Implementar un modelo de prevención de delitos no garantiza, por sí solo, que una empresa esté protegida frente a una eventual responsabilidad penal. La diferencia está en cómo se identifican los riesgos, qué controles se aplican y si estos funcionan realmente dentro de la organización. Un sistema que existe únicamente en documentos puede resultar insuficiente cuando se evalúa la actuación de una compañía ante la comisión de un delito.
Sophia Icaza, abogada penalista y socia de Noriega, Icaza & Cárdenas Abogados, sostiene que la efectividad de estos mecanismos debe demostrarse con hechos. En el Perú, la Ley N.° 30424 y su reglamento establecen criterios para evaluar el funcionamiento de los modelos de prevención, desde el compromiso de la dirección hasta la actualización de los riesgos y la evaluación de los controles.
“En definitiva, la efectividad se demuestra con hechos, no solo con documentos”, señala Icaza. Esto implica que las empresas deben poder acreditar que sus políticas se aplican en el trabajo cotidiano, que las irregularidades se investigan y que se adoptan medidas correctivas cuando se detectan fallas.
- LEA TAMBIÉN: Empresas en crisis: ¿liquidación o reestructuración, a qué apuntan las juntas de acreedores?
Entre las evidencias que permiten evaluar el funcionamiento del sistema figuran las matrices de riesgos actualizadas, los informes de auditoría, los registros de capacitación, las denuncias investigadas y la documentación de las medidas correctivas. La empresa también debe comprobar que el responsable de prevención cuenta con autonomía, recursos y acceso a la dirección para comunicar alertas e impulsar acciones.
Los riesgos que una empresa debe identificar
El diagnóstico no puede limitarse a una revisión general de las operaciones. Debe considerar las actividades específicas de la organización, los contratos que celebra, sus relaciones con funcionarios públicos y la intervención de proveedores, consultores e intermediarios.
Para Icaza, es importante revisar las operaciones sensibles, como licitaciones, permisos, comisiones y pagos a terceros, así como verificar los antecedentes, la reputación y los posibles conflictos de interés de quienes mantienen relaciones comerciales con la empresa.
La evaluación tampoco debe terminar cuando se firma un contrato. La debida diligencia requiere seguimiento durante la relación comercial para identificar cambios en el perfil de riesgo, pagos inusuales o conductas sospechosas. La frecuencia y profundidad de las verificaciones deben responder al nivel de exposición de cada tercero.
Los controles, además, deben adaptarse a las características de cada organización. Una empresa de gran tamaño puede requerir sistemas automatizados y auditorías especializadas, mientras que una mype puede recurrir a autorizaciones documentadas, revisiones periódicas de pagos y verificaciones de proveedores.
yt:IdS-kSzuUDA
“Lo importante no es la cantidad de controles, sino que sean proporcionales a los riesgos y funcionen en la práctica”, explica Icaza.
El canal de denuncias es otro componente relevante. Para que permita detectar irregularidades a tiempo, debe ser accesible, confidencial e independiente, proteger a los denunciantes frente a represalias y asegurar que las alertas se investiguen de manera objetiva. Su existencia, por sí sola, no demuestra eficacia: también importa qué ocurre después de recibir un reporte.
¿Cuándo puede atribuirse responsabilidad penal a una empresa?
Luis Felipe Bramont-Arias Torres, docente de la Facultad de Derecho de la Universidad de Lima y especialista en Derecho Penal, precisa que la responsabilidad de una persona jurídica no se deriva automáticamente de cualquier delito cometido dentro de sus actividades.
Bajo la Ley N.° 30424, deben evaluarse, entre otros elementos, la comisión de un delito comprendido en la norma, el beneficio directo o indirecto para la empresa y la actuación de la persona natural en el ámbito de la organización. También debe analizarse si existió un defecto de organización vinculado con la ausencia de mecanismos de prevención que razonablemente hubieran podido evitar el delito.
- LEA TAMBIÉN: IA en las finanzas de una empresa: ¿qué decisiones podría tomar por sí sola y cuáles no?
El especialista advierte que uno de los errores más frecuentes consiste en implementar un modelo sin incorporar una cultura de cumplimiento normativo. Una empresa puede satisfacer exigencias formales, pero si sus integrantes no conocen las reglas o no las asumen como parte de sus actividades, el sistema pierde efectividad.
“Muchas veces se cumplen con las disposiciones legales exigidas para el modelo de prevención de delito, pero al no modificarse la cultura organizacional, dicho modelo no se cumple o no se acepta como parte de la identidad de la empresa”, sostiene Bramont-Arias.
yt:h1TP3uvorcM
Otro riesgo aparece cuando la compañía encarga íntegramente el diseño del modelo a un tercero, sin involucrar a sus integrantes clave. Según el especialista, esto impide conocer con mayor certeza los riesgos penales reales y las formas de prevenirlos. Por ello, el perfil de riesgos debe elaborarse con participación de quienes conocen las operaciones y los procesos internos.
El papel de la alta dirección
La responsabilidad de supervisar el modelo también exige una distribución clara de funciones. Los órganos de administración deben participar en su implementación y vigilancia, mientras que el responsable de prevención necesita condiciones efectivas para ejercer sus competencias.
Bramont-Arias explica que la delegación de funciones no se concreta únicamente mediante una designación formal. Es necesario establecer sus límites, definir las responsabilidades y comprobar que el encargado dispone de autonomía, recursos y acceso a la información. Si esas condiciones no existen, quien delega puede mantener la competencia que podría originar su responsabilidad penal.
Si la empresa detecta indicios de un posible delito, debe contar con procedimientos para evaluar los hechos, preservar la documentación y evitar la manipulación o contaminación de las pruebas. Según el especialista, los órganos de control deben determinar, en función de la calidad y cantidad de los indicios, si corresponde poner los hechos en conocimiento de la autoridad fiscal.
Estas actuaciones deben formar parte del propio modelo, de modo que la organización tenga claridad sobre cómo proceder ante una alerta y pueda acreditar su colaboración con una eventual investigación.
Las consecuencias de un modelo deficiente
Las deficiencias de prevención pueden tener consecuencias que van más allá de una multa. La Ley N.° 30424 contempla medidas como la suspensión de actividades, la prohibición de realizar determinadas operaciones, la cancelación de licencias, la prohibición de contratar con el Estado, la clausura de locales y la disolución de la persona jurídica, según corresponda.
A ello se suma el impacto reputacional y la posibilidad de que otras empresas restrinjan sus relaciones comerciales con una organización sancionada penalmente, afectando su continuidad en el mercado.
Para Bramont-Arias, implementar un modelo no es suficiente: también debe acreditarse su funcionamiento mediante registros de las acciones realizadas, el análisis de reportes, la investigación de denuncias, las capacitaciones y los resultados del monitoreo.
La revisión debe mantenerse a lo largo del tiempo y activarse ante cambios en el negocio, nuevas operaciones, incidentes internos o hallazgos de auditoría. En última instancia, la prevención depende de que los controles respondan a los riesgos reales y de que exista un compromiso sostenido de la dirección, los trabajadores y los terceros vinculados.
