, en las personas jurídicas de pequeñas dimensiones, las funciones de supervisión del órgano de control puedan ser asumidas directamente por el órgano de administración. Ello provoca que en la práctica sea habitual encontrar en las personas jurídicas de pequeñas dimensiones un modelo de “cumplimiento de facto”.

En estos casos, la estructura culposa desarrollada por la sentencia Impregilo bis tiene la virtualidad de poder aplicarse, pues con independencia de la inexistencia de un modelo formal de supervisión y control, el foco se ha de poner en la norma incumplida y el resultado producido. Si una pequeña empresa dedicada al reciclaje no tiene aprobado un plan de compliance penal pero sí cumple las medidas de prevención y control de vertidos desarrolladas por la normativa medioambiental, y se produce un vertido incontrolado, se puede aplicar la estructura de la imputación objetiva para valorar el ámbito del riesgo permitido y la producción del resultado respecto de la responsabilidad culposa de la empresa. El hecho de que la persona jurídica haya decidido no implantar un modelo completo de prevención de riesgos penales no es un obstáculo para que esta pueda quedar exenta de responsabilidad si la causación del resultado no fue provocado por la asunción de un riesgo no permitido, a pesar de que no cuente con un código ético, un mapa de riesgos penales y costosas herramientas de monitoreo que se encuentran reservadas para las grandes empresas que pueden dedicar recursos a implantar modelos completos de prevención de delitos.

A la hora de valorar la idoneidad del modelo de prevención de delitos, en la praxis jurisprudencial nacional existen dos resoluciones paradigmáticas que se suelen poner como ejemplo a la hora de exponer los posibles modelos valorativos.

La primera es la dictada por el Juzgado Central de Instrucción n.º 6 de la Audiencia Nacional en las DD.PP.85/2014. En el auto de 23 de marzo de 2021, ratificado por auto de 10 de mayo de 2021 se acuerda el sobreseimiento respecto de la persona jurídica investigada (INDRA). En dicha resolución, partiendo desde la premisa de que la eficacia del programa ha de ser medida analizando su capacidad de prevenir o reaccionar ante el delito, se evalúa de manera genérica el modelo de cumplimiento penal, concluyendo el instructor que: «El estudio de las actuaciones permite apreciar la existencia de una “cultura de cumplimiento” introducida y bien arraigada en la compañía y su acreditación impide cualquier posibilidad de reproche penal...48». Por lo tanto, en esta resolución prima la valoración genérica del modelo compliance y la existencia de una “cultura de cumplimiento” sobre el caso concreto49.

La segunda sería el auto de la sección tercera de la Sala de lo Penal de la Audiencia Nacional, de 30 de enero de 2023 (dictado en las DD.PP.96/ 2017) que confirma el sobreseimiento de REPSOL y LA CAIXA en una pieza separada del conocido caso “Villarejo”. En esta resolución, que confirma el auto de sobreseimiento previo de 29 de julio de 2021, la sala (en apariencia) adopta un criterio de valoración conjunta para decidir sobre la idoneidad y eficacia del modelo, al afirmar que: «Para valorar el modelo de cumplimiento de prevención de delitos ha de tenerse en cuenta toda la normativa que incide en ello, sin focalizarlo en el incumplimiento de una única y concreta norma, pues para que la actividad de control y cumplimiento cumpla su misión, es preciso que funcione de una manera colectiva50». Y digo en apariencia porque la sala, aun partiendo de este razonamiento para confirmar el sobreseimiento, analiza de manera pormenorizada los controles que ambas entidades habían adoptado para prevenir los delitos de cohecho y apoderamiento y revelación de secreto. De hecho, sin decirlo acude a la teoría del comportamiento alternativo conforme a derecho para evitar estimar la impugnación del sobreseimiento interesado por el Ministerio Fiscal.

Este había recurrido la resolución argumentando que una entidad había incumplido su propia normativa interna sobre contratación, pues el contrato del cual se derivaban los hechos delictivos no había sido valorado por la mesa de contratación y la asesoría jurídica. Ante ello, la sala concluye que, de haberse cumplido la norma, nada hubiera cambiado, «pues dadas las concretas características del contrato y de las circunstancias se hubiera autorizado igualmente y sus controles no hubieran servido para detectar que CENYT estaba manejada por José María Villarejo, que en aquellos momentos era funcionario del cuerpo nacional de policía en activo, pues no era una circunstancia evidente ...51». De este modo, sin decirlo expresamente, lo que se aplica –de manera similar a cómo lo hace la Corte de Casación italiana en la sentencia comentada– es la teoría de la evitabilidad al plantearse el tribunal qué hubiera sucedido si se hubiera cumplido la norma de cuidado, para concluir que su incumplimiento no fue determinante para la comisión del delito pues ese control, que ex ante parecía idóneo, se constató que ex post no era el adecuado para identificar que tras una contratación se encontraba un funcionario de policía en activo que vendía sus servicios. Aunque se hubiese seguido la norma de contratación vigente, no se habría podido evitar el resultado al ser inidónea para poder identificar al titular último de una empresa que se esconde tras administradores de derecho52.

El Tribunal Supremo español aún no se ha pronunciado expresamente sobre el criterio de valoración que se ha de realizar sobre los planes de supervisión y control, más allá de la inclusión de pinceladas sobre la finalidad –a modo de obiter dicta– del compliance ad intra y ad extra53 y la interpretación del término en beneficio directo o indirecto54, por lo que la mirada a la sentencia comentada, teniendo en cuenta que proviene de una jurisdicción de la que es tributaria nuestro sistema de responsabilidad penal de la persona jurídica, puede ser, cuanto menos, interesante para marcar una posición propia.

4. Modelos de prevención de delitos homologados vs. la libre valoración de la prueba de la adecuación del modelo organizativo por parte del juez

Uno de los mayores escollos para el traspaso de la estructura del delito culposo al ámbito de la responsabilidad penal de la persona jurídica es la distinta configuración de la previsión del riesgo de la tradicional interpretación respecto en las personas físicas, pues en las estructuras empresariales suele existir un largo lapso temporal entre la detectabilidad del peligro55, la desestabilización del foco de riesgo y la producción del resultado. En este ámbito, ante la falibilidad intrínseca del plan de prevención de delitos, debido a las múltiples circunstancias que pueden concurrir y que resulta imposible abarcar en su totalidad ex ante, se ha de aceptar, como propone parte de la doctrina, que el modelo se sitúe en un “riesgo organizativo permitido56”.

Ante este panorama, es razonable que las empresas reclamen mayor seguridad jurídica en la conformación y homologación de los planes de compliance penal, pues no existe seguridad de que, a pesar de invertir los recursos necesarios y configurarlo de acuerdo con las mejores prácticas, no sea valorado negativamente por el juez una vez el delito haya sido cometido, trasladando un requerimiento descubierto ex post a lo que era muy difícilmente detectable ex ante.

El sistema italiano prevé un resorte para dotar de un grado de confortabilidad jurídica a las empresas que adopten un modelo de cumplimiento, que no fue adoptado por el legislador español en la Ley Orgánica 1/2015. Así, el Decreto Legislativo 231 contempla en su artículo 6.3 que las personas jurídicas podrán adoptar modelos de organización y gestión sobre la base de códigos de conducta elaborados por las asociaciones representativas de las entidades y comunicados al Ministerio de Justicia, el cual, de acuerdo con los Ministerios competentes, podrá formular, en el plazo de treinta días, observaciones sobre la idoneidad de los modelos para prevenir delitos. En España esta prescripción no se incorporó al artículo 31 bis. CP, pero en la actualidad existe una corriente doctrinal que defiende la conveniencia de incluir algún tipo de cláusula equivalente para dotar de mayor seguridad jurídica a las empresas.

Este aspecto también fue un motivo discutido en las distintas sentencias del caso Impregilo dado que la empresa había tomado como referencia, para configurar su modelo de cumplimiento, los parámetros publicados por Confindustria y Consob57 respecto del procedimiento de prevención del delito de manipulación del mercado. Ello inclinó a los tribunales de Milán a considerar adecuado su modelo de cumplimiento.

En la primera sentencia de la Corte de Casación del caso Impregilo, la sección V se pronunció sobre este extremo, pues una de las alegaciones de la defensa de la entidad era precisamente que se había demostrado el cumplimiento de los parámetros preventivos homologados por el Ministerio. En el motivo 3.2 de la citada sentencia, se aclara que a pesar de la prescripción del artículo 6.3 del Decreto 231, ello no significa que se haga una delegación disciplinaria a tales asociaciones, sino que sus parámetros pueden tomarse como una referencia, que después deberán ser adaptados a la realidad empresarial concreta. Advierte la sentencia que el hecho de que estos códigos se comuniquen al Ministerio de Justicia no les confiere la condición de incensurables, ni supone que el juez se encuentre vinculado por ellos, convirtiéndolos en una suerte de privatización de la legislación por encima del criterio judicial58. No obstante, la Corte advierte que el juez no podrá utilizar sus convicciones personales u opiniones subjetivas como parámetros de valoración contrarios al modelo, sino que debe remitirse a las directrices generales del ordenamiento jurídico, a los principios de la lógica y a la experiencia adquirida para fundamentar su inidoneidad.

En la segunda sentencia de casación del caso Impregilo, la sección VI atempera esta opinión y sienta unas bases muy interesantes acerca del criterio con el que debe juzgarse la adecuación del modelo organizativo. Parte de la premisa de que la finalidad perseguida por el artículo 6.3 del Decreto 231 se cifra en la necesidad de introducir un mecanismo que establezca parámetros orientadores para las empresas. La aprobación de estos códigos por parte del Ministerio de Justicia han de representar, para la autoridad judicial un parámetro de referencia, aunque este no sea vinculante. Advierte la Sala que las directrices contenidas en los modelos no representan una norma exclusiva y exhaustiva, sino parámetros orientadores que tienen dos funciones; por un lado, facilitar la labor de las empresas para que construyan su modelo organizativo (que deberá adecuarse para que el sistema propio sea lo más singular posible); y por otro, atemperar la discrecionalidad del juez en la apreciación del modelo59.

En el último párrafo, del motivo 7.3 de la sentencia, la Corte de Casación aporta un criterio fundamental para compaginar el respeto a los modelos homologados por el Ministerio de Justicia y la valoración de la prueba que corresponde al juez. Así establece que cuando se esté en presencia de este tipo de modelos organizativos “homologados”, el juez deberá motivar específicamente las razones por las que la entidad puede, no obstante, ser declarada culpable por defecto de organización, identificando la norma sectorial concreta que considere infringida, o en su defecto, las prescripciones de la mejor ciencia y experiencia del concreto sector productivo del que se trate, de las que se haya apartado el código de comportamiento y el modelo congruente con este, haciendo posible la comisión del delito.

Esta exigencia de la motivación reforzada del juzgador determina un criterio fundamental que resulta muy adecuado al objeto de valoración y al espíritu de la norma. Existe pues una presunción de adecuación del modelo si se aplican los parámetros adoptados por las asociaciones, que con posterioridad hayan sido homologados (no impugnados o alegados) por el Ministerio de Justicia, pero el juez no se encuentra vinculado por esta presunción. Ahora bien, si considera que la persona jurídica es responsable por la existencia de un defecto de organización debe, motivada y específicamente, fundamentar la razón del defecto utilizando criterios empíricos contrastables, y no meras apreciaciones sobre la hipótesis de un modelo más virtuoso.

Comparto la opinión de quienes defienden que el sistema español debería contar con unos parámetros oficiales que le pudieran servir a las empresas para adoptar sus modelos con un nivel de seguridad jurídica apropiada, y al mismo tiempo aportasen a la interpretación judicial unos cánones homologables que sirvan como referencia a la hora de valorar un modelo de prevención de riesgos penales. La cuestión es, como acertadamente plantea GONZÁLEZ CUSSAC: «¿Quién, cómo, conforme a qué criterios, parámetros o normas se decide sobre la idoneidad o eficacia de un modelo de cumplimiento?60». Pues si bien es cierto que en el ámbito empresarial existe una serie de certificaciones de AENOR61 u otras entidades que verifican determinados criterios del sistema de gestión, que pueden ser valorados positivamente por el juez62, este tipo de certificaciones servirá para acreditar mayor involucración de la cúpula de la entidad con “la cultura ética”63, pero no como criterio normativo que se identifique con la previsión de un riesgo no permitido y las medidas precautorias adecuadas para mantener controlado el riesgo64.

Al respecto de la autorregulación sectorial como vía adecuada de ponderación del riesgo permitido, GIL GIL, que defendió su utilidad, atempera esta posición advirtiendo que: «Lamentablemente la experiencia ha demostrado lo naif de confiar en la autorregulación de algunos sectores. Por ello me parece oportuno introducir aquí un criterio material de comprobación65». El criterio material de comprobación que propone, de manera acertada esta autora, consistiría en un método de averiguación de la norma para el juez, que no tiene que crear, ni que inventar, sino que concretar la conducta prohibida guiándose siempre por las valoraciones del ordenamiento. Así cuando se le presente una regulación sectorial extrajurídica, el juez, para considerar que define la conducta cuidadosa, debe comprobar que no infringe las valoraciones y ponderaciones del ordenamiento66. Se plantea por tanto un canon de valoración reforzada, donde la existencia de la normativa extrajurídica sectorial puede ser tomada como criterio valorativo, siempre que supere la criba del respeto a las normas y valoraciones del ordenamiento jurídico.

En el ámbito de los riesgos penales empresariales, se pueden distinguir básicamente tres grupos donde la prevención se concreta de modo distinto. Uno de ellos abarcará delitos que se encuentran regulados (incluso hiperregulados) por la administración (delitos contra los mercados financieros, delitos contra el medio ambiente, delitos de blanqueo de capitales o financiación del terrorismo, delitos contra la intimidad que afectan a la protección de datos, delitos contra la Hacienda Pública y la Seguridad Social, entre otros), respecto de los que se pueden construir modelos preventivos que abarquen sectorialmente los procesos de positivación normativa que se han producido respecto a determinados riesgos penales que se encuentran regulados por la normativa administrativa sectorial67. Este tipo de riesgos previsibles resultan más fácilmente controlable, estableciendo medidas de cumplimiento de la regulación extrapenal68.

Existen otros tipos de riesgos que, aunque no se encuentren reglamentadas específicamente, a través de un adecuado control financiero y supervisión de la contabilidad pueden ser preventivamente controlados, tales como la corrupción activa, el cohecho, la malversación, algunas modalidades de insolvencias punibles y estafas, etc.

No obstante, existen otros tipos de delitos que provocan la responsabilidad penal de la persona jurídica cuya identificación es sencilla, pero resulta más complejo establecer medidas de prevención idóneas ex ante. Me estoy refiriendo a delitos tales como el tráfico de influencias, las estafas (en distintos ámbitos no regulados), los delitos de fomento del odio, el apoderamiento de secretos, etc. Este tipo de riesgos se intentan prevenir a través de códigos de conducta, formación específica, o estructuras de supervisión, pero resulta complejo establecer controles operativos en muchas ocasiones y mantener un nivel del estado de cosas de riesgo permitido69.

Ante ello, se ha de exigir que exista una coherencia entre los delitos incluidos en el Código Penal que provocan responsabilidad penal de la persona jurídica, las reglas de imputación del ente del artículo 31 bis CP70 y la posibilidad de la previsibilidad objetiva del riesgo y del control, para que todo el sistema pueda establecerse de un modo armónico. Por ello, me posiciono en contra de las ideas que defienden la conveniencia de ampliar la responsabilidad penal de la persona jurídica a todos los delitos del Código Penal, pues todo el sistema que se ha construido –con más o menos acierto del defecto de organización y la culpa organizativa– se desmoronaría al hacer imposible establecer medidas preventivas para todo tipo de delitos que afectasen a la actividad empresarial (incluso si se incluye el factor de corrección del beneficio directo o indirecto).

Tras 10 años desde la reforma operada por la Ley Orgánica 1/2015 es necesario reordenar el sistema de un modo lógico y coherente para que se incluyan los delitos propiamente afectantes a la naturaleza de la persona jurídica71 y facilitar, en última instancia, que las empresas adopten un modelo de autorregulación sobre unos parámetros homologables72 establecidos por organismos públicos, que sirvan como canon valorativo ex ante y ex post.

Por ello, se ha de tender de manera necesaria hacía la creación de un sistema de supervisión pública de los modelos de cumplimiento al que puedan acudir las empresas y este organismo emita una opinión (no vinculante) sobre la idoneidad ex ante del modelo. Una vez se haya producido el hecho de conexión delictivo, se habrá de investigar lo sucedido y esa opinión, que no puede actuar como un “salvoconducto” para la empresa ante cualquier situación, sí servirá como un instrumento reforzado de defensa de la persona jurídica que ha invertido de un modo serio en la mejora de su sistema interno de control. Este modelo “homologado y supervisado” y la opinión del organismo público no vinculará al juez, pero sí le exigirá, en el supuesto que considere que el modelo no era adecuado o no ha sido eficaz, una motivación reforzada, fundamentada en las prescripciones de la mejor ciencia y experiencia del concreto sector productivo del que se trate, para fundamentar la inidoneidad del sistema y su relación causal con el resultado.

5. Los poderes autónomos de iniciativa y control del órgano de cumplimiento

Otro de los aspectos fundamentales de la sentencia comentada es la interpretación que realiza del término “poderes autónomos de iniciativa y control” que debe tener el órgano de cumplimiento, tanto en el artículo 6.1. b) Decreto 23173 italiano como en el artículo 31.bis. 2. 2ª CP. Este requisito es otro de los conceptos que se ha importado a nuestro ordenamiento jurídico sin llevar a cabo una reflexión de lo que debería implicar exigir el cumplimiento pleno de este requerimiento a las empresas.

Recordemos que la Corte de Casación Italiana en la primera sentencia del caso Impregilo (St. N.º 4677 de 18 de diciembre de 2013) anuló la sentencia absolutoria de la Corte de Apelación de Milán porque consideró que el modelo de organización de la empresa era inadecuado al carecer el órgano de cumplimiento de efectivos poderes de autonomía y control. En la empresa, en ese momento el órgano de vigilancia era unipersonal ―encarnado el compliance officer en el jefe de auditoría interna― y dependía directamente del presidente. Sobre este tipo de estructura, advierte la Corte que para que la iniciativa y, principalmente, el control sea efectivos y no meramente “de papel”, hay que partir de la no subordinación del controlador al controlado74. En su sentencia se ordena evaluar la posibilidad real que tenía el responsable de cumplimiento de conocer la última versión de la información que saldría al mercado (una vez fue modificada por el presidente y el consejero delegado) y si podía emitir una suerte de opinión discrepante75. Básicamente, la Corte de Casación ordena la reevaluación de las competencias atribuidas al órgano de vigilancia y su nivel de autonomía respecto de la gestión de la sociedad.

En la segunda sentencia ―Impregilo bis― la Corte de Casación comparte la duda de que un órgano de vigilancia unipersonal, que en el organigrama de la empresa se sitúe bajo la autoridad directa del presidente, ofrezca las suficientes garantías de autonomía respecto de este o de los administradores de la sociedad. Ello incide negativamente en la adecuación de la configuración del modelo de prevención y constituye un defecto estructural76. Sobre ello existía un precedente importante. En la sentencia de la Corte de Casación italiana del caso Thyssen Krupp77 ya se advirtió que la composición del órgano de vigilancia resulta esencial para que el modelo pueda ser efectivamente aplicado, y que la autonomía del control debe estar siempre garantizada frente a cualquier forma de injerencia o condicionamiento. En este caso, se consideró que la configuración del órgano de vigilancia era inadecuada porque uno de sus miembros era un directivo responsable de medio ambiente y seguridad, que era una de las actividades que debía supervisar el propio órgano, identificando un conflicto de interés en las comprobaciones a la actividad de un directivo que estaba llamado a ser su propio juez, que llevó a la Corte a considerar el modelo del órgano de control como burocrático y de fachada, pero no como un organismo de prevención real del delito.

En opinión de la sección sexta de la Corte de Casación que juzgó el caso Impregilo bis, el modelo del órgano de vigilancia era defectuoso por carecer de garantías que asegurasen la autonomía del compliance officer. No obstante, siguiendo el planteamiento dogmático previamente establecido, advierte que solo podría derivarse la responsabilidad al ente si la falta de la autonomía del compliance officer tuvo incidencia causal en la comisión del delito de manipulación de información bursátil realizado por el presidente y el consejero delegado78.

En este punto, resulta fundamental analizar las facultades que tenía concedidas el órgano de control, pues una de las cuestiones que se plantean en la primera sentencia de la Corte de Casación ―Impregilo― era si estas abarcaban una posibilidad de revisión discrepante frente a la información emitida por el presidente y el consejero delegado. Se trata de determinar, según la sentencia Impregilo bis, hasta qué punto resulta legítimo exigir que los actos de los máximos representantes de una sociedad estén también sujetos al escrutinio, con carácter preventivo, de otro órgano societario como el de vigilancia79. La Corte concluye que esta interpretación sería difícilmente conciliable con el poder de representación de las personas jurídicas contempladas en el Derecho Civil, transformando la naturaleza del órgano de vigilancia en una especie de supervisor de las actividades de los órganos de gobierno y dirección, lo que conllevaría indefectiblemente a la necesidad de implicarse en la gestión, perdiendo de ese modo su propia autonomía. Tal y como resume PIERGALLINI, si así fuese, de “controlador” institucional del ente pasaría a ser su auténtico protagonista, con el paradójico efecto de ser al mismo tiempo, “controlador” y “controlado”80. Para evitarlo, la actividad de supervisión debe ser externa al proceso de toma de decisión, de control sistémico y permanente de las normas cautelares establecidas, por lo que no puede convertirse en un órgano gestor que tome decisiones operativas y de negocio, que deban ser supervisadas por ellos mismos (de nuevo volveríamos al conflicto de interés planteado en la sentencia Thyssen Krupp).

En conclusión, la sentencia considera que, a pesar de que no se preveía un control preventivo del texto final de los comunicados divulgados por el presidente y el consejero delegado, el modelo de prevención de delitos de comunicación aprobado por Impregilo era adecuado, pues no puede eliminarse el margen de autonomía de los órganos societarios (en este caso presidente del consejo de administración y consejero delegado) que ejercen la actividad de comunicación, que resultan esenciales para el ejercicio de las competencias y responsabilidades que reconoce el Derecho civil.

Lo fundamental de esta parte de la sentencia es la importancia que tiene la configuración del órgano de supervisión y control para poder contar realmente con poderes autónomos de iniciativa y control81. Antes de adentrarnos en el panorama español, se ha de advertir que la configuración monocrática del órgano de vigilancia, asignada al jefe de auditoría interna que tenía el grupo Impregilo cuando sucedieron los hechos, es un modelo que si bien se utilizó en una primera etapa en Italia, ha dado paso en las grandes empresas a la configuración de un Organismo di Vigilanza (OdV en adelante) que se estructura de manera colegiada y de composición mixta (incluye miembros externos –abogados, contables, expertos en seguridad, etc.) sin relación laboral con la empresa, de entre los que se ha de nombrar al presidente del organismo. El OdV carece de funciones de gestión y solo realiza la labor de supervisión del cumplimiento del modelo82.

El panorama, en la realidad empresarial española es sustancialmente distinto, pues nos podemos encontrar con varios modos de configuración del órgano de supervisión y vigilancia, al otorgar el legislador español varias opciones en el artículo 31 bis CP. Así, las empresas pueden83:

Por lo que conozco, hasta el momento la mayoría de las empresas españolas (dejando aparte las empresas cotizadas y las grandes empresas) han asumido el modelo funcional al implantar el sistema de prevención de riesgos penales, y han optado por nombrar a un empleado –normalmente un cargo directivo– para que se encargue también de la función de supervisión, vigilancia y control del modelo de prevención de riesgos penales, al que se le denomina compliance officer o encargado de cumplimiento. Ello se debe principalmente a dos factores: el tejido empresarial español se compone de un 99,8% de PYMES85, que no cuentan con una estructura idónea para incorporar un órgano de cumplimiento extraño al tradicional sistema de gobierno corporativo monista, y porque resulta más económico asignar esa función a un trabajador que, aunque se le suba el sueldo por la nueva función (y responsabilidad) resulta más rentable que constituir un órgano ad-hoc de cumplimiento.

También pudo tener relevancia que la Circular de la FGE 1/2016, al analizar el órgano de supervisión al que hace referencia el artículo 31.bis. 2.2ª CP lo asimilase al oficial de cumplimiento, afirmando en su apartado 5.4 que: «En uno y otro supuesto (con la función más limitada de prevención de delitos o con la más amplia de control interno), la norma se está refiriendo a un órgano de cumplimiento (oficial de cumplimiento o compliance officer) que, dependiendo del tamaño de la persona jurídica, podrá estar constituido por una o por varias personas, con la suficiente formación y autoridad». Esta asimilación, que despertó las críticas de la doctrina86, pudo también influir en la interpretación de la norma realizada por las empresas que adaptaron su modelo a la figura del compliance officer como el órgano al que hace referencia el artículo 31 bis CP87.

En este escenario resulta fundamental encontrar un modelo en el que sea posible compaginar una función orgánica subordinada, con los necesarios poderes autónomos de iniciativa y control, pues si se sigue la interpretación de la Corte de Casación italiana en el caso Impregilo bis, la mayoría de las empresas que hayan optado por el modelo funcional adolecerían de un defecto estructural, al configurar el órgano de cumplimiento de un modo subordinado, otorgándole a su representante algún tipo de función operativa.

Como he defendido en otra publicación88, creo que la solución se encuentra en realizar una interpretación teleológica de la autonomía contemplada como característica en el Código Penal y aplicarla a la realidad mercantil y empresarial que nos encontramos en el sistema español, para determinar las características mínimas que, en el modelo funcional, debe contar el compliance officer para considerar que se cumplen las mismas.

Analizando de manera sistemática el artículo 31.bis CP, se puede interpretar que lo que se pretende por parte del legislador es que se nombre a un responsable del control y vigilancia del sistema de compliance penal, con facultades suficientemente amplias para poder realizar su labor de supervisión y control89, pero sometido al órgano de administración, que será el delegante del poder. Se puede llegar a esta conclusión analizando la última frase del párrafo 31.bis. 2. 2º. CP, donde se asimilan esos poderes de iniciativa y control a la actividad de otros órganos que tengan encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica.

Tomando como referencia esta asimilación, podría concluirse que el nivel de los poderes autónomos de iniciativa y control serán similares a aquellos que se conceden a la comisión de auditoría en las empresas cotizadas o a la unidad de riesgos90, los cuales deben realizar su labor de manera independiente de las funciones operativas, y deben contar con autoridad, rango y recursos suficientes, y con el oportuno acceso al consejo de administración91, al que deben informar, pero frente al que no tienen capacidad para imponer su criterio en contra de la decisión de este. Este tipo de órganos, no cuentan con funciones ejecutivas, sino con facultades de información, asesoramiento y propuesta dentro de su ámbito de actuación92.

Es cierto que el modelo funcional, donde el órgano de vigilancia –ya sea unipersonal, ya colegiado– se nutre de directivos de la empresa que realicen otras funciones operativas se puede encontrar con posibles conflictos de interés que haga dudar de su independencia y del buen funcionamiento del modelo. Para solventar esas situaciones el propio modelo de cumplimiento o prevención de delitos debe contemplar un procedimiento para que, en supuestos en que surjan conflictos de interés, sea otra persona la encargada de realizar la supervisión (en caso de que el órgano sea unipersonal) o de apartamiento de las deliberaciones y decisiones en caso de que sea colegiado93.

Tal y como resume MONGILLO94, la autonomía implica libertad de iniciativa, lo que permite realizar las actividades de inspección y supervisión sin requerir la autorización de ninguna persona u órgano. Esta autonomía se encuentra estrechamente relacionada con la independencia, que quizás sea la característica que más se ponga en duda en el modelo funcional, pues exige que los miembros del órgano no se encuentren sujetos a la línea directiva de la empresa y el blindaje ante interferencias o condicionamientos jerárquicos en su labor, rindiendo cuentas única y exclusivamente al administrador de la empresa. El problema surgirá cuando los responsables de cumplimiento compaginan su labor con funciones operativas o de negocio95 (asesoría jurídica, auditoría, etc.), por lo que será fundamental contar con una previsión adecuada en casos de conflictos de interés que prevea estos casos y evite los supuestos en donde el “controlador” es el que debe ser, a la vez, “controlado” por él mismo.

6. La interpretación de la elusión fraudulenta

El requisito de la elusión fraudulenta del modelo de organización como condición para la exención de responsabilidad de la persona jurídica cuando el delito es cometido por un administrador o alto directivo (un apical) fue objeto de crítica y distintas interpretaciones por parte de la doctrina italiana desde su inclusión en el Decreto 23196. Esta disposición fue absorbida en el artículo 31.bis.2. 3ª CP de un modo acrítico por el sistema español a través de la Ley Orgánica 1/2015, sin que haya despertado las cautelas y reflexiones que precedieron en Italia97.

La Sección Sexta de la Corte de Casación, en la sentencia Impregilo bis, tuvo que entrar a examinar si en el caso concreto había existido elusión fraudulenta del modelo por parte del presidente y del consejero delegado de la empresa, pues precisamente era uno de los aspectos que la primera sentencia de la Corte de Casación del caso Impregilo consideró que no había sido resuelta adecuadamente por el tribunal de Milán.

La sentencia no se aparta, al menos en apariencia, de la interpretación objetiva que la primera sentencia de Casación realizó sobre el término elusión fraudulenta, que califica como una conducta engañosa, falsificadora, oblicua o torticera. Así, aclara que en estos casos (delitos cometidos por los apicales) la exención de responsabilidad del ente del delito cometido por la alta dirección solo puede justificarse si la conducta de estos representa su desvinculación con la política de la empresa, pues el delito es una elección personal y autónoma de la persona física, que no es fruto de la ineficacia organizativa, sino a pesar de una organización adecuada que solo puede eludirse mediante una conducta engañosa98. Esta elusión fraudulenta debe producirse, no respecto al precepto penal, sino respecto de las prescripciones del modelo organizativo, que es lo que realmente se ha de eludir con algún tipo de subterfugio.

Desde este punto de vista, la sentencia concluye que en el caso enjuiciado se produjo una elusión fraudulenta, pues los altos directivos se aprovecharon del nivel de autonomía que tolerablemente les permitía el modelo organizativo y alteraron, de común acuerdo, los datos para divulgar información no veraz al mercado. De este modo cometieron una conducta falsificadora de los datos recibidos de los departamentos técnicos, así como engañosa y torticera, pues se produjo por un acuerdo encubierto entre los autores, vulnerando el pacto de confianza que les había conferido la entidad99.

Esta conclusión confronta con la doctrina que ha preconizado que en el caso de que el delito sea cometido por órganos decisores de la persona jurídica difícilmente se podrá sostener que ha existido una elusión fraudulenta100. Ello es lógico, pues precisamente el resorte de la “elusión fraudulenta” surge para afrontar situaciones donde son los máximos órganos de decisión del ente los que delinquen, exigiendo para que se active la causa exoneratoria no un mero incumplimiento –derivado de su posición de control– sino una maquinación engañosa dirigida a engañar al propio sistema que se ha creado para controlarlos.

Esta referencia al acuerdo encubierto, al quebrantamiento de la confianza y deber de lealtad, así como la referencia a la elección personal de la desvinculación de la política de la empresa llevan a FUSCO y PALIERO a rechazar que la sentencia adopte un enfoque objetivo del concepto elusión fraudulenta, pues acude a referencias subjetivas que, por lo menos, hacen nacer la idea de que se ha construido una teoría mixta (objetivo/subjetiva) de la elusión fraudulenta101.

Lo que parece claro es que la mera elusión, sin engaño, no sería suficiente102, pero incluso aplicando esta postura, el ámbito de aplicación es extenso, pues tal y como advierte GONZÁLEZ CUSSAC «... la ausencia en el texto legal de la concreción del fraude incita a considerar válida cualquier clase de engaño, y por ende, de fraude. Por lo tanto, será válido el engaño antecedente, coetáneo y posterior, y el llamado omisivo103».

Una de las críticas que se ha vertido sobre la elusión fraudulenta es su metanaturaleza de prueba diabólica104, pues es la empresa la que debe probar no solo que su modelo era ex ante idóneo, sino que uno de sus máximos representantes o directivos no solo lo incumplió105 ―no sería suficiente en estos casos para la exención― sino que utilizó algún tipo de subterfugio para eludir su cumplimiento sin que el sistema de prevención lo detectase. Este requisito, si bien atendió a la finalidad de evitar un tipo de responsabilidad objetiva cuando el delito corporativo fuese cometido por un administrador o alto directivo, constituye un escollo no solo dogmático, sino también práctico, que lleva a planteamientos que abogan por su abolición y reforma. Más si cabe, cuando ―como con gran acierto advierte TURIENZO106― nos enfrentemos a la comisión por parte de un apical de un delito imprudente, que exigirá a la persona jurídica la prueba no solo del incumplimiento del modelo de prevención en concreto, sino una conducta dolosa por parte del directivo para eludir fraudulentamente un modelo que conlleva a la comisión de un delito imprudente. La contradicción resulta patente.

7. Sobre la carga de la prueba del defecto de organización

El artículo 6.1 del Decreto 231 contempla el modo en que la persona jurídica puede eludir su responsabilidad en caso de que el delito lo haya cometido alguna persona con poder de administración o dirección (los apicales). Su tenor literal establece que “la entidad no será responsable si prueba que...”107. Por lo que la regulación italiana determina que será la persona jurídica la que deberá probar la existencia de las causas de la ausencia de su responsabilidad108, entre ellas, que se hayan adoptado y aplicado con eficacia, con anterioridad a la comisión del delito, modelos de organización y gestión capaces de prevenir infracciones del tipo de la cometida.

No obstante, la Corte de Casación, haciendo una interpretación acorde con el principio constitucional de presunción de inocencia, se aparta del tenor literal de la ley pero con efectos in bonam parte109, y advierte en la sentencia Impregilo bis que el artículo 6.1 Decreto 231 no establece una inversión de la carga de la prueba110, y que por lo tanto corresponde a la acusación probar la culpa organizativa, que engloba en primer lugar la existencia de una infracción penal cometida por una persona física, que forma parte de la estructura organizativa de la empresa, que actuó en interés de ésta. Una vez constatada dicha responsabilidad, deben identificarse por la acusación, en segundo lugar, los cauces precisos que vinculan teleológicamente la actuación de la persona física con el interés de la persona jurídica, y los elementos indicativos de la culpa organizativa111 por el defecto de la organización de manera concreta.

Considera NISCO con razón, que esta interpretación hermeneútica ha atemperado la regla probatoria del art. 6.1 Decreto 231, convirtiéndola en una carga de la alegación del modelo, de más fácil cumplimiento y adaptado a la naturaleza de la prueba del modelo organizativo, la cual exige el análisis de aspectos técnicos que necesita una interlocución entre la acusación y defensa, que va más allá de la esquemática división de sus respectivas cargas probatorias112.

En España, este aspecto concreto fue tratado en la primera sentencia del Tribunal Supremo que se ocupó de pronunciarse a fondo sobre la naturaleza de la responsabilidad penal de la persona jurídica. En la STS 154/2016, de 29 de febrero se resuelve el asunto de la carga probatoria, aunque no sin polémica, pues este aspecto dividió al Pleno de la Sala Segunda del Tribunal Supremo.

En gran parte, la decisión del Tribunal Supremo es tributaria de la consideración dogmática que se le otorgue al defecto de organización y a los programas de cumplimiento normativo. La STS 154/2016 lo considera como un elemento del tipo, y como consecuencia, determina que será la parte acusadora la que deberá probar el defecto de organización (su inexistencia o falta de idoneidad), pues a esta le compete probar todos los elementos del tipo113. No obstante, la citada sentencia cuenta con un voto particular concurrente ―firmado por 7 magistrados― que interpreta que al contemplar el artículo 31.bis.2 CP una circunstancia eximente, deberá ser probada por quien la alega114.

Las posteriores sentencias del Tribunal Supremo sobre este particular han mantenido una línea homogénea, en donde se establecía sin ambages que la carga probatoria del defecto estructural pertenece a la acusación.

No obstante, la publicación de la STS 298/2024, de 8 de abril, ha despertado los recelos de parte de la doctrina al entender que supone un cambio radical de postura, pues plantea una alteración de la carga probatoria en relación con el defecto de organización al asimilar la naturaleza de la existencia del programa de cumplimiento eficaz a una eximente115, pues aunque advierta que rechaza entrar en dicha resolución en este tipo de discusiones “bizantinas”, lo cierto es que los ejemplos con que la ilustra, utilizan paralelismos con figuras eximentes.

Sin entrar en profundidad en el debate existente en España, básicamente la discusión oscila en si considerar este elemento como una parte del tipo (o similar) con lo que la prueba de su existencia –o inexistencia– correspondería a la acusación. O considerarlo como una eximente, o una suerte de excusa absolutoria, en donde la prueba de su existencia debe conferirle a quien la alega (la defensa)116.

La sentencia resuelve un recurso de casación sobre distintos aspectos planteados tanto por una persona física condenada por delito fiscal, como por varias personas jurídicas que fueron también condenadas como responsables penales.

En el Fundamento Jurídico CUARTO resuelve un motivo planteado por una persona jurídica que fue condenada. Esta impugna su condena argumentando que, como durante el proceso y el juicio no consta en el procedimiento la existencia de un plan de compliance penal, no se le puede condenar ya que no se ha probado el defecto organizativo de la persona jurídica por parte de la acusación.

La sentencia focaliza la resolución del motivo del recurso sobre en quién ha de recaer la carga de la alegación, no sobre la carga de la prueba, que, aunque parezcan términos sinónimos, no lo son, pues tienen matices importantes.

La sentencia parte de la premisa de que la inexistencia de un plan de cumplimiento eficaz es un elemento negativo117 de la responsabilidad penal de la persona jurídica, que debe quedar necesariamente probado para que el ente pueda ser condenado. El thema decidendi es cómo ha de quedar probado en situaciones en donde la defensa no lo alega y la acusación no lo pide. La sentencia considera que, al estar ante un elemento negativo ―inexistencia de un plan eficaz de compliance penal―, esto provoca determinadas consecuencias procesales: «Entre otras, que la carga de la alegación de ese factor excluyente de la responsabilidad recae, en principio, en la defensa. Si ésta se abstiene de proponer prueba alguna al respecto, y no realiza ni siquiera un amago de aportar un plan de cumplimiento y/o demostrar que la empresa se ajustaba en su funcionamiento a cada uno de los requisitos que perfila el Código Penal, será legítimo entender acreditado que no existía tal plan de cumplimiento; como, sin que se quiera extremar la analogía que, deliberadamente, es un tanto hiperbólica, tampoco se detecta inconveniente alguno en, a pesar de no contar con ninguna prueba o informe ad hoc, considerar imputable al acusado de un delito, cuando no existe el más mínimo indicio de un padecimiento psíquico, ni su defensa ha alegado nada al respecto. No podrá quejarse por haberse burlado su derecho a ser informado de la acusación en tanto en los escritos de acusación se omitía cualquier mención a su imputabilidad. Esta forma de razonar no supone invertir la carga de la prueba: las dudas sobre la imputabilidad habrán de ser resueltas también con arreglo al principio in dubio. Es un problema, más bien, de máximas de experiencia y contexto procesal. No es en absoluto descabellado -sí lo sería la actitud contraria- estimar probado que una persona es imputable cuando nadie ha insinuado otra cosa, ni siquiera el interesado en ello, y no existe el más mínimo indicio de padecimiento alguno».

Como vemos, la sentencia aclara que el planteamiento que desarrolla no supone una inversión de la carga de la prueba, pues debe seguir siendo la acusación la que pruebe todos los elementos que configuran la responsabilidad penal de la persona jurídica. La acusación por lo tanto deberá probar: (i) comisión de un delito por quien actúa como directivo o empleado del ente; (ii) que se trate de uno de los delitos en que esté prevista la generación de la responsabilidad penal de la persona jurídica; (iii) que el delito, objetivamente considerado, se haya cometido en beneficio directo o indirecto de la persona jurídica; (iv) que no existan medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza de los cometidos o para reducir de forma significativa el riesgo de su comisión.

Realmente la polémica surge en el modo de acreditar el último requisito ―elemento negativo―. Comparto con la sentencia la conclusión de que «La presunción de inocencia no obliga a presumir que todas las asociaciones o sociedades mercantiles y personas jurídicas en general cuentan con un programa de cumplimiento ajustado a las exigencias del Código Penal». En este campo hay que distinguir lo que se alega y lo que se prueba. La alegación (y la acreditación118) de la existencia de un plan de cumplimiento normativo, o de la existencia de controles idóneos para prevenir el riesgo en los casos en que la persona jurídica carezca de un modelo formal de prevención de riesgos penales (modelo de facto), corresponde a la defensa119. Y una vez aportado por la defensa y argumentada su eficacia e idoneidad, corresponde a la acusación intentar contrarrestar esta evidencia y probar que la comisión del hecho delictivo se produjo por un incumplimiento grave (no leve) de los deberes de supervisión vigilancia y control120. Desde este punto de vista, la alegación de los programas de compliance penal actuarían como una suerte de eximente121 o excusa absolutoria, una vez que la parte lo alega y aporta evidencias de su existencia, es la acusación la que adquiere el desafío probatorio de contrarrestar su validez122.

De este modo lo que se produce es una fragmentación del proceso probatorio, que se dividirá en alegación, aportación y valoración. A la defensa le corresponde, como mínimo la alegación de la existencia. Planteada la misma, la acusación deberá ejercer su actividad procesal para contrarrestar su idoneidad (podemos pensar que ante la mera alegación de la acreditación de la existencia será muy fácil oponerse, pues requiere aquella requiere apara que adquiera consistencia su aportación documental). Respecto de la aportación, la defensa podrá decidir qué aportar ―ya sea el plan de prevención de delitos completo, la concreta identificación del riesgo objeto del proceso y sus concretas medidas de control, optar por aportar una certificación sin aportar el modelo, etc.― y cuándo aportarlo ―al inicio de la instrucción para intentar lograr una pronta exoneración, o incluso reservarlo para el inicio del juicio oral― en función de su estrategia defensiva. La acusación deberá probar que la aportación realizada, o su no aportación como indicio, no soportan la idoneidad del sistema de prevención del delito concreto. Coincido con FEIJOO SÁNCHEZ cuando advierte que la acusación puede probarlo de distintas formas, y que para ello no resulta imprescindible presentar ningún documento concreto123.

En caso de que lo aporte, la cuestión de su valoración y eficacia puede ser resuelta durante la instrucción y nada impide que, en caso de que el instructor considere que el programa de compliance penal era eficaz y adecuado, valorado ex ante, para prevenir o disminuir el riesgo de la comisión del delito en concreto, acuerde el sobreseimiento respecto de la persona jurídica124. No es necesario esperar a la fase del plenario para valorar este elemento125.

En este terreno, defiendo que la persona jurídica no está a obligada a entregar su plan de cumplimiento normativo, o normativa interna de control, si no lo considera oportuno. Le ampara el artículo 24.2 CE126. Pero el hecho de negarse a entregarlo, en caso de que sea requerido a ello por el juez, ya de oficio, o a iniciativa de la acusación, representa una evidencia valorable a los efectos de tomar una decisión sobre la inexistencia (o existencia ineficaz) de un plan de cumplimiento normativo. Lo otro llevaría a la absurda conclusión de que estaría en mejor posición quien no entrega el plan de cumplimiento (porque carece de él), que quien lo entrega y lo somete a la contradicción y escrutinio de las partes.

Pero la acusación debe hacer su trabajo para probar la existencia de responsabilidad penal de la persona jurídica. Ello le obliga a probar tanto la comisión de un delito por parte de una de las personas físicas contempladas en el artículo 31.bis a) y b) CP, que este se haya cometido en beneficio, directo o indirecto de la persona jurídica y que existía un defecto de organización. Y este último elemento puede probarse, a través de la inferencia derivada de su no alegación o acreditación por parte de la defensa, pues ello representa la evidencia fáctica de la inexistencia de un plan de compliance penal o de controles que hubieran previsto y controlado el riesgo penal. Pero ello ha de ser puesto de manifiesto por parte de la acusación como prueba de indicios, pues si nada dice la defensa, y nada dice sobre ello la acusación, se deberá optar por la absolución de la persona jurídica por la inactividad probatoria, en esta ocasión, achacable a la acusación.

En resumen, la existencia de un plan de cumplimiento normativo, o de controles preventivos idóneos de un concreto riesgo penal deben ser alegados por la defensa. Ello no supone una inversión de la carga de la prueba, sino la fragmentación de un proceso probatorio que ha de adaptarse a la idiosincrasia del modelo de responsabilidad de la persona jurídica, y que representa una consecuencia lógica de la naturaleza del plan de compliance penal127 y del reconocimiento del derecho fundamental a la no autoincriminación a las personas jurídicas.

8. Epílogo

La sentencia comentada de la Corte de Casación Italiana del año 2021 supuso la conclusión de un procedimiento cuyos hechos se remontan a marzo 2003, es decir, se habían cometido poco después de que entrase en vigor el Decreto 231/2001, por lo que el análisis de los hechos atiende a una realidad, y configuración estructural de los modelos de cumplimiento empresarial, que ha variado sustancialmente en Italia a lo largo de estos 20 años. No obstante, la sentencia sirve para analizar las herramientas dogmáticas que se utilizan por la Corte de Casación para dar respuesta a los problemas que genera la atribución de responsabilidad a la persona jurídica por la comisión de delitos realizados por terceros, y en concreto, por personas situadas en puestos directivos o administradores de la sociedad.

La Corte de Casación opta por utilizar las herramientas que aporta la teoría de la imputación objetiva, el delito culposo y el comportamiento alternativo conforme a Derecho, moldeadas para aplicarlas a la idiosincrasia de la persona jurídica. Parte de la doctrina, como hemos visto, rechaza este tipo de extrapolaciones por considerar que esta teoría está creada para la persona física y su extensión a la persona jurídica genera importantes contradicciones. Otra parte de la doctrina se muestra más proclive a utilizar estas herramientas dogmáticas para valorar la idoneidad del modelo, la previsión del riesgo y la concreción del resultado. En mi opinión, esta sentencia –y el desarrollo interpretativo que propone– tiene la virtud de otorgar elementos de valoración que pueden ser contrastados por el juez durante el procedimiento penal y ello, ya de por sí, supone un importante avance en el ámbito de la valoración judicial para evitar que se pierda en interpretaciones vagas sobre el etéreo concepto de “cultura de cumplimiento”, adoptado por el Tribunal Supremo español. Es cierto que los mecanismos de la imputación objetiva no pueden ser directamente extrapolados al ámbito de la responsabilidad penal de la persona jurídica, pero sí se pueden tomar como referencia para realizar una adaptación homologable.

Me preocupa sobre todo el riesgo permitido y su valoración ex ante, no solo por ser un asunto dogmáticamente muy complejo, sino porque se ha de trasladar a la práctica empresarial de un modo que sea entendible y asumible por las personas jurídicas, y que con posterioridad pueda ser contrastable con un método de valoración judicial, que también pueda ser previsible. Tal y como expone la sentencia, el juez no debe aplicar sus convicciones personales u opiniones subjetivas como parámetros de valoración contrarios al modelo, sino que debe remitirse a las directrices generales del ordenamiento jurídico, a los principios de la lógica y a la experiencia adquirida para fundamentar si el modelo era adecuado o inadecuado. El problema radica en cómo concretar estos principios de la lógica y la experiencia.

En este ámbito, y para solventar estos problemas de inseguridad jurídica, se ha de tender de manera necesaria hacía la creación de un sistema de supervisión pública de los modelos de cumplimiento al que puedan acudir las empresas para que el organismo emita una opinión (no vinculante) sobre la idoneidad ex ante del modelo (en caso de cumplir con los requerimientos sectoriales que previamente han de ser acordados). Ello no significará una limitación de la función valorativa del juez, pero sí servirá para dotar a los programas de cumplimiento de una solidez específica y homologable, lo que implicará que el juez, cuando considere que se ha producido un defecto de organización debido a la inidoneidad del modelo, lo motive de manera reforzada utilizando unos cánones epistemológicos de valoración.

La mirada hacia Italia que se propone en este artículo no ha de ser acrítica, y ha de hacerse con las cautelas de quien analiza una sentencia de un sistema jurídico distinto al nacional, pero tengo el convencimiento de que determinados problemas que afronta la sentencia y el modo de resolverlo pueden ser de utilidad como puntos de referencia para desarrollar un sistema de interpretación propio, adaptado a la idiosincrasia de nuestro modelo de responsabilidad penal de la persona jurídica.