Desde la reforma operada por la Ley Orgánica 5/2010 y su posterior desarrollo mediante la Ley Orgánica 1/2015, la responsabilidad penal de la persona jurídica es una realidad plenamente exigible en España: las empresas pueden ser condenadas como autoras de determinados delitos, con penas que van desde multas millonarias hasta la disolución de la sociedad. Para administradores, socios y directivos, comprender el alcance del artículo 31 bis del Código Penal y las vías legales para excluir o atenuar esta responsabilidad se ha convertido en una cuestión de supervivencia empresarial, no en un mero formalismo de cumplimiento normativo.
El marco legal: el artículo 31 bis del Código Penal
El artículo 31 bis del Código Penal establece dos vías de imputación de responsabilidad a la persona jurídica. La primera, cuando el delito se comete por sus representantes legales o por quienes, actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en su nombre o poseen facultades de organización y control. La segunda, cuando el delito se comete por personas sometidas a la autoridad de los anteriores, siempre que se haya producido un incumplimiento grave de los deberes de supervisión, vigilancia y control. La empresa responde, por tanto, tanto por la actuación de sus directivos como por la de sus empleados cuando falla el control interno.
El modelo de organización y gestión como eximente
La clave para evitar o atenuar la responsabilidad penal reside en el apartado 2 del artículo 31 bis, que exime de responsabilidad a la persona jurídica cuando, antes de la comisión del delito, el órgano de administración hubiera adoptado y ejecutado eficazmente un modelo de organización y gestión que incluya medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión. Este modelo, conocido comúnmente como programa de compliance penal, debe cumplir los siguientes requisitos mínimos exigidos por el propio Código Penal:
- Identificar las actividades en cuyo ámbito puedan cometerse los delitos que deben ser prevenidos (mapa de riesgos penales).
- Establecer protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica y de adopción de decisiones.
- Disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos.
- Imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento del modelo (canal de denuncias).
- Establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas del modelo.
- Realizar una verificación periódica del modelo y su eventual modificación cuando se pongan de manifiesto infracciones relevantes o cambios en la organización.
El órgano de supervisión (oficial de cumplimiento)
El Código Penal exige que la supervisión del funcionamiento y del cumplimiento del modelo de prevención sea confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y control, o cuyo cometido consista en supervisar la eficacia de los controles internos. En pymes, dado su volumen reducido, la ley permite que estas funciones sean asumidas directamente por el propio órgano de administración, si bien esta opción debe valorarse con cautela, ya que puede debilitar la independencia exigida al modelo frente a una eventual investigación judicial.
Diferencia entre el compliance de la matriz y el de las filiales en grupos de sociedades
En los grupos de sociedades, la jurisprudencia del Tribunal Supremo (entre otras, la Sentencia 154/2016) ha aclarado que la responsabilidad penal de la persona jurídica es individualizada, de modo que cada sociedad del grupo responde por los delitos cometidos en su propio ámbito de actuación, sin que un modelo de compliance aprobado a nivel de matriz sea automáticamente extensible ni eximente para las filiales si estas no lo han implementado y adaptado a su realidad operativa concreta. Esto obliga a las empresas con estructura de grupo a auditar de forma independiente cada sociedad, prestando especial atención a las filiales que operan en sectores regulados o de mayor riesgo penal, como la construcción, la intermediación financiera o el comercio internacional.
Delitos que con más frecuencia generan responsabilidad corporativa
Entre los delitos que con más frecuencia dan lugar a la responsabilidad penal de las empresas destacan el delito fiscal (artículo 305 CP), el blanqueo de capitales (artículo 301 CP), la corrupción entre particulares y el cohecho, los delitos contra los derechos de los trabajadores, los delitos medioambientales, el delito de estafa y el de administración desleal. La correcta identificación de los riesgos específicos de cada sector de actividad es, precisamente, el primer paso para diseñar un modelo de prevención eficaz y no meramente cosmético, ya que los tribunales han rechazado en varias sentencias la eficacia eximente de programas de compliance genéricos, no adaptados a la realidad de la empresa.
Compliance en pymes: proporcionalidad y adaptación al tamaño de la empresa
Un error frecuente entre pequeñas y medianas empresas es asumir que el compliance penal es una exigencia reservada a grandes corporaciones. El propio Código Penal recoge el principio de proporcionalidad, permitiendo que las obligaciones formales del modelo se adapten a la naturaleza y dimensión de la entidad, en particular cuando se trate de una persona jurídica de pequeñas dimensiones. Sin embargo, «adaptado» no significa «inexistente»: incluso una pyme debe contar con un mapa de riesgos básico, un canal de denuncias accesible y un mínimo control sobre el uso de fondos, ya que la ausencia total de cualquier medida preventiva impide por definición alegar la eximente, con independencia del tamaño de la compañía.
La certificación UNE 19601 y su valor probatorio
Aunque no es obligatoria, la certificación del sistema de gestión de compliance penal conforme a la norma UNE 19601 aporta un elemento probatorio relevante en caso de investigación judicial, al acreditar mediante un tercero independiente que el modelo cumple los estándares exigidos. Muchas empresas complementan esta certificación con informes técnicos independientes que evalúan la idoneidad de las medidas adoptadas y detectan áreas de mejora antes de que se produzca cualquier incidente. En este sentido, disponer de informes especializados en responsabilidad profesional y penal corporativa permite a los órganos de administración acreditar la diligencia debida exigida por el artículo 31 bis y reforzar su posición de defensa frente a eventuales procedimientos penales.
Circunstancias atenuantes cuando el delito ya se ha cometido
El artículo 31 quater del Código Penal contempla, además de la exención total, una serie de circunstancias atenuantes aplicables incluso cuando el delito ya se ha consumado: haber procedido, antes de conocer que el procedimiento judicial se dirige contra ella, a confesar la infracción a las autoridades; haber colaborado en la investigación aportando pruebas nuevas y decisivas; haber reparado o disminuido el daño causado por el delito en cualquier momento del procedimiento; o haber establecido, antes del inicio del juicio oral, medidas eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica. Estas atenuantes explican por qué muchas empresas optan por implementar un programa de compliance de forma reactiva tras detectar un incidente, aunque lo recomendable es siempre actuar de manera preventiva.
Consecuencias de no contar con un modelo adecuado
Las penas previstas para las personas jurídicas en el artículo 33.7 del Código Penal incluyen la multa por cuotas o proporcional, la disolución de la persona jurídica, la suspensión de sus actividades, la clausura de sus locales y establecimientos, la prohibición de realizar en el futuro las actividades en cuyo ejercicio se haya cometido el delito, la inhabilitación para obtener subvenciones y ayudas públicas, y la intervención judicial. A estas consecuencias penales se suman los efectos reputacionales y comerciales, especialmente relevantes en licitaciones públicas, donde la ausencia de programas de compliance puede ser motivo de exclusión conforme a la Ley 9/2017 de Contratos del Sector Público.
Conclusión
Evitar la responsabilidad penal de la persona jurídica exige mucho más que redactar un documento de compliance: requiere un mapa de riesgos real, protocolos operativos, un canal de denuncias efectivo y una revisión periódica del sistema. En TorreonLegal y ValiTax acompañamos a empresas de todos los sectores en el diseño, implementación y auditoría de sus modelos de prevención penal. Ponte en contacto con nuestro equipo para valorar el nivel de exposición real de tu compañía y adoptar las medidas necesarias.