Desde que la Ley Orgánica 5/2010 introdujo en España la responsabilidad penal de las personas jurídicas, y su posterior reforma por la Ley Orgánica 1/2015, las empresas dejaron de ser meras responsables civiles subsidiarias para convertirse en sujetos activos capaces de ser condenadas penalmente, con multas que pueden alcanzar varios millones de euros, disolución de la sociedad o inhabilitación para contratar con el sector público. El compliance penal empresa es precisamente el sistema de prevención que permite a las organizaciones evitar o atenuar esa responsabilidad. En este artículo explicamos en qué consiste, qué exige la ley y cómo implantarlo correctamente.
Fundamento legal de la responsabilidad penal de las personas jurídicas
El artículo 31 bis del Código Penal establece que las personas jurídicas responden penalmente por los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, tanto por sus representantes legales y administradores de hecho o de derecho, como por empleados sometidos a la autoridad de los anteriores, cuando estos últimos hayan podido cometer el delito por no haberse ejercido sobre ellos el debido control. Los delitos susceptibles de generar esta responsabilidad son numerosos e incluyen, entre otros, el fraude fiscal (artículo 305), la corrupción entre particulares y de funcionarios públicos, el blanqueo de capitales, los delitos contra los derechos de los trabajadores, los delitos medioambientales, los delitos informáticos y el fraude de subvenciones.
El propio artículo 31 bis bis prevé una vía de exención o atenuación de la responsabilidad cuando la persona jurídica acredite haber adoptado y ejecutado con eficacia, antes de la comisión del delito, un modelo de organización y gestión que incluya medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión.
Requisitos legales del modelo de prevención de delitos
El propio Código Penal, en su artículo 31 bis, apartado 5, detalla los requisitos mínimos que debe reunir un programa de compliance penal para que pueda tener efecto eximente o atenuante:
- Identificación de las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos (mapa de riesgos penales).
- Establecimiento de protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas.
- Modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos, especialmente relevante para delitos económicos y de corrupción.
- Obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención (canal de denuncias u órgano de compliance).
- Sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas establecidas en el modelo.
- Verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada.
Fases para implantar un programa de compliance penal eficaz
1. Mapa de riesgos penales
El punto de partida es analizar la actividad concreta de la empresa, su sector, sus procesos y sus relaciones con terceros (clientes, proveedores, administraciones públicas) para identificar qué delitos del catálogo del artículo 31 bis resultan realmente relevantes para esa organización. Un mapa de riesgos genérico o copiado de otra empresa carece de valor probatorio ante un tribunal.
2. Órgano de cumplimiento (compliance officer)
La norma exige que exista un órgano de la persona jurídica con poderes autónomos de iniciativa y control, o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos. En pymes de reducidas dimensiones, el propio órgano de administración puede asumir directamente estas funciones conforme prevé el artículo 31 bis, apartado 3, del Código Penal.
3. Canal de denuncias interno
Desde la entrada en vigor de la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (que traspone la Directiva UE 2019/1937), toda empresa de más de 50 trabajadores está obligada a disponer de un canal de denuncias interno, que además de cumplir esta obligación específica, resulta un elemento clave del sistema de compliance penal para detectar irregularidades de forma temprana.
4. Código ético y protocolos específicos
Debe elaborarse un código ético corporativo y protocolos concretos para las áreas de mayor riesgo (relación con administraciones públicas, gestión de gastos de representación, contratación con terceros, prevención de blanqueo de capitales conforme a la Ley 10/2010).
5. Formación continua y difusión
El modelo debe difundirse y formar periódicamente a empleados y directivos, dejando constancia documental de dicha formación, ya que la jurisprudencia del Tribunal Supremo (entre otras, la Sentencia 154/2016) exige acreditar la implantación efectiva del modelo, no solo su existencia formal en papel.
Auditoría y revisión periódica del sistema
Un programa de compliance penal no es un documento estático. Debe revisarse periódicamente, y de forma obligatoria cuando se detecten incumplimientos relevantes o cambios significativos en la actividad de la empresa. La norma UNE 19601 sobre sistemas de gestión de compliance penal ofrece un marco de referencia certificable que refuerza la credibilidad del modelo ante un eventual procedimiento judicial, si bien la certificación no es obligatoria ni exime automáticamente de responsabilidad, siendo el juez quien en último término valora la eficacia real del sistema implantado.
Dada la trascendencia de una eventual condena penal para la reputación y viabilidad de la empresa, así como las implicaciones en materia de responsabilidad civil derivada del delito, resulta aconsejable contar con informes de responsabilidad profesional que evalúen la exposición real de la organización y refuercen la defensa jurídica del equipo directivo ante posibles reclamaciones.
Consecuencias de no contar con un modelo de compliance
La ausencia de un programa de prevención de delitos no genera automáticamente responsabilidad penal, pero priva a la empresa de la posibilidad de alegar la eximente o atenuante prevista en el Código Penal si se comete un delito en su seno, lo que en la práctica supone enfrentarse a las penas del artículo 33.7 del Código Penal sin ninguna vía de defensa estructural: multas, suspensión de actividades, clausura de locales, inhabilitación para obtener subvenciones o contratar con el sector público, e incluso la disolución de la persona jurídica en los supuestos más graves.
Compliance penal y responsabilidad personal de administradores
Es importante subrayar que la responsabilidad penal de la persona jurídica no excluye la responsabilidad penal individual de los administradores o empleados que hayan cometido materialmente el delito, conforme al artículo 31 bis, apartado 1, del Código Penal, que expresamente prevé que la responsabilidad penal de las personas jurídicas será exigible siempre que se constate la comisión de un delito por las personas físicas indicadas, aun cuando la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella. Por ello, un programa de compliance penal bien diseñado no solo protege a la sociedad, sino que también constituye un elemento de defensa relevante para los propios administradores, al acreditar que actuaron con la diligencia debida en el ejercicio de sus funciones de supervisión y control conforme al estándar del buen empresario del artículo 225 de la Ley de Sociedades de Capital.
Sectores con obligaciones de compliance reforzadas
Determinados sectores de actividad están sujetos a obligaciones de cumplimiento normativo adicionales que se entrelazan con el compliance penal general: las entidades financieras y determinados profesionales (abogados, notarios, asesores fiscales) están sujetos a la normativa de prevención de blanqueo de capitales de la Ley 10/2010, que exige la designación de un órgano de control interno y la comunicación de operaciones sospechosas al Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC); las empresas que contratan con el sector público deben reforzar especialmente los protocolos anticorrupción dada la tipificación específica de los delitos de cohecho y tráfico de influencias; y las empresas que manejan datos personales a gran escala deben integrar su compliance penal con las exigencias del RGPD, dada la tipificación penal de determinados accesos y revelaciones ilícitas de datos conforme a los artículos 197 y siguientes del Código Penal.
Conclusión
Implantar un programa de compliance penal eficaz no es solo una obligación legal preventiva, sino una herramienta estratégica que protege el patrimonio, la reputación y la continuidad de la empresa frente a comportamientos delictivos de administradores o empleados. En TorreonLegal diseñamos e implantamos modelos de prevención de delitos adaptados a la actividad real de cada organización, con mapas de riesgo específicos y canales de denuncia conformes a la normativa vigente. Contacta con nuestro equipo de cumplimiento normativo para evaluar el nivel de exposición penal de tu empresa.
Deja una respuesta