El compliance penal es el conjunto de medidas que una empresa adopta para prevenir delitos y reducir su responsabilidad penal como persona jurídica. Desde la reforma del Código Penal, una empresa puede ser condenada por delitos cometidos en su beneficio, pero también puede quedar exenta si demuestra que tenía un modelo de prevención eficaz. En esta guía te explicamos qué exige la ley, cómo se construye ese modelo y qué papel juegan el canal de denuncias y el órgano de cumplimiento.
Lo esencial
- El compliance penal busca prevenir delitos en la empresa y blindar su responsabilidad penal ante un eventual proceso.
- La base legal es el artículo 31 bis del Código Penal, que regula la responsabilidad penal de las personas jurídicas.
- Un modelo de prevención de delitos eficaz, adoptado antes del delito, puede actuar como eximente o atenuante.
- El modelo no es un documento: exige evaluación de riesgos, controles, canal de denuncias, régimen disciplinario y supervisión periódica.
- Es el núcleo de cualquier programa de compliance en España y la mejor defensa preventiva de la empresa.
¿Qué es el compliance penal?
El compliance penal es la parte del cumplimiento normativo que se ocupa de prevenir, detectar y reaccionar ante los delitos que puedan cometerse en el seno de una organización. Su finalidad doble es evitar que el delito ocurra y, si pese a todo ocurre, acreditar que la empresa actuó con diligencia para que no se le impute responsabilidad penal.
No se trata de tener una política guardada en un cajón. El compliance penal se materializa en un modelo de organización y gestión que identifica los riesgos delictivos propios de la actividad y despliega controles concretos para cada uno. Ese modelo es lo que la doctrina llama «modelo de prevención de delitos» o, en el lenguaje del negocio, programa de cumplimiento penal.
¿Cuándo responde penalmente una empresa?
Una empresa responde penalmente cuando se comete un delito en su nombre y en su beneficio, directo o indirecto, según el artículo 31 bis del Código Penal. La ley distingue dos vías de imputación, y entenderlas es clave para construir la defensa preventiva:
- Por sus representantes o directivos: cuando el delito lo cometen los administradores, representantes legales o quienes tienen poder de decisión y control en la organización.
- Por sus subordinados: cuando el delito lo comete un empleado bajo la autoridad de los anteriores porque estos incumplieron gravemente sus deberes de supervisión, vigilancia y control.
En ambos casos hablamos de delitos de los que el Código Penal permite atribuir a la persona jurídica, como estafa, corrupción, blanqueo de capitales, delitos contra la Hacienda Pública o contra el medio ambiente, entre otros. Puedes consultar el texto consolidado del artículo en el BOE.
¿Qué requisitos exige el modelo de prevención de delitos?
El artículo 31 bis fija los requisitos que debe cumplir un modelo de prevención para que pueda eximir o atenuar la responsabilidad de la empresa. No basta con tenerlo: debe ser idóneo para el riesgo concreto y estar realmente implantado. Estos son los elementos que la ley exige:
| Requisito | Qué significa en la práctica |
|---|---|
| Mapa de riesgos | Identificar las actividades en cuyo ámbito puedan cometerse los delitos a prevenir. |
| Protocolos de decisión | Establecer cómo se forma y ejecuta la voluntad de la empresa en esas actividades. |
| Gestión de recursos financieros | Controlar los flujos económicos para impedir o dificultar la comisión del delito. |
| Obligación de informar | Imponer el deber de reportar riesgos e incumplimientos a través de un canal interno. |
| Régimen disciplinario | Sancionar el incumplimiento de las medidas del modelo. |
| Revisión periódica | Verificar y actualizar el modelo cuando cambian los riesgos o se detectan fallos. |
El cuarto requisito conecta directamente con el canal de denuncias que la Ley 2/2023 ya obliga a tener a muchas organizaciones. El régimen disciplinario, por su parte, es lo que da credibilidad al modelo: sin consecuencias, el programa pierde fuerza ante un juez.
¿Cómo se implanta un programa de compliance penal?
Implantar un programa de compliance penal es un proceso ordenado que parte del riesgo real de tu actividad y termina en una supervisión continua. Estos son los pasos habituales:
- Análisis de riesgos penales: identificas qué delitos pueden cometerse según tu sector, procesos y relaciones.
- Diseño de controles: defines protocolos, segregación de funciones, controles financieros y políticas específicas.
- Canal de denuncias: implantas un sistema interno de información confidencial y accesible.
- Órgano de cumplimiento: designas a la persona u órgano con poderes autónomos de supervisión.
- Formación y comunicación: trasladas el modelo a toda la plantilla y dejas constancia.
- Supervisión y mejora: revisas el modelo periódicamente y tras cualquier incidente relevante.
La evaluación de riesgos se apoya con frecuencia en una metodología estructurada de gestión de riesgos como la ISO 31000, que ayuda a priorizar dónde poner los controles. Una plataforma de compliance facilita documentar evidencias y demostrar que el modelo está vivo, no solo escrito.
¿Qué papel juegan el canal de denuncias y el órgano de cumplimiento?
El canal de denuncias y el órgano de cumplimiento son los dos pilares operativos que sostienen el modelo. Sin ellos, el programa es papel mojado ante un tribunal.
El canal de denuncias permite que cualquier persona reporte riesgos o conductas irregulares de forma confidencial y sin miedo a represalias. Es un requisito expreso del modelo de prevención y, además, una obligación independiente bajo la Ley 2/2023 para empresas de cierto tamaño y entidades del sector público.
El órgano de cumplimiento, a menudo encarnado en la figura del compliance officer, supervisa el funcionamiento del modelo con autonomía e iniciativa propia. El Código Penal exige que la vigilancia se confíe a un órgano con poderes autónomos, y esa independencia es justo lo que los tribunales examinan para valorar si el modelo era serio.
Compliance penal, UNE 19601 e ISO 37001: ¿en qué se diferencian?
El compliance penal es el objetivo, y las normas técnicas son herramientas para alcanzarlo con método. Conviene no confundirlas:
| Referencia | Enfoque | Alcance |
|---|---|---|
| Artículo 31 bis CP | Marco legal obligatorio | Define cuándo responde la empresa y qué exige el modelo. |
| UNE 19601 | Norma española certificable | Sistema de gestión de compliance penal alineado con el 31 bis. |
| ISO 37001 | Norma internacional certificable | Sistema de gestión antisoborno, un riesgo penal concreto. |
Dicho en claro: el artículo 31 bis manda, la UNE 19601 ofrece un estándar para estructurar todo el modelo penal y certificarlo, y la ISO 37001 se especializa en el soborno. Una empresa puede apoyarse en estas normas y en otras referencias de cumplimiento normativo para demostrar que su modelo sigue buenas prácticas reconocidas.
¿Eximente completa o atenuante? Cómo lo valoran los tribunales
Tener un modelo no garantiza la exención automática: el tribunal valora si era idóneo y si estaba realmente implantado antes del delito. Si el modelo cumple todos los requisitos y funcionaba con eficacia, puede operar como eximente completa de la responsabilidad de la empresa.
Cuando el modelo existe pero presenta carencias, o se acredita solo de forma parcial, suele aplicarse como atenuante, lo que reduce la pena pero no la elimina. Por eso la clave no es redactar un buen documento, sino mantener evidencias vivas: actas del órgano de cumplimiento, registros del canal, formaciones impartidas y revisiones del mapa de riesgos. Esa trazabilidad es lo que convierte un modelo sobre el papel en una defensa real.
¿Qué delitos cubre el compliance penal y qué consecuencias evita?
El catálogo de delitos que pueden imputarse a una persona jurídica es amplio y muy ligado a la actividad de cada empresa. Entre los más frecuentes están la corrupción en los negocios, el cohecho, el fraude y la estafa, el blanqueo de capitales, los delitos contra la Hacienda Pública y la Seguridad Social, los delitos contra los derechos de los trabajadores, los delitos contra el medio ambiente y los delitos informáticos. Un buen mapa de riesgos prioriza precisamente aquellos a los que tu organización está más expuesta.
Las consecuencias de una condena van mucho más allá de la sanción económica. El Código Penal contempla multas, pero también penas que pueden golpear la viabilidad del negocio: suspensión de actividades, inhabilitación para obtener subvenciones y ayudas públicas, prohibición de contratar con el sector público, intervención judicial e incluso la disolución de la empresa en los casos más graves. A eso se suma el daño reputacional, que suele ser el más difícil de reparar. Un modelo de prevención eficaz reduce la probabilidad de que ocurra el delito y, si ocurre, mejora de forma decisiva la posición de la empresa en el proceso.
Preguntas frecuentes sobre compliance penal
¿Es obligatorio el compliance penal en España?
No existe una obligación general de implantar un modelo de prevención de delitos, pero sí es la única vía para que una empresa quede exenta o atenúe su responsabilidad penal. En la práctica, para cualquier organización con cierta exposición es una decisión casi imprescindible.
¿Qué empresas pueden ser responsables penalmente?
Cualquier persona jurídica privada puede serlo por los delitos que el Código Penal permite atribuirle. Quedan fuera el Estado y determinadas entidades públicas, pero la regla general alcanza a sociedades mercantiles, asociaciones y fundaciones.
¿Sirve un modelo descargado de internet?
No. El modelo debe ajustarse a los riesgos reales de tu actividad y estar implantado de verdad. Un documento genérico, sin mapa de riesgos propio ni evidencias de funcionamiento, difícilmente convencerá a un tribunal.
¿Cada cuánto hay que revisar el modelo de prevención?
La ley exige una revisión periódica y, sobre todo, una actualización cuando cambian los riesgos, la normativa o tras detectar incumplimientos relevantes. Una revisión anual es una buena práctica de referencia.
¿Compliance penal y canal de denuncias son lo mismo?
No. El canal de denuncias es uno de los elementos obligatorios del modelo de compliance penal, pero el programa abarca mucho más: mapa de riesgos, controles, órgano de cumplimiento, régimen disciplinario y supervisión.
Protege a tu empresa con un modelo que funcione
Un programa de compliance penal bien construido no es un gasto, es la mejor póliza preventiva frente al riesgo penal y reputacional. En Laworatory diseñamos el modelo a partir de tus riesgos reales, integramos el canal de denuncias y dejamos la trazabilidad que un tribunal querrá ver. Si quieres revisar dónde está hoy tu empresa y qué falta, hablamos.
