Copyrights. MACLO,
2026. Todos los derechos reservados.
html
El entorno regulatorio actual ha transformado la forma en que las empresas deben gestionar sus riesgos legales. Ya no se trata únicamente de cumplir con obligaciones administrativas o mercantiles, sino de prevenir activamente la comisión de delitos en el seno de la organización y de proteger la continuidad del negocio frente a sanciones penales, económicas y reputacionales que pueden resultar devastadoras.
La incorporación de la responsabilidad penal de las personas jurídicas al ordenamiento español, a través de las reformas del Código Penal de 2010 y 2015, marcó un antes y un después en el Derecho Penal empresarial. Desde entonces, las compañías pueden ser consideradas penalmente responsables por determinados delitos cometidos en su nombre, por su cuenta o en su beneficio, incluso cuando no sea posible identificar a la persona física autora concreta. Este cambio de paradigma ha convertido al cumplimiento normativo en una herramienta estratégica, no solo de prevención, sino también de exoneración o atenuación de responsabilidad penal.
El artículo 31 bis del Código Penal es el eje central de esta regulación. En sus apartados se establecen tanto los criterios de imputación penal a las personas jurídicas como los requisitos que deben reunir los modelos de organización y gestión para ser considerados eficaces a efectos de eximir o atenuar la responsabilidad penal. De su lectura se desprende una conclusión clara: no basta con existir en el papel; el sistema de prevención debe estar implantado de forma real, supervisado y en constante actualización.
Un plan de cumplimiento normativo, también denominado modelo de organización y gestión o programa de compliance, es el conjunto estructurado de políticas, procedimientos, controles y medidas de supervisión que una organización implementa con el fin de prevenir, detectar y reaccionar ante conductas que puedan constituir infracciones legales o penales. No se trata de un documento aislado, sino de un sistema vivo de gobernanza corporativa que integra normas jurídicas, principios éticos y estándares de integridad empresarial.
Desde una perspectiva práctica, el plan de cumplimiento tiene tres objetivos esenciales. En primer lugar, la prevención: evitar que en la organización se cometan prácticas ilícitas que puedan derivar en responsabilidad penal. En segundo lugar, la detección: disponer de mecanismos que permitan identificar de forma temprana posibles irregularidades, antes de que se conviertan en un problema mayor. Y, en tercer lugar, la reacción: establecer protocolos de respuesta, sanción y mitigación del daño en caso de que se confirme un incumplimiento.
Un programa de cumplimiento efectivo no puede limitarse a la elaboración de un manual genérico o a la simple adopción de plantillas estandarizadas. Cada organización presenta riesgos propios derivados de su sector, tamaño, estructura, ámbito geográfico y modelo de negocio. Por tanto, el plan debe adaptarse a la realidad concreta de la empresa y a sus mapas de riesgo, y debe estar respaldado por un compromiso real y visible del órgano de administración.
La incorporación de la responsabilidad penal de las personas jurídicas al ordenamiento español se realizó en tres etapas diferenciadas. La primera tuvo lugar en 2010, con la introducción de esta figura por la Ley Orgánica 5/2010. La segunda se produjo en 2012, con la inclusión expresa de los partidos políticos y los sindicatos. La tercera y más decisiva, la reforma operada por la Ley Orgánica 1/2015, fue la que desarrolló de manera completa los requisitos y condiciones de los programas de cumplimiento, incorporando a los apartados 2, 3, 4 y 5 del artículo 31 bis del Código Penal las exigencias para que un modelo de organización y gestión pueda tener eficacia eximente o atenuante.
El artículo 31 bis del Código Penal establece que las personas jurídicas pueden ser eximidas de responsabilidad penal si acreditan haber adoptado, antes de la comisión del delito, modelos de organización y gestión eficaces para prevenir delitos de la naturaleza del cometido o para reducir de forma significativa el riesgo de su comisión. Esta previsión convierte al cumplimiento en una condición de hecho para acceder a la exoneración o a una atenuación relevante de la pena.
La responsabilidad penal de la persona jurídica es autónoma e independiente de la que corresponda a las personas físicas que hayan actuado en su nombre o por su cuenta. Es más, la doctrina y la jurisprudencia han precisado que no es necesaria la previa condena de la persona física, ni siquiera que el delito llegue a consumarse, ya que la expresión legal «delitos cometidos» permite incluir también las formas de autoría, participación e incluso la tentativa. Esta autonomía refuerza la necesidad de que las empresas dispongan de sistemas de control internos sólidos, que vayan más allá de la mera reacción ante hechos consumados.
Además del Código Penal, el marco jurídico del cumplimiento se complementa con otras normas relevantes. La Ley de Sociedades de Capital, la Ley de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo, la Ley de Contratos del Sector Público y distintas normativas sectoriales imponen obligaciones específicas de control y supervisión. En el ámbito internacional, destacan estándares como la norma ISO 37301 sobre sistemas de gestión de cumplimiento, la ISO 37001 sobre gestión antisoborno y las recomendaciones del Grupo de Acción Financiera Internacional, así como la Circular 1/2016 de la Fiscalía General del Estado, que constituye una referencia interpretativa fundamental para evaluar la idoneidad y eficacia de los programas de prevención.
Aunque la implantación de un programa de cumplimiento penal no es formalmente obligatoria para todas las empresas, la realidad práctica convierte a esta herramienta en imprescindible para un número cada vez mayor de organizaciones. La exposición al riesgo penal no depende únicamente del tamaño, sino de la actividad, del sector y de las relaciones contractuales de la entidad.
Ciertas organizaciones se encuentran sujetas a obligaciones sectoriales que exigen la existencia de mecanismos de cumplimiento normativo más estrictos. Es el caso de las entidades financieras, aseguradoras, farmacéuticas, energéticas o de defensa, donde los marcos regulatorios imponen sistemas de control obligatorios.
La Ley de Prevención del Blanqueo de Capitales, por ejemplo, exige a determinados sujetos obligados la adopción de medidas de diligencia debida y de control interno. En estos sectores, el cumplimiento penal adquiere un carácter normativo obligatorio por imperativo sectorial o por requerimientos contractuales, especialmente en licitaciones públicas o en relaciones comerciales transfronterizas.
La normativa sobre protección de informantes ha establecido la obligación de disponer de un canal interno de denuncias o canal ético para empresas con más de 50 empleados. El incumplimiento de esta obligación puede acarrear sanciones administrativas significativas.
Además, una plantilla amplia incrementa exponencialmente la probabilidad de que se cometa una irregularidad, ya sea de tipo penal, administrativo o reputacional. Cuantas más personas participan en la actividad diaria, mayor es la necesidad de contar con controles y protocolos que garanticen una actuación homogénea y conforme a derecho.
Cada vez es más habitual que los pliegos de licitaciones públicas exijan a las empresas la acreditación de sistemas de cumplimiento. En sectores como la construcción, la ingeniería, la tecnología o el farmacéutico, el compliance se ha convertido en un factor competitivo y, en muchos casos, en un requisito ineludible para poder concursar y contratar con la Administración.
La relación con el sector público conlleva riesgos específicos, como la corrupción entre particulares, el cohecho o el tráfico de influencias. Un sistema de prevención sólido no solo facilita el acceso a licitaciones, sino que protege a la empresa frente a imputaciones penales derivadas de su actividad contractual.
Los grupos empresariales medianos, en los que existen varios responsables internos y filiales en distintas ubicaciones, pueden asumir riesgos considerables si no existe un sistema unificado de control y supervisión. La coordinación entre áreas como recursos humanos, dirección, administración y asesoría jurídica resulta esencial para evitar contradicciones y garantizar la coherencia del modelo preventivo.
Del mismo modo, los sectores con una elevada carga regulatoria, como el industrial, sanitario, alimentario, transporte, medio ambiente o tecnológico, presentan un riesgo sancionador más elevado y, por tanto, una mayor necesidad de prevención. En estos ámbitos, un error en el cumplimiento normativo puede suponer graves consecuencias económicas y legales para la empresa.
Para que un plan de cumplimiento sea eficaz y pueda tener efectos eximentes o atenuantes en vía penal, debe cumplir una serie de requisitos normativos y prácticos. Estos requisitos no pueden interpretarse como una mera lista de comprobación documental, sino como condiciones estructurales que deben integrarse en el funcionamiento diario de la organización.
Un sistema meramente formal o simbólico, por muy bien redactado que esté, carece de valor preventivo y de eficacia jurídica. La Circular 1/2016 de la Fiscalía General del Estado es muy clara al respecto: el modelo debe estar implantado de manera real, eficaz y no meramente nominal.
El punto de partida de cualquier sistema de cumplimiento es la elaboración de un mapa de riesgos adaptado a la actividad concreta de la empresa. Esto exige analizar los procesos internos, los mercados en los que opera, la tipología de clientes y proveedores, la estructura societaria y cualquier otro factor que pueda incrementar la probabilidad de comisión de delitos.
La identificación de riesgos debe ser realista y actualizada, no un ejercicio teórico basado en plantillas genéricas. Solo a partir de un diagnóstico preciso se pueden diseñar controles proporcionales y efectivos que aborden las vulnerabilidades reales de la organización.
Una vez identificados los riesgos, es necesario diseñar controles internos y asignar responsabilidades claras a cada área o puesto de trabajo. Estos controles deben ser proporcionales al nivel de riesgo detectado y deben estar integrados en los procesos operativos, de modo que no se perciban como una carga burocrática adicional, sino como parte natural de la actividad.
La definición de quién vigila qué, cómo se reporta y qué se hace ante una incidencia es esencial para la eficacia del sistema. Sin una asignación clara de responsabilidades, los controles se diluyen y el sistema se vuelve inoperante.
La formación continua del personal es un pilar imprescindible. Los empleados, directivos y administradores deben conocer los riesgos penales de su actividad, las políticas internas aplicables y los canales de denuncia disponibles. La comunicación de los valores éticos de la organización debe ser clara y constante, evitando que el cumplimiento se convierta en un tema reservado a los departamentos jurídicos.
Además, la formación debe ser práctica y adaptada a cada nivel de responsabilidad. No es lo mismo formar a un directivo con capacidad de decisión que a un empleado con funciones operativas. Cada perfil necesita conocer los riesgos específicos de su puesto y las pautas de actuación ante situaciones de duda.
Un plan de cumplimiento no es estático, sino que debe revisarse y actualizarse de forma periódica. La evolución de la actividad empresarial, los cambios legislativos y la experiencia acumulada en la gestión de incidentes obligan a revaluar los riesgos y ajustar los controles.
La supervisión continua y las auditorías internas periódicas son esenciales para detectar debilidades y corregirlas antes de que se materialicen en un incumplimiento. El sistema debe incluir indicadores de seguimiento que permitan evaluar su eficacia de forma objetiva y documentada.
El responsable de cumplimiento, también denominado oficial de cumplimiento o Compliance Officer, es la pieza clave del sistema. Se trata de la persona u órgano encargado de supervisar el diseño, la implantación y el funcionamiento del plan de cumplimiento, así como de canalizar los flujos de información y control dentro de la organización. Su papel es esencial para garantizar la eficacia real del modelo y para evitar que el sistema quede en una mera declaración de intenciones.
La jurisprudencia y la doctrina coinciden en que el responsable de cumplimiento debe contar con autonomía funcional, recursos suficientes, acceso directo al órgano de administración y capacidad para actuar con independencia. La autonomía es fundamental para que su labor no se vea condicionada por intereses particulares o conflictos internos. Un responsable sin capacidad real de actuación, o subordinado a las mismas áreas que debe supervisar, difícilmente podrá garantizar la eficacia del sistema.
Entre sus funciones principales se encuentran las siguientes:
Identificar y evaluar los riesgos penales inherentes a la actividad empresarial.
Diseñar políticas y procedimientos de prevención.
Impartir formación continua al personal.
Gestionar canales de denuncia y mecanismos disciplinarios.
Realizar auditorías internas y evaluaciones periódicas.
Informar al órgano de administración sobre el grado de cumplimiento y las incidencias detectadas.
La responsabilidad del oficial de cumplimiento puede llegar a ser personal si se demuestra negligencia grave en el ejercicio de sus funciones, especialmente cuando su inacción haya facilitado la comisión de delitos que podrían haberse evitado mediante una actuación diligente. Por ello, es importante que el cargo esté claramente definido, que sus funciones estén delimitadas y que se le doten de los medios necesarios para actuar.
La implementación de un sistema de cumplimiento debe seguir un proceso ordenado y documentado, que garantice la coherencia del modelo y su adaptación a la realidad de la empresa. Los errores más habituales suelen derivarse de la improvisación, la falta de implicación de la dirección o la adopción de modelos genéricos sin adaptación previa.
A continuación se describen las fases principales que debe contemplar cualquier proceso de implantación:
La implantación de un sistema de cumplimiento no debe contemplarse como una carga impuesta desde fuera, sino como una inversión estratégica con beneficios tangibles. Entre las ventajas más relevantes destacan la prevención de sanciones penales y económicas, la reducción del riesgo reputacional, la mejora del gobierno corporativo, la generación de confianza ante inversores, clientes y autoridades, y la promoción de una cultura ética corporativa que refuerza la sostenibilidad y la responsabilidad social de la empresa.
En el ámbito penal, el beneficio más evidente es la posibilidad de acceder a una eximente o atenuante en caso de que se cometa un delito en el seno de la organización. Un sistema correctamente diseñado e implantado puede exonerar a la empresa de responsabilidad penal o reducir de forma significativa la sanción. Esta ventaja procesal se traduce en una protección directa del patrimonio, de la continuidad operativa y de la capacidad de contratar con el sector público.
Además, la existencia de un programa de cumplimiento tiene un efecto preventivo real sobre el comportamiento de directivos y empleados. La percepción de que la organización supervisa activamente el cumplimiento de las normas y que dispone de mecanismos de detección y sanción disuade la comisión de conductas irregulares. Este efecto disuasorio es especialmente relevante en sectores con alta carga regulatoria o en empresas que operan en mercados internacionales, donde los riesgos de corrupción y fraude son más elevados.
La siguiente tabla resume los principales beneficios y su impacto en la organización:
| Beneficio | Impacto en la organización |
|---|---|
| Exención o atenuación penal | Protección frente a sanciones penales derivadas del artículo 31 bis del Código Penal |
| Prevención de riesgos | Reducción de la probabilidad de comisión de delitos e infracciones |
| Mejora del gobierno corporativo | Mayor transparencia, control interno y toma de decisiones basada en riesgos |
| Confianza de inversores y clientes | Percepción de solvencia ética y jurídica que facilita relaciones comerciales |
| Acceso a licitaciones públicas | Cumplimiento de requisitos de acreditación de sistemas de prevención |
| Protección de administradores y directivos | Reducción del riesgo de imputación personal por defectos de control |
Implantar un plan de cumplimiento normativo no es solo una obligación legal más, sino una forma inteligente de proteger a la empresa, a sus administradores y a sus empleados frente a riesgos penales, sanciones económicas y daños a la reputación que pueden poner en peligro la continuidad del negocio. Se trata, en esencia, de prevenir antes que curar.
Los tres pilares básicos que cualquier empresa debe recordar son: identificar los riesgos específicos de su actividad, implantar controles y políticas adecuadas, y designar a una persona responsable que supervise el sistema y lo mantenga actualizado. Contar con un canal de denuncias funcional y formar al equipo son también imprescindibles. El objetivo no es acumular documentos, sino crear una cultura de cumplimiento real y aplicable al día a día.
Desde una perspectiva dogmática, el sistema español de responsabilidad penal de las personas jurídicas se fundamenta en un defecto estructural de la organización, es decir, en una culpabilidad por defecto de organización que se concreta en la ausencia de un modelo eficaz de prevención. La exención de responsabilidad no es una exclusión de tipicidad, sino una causa de exoneración basada en la acreditación de la diligencia debida, que debe valorarse conforme a los criterios de la Circular 1/2016 de la Fiscalía General del Estado.
El modelo de imputación no se configura como responsabilidad por hecho ajeno, sino como autorresponsabilidad de la persona jurídica, sustentada en la creación de una cultura empresarial que propicia la comisión de delitos. La contrapartida preventiva es la instauración de una cultura de respeto al Derecho y de cumplimiento normativo. En la práctica, la defensa penal de la persona jurídica se centra en acreditar que el sistema de cumplimiento estaba implantado de forma real y eficaz antes de la comisión del delito, que el responsable de cumplimiento contaba con los recursos y la autonomía necesarios, y que el modelo incluía controles proporcionales a los riesgos identificados. Los estándares internacionales, como la ISO 37301 y la ISO 37001, y las recomendaciones de la OCDE, aportan parámetros objetivos para esta valoración.
En MACLO ofrecemos asesoría legal integral priorizando acuerdos extrajudiciales eficientes en penal, civil, laboral, extranjería y más.
