Muchas organizaciones tienen un código ético aprobado por la dirección, publicado en la web y entregado a la plantilla. El problema aparece cuando surge una situación real: un conflicto de interés, un regalo de un proveedor, una contratación dudosa, una denuncia interna o el uso de datos en una herramienta de inteligencia artificial. Si nadie sabe qué hacer, el documento existe, pero no funciona.
Un código ético empresarial eficaz debe convertir valores como integridad, respeto, transparencia o responsabilidad en criterios de conducta comprensibles. No debe ser una declaración decorativa, sino una referencia práctica para decidir, consultar dudas, prevenir incumplimientos y demostrar que la organización aplica realmente los principios que comunica.
Qué es realmente un código ético empresarial
El código ético empresarial es un instrumento de gobernanza que define principios y pautas de conducta para administradores, dirección, personas trabajadoras, colaboradores y, cuando proceda, terceros relacionados con la organización.
No sustituye a las políticas específicas ni a los procedimientos. El código establece expectativas generales; las políticas desarrollan materias concretas; los procedimientos explican cómo actuar y los controles permiten demostrar que las reglas se aplican.
Por eso debe adaptarse al sector y a los riesgos reales. Una empresa tecnológica necesitará referencias claras sobre datos, ciberseguridad e inteligencia artificial; una organización que contrata con el sector público deberá prestar especial atención a regalos, intermediarios, conflictos de interés e integridad en la contratación.
Por qué algunos códigos éticos se convierten en documentos decorativos
El primer problema es utilizar un texto genérico que podría pertenecer a cualquier empresa. Las declaraciones abstractas son fáciles de aprobar, pero ayudan poco cuando hay que resolver una situación concreta.
El segundo es la falta de coherencia. Si la dirección exige resultados a cualquier precio o permite excepciones para determinadas personas, el comportamiento real de la organización contradice el documento.
El tercer problema es la ausencia de estructura. Sin responsables, formación, canales de consulta, procedimientos y consecuencias proporcionadas, el código carece de capacidad preventiva.
Y el cuarto es no medir nada. Si la empresa desconoce cuántas consultas recibe, qué conflictos se declaran, qué controles fallan o si las medidas correctoras se aplican, no puede saber si su código funciona.
El liderazgo de la dirección es el primer control
Un código ético empresarial pierde credibilidad cuando las reglas se aplican solo a una parte de la organización. La alta dirección y el órgano de administración deben estar sometidos a los mismos principios y justificar las excepciones cuando realmente existan.
El ejemplo cotidiano tiene más impacto que el prólogo firmado por la dirección. Las personas observan qué conductas se premian, qué incumplimientos se toleran y qué sucede cuando alguien plantea una duda.
Por eso el compromiso debe traducirse en recursos, responsables, formación y decisiones coherentes. La cultura ética se demuestra especialmente cuando cumplir resulta incómodo.
Qué contenidos debería abordar
El contenido dependerá del mapa de riesgos, pero un código práctico suele incluir integridad, conflictos de interés, regalos y hospitalidad, relaciones con terceros, competencia, uso de activos, confidencialidad, protección de datos, igualdad, acoso, propiedad intelectual, ciberseguridad, canal interno, investigaciones y uso responsable de inteligencia artificial.
No conviene convertirlo en un manual de cien páginas. Es preferible un documento claro que remita a políticas específicas cuando una materia requiera más detalle.
Cada regla debería permitir responder al menos tres preguntas: qué se espera de la persona, a quién puede consultar y qué sucede si detecta un posible incumplimiento.
Conflictos de interés, regalos y relaciones con terceros
Los conflictos de interés deben poder declararse antes de que afecten a una decisión. El código debe explicar qué situaciones deben comunicarse, quién las analiza y cuándo procede la abstención.
Lo mismo ocurre con regalos, invitaciones, gastos, patrocinios o relaciones con intermediarios. Las reglas deben ser suficientemente concretas para evitar que cada persona interprete por su cuenta qué resulta aceptable.
Los terceros relevantes también deberían conocer las expectativas de integridad de la organización. Proveedores, agentes o colaboradores pueden generar riesgos que no desaparecen por estar fuera de la plantilla.
El código ético y el modelo de compliance
Un código ético puede formar parte de un modelo de prevención penal, pero no lo sustituye. La prevención eficaz requiere identificar riesgos, establecer controles, asignar responsabilidades, disponer de canales de información, formar y revisar periódicamente el sistema.
El marco penal puede consultarse en el Código Penal publicado en el BOE, especialmente en relación con los modelos de organización y gestión previstos en el artículo 31 bis.
La existencia del documento no demuestra por sí sola que el sistema sea eficaz. La organización debe poder acreditar cómo se aplica, qué controles existen y cómo responde ante los incumplimientos.
Protección de datos y confidencialidad
La aplicación del código puede generar tratamientos de datos personales a través de declaraciones de conflictos, consultas, denuncias, investigaciones, controles o medidas disciplinarias.
La organización debe limitar los datos recogidos, controlar quién accede, definir plazos de conservación y aplicar medidas de seguridad. El código no puede utilizarse como una autorización general para revisar indiscriminadamente correos, dispositivos o conversaciones.
Estas obligaciones deben coordinarse con una política real de protección de datos para empresas y con las medidas de seguridad y responsabilidad proactiva aplicables.
También resulta especialmente relevante el deber de confidencialidad de empleados y colaboradores, ya que muchas infracciones éticas comienzan por accesos, usos o divulgaciones indebidas de información.
Canal ético, consultas e investigaciones
El código debe explicar cómo comunicar una duda o un posible incumplimiento. Preguntar antes de actuar debe ser sencillo y seguro.
El canal de consultas puede coexistir con el sistema interno de información. No son necesariamente lo mismo: una consulta busca orientación; una comunicación puede alertar de una infracción y activar un procedimiento de investigación.
Las investigaciones deben contar con garantías, acceso restringido, gestión de conflictos de interés y protección frente a represalias. El código debe remitir al procedimiento correspondiente, no intentar sustituirlo.
Inteligencia artificial: una materia que ya debe aparecer
Hoy una persona puede introducir en pocos segundos un contrato, datos de clientes, código fuente o una evaluación laboral en una herramienta de inteligencia artificial. Si el código no aborda esta realidad, deja un vacío importante.
Debe indicarse qué herramientas están autorizadas, qué información no puede introducirse, cuándo se exige revisión humana y quién responde por el resultado utilizado.
El código ético empresarial puede establecer los principios generales, pero las reglas técnicas y jurídicas deben desarrollarse en políticas específicas y actualizarse conforme cambien las herramientas.
Formación: firmar no significa comprender
La firma de recepción demuestra que una persona recibió el documento, pero no que sepa aplicarlo. La formación debe utilizar casos reales y adaptarse a las funciones.
Compras puede necesitar ejemplos sobre proveedores y regalos; recursos humanos, sobre igualdad, privacidad y decisiones automatizadas; dirección, sobre conflictos de interés y responsabilidad; y tecnología, sobre datos, seguridad e inteligencia artificial.
La formación práctica permite detectar dudas antes de que se conviertan en incidentes.
Cómo saber si el código funciona
La eficacia debe poder medirse. No se trata de crear un sistema de vigilancia sobre la plantilla, sino de comprobar si existen señales de uso y mejora.
Pueden revisarse consultas recibidas, conflictos declarados, formación realizada, medidas correctoras, excepciones aprobadas, incidencias con terceros, uso del canal y resultados de auditorías.
La pregunta clave es sencilla: ¿la organización puede demostrar que una regla del código ha influido en una decisión real? Si la respuesta siempre es no, probablemente el documento todavía sea decorativo.
Buenas prácticas para hacerlo operativo
- Basar el código en el mapa de riesgos real de la organización.
- Aplicarlo también a la alta dirección y al órgano de administración.
- Utilizar lenguaje claro y ejemplos comprensibles.
- Vincular cada materia con políticas y procedimientos específicos.
- Crear canales sencillos para consultas y comunicaciones.
- Formar mediante casos adaptados a cada función.
- Integrarlo en compras, contratación, acogida y gestión de terceros.
- Aplicar consecuencias de forma coherente y proporcionada.
- Conservar evidencias de formación, consultas, controles y mejoras.
- Revisarlo periódicamente y siempre que cambien los riesgos o la tecnología.
Preguntas frecuentes
¿Es obligatorio que todas las empresas tengan un código ético?
No existe una obligación universal para todas las empresas. Su necesidad puede derivar del sector, el modelo de prevención penal, compromisos contractuales, contratación pública, pertenencia a un grupo o decisiones voluntarias de gobernanza.
¿Un código ético evita la responsabilidad penal?
No por sí solo. Puede ser una pieza de un modelo de organización y gestión, pero su eficacia depende de la identificación de riesgos, los controles, el canal interno, la formación, la supervisión y la revisión.
¿Debe firmarlo toda la plantilla?
La firma puede servir como evidencia de entrega, pero no demuestra comprensión. Debe acompañarse de formación y mecanismos de consulta.
¿Puede incluir sanciones?
Puede recordar que los incumplimientos tienen consecuencias, pero las sanciones laborales deben apoyarse en la normativa y fuentes aplicables y respetar proporcionalidad y garantías.
¿Debe incluir reglas sobre inteligencia artificial?
Sí, cuando la organización utiliza o permite utilizar herramientas de IA. El código debe fijar principios y límites y remitir a las políticas técnicas y jurídicas correspondientes.
Conclusión
Un código ético empresarial no se mide por su diseño, extensión o número de firmas. Se mide por su capacidad para orientar decisiones cuando existe presión, duda o conflicto.
Para que sea eficaz debe conectarse con riesgos reales, responsables, políticas, formación, canales, controles y consecuencias coherentes. La organización no demuestra integridad porque la declare: la demuestra cuando puede acreditar cómo aplica sus reglas en la práctica.
#CódigoÉtico #Compliance #Integridad #Gobernanza #CulturaDeCumplimiento #ProtecciónDeDatos #CanalÉtico #InteligenciaArtificial #sipylopd #SIPY
Información adicional
Este contenido tiene carácter exclusivamente informativo y general y no constituye asesoramiento jurídico, penal, laboral, contractual, de protección de datos, inteligencia artificial o ciberseguridad individualizado. La necesidad y el contenido de un código ético dependen de la actividad, sector, tamaño, estructura, riesgos, regulación y tecnologías utilizadas por cada organización.
Si necesitas elaborar, revisar o actualizar el código ético de tu organización, puedes contactar con SIPY a través de nuestra página de contacto para analizar tus riesgos y convertirlo en una herramienta realmente integrada en tu sistema de cumplimiento.
