La reciente actualización de la Guía de Programas de Cumplimiento Normativo en relación con la Defensa de la Competencia, publicada hace escasas semanas por la Comisión Nacional de los Mercados y la Competencia (CNMC), recoge una serie de requisitos que deben guiar la implantación de los sistemas de antitrust compliance en las organizaciones.
El primer principio que se debe tener en consideración es que un programa de cumplimiento en materia de defensa de la competencia no puede ser nunca tratado como un medio para que algunas empresas se beneficien de las correspondientes atenuaciones y exenciones que su desarrollo podría conllevar, sino que debe interpretarse como un fin en sí mismo.
La incorporación de este tipo de programas en las empresas debe verse como algo deseable éticamente hablando; una suerte de desarrollo moral de las compañías, que se alinearían así con los valores del cumplimiento sin esperar, en principio, nada a cambio.
Esto, sin embargo, es un deseo que podría tildarse de utópico, y hace falta, en aras de la coherencia, y sin llegar a posicionarnos filosóficamente, traer a colación un principio utilitarista que no puede escapársenos: el de la intención.
John Stuart Mill ya dijo que:
“La moralidad de una acción depende enteramente de la intención -es decir, de lo que el agente quiere hacer-. Pero el motivo, es decir, la razón que hace que desee actuar así, si no afecta a lo que el acto sea, no afecta a su moralidad, si bien importa mucho a la hora de nuestra estimación moral del agente, especialmente si indica una disposición habitual buena o mala, una inclinación de la que es de esperar que se deriven acciones beneficiosas o dañinas”[1].
Por tanto, la razón por la que las empresas deciden embarcarse en la implantación de un programa de cumplimiento en materia de defensa de la competencia resulta, en realidad, superflua, si atendemos a lo que el acto en sí mismo representa. Los criterios morales, en esencia, ni pueden ser realmente conocidos, ni deben ser juzgados por la CNMC.
De una forma más visual: que uno no golpee a otra persona en mitad de una discusión porque considera que es moralmente inaceptable, o que no lo haga porque conoce el derecho y las consecuencias de un delito de lesiones, es irrelevante para el código penal, ya que el resultado es el mismo: no existe delito.
Más allá de las nociones filosóficas, lo que la CNMC (y otras autoridades de competencia) sí que tiene capacidad de juzgar son una serie de criterios y disposiciones que, en caso de ser debidamente adoptados por las empresas, pueden suponer una disminución del riesgo de comisión de infracciones en defensa de la competencia, y un gran beneficio en caso de infracción. Veamos cuál es el contenido de la guía de la CNMC.
I. Cómo enfocar la implantación de un programa de cumplimiento
La CNMC coloca como punto central de los programas de cumplimiento su efectividad, que tiene su génesis en el famoso concepto tone from the top, es decir, una cultura ética fomentada desde la alta dirección de la compañía, que debe operar como ejemplo para el resto de los empleados.
La guía se dirige a todo tipo de entidades, siempre que sus aspiraciones sean las de instaurar una cultura corporativa de cumplimiento del derecho de la competencia. Esto, además de surgir a partir de la creación de políticas, protocolos o códigos, tiene como base el compromiso de cumplimiento en la toma de decisiones cotidianas de todos los miembros de la empresa.
Teniendo en consideración lo anterior, la CNMC expone una serie de criterios que considera fundamentales a la hora de valorar positivamente un programa de compliance. El primer gran bloque en el que deben centrarse los esfuerzos es en la prevención de infracciones. La otra cara de la moneda aflora cuando, tras producirse dichas infracciones, el programa cuenta con los medios oportunos para detectarlas y reaccionar ante ellas.
Está claro que cada programa debe dotarse de las especificidades requeridas no sólo en función del tamaño de la empresa, sino por el mercado en el que opera, el nivel de regulación, las relaciones que mantiene con otros competidores o la influencia de sus stakeholders, entre otras cuestiones. Es por esto por lo que la CNMC confirma que valorará cada caso de forma particular, por lo que los requisitos que a continuación se expondrán son orientativos, aunque no cabe duda de que las autoridades los aplicarán de manera menos flexible de lo que a muchas entidades les gustaría.
II. Las orientaciones de la CNMC
a. Implicación de los órganos de administración y de los directivos de la empresa
El tone from the top y el tone at the top son, aunque complementarios, términos distintos. Lo que la guía pretende es incentivar a los directivos a implicarse de verdad en materia de compliance. Es decir, que del tone at the top se acabe derivando, de un modo casi natural, en el tone from the top.
Dicho de forma más concreta: la CNMC busca que aquellos que están destinados a tomar las decisiones que determinan el futuro de las compañías no sólo acepten implantar un programa de cumplimiento, sino que lo hagan suyo, lo apoyen y, en definitiva, lo interioricen hasta el punto de transmitir sus ideas a todos sus empleados.
En general, las autoridades tienden a considerar que las infracciones cometidas por directivos implican per se la ineficacia del programa, al no existir un verdadero compromiso con la defensa de la competencia. Estamos, por tanto, ante un requisito verdaderamente importante.
La hoja de ruta que deben seguir los altos directivos es relativamente sencilla, aunque no siempre es fácil: apoyar y promover la implantación de estos programas, crear políticas de incentivos dentro de su empresa en caso de cumplimiento de las normas de competencia, así como castigos en caso de incumplimiento, declarar su compromiso sin ambigüedades y de forma pública y, en esencia, dotar de los recursos necesarios a los encargados del verdadero desarrollo del programa aguas abajo.
b. Formación eficaz
Como es habitual, la CNMC ensalza en su nueva guía la importancia de la formación, que debe, además, estar adaptada a los distintos puestos de trabajo. Incluso alude a la valoración positiva que tendría formar también a colaboradores cercanos. Por otro lado, se pone de manifiesto que aquellos empleados que hayan cometido un ilícito en materia de competencia deberán recibir una formación más robusta y concreta.
La idea de la CNMC es que estas formaciones se impartan también en caso de modificaciones sustanciales de la organización, del mercado o de la normativa, por ejemplo. Sin embargo, lo principal a este respecto es que todas las formaciones sean eficaces, para lo cual deben adaptarse a cada caso concreto. Esto implica que los materiales recojan las particularidades de la entidad, ejemplos prácticos que puedan afectar al mercado en el que opera, y situaciones a las que los empleados o directivos podrían tener que enfrentarse.
Por otro lado, la inclusión de cláusulas contractuales respecto de socios, distribuidores o proveedores en relación con los principios éticos y de defensa de la competencia de la compañía será también tenida en consideración por parte de las autoridades.
c. Sistema interno de información
El famoso canal interno es uno de los pilares de esta nueva guía, ya que permite detectar los incumplimientos, y además opera como un mecanismo de disuasión para aquéllos con voluntad de cometer una infracción.
Tal y como indica la CNMC, sin una buena formación que, además, aluda a la existencia de este tipo de sistemas, es difícil que su implantación sea del todo efectiva. Del mismo modo, si se forma a los empleados para detectar incumplimientos, pero no tienen forma de comunicarlos, el sistema falla estrepitosamente.
Las claves de la inclusión de estos canales en las compañías son el aseguramiento de la ausencia de represalias para los denunciantes y la posibilidad de mantener su anonimato. En esencia, las autoridades quieren que las entidades incorporen canales internos que se encuentren en consonancia con las directrices de la Autoridad Independiente de Protección al Informante y de la Ley 2/2023, de 20 de febrero.
Además, la CNMC indica que la comunicación a los empleados de la existencia de otros mecanismos de denuncia es también beneficiosa de cara a determinar la eficacia del programa de cumplimiento.
En definitiva: las empresas tienen que desarrollar un canal interno capaz de cumplir con las directrices de la Autoridad Independiente de Protección al Informante, y, además, informar sobre ello a los empleados, e indicar también otras alternativas, como podría ser una posible denuncia ante la propia AIPI u otras autoridades autonómicas.
d. Diseño del procedimiento para la gestión de informaciones
Si habilitar un canal para que los empleados denuncien infracciones es importante, diseñar un correcto procedimiento de gestión de estas comunicaciones lo es igual o incluso más.
La CNMC insiste en la accesibilidad en relación con el canal y con el asesoramiento. El procedimiento de gestión debe ser conocido por todos los integrantes de la organización, asegurándose la gestión homogénea en todos los casos.
Este procedimiento deberá también incluir los mecanismos de protección contra represalias y la forma en la que se llevará a cabo una investigación en caso de comunicación interna.
Si se concretan estos conceptos, parece que la mejor opción para las compañías sería generar una política que recogiese todos ellos y que dejase claras las fases del procedimiento investigador, que previera la formación a todos los empleados y que compartiera con ellos la documentación pertinente.
e. Sistema disciplinario
Como es sabido, la posibilidad de establecer mecanismos punitivos en los programas de compliance tiene como límite el Estatuto de los Trabajadores y el convenio colectivo aplicable en cada caso. Sin embargo, los programas devienen ineficaces siempre que el incumplimiento de los deberes que en ellos se contienen no genere consecuencias.
Ya lo dijo Aristóteles:
“Pues [la mayoría] no obedece por naturaleza al respeto, sino al miedo, ni se aparta de las malas acciones por su vileza, sino por los castigos”[2].
Por tanto, es necesario adoptar las medidas disciplinarias necesarias en caso de infracción, del mismo modo que es sumamente importante contar con un sistema de incentivos cuando los empleados cumplan con la normativa de la compañía y se impliquen en la implantación y mejora del programa.
Por otra parte, la CNMC insiste en estrechar el cerco sobre los directivos, e indica que valorará positivamente la terminación anticipada de los contratos de alta dirección en caso de infracción, cuando los contratos cuenten con cláusulas de resolución a estos efectos.
f. Independencia y autonomía del responsable
Una buena práctica conocida en materia de compliance es que la independencia del responsable de cumplimiento sea uno de los ejes centrales del programa. Esta independencia debe estar, además, acompañada de un cierto grado de autonomía, una línea directa con el órgano de administración, las garantías procedentes y unos recursos suficientes. En este caldo de cultivo, el responsable tendrá la capacidad de tomar decisiones informadas e independientes, y se asegurará de que su enfoque se base únicamente en disminuir el riesgo de incumplimientos.
Lograr lo anterior no es tan sencillo como parece, ya que se requiere una dotación efectiva de medios necesarios (tanto humanos como financieros y tecnológicos), una posición fuerte, estable e independiente y, por consiguiente, una plena protección ante represalias.
Además, en caso de externalización, debe haber una figura interna capaz de asumir la responsabilidad ante el órgano de administración.
Es importante recordar que esta figura debe, idealmente, contar con un nivel de conocimientos suficiente para desempeñar su función, esto es, que no sirve colocar como responsable a alguien sin nociones de cumplimiento, fácilmente manejable y con pocos recursos, para que, en esencia, convierta el desempeño de su función en papel mojado.
Es importante señalar que la CNMC ha indicado expresamente que la función de asesoría jurídica dentro de las empresas estará capacitada también para asumir el rol de responsable de cumplimiento, sin que esto implique necesariamente una ausencia de independencia y autonomía.
Lo que sí es importante evitar, aunque la CNMC no lo señale expresamente en su guía, es el desarrollo de la función de compliance por parte del departamento de auditoría interna. En este caso, el modelo de las tres líneas de defensa [3] quedaría excesivamente expuesto, hasta el punto de carecer de sentido.
g. Elaboración de un mapa de riesgos
El proceso de identificación, análisis y valoración de los riesgos debe aplicarse a cada empresa de forma particular, en función de todo aquello que rodee a la organización, a la probabilidad de cometer una infracción y, en puridad, al impacto que la infracción podría tener. Conviene recordar que el impacto no sólo puede ser económico, sino que existe también un daño reputacional que puede resultar incluso más severo.
El mapa de riesgos, como bien indica la CNMC, no puede mantenerse estático, sino que debe ser objeto de monitorización y de una adaptación constante, sobre la base de los cambios que se experimenten tanto a nivel interno como externo. Las evaluaciones periódicas a este respecto son, por lo tanto, vistas con buenos ojos por las autoridades.
Una vez elaborado este mapa de riesgos, la deriva natural es diseñar una matriz con los controles creados para disminuir la probabilidad de materialización. Estos controles pueden ir desde la creación de políticas o un código ético hasta la implantación de un sistema de doble verificación para la realización de pagos a proveedores cuando se supere una determinada cantidad. Lo importante es que dichos controles sean adecuados para mitigar los riesgos existentes en cada caso.
Además de poner el foco en la revisión, actualización y, llegado el caso, rediseño del mapa de riesgos y de los controles implantados, la CNMC alude también a una cuestión de especial importancia, que es la innovación tecnológica, que trae consigo los correspondientes riesgos, no sólo en materia de competencia.
Se anima así a las empresas a adoptar mecanismos que impidan colusiones algorítmicas o intercambios indirectos de información mediante plataformas digitales.
III. Beneficios de la correcta implantación de un programa de cumplimiento
Aunque la CNMC es clara al recordar que el mero desarrollo de un programa de compliance no conlleva de forma automática la atenuación de la responsabilidad de la empresa en caso de infracción, lo cierto es que la existencia de este programa podrá tener efectos en relación con la atenuación de la sanción económica y en relación con la exención de la imposición de la prohibición de contratar.
La CNMC podrá apreciar una circunstancia atenuante cuando la empresa colabore de forma activa y eficaz durante la instrucción, o bien cuando adopte medidas inmediatas para poner fin a la infracción y sus efectos, siempre que dichas actuaciones estén acreditadas y vinculadas de forma efectiva a su programa de cumplimiento.
La atenuante sólo procederá si el programa de cumplimiento se presenta al inicio de la fase de instrucción, ya que su aportación tardía no permitirá acceder a este beneficio (en la mayoría de los casos). Además, la entidad deberá justificar documentalmente cómo dicho programa ha influido en su colaboración y en la adopción de medidas correctoras, mediante la identificación de los mecanismos internos utilizados, los responsables implicados y la relación entre el programa y las actuaciones realizadas.
Por otro lado, la eficacia de los programas de cumplimiento para evitar o levantar la prohibición de contratar con el sector público, conforme al artículo 72.5 de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, puede valorarse durante el procedimiento sancionador y una vez finalizado éste, sin límite temporal para su presentación.
Independientemente de lo anterior, lo recomendable es que el programa de compliance sea aportado en una fase temprana, con la finalidad de facilitar su evaluación por las autoridades desde un primer momento. Lo que se valorará por éstas será la efectividad real del programa, en vista de su diseño, implantación y funcionamiento práctico, más que a efectos meramente formales relacionados con la existencia del programa y con la posesión de determinadas certificaciones.
IV. Conclusiones
La intención de la nueva guía de la CNMC es, en esencia, mantener la eficacia, la monitorización y la especificidad del programa de cumplimiento en materia de defensa de la competencia como epicentro de su valoración, de cara a obtener beneficios por parte de las empresas incumplidoras.
De nuevo, la concreción y adaptación de este tipo de programas a cada empresa requiere de una especialización y de un conocimiento del negocio suficiente, que, sin duda, no puede obtenerse a través de un modelo genérico copiado de otras entidades, incluso aunque formen parte del mismo sector.
Un buen programa de cumplimiento, ya sea en materia de defensa de la competencia o en cualquier otro ámbito, requiere de profesionales especializados que tengan la experiencia suficiente en dicha implantación. Requiere también, por supuesto, el compromiso no sólo de la alta dirección de las empresas, sino de todos sus empleados, y podría decirse que incluso de los terceros con los que mantienen relaciones.
[1] Mill, J. S. (2019, p.83). El utilitarismo (E. Guisán, Trad.). Alianza Editorial.
[2] Aristóteles. (2019, X, 1179b). Ética a Nicómaco (J. L. Calvo Martínez, Trad.). Alianza Editorial.
[3] Basado en el principio militar de la defensa en profundidad, este enfoque sostiene que la eficacia de un sistema aumenta cuando la protección se articula mediante diversas líneas de defensa sucesivas. La combinación de varias barreras de protección, aun cuando cada una presente una resistencia moderada, ofrece un nivel de seguridad superior al que proporcionaría una única línea de defensa, incluso si esta fuese considerablemente más sólida. Entendemos por primera línea de defensa el negocio, por segunda línea de defensa el Compliance y, finalmente, hablamos de tercera línea para referirnos a la función de auditoría interna.
Para más información
Noelia Serrano (noelia.serrano@regula.law)
Pedro Suárez (pedro.suarez@regula.law)