El término compliance hace referencia al área específica de una compañía que se encarga de identificar, asesorar, monitorear y alertar de los riesgos en que puede incurrir una empresa, pública o privada, para velar por el estricto cumplimiento de la legalidad.
El objetivo del compliance es evitar que una compañía incurra en delitos, sanciones o situaciones que puedan repercutir en el negocio o su reputación y comprometer su viabilidad. O lo que es lo mismo:
- Identificar riesgos de incumplimiento normativo
- Alertar sobre posibles incumplimientos
- Realizar un seguimiento de su corrección
Las consecuencias jurídicas que pueden derivar de la no implantación de programas de cumplimiento con respecto a la responsabilidad penal de las personas jurídicas pueden llevar a sanciones. Una empresa que no disponga de un sistema de compliance o que lo incumpla podría enfrentarse a:
- Multa de 200.000 euros
- Inhabilitación para obtener subvenciones y ayudas pública
- Prohibición definitiva de llevar a cabo cualquier actividad, aunque sea lícita
- Suspensión de las actividades hasta cinco (5) años.
- Comisión de un delito contra la hacienda.
- Ausencia del debido control para detectar un impuesto ordinario
La parte positiva es que cualquier empresa hubiera podido evitar la condena si contara con un plan de prevención de riesgos penales o compliance penal, ya que ello demostraría la existencia del debido control.
Para poder analizar el compliance dentro de una empresa, necesitamos:
- Ofrecer un control de cumplimiento normativo
- Controlar los riesgos para no incurrir en sanciones penales ni administrativas, ni en pérdidas materiales, financieras o daños de reputación en la empresa.
- Identificar el riesgo, sobre la base de regulación aplicable al sector de la empresa
- Crear una cultura ética en la empresa
- Formular propuestas y cambios de los procedimientos para asegurar que los riesgos identificados están gestionados de manera apropiada.
- Comunicar a la compañía, a todas las áreas afectadas, toda la información relativa a la gestión de sus riesgos
- Verificar la efectividad de las medidas adoptadas.
Y para ello, debemos cumplir tres fases para la elaboración del compliance:
- Identificación de obligaciones y riesgos de compliance
- Análisis de riesgos, probabilidad e impacto de incumplimiento
- Evaluación de riesgos y determinación de prioridades
¿Cómo se realiza la identificación de los riesgos dentro de una empresa?
- Se analiza para conocer los aspectos de la organización y su contexto (estructura, negocio, entorno regulatorio)
- Se entrevistan diferentes áreas de la empresa
- Se estudian los riesgos a los que está expuesta la empresa, incumplimientos cometidos, normativas específicas aplicables, etc.
- Se investigan los controles y procedimientos implementados
A continuación se establece una pormenorizada exploración de los delitos en los que una empresa puede incurrir:
- Daños informáticos
- Acoso sexual
- delitos contra la propiedad intelectual e industrial
- Delitos contra la hacienda pública y la seguridad social
- Cohecho
- Delitos de falsedad en medios de pago
Una vez conocidos los riesgos, se debe realizar un estudio de los factores que pueden influir en la probabilidad y de las consecuencias o impactos que pueden llevar. Se valora la magnitud del riesgo, parámetro que se mide valorando las consecuencias que pueden producir y las probabilidades que las amenazas se materialicen.
También se debe conocer cuál es la conducta tipificada en cada uno de los delitos que pueden generar responsabilidad para las personas jurídicas y cual es la actividad de la empresa, para poder cruzar la información y obtener los delitos que pueden ser cometidos con mayor probabilidad en el ámbito de la empresa
Con esta información se valorará la probabilidad e impacto de comisión de cada riesgo y se establecerá un mapa de riesgos de Cumplimiento bajo la fórmula Probabilidad x Impacto.
- Probabilidad: probabilidad de ocurrencia y en función de los controles existentes.
- Impacto: impacto de imagen, reputacional, impacto por ser sancionado, etc.
Para finalizar, una vez identificados y documentados los riesgos, se procede a realizar el mapa de riesgos. Un mapa de riesgos inherente y residual.
- Riesgo inherente: es aquel intrínseco a las actividades y áreas de negocio, sin considerar el entorno de control implantado en la organización.
- Riesgo residual: es el riesgo que asume la empresa tras haber aplicado los controles y las medidas de prevención correspondientes.
Como puedes comprobar el análisis del compliance de una empresa es una tarea ardua y concienzuda que requiere de la supervisión de expertos en la materia pero también una inversión en tiempo y tranquilidad necesaria para evitar posibles sustos a posteriori. La formación y una asesoría pormenorizada es vital.
