Definición
El compliance es el conjunto de medidas organizativas destinadas a prevenir que dentro de una empresa se cometan delitos.
Suena a asunto de multinacional y tiene una base legal muy concreta en España: desde 2010, las personas jurídicas responden penalmente. Una sociedad puede ser condenada —con multas, inhabilitaciones o incluso disolución— por delitos cometidos por sus administradores o empleados en su beneficio.
Y ahí está el punto que hace que esto importe a una pyme: tener un modelo de prevención eficaz puede eximir o atenuar esa responsabilidad.
Qué exige un modelo para servir
El Código Penal no vale con un manual en un cajón. Los requisitos son concretos:
Identificar los riesgos. Qué delitos se podrían cometer realmente en tu actividad. No los de un catálogo genérico: los tuyos.
Protocolos de decisión. Cómo se toman y documentan las decisiones en los puntos de riesgo.
Gestión de recursos financieros. Controles sobre cómo se mueve el dinero.
Canal de denuncias. Obligación de informar de posibles incumplimientos.
Sistema disciplinario que sancione el incumplimiento del modelo.
Supervisión. Un órgano con poderes autónomos que vigile el funcionamiento, y verificación periódica del modelo.
Ese último punto es el que más se descuida: un modelo que se redacta y no se revisa deja de ser eficaz, y un modelo no eficaz no exime de nada.
El canal de denuncias
Merece mención aparte porque en España pasó de recomendable a obligatorio para empresas a partir de cierto número de trabajadores, con la ley que traspuso la directiva europea de protección del informante.
Sus exigencias: debe permitir denuncias anónimas, garantizar la confidencialidad, tener un responsable del sistema, plazos de respuesta y protección real frente a represalias.
No es un buzón de sugerencias. Un canal que no protege a quien informa no cumple, y además no funciona: nadie lo usa.
Ejemplo práctico
En una pyme, el compliance no aparece por convicción: aparece porque un cliente grande lo exige.
Cada vez más homologaciones de proveedor incluyen un código de conducta que hay que firmar, preguntas sobre canal de denuncias y compromisos anticorrupción. Y en contratación pública es directamente un criterio.
Lo que aprendí: lo primero que hay que hacer no es comprar un manual, es mirar dónde está el riesgo de verdad en tu actividad. En distribución industrial, los delitos que realmente pueden aparecer son un puñado: contra la Hacienda Pública, blanqueo, corrupción en los negocios, delitos contra los trabajadores, contra el medio ambiente si se manejan residuos, y descubrimiento y revelación de secretos si se manejan datos.
Con esa lista corta, los controles necesarios son concretos y pocos. Un modelo genérico de cien páginas copiado de una plantilla no cumple el requisito legal —que exige identificar los riesgos propios— y además nadie lo lee.
El segundo aprendizaje, y es el que conecta con el software: buena parte de los controles que pide un modelo de compliance son, en realidad, trazabilidad. Quién aprobó este pago, quién cambió este precio, quién dio de alta este proveedor, quién accedió a estos datos. Eso no se documenta con un protocolo en Word: se documenta con un registro en el sistema.
Un ERP que guarda quién hizo cada cosa y cuándo aporta más al cumplimiento que un manual, porque genera la evidencia sola. Ver observabilidad.
Y una advertencia: el compliance no protege al administrador de su propia conducta. Un modelo eficaz puede eximir a la sociedad; a quien cometió el delito, no.
Errores comunes
- Creer que es solo para grandes empresas. La responsabilidad penal de la persona jurídica no distingue tamaño.
- Comprar un manual genérico sin identificar los riesgos propios.
- Redactarlo y no revisarlo. Un modelo desactualizado no es eficaz.
- Canal de denuncias sin protección real ni respuesta.
- No formar a nadie. Un modelo que la plantilla desconoce no previene nada.
- Sin sistema disciplinario. Es uno de los requisitos expresos.
- Confundirlo con protección personal del administrador.
Cuándo plantearlo
Cuando un cliente o una licitación lo exija, cuando la actividad tenga riesgos claros —manejo de residuos, contratación pública, datos personales, internacionalización— o cuando la empresa alcance el tamaño que obliga al canal de denuncias.
Y con el orden correcto: primero el mapa de riesgos reales, después los controles, y solo al final el documento. Hacerlo al revés produce papel que no exime de nada.
Con la advertencia obligada: esto es divulgativo. Un modelo de prevención de delitos lo diseña un abogado penalista o un especialista en compliance.
