Enron tenía un código de ética de 64 páginas, firmado por su presidente y director ejecutivo, cuando estalló uno de los mayores fraudes corporativos de la historia. Sus principios de honestidad e integridad estaban escritos, pero no impidieron que la propia dirección autorizara excepciones a las reglas éticas que facilitaron graves conflictos de interés.
El caso contrasta con el de Morgan Stanley, que en 2012 enfrentó un episodio de corrupción cometido por uno de sus directivos en China. Pese a la conducta del ejecutivo, el Departamento de Justicia de Estados Unidos decidió no procesar a la empresa y valoró, entre otros factores, que había establecido y mantenido controles anticorrupción, impartido formación y realizado actividades de supervisión.
Ambos antecedentes ilustran una diferencia central para las empresas: contar con un programa de cumplimiento no demuestra que sea efectivo, del mismo modo que la comisión de un delito no significa, por sí sola, que el sistema haya fracasado.
En República Dominicana, un precedente muestra que una organización puede demostrar la utilidad de sus controles al llevar ante las autoridades un caso de presunta corrupción, pese a la exposición y al posible impacto reputacional.
La normativa coloca bajo mayor atención los deberes de dirección, control y supervisión. Una empresa puede quedar expuesta cuando dentro de su estructura ocurre un delito y, durante el proceso penal, se determina que este fue posible por una falta de control o de cumplimiento. Por eso, la pregunta ya no se limita a si existe un manual, sino a si la organización puede demostrar que sus medidas preventivas operaban en la práctica.
Tres dimensiones para evaluar el cumplimiento
Tania de León, presidenta de la World Compliance Association, capítulo República Dominicana (WCA-RD), plantea distinguir tres dimensiones para determinar si un programa está correctamente implementado: existencia, funcionamiento y efectividad. La primera acredita que el mecanismo fue establecido; la segunda, que se aplica; y la tercera, que resulta adecuado y contribuye a prevenir, detectar o gestionar los riesgos para los que fue diseñado.
“Esto no significa que un programa efectivo deba garantizar la ausencia absoluta de delitos, porque ningún sistema puede hacerlo. Significa que la empresa debe poder demostrar que adoptó medidas preventivas razonables, proporcionales a sus riesgos y capaces de operar en las condiciones reales de su actividad”, explica De León a elDinero.
La revisión documental permite conocer el diseño del sistema, pero no cómo funciona dentro de la organización. Una política puede ordenar rechazar ciertas conductas sin aclarar qué ocurre cuando cumplirla supone contradecir a un superior, retrasar una operación o renunciar a una oportunidad comercial.
Para De León, evaluar la efectividad requiere examinar las condiciones reales en las que se toman las decisiones. Esto supone ir más allá de los documentos mediante entrevistas, observación de procesos, análisis de operaciones y pruebas que permitan comprobar cómo responde el sistema ante situaciones concretas.
Una señal de funcionamiento es que el cumplimiento influya en las decisiones: que una contratación sea revisada, una operación se detenga ante una alerta o una decisión comercial cambie para evitar un riesgo. Así, el programa deja de ser formal y pasa a intervenir en la gestión cotidiana.
La empresa debe reconstruir la trazabilidad preventiva: cuándo identificó riesgos, qué controles diseñó, cómo los aplicó y qué evidencias produjo antes de los hechos investigados. Ante un posible soborno relacionado con intermediarios comerciales, por ejemplo, no bastaría con presentar una política que prohíba pagos indebidos; habría que demostrar evaluaciones de terceros, autorizaciones, atención a señales de alerta y supervisión de las operaciones.
Lo que deberá valorar la Justicia
El artículo 8 del Código Penal vincula la responsabilidad de la empresa al incumplimiento de sus deberes de dirección, control o supervisión respecto de sus órganos, representantes y subordinados. También debe valorarse cómo respondió la empresa ante la conducta investigada.
Desde la perspectiva judicial, la jueza Nicole Mejía explica que los tribunales deberán examinar dos niveles: la responsabilidad de la persona física que ejecuta la conducta y la de la persona jurídica que pudo facilitarla, permitirla o no prevenirla.
“Esto implica que no debemos centrar la investigación en la sola existencia del hecho delictivo, sino en la cultura organizacional, los mecanismos de prevención, la estructura de gobierno corporativo de la empresa y cómo esta gestionaba sus riesgos conforme a la actividad que realiza”, señala Mejía.
Para distinguir un programa formal de uno que funcionaba al momento de una infracción, considera relevantes las pruebas sobre identificación y actualización de riesgos, capacitaciones ajustadas a las funciones del personal, reportes, auditorías internas al día, actuaciones del oficial de cumplimiento y medidas disciplinarias ante infracciones anteriores. Esos elementos pueden ayudar a demostrar el gobierno corporativo y la aplicación de las políticas preventivas.
La evaluación presenta dificultades probatorias. Mejía observa que, mientras la investigación tradicional se concentra en el hecho concreto y en quién pudo participar, los casos que involucran a una persona jurídica exigen examinar procesos organizacionales complejos. La autonomía de cumplimiento y el funcionamiento de los controles no siempre se comprueban con una sola evidencia.
Por ello, el análisis puede incluir organigramas, líneas de reporte, presupuesto asignado y la capacidad del oficial de cumplimiento para formular observaciones sin interferencias. No basta con confirmar que el cargo existe: también debe establecerse si quien lo ocupa trabaja con autonomía y cuenta con condiciones para ejercer sus funciones.
La jueza advierte que los tribunales deberán familiarizarse con la gestión de riesgos, la auditoría interna y el cumplimiento normativo. Valorar informes, controles preventivos y mecanismos de monitoreo requiere conocimientos técnicos y puede hacer necesario el apoyo de peritos especializados.
Responsabilidades en las empresas
La nueva normativa también obliga a precisar quién dirige, quién supervisa y quién controla. Babaji Cruz, vicepresidente de LEXI Consultores, sostiene que cada deber debe tener responsables definidos. La dirección organiza la prevención mediante políticas, recursos y autonomía para quienes vigilan; la supervisión procura que las decisiones se ejecuten; y el control verifica su cumplimiento, detecta fallas y permite aplicar correcciones.
Cruz identifica como uno de los errores más frecuentes creer que basta con elaborar un manual. Copiar un modelo, firmarlo y archivarlo puede generar una falsa sensación de protección y, si no hay pruebas de aplicación, dejar evidencia de negligencia. El programa debe responder al contexto de cada empresa, identificar sus riesgos y establecer controles adecuados para prevenirlos.
Cruz cuestiona que las organizaciones esperen a una investigación, un escándalo o una acusación para actuar. Anticiparse permite reducir costos y responder mejor: la prevención debe preceder al problema.
El alcance de esa responsabilidad tiene un límite relevante cuando la conducta irregular procede de la propia dirección. Cruz explica que la eximente está concebida para supuestos en los que el programa fue burlado mediante maniobras fraudulentas de personas ajenas a la dirección. Si la decisión contraria a la ley se toma en los niveles superiores, el sistema no necesariamente libera a la empresa de responsabilidad y los directivos pueden quedar expuestos personalmente por su posición de garante.
Cruz propone que los manuales consideren incentivos que premian metas a cualquier costo, el liderazgo ético, la relación con los grupos de interés y evaluaciones independientes periódicas. El cumplimiento, subraya, debe reflejarse en actuaciones cotidianas y en la cultura empresarial.
Papel del oficial de cumplimiento
Para Lenin Ortiz, oficial de cumplimiento, el nuevo régimen amplía el trabajo preventivo más allá del ámbito del lavado de activos. Aunque ese campo ya utiliza un enfoque basado en riesgos, el cumplimiento penal exige considerar otras conductas delictivas que pueden comprometer a la empresa.
El primer paso es diagnosticar la organización, identificar los riesgos penales de sus actividades, procesos y relaciones comerciales y elaborar una matriz para definir medidas preventivas y controles. Los manuales son una herramienta, no el centro ni una garantía suficiente.
Ortiz destaca además la necesidad de definir la autonomía de la función de cumplimiento, los mecanismos de vigilancia y control y las responsabilidades de la alta dirección. También considera positivo fortalecer los canales de denuncia, incluso con la posibilidad de recibir comunicaciones anónimas. Para que funcionen, precisa, deben existir procedimientos para evaluar la información, determinar qué casos ameritan investigación y gestionarlos con objetividad, confidencialidad y respeto a los derechos de las personas involucradas.
Como parte de la respuesta institucional, recomienda establecer un comité de cumplimiento penal con participación y respaldo de la alta dirección. Ese órgano permitiría dar seguimiento a los riesgos identificados, impulsar medidas preventivas y procurar que el programa disponga de los recursos necesarios para operar.
La tarea no corresponde solo a las empresas ni a sus oficiales. De León advierte que el cumplimiento puede crecer más rápido que la capacidad para evaluar su efectividad. Plantea fortalecer las competencias en evaluación de controles, auditoría, investigación interna, análisis de evidencia y pruebas de funcionamiento, con mayor especialización sectorial y metodologías que examinen los sistemas en condiciones reales.
Mejía coincide en que jueces, fiscales y abogados deberán ampliar sus conocimientos sobre gobierno corporativo, gestión de riesgos, auditorías internas y externas, controles, prevención del lavado de activos y análisis de datos. Los estándares internacionales de cumplimiento y gestión de riesgos, como ISO 37301 e ISO 31000, también ofrecen referencias para evaluar los modelos de prevención y control.
El reto que deja la entrada en vigor del nuevo Código Penal es, por tanto, doble: que las empresas pasen de tener políticas escritas a demostrar controles aplicados y que el sistema de Justicia cuente con herramientas para valorar esa evidencia. La eficacia no se acredita prometiendo que nunca habrá infracciones, sino probando que los riesgos se identificaron, las medidas se ejecutaron y los controles podían actuar incluso cuando cumplirlos resultaba incómodo para la operación o la dirección.
Responsabilidad penal
De acuerdo con el artículo 8 del Código Penal de República Dominicana, las personas jurídicas son penalmente responsables de las infracciones cometidas, por su cuenta, en su nombre o en su beneficio directo o indirecto, por sus órganos de dirección o representación, o por las personas físicas que tengan la autoridad para ejercer el control de la persona jurídica.
