Compliance penal y programas de prevención

Qué es el compliance penal

El término compliance procede del inglés y se traduce, en su sentido jurídico-penal, como «cumplimiento normativo». En el ámbito penal hace referencia específicamente a los modelos de organización y gestión que las personas jurídicas pueden adoptar para prevenir delitos cometidos por sus administradores, directivos o empleados actuando en nombre o por cuenta de la entidad.

En España, la figura adquirió su configuración actual tras la reforma del Código Penal de 2015 (Ley Orgánica 1/2015). El art. 31 bis CP introdujo la responsabilidad penal de las personas jurídicas y, de manera paralela, los arts. 31 bis a 31 quinquies CP establecieron los requisitos que debe cumplir un programa de prevención para que la empresa pueda invocar la exención o atenuación de su responsabilidad penal.

El compliance penal no debe confundirse con el cumplimiento normativo en sentido genérico (laboral, fiscal, de protección de datos), aunque comparte elementos con todos ellos. Su función específica es la gestión del riesgo penal: identificar qué delitos puede cometer la organización en el curso de su actividad, diseñar controles para evitarlos y establecer canales y protocolos para reaccionar cuando se producen. Desde una perspectiva práctica, implica tanto a la cúpula directiva —que debe comprometerse con su implementación efectiva— como a todos los empleados, que deben conocer y aplicar sus reglas.

Elementos y requisitos jurídicos del programa de prevención

El Código Penal, en su art. 31 bis apartados 2 y 5, delimita los requisitos que debe reunir un modelo de organización y gestión para desplegar efectos eximentes o atenuantes. Estos requisitos son los que la jurisprudencia del Tribunal Supremo ha ido precisando en su doctrina sobre la materia.

Mapa de riesgos penales. El primer paso es identificar las actividades en cuyo ámbito puedan cometerse los delitos que deben ser prevenidos. No es suficiente un catálogo genérico: el análisis debe adaptarse al sector, al tamaño, a la estructura y a la operativa real de la empresa. Una empresa constructora tendrá riesgos distintos a los de una entidad financiera o una empresa farmacéutica.

Protocolos y procedimientos de control. Identificados los riesgos, el programa debe establecer los protocolos o procedimientos específicos que concreten la actividad de prevención y, en su caso, de detección e investigación de incumplimientos. Incluyen, entre otros: separación de funciones, límites de autorización, controles de doble firma, procedimientos de due diligence con terceros y políticas de regalos y atenciones.

Canal de denuncias (whistleblowing). El programa ha de contemplar un canal confidencial —y, desde la transposición de la Directiva europea [VERIFICAR número de directiva], con garantías de anonimato— para que empleados y terceros puedan comunicar irregularidades sin temor a represalias. La Ley 2/2023, de protección de las personas que informen sobre infracciones normativas, refuerza estas obligaciones para empresas a partir de cierto tamaño.

Oficial de cumplimiento (Compliance Officer). Debe existir un órgano o persona con autonomía e independencia para supervisar el funcionamiento del modelo, con capacidad de iniciativa y control, y con acceso directo al órgano de administración. En las pequeñas y medianas empresas, el propio órgano de administración puede asumir estas funciones.

Sistema disciplinario. El programa debe incluir un régimen sancionador interno que penalice efectivamente los incumplimientos de las medidas de control. Sin este elemento, el modelo carece de efecto disuasorio real y los tribunales pueden considerarlo meramente formal.

Revisión y actualización periódica. Un programa que no se actualiza deviene obsoleto. La ley exige que el modelo sea verificado periódicamente y modificado cuando se pongan de manifiesto infracciones relevantes o cambios en la organización o en el entorno normativo.

Efectos procesales y penológicos: exención y atenuación

El efecto jurídico más relevante del compliance penal es su capacidad para eximir de responsabilidad penal a la persona jurídica o, en su caso, para atenuar la pena que le correspondería. El art. 31 bis CP distingue dos escenarios según quién cometió el delito.

Delitos cometidos por representantes legales o personas con capacidad de decisión. La persona jurídica queda exenta de responsabilidad si, antes de la comisión del delito, había adoptado y ejecutado eficazmente un modelo de organización y gestión que era adecuado para prevenir ese tipo concreto de delito o para reducir de forma significativa el riesgo de su comisión. La carga de acreditar la eficacia del programa recae, en la práctica, sobre la defensa de la persona jurídica, aunque la jurisprudencia del Tribunal Supremo ha matizado cómo debe distribuirse esta carga probatoria.

Delitos cometidos por empleados sin poder de dirección. La mera existencia de un modelo de organización y gestión adecuado basta para eximir a la empresa, ya que en este segundo nivel la ley presume que la persona jurídica ha hecho lo que estaba en su mano y el delito se produjo a pesar de ello.

Atenuación de la responsabilidad. Cuando el programa no reúne todos los requisitos para la exención plena —por ejemplo, porque existía pero tenía deficiencias en su implementación— puede operar como atenuante conforme al art. 31 bis 4 CP, permitiendo rebajar la pena. Además, la confesión del delito por parte de la entidad, la colaboración con la investigación y la reparación del daño también pueden actuar como atenuantes autónomas.

Penas aplicables a la persona jurídica. Las sanciones que el Código Penal prevé para las personas jurídicas incluyen multas, disolución, suspensión de actividades, clausura de establecimientos, prohibición de actividades, inhabilitación para obtener subvenciones y contratos públicos, e intervención judicial. La gravedad de estas consecuencias —especialmente la disolución o la inhabilitación de contratos públicos— hace que un programa de compliance efectivo sea una herramienta de supervivencia empresarial, no solo de cumplimiento formal.

Fases de implementación de un programa de compliance penal

La implementación de un programa de compliance penal sigue, en la práctica profesional, un proceso estructurado que puede resumirse en las siguientes fases, aunque su orden y profundidad varían según el tamaño y la complejidad de la organización.

Fase 1 — Diagnóstico inicial (gap analysis). Se analiza la situación de partida: qué controles existen ya, cuáles son los riesgos penales propios del sector y de la empresa, y qué distancia hay entre el estado actual y lo exigible. Esta fase requiere entrevistas con directivos y personal clave, revisión documental y análisis del organigrama y los flujos de autorización.

Fase 2 — Elaboración del mapa de riesgos penales. A partir del diagnóstico, se identifican y valoran los riesgos: probabilidad de materialización e impacto potencial. Los riesgos se priorizan y se establece cuáles son inaceptables (que exigen control inmediato) y cuáles pueden gestionarse con controles de menor intensidad.

Fase 3 — Diseño del modelo. Se redactan el Código Ético, la Política de Compliance, los protocolos específicos por área de riesgo y el reglamento del canal de denuncias. Se define la estructura del órgano de cumplimiento y sus funciones.

Fase 4 — Implementación y formación. El programa debe ser comunicado a toda la organización y aplicado de manera efectiva. La formación es un elemento crítico: un empleado que desconoce el programa no puede cumplirlo, y su desconocimiento puede usarse en contra de la empresa en un proceso penal.

Fase 5 — Supervisión, auditoría y mejora continua. El compliance officer supervisa el funcionamiento del modelo, registra las incidencias, investiga las denuncias recibidas y elabora informes periódicos para el órgano de administración. Las auditorías internas o externas periódicas verifican la efectividad real de los controles.

Fase 6 — Certificación (voluntaria). Existen normas técnicas de certificación de sistemas de compliance penal, como la UNE 19601, que permiten acreditar ante terceros —y, en caso de proceso penal, ante el tribunal— que el programa ha sido diseñado e implementado conforme a estándares reconocidos. La certificación no garantiza la exención, pero es un elemento probatorio de relevancia.

Defensas y estrategias habituales en un proceso penal contra la persona jurídica

Cuando una persona jurídica es investigada o acusada en un proceso penal, la estrategia de defensa gira en gran medida en torno al programa de compliance. La acreditación de que el modelo existía, era adecuado y se aplicaba de manera efectiva antes de la comisión del delito es el eje central de la exención de responsabilidad.

Acreditación de la preexistencia y efectividad del programa. La defensa debe aportar documentación que demuestre que el programa estaba operativo antes del delito: actas de aprobación por el órgano de administración, registros de formación, evidencias del funcionamiento del canal de denuncias, informes del compliance officer, auditorías previas. No basta con presentar un documento fechado antes del delito; hay que demostrar aplicación real.

Separación entre el delito individual y la responsabilidad corporativa. La estrategia puede orientarse a demostrar que el delito cometido por un directivo o empleado fue consecuencia de su actuación individual y al margen o en contra de las políticas de la empresa (lo que se denomina «fraude a la persona jurídica»), lo que puede excluir la responsabilidad corporativa incluso sin programa de compliance formalmente perfecto.

Colaboración con la investigación. La adopción de medidas de cooperación con las autoridades —facilitando documentación, sometiendo al personal a interrogatorio, aportando el resultado de investigaciones internas— puede valorarse como atenuante y, en ocasiones, influye en decisiones de oportunidad de la acusación pública.

Reparación del daño y medidas de refuerzo del programa. Acreditar que, tras conocerse el delito, la empresa reforzó o reformó su programa de compliance y reparó el daño causado puede activar atenuantes específicas y demostrar la ausencia de una cultura corporativa delictiva, que es el fundamento último de la responsabilidad penal de las personas jurídicas.

Errores frecuentes en la gestión del compliance penal

La práctica forense revela que muchas organizaciones afrontan un proceso penal con programas de compliance que, pese a existir formalmente, presentan deficiencias que los privan de eficacia eximente. Los errores más habituales son los siguientes.

Programa de papel o «cosmético». Es el error más extendido. La empresa dispone de un extenso manual de compliance, pero nadie lo ha leído, no hay formación documentada, el canal de denuncias no funciona y el compliance officer es un cargo nominal sin recursos ni autonomía real. Los tribunales han dejado claro que lo relevante es la efectividad real, no la existencia formal del documento.

Mapa de riesgos genérico o copiado de modelos estándar. Un mapa de riesgos que no refleja la actividad real de la empresa —sus contratos, su cadena de suministro, sus mercados, su estructura de filiales— no cumple con el requisito de adecuación. La idoneidad del programa se mide contra los riesgos concretos de la organización.

Compliance officer sin independencia. Cuando el responsable de cumplimiento depende jerárquicamente del mismo directivo cuya actuación está supervisando, o carece de recursos y acceso directo al consejo, el modelo pierde una de sus funciones esenciales.

Ausencia de régimen disciplinario aplicado. Tener un régimen sancionador en el papel pero no aplicarlo cuando se detectan incumplimientos —por ejemplo, ignorar advertencias del compliance officer o sancionar solo a niveles bajos— destruye la credibilidad del sistema.

No actualizar el programa. Las empresas que implantan el programa una sola vez y no lo revisan ante cambios organizativos, regulatorios o tras la detección de incidentes presentan un modelo que deja de ser adecuado para los riesgos actuales.

Confundir compliance penal con auditoría contable o protección de datos. El compliance penal tiene una lógica propia y distintos riesgos a gestionar. Delegar su diseño en quienes solo conocen el cumplimiento contable o de privacidad puede generar programas con grandes lagunas en los riesgos penales más relevantes para esa actividad.

Cómo lo aborda un penalista colegiado

El abogado penalista interviene en el ámbito del compliance penal en dos momentos bien diferenciados: el preventivo y el reactivo. En el plano preventivo, asesora en el diseño del programa desde la perspectiva del riesgo penal real, identifica qué delitos son más probables dado el sector y la estructura de la empresa, y verifica que los controles diseñados serían valorados como suficientes por un tribunal. Esta labor se complementa frecuentemente con la de otros especialistas —mercantilistas, laboralistas, expertos en regulación sectorial—, pero la visión penal es imprescindible porque es la que determina qué debe quedar probado si el programa tiene que defenderse ante un juez.

En el plano reactivo —cuando ya existe una investigación penal contra la persona jurídica—, el penalista colegiado asume la representación y defensa de la entidad en el proceso. Esto implica analizar con rigor el programa existente para determinar qué eficacia eximente o atenuante puede invocarse, coordinar la aportación de la documentación acreditativa, gestionar la relación de la empresa con las autoridades de investigación y, si procede, negociar una conformidad que minimice las consecuencias para la organización y sus actividades.

A través de la plataforma JBH es posible contactar con abogados penalistas colegiados con experiencia en delito económico y compliance penal, que pueden tanto revisar la solidez jurídico-penal de un programa existente como asumir la defensa de una persona jurídica en un procedimiento penal. La dirección técnica del asunto corresponde siempre al letrado colegiado, que evalúa cada caso en su individualidad y sin comprometer criterios de independencia profesional.

Preguntas frecuentes

Jurisprudencia: cómo buscarla

La interpretación de «compliance penal y programas de prevención» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

¿Te afecta «Compliance penal y programas de prevención» en un caso real?

Evalúa tu situación con la IA penal de JBH y conéctate con un abogado penalista colegiado independiente. La decisión y la dirección del caso son siempre humanas.

¿Eres abogado penalista? Conoce la IA penal de JBH para tu despacho: primer caso gratis en jbhasesorialegal.com/para-abogados.

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados penalistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.

Te puede servir