Gestión de riesgos y Compliance penal, una perspectiva estratégica

Muchas empresas del sector turístico ya han emprendido, o deberían haberlo hecho, la implantación del compliance penal en su organización. Tras su reforma por la Ley Orgánica 1/2015, el Código Penal establece la posibilidad que una persona jurídica sea autora de determinados delitos regulados en el propio Código.

Como sabemos el objetivo del compliance penal es implementar una serie de herramientas jurídicas y organizativas, para prevenir la comisión de delitos de los directivos y empleados de la empresa. Estas herramientas básicamente desembocan en la implantación de lo que llamamos un sistema de gestión, modelo de organización común a multitud de normas y objetivos (de calidad, medioambiental, de privacidad, seguridad, continuidad del negocio, etc.). Para dotar de una mayor coherencia y capacidad de demostración de su cumplimiento, se han publicado diversas normas que definen y orientan la implantación de sistemas de gestión de compliance penal, como la ISO 19600 sobre sistemas de gestión de Compliance, o la UNE 19601 sobre compliance penal.

La implantación de todo sistema de gestión de compliance tiene una fase crítica, y posiblemente la más compleja: la identificación y gestión de los riesgos penales de la empresa. Esta acción es de vital importancia para poder establecer las medidas de vigilancia y controles correctos para disminuir, si no eliminar, los riesgos identificados.

Generalmente, y ahí la reflexión de este artículo, todo el proceso de gestión de riesgos queda en una “fotografía” del mapa de riesgos, en un momento concreto de la año (con suerte) y aislado de la evaluación de otros riesgos en la empresa, como pueden ser los financieros, de seguridad de la información, de calidad, etc. Para poder gestionar los riesgos desde una perspectiva más estratégica, con capacidad de entrelazar medidas y controles aplicados entre las distintas fuentes de riesgos, con eficiencia y eficacia, tenemos la inestimable ayuda de la Norma ISO 31000.

La Norma ISO 31000, de gestión de riesgos corporativos, es el gran paraguas que nos permite aplicar una gestión más elevada y completa de los riesgos identificados dentro de las organizaciones, sea cual sea su origen y consecuencias. El motivo es la unificación de criterios a la hora de identificar, evaluar y gestionar los riesgos. De hecho, la norma aboga por considerar, entre otros, los siguientes factores a la hora de analizar los riesgos:

- La probabilidad de los eventos y de las consecuencias

- La complejidad y la interconexión

- La efectividad de los controles existentes

Tanto la interconexión como la efectividad de los controles existentes, son factores que nos ayudan enormemente a integrar la gestión de los riesgos con otras áreas de la empresa. Pongamos un ejemplo de ello; los parámetros para evaluar los riesgos, si nos basamos en la Norma ISO 31000, son de manera primaria la probabilidad de que sucedan las amenazas, y el impacto que producen en la empresa cuando se materializan. Estos factores de cálculo precisan que establezcamos previamente unos impactos y probabilidades, un “un tapete de juego”, comunes a todos los riesgos. Es decir, para que el mapa de riesgos corporativos sea homogéneo, sus valoraciones también deben serlo. Por ello, un impacto máximo en la empresa debería ser el mismo para cualquier evaluación de riesgos, ya sea de compliance, seguridad o medioambiental.

Una vez tengamos el mapa de riesgos dibujado para la organización, su gestión desde una perspectiva estratégica será efectiva y nos permitirá una visión que antes no teníamos, siendo antes más estanca e independiente. No olvidemos que la identificación de riesgos penales puede surgir por la evaluación de otra perspectiva de riesgos, lo cual es oro puro si finalmente la identificamos y tratamos como es debido.

En conclusión, es recomendable que la gestión de riesgos en el Compliance penal, así como en cualquier otro sistema de gestión, se realice mediante una norma o estándar unificado. Y aquí, la Norma ISO 31000 es la que gobierna a todas.

Xavier Ferretjans

Director de BINAURAMONLEX

xferretjans@binauramonlex.com