Abogados para Investigaciones Internas Corporativas

La investigación interna corporativa es el procedimiento por el que la empresa esclarece, antes o durante un proceso penal, los hechos potencialmente delictivos cometidos en su seno. Es una pieza central del compliance penal moderno y, bien ejecutada, es la prueba reina de la exención del Art. 31 bis 2 CP. Mal ejecutada, sin embargo, puede convertirse en la mejor prueba de cargo contra la empresa y sus directivos.

Estructura del Protocolo Garantista

Un protocolo garantista exige: (1) designación de un instructor externo independiente —idealmente un despacho penalista—, con mandato escrito que defina alcance, plazos y deber de reportar al Comité de Cumplimiento; (2) plan de investigación que identifique las hipótesis, fuentes documentales y testigos; (3) custodia de evidencia digital (e-discovery) con cadena de custodia forense impecable; (4) entrevistas formales con información previa al trabajador sobre su condición, el objeto y su derecho a asistencia letrada y a no autoincriminarse; (5) informe final con hallazgos, valoración jurídica y recomendaciones de medidas internas y, en su caso, de denuncia externa.

Privilegio Abogado-Cliente

El secreto profesional es la columna vertebral de la investigación interna. Las comunicaciones entre la empresa y el despacho que la dirige, así como los borradores, notas y conclusiones, están amparados por el secreto profesional y resultan inaprehensibles incluso mediante registro judicial, siempre que: (a) exista mandato escrito previo, (b) el despacho actúe como abogado y no como mero auditor, (c) los documentos estén identificados como sujetos a privilegio, y (d) se observe la cadena de custodia. La STS 79/2012 y posteriores han confirmado este blindaje, en línea con la jurisprudencia del TJUE sobre el secreto profesional del abogado y los abogados internos (in-house).

Derechos del Trabajador Investigado

La doctrina constitucional y jurisprudencial sobre garantías del trabajador viene consolidando que el trabajador entrevistado tiene derecho a: (i) ser informado del objeto de la investigación y de su condición, (ii) recibir asistencia letrada (especialmente si la entrevista puede usarse en un proceso penal posterior), (iii) no declarar contra sí mismo, y (iv) acceder a la documentación que le afecte. La omisión de estos derechos puede contaminar la prueba y, en cascada, comprometer la defensa por compliance efectivo.

Los requisitos del modelo de organización y gestión idóneo (Art. 31 bis 5 CP)

Una investigación interna no opera en el vacío: es la pieza que cierra el círculo de un modelo de prevención de delitos serio. El Art. 31 bis 5 CP enumera los requisitos que ese modelo debe reunir para poder eximir o atenuar la responsabilidad penal de la persona jurídica. En primer lugar, debe identificar las actividades en cuyo ámbito puedan cometerse los delitos que se pretende prevenir, es decir, un mapa de riesgos honesto y específico del sector y de la operativa real de la empresa, no una plantilla genérica descargada de internet.

A partir de ese mapa, el modelo establece protocolos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas; dispone de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos; impone la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar el funcionamiento del modelo; y prevé un sistema disciplinario que sancione adecuadamente los incumplimientos de las medidas que el modelo establece.

El último requisito es decisivo y a menudo se descuida: el modelo debe ser objeto de verificación periódica y de modificación cuando se pongan de manifiesto infracciones relevantes o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada. Un protocolo de investigación interna bien diseñado alimenta precisamente esa verificación: cada averiguación que concluye con hallazgos debe traducirse en una revisión del mapa de riesgos y de los controles que fallaron. Sin esa retroalimentación documentada, el modelo se vuelve un papel muerto que difícilmente convencerá a un tribunal de su eficacia.

El órgano de supervisión autónomo y la carga de la prueba de la exención

El Art. 31 bis 2 CP condiciona la exención a que la supervisión del funcionamiento y del cumplimiento del modelo se haya confiado a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control. Esa autonomía es la clave: el llamado órgano de cumplimiento o compliance officer no puede depender funcionalmente de quienes ejecutan las decisiones de negocio que precisamente debe vigilar, ni carecer de presupuesto, de acceso a la información o de capacidad para elevar sus conclusiones directamente al máximo órgano de administración. Cuando la investigación interna la conduce o supervisa ese órgano, su independencia refuerza la credibilidad de los hallazgos.

La autonomía no es solo un requisito formal de organigrama; se acredita con hechos: dotación de medios, libertad para iniciar averiguaciones sin autorización previa de la línea investigada, e inexistencia de represalias frente a quien ejerce esa función. En las personas jurídicas de pequeñas dimensiones, el Art. 31 bis 3 CP permite que las funciones de supervisión las asuma directamente el órgano de administración, una concesión a la realidad de las pymes que no rebaja el resto de exigencias del modelo.

Conviene tener presente dónde recae la carga de la prueba. La existencia y la eficacia del modelo de organización y gestión, así como su adopción y ejecución eficaz antes de la comisión del delito, operan como circunstancia que exime o atenúa, y corresponde a la persona jurídica acreditarla en el proceso. De ahí la importancia de documentar todo: la fecha de implantación, las verificaciones periódicas, las actas del órgano de supervisión y, muy en particular, las investigaciones internas tramitadas. Una averiguación bien instruida y archivada no es solo gestión del riesgo: es prueba de descargo.

El canal de denuncias y la Ley 2/2023 de protección del informante

El cuarto requisito del Art. 31 bis 5 CP —la obligación de informar de riesgos e incumplimientos al órgano de supervisión— se materializa en la práctica a través de un canal de denuncias operativo, hoy reforzado por la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, que transpone la Directiva (UE) 2019/1937. Esa ley obliga a disponer de un Sistema interno de información a las empresas con cincuenta o más trabajadores y, con independencia de la plantilla, a las entidades del sector privado incluidas en el ámbito de actos de la Unión sobre servicios y mercados financieros, prevención del blanqueo o ciertas materias reguladas.

El sistema debe permitir comunicaciones confidenciales —e incluso anónimas— y garantizar la indemnidad del informante frente a represalias, así como prácticas correctas de seguimiento e investigación de lo comunicado. La mayoría de las investigaciones internas nacen precisamente de una comunicación recibida por este canal, por lo que el protocolo de averiguación y el reglamento del Sistema interno de información deben estar coordinados: plazos de respuesta, designación de un responsable del sistema, registro de las actuaciones y reglas de confidencialidad coherentes con la protección de datos.

La omisión del sistema cuando se está obligado a tenerlo no es inocua: puede constituir infracción administrativa con multas elevadas, además de debilitar la posición de la empresa a la hora de invocar la eficacia de su modelo de prevención. Un canal que recibe comunicaciones pero no las investiga con rigor, o que filtra la identidad del denunciante, es peor que no tenerlo, porque evidencia un cumplimiento aparente y disuade futuras alertas internas.

Cuando la persona jurídica es investigada: estatuto, penas del Art. 33.7 y sucesión del Art. 130.2

Si la averiguación interna revela un delito imputable a la organización, la empresa puede pasar de investigadora a investigada. Su responsabilidad penal es autónoma de la de la persona física: conforme al Art. 31 ter CP, la persona jurídica responde aunque la concreta persona física responsable no haya sido individualizada o no haya podido dirigirse el procedimiento contra ella. Como parte pasiva, la entidad goza de un estatuto propio de investigada, con derecho de defensa, a designar abogado y a no declarar contra sí misma; sus representantes legales en el proceso no deben coincidir con quienes están personalmente imputados por los mismos hechos, para evitar un conflicto de interés que vicie la defensa.

El catálogo de penas aplicables a la persona jurídica figura en el Art. 33.7 CP: multa por cuotas o proporcional, disolución, suspensión de actividades, clausura de locales y establecimientos, prohibición de realizar en el futuro determinadas actividades, inhabilitación para obtener subvenciones, ayudas públicas, contratar con el sector público o gozar de beneficios fiscales o de la Seguridad Social, e intervención judicial. Se trata de consecuencias propias del ente, distintas de las que se imponen a la persona física; por eso no procede trasladar a la persona jurídica el esquema de pena o de prescripción de cada delito como si respondiera igual que un individuo.

Dos cautelas adicionales orientan la estrategia. La responsabilidad penal de la persona jurídica no se extingue por su transformación, fusión, absorción o escisión: según el Art. 130.2 CP, se traslada a la entidad resultante, lo que convierte la due diligence penal en pieza esencial de toda operación de M&A. Y, cuando los hechos son reconocibles, la persona jurídica puede alcanzar una conformidad propia, separada de la del resto de acusados. La colaboración —incluida la aportación de la investigación interna y la comunicación a las autoridades— puede operar como atenuante en los términos del Art. 31 quater CP, pero la decisión de comunicar exige sopesar con el abogado el alcance de los hallazgos y los riesgos antes de dar el paso.