De lo dispuesto en el artículo 31 Bis apartado 5, punto 4º del Código Penal, se infiere que una condición imprescindible para que el programa o modelo de prevención de delitos implantado en una sociedad de capital actúe, en su caso, como causa de exoneración de la responsabilidad penal de ésta, es
que “el mismo imponga la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.”

El C.P. habla eufemísticamente de “informar” para referirse tanto a riesgos como a infracciones cuando en realidad para este último caso podría haber sido más apropiado hablar de “denunciar”. Atendiendo el término utilizado “informar”, resulta claro que el canal de que se dote el programa de prevención ha de servir pues para ambos fines: Tanto para poner en conocimiento de la sociedad las conductas ilegales o incumplimientos del código ético o reglamentos internos de conducta de que se ha dotado la sociedad, como para informar de riesgos, o incluso plantear consultas o dudas sobre la eticidad de ciertas prácticas.

1.- ¿A quién se dirige la obligación de “informar”?

Si atendemos a los términos utilizados por el propio art. 31 bis parece que la obligación se dirige:

1º.- A los empleados: “Todos aquéllos que actuando en el ejercicio de actividades sociales por cuenta y en beneficio directo o indirecto de la sociedad estén sometidos a quien en la sociedad tiene autoridad”. (cfr. art. 31 bis.1.b)

El término “sometidos” que emplea el artículo 31 bis b, excluye –por tanto- del ámbito de los “obligados” a terceros ajenos a la sociedad, es decir contratados mercantiles, al carecer la sociedad sobre los mismos de poder de dirección, organización y control.

Cosa distinta es - como luego analizaremos- que el canal del que se dote la sociedad para facilitar la información de riesgos e infracciones (canal de denuncias en términos al uso) no se pueda y sea conveniente poner a disposición de dichos terceros (stackeholders) con el fin de que éstos puedan dar a conocer al órgano de cumplimiento de la propia sociedad, los riesgos o infracciones, por ellos observados en el proceso de contratación o ejecución del contrato, y que yendo más allá –incluso-, entre las propias condiciones contractuales que les vinculen a esos terceros con la sociedad, se les imponga la obligación de informar de los riesgos e infracciones observados por ellos en la contratación o ejecución del contrato, pactándose que el incumplimiento de dicha obligación pueda conllevar alguna penalización o incluso, en los casos más graves, la propia resolución del contrato.

2º.- Desde luego, la obligación de “informar de riesgos o infracciones al órgano de cumplimiento” incluye entre todos los empleados, particularmente a aquéllos ligados por un contrato de alta dirección, a los que el propio código trata de manera particular en el art. 31 bis 1 a) – estableciendo un régimen específico de responsabilidad- junto a los representantes legales de la sociedad y quienes integren el órgano de administración de la sociedad.

Por lo que se refiere a la alta dirección, cuando se trate de riesgos o infracciones que afecten al propio departamento que se encuentre bajo su dirección, organización y control, serán esos mismos directores quienes deberán adoptar las medidas precisas para minimizar o evitar el riesgo o la infracción si ya se hubieran cometido (incluida la puesta en marcha del reglamento disciplinario frente al infractor), sin perjuicio de que los riesgos e infracciones por ellos detectados deban de ponerse en conocimiento del órgano de cumplimiento para que inicie el procedimiento de investigación necesario para determinar la autoría de la infracción (si éste no fuera conocido) y/o del órgano de administración para que apruebe la adopción de las medidas que se considerasen pertinentes precisamente para evitar o minimizar el riesgo o infracción detectados incluidos los recursos necesarios para su implementación.

Lógicamente la política de compliance de la sociedad deberá de imponer a todos los miembros de la organización, incluidos -como es lógico- los miembros de la alta dirección-, el deber de informar al órgano encargado de vigilar el funcionamiento y observancia del modelo de prevención de aquellos riesgos o infracciones que lleguen a su conocimiento y afecten a otros departamentos distintos de aquéllos que dependan directamente de su poder de dirección, organización y control.

3º Si el riesgo o la infracción fuera conocida por el propio órgano de cumplimiento parece evidente que no resulta plausible que se le imponga la obligación de “informarse a sí mismo” sino que directamente deberá – en cumplimiento de sus funciones – instar la adopción inmediata de las medidas previstas para minimizar o evitar el riesgo o la infracción detectada; iniciar los procedimientos de investigación regulados para determinar el autor de las mismas, instar el inicio del procedimiento reglamentario sancionador, y comunicar a la alta dirección y al órgano de administración la necesidad de implementar y aprobar las nuevas medidas que considerase pertinentes.

4º Si el riesgo o la infracción fueran cometidos en el ejercicio de la actividad social y fueran directamente conocidos por el órgano de administración, en el ejercicio de sus funciones específicas (el art. 225.2 de la LSC expresamente les impone la adopción de las medidas precisas para el control de la sociedad) ; en ese caso el órgano de administración deberá poner los riesgos o infracciones por ellos conocidos en conocimiento del órgano de cumplimiento, analizar si el “riesgo o infracción” debía o podía haber sido conocido por éste -en el desempeño de su específica función-, o por los directores del departamento donde se produzca, y adoptar en su caso las medidas disciplinarias oportunas frente a ellos como frente a las personas implicadas directamente en las infracciones, o riesgos detectados, dando las oportunas órdenes para el cumplimiento inmediato de las medidas precisas ya aprobadas o adoptar las que se consideren pertinentes.

5º Para el caso de que los propios miembros del órgano de administración pudieran conocer “riesgos o infracciones” de que fuera directamente responsable otro administrador (falta de diligencia o dedicación adecuada al cargo, o infracciones de otra índole, incluso delitos) habría que analizar si el administrador conocedor de las posibles infracciones cometidas por otros miembros del órgano de administración y el administrador-infractor, son o no socios; la participación, en su caso, del administrador conocedor de la infracción así como la del infractor, en el capital social, para analizar cual debería de ser la conducta más adecuada y prudente: Si instar ante la Junta de socios el cese del administrador infractor, denunciarle a las autoridades o adoptar otro tipo de acciones, analizando la gravedad de los hechos y las repercusiones para la marcha de la sociedad y su imagen corporativa.

2.- ¿Cuáles son las consecuencias de no informar o no denunciar un posible riesgo o infracción, para los empleados y para quienes ejercen el poder de dirección en virtud de un contrato laboral?

Partiendo de que el Código Ético y Reglamento Interno de Conducta de la sociedad es parte esencial del modelo de prevención (art. 31 bis 5 2º), al igual que el reglamento sancionador (art. 31 bis 5 5º); el deber de informar o denunciar debe de ser conocido y aceptado como parte de las obligaciones y deberes contractuales por los empleados, -máxime por aquéllos ligados por un contrato de alta dirección- debiendo establecerse en el Código Ético –que forma parte de la Política de Compliance de la sociedad- la obligación de informar sobre riesgos o infracciones (obligación dimanante del deber de buena fe contractual) y en el Reglamente sancionador prever que el incumplimiento del “deber de informar” constituirá una infracción de del deber de buena fe –piedra de bóveda- de la relación laboral (art. 5 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores) , pudiendo llegar dicha infracción en caso de ser grave a ser causa de despido disciplinario (art. 54.2 d).

Como ha dicho en innumerables sentencias el Tribunal Supremo (por todas la Sentencia de 19 Jul. 2010, Rec. 2643/2009) “la buena fe en su sentido objetivo constituye un modelo de tipicidad de conducta exigible, o mejor aún, un principio general de derecho que impone un comportamiento arreglado a valoraciones éticas, que condiciona y limita por ello el ejercicio de los derechos subjetivos (artículos 7 y 1258 del Código Civil), con lo que el principio se convierte en un criterio de valoración de conductas, al que ha de ajustarse el cumplimiento de las obligaciones, y que se traduce en directivas equivalentes a lealtad, honorabilidad, probidad y confianza; y es cierto también que en el Derecho Laboral hay mandatos legales que imponen un cumplimiento contractual de acuerdo con la buena fe -arts. 5-b) y 20-2 del Estatuto -, que obliga, al decir de la sentencia de esta Sala de 18 de diciembre de 1984 , que a su vez invoca una reiterada doctrina-, «a empresarios y trabajadores en el sentido de un comportamiento mutuo ajustado a las exigencias de la buena fe, como afirma también la sentencia del Tribunal Constitucional de 15 de diciembre de 1983 , que matiza el cumplimiento de las respectivas obligaciones y cuya vulneración convierte en ilícito o abusivo el ejercicio de los derechos», hasta el punto de que la transgresión de la buena fe contractual constituye un incumplimiento que, cuando sea grave y culpable, es causa que justifica el despido -art. 54-2.d) del Estatuto -; -- que esta falta se entiende cometida aunque no se acredite la existencia de un lucro personal, ni haber causado daños a la empresa y con independencia de la mayor o menor cuantía de lo defraudado, pues basta para ello el quebrantamiento de los deberes de fidelidad y lealtad implícitos en toda relación laboral, deberes que han de ser más rigurosamente observados por quienes desempeñan puestos de confianza y jefatura en la empresa STS/Social 26-enero-1987 -infracción de ley)”.

Y en esa misma sentencia se incide en que “la buena fe es consustancial al contrato de trabajo, en cuanto por su naturaleza sinalagmática genera derechos y deberes recíprocos”; siendo “el deber de mutua fidelidad entre empresario y trabajador una exigencia de comportamiento ético jurídicamente protegido y exigible en el ámbito contractual”; implicando siempre “la deslealtad una conducta totalmente contraria a la que habitualmente ha de observar el trabajador respecto de la empresa, como consecuencia del postulado de la fidelidad”.

3.- ¿Qué personas pueden ser objeto de denuncia?

Parece claro que pueden ser objeto de denuncia cualquier persona “sometida” al poder de dirección y organización de la empresa (empleados); también los contratistas ligados por un contrato que así lo prevea; los propios directores o personas que tengan poder de organización, y control, e incluso los propios administradores o representantes legales de la sociedad, en el caso de que la supervisión del funcionamiento y del cumplimiento del modelo de prevención hubiera sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica (art. 31 bis 2 2ª).

¿Puede ser denunciado el propio órgano de cumplimiento?; ¿a quién se dirigirán las informaciones de riesgos e infracciones del propio órgano de supervisión o control? Parece evidente que el órgano de supervisión y control puede y debe ser denunciado de cualquier riesgo o infracción existente en sus funciones, siendo lógico que en ese caso la información o la denuncia se traslade directamente al órgano de administración de la empresa, del que funcionalmente depende.

¿Qué ocurre cuando el órgano de supervisión y control sea el propio órgano de administración conforme a la posibilidad que prevé el art. 31 bis 3?

El tema plantea más preguntas que respuestas. ¿Se podría comunicar al presidente del Consejo en caso de que la información afectase directamente a otro consejero?; ¿en caso de un consejo de administración con un secretario no consejero, se podría comunicar a éste?; ¿en el caso de una sociedad que hubiera nombrado auditor, podría ser éste la persona adecuada a quien trasladar la información comprometedora?; ¿qué ocurre en caso de pequeñas sociedades con un administrador único o varios solidarios que ostentan la condición de socios con igual participación en la sociedad?, y ¿en el caso de administradores mancomunados todos ellos afectados?

Cada caso requerirá un especial estudio y una respuesta específica.