La incorporación de la responsabilidad penal de las personas jurídicas al ordenamiento español supuso una auténtica revolución en el derecho penal tradicional. Durante décadas, el aforismo societas delinquere non potest (las sociedades no pueden delinquir) funcionó como un dogma indiscutible. Sin embargo, las exigencias de un mundo globalizado y la creciente complejidad de las estructuras empresariales evidenciaron la necesidad de que las organizaciones respondieran penalmente por los delitos cometidos en su seno o en su beneficio. La reforma del Código Penal de 2010, y sobre todo la decisiva reforma de 2015, no solo introdujeron esa responsabilidad, sino que además configuraron un sistema en el que la prevención, a través de los llamados programas de cumplimiento normativo o compliance programs, se convierte en el elemento central para determinar la exención o atenuación de la pena.
Hoy en día, ninguna empresa, con independencia de su tamaño, puede ignorar las obligaciones que emanan del artículo 31 bis del Código Penal. La implementación de un modelo de organización y gestión eficaz ya no es una opción voluntaria de responsabilidad social corporativa, sino una necesidad jurídica y estratégica. Pero, ¿qué requisitos debe cumplir un programa de compliance para ser considerado eficaz a ojos de un tribunal? ¿Cómo se articulan las estrategias de defensa cuando una persona jurídica se enfrenta a un procedimiento penal? ¿Y qué nuevas obligaciones están ampliando el alcance del compliance más allá del ámbito estrictamente penal? A lo largo de estas líneas, abordaremos estas cuestiones con un enfoque práctico, basado en la doctrina jurisprudencial y las opiniones doctrinales más autorizadas, con el objetivo de ofrecer una guía útil y comprensible.
La Ley Orgánica 5/2010, de 22 de junio, quebró por primera vez el principio de que las sociedades no pueden delinquir. Esta reforma introdujo la posibilidad de imputar responsabilidad penal a las personas jurídicas por una lista cerrada de delitos, siempre que fueran cometidos por sus representantes legales, administradores o empleados en beneficio de la entidad. Sin embargo, se trataba de un modelo aún embrionario, con redacciones que dejaban muchos cabos sueltos. La doctrina debatió intensamente si se estaba ante un sistema de heterorresponsabilidad —la empresa responde por el delito de la persona física— o de autorresponsabilidad —la empresa responde por un hecho propio, un defecto de organización—.
Fue la reforma operada por la Ley Orgánica 1/2015, de 30 de marzo, la que clarificó el modelo, decantándose por una tesis de autorresponsabilidad atenuada. La persona jurídica ya no responde de forma automática por los delitos de sus directivos. El fundamento de su responsabilidad reside en la ausencia de una cultura de cumplimiento, en un defecto estructural de organización que no ha sabido prevenir, detectar o mitigar los riesgos penales. El Tribunal Supremo, en sentencias como la STS 154/2016, de 29 de febrero, confirmó esta visión al hablar de la “cultura de respeto al derecho” y de la culpabilidad corporativa como un defecto intrínseco de la organización que genera un caldo de cultivo para la delincuencia.
Este cambio de paradigma supuso pasar de un Derecho Penal de ultima ratio a uno de prima ratio en el ámbito empresarial, anticipando la respuesta punitiva a la fase de prevención. El Estado, en cierto modo, privatiza parte de la lucha contra la corrupción, obligando a las propias empresas a adoptar medidas internas de vigilancia y control. De este modo, se busca que las corporaciones se conviertan en aliadas activas en la prevención del delito, en lugar de meros sujetos pasivos de la sanción.
Si la reforma de 2010 fue la puerta de entrada, la de 2015 construyó el edificio completo. La gran novedad fue la regulación exhaustiva de los programas de cumplimiento normativo en los apartados 2, 3, 4 y 5 del artículo 31 bis del Código Penal. A partir de ese momento, la ley no solo menciona la posibilidad de contar con un plan de prevención, sino que detalla sus contenidos mínimos y, crucialmente, le otorga un valor exonerador de la responsabilidad penal. Esto supuso un espaldarazo legislativo a una práctica —la del compliance— que hasta entonces se movía en la esfera de la soft law y las recomendaciones internacionales.
Además de sistematizar el compliance, la reforma de 2015 introdujo mejoras técnicas relevantes. Amplió el catálogo de delitos que pueden generar responsabilidad para la persona jurídica; distinguió con mayor nitidez entre el régimen de responsabilidad derivado de los delitos cometidos por los altos directivos y el de los empleados; e incorporó el criterio de la gravedad en el incumplimiento del deber de control, exigiendo que este sea “grave” para que nazca la responsabilidad en el caso de los subordinados. Todo ello configura un sistema complejo pero coherente, cuyo dominio es indispensable para cualquier estrategia de defensa penal corporativa.
Uno de los debates doctrinales más vivos, aunque con implicaciones prácticas quizás menores de lo esperado, es el relativo a la naturaleza de la responsabilidad de la persona jurídica. La tesis de la heterorresponsabilidad, defendida inicialmente por la Fiscalía General del Estado en su Circular 1/2011, entiende que la empresa responde por el delito cometido por la persona física, casi como una suerte de responsabilidad vicaria. Por el contrario, la tesis de la autorresponsabilidad, que ha acabado imponiéndose en la jurisprudencia, considera que la persona jurídica comete un hecho propio: el delito corporativo, consistente en no haber implementado una organización adecuada que prevenga delitos.
El Tribunal Supremo ha abrazado esta última postura al acuñar el concepto de “delito corporativo” (STS 221/2016, de 16 de marzo). Esto significa que la culpabilidad de la empresa es autónoma y no depende de la condena previa de una persona física. De hecho, puede existir responsabilidad penal de la persona jurídica incluso si se desconoce la identidad del administrador o empleado que delinquió, siempre que se acredite el fallo estructural. Esta visión, aunque dogmáticamente más compleja —pues obliga a repensar categorías como la acción y la culpabilidad para entes colectivos—, se alinea con la idea de que la organización, como realidad con poder de interacción y decisión, puede generar una cultura criminógena sancionable.
Sin embargo, conviene matizar que la autonomía no es absoluta. La responsabilidad de la empresa sigue anclada a la comisión de un delito base por una persona física, aunque no sea identificada. Es decir, no hay un delito corporativo flotante sin un ilícito penal subyacente. La diferencia clave está en dónde se pone el foco del reproche: no en la conducta delictiva del individuo, sino en la omisión grave de los deberes de supervisión y control que facilitaron o no impidieron esa conducta.
Si el defecto de organización es el fundamento de la culpabilidad, la existencia de una cultura de cumplimiento normativo real y efectiva es su principal antídoto. Esta cultura no se demuestra con la mera aprobación de un documento, sino con la implantación de un sistema vivo, conocido por todos los miembros de la organización y respaldado desde la alta dirección. El plan de cumplimiento debe ser, en esencia, la expresión documentada y práctica de una voluntad corporativa de respeto al derecho.
El artículo 31 bis 2 del Código Penal establece las condiciones para que la persona jurídica quede exenta de responsabilidad. De su lectura se desprende que la eficacia del programa se mide en un juicio ex ante: no se trata de si el delito finalmente se cometió —pues eso demostraría su fracaso—, sino de si, en el momento previo a su comisión, el modelo era objetivamente idóneo para prevenir delitos como el acaecido o para reducir su riesgo de forma significativa. El legislador admite así que el riesgo cero no existe, pero exige una diligencia organizativa reforzada.
Para que esta cultura de cumplimiento sea reconocida judicialmente, el programa debe haber sido efectivamente implementado y no ser un mero formalismo. Como advierte la Circular 1/2016 de la Fiscalía General del Estado, un programa puramente cosmético, diseñado solo para el “marketing penal”, puede volverse en contra de la empresa al ser considerado un agravante indicativo de una actitud cínica ante la ley. Los jueces valorarán indicios como la reacción de la empresa tras detectarse el delito, la existencia de un canal de denuncias eficaz, o la formación continua de los empleados en la materia.
El Código Penal, en su artículo 31 bis 5, detalla los requisitos mínimos que debe cumplir un modelo de organización y gestión para ser considerado penalmente eficaz. Estos requisitos pueden agruparse en los siguientes aspectos clave:
Estos requisitos legales no operan en el vacío. La jurisprudencia y los estándares técnicos (como la UNE 19601 o la ISO 37301) ofrecen una guía sobre cómo materializarlos. No basta con enumerar estos elementos en un manual; es crucial que estén interconectados y que su funcionamiento sea verificable. Un programa que no ha realizado una evaluación de riesgos concreta, sino que se ha limitado a copiar un modelo genérico, difícilmente superará un escrutinio judicial riguroso.
La clave reside en la adaptación a la realidad de la empresa. No es lo mismo el mapa de riesgos de una entidad financiera que el de una empresa constructora. La pequeña y mediana empresa, para la que la ley prevé ciertas adaptaciones (pudiendo reunir las funciones de supervisión en un único órgano), no puede excusarse de esta labor. De hecho, puede argumentarse que en organizaciones con menos complejidad estructural, la implantación de una cultura de cumplimiento efectiva es, si cabe, más factible y evidente para un tribunal.
Un programa de cumplimiento no puede operar de forma inorgánica. La ley exige la existencia de un órgano de la persona jurídica con poderes autónomos de iniciativa y control, encargado de supervisar el funcionamiento y el cumplimiento del modelo de prevención. En la práctica, esta función recae en la figura del Compliance Officer o responsable de cumplimiento normativo, que puede ser una persona concreta o un comité colegiado, dependiendo del tamaño y la complejidad de la entidad.
La autonomía de este órgano es un punto crítico. No puede estar situado en una posición jerárquica que le reste independencia o le impida cuestionar decisiones de la alta dirección. Debe tener acceso directo al consejo de administración o al máximo órgano de gobierno y disponer de los recursos materiales y humanos necesarios para desarrollar su labor. Si el Compliance Officer depende funcionalmente del director financiero cuyas operaciones debe supervisar, su independencia queda comprometida y, con ella, la eficacia exonerante de todo el sistema. La sentencia del Tribunal Supremo 583/2017, de 19 de julio, insiste en que no puede haber negligencia en el ejercicio de las funciones de supervisión por parte de este órgano, lo que obliga a una dedicación y un rigor profesional elevados.
Es importante desterrar una idea errónea: el Compliance Officer no es un garante que responde penalmente por cualquier delito que ocurra en la empresa. Su responsabilidad personal se limita a los casos en que, de forma dolosa o gravemente imprudente, incumpla sus deberes de supervisión. Su función no es evitar todo delito (lo que es imposible), sino gestionar diligentemente el sistema para que esos riesgos estén identificados y controlados en la medida de lo razonable. La responsabilidad penal por el delito subyacente corresponde a quien lo comete, no al supervisor por el mero hecho de serlo.
Una de las cuestiones más espinosas y de mayor relevancia práctica es determinar a quién corresponde probar la eficacia o ineficacia del programa de cumplimiento. La posición de la acusación, reflejada en la Circular 1/2016 de la Fiscalía General del Estado, ha oscilado entre considerar la existencia de un programa eficaz como una excusa absolutoria —cuya carga probatoria pesaría sobre la defensa—, y la tesis, acogida finalmente por el Tribunal Supremo, de que se trata de un elemento del injusto, un componente del delito corporativo.
La STS 221/2016, de 16 de marzo, zanjó la cuestión con una claridad meridiana: dado que el defecto estructural en los modelos de gestión es el fundamento de la responsabilidad del delito corporativo, la presunción de inocencia impone que sea la acusación quien deba acreditar la concurrencia de un incumplimiento grave de los deberes de supervisión. Esto no significa que la Fiscalía tenga que demostrar en todos los casos la inexistencia de un programa; basta con que, a la luz de los hechos probados, el delito se haya cometido en el seno de la empresa y en su beneficio para que se genere un indicio de responsabilidad.
A partir de ese momento, se produce un juego de cargas dinámicas. Como sucede con las causas de inimputabilidad de las personas físicas, si la persona jurídica alega que contaba con un plan de cumplimiento eficaz que fue burlado, deberá aportar un principio de prueba razonable de su existencia y vigencia. Si lo hace, será la acusación quien, para desvirtuar la presunción de inocencia, tenga que probar que dicho programa era ineficaz, un mero formalismo o no cumplía los requisitos legales. En caso de duda, rige el principio in dubio pro reo, por lo que la balanza debe inclinarse hacia la absolución de la empresa. Esta doctrina, sin embargo, no debe llevar a la pasividad; una defensa penal corporativa proactiva y sólidamente documentada es la mejor garantía de éxito.
La estrategia defensiva no debe centrarse únicamente en demostrar la eficacia del programa para lograr la exención completa. La reforma de 2015 introdujo una rica gama de matices que permiten modular la respuesta penal. El artículo 31 bis 4 contempla una atenuante para aquellos supuestos en los que las condiciones para la exención no se den en su totalidad, pero sí parcialmente. Esta atenuación puede ser determinante para reducir cuantías de multa o evitar la imposición de penas más severas como la intervención judicial o la clausura de establecimientos.
Más allá de la estructura del programa en sí, el Código Penal, en su artículo 31 quater, ofrece un catálogo de atenuantes específicas para la persona jurídica. Destacan, entre otras, las siguientes actuaciones posteriores al delito:
Esta última atenuante es una válvula de escape fundamental. Reconoce que una empresa puede haber delinquido precisamente por carecer de una cultura de cumplimiento, pero que su esfuerzo real y posterior por implantarla tiene un valor premial. Esta estrategia procesal, consistente en combinar la alegación de un programa preexistente con la demostración del reforzamiento del sistema tras la detección de los hechos, suele ser una de las líneas de defensa más efectivas. Convierte a la empresa en un sujeto activo de la solución y no solo en el objeto del castigo.
El compliance penal no es una isla. En la práctica, se integra en un sistema más amplio de gestión de riesgos y gobernanza corporativa que ha sido objeto de estandarización internacional. La norma ISO 37301:2021, sobre Sistemas de Gestión de Compliance, ha venido a sustituir a la anterior ISO 19600, estableciendo requisitos certificables para un sistema de gestión de cumplimiento. Aunque la certificación según esta norma no garantiza automáticamente la exención penal, sí constituye un argumento de peso ante un tribunal, ya que demuestra la alineación de la empresa con las mejores prácticas globales.
Esta norma se estructura en torno al ciclo de mejora continua PDCA (Planificar, Hacer, Verificar, Actuar) e incorpora elementos como el contexto de la organización, el liderazgo y compromiso de la alta dirección, la planificación de acciones para abordar riesgos y oportunidades, el apoyo (incluyendo recursos, competencia y concienciación), y la evaluación del desempeño. La gran ventaja de la ISO 37301 es que trasciende el mero cumplimiento penal e integra otras áreas de riesgo, como la competencia, la protección de datos o la prevención de blanqueo de capitales.
Desde una perspectiva de defensa penal, contar con un sistema certificado bajo un estándar internacional robusto facilita enormemente la acreditación del funcionamiento eficaz del programa. Convierte una prueba compleja en una cuestión más objetivable, basada en auditorías externas. No obstante, el tribunal siempre podrá evaluar si la certificación refleja una realidad material o si, por el contrario, es un maquillaje que oculta deficiencias graves. La tendencia legislativa y judicial es clara: cada vez más, el derecho penal dialoga con estos estándares técnicos, elevando el nivel de exigencia para las corporaciones.
Las obligaciones de cumplimiento normativo no dejan de expandirse a nuevos ámbitos que refuerzan el enfoque preventivo. Una de las novedades más relevantes es la obligación de facturación electrónica y los sistemas Verifactu, que en España serán obligatorios a partir de enero de 2027 para la mayoría de empresarios. Aunque son normas tributarias, su incumplimiento sistemático o fraudulento puede convertirse en la vía para la comisión de un delito de defraudación fiscal, por el cual la persona jurídica podría ser considerada penalmente responsable.
Esto obliga a los programas de compliance a ampliar su foco tradicional, pasando de una visión estricta limitada a los delitos “clásicos” de corrupción o blanqueo de capitales, a una visión holística. Un programa de cumplimiento moderno debe abarcar los riesgos fiscales, los relativos a la protección de datos (RGPD), los riesgos tecnológicos (ciberseguridad) e incluso la reciente regulación sobre los canales de denuncia (Ley 2/2023), que ha reforzado la protección del denunciante. La interconexión entre el ilícito administrativo y el penal es tan estrecha que un expediente sancionador tributario puede ser la antesala de unas diligencias penales contra la sociedad.
En este sentido, la figura del Compliance Officer se erige como el eje vertebrador de una función de control integrada. Ya no basta con ser un especialista en derecho penal económico; se requiere un perfil híbrido, con conocimientos financieros, tecnológicos y de gestión de procesos, capaz de dialogar con auditores, abogados y responsables de sistemas. La implantación de herramientas como el análisis de datos o la inteligencia artificial en los sistemas de monitorización de riesgos es una tendencia imparable que las empresas punteras ya están adoptando para fortalecer sus programas de cumplimiento y detectar anomalías de forma temprana.
Si usted es empresario, directivo o autónomo, el mensaje principal es que la prevención penal ya no es una opción, sino una obligación legal con consecuencias muy reales. Contar con un programa de cumplimiento no le blinda frente a cualquier problema, pero sí constituye su principal defensa si un empleado o directivo comete un delito en el seno de su organización. Piense en ese plan de cumplimiento como un seguro: espera no tener que usarlo nunca, pero si ocurre la contingencia, le salvará de consecuencias económicas y reputacionales que pueden ser devastadoras.
No delegue esta responsabilidad exclusivamente en sus asesores externos sin involucrarse. Un plan que no está liderado por la dirección y que no es conocido por los trabajadores carece de valor real. Tres acciones concretas que puede implementar desde hoy son: 1) identificar las principales áreas de riesgo de su empresa (por ejemplo, contratos con la administración, pagos en efectivo, relación con proveedores); 2) establecer un canal confidencial para que cualquier persona pueda alertar de irregularidades sin miedo a represalias; y 3) llegar a un equilibrio entre la implementación de controles y las dimensiones de su negocio. Un plan desproporcionado, que asfixie la operativa, acabará siendo papel mojado. La eficacia siempre prevalece sobre la perfección formal.
Para los juristas y asesores, el reto es integrar la dogmática penal con la realidad operativa de la empresa, superando debates puramente teóricos que, como hemos visto, no siempre tienen un reflejo práctico en la jurisprudencia. La discusión entre autorresponsabilidad y heterorresponsabilidad, aunque intelectualmente fascinante, debe ceder terreno a la construcción de argumentos probatorios sólidos. El verdadero campo de batalla está en la acreditación de la eficacia del programa en un juicio ex ante. La carga de la prueba, como hemos expuesto, es dinámica, y el principio de presunción de inocencia juega un papel crucial que debemos explotar en la estrategia procesal.
Asimismo, es hora de superar la visión fragmentada del compliance. El artículo 31 bis del Código Penal debe interpretarse en conjunción con el resto del ordenamiento, incluyendo las normas mercantiles sobre deberes de los administradores, la legislación de protección de denunciantes y los estándares técnicos certificables. La integración de sistemas de gestión de compliance fiscal, ambiental y de debido control corporativo en un único marco integral es la tendencia que marcará la diferencia en la valoración judicial. Las empresas que entiendan el cumplimiento no como un compartimento estanco, sino como un eje transversal de su gobernanza, serán las que estén verdaderamente preparadas para afrontar los desafíos del derecho penal económico del siglo XXI.
En Soraya Mohamed Doudouh, ofrecemos asesoramiento legal personalizado para resolver tus problemas jurídicos. Confía en nuestra experiencia.
