Abogado compliance para empresas en Madrid

Las empresas están expuestas a riesgos penales. Desde la reforma del Código Penal de 2010 (ampliada en 2015), las personas jurídicas pueden ser declaradas penalmente responsables por delitos cometidos por sus directivos o empleados. Un programa de compliance penal eficaz, adoptado y ejecutado antes del delito, puede eximir de esa responsabilidad (art. 31 bis 2 y 4 CP); si solo se acredita parcialmente, o si se implanta después del delito y antes del juicio oral, puede atenuarla (arts. 31 bis 2 y 31 quater d) CP). Y desde 2023, todas las empresas con 50 o más trabajadores están obligadas a implantar un canal de denuncias interno.

DomínGlez es un despacho de abogados en Madrid dedicado a compliance corporativo. Asesoramos a empresas en el diseño e implantación de programas de cumplimiento normativo, canales de denuncias internos y modelos de prevención de delitos adaptados a su actividad y tamaño.

Compliance penal: la responsabilidad de la empresa

El artículo 31 bis del Código Penal establece que, en los delitos en que el Código lo prevé, las personas jurídicas responden penalmente de los cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, por sus representantes legales o administradores, así como de los cometidos por empleados sometidos a la autoridad de estos cuando hayan podido realizar los hechos «por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad atendidas las concretas circunstancias del caso». Las penas pueden llegar a la disolución de la empresa, la suspensión de sus actividades hasta cinco años o multas por cuotas de hasta cinco años de duración (con una cuota diaria de 30 a 5.000 euros) o proporcionales (arts. 33.7 y 50 CP).

Sin embargo, la propia ley prevé una eximente completa: si la empresa tenía implantado un programa de compliance eficaz antes de la comisión del delito, puede quedar exenta de responsabilidad penal. El Tribunal Supremo ha precisado que la acusación debe probar no solo el delito de la persona física, sino también el «defecto organizativo» de la persona jurídica, es decir, la ausencia o ineficacia de los mecanismos de prevención (STS 221/2016, de 16 de marzo, ECLI:ES:TS:2016:966). La STS 298/2024, de 8 de abril (ECLI:ES:TS:2024:1932), matiza que la carga de alegar la existencia del programa de cumplimiento recae, en principio, en la defensa: si no lo alega ni aporta prueba, puede entenderse que no existía.

Entre los delitos por los que puede responder la persona jurídica figuran: estafas y fraudes (art. 248-251 CP), insolvencias punibles y alzamiento de bienes (art. 257-261 bis CP), delitos contra la Hacienda Pública y la Seguridad Social (art. 305-310 CP), blanqueo de capitales (art. 301 CP), cohecho (arts. 419-427 bis CP) y corrupción en los negocios (art. 286 bis CP). En los delitos contra los derechos de los trabajadores (arts. 311-318 CP) no rige el art. 31 bis: se castiga a los administradores o encargados responsables y el juez puede imponer a la empresa las consecuencias accesorias del art. 129 CP (art. 318 CP).

Canal de denuncias: obligación legal desde 2023

La Ley 2/2023, de 20 de febrero, transpone la Directiva europea de protección del informante y obliga a las empresas con 50 trabajadores y a todas las que tengan más de 50 trabajadores a implantar un sistema interno de información (canal de denuncias). El plazo de implantación ya ha vencido, y las sanciones por incumplimiento pueden alcanzar el millón de euros para infracciones muy graves.

El canal debe cumplir requisitos específicos: garantizar la confidencialidad del informante, emitir acuse de recibo en 7 días naturales, proporcionar respuesta motivada en un plazo máximo de 3 meses, y permitir denuncias anónimas. Las represalias contra el denunciante están expresamente prohibidas y sancionadas.

Consulte la guía completa sobre el canal de denuncias obligatorio.

Sectores con obligaciones especiales de compliance

Además de la responsabilidad penal corporativa (aplicable a todas las empresas), determinados sectores tienen obligaciones de cumplimiento normativo reforzadas:

Sector financiero y asegurador: las entidades financieras están sujetas a la normativa de prevención de blanqueo de capitales (Ley 10/2010), que exige identificación de clientes (KYC), análisis de riesgos, comunicación de operaciones sospechosas al SEPBLAC y designación de un representante ante el servicio ejecutivo.

Sector alimentario: las empresas de la cadena alimentaria deben cumplir con la Ley 12/2013, de medidas para mejorar el funcionamiento de la cadena alimentaria (reformada por la Ley 16/2021), que impone contratos escritos obligatorios, prohibición de prácticas comerciales desleales y régimen sancionador propio.

Contratación pública: las empresas que contratan con la administración están sujetas a obligaciones de transparencia y cumplimiento reforzadas bajo la Ley 9/2017 de Contratos del Sector Público. Además, acreditar medidas técnicas, organizativas y de personal apropiadas para evitar futuras infracciones puede evitar que se declare una prohibición de contratar en los supuestos del art. 72.5 LCSP. Consulte nuestro servicio de asesoramiento en contratación pública.

Protección de datos: todas las empresas que tratan datos personales deben cumplir el RGPD y la LOPDGDD. Las sanciones de la AEPD pueden alcanzar el 4% de la facturación anual o 20 millones de euros, lo que resulte superior.

Transporte y logística: las empresas del sector transporte tienen obligaciones específicas en materia de tiempos de conducción y descanso, tacógrafo digital y autorizaciones administrativas.

¿Qué incluye un programa de compliance eficaz?

La norma UNE 19601 establece los requisitos para un sistema de gestión de compliance penal en España. Un programa eficaz debe incluir los siguientes elementos:

1. Mapa de riesgos penales

Identificación y evaluación de los delitos a los que está expuesta la empresa según su actividad, sector, tamaño, estructura organizativa, territorio y relaciones comerciales. Cada riesgo se evalúa por probabilidad de ocurrencia e impacto potencial, y se priorizan las medidas de control.

2. Código ético y protocolos de actuación

Normas de conducta claras para directivos y empleados, con procedimientos concretos para situaciones de riesgo: política de regalos y atenciones, gestión de conflictos de interés, operaciones con partes vinculadas, protección de datos, uso de recursos corporativos y relaciones con la administración pública.

3. Canal de denuncias interno

Sistema confidencial para que empleados, proveedores y terceros puedan informar de irregularidades sin temor a represalias. Desde la Ley 2/2023, debe cumplir requisitos específicos de confidencialidad, plazos de respuesta y protección del informante.

4. Compliance officer u órgano de cumplimiento

Responsable o comité encargado de supervisar el funcionamiento del programa, con autonomía, independencia y acceso directo al órgano de administración. El compliance officer debe tener autoridad suficiente para investigar, acceder a información y proponer medidas disciplinarias. En empresas de menor tamaño, esta función puede externalizarse en un compliance officer externo.

5. Formación continua

Programas de formación periódica para que todos los niveles de la organización conozcan las normas, los protocolos y las consecuencias de su incumplimiento. La formación debe documentarse y actualizarse cuando cambie la normativa o la actividad de la empresa.

6. Supervisión y mejora continua

Auditorías internas periódicas del programa, revisión de indicadores de riesgo, actualización del mapa de riesgos y adaptación a cambios normativos. Un programa de compliance que no se revisa pierde eficacia ante los tribunales.

Compliance officer externo: cuándo y por qué

Las empresas que no tienen estructura suficiente para mantener un compliance officer interno pueden externalizar esta función. La externalización ofrece varias ventajas: independencia real respecto de la dirección, especialización actualizada, coste predecible (frente a un puesto a jornada completa) y experiencia transversal en múltiples sectores.

Como compliance officer externo, asumimos las funciones de supervisión del programa, gestión del canal de denuncias, investigación de irregularidades, formación del personal y reporting periódico al órgano de administración. La iguala jurídica es la fórmula más habitual para este servicio.

¿Necesita mi empresa un programa de compliance?

Si su empresa tiene 50 o más trabajadores, la implantación del canal de denuncias ya es obligatoria por ley y el incumplimiento puede acarrear sanciones de hasta un millón de euros. Cualquier empresa, con independencia de su tamaño, se beneficia de un programa de compliance penal: es la única vía para eximir la responsabilidad penal corporativa.

Indicadores de que su empresa necesita compliance: opera en un sector regulado, tiene relaciones comerciales internacionales, contrata con la administración pública, gestiona datos personales sensibles, o ha crecido sin formalizar sus procedimientos internos.

Haga el test gratuito de compliance o el test de canal de denuncias para evaluar su situación. También puede solicitar una consulta preliminar.

Preguntas frecuentes sobre compliance empresarial

¿Desde qué tamaño de empresa es obligatorio el compliance?

El canal de denuncias es obligatorio para empresas con 50 o más trabajadores (art. 10.1.a de la Ley 2/2023). Sin embargo, el programa de compliance penal es recomendable para cualquier empresa, ya que es la única forma de eximir la responsabilidad penal corporativa prevista en el artículo 31 bis del Código Penal.

¿Cuánto cuesta implantar un programa de compliance?

El coste depende del tamaño de la empresa, su sector y la complejidad de sus operaciones. Para una PYME, la implantación inicial del programa completo (mapa de riesgos, protocolos, canal de denuncias, formación) puede realizarse en 2-4 meses. El mantenimiento posterior como compliance officer externo se estructura mediante iguala jurídica con cuota mensual o trimestral.

¿Qué pasa si mi empresa no tiene canal de denuncias?

No disponer del Sistema interno de información es infracción muy grave cuando es dolosa (art. 63.1.g de la Ley 2/2023), sancionable a la empresa con multa de 600.001 a 1.000.000 € (art. 65.1.b); si no se aprecia dolo, puede calificarse como leve, con multa de hasta 100.000 € (arts. 63.3.c y 65.1.b). Además, la ausencia de canal de denuncias debilita cualquier programa de compliance frente a los tribunales penales, ya que es uno de los elementos que el juez valora para determinar si el programa era eficaz.

¿Puede un abogado externo ser compliance officer?

Sí. La externalización del compliance officer es habitual en PYMEs y empresas de tamaño medio. El Código Penal no exige que sea un empleado: exige que la supervisión del modelo se confíe a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control (art. 31 bis 2.2.ª CP), que puede apoyarse en profesionales externos; en las personas jurídicas de pequeñas dimensiones, esa función puede asumirla el propio órgano de administración (art. 31 bis 3 CP).