Elaborar un correcto mapa de riesgos penales empresa mapa es el punto de partida obligado de cualquier programa de cumplimiento normativo que aspire a ser eficaz ante los tribunales españoles. Sin un diagnóstico riguroso de qué delitos puede cometer la organización, en qué departamentos y a través de qué procesos, cualquier modelo de prevención corre el riesgo de convertirse en un documento genérico incapaz de exonerar de responsabilidad penal a la persona jurídica conforme al artículo 31 bis del Código Penal.
Por qué el mapa de riesgos penales es la piedra angular del compliance
El Tribunal Supremo ha señalado en reiteradas ocasiones, entre otras en su Sentencia 316/2018, que el modelo de organización y gestión debe estar diseñado específicamente para la actividad concreta de la empresa, sus riesgos particulares y su estructura organizativa real, y no ser una mera copia de plantillas genéricas. La norma UNE 19601 de sistemas de gestión de compliance penal exige expresamente, como primer paso metodológico, la realización de un análisis de contexto y una evaluación de riesgos penales que identifique de forma exhaustiva los tipos delictivos aplicables a cada área de negocio, valorando tanto la probabilidad de comisión como el impacto potencial de cada riesgo.
Metodología para elaborar el mapa de riesgos
La construcción de un mapa de riesgos penales sólido sigue habitualmente una metodología estructurada en varias fases:
- Análisis del contexto organizativo: estudio del sector de actividad, la estructura societaria, la presencia internacional, los procesos de contratación pública y las relaciones con administraciones y terceros.
- Identificación de los delitos aplicables: revisión sistemática del catálogo de delitos que pueden generar responsabilidad penal de la persona jurídica conforme al artículo 31 bis y a los tipos específicos del Código Penal (corrupción, blanqueo de capitales, delitos contra la Hacienda Pública, delitos medioambientales, delitos informáticos, entre otros).
- Entrevistas con responsables de área: reuniones con los directores de cada departamento (financiero, comercial, compras, recursos humanos, sistemas) para identificar procesos concretos que podrían facilitar la comisión de un delito.
- Valoración del riesgo inherente y residual: puntuación de cada riesgo identificado en función de su probabilidad e impacto antes y después de aplicar los controles existentes, siguiendo matrices de heat map habituales en gestión de riesgos.
- Diseño de controles y protocolos específicos: establecimiento de medidas concretas de mitigación para cada riesgo relevante, desde autorizaciones jerárquicas hasta segregación de funciones o límites de gasto.
Riesgos penales más frecuentes según el tipo de empresa
El mapa de riesgos varía enormemente según la actividad. En empresas con departamento comercial activo en licitaciones públicas, los riesgos de cohecho y tráfico de influencias (artículos 419 a 427 del Código Penal) suelen ocupar un lugar prioritario. En empresas con actividad internacional o pagos a intermediarios en países de alto riesgo, cobra especial relevancia el delito de corrupción en las transacciones económicas internacionales del artículo 286 ter. Las empresas tecnológicas deben prestar especial atención a los delitos informáticos y contra la intimidad, mientras que las industriales y de construcción no pueden descuidar los delitos contra el medio ambiente y contra la seguridad y salud de los trabajadores, tipificados en los artículos 316 y siguientes. En prácticamente todas las organizaciones, con independencia del sector, los delitos contra la Hacienda Pública y la Seguridad Social, así como el blanqueo de capitales, constituyen riesgos transversales que deben figurar en cualquier mapa de riesgos completo.
De la identificación a la mitigación: el papel de los controles
Identificar el riesgo es solo la mitad del trabajo; la otra mitad consiste en diseñar controles proporcionados y verificables. Entre las medidas de mitigación más habituales destacan la segregación de funciones en los procesos de pago y contratación, los límites de autorización jerárquica según el importe de las operaciones, la implantación de un código ético firmado por toda la plantilla, la existencia de un canal de denuncias interno conforme a la Ley 2/2023, y la revisión periódica de terceros mediante procedimientos de due diligence sobre proveedores, agentes comerciales y socios de negocio de riesgo elevado. Cada control debe quedar documentado, asignado a un responsable concreto y sometido a revisión periódica dentro del ciclo de mejora continua del sistema de compliance.
Actualización periódica del mapa de riesgos
Un mapa de riesgos penales no es un documento estático. Debe revisarse siempre que se produzcan cambios relevantes en la organización: apertura de nuevas líneas de negocio, expansión internacional, fusiones o adquisiciones, cambios normativos significativos (como las sucesivas reformas del Código Penal en materia de responsabilidad de personas jurídicas) o la detección de incidentes relevantes a través del canal de denuncias. La ausencia de actualización periódica es, precisamente, uno de los indicios que los tribunales valoran negativamente al analizar si el modelo de prevención era realmente eficaz en el momento de comisión del delito, o si por el contrario había quedado obsoleto y desconectado de la realidad operativa de la empresa.
Por su complejidad técnica y jurídica, la elaboración y actualización del mapa de riesgos penales suele encargarse a asesores especializados que preparan informes de responsabilidad profesional capaces de documentar con rigor tanto el proceso de identificación de riesgos como las medidas de control implantadas, evidencia esencial en caso de que la empresa deba defenderse ante una investigación penal.
Herramientas y matrices para visualizar el riesgo
En la práctica, la mayoría de despachos y consultoras de compliance representan el resultado del análisis mediante una matriz de calor (heat map) en la que cada riesgo identificado se posiciona según dos ejes: la probabilidad de que llegue a materializarse y el impacto que tendría para la organización, tanto en términos económicos como reputacionales y penales. Esta representación visual permite priorizar los recursos de la empresa hacia los riesgos situados en la zona de mayor criticidad, evitando dedicar el mismo nivel de control a un riesgo remoto y de bajo impacto que a uno frecuente y de consecuencias graves, como podría ser el pago de comisiones irregulares a intermediarios en procesos de contratación con el sector público.
Además de la matriz de calor, muchas organizaciones incorporan un registro dinámico de riesgos (risk register) vinculado a indicadores de seguimiento (KRI, key risk indicators) que permiten monitorizar en tiempo casi real la evolución de cada riesgo: número de incidencias reportadas por el canal ético, resultado de las auditorías internas periódicas, rotación de proveedores de riesgo elevado o volumen de operaciones que superan los umbrales de autorización establecidos. Este enfoque dinámico, lejos de limitarse a un documento estático revisado una vez al año, convierte el mapa de riesgos en una herramienta viva de gestión que refuerza notablemente la credibilidad del programa de compliance ante un eventual escrutinio judicial.
El papel del compliance officer en la gestión del mapa de riesgos
El artículo 31 bis.2.2ª del Código Penal exige que la supervisión del funcionamiento y del cumplimiento del modelo de prevención se confíe a un órgano de la persona jurídica con poderes autónomos de iniciativa y control, habitualmente denominado compliance officer u órgano de cumplimiento. Este órgano es el responsable directo de mantener actualizado el mapa de riesgos penales, de coordinar las entrevistas periódicas con los responsables de cada área, de analizar las alertas recibidas a través del canal de denuncias y de elevar al consejo de administración un informe anual sobre el estado del sistema de cumplimiento normativo. Para ejercer esta función con garantías, el compliance officer necesita disponer de recursos suficientes, acceso directo a la información relevante de todos los departamentos y, sobre todo, independencia real frente a las áreas de negocio que audita, un requisito que los tribunales examinan con especial atención al valorar la eficacia real del modelo de prevención implantado por la empresa.
Conclusión
Un mapa de riesgos penales bien construido es la base sobre la que se sostiene todo el edificio del cumplimiento normativo de una empresa, y su ausencia o superficialidad puede resultar determinante para que un tribunal rechace la eximente de responsabilidad penal de la persona jurídica. En TorreonLegal ayudamos a empresas de todos los sectores a elaborar, actualizar y documentar sus mapas de riesgos penales conforme a los estándares UNE 19601 e ISO 37301. Contacte con nuestro equipo para iniciar el diagnóstico de riesgos penales de su organización.