Existen poderosas razones para comprender por qué, en el plano internacional, las
directrices normativas en materia de compliance no son, generalmente, certificables.
En primer lugar, porque sólo pueden homologar procedimientos y buenas prácticas de
gestión, con abstracción e independencia de la actividad de cada organización y de los
demás requerimientos regulatorios que, por tal motivo, se le exigen. En segundo lugar,
porque solo pueden operar eficazmente como una guía orientativa que permite
contrastar el programa de cumplimiento normativo efectivamente implantado con un
standard teórico común y generalizado. Y, por último, porque una certificación de esos
estándares internacionales solo aporta una información puramente indiciaria en caso
de conflicto, a saber: que en la organización existen unos órganos y procedimientos de
compliance, es decir, que formalmente se observan unas pautas normativas
recomendables, lo que no significa que efectivamente se estén aplicando y
respetando.

Esas razones que explican por qué la ISO 19600 de Sistemas de gestión de compliance
(2014) no era certificable. Como es conocido, en abril de 2021, esta norma ha sido
sustituida por el nuevo estándar ISO 37301, que, a diferencia del anterior, es
certificable y operativo como título de acreditación ante terceros. Ahora bien, esa
certificación resulta de relativa utilidad en el ámbito sancionador. Como recordó la
Fiscalía General del Estado, la certificación no es una patente de corso capaz de excluir
la responsabilidad penal de las personas jurídicas, ni sustituye a la valoración de los
hechos realizada en el proceso. Es un indicio acreditativo de la existencia de un
programa de cumplimiento, pero no una prueba concluyente.

Desde una perspectiva penal resulta jurídicamente mucho más eficaz haberse dotado
de un sistema de gestión de compliance que permita conocer la trazabilidad del
proceso de toma de decisiones y acreditarlas fehacientemente, utilizando para ello
aquellas herramientas digitales que permiten asegurar la intangibilidad de la
documentación y garantizar la fecha y la identidad de las personas responsables. De
este modo, podrá aportarse al proceso una prueba concreta sobre la realidad de los
hechos investigados, colaborar con la justicia y, en todo caso, acreditar que existía un
programa de cumplimiento, que se habían implementado los controles pertinentes y
que estos últimos se aplicaban en la práctica, aunque en el caso concreto, por error u
omisión, no hubiesen detectado los hechos presuntamente delictivos o causantes de
una infracción grave. El riesgo cero no existe. Pero si puede acreditarse
fehacientemente la voluntad de evitarlo.