Respuesta rápida: El compliance penal empresarial es el modelo de organización y gestión que una empresa implanta para prevenir delitos y, si llega a cometerse alguno, poder eximirse o atenuar su responsabilidad penal según el artículo 31 bis del Código Penal. Lo necesitan sobre todo las empresas expuestas a contratación pública, operaciones financieras o sectores regulados, aunque la ley no lo impone con carácter general.
Desde la reforma de 2010, el Código Penal permite condenar a las propias empresas, no solo a las personas que actúan en su nombre. Las consecuencias van desde multas de cuantía elevada hasta la disolución en los casos más graves, y la mejor defensa disponible es haber construido, antes de los hechos, un sistema real de prevención.
Cómo puede una empresa ser responsable penalmente
El artículo 31 bis de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, prevé dos vías. La primera, cuando el delito lo cometen en nombre y en beneficio directo o indirecto de la sociedad sus representantes legales o quienes tienen facultades de decisión y control. La segunda, cuando lo cometen empleados sometidos a la autoridad de los anteriores y el hecho fue posible porque se incumplieron gravemente los deberes de supervisión, vigilancia y control.
La responsabilidad de la persona jurídica no sustituye a la de la persona física: ambas pueden coexistir y se enjuician en el mismo procedimiento. Además, la empresa solo responde por los delitos que el Código Penal enumera expresamente para las personas jurídicas, no por cualquier delito.
Penas aplicables a las personas jurídicas
El artículo 33.7 del Código Penal recoge el catálogo de penas: multa, disolución de la persona jurídica, suspensión de actividades, clausura de locales, prohibición de realizar determinadas actividades, inhabilitación para obtener subvenciones y ayudas públicas o para contratar con el sector público, e intervención judicial. Varias de ellas pueden imponerse de forma conjunta.
Para una empresa que depende de licitaciones o subvenciones, la inhabilitación puede resultar más dañina que la multa. Por eso el análisis de riesgos debe tener en cuenta el modelo de negocio, y no solo la cuantía de las sanciones económicas.
Delitos que con más frecuencia generan esta responsabilidad
- Delitos contra la Hacienda Pública y la Seguridad Social.
- Cohecho y corrupción en los negocios.
- Blanqueo de capitales.
- Estafa, insolvencias punibles y alzamiento de bienes.
- Delitos contra los derechos de los trabajadores.
- Delitos contra el medio ambiente, según el sector de actividad.
- Delitos contra la intimidad y descubrimiento y revelación de secretos de empresa.
El modelo de organización y gestión como eximente
El artículo 31 bis exime de responsabilidad a la persona jurídica cuando, antes de la comisión del delito, ha adoptado y ejecutado eficazmente un modelo de organización y gestión adecuado para prevenir delitos de la misma naturaleza o reducir de forma significativa el riesgo de que se cometan. Para que el modelo sea idóneo, la ley exige que reúna al menos estos requisitos:
- Identificar las actividades en cuyo ámbito pueden cometerse los delitos que se deben prevenir.
- Establecer protocolos o procedimientos que concreten la formación de la voluntad de la empresa y la adopción de decisiones.
- Contar con modelos de gestión de los recursos financieros adecuados para impedir la comisión de delitos.
- Imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el modelo.
- Establecer un sistema disciplinario que sancione el incumplimiento de las medidas.
- Verificar periódicamente el modelo y modificarlo cuando se detecten infracciones relevantes o cambien la organización o la actividad.
Cuando el delito lo comete un directivo, la exención exige además que la supervisión del modelo la ejerza un órgano con poderes autónomos de iniciativa y control, y que el autor haya eludido fraudulentamente los controles. Si estos requisitos solo se cumplen parcialmente, el modelo puede operar como atenuante.
Quién necesita realmente un programa de compliance penal
La ley no obliga a todas las empresas a tener un programa de compliance penal, pero el riesgo no se reparte por igual. Conviene implantarlo en estos supuestos:
- Empresas con contacto habitual con la Administración pública, por contratación, subvenciones o licencias.
- Empresas que manejan fondos de terceros o realizan operaciones financieras complejas.
- Empresas de sectores regulados con riesgo específico medioambiental, sanitario o de seguridad.
- Empresas de tamaño relevante, donde la delegación de funciones genera un riesgo real de actuaciones no supervisadas.
- Empresas que participan en una operación de compraventa o financiación en la que la otra parte exige acreditar el cumplimiento.
Reglas específicas para las empresas pequeñas
El artículo 31 bis permite que, en las personas jurídicas de pequeñas dimensiones, las funciones del órgano de supervisión las asuma directamente el órgano de administración. Se consideran pequeñas las que, según la legislación aplicable, pueden presentar cuenta de pérdidas y ganancias abreviada. Esto simplifica la estructura, pero no dispensa de identificar riesgos, documentar protocolos y verificar su aplicación.
Elementos mínimos de un programa de compliance penal
- Mapa de riesgos penales específico de la actividad de la empresa.
- Protocolos de prevención adaptados a los riesgos detectados, con responsables identificados.
- Canal de denuncias, que desde la Ley 2/2023, de 20 de febrero, es obligatorio como sistema interno de información para las empresas de 50 o más trabajadores.
- Órgano de supervisión con autonomía real, no meramente formal.
- Formación periódica a empleados y directivos, con registro de asistencia.
- Régimen disciplinario aplicable de forma efectiva.
- Revisión y actualización periódica del propio modelo.
Si quieres ver cómo se integra el canal de denuncias dentro del modelo, tienes más detalle en el artículo sobre compliance penal, responsabilidad de las personas jurídicas y canal de denuncias.
Cómo valoran los tribunales la eficacia del modelo
El Tribunal Supremo, en su sentencia 154/2016, de 29 de febrero, vinculó la responsabilidad de la persona jurídica a la ausencia de una cultura de respeto al derecho en la organización. La Circular 1/2016 de la Fiscalía General del Estado sigue una línea similar y pide valorar si el programa se aplica de verdad y si expresa un compromiso real con el cumplimiento. Ambos criterios coinciden en que no basta con acreditar que el documento existe.
El error de implantar un compliance meramente formal
Un programa que existe solo como documento, sin aplicación en la actividad diaria, difícilmente sirve como eximente. Puede incluso perjudicar a la empresa, porque demuestra que conocía el riesgo y no actuó en consecuencia. Los indicios habituales de un compliance de papel son la ausencia de formación, un órgano de supervisión que nunca se reúne, un canal de denuncias sin uso ni seguimiento y protocolos que nadie conoce.
Pasos para implantar el programa
- Diagnóstico inicial de la actividad, la estructura societaria y los delitos que pueden afectar a la empresa.
- Elaboración del mapa de riesgos y valoración de los controles que ya existen.
- Redacción de protocolos, código de conducta y régimen disciplinario.
- Nombramiento del órgano de supervisión y puesta en marcha del canal de denuncias.
- Formación del personal y registro de las evidencias.
- Revisión anual y actualización ante cambios de actividad, estructura o normativa.
Los procedimientos de contratación pública son uno de los ámbitos donde más se exige acreditar este tipo de controles; en el artículo sobre bid rigging y compliance en contratación pública puedes ver un ejemplo concreto. Para integrar el modelo con el resto de obligaciones de gobierno de la sociedad, resulta útil el apoyo en el cumplimiento de las obligaciones societarias.
Si quieres revisar el modelo de tu empresa, puedes escribirnos a Contacto@LRB.es o llamar al +34 684 234 831.
No de forma automática. El tribunal valora si el modelo era adecuado y si funcionó como mecanismo real de prevención en el momento de los hechos. Un programa bien implantado puede eximir o, al menos, atenuar la responsabilidad, pero uno meramente documental no ofrece esa protección.
No existe una obligación general de implantar un programa de compliance penal. Sin embargo, es muy recomendable en empresas con mayor exposición, porque el modelo puede eximir o atenuar la responsabilidad. Algunas obligaciones concretas, como el canal interno de información para empresas de 50 o más trabajadores, sí son exigibles por ley.
Las penas previstas son la multa, la disolución, la suspensión de actividades, la clausura de locales, la prohibición de actividades, la inhabilitación para subvenciones o contratación pública y la intervención judicial. Pueden imponerse varias a la vez, según la gravedad del delito y las circunstancias de la empresa.
En las empresas de pequeñas dimensiones, el artículo 31 bis permite que el propio órgano de administración asuma las funciones de supervisión. En el resto, debe existir un órgano con poderes autónomos de iniciativa y control, que puede ser interno o externo, siempre que tenga independencia real.
La ley exige una verificación periódica, sin fijar un plazo concreto. En la práctica se recomienda una revisión anual y otra extraordinaria cuando cambie la actividad, la estructura o la normativa, o cuando se detecte una infracción relevante. Conviene dejar constancia escrita de cada revisión.