"El plan de compliance no puede sobrecargar a la empresa con procesos que no sirvan para nada"

La llegada de la responsabilidad penal de las personas jurídicas ha hecho que las empresas estén obligadas a introducir un plan de cumplimiento normativo (compliance) en sus procesos. Su buena implantación puede librar de la sanción, incluso habiendo cometido un delito. Sin embargo, no todo vale en materia de compliance. Las entidades tienen que tener las medidas para la prevención del delito previstas, redactadas e implantadas. Si demuestran que se han puesto en marcha estos mecanismos, se librarán de la sanción.

Jordi Sot Ball-llosera, abogado y socio director de Compliance del despacho Toda & Nel-lo, conoce bien esta nueva responsabilidad de los administradores. Su experiencia dentro de las compañías, además, le ha permitido un conocimiento muy alto de los mecanismos empresariales desde dentro. De este modo, no es ningún intruso externo que llega a las empresas para aplicar estos planes. Sabemos de primera mano lo que hay que hacer y creo que tenemos una sensibilidad especial para implantar lo que realmente se necesita, ni más, ni menos, señala.

¿Se siguen viendo barbaridades en las empresas? ¿De verdad ha llegado el cambio de mentalidad que inspiraba a la reforma?

Cada vez menos. Pero es verdad que aún te encuentras con cosas sorprendentes. Por ejemplo, muchas empresas no solicitan credenciales a sus futuros empleados y ahí nos encontramos con una culpa clarísima del empresario si su trabajador tiene que ser titulado y finalmente no lo es. Esto supone un agravante en la responsabilidad.

¿Los empresarios y los consejos de administración prestan la atención a este asunto que se merece?

Han tomado más conciencia porque, entre otras cosas, la responsabilidad es para los administradores y representantes de hecho o de derecho. Por eso es importante tener una normativa interna de buen gobierno que garantice una cierta seguridad.

¿Dónde es el primer sitio en el que miran cuando empiezan a configurar un plan de compliance en una empresa?

Tenemos una forma de trabajar bastante diferente. Muchos lo que hacen es reunirse con el consejo de administración y los altos ejecutivos y preguntarles dónde ven ellos los riesgos y en qué delitos creen que tienen más probabilidades de incurrir. Nosotros no. Vamos abajo, al trabajador. Estudiamos el proceso y a partir de ahí sacamos los riesgos. Le decimos al equipo directivo cuáles tienen sin que ellos nos digan nada. Hablamos con las personas que trabajan en el día a día. Muchas veces presentamos los resultados a los consejos y se sorprenden con los resultados. Les contamos cosas que no sabían porque es difícil verlas desde arriba y muchas veces hay rutinas que están mal.

Una de las materias que todavía causa más expectación es la implantación del canal de denuncia. ¿Es difícil explicar a los empleados que tienen que informar de las actividades que son susceptibles de delito?

Hay que formar a toda la organización. Es muy importante explicar a todo el mundo cómo deben utilizar el canal de denuncias y su importancia. No te conviertes en ningún chivato. De hecho, lo que nosotros siempre explicamos es que este canal es la vía perfecta para el que quiere ayudar a proteger a la empresa. Si la compañía recibe una condena afecta a todos lo empleados. No les estamos convirtiendo en policías, les estamos haciendo participar de la protección de la empresa en la que trabaja y mantienen a su familia.

¿Cuáles son los riesgos a los que prestan más atención?

Es muy importante controlar el blanqueo de capitales. Establecemos protocolos para controlar las transferencias y demás y ver que no se envíen por parte de ningún cliente desde paraísos fiscales.

¿Y los que más se encuentran?

Es muy típico la falta de regulación en el uso de los sistemas informáticos. La tecnología, ahora, te da un mundo brutal y las empresas todavía no prestan atención a todos los riesgos derivados de su implantación. Es un tema en el que hay que incidir mucho para evitar problemas. El tema ha cambiado muchísimo en pocos años. Las soluciones que tenías implantadas hace unos meses para evitar robos ya no valen hoy. Lo hemos visto con el servidor en la nube, que ahora facilita el robo de información.

¿Cómo afrontan este problema?

Con políticas de sistemas y, sobre todo, prevención. La proactividad es importante para controlar al seguridad. Nos encontramos con problemas de hackeos, amenazas o bloqueos con bastante frecuencia. Tenemos varios clientes que pican en estas cosas e, incluso, llegan a enviar el dinero que les piden.

¿Su trabajo termina con el plan de compliance?

No. Nosotros siempre nos quedamos con los clientes, les ayudamos y somos miembros de algún comité de compliance. Hacer el seguimiento es fundamental en esta materia.

Con tanto protocolo, al final parece que la empresa tiene que estar más pendiente de esto que de su cuenta de resultados...

Hay que evitar que todo esto suponga una carga. Muchos planes que nos han traído algunos clientes para que los analicemos sobrecargan a la organización. Esto no puede ser, las empresas tienen que seguir operando. Hay que poner controles, sí, pero que no encorseten a la organización. Nosotros hemos estado en las empresas y tenemos esa sensibilidad sobre cómo implantar las medida. Por un lado, sabemos dónde patinan y dónde hay riesgos. Pero por otra parte también somos conscientes de que poner un control excesivo que no se va a cumplir es inviable. Esto es un fracaso.

A la sombra de la reforma han aparecido muchos iluminados que ahora son expertos en compliance. ¿Han detectado muchas asesorías de este tipo, sin experiencia?

Hemos arreglado a muchas empresas que nos han venido con un compliance teórico, de copia y pega. Esto tiene que ser hecho a medida. Cada empresa es un mundo. No es lo mismo una familiar, que una multinacional y, de cada sector, ni hablemos de la cantidad de casuística que hay. Nos encontramos con que se han hecho auténticas chapuzas. Estamos teniendo una oleada de clientes que vienen rebotados de estas asesorías.

Evidentemente, esto no sirve.

No. Es muy curioso un caso que se da bastante. Las empresas se bajan un código de conducta por internet y lo mandan a los empleados. Esto no funciona. Tendrás que acreditar que has hecho todo lo posible para evitar que se produzca este delito y esto, ya lo han dicho los jueces, no vale.