Resulta extraño, y curiosamente próximo a la ilusión corporativa de que los sistemas de control interno bastan para eludir responsabilidades penales, que el BBVA haya mantenido durante años la tesis de que desconocía los encargos al comisario José Manuel Villarejo. La Audiencia Nacional acaba de cerrar definitivamente esa posibilidad. La Sección Tercera de la Sala de lo Penal ha desestimado los 11 recursos interpuestos contra el auto del magistrado Manuel García Castellón, confirmando que el banco, su expresidente Francisco González y otras 12 personas deberán sentarse en el banquillo por delitos de cohecho continuado y revelación de secretos.I. La ratificación judicial que pone fin a la estrategia defensiva
La decisión, adoptada el pasado 20 de febrero, representa el fin de la vía procesal para eludir el juicio. Los imputados agotaban así su última oportunidad de evitar la fase de vistas en la pieza separada 9 del caso Tándem, que investiga los servicios prestados por Villarejo a la entidad financiera entre 2004 y 2016. Lo que la Sala ha examinado no son pruebas definitivas de culpabilidad, sino indicios suficientes para mantener la acusación. Sin embargo, el análisis que realizan los magistrados sobre el modelo de prevención de delitos del banco resulta especialmente revelador para comprender cómo una estructura corporativa de primer nivel puede convertirse en coartada de conductas delictivas.
II. El modelo de compliance que excluía a quienes más podían dañar
El concepto de compliance, entendido como el conjunto de medidas de organización, gestión y control destinadas a prevenir la comisión de delitos, ha experimentado una expansión notable en el Derecho penal español desde la reforma del Código Penal de 2010. Las empresas invierten millones en protocolos, manuales, canales de denuncia y auditorías internas. El BBVA no era una excepción. Contaba con departamentos especializados, procedimientos escritos y estructuras jerárquicas aparentemente sólidas. Sin embargo, como señalan los jueces, "no era eficaz, al dejar al margen de cualquier normativa de control a la Presidencia Ejecutiva y a la alta dirección".
Esta constatación encierra una paradoja frecuentemente ignorada en la implementación de programas de prevención de delitos. Los sistemas de control suelen diseñarse pensando en los riesgos de la base de la pirámide corporativa: empleados de medio y bajo nivel, áreas operativas, sucursales. Rara vez se contempla que la máxima dirección, precisamente quienes tienen capacidad de causar mayor daño reputacional y patrimonial, puedan operar al margen de los controles establecidos. El caso BBVA-Villarejo ilustra con crudeza esta ceguera estructural.
La Sala considera razonable concluir que "al menos indiciariamente el modelo de organización y gestión para prevenir delitos no era eficaz en cuanto que había un grupo de personas que podían actuar al margen del mismo y sin control, cuyas órdenes eran obedecidas por los subordinados sin cuestionarlas". Esta descripción corresponde a una patología organizativa bien conocida en la teoría del compliance: la excepcionalidad de la cúpula. Cuando el presidente ejecutivo puede ordenar contrataciones millonarias sin pasar por los filtros establecidos, cuando el consejo de administración delega facultades sin mecanismos de supervisión efectiva, el programa de prevención se convierte en fachada.
III. La cadena de mando que silenció la estructura de control
La relación de imputados que deberán sentarse en el banquillo revela la extensión vertical del presunto dispositivo delictivo. Además de Francisco González y del propio Villarejo, figuran el exjefe de Seguridad Julio Corrochano, el exconsejero delegado Ángel Cano, el exresponsable de Servicios Jurídicos Eduardo Ortega, el exdirector de Auditoría Interna Joaquín Gortari, el exdirector de Riesgos Antonio Béjar, el exjefe de Control Interno Eduardo Arbizu y el exresponsable de Servicios Jurídicos de España y Portugal José Manuel García. La presencia de responsables de áreas precisamente encargadas del control y la prevención resulta particularmente significativa.
Esta configuración sugiere que el problema no fue la ausencia de controles, sino su neutralización sistemática. Cuando el responsable de Auditoría Interna, el director de Riesgos o el jefe de Control Interno forman parte de una estructura que contrata servicios irregulares, ¿quién supervisa a los supervisores? La respuesta, según los indicios valorados por la Sala, es que nadie. La obediencia debida a la cúpula directiva operaba como mecanismo de inmunidad frente a los propios controles internos.
La Fiscalía Anticorrupción, cuyo criterio sigue la Audiencia Nacional, consideró desde un primer momento poco creíble el desconocimiento alegado por el banco sobre la contratación de Villarejo. La entidad financiera mantenía que se trataba de decisiones ajenas a su estructura organizativa, atribuibles exclusivamente a la conducta individual de algunos directivos. Los jueces no han aceptado esta tesis. Para la Sala, la entidad como persona jurídica debe responder porque su sistema de prevención permitió que la Presidencia Ejecutiva y la alta dirección actuaran sin control alguno.
IV. La repetición como indicio de conocimiento: los contratos sucesivos con Cenyt
El auto de García Castellón, ahora ratificado, contiene un elemento probatorio que resulta difícil de eludir: la reiteración. Francisco González había contratado previamente los servicios de Cenyt, la empresa pantalla de Villarejo, y conocía "quién era esta entidad y sus métodos de investigación". A pesar de que otros métodos de investigación no habían dado resultado, ordenó seguir contratando los servicios del comisario.
Esta secuencia comportamental resulta especialmente relevante en el ámbito del compliance. Los programas de prevención de delitos exigen no solo la existencia de normas, sino su aplicación efectiva cuando se detectan riesgos. Si una entidad contrata a un proveedor que utiliza funcionarios policiales para acceder a datos íntimos sin autorización judicial, y pese a ello vuelve a contratarlo, el sistema de control ha fallado de manera estructural. No se trata de un error puntual, sino de una política empresarial mantenida en el tiempo.
Los jueces destacan que Villarejo se valió "de funcionarios policiales para acceder a datos de carácter íntimo y personal y a fuentes cerradas con injerencia en los derechos fundamentales de las personas investigadas". La gravedad de estos métodos, conocidos por la dirección del banco según los indicios, no provocó la ruptura de la relación comercial ni la activación de los mecanismos de alerta interna. Al contrario, se mantuvo y potenció la colaboración durante más de una década.
V. La atribución de responsabilidad a la persona jurídica
La configuración del delito de cohecho continuado en la pieza separada 9 plantea interrogantes complejos sobre la responsabilidad penal de las personas jurídicas. El artículo 31 bis del Código Penal, introducido en 2010, establece que las entidades responden penalmente por los delitos cometidos por sus administradores y empleados en nombre o por cuenta de la sociedad, siempre que se hayan producido por falta de control sobre ellos.
El BBVA alegaba la inexistencia de este requisito objetivo, sosteniendo que contaba con un modelo de organización y gestión adecuado. La Sala responde que la eficacia de dicho modelo debe valorarse en juicio, pero que los indicios actuales apuntan a su ineficacia concreta. No basta con tener un programa de compliance sobre el papel; es necesario que ese programa alcance efectivamente a quienes tienen capacidad de decisión estratégica.
Esta interpretación resulta coherente con la filosofía del legislador. La responsabilidad penal de las personas jurídicas persigue precisamente sancionar las estructuras organizativas que facilitan o toleran la comisión de delitos. Cuando la cúpula directiva puede ignorar impunemente los controles establecidos, la entidad no puede escudarse en la mera existencia de esos controles para eludir su responsabilidad.
VI. Hacia el juicio oral: lo que queda por esclarecer
Las fuentes jurídicas cercanas a Francisco González han indicado que el expresidente "asume la decisión de la sala con tranquilidad" y confía en que el juicio le permitirá "esclarecer todas las dudas y demostrar con hechos su inocencia". Esta declaración, protocolaria en la fase del periodo intermedio por el procedimiento abreviado, omite la naturaleza específica de lo que deberá dilucidarse en el juicio oral.
No se trata únicamente de determinar si González ordenó personalmente los encargos a Villarejo. La cuestión central será si el BBVA, como organización, implementó efectivamente un sistema de prevención de delitos que alcanzara a su máxima dirección. Los indicios actuales sugieren que no. La existencia de un "grupo de personas que podían actuar al margen del mismo y sin control" constituye precisamente la antítesis de un compliance genuino.
El caso ofrece una lección de amplio alcance para el mundo corporativo. Los programas de prevención de delitos no pueden ser instrumentos de mera exhibición regulatoria. Deben diseñarse contemplando el riesgo real de la organización, y este riesgo suele concentrarse en aquellos que tienen capacidad de decidir sin control. Cuando la alta dirección queda excluida de los mecanismos de supervisión, el compliance se convierte en retórica vacía, en documentación que no protege a la entidad sino que eventualmente la incrimina.
La Audiencia Nacional ha confirmado que el juicio se celebrará. En él, el BBVA deberá ver como la acusación explica, en base a la presunción de inocencia, cómo su presidente ejecutivo pudo ordenar contrataciones irregulares durante años sin que ningún sistema de control interno lo impidiera o siquiera lo detectara, correspondiendo a la entidad acreditar que el sistema de prevención de delitos era adecuado.