Es posible que asociemos el compliance con las grandes empresas y que pensemos que es algo que no va con las pymes o que no lo necesitan, sin embargo, las leyes y las obligaciones que se derivan de ellas, afectan a todas las empresas por igual, tanto grandes como medianas y pequeñas. Por ese motivo, hemos elaborado esta guía de compliance para pymes, en la que explicamos cómo implementar un programa de compliance adaptado a las particularidades de una pyme.
En este artículo hablamos de:
¿Por qué implementar un programa de compliance para pymes?
Desde la reforma del Código Penal en 2015, contar con un plan de prevención de delitos penales efectivo, es un requisito esencial para que cualquier empresa pueda reducir o eximir su responsabilidad penal en la comisión de delitos por parte de sus miembros.
Desde entonces, muchas empresas han recurrido a la implementación de un programa de compliance, incluso han creado un departamento de compliance (en el caso de grandes empresas), para dar cumplimiento a dicho requisito, puesto que un plan de prevención de delitos penales no es más que una versión «simplificada» de un programa de compliance.
Dado que las pymes no están exentas de que alguno de sus miembros cometa algún delito que pueda beneficiarlas directa o indirectamente, contar con un programa de compliance para empresas, adaptado a sus necesidades y particularidades, es algo no solo necesario para evitar sanciones (o incluso la disolución de la empresa), sino que también le permitirá hacer frente a diferentes retos normativos y le aportará una serie de beneficios, que hacen del compliance en pymes una necesidad.
Los marcos regulatorios son cada vez más exigentes y complejos; saber qué leyes, reglamentos y regulaciones afectan a una pyme es fundamental para poder cumplir con las obligaciones derivadas de ellas y evitar posibles denuncias y sanciones.
Gracias al compliance para pymes, el empresario puede conocer y dar cumplimiento a esas obligaciones legales de una manera mucho más eficiente, además de alineada con los objetivos y procesos de la pyme. Así mismo, la implementación de un programa o plan de compliance permite a la pyme conocer a qué riesgos de cumplimiento está más expuesta y dónde poner el foco, para prevenir no solo la comisión de infracciones, sino también de delitos penales.
Para hacer frente a cualquiera de los retos normativos que suponen las leyes existentes, así como las modificaciones que puedan sufrir y las nuevas leyes, tanto nacionales como internacionales, casi podemos decir que el compliance es obligatorio para cualquier pyme, puesto que gracias a él, la empresa puede estar segura de cumplir con cada normativa que le afecte.
Conocer los riesgos de cumplimiento, hará más «fácil» su prevención y la implantación de medidas de control para ello.
Así mismo, el compliance para pymes aporta una serie de beneficios que merece la pena conocer:
- Reduce el riesgo de la comisión de delitos: Adoptar un plan de compliance en las pymes reduce el riesgo de la comisión de los delitos derivados de los riesgos de cumplimiento a los que pueda estar expuesta en su sector de actividad, tanto si hablamos de infracciones cometidas por descuido o desconocimiento de las leyes, como si se trata de delitos cometidos de forma consciente por miembros de la empresa.
- Atenuar o exonerar la responsabilidad penal de la pyme: Tal y como recoge el artículo 31 bis.5 del Código Penal, contar con un plan de compliance en las pymes podría atenuar o eximir de responsabilidad penal de estas empresas, en el supuesto de que uno de sus miembros cometa un delito, del que la pyme pueda haberse beneficiado directa o indirectamente.
- Ahorro de costes: Otro de los principales beneficios del compliance para las empresas y en relación directa con el punto anterior, la atenuación o exoneración de la responsabilidad penal de la pyme, se traduce en un ahorro de los costes derivados de las multas que la justicia pudiera imponer a la empresa, sanciones que son proporcionales o superiores (en ocasiones) al beneficio obtenido por el delito cometido y que para algunas pymes podrían suponer el final de su viabilidad.
- Beneficios de compliance para contratación pública: Para aquellas pymes que quieran optar a contratar con el sector público, contar con un plan de compliance implementado no solo será valorado positivamente en el concurso, sino que para contratar con las Administraciones Públicas es necesario haber adoptado un programa de prevención de delitos (tal y como recoge el artículo 31 bis del C.P.).
- Puede ayudar en la contratación con terceros: Actualmente, la mayoría de grandes empresas contratan o subcontratan servicios con pymes. Muchas de estas grandes empresas, que ya cuentan con su propio programa de compliance, extienden esta obligación a esas pymes con las que tienen pensado contratar o subcontratar, es decir, se preocupan que sus socios tengan implementado sus propios programas de cumplimiento normativo, para, en caso de la comisión de un delito, no verse salpicadas por ello.
- Facilita la obtención de financiación: De cara a obtener financiación, tanto de entidades financieras como de posibles subvenciones, las pymes que cuenten con plan de compliance tendrán más facilidades, puesto que podrán dar más garantías en cuanto cumplimiento fiscal y la prevención de delitos como el blanqueo de capitales. Respecto a la obtención de subvenciones, tener un plan de compliance dará ventaja a las pymes sobre aquellas que no lo tengan (por ejemplo, ha sido uno de los requisitos para la obtención de los fondos Next Generation de la UE).
- Mejora la imagen y la reputación corporativa: Las pymes que tengan implementado un plan de compliance mostrarán una mejor imagen y reputación corporativa tanto de cara a sus clientes como a una sociedad cada vez más preocupada con la sostenibilidad, el respeto de los derechos de los trabajadores o la igualdad. Los planes de compliance muestran el compromiso de las pymes con el cumplimiento de la ley y las normas y su cero tolerancia hacia irregularidades en el desempeño de su actividad. Dos elementos que favorecen la imagen de las pymes y ayudan a prevenir la pérdida de reputación que sufren las empresas en cuyo seno se ha cometido algún delito.
Guía de Compliance para las pymes
Para hacer un plan de compliance para pymes, nos podemos fijar en los requisitos que se especifican en el artículo 31 bis del Código Penal, puesto que son los que, en un hipotético juicio, se van a exigir para reducir o eximir a la pyme de su responsabilidad penal. Sin embargo, cumplir con estos requisitos es limitarse a hacer un plan de prevención de delitos penales y no abarcaría los riesgos de cumplimiento derivados de otras normativas de aplicación (como, por ejemplo, la normativa laboral, de igualdad o de protección de datos, que las pymes también deben cumplir).
Para ir más allá e implementar una auténtica cultura compliance en la pyme se deben seguir los siguientes pasos:
1º.- Medir el nivel de madurez en compliance:
En un primer paso, es necesario determinar el nivel de madurez en compliance de la pyme, para así poder saber qué se está haciendo ya en materia de compliance y qué no y es necesario incluir en el plan de compliance de la pyme. Por ejemplo, ¿cuenta ya la pyme con un código ético?
2º.- Asignar los recursos financieros necesarios:
En un segundo paso, se deben determinar los recursos financieros que se van a destinar a la implementación del plan de compliance. Estos recursos deben quedar documentados (por ejemplo, a través de un acta), en aras de la transparencia y trazabilidad.
3º.- Elaborar un mapa de riesgos:
El siguiente paso es realizar un mapa de riesgos compliance basado en las normativas que afectan a la empresa en base a su contexto (actividad, tamaño, localización, etc.). Este mapa, o mapas (porque pueden hacerse varios), servirá para identificar a qué riesgos se enfrenta la pyme, el grado de probabilidad de que se materialicen y el nivel de impacto que tendrán para la empresa.
Por ejemplo, un gimnasio se enfrenta al riesgo de sufrir un ciberataque que filtre los datos personales de sus clientes, lo que puede acarrearle una sanción de la AEPD.
4º.- Diseñar el plan de compliance para pymes:
En base al informe extraído del mapa de riesgos, se podrán diseñar los controles necesarios para prevenir los riesgos de cumplimiento, es decir, se elegirán aquellas medidas y procedimientos más adecuados para reducir las probabilidades de materialización de los riesgos, así como la mitigación de su impacto en caso de que ocurran. Estas medidas y procedimientos se incluirán en el plan de compliance.
Ejemplos de estos son el código ético, el código de conducta, la política de aceptación de regalos, el protocolo de protección de datos, el canal de denuncias, etc.
5º.- Designación del órgano de cumplimiento:
Diseñado el plan, antes de pasar a su implementación en la pyme, es necesario designar un órgano de cumplimiento o compliance officer, que se encargará de supervisar la implementación del plan y el cumplimiento del mismo, además de llevar el seguimiento y evaluación del mismo.
En las pymes que puedan formular cuenta de pérdidas y ganancias abreviada, esta función puede recaer en el órgano de administración de la pyme. Aunque también es posible que este designe un compliance officer externo (contratado a través de los servicios de una consultoría especializada), para poder así garantizar un mayor grado de independencia y autonomía.
Además, en pymes de menor tamaño, donde la dirección la desempeña una única persona, contar con asesoría y asistencia externa de abogados compliance, representa una solución para la falta de conocimientos sobre cumplimiento normativo (y tiempo que hay que dedicar a las tareas asociadas a ello).
6º.- Implementación del plan de compliance:
Bajo la supervisión del órgano de compliance, se procederá a implementar las medidas y procedimientos establecidos en el plan de compliance en todas las áreas o departamentos de la pyme.
7º.- Implementación del canal de denuncias:
Aunque más arriba lo hemos mencionado como una de las medidas del plan de compliance para pymes, contar con canal de denuncias es un requisito indispensable del programa de compliance. Este canal debe contar con un reglamento para su uso e ir acompañado de un protocolo de gestión e investigación de las denuncias que se reciban a través de él.
Como en el caso del órgano de compliance, la gestión del canal de denuncias se puede externalizar, contratando este servicio a una consultora especializada en compliance.
8º.- Comunicación y formación:
El plan de compliance y el canal de denuncias serán comunicados a todos los miembros de la pyme, para que así puedan poner en práctica y dar cumplimiento a las medidas y procedimientos incluidos en el plan y sepan qué vías existen para denunciar incumplimientos de los que puedan ser testigos.
Así mismo, también se formará a los empleados en materia de compliance y del funcionamiento del propio plan y canal de denuncias.
9º.- Establecer un régimen sancionador:
Se establecerá un régimen sancionador para castigar los incumplimientos de las medidas y procedimientos establecidos en el plan de compliance. Este régimen debe hacerse siempre dentro de los límites que establece la ley laboral.
10º.- Seguimiento y evaluación:
Finalmente, se deberá llevar un seguimiento del plan de compliance, evaluando el nivel de aplicación y efectividad de las medidas y procedimientos adoptados, para comprobar si realmente funcionan. Para ello, se puede recurrir a la realización de una auditoría de compliance periódica y externa, así como cada vez que se produzca un cambio significativo en la pyme.
Esta revisión del plan o programa de compliance permitirá mejorar o reforzar aquellas medidas que hayan resultado ser insuficientes o no efectivas.
Además, será necesario actualizar el plan de compliance cuando se produzcan novedades normativas que puedan afectar a la pyme o su actividad.
Recursos financieros
Es fundamental para el éxito del plan de compliance de la pyme, que el máximo órgano de gobierno o administración de la misma destine los recursos becarios para la correcta gestión y seguimiento del mismo.
Los recursos necesarios para la implementación y seguimiento del plan de compliance se dividen en:
- Recursos financieros, elaborando una partida presupuestaria específica para la implantación del compliance en la pyme.
- Recursos humanos, designando o contratando el personal responsable del compliance en la pyme (por ejemplo, se puede contratar un compliance officer externo).
- Recursos tecnológicos que ayuden a la pyme en la implementación y control de las medidas de compliance (por ejemplo, un software de gestión de compliance o un software para la gestión del canal de denuncias).
Cómo ya recogimos más arriba, siempre se debe dejar constancia documental de la asignación de recursos al plan de compliance de la pyme.
Autodiagnóstico
El autodiagnóstico del nivel de cumplimiento normativo en la pyme es clave para determinar el grado de madurez de la misma en esta materia; si ya existen en la pyme medidas de compliance o de prevención de riesgos penales.
Para realizar el autodiagnóstico en materia de compliance, la pyme puede recurrir a cuestionarios relativos a las obligaciones legales que debe cumplir y a las medidas y controles que son necesarios implantar y aplicar para minimizar los riesgos de incumplimiento.
Este tipo de cuestionarios, que deben incluir un sistema de puntuación, servirá para conocer el punto de partida de la pyme en cuanto a cumplimiento normativo, las medidas que ya tiene en marcha y cuáles son necesarias adoptar. Aunque para ello, antes es necesario saber a qué riesgos de cumplimiento se enfrenta.
Gestión de riesgos penales
La gestión de riesgos penales, así como de otros riesgos de cumplimiento, es el eje central del plan de compliance, ya que el objetivo final de este plan es minimizar o eliminar estos riesgos, para evitar que la empresa y sus miembros cometan infracciones administrativas o delitos penales, que supongan no solo un coste económico a la pyme, sino también un daño reputacional y una posible responsabilidad penal.
La gestión de riesgos penales para pymes se divide en cuatro fases:
- Identificación de riesgos: Será necesario tener una lista de las posibles infracciones y delitos penales en los que puede incurrir la pyme derivados de su actividad y procesos y a los que está expuesta. Por ejemplo, una pyme que genere residuos tóxicos, tiene más probabilidades de cometer un delito medioambiental.
- Análisis y evaluación de riesgos: Consiste en determinar la probabilidad de que ocurra un riesgo y el nivel de impacto negativo que tendría para la pyme si el riesgo termina materializándose. Este tipo de análisis se efectúa, normalmente, recurriendo a un mapa de riesgos, que permite medir ambas variables y determinar el nivel de riesgo antes de aplicar ninguna medida de control (lo habitual es que se clasifique el riesgo en nivel bajo, medio, alto y muy alto). Esta evaluación también establece el orden en el que se debe abordar la gestión de riesgos (primero los más altos).
- Definición de controles y medidas de tratamiento: En esta fase se definen los controles y medidas de tratamiento para reducir los niveles de riesgos hasta que sean aceptables. Se aplicarán aquellas medidas y controles más adecuados para prevenir, detectar o evitar los riesgos de cumplimiento. Para una implementación de controles y medidas efectivos, se deben definir los siguientes elementos:
- Responsable del control
- Cronograma de aplicación
- Recursos para la implantación
- Medición del resultado
- Seguimiento y revisión: Finalmente, se volverán a evaluar los riesgos teniendo en cuenta las medidas y controles aplicados para obtener el nivel de riesgo residual (el nivel que es tolerable para la pyme). Si el nivel de riesgo no disminuye, será necesario buscar otros controles y medidas que sí lo hagan. Así mismo, estos controles y medidas deben ser revisados con periodicidad, especialmente cuando se produzcan cambios significativos en la pyme o en las leyes y normas que le son de aplicación.
Consejos para la aplicación del compliance para pymes
A continuación os dejamos algunos consejos para aplicar el compliance en las pymes de manera efectiva y válida, sobre todo de cara a la necesidad de tener que evitar o atenuar la responsabilidad penal de la pyme:
- Documentar todo el proceso y todas las acciones que se lleven a cabo durante la aplicación del plan de compliance.
- Gestionar de manera rápida las denuncias que se reciban en el canal de denuncias.
- Promover una cultura del cumplimiento a través de sesiones de formación y sensibilización del personal.
- Castigar siempre (dentro de los límites legales) las acciones contrarias al plan o los incumplimientos de sus medidas.
- Dada la complejidad que puede suponer la elaboración y aplicación de un programa de compliance para pymes, es recomendable recurrir a los servicios de una consultora especializada en ello, puesto que tendrá un mayor conocimiento sobre las normativas que afectan a la empresa, además de asegurar más objetividad e independencia a la hora de crear y aplicar el programa.
En definitiva, se trata de que el plan de compliance para pymes vaya más allá del «simple» plan de prevención de delitos penales del que nos habla del Código Penal, e instaurar en la empresa una auténtica cultura del cumplimiento, para no solo prevenir la comisión de delitos penales por parte de sus miembros, sino para asegurar que los procesos de la empresa se llevan a cabo siempre dentro de la legalidad y esta, en su conjunto, y sus empleados cumplen con las obligaciones legales que les afectan.