La relación entre Compliance y administradores sociales constituye uno de los espacios más complejos, sensibles y jurídicamente conflictivos del gobierno corporativo contemporáneo.
La expansión de los sistemas de cumplimiento normativo, la consolidación de la responsabilidad penal de las personas jurídicas y el crecimiento exponencial de las obligaciones de supervisión empresarial han transformado profundamente el estatuto jurídico de los administradores societarios.
Hoy ya no basta con gestionar la actividad económica de la empresa conforme a criterios tradicionales de rentabilidad o eficiencia empresarial.
El administrador contemporáneo se encuentra sometido a una obligación mucho más amplia: garantizar que la organización desarrolla su actividad dentro de parámetros adecuados de legalidad, control, supervisión y prevención de riesgos.
La gran cuestión que emerge en este contexto es extraordinariamente compleja: cuando una empresa incumple, cuando se produce un delito corporativo, cuando fracasa el sistema de Compliance o cuando aparecen graves irregularidades organizativas, ¿quién responde realmente? ¿Responde la sociedad como persona jurídica? ¿Responden los administradores? ¿Responde el Compliance Officer? ¿Responden los directivos operativos? ¿Responden todos simultáneamente?
La respuesta no es sencilla, porque el Compliance ha alterado radicalmente la arquitectura tradicional de la responsabilidad empresarial.
Del modelo clásico a la responsabilidad estructural
Durante décadas, el modelo clásico de responsabilidad societaria descansaba sobre una estructura relativamente clara.
Durante muchos años, el administrador social fue percibido como el único centro de imputación de los riesgos corporativos relevantes.
La sociedad actuaba, decidía y operaba a través de sus órganos de administración, y ello implicaba que la responsabilidad jurídica terminaba proyectándose esencialmente sobre quienes ostentaban el poder formal de dirección.
Los administradores respondían fundamentalmente por infracción de deberes societarios, daños causados a la sociedad, incumplimientos mercantiles o actuaciones contrarias a la diligencia exigible en la gestión empresarial.
El Compliance, sin embargo, ha modificado completamente esta lógica.
Sin embargo, la progresiva sofisticación de las organizaciones empresariales, la complejidad tecnológica, la fragmentación funcional de las decisiones, la hiperregulación sectorial y la expansión del Compliance como sistema autónomo de control interno han alterado profundamente esa lógica tradicional.
Hoy ya no resulta suficiente afirmar que “responde el administrador” como fórmula universal.
La introducción de sistemas de prevención penal y de obligaciones organizativas complejas ha generado un nuevo escenario donde las fronteras de responsabilidad aparecen profundamente difusas.
Aquí aparece una de las grandes paradojas del Compliance contemporáneo.
Cuanto más sofisticado es el sistema de cumplimiento, más evidente resulta que la organización conocía los riesgos existentes.
Y cuanto más conocimiento existe sobre los riesgos, mayor puede ser el nivel de exigencia respecto de quienes tienen la responsabilidad última de supervisión.
El Compliance no reduce necesariamente la exposición jurídica de los administradores; en muchos casos, la intensifica.
La relación entre el Compliance y la responsabilidad de los administradores sociales constituye actualmente uno de los ejes más complejos, delicados y estratégicos del moderno Derecho penal económico, del gobierno corporativo y de la responsabilidad empresarial.
Tampoco resulta jurídicamente correcto sostener que la existencia de un Compliance Officer desplaza automáticamente la responsabilidad hacia este último.
La realidad corporativa es mucho más compleja.
La cuestión verdaderamente relevante ya no consiste únicamente en determinar quién tenía el cargo formal, sino quién ostentaba realmente el control efectivo del riesgo, quién disponía de capacidad de decisión, quién conocía la irregularidad, quién omitió actuar pudiendo hacerlo, quién neutralizó controles, quién generó incentivos ilícitos, y quién toleró conscientemente la creación de un entorno criminógeno dentro de la organización.
Consiguientemente con todo ello, la aparición de los modelos de organización y gestión derivados del artículo 31 bis del Código Penal español ha transformado radicalmente el análisis de la responsabilidad dentro de las empresas.
El legislador ha introducido un modelo de imputación que obliga a examinar no solamente la conducta concreta de una persona física, sino también la calidad estructural del sistema de prevención implantado por la organización.
Ello ha desplazado el foco desde el autor material aislado hacia el análisis sistémico de la gobernanza empresarial.
En consecuencia, la pregunta esencial pasa a ser si la empresa creó realmente una arquitectura de control idónea para prevenir delitos o si, por el contrario, el modelo de Compliance era meramente cosmético, formal o instrumental.
El Compliance no sustituye al órgano de administración
En este contexto emerge un conflicto nuclear: el administrador social conserva legalmente el deber último de dirección y supervisión de la compañía, pero simultáneamente delega funciones de control en órganos especializados de Compliance, auditoría interna, gestión de riesgos o supervisión normativa.
La cuestión crítica consiste entonces en determinar hasta dónde puede llegar esa delegación, y en qué momento dicha delegación deja de exonerar al administrador para convertirse en una prueba de negligencia organizativa.
El administrador social no desaparece jurídicamente porque exista un sistema de Compliance, y esta idea es fundamental.
El Compliance no sustituye al órgano de administración, no absorbe sus obligaciones legales ni elimina sus deberes fiduciarios, y tampoco extingue su deber de vigilancia.
El administrador continúa siendo el principal garante de la legalidad corporativa.
La implantación de un modelo de Compliance constituye precisamente una manifestación de sus obligaciones de diligencia, supervisión y control.
Dicho de otra forma, el Compliance no libera automáticamente al administrador; el Compliance es una de las herramientas mediante las cuales el administrador debe demostrar que actuó diligentemente.
La responsabilidad del administrador deriva esencialmente de tres grandes ámbitos: el deber de diligencia, el deber de lealtad y el deber de supervisión.
El deber de diligencia implica actuar con la prudencia exigible a un ordenado empresario.
El deber de lealtad exige anteponer el interés social a cualquier interés personal o conflictivo.
Y el deber de supervisión obliga a vigilar razonablemente el funcionamiento de la organización y sus mecanismos de control.
Precisamente aquí es donde el Compliance adquiere una importancia decisiva, ya que un administrador que ignore deliberadamente los riesgos penales, regulatorios o éticos de su organización difícilmente podrá sostener que actuó diligentemente.
La jurisprudencia moderna está evolucionando hacia un modelo de responsabilidad basado no solamente en actos directos, sino también en omisiones estructurales de vigilancia.
El administrador puede responder no solo por ordenar una conducta ilícita, sino por permitir un contexto organizativo en el que dicha conducta era previsible, tolerada o incentivada.
Consecuentemente con ello, la responsabilidad ya no nace exclusivamente de la acción ilícita directa, sino también de la pasividad consciente frente al riesgo.
Esta transformación resulta especialmente visible en sectores altamente regulados como el financiero, farmacéutico, tecnológico, energético, sanitario o de contratación pública.
En estos ámbitos, la complejidad normativa hace prácticamente imposible que el administrador supervise personalmente todas las operaciones, y surge entonces la necesidad de estructuras especializadas de Compliance.
Pero precisamente porque el administrador delega funciones, aumenta simultáneamente su obligación de asegurarse de que el sistema delegado funciona realmente.
La falsa delegación exculpatoria
Aquí aparece una de las mayores patologías del Compliance contemporáneo: la falsa delegación exculpatoria.
Muchas organizaciones creen erróneamente que nombrar un Compliance Officer equivale automáticamente a trasladar toda responsabilidad.
Desde una perspectiva jurídica rigurosa, esto es radicalmente incorrecto.
El Compliance Officer no sustituye al administrador, ya que el órgano de administración continúa siendo el responsable último de la cultura corporativa, de la asignación de recursos, de la aprobación de políticas, de la existencia de controles y de la eficacia real del modelo.
La clave jurídica se encuentra en la diferencia entre delegación funcional y transferencia absoluta de responsabilidad.
La delegación funcional puede redistribuir tareas operativas, pero no elimina el deber de supervisión estratégica del administrador.
El administrador debe verificar razonablemente que el sistema funciona, que existen controles efectivos, que se investigan irregularidades, que se corrigen deficiencias y que no se producen represalias contra denunciantes.
Si el administrador ignora alertas relevantes, bloquea investigaciones, minimiza riesgos o utiliza el Compliance únicamente como herramienta reputacional, su responsabilidad puede resultar extraordinariamente grave.
El riesgo del «paper Compliance»
El problema se agrava cuando el modelo de Compliance existe formalmente pero carece de efectividad material.
Este fenómeno, conocido doctrinalmente como «paper Compliance», constituye uno de los mayores riesgos actuales.
Existen organizaciones con códigos éticos impecables, políticas sofisticadas, canales de denuncia formalmente operativos y abundante documentación corporativa, pero cuya realidad interna está dominada por incentivos perversos, miedo organizacional, ocultación de incidencias y presión por resultados económicos.
En estos casos, el Compliance se convierte en una ficción defensiva destinada a generar apariencia de legalidad sin alterar realmente la conducta empresarial.
Precisamente en estos supuestos la responsabilidad de los administradores adquiere una dimensión especialmente intensa.
Un administrador no puede escudarse en la mera existencia documental del modelo, sino que debe acreditar que el sistema funcionaba realmente, debe demostrar que se evaluaban riesgos, que se revisaban controles, que existían recursos suficientes, que las investigaciones eran independientes y que las incidencias producían consecuencias efectivas.
La mera existencia de protocolos no constituye prueba automática de diligencia.
La cultura corporativa también genera responsabilidad
La responsabilidad del administrador también puede surgir por defectos culturales.
Esta idea es extraordinariamente relevante en el moderno Compliance penal.
Las organizaciones delinquen muchas veces no porque falten normas, sino porque la cultura interna neutraliza dichas normas.
Cuando el mensaje implícito transmitido desde la alta dirección es que “el resultado económico está por encima de todo”, el sistema preventivo queda profundamente erosionado.
La cultura corporativa constituye hoy un elemento central de valoración judicial.
El denominado «tone from the top» se ha convertido en un criterio fundamental para evaluar la autenticidad del Compliance.
Si la alta dirección incumple sistemáticamente controles, ridiculiza procedimientos, presiona para alcanzar objetivos imposibles o penaliza indirectamente a quienes reportan incidencias, el modelo preventivo pierde legitimidad estructural.
En estos escenarios, el administrador no solamente responde por las decisiones adoptadas, sino por haber contribuido activamente a construir un ecosistema organizativo criminógeno.
La cuestión se vuelve aún más compleja cuando el propio Compliance Officer detecta irregularidades, y la dirección las ignora o neutraliza.
En tales casos, la existencia de advertencias internas puede convertirse en una prueba devastadora contra el órgano de administración.
Las alertas ignoradas, los informes archivados sin actuación, las investigaciones bloqueadas o las represalias contra denunciantes constituyen frecuentemente elementos probatorios decisivos en procedimientos penales y regulatorios.
La responsabilidad del Compliance Officer y del administrador de hecho
No obstante, ello tampoco significa que el Compliance Officer quede automáticamente exonerado.
El responsable de Compliance puede asumir responsabilidad cuando incumple gravemente sus funciones, oculta información relevante, participa en encubrimientos, falsea controles, manipula investigaciones o actúa conscientemente como instrumento de protección reputacional de la dirección.
El Compliance Officer no es jurídicamente inmune, ya que su responsabilidad dependerá del alcance de sus funciones, de su capacidad real de actuación, de su autonomía efectiva y del conocimiento que tuviera sobre las irregularidades.
Aquí aparece otro problema esencial consistente en que muchas organizaciones crean figuras de Compliance sin que exista una verdadera independencia.
Existen Compliance Officers subordinados económicamente a la dirección financiera, dependientes jerárquicamente de quienes deben supervisar, o privados de recursos suficientes para investigar.
En estos casos, el sistema se convierte en una simulación organizativa.
La independencia funcional del Compliance no es un lujo técnico, sino que constituye una condición estructural de legitimidad.
Desde una perspectiva penal, la atribución de responsabilidad exige analizar múltiples factores, tales como la capacidad efectiva de control, el conocimiento del riesgo, la posibilidad de actuar, el grado de autonomía, la participación en la toma de decisiones y la existencia de deberes específicos de garantía.
No basta con identificar cargos formales, sino que debe analizarse quién controlaba realmente el proceso decisorio.
En muchas ocasiones, los administradores formalmente pasivos pueden responder por tolerancia consciente, mientras que los directivos sin cargo societario formal pueden convertirse en los auténticos administradores de hecho.
La figura del administrador de hecho resulta particularmente relevante en delitos corporativos modernos.
Muchas organizaciones operan mediante estructuras opacas, donde las decisiones reales no las adopta necesariamente el órgano formal de administración.
En este caso, los inversores dominantes, los directivos ocultos, las matrices extranjeras, los socios de control, o los ejecutivos con poder material pueden ejercer auténticas funciones de dirección sin ostentar formalmente el cargo.
El Derecho penal económico contemporáneo atiende crecientemente a la realidad material del poder y no únicamente a la estructura societaria formal.
La trazabilidad documental y la pregunta clave: quién responde
El Compliance moderno ha convertido la trazabilidad documental en un elemento crítico de defensa.
Las actas del consejo de administración, las matrices de riesgos, los informes de Compliance, los registros de investigaciones internas, las evidencias de formación, las auditorías y los sistemas de monitorización constituyen hoy elementos esenciales para determinar la existencia o no de responsabilidades.
Quien documenta diligentemente su actuación dispone de una posición defensiva muy superior frente a investigaciones penales o regulatorias.
Sin embargo, también aquí existe una patología frecuente, que consiste en la sobreproducción documental sin control efectivo.
Algunas organizaciones producen enormes cantidades de documentación preventiva únicamente para construir un relato defensivo ex post.
Los tribunales y las autoridades regulatorias son cada vez más conscientes de este fenómeno y, por ello, la valoración ya no se limita a verificar la existencia documental del modelo, sino también su efectividad real, su integración operativa y, por ende, su capacidad auténtica de prevención.
Ello conduce a la formulación de la pregunta “quién responde realmente”, que no admite respuestas simplistas.
Responde quien tenía capacidad real de evitar el riesgo y no actuó en su momento de manera diligente; asimismo, responde quien creó una estructura organizativa deficiente y también quien toleró irregularidades.
Del mismo modo, responde quien neutralizó controles, quien ignoró alertas y quien instrumentalizó el Compliance como mera fachada reputacional.
Pero también puede responder quien, desde funciones técnicas de supervisión, omitió conscientemente actuaciones esenciales.
El moderno Derecho del Compliance está desplazando progresivamente el análisis desde la responsabilidad individual aislada hacia la responsabilidad estructural por defectos de organización.
Ya no basta con identificar al autor material del delito.
Resulta imprescindible comprender cómo funcionaba realmente la empresa, qué incentivos existían, qué controles fallaron, qué advertencias fueron ignoradas y qué cultura organizativa favoreció la infracción.
Por ello, el verdadero debate contemporáneo no consiste únicamente en decidir si responde el administrador o el Compliance Officer.
El auténtico problema jurídico consiste en determinar cómo se distribuyó realmente el poder dentro de la organización, cómo se gestionó el riesgo y si la estructura corporativa actuó de manera diligente o negligente frente a la posibilidad de comisión de ilícitos, y ahí es donde actualmente se juega la verdadera responsabilidad empresarial.
Por todo ello, puede afirmarse que el Derecho penal económico responde a esta realidad desplazando progresivamente el análisis desde la autoría material hacia la gobernanza organizativa.
El administrador ya no es únicamente quien toma decisiones individuales; es quien diseña, supervisa y tolera determinadas arquitecturas empresariales.
Sin embargo, el verdadero núcleo del sistema contemporáneo de responsabilidad reside en una idea central: el Compliance no sustituye la responsabilidad de los administradores; redefine la forma en que dicha responsabilidad se analiza, se prueba y se interpreta.
El administrador continúa siendo el principal garante de la legalidad organizativa de la empresa, aunque deba articular esa función mediante estructuras técnicas de cumplimiento cada vez más sofisticadas.
La relación entre Compliance y administradores sociales simboliza una de las grandes transformaciones del Derecho empresarial contemporáneo.
El gobierno corporativo ya no puede entenderse únicamente como gestión económica eficiente.
Implica también la dirección ética, una supervisión preventiva y la construcción de culturas organizativas compatibles con la legalidad.
Los administradores ya no responden solo por lo que hacen, sino también por cómo permiten que funcione la organización que dirigen.
Y precisamente por ello, el Compliance se ha convertido en uno de los principales instrumentos contemporáneos de medición jurídica de la verdadera diligencia empresarial.
