Copyrights. Eduardo Margalida Albert,
2026. Todos los derechos reservados.
La creciente complejidad del entorno empresarial y la exigencia de operar bajo los más altos estándares éticos han convertido el cumplimiento normativo en un pilar fundamental para cualquier organización, con independencia de su tamaño o sector. La reforma del Código Penal español, que cristalizó en el actual artículo 31 bis, situó a las personas jurídicas en el centro de la responsabilidad penal, creando la necesidad imperiosa de contar con mecanismos de prevención robustos y, sobre todo, eficaces. No basta con tener un documento que acredite la existencia de un programa de compliance; la clave reside en que dicho programa esté realmente implantado, sea idóneo para prevenir delitos y pueda ser valorado positivamente por un tribunal.
El debate actual, impulsado tanto por la doctrina como por la jurisprudencia del Tribunal Supremo y la Audiencia Nacional, se ha desplazado desde la mera existencia formal de los modelos de organización y gestión hacia la acreditación de su efectividad real. Esto exige comprender qué criterios utilizan los jueces para medir la eficacia, cómo diseñar mapas de riesgos que respondan a la actividad concreta de la empresa y de qué manera las investigaciones internas y los canales de denuncia se integran en una estrategia procesal defensiva sólida. Los programas de cumplimiento han dejado de ser un elemento accesorio de la gestión empresarial para transformarse en un activo estratégico y en la primera línea de defensa ante una posible imputación penal.
El artículo 31 bis del Código Penal establece, desde la reforma operada mediante la Ley Orgánica 1/2015, un sistema de responsabilidad penal autónomo para las personas jurídicas. Este precepto configura una eximente basada en la adopción y ejecución eficaz, antes de la comisión del delito, de modelos de organización y gestión que incluyan medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza. La norma no solo describe los requisitos que deben cumplir estos programas, sino que implícitamente exige que las organizaciones desarrollen una auténtica cultura ética corporativa que impregne todos los niveles jerárquicos, desde el órgano de administración hasta el último empleado.
La Circular 1/2016 de la Fiscalía General del Estado fue el primer intento relevante de sistematizar los criterios de valoración de estos modelos, proporcionando a los operadores jurídicos una guía para interpretar los requisitos legales. No obstante, la práctica judicial ha demostrado que la mera adecuación formal a dichos requisitos no garantiza la exención de responsabilidad penal. Los tribunales evalúan, cada vez con mayor profundidad, la correspondencia entre el contenido documental del programa y su aplicación práctica en el día a día de la compañía, exigiendo pruebas tangibles de su funcionamiento real.
Para que un programa de cumplimiento pueda operar como circunstancia eximente de la responsabilidad penal, el artículo 31 bis exige la concurrencia acumulativa de una serie de condiciones. En primer lugar, el órgano de administración debe haber adoptado y ejecutado con eficacia un modelo de organización y gestión antes de la comisión del delito. Este modelo debe identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos, establecer los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, y disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos.
Asimismo, resulta imperativo imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención, lo que comúnmente se conoce como canal de denuncias. Este órgano de control debe contar con poderes autónomos de iniciativa y control, y su configuración estatutaria es esencial para garantizar su independencia. Finalmente, el sistema disciplinario debe sancionar adecuadamente el incumplimiento de las medidas establecidas por el modelo, cerrando así el círculo de prevención, detección y reacción frente a conductas ilícitas. La verificación periódica del modelo y su eventual modificación cuando se pongan de manifiesto infracciones relevantes o cambios en la organización completan los requisitos legales.
La doctrina jurisprudencial ha experimentado un avance significativo en la última década, pasando de una fase inicial en la que apenas se valoraban los programas de compliance a otra en la que los tribunales realizan auténticos juicios de idoneidad y eficacia. La Sala Segunda del Tribunal Supremo ha fijado criterios relevantes sobre la carga de la prueba y ha subrayado que no es suficiente con acreditar la existencia formal del programa, sino que debe probarse su implementación efectiva. Esta doctrina ha sido complementada por la práctica de la Audiencia Nacional, que en diversos procedimientos ha analizado exhaustivamente los elementos estructurales de los modelos de prevención presentados por las personas jurídicas imputadas.
Uno de los aspectos más relevantes de esta evolución es la progresiva consolidación de estándares probatorios que permiten valorar la eficacia del sistema de cumplimiento. Elementos como la formación continua de los empleados, la trazabilidad de las decisiones del órgano de cumplimiento, la realización de auditorías internas y externas, y la revisión periódica del modelo se han convertido en parámetros de referencia ineludibles. La jurisprudencia más reciente también ha abordado la problemática de los grupos de empresas y la determinación del perímetro de imputación penal cuando la gobernanza del cumplimiento se articula mediante sistemas complejos de delegación y comités especializados.
El diseño de un programa de compliance penal no puede concebirse como una plantilla estandarizada aplicable indistintamente a cualquier organización. La eficacia del modelo depende directamente de su adecuación a la realidad concreta de la persona jurídica: su tamaño, su sector de actividad, su estructura societaria, su presencia geográfica y, sobre todo, los riesgos penales específicos a los que se enfrenta. Un programa genérico, copiado de otras entidades o de manuales, está condenado al fracaso cuando sea sometido al escrutinio judicial, porque los tribunales exigen una personalización que demuestre un auténtico compromiso preventivo por parte del órgano de administración.
La experiencia acumulada en el ejercicio de la abogacía y en las funciones de compliance en grandes corporaciones, como se ha puesto de manifiesto en diversos foros especializados y encuentros profesionales, evidencia que el diseño debe partir de un análisis profundo del modelo de negocio y de los procesos internos de toma de decisiones. Solo así es posible construir un sistema que, además de cumplir con los requisitos legales, se integre de manera natural en la operativa diaria de la empresa, evitando el rechazo interno y maximizando su utilidad como herramienta de gestión del riesgo penal.
El mapa de riesgos constituye la piedra angular sobre la que se edifica cualquier programa de cumplimiento normativo. Su elaboración exige una metodología rigurosa que permita identificar todas aquellas actividades en cuyo seno puedan cometerse delitos relevantes para la organización. Entre los delitos que con mayor frecuencia deben ser considerados se encuentran la corrupción en los negocios, el tráfico de influencias, los delitos contra la Hacienda Pública, los delitos urbanísticos, los delitos ambientales y aquellos relacionados con la protección de datos personales, sin olvidar los delitos de blanqueo de capitales en sectores especialmente expuestos.
La priorización de los riesgos identificados debe realizarse combinando dos variables fundamentales: la probabilidad de que un determinado delito llegue a materializarse y el impacto que dicha materialización tendría para la organización, tanto en términos económicos como reputacionales. La doctrina más autorizada recomienda la utilización de metodologías reconocidas internacionalmente, como el método Mosler o el estándar COSO ERM, adaptándolas a las particularidades del riesgo penal. Asimismo, resulta crucial que la identificación y evaluación de riesgos no sea un ejercicio estático, sino que se someta a revisiones periódicas que incorporen los cambios normativos, las nuevas líneas jurisprudenciales y las lecciones aprendidas de incidentes o investigaciones previas.
Un programa de cumplimiento eficaz se sustenta sobre una serie de elementos estructurales que deben estar interconectados y funcionar de manera coherente. El primero de ellos es el compromiso visible e inequívoco del órgano de administración, que debe manifestarse no solo en la aprobación formal del modelo, sino también en la dotación de los recursos materiales y humanos necesarios para su adecuado funcionamiento. Este compromiso debe traducirse, además, en la creación de un órgano de compliance dotado de autonomía real, cuyos miembros posean la cualificación profesional necesaria y puedan actuar con independencia frente a las presiones internas.
Junto al órgano de control, el canal de denuncias se ha revelado como una herramienta esencial, especialmente tras la entrada en vigor de la Ley reguladora de la protección de las personas que informen sobre infracciones normativas. Este canal debe garantizar la confidencialidad del denunciante, permitir la presentación de comunicaciones anónimas y estar gestionado de forma que se eviten represalias. Los protocolos de actuación, los sistemas de gestión de recursos financieros que impidan la comisión de delitos y el régimen disciplinario que sancione de manera proporcionada los incumplimientos completan la arquitectura básica del modelo, que debe estar documentada de forma exhaustiva para permitir su trazabilidad y posterior valoración judicial.
A modo de síntesis, los pilares de un programa de compliance eficaz pueden resumirse en los siguientes puntos:
El verdadero test de resistencia de cualquier programa de compliance se produce cuando la persona jurídica se ve sometida a un procedimiento penal. En ese escenario, el modelo de prevención deja de ser un documento interno para convertirse en un elemento central de la estrategia de defensa, cuyo valor dependerá de la capacidad de la defensa para acreditar su eficacia real ante el órgano judicial. La evaluación judicial no se limita a comprobar si los documentos coinciden formalmente con los requisitos del artículo 31 bis, sino que indaga en la operatividad real de las medidas adoptadas, exigiendo una prueba sólida y convincente de su funcionamiento efectivo.
Los magistrados del Tribunal Supremo y de la Audiencia Nacional han insistido en que la eficacia del programa no puede presumirse, sino que debe ser objeto de una cumplida acreditación. Esto implica que la persona jurídica debe estar en condiciones de aportar al proceso penal todos aquellos elementos que demuestren la seriedad de su compromiso preventivo: registros de formación, actas del órgano de compliance, evidencias de las auditorías realizadas, comunicaciones de denuncias recibidas y tramitadas, y cualquier otra documentación que permita reconstruir la trazabilidad del sistema. En definitiva, la eficacia se mide en términos de idoneidad, implantación real y funcionamiento continuo, y no de mera apariencia documental.
La determinación de los criterios probatorios que deben regir la valoración judicial de los programas de cumplimiento ha sido objeto de un intenso debate doctrinal y jurisprudencial. La Circular 1/2016 de la Fiscalía General del Estado ya avanzó algunas directrices, pero la práctica forense ha ido perfilando unos estándares más exigentes. Entre los elementos que los tribunales suelen ponderar favorablemente se encuentran la certificación del sistema de compliance conforme a estándares nacionales o internacionales reconocidos, como la UNE 19601, siempre que dicha certificación no se limite a un mero formalismo, sino que acredite una verificación independiente del funcionamiento del modelo.
Otro criterio fundamental es la acreditación de la realización de auditorías internas y externas periódicas, así como la documentación de las revisiones del modelo que se hayan llevado a cabo como consecuencia de dichas auditorías o de la detección de incidentes. El órgano judicial también valorará la existencia de un sistema de formación continuada que garantice que todos los empleados, y muy especialmente aquellos que ocupan puestos de riesgo, conocen el contenido del programa y las consecuencias de su incumplimiento. La prueba pericial, en particular la de naturaleza forensic, ha adquirido un protagonismo creciente como medio para ilustrar al tribunal sobre la idoneidad técnica del modelo de compliance y su adecuación al perfil de riesgo específico de la entidad.
Las investigaciones internas se han consolidado como una pieza clave tanto en la prevención de delitos como en la articulación de la defensa penal de la persona jurídica. Cuando una organización detecta indicios de una conducta delictiva en su seno, la realización de una investigación interna rigurosa, documentada y respetuosa con los derechos fundamentales de los afectados puede marcar la diferencia entre una condena y una exención de responsabilidad. La investigación interna permite a la compañía tomar el control de la situación, adoptar medidas correctoras inmediatas y, en su caso, colaborar activamente con las autoridades.
La relación entre el canal de denuncias y las investigaciones internas es simbiótica. Un canal eficaz debe ser capaz de captar las comunicaciones relevantes, pero también debe estar integrado en un protocolo que garantice la adecuada tramitación de las denuncias, la protección del denunciante frente a represalias y la realización de las pesquisas necesarias para esclarecer los hechos. Desde la perspectiva procesal, los resultados de estas investigaciones pueden ser aportados al procedimiento penal como elementos de prueba, siempre que se respete la cadena de custodia y se garantice su obtención lícita. La colaboración empresarial, articulada a través de mecanismos de autodenuncia y cooperación efectiva con el Ministerio Fiscal, constituye además una vía para la obtención de beneficios penológicos o, incluso, para el archivo anticipado del procedimiento en fase de instrucción.
La siguiente tabla sintetiza, a modo orientativo, los principales factores que los tribunales consideran en la valoración de un programa de compliance y su peso relativo en la decisión judicial:
| Factor evaluado | Relevancia | Elementos de prueba habituales |
|---|---|---|
| Compromiso del órgano de administración | Alta | Actas del consejo, dotación presupuestaria, nombramiento del órgano de compliance. |
| Identificación de riesgos penales | Alta | Mapa de riesgos, metodología de priorización, revisiones periódicas. |
| Autonomía del órgano de compliance | Alta | Estatutos, reglamentos internos, independencia jerárquica acreditada. |
| Formación y comunicación | Media | Registros de asistencia, materiales formativos, pruebas de evaluación. |
| Canal de denuncias | Alta | Estadísticas de uso, protocolos de tramitación, garantías de confidencialidad. |
| Régimen disciplinario | Media | Expedientes sancionadores, proporcionalidad de las sanciones impuestas. |
| Verificación y actualización | Media | Informes de auditoría, certificaciones externas, modificaciones documentadas. |
La integración del cumplimiento normativo en la gobernanza corporativa de las organizaciones ha dejado de ser una opción para convertirse en una exigencia del mercado y de los distintos grupos de interés. Inversores, clientes y socios comerciales valoran cada vez más que las empresas con las que se relacionan dispongan de sistemas de compliance robustos y transparentes, que actúen como garantía de una gestión ética y responsable. En este contexto, el compliance se configura como un activo intangible de primer orden, capaz de generar ventajas competitivas y de preservar el valor reputacional de la compañía frente a crisis que, en ausencia de un sistema eficaz, podrían resultar devastadoras.
La gobernanza del cumplimiento normativo adquiere una complejidad singular en aquellos casos en los que la persona jurídica forma parte de un grupo de empresas con implantación multinacional. La articulación de las políticas de compliance en estructuras societarias complejas exige una cuidadosa delimitación de responsabilidades, una fluida comunicación entre las distintas sociedades del grupo y una adaptación de los estándares globales a las exigencias normativas locales. La determinación del perímetro de imputación penal en estos supuestos sigue siendo uno de los desafíos más importantes para la doctrina y la jurisprudencia.
La mera imputación de una persona jurídica en un procedimiento penal puede desencadenar consecuencias reputacionales de gran alcance, que en ocasiones superan incluso a las propias consecuencias punitivas. La pérdida de confianza de clientes y proveedores, la dificultad para acceder a financiación, la exclusión de licitaciones públicas y el daño a la imagen de marca son solo algunas de las repercusiones que pueden derivarse de una imputación penal. Por ello, la gestión jurídica de la crisis debe contemplar, desde el primer momento, una estrategia de comunicación que mitigue el impacto reputacional y transmita a los grupos de interés la solidez del sistema de cumplimiento de la organización.
La reparación del daño reputacional pasa necesariamente por la demostración de que la entidad ha reaccionado de manera proactiva ante la detección del ilícito. La adopción inmediata de medidas correctoras, la colaboración con las autoridades, la revisión en profundidad del modelo de compliance y, en su caso, la exigencia de responsabilidades internas son actuaciones que no solo inciden favorablemente en la valoración judicial, sino que proyectan una imagen de seriedad y responsabilidad corporativa. En última instancia, la capacidad de una organización para sobreponerse a una crisis penal está directamente relacionada con la solidez de su gobernanza y con la credibilidad de su compromiso con el cumplimiento normativo.
La problemática del compliance en los grupos de empresas presenta perfiles específicos que merecen una atención particular. La coexistencia de una matriz con personalidad jurídica propia y de filiales sometidas a su dirección económica plantea la cuestión de hasta dónde se extiende la responsabilidad penal cuando el delito se comete en una de las sociedades del grupo. La jurisprudencia ha señalado que la mera pertenencia a un grupo no es suficiente para fundar una imputación penal, pero sí puede serlo la existencia de sistemas de delegación defectuosos o la omisión de deberes de supervisión por parte de la matriz cuando esta ha asumido funciones de control del cumplimiento.
En el extremo opuesto del espectro empresarial, las pequeñas y medianas empresas afrontan el reto del cumplimiento normativo con recursos significativamente más limitados que las grandes corporaciones. El legislador ha previsto esta circunstancia al permitir que, en el caso de las personas jurídicas de pequeñas dimensiones, las funciones de supervisión del modelo de prevención puedan ser asumidas directamente por el órgano de administración. No obstante, esta posibilidad no exime a las pymes de la obligación de diseñar e implantar un programa de compliance eficaz. La clave para estas organizaciones reside en la proporcionalidad: un modelo simplificado pero genuino, adaptado a su perfil de riesgo real, resultará siempre más eficaz que un programa sofisticado pero ajeno a su realidad operativa.
El cumplimiento normativo no es un formalismo burocrático, sino una herramienta de protección fundamental para cualquier empresa. Contar con un programa de prevención de delitos a medida, que realmente funcione en el día a día, puede evitar que la organización se enfrente a responsabilidades penales de graves consecuencias económicas y reputacionales. Lo esencial es entender que no se trata de tener un documento guardado en un cajón, sino de construir una cultura ética que impregne todas las decisiones de la empresa, desde las más estratégicas hasta las más cotidianas.
La inversión en compliance debe contemplarse como un seguro frente a riesgos que, de materializarse, pueden comprometer la propia viabilidad de la organización. La designación de una persona o equipo responsable, la formación de los empleados y la existencia de un canal para comunicar irregularidades con total confidencialidad son medidas al alcance de cualquier empresa, también de las más pequeñas. La transparencia y la proactividad en la gestión de estos riesgos no solo protegen legalmente, sino que generan confianza en clientes, proveedores e inversores, convirtiéndose en un factor diferencial en mercados cada vez más competitivos y exigentes.
La consolidación de la doctrina jurisprudencial en materia de responsabilidad penal de las personas jurídicas exige un replanteamiento profundo de la forma en que se diseñan, implementan y evalúan los programas de cumplimiento normativo. La superación del enfoque meramente formalista y la adopción de una perspectiva centrada en la eficacia real del sistema se han convertido en exigencias ineludibles para cualquier operador jurídico. Los criterios de valoración judicial, cada vez más sofisticados, obligan a las organizaciones a documentar exhaustivamente todos los elementos del programa, desde el análisis de riesgos hasta las auditorías de verificación, pasando por la acreditación de la formación continua y la independencia efectiva del órgano de compliance.
El futuro de los programas de cumplimiento pasa por su integración plena en la gobernanza corporativa y por la articulación de mecanismos que incentiven la colaboración empresarial con las autoridades. La posible introducción de sistemas de homologación o certificación previa de los modelos de compliance, la revisión del estándar probatorio en fase de instrucción y el fortalecimiento de los mecanismos de autodenuncia y cooperación efectiva son líneas de evolución normativa que merecen un seguimiento atento. En este contexto, la labor del abogado interno y externo adquiere una dimensión estratégica que trasciende la mera defensa procesal para adentrarse en el asesoramiento preventivo y en la configuración de una auténtica cultura corporativa de cumplimiento.
Especialista en derecho civil, penal y administrativo. Servicio jurídico adaptado a tus necesidades, garantizando atención personalizada y soluciones eficaces.
