Categoría: Cumplimiento Normativo

La formación compliance empleados ha dejado de ser una recomendación de buenas prácticas para convertirse en un elemento central de la exoneración de responsabilidad penal de las personas jurídicas en España. Desde la reforma del Código Penal operada por la Ley Orgánica 1/2015, las empresas que quieren beneficiarse de la eximente o atenuante de responsabilidad penal deben acreditar no solo la existencia de un modelo de prevención de delitos, sino también que ese modelo se ha comunicado y trasladado de forma efectiva a toda la organización mediante formación periódica y verificable.

Marco legal de la formación en compliance en España

El artículo 31 bis del Código Penal exige que los modelos de organización y gestión incluyan medidas de vigilancia y control adecuadas para prevenir delitos o reducir de forma significativa el riesgo de su comisión. La jurisprudencia del Tribunal Supremo, especialmente a partir de la Sentencia 154/2016, ha subrayado que un programa de cumplimiento normativo que exista solo sobre el papel, sin difusión real entre los empleados, no sirve para exonerar de responsabilidad penal a la empresa. La norma UNE 19601 sobre sistemas de gestión de compliance penal, así como la ISO 37301 de sistemas de gestión de cumplimiento, refuerzan esta idea al establecer la formación como un requisito imprescindible dentro del ciclo de mejora continua del sistema.

En la práctica, esto significa que un consejo de administración no puede limitarse a aprobar un código ético o un manual de prevención de delitos: debe demostrar, con actas, registros de asistencia, cuestionarios de evaluación y certificados, que los trabajadores han recibido formación adaptada a su puesto y a los riesgos penales propios de su área funcional. Los tribunales valoran especialmente que la formación no sea idéntica para toda la plantilla, sino que responda a un análisis previo de riesgos por departamento.

Qué riesgos cubre la formación obligatoria

La formación en cumplimiento normativo no es genérica, sino que debe adaptarse al mapa de riesgos de cada empresa. Entre las materias que con más frecuencia se abordan destacan:

• Prevención del blanqueo de capitales y financiación del terrorismo, conforme a la Ley 10/2010, especialmente en sectores obligados como el asesoramiento financiero, la abogacía, las inmobiliarias o las gestorías.
• Delitos contra la Hacienda Pública y la Seguridad Social, regulados en los artículos 305 y siguientes del Código Penal, con especial incidencia en los departamentos financiero y de administración.
• Corrupción entre particulares y cohecho, con especial atención a los departamentos comerciales, de compras y de relaciones institucionales.
• Protección de datos personales conforme al Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, aplicable a prácticamente toda la plantilla.
• Canal ético y de denuncias interno, cuya existencia es obligatoria desde la transposición de la Directiva Whistleblowing mediante la Ley 2/2023, reguladora de la protección de los informantes.
• Delitos societarios e insolvencias punibles, relevantes para los órganos de administración y la dirección financiera.

Consecuencias de no formar a la plantilla

La ausencia de formación acreditada tiene efectos directos en dos planos. En el plano penal, si se comete un delito en el seno de la organización, la empresa perderá la posibilidad de alegar la eximente del artículo 31 bis.2 del Código Penal, quedando expuesta a multas que pueden alcanzar el quíntuple del beneficio obtenido, además de sanciones accesorias como la disolución, suspensión de actividades, clausura de establecimientos o inhabilitación para contratar con el sector público y para obtener subvenciones públicas, recogidas en el artículo 33.7 del propio Código Penal. En el plano laboral y de responsabilidad civil, la falta de formación puede agravar la responsabilidad del empleador frente a terceros perjudicados por la actuación negligente de un empleado mal informado, e incluso derivar en responsabilidad personal de administradores conforme al artículo 236 de la Ley de Sociedades de Capital.

Además, en operaciones de compraventa de empresas o procesos de due diligence, la inexistencia de un plan de formación documentado es una de las señales de alerta que con más frecuencia hacen bajar la valoración de la compañía o frustran directamente la operación, ya que el comprador asume un pasivo oculto de riesgo penal difícil de cuantificar.

Cómo diseñar un plan de formación eficaz

Un plan de formación en compliance robusto debe contemplar, como mínimo, los siguientes elementos:

• Formación inicial obligatoria en el momento de la incorporación de cada trabajador, con especial intensidad para los cargos directivos y de responsabilidad.
• Formación periódica de actualización, al menos anual, adaptada a los cambios normativos y a nuevos riesgos detectados en las auditorías internas.
• Formación específica y reforzada para las áreas de mayor exposición: dirección financiera, comercial, compras y recursos humanos.
• Evaluación del aprendizaje mediante tests o cuestionarios, con conservación de los resultados como evidencia documental ante una eventual inspección.
• Registro de asistencia firmado o trazabilidad digital de la formación online, elemento esencial de cara a una eventual auditoría interna, laboral o judicial.

Muchas empresas optan por externalizar el diseño y la actualización de estos programas, así como la elaboración de la documentación de soporte, apoyándose en asesores especializados que preparan informes de responsabilidad profesional que sirven como evidencia adicional ante posibles reclamaciones o inspecciones vinculadas al incumplimiento del deber de vigilancia y control por parte del órgano de administración.

Buenas prácticas para acreditar la formación ante un tribunal

No basta con impartir la formación; hay que ser capaz de probarla años después, cuando eventualmente se abra una causa penal por hechos ocurridos mucho tiempo atrás. Recomendamos a nuestros clientes conservar durante al menos cinco años los siguientes documentos: convocatorias de las sesiones formativas, contenidos impartidos (presentaciones, manuales, vídeos), listados de asistentes firmados o logs de la plataforma e-learning, resultados de las evaluaciones y certificados individuales de superación del curso. Estos elementos, integrados en el informe anual del órgano de cumplimiento (compliance officer) que exige el artículo 31 bis.5.4ª del Código Penal, constituyen la prueba documental que el juzgado valorará para determinar si el modelo de prevención era «eficaz» en el sentido exigido por la norma.

Conviene también revisar periódicamente el contenido formativo a la luz de reformas legislativas recientes, como la ampliación del catálogo de delitos corporativos o la nueva regulación de los canales de denuncia, de modo que la formación no quede desactualizada y pierda valor probatorio.

Formación diferenciada según la modalidad de trabajo

La generalización del teletrabajo y de los equipos distribuidos obliga a repensar el formato de la formación en cumplimiento normativo. La Ley 10/2021 de trabajo a distancia no impone directamente obligaciones formativas en materia de compliance, pero la falta de adaptación del programa a esta realidad organizativa puede considerarse un indicio de ineficacia del modelo de prevención. Las empresas con plantilla deslocalizada suelen combinar módulos de e-learning asíncronos, con control de finalización y superación de test, junto con sesiones en directo trimestrales para resolver dudas y actualizar contenidos. Es recomendable, además, incluir cláusulas específicas en los contratos de trabajo y en el reglamento interno que remitan expresamente al código ético y al deber de formación continua, de modo que el incumplimiento por parte del trabajador pueda tener también consecuencias en el ámbito disciplinario laboral, conforme al artículo 54 del Estatuto de los Trabajadores.

Otro aspecto que suele pasarse por alto es la formación de terceros que actúan en nombre de la empresa, como agentes comerciales, distribuidores o proveedores críticos. Aunque no exista relación laboral directa, su comportamiento puede comprometer la responsabilidad penal de la persona jurídica si actúan bajo su autoridad o representación, por lo que muchas organizaciones extienden protocolos de formación básica y cláusulas de compliance a estos colaboradores externos dentro de sus contratos mercantiles.

Conclusión

La formación compliance empleados no es un trámite burocrático, sino la pieza que convierte un programa de cumplimiento normativo teórico en un escudo real frente a la responsabilidad penal de la persona jurídica. Diseñar, ejecutar y documentar correctamente este proceso requiere conocimiento técnico tanto en derecho penal económico como en gestión organizativa. En TorreonLegal ayudamos a empresas de todos los tamaños a construir, implantar y auditar sus programas de formación en cumplimiento normativo, adaptados a su sector y a su mapa real de riesgos. Contacte con nuestro equipo para una revisión personalizada de su plan de compliance.

Cada vez más empresas españolas, no solo las grandes corporaciones, están adoptando un código ético empresarial como pieza central de su estrategia de cumplimiento normativo. Lejos de ser un documento meramente declarativo, el código ético constituye la base sobre la que se construyen los programas de compliance penal, las políticas anticorrupción y los canales de denuncia exigidos por la normativa vigente. En este artículo explicamos qué debe contener, por qué protege a los administradores y cómo implantarlo correctamente en una pyme.

Marco normativo que impulsa su adopción

El artículo 31 bis del Código Penal, tras la reforma operada por la Ley Orgánica 1/2015, establece que las personas jurídicas pueden quedar exentas de responsabilidad penal si acreditan haber implantado, antes de la comisión del delito, modelos de organización y gestión que incluyan medidas de vigilancia y control idóneas para prevenir delitos o reducir significativamente el riesgo de su comisión. El código ético es el documento nuclear de ese modelo, ya que fija los valores, principios y estándares de conducta exigibles a administradores, empleados y colaboradores. A ello se suma la Ley 2/2023 reguladora de la protección de las personas que informen sobre infracciones normativas, que obliga a empresas de 50 o más trabajadores a disponer de un canal de denuncias interno vinculado a estos principios éticos.

Contenido mínimo de un código ético eficaz

Para que el código ético tenga verdadero valor jurídico y no se limite a un documento de imagen corporativa, debe incluir al menos:

• Declaración de valores y principios corporativos (integridad, legalidad, transparencia, respeto a los derechos humanos).
• Normas de conducta específicas frente a conflictos de interés, regalos e invitaciones, relaciones con la Administración Pública y prevención de la corrupción y el soborno.
• Políticas antifraude y anticorrupción, con referencia expresa a los delitos societarios, de cohecho y de blanqueo de capitales tipificados en el Código Penal.
• Compromiso de cumplimiento de la normativa de protección de datos, prevención de riesgos laborales y no discriminación.
• Régimen disciplinario aplicable ante incumplimientos, coordinado con el convenio colectivo y el Estatuto de los Trabajadores.
• Referencia al canal ético o canal de denuncias, garantizando confidencialidad y prohibición expresa de represalias frente al denunciante de buena fe.
• Ámbito de aplicación subjetivo (administradores, directivos, empleados, y en su caso proveedores y colaboradores externos) y procedimiento de actualización periódica.

El canal ético y la protección del denunciante

La Ley 2/2023 establece que el sistema interno de información debe permitir presentar comunicaciones por escrito o verbalmente, garantizar la confidencialidad de la identidad del informante, designar un responsable del sistema con independencia funcional, y dar respuesta a la comunicación en un plazo máximo de tres meses. El incumplimiento de estas obligaciones puede ser sancionado por la Autoridad Independiente de Protección del Informante (A.A.I.), cuya puesta en marcha efectiva ha reforzado la vigilancia sobre estos sistemas también en el ámbito de las pymes obligadas.

Beneficios prácticos para pymes y autónomos con estructura societaria

Más allá de la exención de responsabilidad penal de la persona jurídica, un código ético bien implantado ofrece ventajas tangibles: facilita el acceso a licitaciones públicas y a determinados fondos europeos que exigen acreditar políticas de integridad; mejora la posición negociadora frente a bancos e inversores en procesos de due diligence; y, sobre todo, reduce el riesgo de responsabilidad personal de los administradores por incumplimientos cometidos en el seno de la empresa, ya que demuestra el ejercicio de una vigilancia razonable conforme al artículo 225 de la Ley de Sociedades de Capital. Para dimensionar correctamente este riesgo y verificar si la cobertura de responsabilidad civil de los administradores es adecuada, conviene solicitar informes de responsabilidad profesional que analicen la exposición real de la compañía.

Relación entre el código ético y el resto del programa de compliance

El código ético no opera de forma aislada, sino que constituye el vértice de una pirámide normativa interna que debe completarse con políticas específicas de desarrollo: un procedimiento de prevención de blanqueo de capitales y financiación del terrorismo cuando la actividad de la empresa esté sujeta a la Ley 10/2010, un protocolo de prevención del acoso laboral y sexual conforme a la Ley Orgánica 3/2007 y al Estatuto de los Trabajadores, una política de regalos y atenciones que fije límites cuantitativos objetivos, y un mapa de riesgos penales que identifique, actividad por actividad, los delitos del catálogo del Código Penal con mayor probabilidad de materializarse en la empresa (delitos contra la Hacienda Pública, contra los derechos de los trabajadores, medioambientales, de corrupción entre particulares). Sin este desarrollo normativo posterior, el código ético queda como una declaración de intenciones que difícilmente superaría el control de un juez o de la Fiscalía en caso de investigación penal a la empresa, ya que el propio Tribunal Supremo ha exigido en diversas sentencias que los modelos de organización y gestión sean órganos vivos, revisados y realmente aplicados, no simples «programas de cumplimiento de brochure».

Errores comunes al redactar el código ético

Entre los fallos más habituales que restan eficacia jurídica al documento destacan: copiar plantillas genéricas sin adaptarlas a la actividad real de la empresa (no es lo mismo el riesgo penal de una gasolinera que el de una consultora); no formar ni difundir el código entre la plantilla, de modo que en caso de investigación se acredite que era papel mojado; no designar formalmente un responsable de cumplimiento (compliance officer) con autonomía real; y no revisar el documento periódicamente para adaptarlo a reformas legales, como la reciente ampliación del catálogo de delitos que pueden generar responsabilidad penal de la persona jurídica.

Implantación práctica en una pyme paso a paso

Para una pequeña o mediana empresa que aborda por primera vez esta materia, el proceso de implantación suele seguir una secuencia lógica: en primer lugar, un diagnóstico de riesgos penales y de cumplimiento específico de la actividad, identificando qué delitos del catálogo son razonablemente probables en el sector; a continuación, la redacción del código ético y de las políticas de desarrollo prioritarias en función de ese mapa de riesgos; después, la aprobación formal del código por el órgano de administración, dejándolo constar en acta; la comunicación y formación a toda la plantilla, con acuse de recibo firmado que sirva de prueba documental; la implantación del canal de denuncias con su procedimiento y responsable designado; y finalmente, un ciclo de revisión periódica, al menos anual, que evalúe la eficacia real del sistema y lo actualice conforme a la evolución de la empresa y de la normativa. Este proceso, que en una pyme puede completarse en pocas semanas con el asesoramiento adecuado, es precisamente el que exige la jurisprudencia para reconocer eficacia exoneratoria al modelo de organización y gestión implantado. Externalizar el diagnóstico inicial y la redacción del código en un despacho especializado suele resultar más eficiente en tiempo y coste que improvisar el documento internamente, además de aportar la independencia de criterio que valoran positivamente los tribunales y la Fiscalía al analizar la seriedad y el rigor con que la empresa ha diseñado su programa de cumplimiento implantado, un factor que puede resultar determinante en un procedimiento penal futuro. En definitiva, la calidad del proceso de elaboración e implantación del código ético pesa tanto o más que su contenido formal a la hora de valorar judicialmente su eficacia real como mecanismo de prevención de delitos dentro de la organización, por lo que conviene invertir el tiempo y los recursos necesarios en hacerlo bien desde el principio en lugar de limitarse a copiar modelos ajenos sin la debida adaptación al riesgo real de cada negocio.

Conclusión

Un código ético empresarial bien diseñado, integrado en un programa de compliance completo y acompañado de un canal de denuncias operativo, es hoy una herramienta imprescindible de protección jurídica para la empresa y sus administradores, no un mero ejercicio de reputación corporativa. En TorreonLegal diseñamos códigos éticos y programas de cumplimiento normativo a medida de cada sector y tamaño de empresa: contáctanos para una auditoría inicial de tu situación de compliance.

Muchas pequeñas y medianas empresas siguen pensando que el Reglamento General de Protección de Datos (RGPD) es una normativa pensada solo para grandes corporaciones. Nada más lejos de la realidad: las obligaciones RGPD para pymes son plenamente exigibles desde el momento en que una empresa trata datos de clientes, empleados o proveedores, con independencia de su tamaño. El incumplimiento puede acarrear sanciones económicas muy elevadas y un daño reputacional difícil de reparar, por lo que entender qué exige realmente la normativa es el primer paso para cumplir sin sobrecostes innecesarios.

Qué normativa regula la protección de datos en España

El marco legal aplicable combina el Reglamento (UE) 2016/679, de aplicación directa en toda la Unión Europea desde mayo de 2018, con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo desarrolla y adapta al ordenamiento español. Ambas normas se aplican a cualquier empresa, autónomo o entidad que trate datos personales de personas físicas, ya sean clientes, empleados, proveedores o cualquier otro colectivo, sin que exista una exención general por el tamaño de la organización.

Principio de responsabilidad proactiva

El RGPD se asienta sobre el principio de «accountability» o responsabilidad proactiva: no basta con cumplir la norma, hay que ser capaz de demostrarlo documentalmente ante una eventual inspección de la Agencia Española de Protección de Datos (AEPD). Esto obliga a las pymes a mantener registros, políticas internas y evidencias de cumplimiento, no solo a aplicar medidas de forma informal.

Registro de actividades de tratamiento

Toda empresa, incluidas las de menos de 250 empleados cuando el tratamiento no sea ocasional, esté vinculado a datos especialmente protegidos o pueda entrañar un riesgo para los derechos de los afectados (lo que en la práctica incluye a la inmensa mayoría de pymes), debe mantener un registro de actividades de tratamiento conforme al artículo 30 del RGPD. Este documento debe recoger, como mínimo:

• Finalidades del tratamiento (por ejemplo, gestión de nóminas, facturación, marketing).
• Categorías de datos y de interesados afectados.
• Destinatarios a los que se comunican los datos, incluidas transferencias internacionales si las hubiera.
• Plazos previstos para la supresión de los datos.
• Descripción general de las medidas de seguridad técnicas y organizativas aplicadas.

Base legal para el tratamiento y consentimiento

Toda pyme debe identificar, para cada tratamiento que realiza, la base legal que lo legitima conforme al artículo 6 del RGPD: consentimiento del interesado, ejecución de un contrato, cumplimiento de una obligación legal, interés legítimo del responsable, entre otras. El consentimiento, cuando se utiliza como base legal, debe ser libre, específico, informado e inequívoco, lo que en la práctica exige revisar formularios web, cláusulas de contratación y campañas de marketing para asegurarse de que no se están recabando datos mediante casillas premarcadas o textos ambiguos, una de las infracciones más sancionadas por la AEPD.

Información a los interesados y derechos ARCO-POL

Cualquier pyme que recabe datos personales debe informar a los interesados, en el momento de la recogida, sobre la identidad del responsable del tratamiento, las finalidades, la base legal, el plazo de conservación y el modo de ejercitar sus derechos. Estos derechos, ampliados por la LOPDGDD respecto al RGPD, incluyen el acceso, rectificación, cancelación (supresión), oposición, portabilidad y limitación del tratamiento (conocidos como derechos ARCO-POL). La empresa debe habilitar un canal sencillo para ejercitarlos y responder en el plazo máximo de un mes desde la recepción de la solicitud.

Medidas de seguridad y análisis de riesgos

El RGPD no impone medidas de seguridad cerradas y uniformes, sino que exige aplicar aquellas que resulten adecuadas al riesgo del tratamiento (enfoque basado en el riesgo). En la práctica, esto se traduce en:

• Control de accesos a los sistemas que almacenan datos personales, con contraseñas robustas y, cuando proceda, doble factor de autenticación.
• Cifrado de datos especialmente sensibles, tanto en tránsito como en reposo.
• Copias de seguridad periódicas y probadas, con procedimientos de recuperación ante incidentes.
• Acuerdos de confidencialidad con el personal que tenga acceso a datos personales.
• Contratos de encargado de tratamiento con proveedores externos (gestorías, plataformas de email marketing, servicios de hosting) conforme al artículo 28 del RGPD.

Brechas de seguridad: qué hacer si se produce una

Cuando se produce una violación de seguridad de los datos personales (una brecha), la empresa responsable debe notificarla a la AEPD en el plazo máximo de 72 horas desde que tuvo conocimiento de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas afectadas. Si el riesgo es alto, además debe comunicarse a los propios interesados sin dilación indebida. No disponer de un protocolo interno para detectar y gestionar brechas es uno de los incumplimientos más frecuentes en pymes, que a menudo descubren el incidente semanas después de producirse, cuando el plazo de notificación ya ha vencido.

Delegado de Protección de Datos: ¿es obligatorio en una pyme?

La designación de un Delegado de Protección de Datos (DPO) no es obligatoria para todas las pymes, pero sí lo es en determinados supuestos concretos: cuando el tratamiento principal consiste en la observación habitual y sistemática de interesados a gran escala, cuando se tratan a gran escala categorías especiales de datos (salud, ideología, orientación sexual) o cuando así lo exige una norma sectorial específica, como ocurre con algunos colegios profesionales o entidades del sector sanitario y financiero. Fuera de estos casos, aunque no sea obligatorio, contar con asesoramiento externo especializado sigue siendo muy recomendable para reducir el riesgo de sanción.

Régimen sancionador y consecuencias del incumplimiento

Las sanciones del RGPD se dividen en dos categorías: hasta 10 millones de euros o el 2% de la facturación anual global (la cifra mayor) para infracciones como no mantener el registro de actividades o no notificar una brecha, y hasta 20 millones de euros o el 4% de la facturación para infracciones más graves, como tratar datos sin base legal o vulnerar los derechos de los interesados de forma sistemática. La AEPD, además, aplica criterios de graduación que tienen en cuenta el tamaño y la capacidad económica de la empresa, por lo que, aunque las pymes rara vez reciben las sanciones más elevadas, sí son objeto habitual de procedimientos sancionadores por infracciones básicas y evitables. Contar con informes de responsabilidad profesional que evalúen el nivel de exposición y cumplimiento de la empresa es una herramienta útil para anticipar riesgos antes de que se materialicen en una sanción.

Transferencias internacionales de datos y proveedores externos

Muchas pymes trabajan con herramientas y plataformas cuyo proveedor está establecido fuera del Espacio Económico Europeo, como servicios de correo electrónico masivo, CRM o almacenamiento en la nube. En estos casos, es obligatorio verificar que la transferencia internacional de datos personales se ampara en una garantía adecuada, como las cláusulas contractuales tipo aprobadas por la Comisión Europea o una decisión de adecuación vigente. Desde la sentencia «Schrems II» del Tribunal de Justicia de la Unión Europea, no basta con firmar estas cláusulas de forma automática: es necesario realizar un análisis de riesgo (transfer impact assessment) sobre el nivel de protección real que ofrece el país de destino, especialmente en lo relativo al acceso de las autoridades públicas a los datos.

Protección de datos en la relación laboral

Las obligaciones RGPD para pymes no se limitan a los datos de clientes: también afectan de forma directa a la gestión de los datos de los propios empleados. Esto incluye aspectos como la videovigilancia en el centro de trabajo (que exige cartelería informativa visible y limitación de las cámaras a zonas estrictamente necesarias), el control horario, el acceso a dispositivos corporativos o el uso de sistemas de geolocalización en vehículos de empresa. La LOPDGDD dedica un título específico a los derechos digitales de los trabajadores, estableciendo límites concretos que deben respetarse incluso cuando la finalidad del tratamiento sea legítima, como el control de la actividad laboral o la prevención del fraude.

Evaluación de impacto: cuándo es obligatoria

Cuando un tratamiento de datos pueda entrañar un alto riesgo para los derechos y libertades de las personas (por ejemplo, el uso sistemático de videovigilancia, la elaboración de perfiles con fines comerciales a gran escala o el tratamiento de datos biométricos), el RGPD exige realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD) antes de iniciar el tratamiento. La AEPD publica listas orientativas de tratamientos que requieren esta evaluación, y su omisión, cuando resulta exigible, constituye en sí misma una infracción sancionable, con independencia de que el tratamiento en sí cumpla el resto de garantías.

Conclusión

Cumplir con el RGPD no es opcional ni exclusivo de las grandes empresas: toda pyme que trate datos personales debe implementar un registro de actividades, informar correctamente a los interesados, aplicar medidas de seguridad proporcionadas y estar preparada para gestionar una eventual brecha de seguridad. En TorreonLegal ayudamos a pymes y autónomos a implantar un sistema de cumplimiento normativo adaptado a su actividad real, evitando tanto el riesgo de sanción como el sobrecoste de medidas desproporcionadas. Contacta con nuestro equipo para revisar el nivel de cumplimiento RGPD de tu empresa.

La normativa de prevención de blanqueo de capitales SEPBLAC no afecta únicamente a bancos y entidades financieras: alcanza también a asesores fiscales, abogados, notarios, agencias inmobiliarias, gestorías, casinos y muchas otras profesiones y empresas que, en su actividad diaria, pueden entrar en contacto con operaciones susceptibles de ocultar el origen ilícito de fondos. Conocer si tu empresa es sujeto obligado y qué medidas debes implementar es esencial para evitar sanciones económicas muy elevadas y responsabilidades personales de los administradores.

Marco normativo y el papel del SEPBLAC

La normativa española de referencia es la Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, desarrollada por el Real Decreto 304/2014. El Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC) es el organismo supervisor encargado de vigilar el cumplimiento de esta normativa, recibir las comunicaciones de operaciones sospechosas y ejercer la potestad sancionadora en coordinación con el Servicio de Auditoría del Banco de España y otros organismos, según el sector afectado.

Quiénes son sujetos obligados

El artículo 2 de la Ley 10/2010 enumera un listado amplio de sujetos obligados, entre los que se incluyen:

• Entidades de crédito, aseguradoras y empresas de servicios de inversión.
• Asesores fiscales, auditores de cuentas, contables externos y gestores administrativos.
• Notarios y registradores de la propiedad, mercantiles y de bienes muebles.
• Abogados y procuradores, cuando participan en determinadas operaciones (compraventa de inmuebles o empresas, gestión de fondos, valores u otros activos, apertura o gestión de cuentas bancarias, entre otras).
• Agencias inmobiliarias y personas que intermedien en la venta de inmuebles.
• Casinos de juego y operadores de juego online.
• Empresas que comercien con bienes de elevado valor (joyas, obras de arte, vehículos de lujo) cuando reciban pagos en efectivo por importe igual o superior a 10.000 euros.

Es habitual que muchas pymes de estos sectores desconozcan que son sujetos obligados por la mera naturaleza de su actividad, lo que las expone a un riesgo de incumplimiento involuntario que puede derivar en sanciones severas.

Obligaciones principales que impone la normativa

Medidas de diligencia debida

Los sujetos obligados deben identificar formalmente a sus clientes y, en su caso, al titular real de las operaciones (la persona física que controla, directa o indirectamente, más del 25% del capital o de los derechos de voto de una entidad), antes de establecer una relación de negocio o de ejecutar operaciones que superen determinados umbrales. Estas medidas se gradúan en función del riesgo: simplificadas para clientes de bajo riesgo, normales para el resto y reforzadas cuando concurren factores de riesgo elevado, como clientes no residentes en jurisdicciones de alto riesgo, personas con responsabilidad pública (PRP) o estructuras societarias opacas.

Elaboración de un manual de prevención y análisis de riesgo

Todo sujeto obligado debe disponer de un manual de prevención de blanqueo de capitales adaptado a su actividad concreta, que incluya una política de admisión de clientes, un procedimiento de identificación y diligencia debida, y un análisis de riesgo específico de la organización, revisado y actualizado periódicamente conforme evoluciona la actividad de la empresa.

Examen especial y comunicación de operaciones sospechosas

Cuando se detecta una operación que, por su cuantía, complejidad o falta de justificación económica aparente, resulte inusual, la normativa exige realizar un examen especial y documentarlo. Si tras este examen se concluye que existen indicios o certeza de relación con el blanqueo de capitales o la financiación del terrorismo, el sujeto obligado debe comunicarlo al SEPBLAC mediante una Declaración de Operación Sospechosa (DOS), absteniéndose de ejecutar la operación mientras no se resuelva la comunicación, salvo que resulte imposible abstenerse o que dicha abstención pueda dificultar la investigación.

Formación del personal y conservación de documentación

Los sujetos obligados deben formar periódicamente a sus empleados en materia de prevención de blanqueo de capitales y conservar durante un plazo mínimo de diez años la documentación acreditativa de las operaciones realizadas y de las medidas de diligencia debida aplicadas a cada cliente.

El representante ante el SEPBLAC y el órgano de control interno

La normativa exige designar un representante ante el SEPBLAC, con residencia en España, que actúe como interlocutor con el organismo supervisor. Las empresas de mayor tamaño o complejidad deben además constituir un órgano de control interno encargado de examinar las operaciones inusuales y de decidir sobre la comunicación de operaciones sospechosas, mientras que en las estructuras más pequeñas estas funciones pueden asumirlas directamente el propio empresario o un responsable designado al efecto.

Régimen sancionador

El incumplimiento de las obligaciones de prevención de blanqueo de capitales se clasifica en infracciones muy graves, graves y leves, conforme al artículo 50 y siguientes de la Ley 10/2010. Las infracciones muy graves, como la falta de comunicación de operaciones sospechosas cuando existían indicios claros, pueden sancionarse con multas de hasta 1.500.000 euros o el 10% del volumen de negocio anual, además de la posible inhabilitación de administradores y directivos por un periodo de hasta diez años. Las infracciones graves, como no disponer de un manual de prevención adecuado, pueden alcanzar multas de hasta 150.000 euros. Además de la sanción económica, la publicidad de las resoluciones sancionadoras firmes supone un daño reputacional considerable para la empresa afectada.

Cómo implementar un sistema de cumplimiento eficaz

Para reducir el riesgo de incumplimiento, recomendamos a los sujetos obligados:

• Realizar un diagnóstico inicial que determine si la empresa tiene realmente la consideración de sujeto obligado y en qué medida.
• Elaborar un manual de prevención adaptado a la actividad real desarrollada, evitando plantillas genéricas que no reflejen los riesgos específicos del negocio.
• Implementar procedimientos internos claros para la identificación de clientes y titulares reales, incluyendo la consulta del Registro de Titularidades Reales cuando proceda.
• Formar periódicamente al personal que tenga contacto directo con clientes u operaciones económicas relevantes.
• Contar con asesoramiento especializado que revise periódicamente el sistema de cumplimiento implementado, adaptándolo a los cambios normativos y a la evolución de la actividad.

Disponer de informes de responsabilidad profesional que evalúen el grado de cumplimiento de estas obligaciones resulta especialmente relevante para administradores y profesionales que, además de la sanción a la empresa, pueden enfrentarse a responsabilidad personal en caso de incumplimiento grave.

El Registro de Titularidades Reales y su conexión con la normativa SEPBLAC

Desde la creación del Registro de Titularidades Reales, gestionado por el Colegio de Registradores, los sujetos obligados disponen de una fuente adicional para identificar al titular real de las personas jurídicas con las que operan. Aunque la consulta de este registro no sustituye por sí sola las medidas de diligencia debida exigidas por la Ley 10/2010, constituye una herramienta muy útil para contrastar la información facilitada por el propio cliente y detectar posibles estructuras societarias opacas o interpuestas cuyo objetivo sea ocultar al verdadero beneficiario económico de una operación. Las empresas y sociedades españolas, por su parte, están obligadas a mantener actualizada su información de titularidad real y a declararla en sus cuentas anuales o mediante los formularios específicos habilitados al efecto, so pena de incurrir en las correspondientes infracciones registrales.

Sectores con especial exposición a la normativa de prevención

Aunque la normativa afecta a un amplio abanico de actividades, existen sectores especialmente expuestos por la naturaleza de sus operaciones, como el inmobiliario (compraventas de elevado importe, a menudo con intervención de compradores no residentes), el asesoramiento fiscal y contable (por el acceso privilegiado a la información económica de los clientes) y el comercio de bienes de lujo con pagos en efectivo. Las empresas de estos sectores deben prestar especial atención a la actualización periódica de su análisis de riesgo, ya que la propia normativa exige revisarlo cada vez que se detecten cambios relevantes en el perfil de la clientela o en la forma de operar del negocio.

Conclusión

Las obligaciones de prevención de blanqueo de capitales afectan a un abanico de profesiones y empresas mucho más amplio de lo que muchos empresarios imaginan, y su incumplimiento puede acarrear sanciones muy elevadas. En TorreonLegal ayudamos a empresas y profesionales a determinar su nivel de exposición como sujetos obligados y a implementar un sistema de cumplimiento normativo sólido y proporcionado. Contacta con nuestro equipo para revisar la situación de tu empresa frente al SEPBLAC.

Desde la entrada en vigor de la Ley 2/2023, disponer de un canal de denuncias empresa ha dejado de ser una buena práctica voluntaria para convertirse en una obligación legal ineludible para un amplio abanico de empresas españolas. Esta norma, que traspone la Directiva (UE) 2019/1937, obliga a implantar un sistema interno de información que permita a empleados, proveedores y colaboradores reportar de forma segura y confidencial posibles infracciones normativas o penales cometidas en el seno de la organización. El incumplimiento no es una cuestión menor: puede acarrear sanciones económicas de hasta un millón de euros y comprometer la responsabilidad penal de la persona jurídica conforme al artículo 31 bis del Código Penal.

¿Qué empresas están obligadas a tener canal de denuncias?

La Ley 2/2023 fija umbrales claros de obligatoriedad. Están obligadas a implantar un canal de denuncias interno:

• Empresas y entidades del sector privado con 50 o más trabajadores, con independencia de su forma jurídica.
• Partidos políticos, sindicatos, organizaciones empresariales y fundaciones vinculadas a ellos que reciban o gestionen fondos públicos.
• Entidades que entren en el ámbito de aplicación de normativa sobre servicios, productos y mercados financieros, prevención del blanqueo de capitales, seguridad del transporte y protección del medio ambiente, con independencia de su plantilla.
• Municipios de más de 10.000 habitantes y entidades del sector público.

Las empresas de entre 50 y 249 trabajadores tuvieron de plazo hasta el 1 de diciembre de 2023 para adaptarse, mientras que las de menos de 50 trabajadores, cuando resulten obligadas por pertenecer a un sector regulado, pueden compartir recursos e infraestructura del canal, según prevé expresamente el artículo 5 de la ley.

Requisitos legales del sistema interno de información

No basta con habilitar un simple buzón de correo electrónico. El artículo 9 de la Ley 2/2023 exige que el canal cumpla una serie de garantías mínimas:

• Permitir la presentación de comunicaciones por escrito, verbalmente o de ambas formas, incluida la posibilidad de reunión presencial.
• Garantizar la confidencialidad de la identidad del informante, de las personas afectadas y de cualquier tercero mencionado.
• Admitir denuncias anónimas, aunque la ley no lo impone como requisito general, sí lo recomienda como buena práctica reforzada.
• Acusar recibo de la comunicación en un plazo máximo de siete días.
• Resolver o dar respuesta motivada en un plazo no superior a tres meses desde el acuse de recibo (ampliable a otros tres meses en casos de especial complejidad).

Además, la gestión del canal debe recaer en un Responsable del Sistema de Información, figura independiente y autónoma dentro de la organización, con dedicación suficiente de medios y sin perjuicio de que la gestión operativa pueda externalizarse a un tercero, siempre que se garanticen las mismas condiciones de independencia y confidencialidad.

Protección del informante frente a represalias

Uno de los pilares centrales de la norma es la protección reforzada frente a cualquier tipo de represalia contra quien comunica de buena fe una infracción. La ley prohíbe expresamente el despido, la degradación, la denegación de ascensos, el acoso o cualquier trato desfavorable derivado de la denuncia. Se establece además una inversión de la carga de la prueba: si el informante sufre un perjuicio laboral tras la denuncia, será la empresa quien deba demostrar que esa medida obedece a motivos ajenos a la comunicación realizada.

La Autoridad Independiente de Protección del Informante (A.A.I.), creada por la propia ley, es el organismo estatal encargado de velar por el cumplimiento de estas garantías a nivel nacional, sin perjuicio de las autoridades autonómicas equivalentes que se vayan constituyendo en determinadas comunidades.

Régimen sancionador: consecuencias del incumplimiento

La Ley 2/2023 tipifica infracciones muy graves, graves y leves. Entre las infracciones muy graves se encuentran impedir la presentación de comunicaciones, ejercer represalias contra el informante, revelar su identidad o vulnerar el deber de confidencialidad. Las sanciones a personas jurídicas pueden alcanzar el millón de euros, o hasta el 5% del volumen de negocios anual del ejercicio anterior si esta cifra fuera superior, además de sanciones accesorias como la prohibición de acceder a subvenciones públicas o contratar con la Administración durante un plazo de hasta cuatro años.

Más allá de la sanción administrativa, un canal de denuncias mal diseñado o inexistente debilita gravemente la defensa de la empresa ante una eventual imputación penal, ya que uno de los requisitos que el artículo 31 bis del Código Penal exige para eximir de responsabilidad penal a la persona jurídica es precisamente disponer de canales efectivos de denuncia dentro del modelo de organización y gestión.

Cómo implantar correctamente el canal de denuncias

La implantación efectiva requiere un enfoque integral que va más allá de contratar una herramienta tecnológica. Es imprescindible redactar una política interna de whistleblowing, formar a la plantilla, designar formalmente al responsable del sistema, establecer protocolos de investigación interna y coordinar el canal con el resto del programa de compliance penal de la organización. Muchas empresas optan por externalizar la gestión del canal y apoyarse en asesoramiento especializado que evalúe además los riesgos de responsabilidad civil y profesional derivados de una mala gestión de las comunicaciones recibidas; en este sentido, contar con informes de responsabilidad profesional que analicen la exposición real de administradores y directivos resulta especialmente recomendable antes de poner en marcha el sistema.

También conviene revisar periódicamente el funcionamiento del canal, auditar los plazos de respuesta, documentar cada expediente y mantener un registro de las comunicaciones recibidas conforme a los principios de minimización de datos del RGPD, ya que el tratamiento de datos personales derivado de las denuncias está sometido a un régimen de conservación limitado, normalmente no superior a tres meses desde la recepción salvo que exista investigación en curso.

Externalización del canal: ventajas e inconvenientes

Muchas empresas, especialmente las que rondan el umbral mínimo de 50 trabajadores, se plantean si conviene gestionar el canal de denuncias con medios propios o externalizar su operativa a un proveedor especializado. La externalización presenta ventajas evidentes: refuerza la percepción de independencia frente a la plantilla, aporta herramientas tecnológicas ya homologadas y reduce la carga de gestión diaria sobre el departamento jurídico o de recursos humanos. Sin embargo, la ley es clara en que la responsabilidad última sobre el sistema sigue recayendo en la organización, por lo que externalizar la gestión operativa nunca exime de supervisar activamente el cumplimiento de los plazos, la calidad de las investigaciones y la correcta aplicación de las medidas de protección al informante. Un modelo mixto, en el que el canal tecnológico se externaliza pero la instrucción de los expedientes más sensibles se mantiene bajo supervisión interna con apoyo de asesoría externa, suele ser la fórmula más equilibrada para pymes medianas.

Relación entre el canal de denuncias y otras obligaciones de compliance

El canal de denuncias no debe entenderse como una obligación aislada, sino como una pieza más dentro de un ecosistema normativo que incluye la prevención de blanqueo de capitales para sujetos obligados conforme a la Ley 10/2010, la protección de datos personales bajo el RGPD, y en su caso los protocolos de acoso laboral exigidos por el Estatuto de los Trabajadores. Una empresa que ya cuenta con un programa de compliance penal sólido conforme al artículo 31 bis del Código Penal encontrará más sencillo adaptar el canal de denuncias, ya que muchos de los procedimientos de investigación interna, registro de incidencias y protocolos disciplinarios pueden reutilizarse y ajustarse a las exigencias específicas de la Ley 2/2023, evitando duplicidades innecesarias entre distintos sistemas de control interno.

Conclusión

Disponer de un canal de denuncias interno bien diseñado no es solo una exigencia legal ineludible desde la Ley 2/2023, sino una herramienta estratégica de protección para la empresa, sus administradores y su reputación. En TorreonLegal ayudamos a pymes y grandes empresas a diseñar, implantar y gestionar sistemas de información conformes con la normativa de whistleblowing, integrándolos con el resto del programa de compliance. Si tu empresa aún no cuenta con este canal o necesita revisar el que ya tiene, contacta con nuestro equipo de Cumplimiento Normativo para recibir asesoramiento personalizado y adaptado a tu sector.

Tener una página web o una tienda online implica mucho más que diseñar un buen catálogo de productos: obliga a cumplir la LSSI, la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico, además del RGPD y la normativa de consumo. Incumplir estas obligaciones puede acarrear sanciones de hasta 600.000 euros en los casos más graves, por lo que conocer con precisión qué exige la ley resulta imprescindible para cualquier negocio digital.

Qué es la LSSI y a quién se aplica

La Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI-CE), traspone al ordenamiento español la Directiva europea sobre comercio electrónico. Se aplica a cualquier persona física o jurídica que preste servicios a través de internet con contraprestación económica, directa o indirecta —incluida la publicidad—, lo que abarca desde tiendas online hasta blogs profesionales que se financian con anuncios o afiliación.

Por qué la LSSI afecta a más negocios de los que parece

Muchos emprendedores creen erróneamente que la LSSI solo afecta a grandes tiendas online, cuando en realidad su ámbito de aplicación es mucho más amplio. Un blog profesional que incluye enlaces de afiliación, un autónomo que ofrece sus servicios a través de una landing page con formulario de contacto, o una academia online que vende cursos digitales están todos ellos sujetos a esta normativa, en la medida en que prestan un servicio de la sociedad de la información con ánimo de lucro, aunque sea indirecto. La confusión habitual entre «tener una web informativa» y «prestar un servicio de la sociedad de la información» es precisamente el origen de buena parte de los incumplimientos que después detectan la Inspección de Consumo o la AEPD.

Información obligatoria en el sitio web (deber de información general)

El artículo 10 de la LSSI obliga a incluir de forma permanente, fácil, directa y gratuita en la web determinados datos identificativos del titular:

• Nombre o denominación social, NIF y domicilio.
• Dirección de correo electrónico y otros datos de contacto que permitan una comunicación directa y efectiva.
• Si la actividad está sujeta a un régimen de autorización administrativa, los datos de dicha autorización.
• Si el prestador ejerce una profesión regulada, el colegio profesional al que pertenece y su número de colegiado.
• Número de inscripción en el Registro Mercantil, en su caso.

Esta información suele plasmarse en el «Aviso Legal», una página independiente y accesible desde cualquier sección del sitio web.

El aviso legal frente a las condiciones generales

Conviene no confundir el aviso legal, de contenido tasado por la LSSI, con las condiciones generales de uso o de contratación, que regulan la relación contractual con el usuario y cuyo contenido es más flexible, aunque debe respetar en todo caso los límites de la Ley General para la Defensa de los Consumidores y Usuarios cuando el destinatario sea un consumidor. Ambos documentos son complementarios y ninguno sustituye al otro: el aviso legal identifica al prestador del servicio, mientras que las condiciones generales regulan cómo se presta ese servicio.

Comunicaciones comerciales y publicidad

La LSSI exige que las comunicaciones comerciales por vía electrónica sean claramente identificables como tales, indicando la persona física o jurídica en nombre de la cual se realizan. Además, el envío de comunicaciones comerciales por correo electrónico o medios equivalentes requiere el consentimiento previo y expreso del destinatario (opt-in), salvo que exista una relación contractual previa y se ofrezcan productos o servicios similares, en cuyo caso se admite el opt-out (posibilidad de oponerse). El incumplimiento de esta obligación —el conocido spam comercial— es una de las infracciones más sancionadas por la AEPD e Inspección de Consumo.

Contratación electrónica y comercio online

Cuando la web permite comprar productos o contratar servicios, entran en juego obligaciones adicionales derivadas tanto de la LSSI como del Texto Refundido de la Ley General para la Defensa de los Consumidores y Usuarios:

• Informar de forma clara sobre los trámites que deben seguirse para celebrar el contrato antes de iniciar el procedimiento de contratación.
• Confirmar la recepción de la aceptación mediante acuse de recibo (por ejemplo, un correo electrónico de confirmación del pedido).
• Facilitar acceso a las condiciones generales de contratación de forma que puedan almacenarse y reproducirse.
• Informar sobre el derecho de desistimiento de 14 días naturales para consumidores, con el formulario correspondiente.

Política de cookies y protección de datos

Además del banner de cookies, muchas webs incorporan tecnologías de seguimiento de terceros (analítica, publicidad personalizada, píxeles de redes sociales) que requieren un análisis previo de qué datos se recogen, con qué finalidad y durante cuánto tiempo se conservan, información que debe trasladarse de forma comprensible en la política de privacidad, evitando textos genéricos copiados de otras webs que no reflejen la realidad del tratamiento efectuado por el sitio concreto.

Toda web que utilice cookies no estrictamente necesarias para su funcionamiento debe informar de forma clara sobre su uso y obtener el consentimiento del usuario antes de instalarlas, conforme al artículo 22.2 de la LSSI y las directrices de la Agencia Española de Protección de Datos (AEPD). Esto se traduce habitualmente en un banner de cookies con opciones reales de aceptar, rechazar o configurar, sin utilizar patrones engañosos («dark patterns») que dificulten la negativa. Además, la web debe cumplir el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD), incluyendo una política de privacidad, la base legal de cada tratamiento y, si corresponde, el registro de actividades de tratamiento.

Consecuencias del incumplimiento

La LSSI clasifica las infracciones en leves, graves y muy graves. Las infracciones graves, como el envío masivo de comunicaciones comerciales no solicitadas, pueden sancionarse con multas de hasta 30.000 euros, mientras que las muy graves alcanzan los 600.000 euros. A ello hay que sumar las sanciones autónomas del RGPD, que pueden llegar hasta el 4% de la facturación anual global de la empresa. Por eso, antes de lanzar una web comercial conviene realizar una auditoría legal completa y, en operaciones con mayor exposición al riesgo, contratar informes de responsabilidad profesional que identifiquen las contingencias legales antes de que se materialicen en una sanción o reclamación.

Organismos competentes para inspeccionar y sancionar

El control del cumplimiento de la LSSI corresponde, según la materia afectada, a distintos organismos: la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales supervisa las obligaciones de información general y comunicaciones comerciales; la Agencia Española de Protección de Datos (AEPD) vigila el cumplimiento del RGPD y la normativa de cookies; y los servicios autonómicos de Consumo revisan las condiciones de contratación electrónica con consumidores. Es habitual que una misma reclamación de un usuario derive en actuaciones paralelas de varios de estos organismos, lo que multiplica el riesgo sancionador si la web presenta varias irregularidades simultáneas.

Adaptación a la normativa de accesibilidad y otras obligaciones sectoriales

Además de la LSSI, ciertos sitios web deben cumplir el Real Decreto 1112/2018 sobre accesibilidad de los sitios web del sector público, y las páginas de determinados sectores regulados (financiero, seguros, energía) están sujetas a obligaciones de información adicionales impuestas por sus respectivos supervisores sectoriales. Las empresas que venden a distancia a consumidores de otros países de la Unión Europea deben tener en cuenta además el Reglamento de geobloqueo y las normas de protección de consumidores del país de destino cuando dirigen su actividad comercial a dicho mercado, lo que en la práctica exige revisar el sitio web en cada expansión internacional.

Checklist básico de cumplimiento LSSI

• Aviso legal completo y accesible desde todas las páginas.
• Política de privacidad conforme al RGPD.
• Banner de cookies con consentimiento granular.
• Condiciones generales de contratación, si se vende online.
• Formulario de derecho de desistimiento para consumidores.
• Registro del consentimiento para el envío de comunicaciones comerciales.

Conclusión

Cumplir la LSSI no es opcional ni un simple formalismo: es una obligación legal que protege tanto al usuario como a la propia empresa frente a sanciones y reclamaciones. Revisar periódicamente el aviso legal, la política de cookies y el proceso de contratación online debería formar parte de la rutina de cualquier negocio digital. En TorreonLegal auditamos webs y tiendas online para garantizar el cumplimiento normativo integral; contacte con nuestro equipo si necesita adaptar su sitio web a la legalidad vigente.

Desde que la Ley Orgánica 5/2010 introdujo en España la responsabilidad penal de las personas jurídicas, y su posterior reforma por la Ley Orgánica 1/2015, las empresas dejaron de ser meras responsables civiles subsidiarias para convertirse en sujetos activos capaces de ser condenadas penalmente, con multas que pueden alcanzar varios millones de euros, disolución de la sociedad o inhabilitación para contratar con el sector público. El compliance penal empresa es precisamente el sistema de prevención que permite a las organizaciones evitar o atenuar esa responsabilidad. En este artículo explicamos en qué consiste, qué exige la ley y cómo implantarlo correctamente.

Fundamento legal de la responsabilidad penal de las personas jurídicas

El artículo 31 bis del Código Penal establece que las personas jurídicas responden penalmente por los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, tanto por sus representantes legales y administradores de hecho o de derecho, como por empleados sometidos a la autoridad de los anteriores, cuando estos últimos hayan podido cometer el delito por no haberse ejercido sobre ellos el debido control. Los delitos susceptibles de generar esta responsabilidad son numerosos e incluyen, entre otros, el fraude fiscal (artículo 305), la corrupción entre particulares y de funcionarios públicos, el blanqueo de capitales, los delitos contra los derechos de los trabajadores, los delitos medioambientales, los delitos informáticos y el fraude de subvenciones.

El propio artículo 31 bis bis prevé una vía de exención o atenuación de la responsabilidad cuando la persona jurídica acredite haber adoptado y ejecutado con eficacia, antes de la comisión del delito, un modelo de organización y gestión que incluya medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión.

Requisitos legales del modelo de prevención de delitos

El propio Código Penal, en su artículo 31 bis, apartado 5, detalla los requisitos mínimos que debe reunir un programa de compliance penal para que pueda tener efecto eximente o atenuante:

• Identificación de las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos (mapa de riesgos penales).
• Establecimiento de protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas.
• Modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos, especialmente relevante para delitos económicos y de corrupción.
• Obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención (canal de denuncias u órgano de compliance).
• Sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas establecidas en el modelo.
• Verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada.

Fases para implantar un programa de compliance penal eficaz

1. Mapa de riesgos penales

El punto de partida es analizar la actividad concreta de la empresa, su sector, sus procesos y sus relaciones con terceros (clientes, proveedores, administraciones públicas) para identificar qué delitos del catálogo del artículo 31 bis resultan realmente relevantes para esa organización. Un mapa de riesgos genérico o copiado de otra empresa carece de valor probatorio ante un tribunal.

2. Órgano de cumplimiento (compliance officer)

La norma exige que exista un órgano de la persona jurídica con poderes autónomos de iniciativa y control, o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos. En pymes de reducidas dimensiones, el propio órgano de administración puede asumir directamente estas funciones conforme prevé el artículo 31 bis, apartado 3, del Código Penal.

3. Canal de denuncias interno

Desde la entrada en vigor de la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (que traspone la Directiva UE 2019/1937), toda empresa de más de 50 trabajadores está obligada a disponer de un canal de denuncias interno, que además de cumplir esta obligación específica, resulta un elemento clave del sistema de compliance penal para detectar irregularidades de forma temprana.

4. Código ético y protocolos específicos

Debe elaborarse un código ético corporativo y protocolos concretos para las áreas de mayor riesgo (relación con administraciones públicas, gestión de gastos de representación, contratación con terceros, prevención de blanqueo de capitales conforme a la Ley 10/2010).

5. Formación continua y difusión

El modelo debe difundirse y formar periódicamente a empleados y directivos, dejando constancia documental de dicha formación, ya que la jurisprudencia del Tribunal Supremo (entre otras, la Sentencia 154/2016) exige acreditar la implantación efectiva del modelo, no solo su existencia formal en papel.

Auditoría y revisión periódica del sistema

Un programa de compliance penal no es un documento estático. Debe revisarse periódicamente, y de forma obligatoria cuando se detecten incumplimientos relevantes o cambios significativos en la actividad de la empresa. La norma UNE 19601 sobre sistemas de gestión de compliance penal ofrece un marco de referencia certificable que refuerza la credibilidad del modelo ante un eventual procedimiento judicial, si bien la certificación no es obligatoria ni exime automáticamente de responsabilidad, siendo el juez quien en último término valora la eficacia real del sistema implantado.

Dada la trascendencia de una eventual condena penal para la reputación y viabilidad de la empresa, así como las implicaciones en materia de responsabilidad civil derivada del delito, resulta aconsejable contar con informes de responsabilidad profesional que evalúen la exposición real de la organización y refuercen la defensa jurídica del equipo directivo ante posibles reclamaciones.

Consecuencias de no contar con un modelo de compliance

La ausencia de un programa de prevención de delitos no genera automáticamente responsabilidad penal, pero priva a la empresa de la posibilidad de alegar la eximente o atenuante prevista en el Código Penal si se comete un delito en su seno, lo que en la práctica supone enfrentarse a las penas del artículo 33.7 del Código Penal sin ninguna vía de defensa estructural: multas, suspensión de actividades, clausura de locales, inhabilitación para obtener subvenciones o contratar con el sector público, e incluso la disolución de la persona jurídica en los supuestos más graves.

Compliance penal y responsabilidad personal de administradores

Es importante subrayar que la responsabilidad penal de la persona jurídica no excluye la responsabilidad penal individual de los administradores o empleados que hayan cometido materialmente el delito, conforme al artículo 31 bis, apartado 1, del Código Penal, que expresamente prevé que la responsabilidad penal de las personas jurídicas será exigible siempre que se constate la comisión de un delito por las personas físicas indicadas, aun cuando la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella. Por ello, un programa de compliance penal bien diseñado no solo protege a la sociedad, sino que también constituye un elemento de defensa relevante para los propios administradores, al acreditar que actuaron con la diligencia debida en el ejercicio de sus funciones de supervisión y control conforme al estándar del buen empresario del artículo 225 de la Ley de Sociedades de Capital.

Sectores con obligaciones de compliance reforzadas

Determinados sectores de actividad están sujetos a obligaciones de cumplimiento normativo adicionales que se entrelazan con el compliance penal general: las entidades financieras y determinados profesionales (abogados, notarios, asesores fiscales) están sujetos a la normativa de prevención de blanqueo de capitales de la Ley 10/2010, que exige la designación de un órgano de control interno y la comunicación de operaciones sospechosas al Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC); las empresas que contratan con el sector público deben reforzar especialmente los protocolos anticorrupción dada la tipificación específica de los delitos de cohecho y tráfico de influencias; y las empresas que manejan datos personales a gran escala deben integrar su compliance penal con las exigencias del RGPD, dada la tipificación penal de determinados accesos y revelaciones ilícitas de datos conforme a los artículos 197 y siguientes del Código Penal.

Conclusión

Implantar un programa de compliance penal eficaz no es solo una obligación legal preventiva, sino una herramienta estratégica que protege el patrimonio, la reputación y la continuidad de la empresa frente a comportamientos delictivos de administradores o empleados. En TorreonLegal diseñamos e implantamos modelos de prevención de delitos adaptados a la actividad real de cada organización, con mapas de riesgo específicos y canales de denuncia conformes a la normativa vigente. Contacta con nuestro equipo de cumplimiento normativo para evaluar el nivel de exposición penal de tu empresa.

La ley whistleblowing España, formalmente Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, ha transformado de manera profunda las obligaciones de compliance de empresas, entidades públicas y organizaciones sin ánimo de lucro en nuestro país. Traspone al ordenamiento español la Directiva (UE) 2019/1937 con más de dos años de retraso respecto al plazo europeo original, lo que ha obligado a muchas organizaciones a adaptarse en plazos muy ajustados desde su entrada en vigor.

Objetivo y ámbito de aplicación de la norma

La ley persigue un doble objetivo: proteger de manera efectiva a las personas que, en un contexto laboral o profesional, detectan y comunican infracciones del derecho de la Unión Europea o infracciones penales y administrativas graves o muy graves del ordenamiento español, y fomentar una cultura de información dentro de las organizaciones que permita detectar irregularidades en fases tempranas, antes de que deriven en daños mayores o en responsabilidad penal para la propia entidad.

El ámbito material de la ley es muy amplio: contratación pública, servicios financieros, prevención del blanqueo de capitales, seguridad de los productos, seguridad del transporte, protección del medio ambiente, radioprotección, seguridad alimentaria, sanidad pública, protección de los consumidores, protección de la privacidad y datos personales, y seguridad de las redes y sistemas de información, entre otras materias.

Obligaciones concretas para las empresas

Más allá de la creación del canal de denuncias que ya hemos abordado en detalle en otros contenidos, la ley impone a las organizaciones obligadas un conjunto de obligaciones concretas que conviene tener muy presentes:

• Aprobar y comunicar formalmente una política de gestión de las informaciones recibidas, especificando plazos, responsables y procedimiento de investigación.
• Nombrar un Responsable del Sistema de Información, único responsable de la gestión del canal, con independencia funcional y sin recibir instrucciones de ningún órgano de la organización en el ejercicio de sus funciones.
• Garantizar canales externos habilitados a través de la Autoridad Independiente de Protección del Informante (A.A.I.) o de las autoridades autonómicas competentes, a los que el informante puede acudir directamente sin necesidad de utilizar previamente el canal interno.
• Documentar todas las comunicaciones recibidas en un registro confidencial, con acceso restringido y trazabilidad de las actuaciones realizadas.
• Formar a la plantilla sobre la existencia, funcionamiento y garantías del canal de denuncias.

La Autoridad Independiente de Protección del Informante (A.A.I.)

La ley crea un nuevo organismo público, la Autoridad Independiente de Protección del Informante, adscrita al Ministerio de Justicia pero dotada de independencia funcional, cuyas funciones principales son gestionar el canal externo de denuncias a nivel estatal, tramitar expedientes sancionadores por incumplimientos de la ley, adoptar medidas cautelares de protección de los informantes frente a represalias, y promover la cultura de la información dentro de las organizaciones mediante campañas y directrices. Diversas comunidades autónomas han creado o están en proceso de crear autoridades equivalentes de ámbito autonómico, lo que añade una capa adicional de complejidad normativa que las empresas con actividad multirregional deben tener en cuenta.

Confidencialidad, protección de datos y conservación de la información

La ley establece un régimen reforzado de confidencialidad: la identidad del informante no puede ser revelada a persona distinta del personal competente para recibir o tramitar las comunicaciones, salvo consentimiento expreso o cuando sea una obligación legal en el marco de una investigación por autoridades judiciales o administrativas. El tratamiento de los datos personales derivados de las comunicaciones debe ajustarse al RGPD y a la Ley Orgánica 3/2018, y la información solo puede conservarse mientras sea necesaria para dar respuesta a la comunicación, con carácter general no más de tres meses desde la recepción, salvo cuando existan investigaciones en curso que justifiquen un plazo superior.

Coordinación con el programa de compliance penal

La implantación del canal de denuncias no debe abordarse de forma aislada, sino integrada en el conjunto del modelo de organización y gestión (compliance program) que exige el artículo 31 bis del Código Penal para que la persona jurídica pueda eximirse o atenuar su responsabilidad penal. Un canal de denuncias eficaz constituye, de hecho, uno de los elementos que la jurisprudencia y la Fiscalía General del Estado valoran expresamente como indicio de la seriedad y eficacia real del programa de cumplimiento normativo de la empresa, más allá de su mera existencia formal sobre el papel.

Dado el nivel de exposición que puede generar una gestión inadecuada de las denuncias recibidas —desde la revelación accidental de la identidad del informante hasta investigaciones internas mal documentadas—, muchas organizaciones optan por complementar la implantación del canal con un análisis de la cobertura de informes de responsabilidad profesional que evalúe los riesgos asumidos por administradores, directivos y responsables del sistema de información ante una eventual reclamación derivada de la gestión del canal.

Régimen sancionador y plazo de prescripción

Las infracciones se clasifican en leves, graves y muy graves, con sanciones que van desde apercibimiento hasta el millón de euros o el 5% del volumen de negocios anual para las personas jurídicas en los casos más graves, como impedir la presentación de comunicaciones, ejercer represalias o incumplir de forma reiterada el deber de confidencialidad. Las infracciones muy graves prescriben a los tres años, las graves a los dos años y las leves al año, plazos que se computan desde el día en que se hubiera cometido la infracción.

Comparativa con la normativa europea y otros países

España ha optado por un modelo de transposición de la Directiva (UE) 2019/1937 que en algunos aspectos va más allá del mínimo exigido por Bruselas, como ocurre con la ampliación del catálogo de materias protegidas más allá del estricto derecho de la Unión, incluyendo determinadas infracciones penales y administrativas puramente internas. Esta opción, común a otros Estados miembros como Francia o Italia, ha generado un marco de protección comparativamente más amplio que el existente en países que optaron por una transposición minimalista, lo que exige a las empresas con presencia en varios países europeos revisar las diferencias normativas entre jurisdicciones antes de implantar un canal de denuncias corporativo único para todo el grupo.

Buenas prácticas para reforzar la eficacia del canal

Más allá del mínimo legal, las organizaciones que quieren maximizar la eficacia real de su sistema de información suelen incorporar buenas prácticas adicionales: comunicar de forma periódica y no solo en el momento de la implantación la existencia y funcionamiento del canal; publicar informes anuales anonimizados sobre el número de comunicaciones recibidas y su resolución, reforzando la confianza de la plantilla; establecer canales específicos para determinadas materias especialmente sensibles como el acoso laboral o sexual; y realizar auditorías periódicas independientes sobre el funcionamiento real del sistema, más allá de su diseño formal sobre el papel.

Régimen transitorio y entidades ya obligadas por normativa sectorial

Es importante recordar que ya antes de la Ley 2/2023 existían obligaciones sectoriales específicas de establecer canales de denuncia, como la exigida a los sujetos obligados por la normativa de prevención de blanqueo de capitales o a las entidades del sector financiero. La Ley 2/2023 no deroga estas obligaciones sectoriales previas, sino que las complementa y armoniza, de modo que las entidades sometidas a ambos regímenes deben revisar cuidadosamente si su canal preexistente cumple ya con los requisitos reforzados de la nueva ley general o si necesita adaptaciones adicionales en materia de plazos de respuesta, protección del informante o alcance material de las infracciones comunicables.

Conclusión

La Ley 2/2023 ha situado a España en línea con los estándares europeos de protección al informante, pero su correcta aplicación exige a las empresas mucho más que habilitar un simple canal de comunicación: implica revisar políticas internas, formar a la plantilla, designar responsables cualificados y coordinar todo el sistema con el resto del programa de compliance. En TorreonLegal ayudamos a organizaciones de todos los sectores a diseñar e implantar sistemas de información conformes con la ley whistleblowing, minimizando riesgos legales y reputacionales. Contacta con nuestro equipo de Cumplimiento Normativo para una auditoría inicial de tu organización.

El buen gobierno corporativo ya no es una cuestión reservada a las grandes cotizadas: cada vez más pymes lo adoptan como herramienta para profesionalizar su gestión, facilitar el acceso a financiación y reducir riesgos legales. Implementar buenas prácticas de gobierno corporativo mejora la transparencia, ordena la toma de decisiones y protege tanto a los administradores como a los socios frente a conflictos y responsabilidades.

Por qué el buen gobierno corporativo ya no es solo cosa de grandes cotizadas

Durante años, el concepto de gobierno corporativo se asoció casi exclusivamente a las sociedades que cotizan en bolsa, sujetas a obligaciones específicas de transparencia frente a la CNMV y a los inversores institucionales. Sin embargo, la realidad económica española, compuesta mayoritariamente por pymes y empresas familiares, ha ido incorporando progresivamente estas prácticas por razones muy concretas: la profesionalización necesaria para crecer, la exigencia de la banca y del capital riesgo a la hora de financiar proyectos, y la necesidad de ordenar la sucesión generacional en negocios familiares que, sin unas reglas claras, suelen enfrentarse a conflictos entre hermanos o entre distintas ramas familiares cuando fallece el fundador.

Qué se entiende por buen gobierno corporativo

El buen gobierno corporativo engloba el conjunto de principios, normas internas y prácticas que regulan cómo se dirige, administra y controla una empresa, delimitando las relaciones entre el órgano de administración, la junta general de socios o accionistas y los distintos grupos de interés (empleados, acreedores, clientes). En España, el marco de referencia para sociedades cotizadas es el Código de Buen Gobierno de las Sociedades Cotizadas de la Comisión Nacional del Mercado de Valores (CNMV), mientras que las sociedades no cotizadas cuentan con el Código de Buen Gobierno de las Sociedades no Cotizadas, elaborado también bajo el impulso institucional, que sirve de guía voluntaria pero cada vez más exigida por inversores, bancos y auditores.

Marco legal: Ley de Sociedades de Capital

Junto a la Ley de Sociedades de Capital, resultan de aplicación otras normas complementarias según la actividad y el tamaño de la empresa: la Ley 22/2015 de Auditoría de Cuentas, que impone determinadas obligaciones de transparencia a las sociedades obligadas a auditarse; la Ley 10/2010 de prevención del blanqueo de capitales, que exige a determinados sujetos obligados identificar al titular real de la sociedad y comunicarlo al SEPBLAC; y la normativa sectorial específica que, en actividades reguladas (financiera, energética, sanitaria), añade requisitos adicionales de idoneidad y honorabilidad de los administradores.

El régimen legal de los órganos sociales se encuentra en el Texto Refundido de la Ley de Sociedades de Capital (Real Decreto Legislativo 1/2010), que regula, entre otros aspectos, los deberes de los administradores (diligencia, lealtad, no competencia), el régimen de conflictos de interés (artículos 229 y 230) y la responsabilidad de los administradores frente a la sociedad, los socios y los acreedores sociales (artículos 236 y siguientes). El incumplimiento de estos deberes puede derivar en una acción social o individual de responsabilidad, e incluso en la responsabilidad personal de los administradores por deudas sociales en supuestos de disolución no instada a tiempo (artículo 367).

Buenas prácticas recomendadas para pymes

Antes de implementar cualquier medida formal conviene realizar un diagnóstico honesto de la situación actual de la empresa: quién toma realmente las decisiones, cómo se documentan los acuerdos entre socios, si existen conflictos latentes entre familiares o socios minoritarios, y si la contabilidad y la gestión reflejan fielmente la realidad económica del negocio. Este diagnóstico previo permite priorizar las medidas de gobierno corporativo que aportarán mayor valor inmediato, en lugar de implantar de golpe estructuras excesivamente complejas para el tamaño real de la organización.

• Reglamento del consejo o de la administración: aunque la sociedad tenga un administrador único, formalizar por escrito las reglas básicas de funcionamiento (periodicidad de reuniones, sistema de convocatoria, actas) aporta seguridad jurídica.
• Protocolo familiar: en empresas familiares, regular la sucesión, la incorporación de nuevos miembros, la política de dividendos y la resolución de conflictos entre socios evita crisis que, según los estudios, son la primera causa de desaparición de empresas familiares en el relevo generacional.
• Separación de patrimonios: evitar la confusión entre el patrimonio personal de los socios administradores y el de la sociedad, requisito básico para mantener la limitación de responsabilidad propia de las sociedades de capital.
• Política de conflictos de interés: establecer un procedimiened para que los administradores comuniquen y se abstengan en operaciones vinculadas, conforme al artículo 230 de la Ley de Sociedades de Capital.
• Canal de denuncias interno: obligatorio desde la Ley 2/2023 para empresas de 50 o más trabajadores, pero recomendable también en pymes de menor tamaño para detectar irregularidades a tiempo.

Órganos de gobierno en empresas de mayor tamaño

A medida que crece la empresa, conviene avanzar hacia estructuras más sofisticadas: consejos de administración con consejeros independientes, comisiones especializadas (auditoría, nombramientos y retribuciones) y políticas de retribución transparentes. El Código de Buen Gobierno de la CNMV, aplicable con carácter de recomendación a cotizadas bajo el principio «cumplir o explicar», aporta un catálogo de buenas prácticas —diversidad en el consejo, separación entre presidencia y dirección ejecutiva, límites a la permanencia de consejeros independientes— que muchas empresas no cotizadas adoptan voluntariamente para reforzar su credibilidad ante inversores y entidades financieras.

Vinculación con el cumplimiento normativo (compliance)

El buen gobierno corporativo está estrechamente ligado al cumplimiento normativo. La reforma del Código Penal por la Ley Orgánica 1/2015 exige que las personas jurídicas cuenten con modelos de organización y gestión (compliance penal) para poder eximir o atenuar su responsabilidad penal en caso de delito cometido en su seno, conforme al artículo 31 bis del Código Penal. Un buen sistema de gobierno corporativo facilita precisamente la implementación efectiva de estos modelos: canales de denuncia, órgano de supervisión independiente y procedimientos de control interno.

Diseñar e implementar estas estructuras de gobierno de forma adaptada al tamaño y sector de cada empresa requiere un análisis jurídico riguroso; por eso muchas compañías encargan informes jurídico-empresariales que diagnostican el estado actual del gobierno corporativo y proponen un plan de acción realista y priorizado.

Deberes de diligencia y lealtad de los administradores

La Ley de Sociedades de Capital exige a los administradores actuar con la diligencia de un ordenado empresario (artículo 225), informándose adecuadamente antes de adoptar decisiones y dedicando el tiempo necesario a su cargo. El deber de lealtad (artículo 227) obliga a actuar siempre en interés de la sociedad, absteniéndose de utilizar el nombre o la información de la sociedad con fines privados, de aprovechar oportunidades de negocio que correspondan a la sociedad y de realizar operaciones vinculadas sin la debida autorización. El incumplimiento de estos deberes puede dar lugar no solo a responsabilidad civil, sino también a la obligación de devolver a la sociedad el enriquecimiento injusto obtenido, conforme al artículo 227.2 de la ley.

Gobierno corporativo y sostenibilidad (criterios ESG)

Cada vez más empresas, incluso no cotizadas, incorporan criterios ambientales, sociales y de gobernanza (ESG) a su política de gobierno corporativo, impulsadas tanto por la Directiva europea de reporte de sostenibilidad corporativa (CSRD) como por las exigencias de clientes, inversores y entidades financieras. Aunque la obligación legal de reportar información no financiera afecta inicialmente a empresas de mayor tamaño, disponer de políticas de sostenibilidad y buen gobierno bien documentadas se está convirtiendo en un factor determinante de acceso a determinadas líneas de financiación y de participación en licitaciones públicas y privadas.

Beneficios prácticos de un buen gobierno corporativo

• Mayor facilidad de acceso a financiación bancaria y a inversores, que valoran positivamente la transparencia en la gestión.
• Reducción del riesgo de responsabilidad personal de los administradores.
• Mejor gestión del relevo generacional en empresas familiares.
• Mayor capacidad de detección temprana de irregularidades internas.
• Reputación reforzada frente a clientes, proveedores y administraciones públicas.

Conclusión

El buen gobierno corporativo ha dejado de ser un lujo reservado a las grandes cotizadas para convertirse en un factor de competitividad y protección legal para cualquier empresa, incluidas las pymes familiares. Formalizar reglas claras de funcionamiento, delimitar responsabilidades y anticipar los conflictos habituales reduce significativamente el riesgo jurídico del negocio. En TorreonLegal ayudamos a empresas de todos los tamaños a diseñar su sistema de gobierno corporativo; contacte con nuestro despacho para evaluar el de su organización.