El nuevo Código Penal dominicano dejó de ser una discusión para el futuro, es una realidad. Lo que crea un nuevo contexto que cambia las reglas bajo las cuales las empresas tendrán que gestionar sus riesgos, sus controles y, sobre todo, demostrar cómo ejercen sus responsabilidades.
La Ley 74-25 forma parte del nuevo marco penal del país, y entre sus tantos cambios, se introduce uno de los que debería captar especialmente la atención del empresariado, la responsabilidad penal de las personas jurídicas, cuya entrada en vigor para los artículos 8, 9, 10 y 11 está prevista de manera diferida.
Este nuevo escenario penal no debería llevarnos únicamente a revisar leyes, contratos o políticas, debe llevarnos a revisar cómo funciona realmente nuestra empresa y plantea una oportunidad para hacernos una pregunta que quizás nunca nos habíamos hecho de esta manera: ¿Nuestros procesos están preparados para demostrar que la empresa ejerce dirección, control y supervisión sobre aquello que ocurre dentro de ella?
En la práctica actual, cuando ocurre una conducta irregular dentro de una organización se enfoca el riesgo, solamente en quien comete el acto, sin embargo, ante este nuevo escenario, debemos agregar otros enfoques: ¿La empresa había identificado ese riesgo? ¿Había establecido controles? ¿Quién debía ejecutarlos? ¿Quién debía supervisarlos? ¿La dirección tenía información sobre lo que estaba ocurriendo? ¿El control funcionaba realmente? ¿Existe evidencia de que fue ejecutado? ¿La organización actuó cuando detectó una desviación?
Estas preguntas adquieren relevancia, porque la Ley 74-25 relaciona la responsabilidad penal de la persona jurídica con actos u omisiones cometidos por sus órganos, representantes o subordinados cuando, además, exista incumplimiento de los deberes de dirección, control o supervisión.
Es un cambio total a la conversación. La empresa no puede limitarse a decir a tenemos una política, tiene que poder demostrar cómo esa política se convierte en una práctica.
Aquí comienza el verdadero reto
Una organización funciona a través de personas y procesos; compramos, vendemos, gestionamos información, tomamos decisiones, entre otros. En cada uno de ellos existen riesgos.
Hasta ahora, muchas organizaciones han gestionado esos riesgos pensando principalmente en calidad, costos, seguridad, continuidad, productividad o reputación. La nueva legislación nos obliga a ampliar la mirada, y evaluar que riesgos legales o penales puede existir en nuestros procesos y después viene la pregunta más importante:
¿Qué controles tenemos para prevenirlos y cómo podemos demostrar que esos controles funcionan? Tomemos en cuenta que tener un control no significa controlar.
Esta diferencia puede parecer un juego de palabras, pero no lo es, podemos tener un procedimiento, pero eso no significa que la operación se ejecute según lo establecido. Podemos tener un código de ética, pero eso no significa que todos sepan qué hacer cuando enfrentan una situación que lo contradice.
La empresa no puede limitarse a demostrar que tiene un proceso o procedimiento definido; debe demostrar que tienen practicas que funcionan. Tener un control documentado, no significa necesariamente que se tiene el riesgo gestionado.
Los procesos ganan protagonismo y se convierten en evidencia de gobernanza, no solo relacionada a decisiones estratégicas, sino instaurada en lo más cotidiano. El objetivo es que los procesos estén en capacidad de generar evidencia de cómo la organización ejerce sus responsabilidades.
Las organizaciones están llamadas a construir una cadena de control, que va desde la identificación del riesgo, el establecimiento de una vigilancia, asignación de un responsable, seguimiento a la ejecución, generación de evidencia, sumado a una efectiva supervisión.
Esto nos lleva a otro cambio de mentalidad, que considero fundamental, la evidencia no debería de prepararse cuando alguien la solicita, debe generarse naturalmente como resultado de un proceso bien diseñado. No se trata de guardar papeles, se trata de construir una decisión de manera íntegra, trazable, accesible y protegida.
En el párrafo II de artículo 8, se contempla los programas de cumplimiento como un elemento relevante para la prevención y, bajo determinadas condiciones, para atenuar o excluir responsabilidad. Pero también exige que estos programas sean verificables y medibles.
Entre sus elementos mínimos se observa la identificación de riesgos penales, una función con autonomía para controlar o supervisar su implementación, protocolos de actuación y revisión periódica del modelo. El compliance de papel no es suficiente. Ahora necesitamos un sistema que realmente funcione y una estructura que nos permita demostrarlo.
En este punto la República Dominicana, no tiene que iniciar de cero, ya que el país cuenta con una infraestructura nacional de la calidad que pone a disposición de las organizaciones normas técnicas y marcos de gestión, que pueden servir de referencia para que las organizaciones construyan esa estructura.
Las NORDOM adoptadas por el INDOCAL ofrecen referencias para gestionar procesos, riesgos, responsabilidades, controles y cumplimiento. Entre ellas, la NORDOM ISO 9001:2015, la NORDOM ISO 31000:2018, la NORDOM ISO 37301:2021 y la NORDOM ISO 37001:2016
La armadura no tenemos que construirla desde cero, parte de sus piezas ya existen, nos toca integrarlas para hacer que funcionen de manera coherente, de acuerdo con los riesgos y características de cada organización.
Es importante destacar que una certificación no sustituye el cumplimiento de la ley, y tener una norma tampoco evita que una persona cometa un delito, lo que puede hacer un sistema bien implementado es ayudar a que la organización pueda prevenir, detectar, responder y demostrar cómo gestiona sus riesgos.
En organizaciones cuyo propósito incluye generar resultados económicos, los controles pueden percibirse como una carga burocrática que compite con la operación, el nuevo escenario nos invita a mirarlos de otra manera: donde la gobernanza es el escudo, los procesos son la estructura, los riesgos nos indican dónde debemos protegernos, los controles son nuestra defensa, la supervisión nos permite saber si esa defensa funciona y la evidencia demuestra que realmente existió.
Por eso, más que prepararnos para una nueva ley, deberíamos prepararnos para una nueva forma de gestionar. Porque quizás la verdadera pregunta no sea: ¿Qué nos puede hacer el nuevo Código Penal? Sino ¿Qué tan preparada está nuestra empresa para demostrar que hacemos lo correcto?
