Programa de compliance penal: cómo proteger a su empresa

Un programa de compliance penal es el conjunto de políticas, procedimientos, controles y medidas organizativas con el que una empresa identifica, previene y detecta el riesgo de que se cometan delitos en su seno. Es la principal herramienta de defensa de la persona jurídica: si se adoptó y ejecutó con eficacia antes del delito, puede eximirla de responsabilidad penal (art. 31 bis.2 y 4 del Código Penal), y si se implanta después, antes del juicio oral, puede atenuar la pena (art. 31 quater). Esta guía explica cuándo responde penalmente una empresa, qué exige la ley a un modelo de prevención, cómo implantarlo y qué ha dicho el Tribunal Supremo.

Qué es y qué no es un programa de compliance penal

El compliance penal no equivale al cumplimiento normativo general, que abarca todas las obligaciones de la empresa (fiscales, laborales, medioambientales, de protección de datos o de contratación pública; sobre esa vertiente puede verse la guía de compliance fiscal y mercantil para empresas). Se ocupa solo de los delitos por los que el Código Penal prevé expresamente la responsabilidad de la persona jurídica, porque el art. 31 bis.1 se aplica únicamente «en los supuestos previstos en este Código»: entre otros, el cohecho y la corrupción en los negocios, el blanqueo de capitales, los delitos contra la Hacienda Pública (art. 310 bis), la estafa (art. 251 bis), el alzamiento de bienes (art. 258 ter), determinados delitos informáticos o los previstos en los arts. 318 bis, 328 y 427 bis. Los delitos contra los derechos de los trabajadores no están en ese catálogo: el art. 318 CP impone la pena a los administradores o encargados responsables y permite aplicar a la empresa las consecuencias accesorias del art. 129, pero no la hace responsable por la vía del art. 31 bis.

Tampoco es un documento para el cajón. Un manual que nadie ha leído, un canal de denuncias que nadie conoce o un código de conducta que nadie ha firmado no exoneran a la empresa e incluso pueden interpretarse como indicio de que conocía los riesgos y no actuó. El Código Penal exige que el modelo se haya «adoptado y ejecutado con eficacia» antes del delito: importa su funcionamiento real, no su existencia formal.

Cuándo responde penalmente una empresa

La persona jurídica responde de los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, por sus representantes legales o por quienes están autorizados para decidir en su nombre u ostentan facultades de organización y control (art. 31 bis.1.a CP); y de los cometidos en el ejercicio de actividades sociales, por su cuenta y en su beneficio, por quienes, sometidos a la autoridad de aquellos, han podido realizar los hechos porque se incumplieron gravemente los deberes de supervisión, vigilancia y control (art. 31 bis.1.b).

No es una responsabilidad automática ni vicarial. Desde la STS 154/2016, de 29 de febrero, dictada por el Pleno, el Tribunal Supremo sostiene que la empresa responde por el hecho propio —su defecto organizativo—, no por el delito ajeno; la STS 516/2016, de 13 de junio, habla de un sistema de autorresponsabilidad en el que la responsabilidad de la persona física y la de la jurídica son independientes (art. 31 ter CP), y la STS 165/2020, de 19 de mayo, recuerda que «no es posible un régimen de responsabilidad objetiva, y que su fundamento se residencia en la falta de control y de vigilancia». La STS 154/2016 llegó a afirmar que «la presencia de adecuados mecanismos de control lo que supone es la inexistencia misma de la infracción». Y la STS 455/2017, de 21 de junio, señaló que cada una responde por su propio título de imputación.

La STS 298/2024, de 8 de abril, sistematiza los cuatro elementos que deben concurrir:

«La responsabilidad penal de una persona jurídica además de un elemento nuclear positivo (comisión de un delito por quien actúa como directivo o empleado del ente) (i), otro normativo (que se trate de uno de los delitos en que está prevista esa posible responsabilidad) (ii) y otro negativo (que no esté implantado un plan de cumplimiento eficaz que haya tenido que ser burlado para la actuación delictiva del agente) (iii), reclama un elemento accesorio que es pieza imprescindible: el delito, objetivamente considerado y con independencia del móvil del agente, ha de redundar en beneficio directo o indirecto de la persona jurídica (iv).»

• Elemento positivo: un delito cometido por una persona física vinculada al ente en los términos del art. 31 bis.1. «Cometer» abarca todas las formas de participación, también la cooperación necesaria.
• Elemento normativo: que el delito sea uno de los que admiten responsabilidad de la persona jurídica (numerus clausus).
• Elemento negativo o defecto organizativo: que el delito haya sido posible por un defecto estructural en los mecanismos de prevención exigibles, es decir, por un incumplimiento grave de los deberes de supervisión, vigilancia y control.
• Beneficio: el delito concreto debe haber redundado en beneficio directo o indirecto de la persona jurídica; no basta un provecho genérico de la actividad de sus administradores ni de operaciones anteriores o colaterales.

Como presupuesto previo, la empresa debe tener complejidad organizativa suficiente para ser imputable: según la STS 894/2022, de 11 de noviembre, faltando esa complejidad «ni siquiera cabría apreciar la culpabilidad que derivaría del incumplimiento de unos deberes de supervisión y control».

Quién debe probar el defecto organizativo

La presunción de inocencia ampara también a la persona jurídica. El Tribunal Supremo exige a la acusación acreditar, además del delito de la persona física, un defecto estructural en los mecanismos de prevención exigibles a la empresa: una vez probado aquel, «el desafío probatorio del Fiscal no puede detenerse ahí. Lo impide nuestro sistema constitucional» (STS 221/2016, de 16 de marzo, ROJ STS 966/2016). La STS 949/2022, de 13 de diciembre, añade que todos los elementos deben debatirse, probarse y declararse expresamente en los hechos probados, y que «la simple condición de ejercer facultades de dirección o de gestión dentro de la empresa o de actuar bajo la autoridad de éstas no es suficiente para hacer responsable a la persona jurídica de los actos de tales personas».

Hay, sin embargo, un matiz relevante. La STS 298/2024 entiende que, al tratarse de un elemento negativo, la carga de alegar la existencia de un programa recae en principio en la defensa: si esta no aporta ni menciona ninguno, puede tenerse por acreditado que no existía, sin que ello suponga invertir la carga de la prueba ni excluir el principio in dubio. La consecuencia práctica es clara: la falta de compliance no es una ventaja procesal, y el programa que existe debe invocarse.

Jurisprudencia de referencia

Sentencias públicas de otros procedimientos, seleccionadas como referencia; no son asuntos de este despacho. El resultado de cada caso depende de sus circunstancias.

• STS 496/2026, de 13 de julio (ROJ: STS 3583/2026; ECLI:ES:TS:2026:3583; recurso 1494/2023; ponente: Susana Polo García). Fraude de IVA en carrusel en el mercado de hidrocarburos. La Sala de Apelación de la Audiencia Nacional (sentencia 2/2023, de 7 de febrero) había confirmado la condena de una operadora con siete trabajadores, el capital exigido para operar en ese mercado y actividad comercial real, junto con la de su administrador, socio del 96 %. El Supremo declaró no haber lugar a los recursos. Distinguió entre las sociedades pantalla, que quedan fuera del art. 31 bis CP y frente a las que procede el levantamiento del velo, y las sociedades con sustrato real, que sí pueden responder penalmente. La operadora «no tenía mecanismo de control o supervisión alguno», y el Supremo compartió que esos mecanismos deben existir «incluso en casos de empresas de pequeñas dimensiones». Rechazó también que la doble condena vulnerara el non bis in idem: el art. 31 ter CP obliga a modular las multas para que su suma no sea desproporcionada, y aquí la multa ya se había compensado.
• STS 768/2025, de 25 de septiembre (ROJ: STS 4223/2025; ECLI:ES:TS:2025:4223; recurso 1008/2023; ponente: Andrés Palomo del Arco). La Audiencia Provincial de Ciudad Real (Sección 2.ª, sentencia 16/2022, de 10 de mayo) había condenado a una sociedad y a su administradora única por un delito continuado de estafa (arts. 248.1, 250.1.5.ª, 251 bis y 74 CP): la sociedad, a una multa de 197.055 euros y a la prohibición de realizar actividades de formación y promoción de comercio electrónico durante dos años; la administradora, a dos años de prisión. Tras la apelación ante el Tribunal Superior de Justicia de Castilla-La Mancha (sentencia 1/2023, de 17 de enero), el Supremo confirmó la condena de la administradora, pero absolvió a la sociedad, porque los hechos probados solo decían que la autora era su administradora y socia mayoritaria y actuó en su beneficio, algo «harto insuficiente»: «No basta para condenar a la persona jurídica, acreditar el delito de la persona física. Ningún defecto organizativo, se alega ni se acredita».
• STS 836/2025, de 14 de octubre (ROJ STS 4357/2025, ECLI:ES:TS:2025:4357; ponente: Andrés Martínez Arrieta). Frank y Willy, S.L. había sido condenada por alzamiento de bienes (arts. 257 y 258 ter CP) junto con su administrador único y la esposa de este, a la que el administrador vendió por un precio ficticio una plaza de aparcamiento, único bien de la sociedad libre de cargas, mientras una comunidad de propietarios le reclamaba 5.323,58 euros (Juzgado de lo Penal n.º 5 de Alicante, sentencia 261/2021, de 30 de junio, confirmada por la Sección Décima de la Audiencia Provincial de Alicante, sentencia 420/2022, de 2 de diciembre). Aunque la casación frente a sentencias de apelación solo cabe por infracción de ley (art. 849.1 LECrim), el Supremo absolvió a la sociedad porque «el hecho probado no refiere absolutamente nada que le sea imputable a esta persona», y mantuvo la condena de las personas físicas.
• STS 298/2024, de 8 de abril (ROJ STS 1932/2024, ECLI:ES:TS:2024:1932; ponente: Antonio del Moral García). La Audiencia Provincial de Castellón (Sección Primera, sentencia de 7 de junio de 2021) había condenado por delito fiscal a una persona física que ocultó en su IRPF de 2012 ingresos con una cuota defraudada de 288.253,60 euros y, con base en los arts. 31 bis y 310 bis CP, a tres sociedades vinculadas: KYZ Profesionales, S.L., que abonó 577.710 euros encubiertos mediante un contrato simulado; Ópalo Interiores, S.L., de la que el acusado era socio mayoritario, y Construcciones Miguel Rebollo, S.L., que pagó 24.975,79 euros. El Supremo las absolvió porque el beneficio «ha de estar asociado al delito»: «No basta que el beneficio aparezca de alguna forma relacionado con actuaciones anteriores que hayan revestido interés crematístico para la empresa». Para Ópalo, que más bien sufrió un perjuicio, consideró además «muy difícilmente aceptable» su condena superpuesta a la de sus dos únicos socios, con cita de la STS 747/2022, de 27 de julio, por el non bis in idem. A la vez, tuvo por acreditado el elemento negativo porque «nada se consignaba en los escritos de defensa de las personas jurídicas en relación a programas de cumplimiento normativo».
• SAP Zaragoza (Sección 1.ª) 236/2024, de 26 de junio (ROJ SAP Z 1831/2024, ECLI:ES:APZ:2024:1831; ponente: María Soledad Alejandre Domenech). Sentencia de conformidad (art. 787 LECrim) en la que Chemieuro SL, acusada de un delito contra la Hacienda Pública (art. 305 CP) por el IVA de 2015, con una cuota de 128.248,94 euros y sin programa de compliance al tiempo de los hechos, aceptó una calificación con la atenuante del art. 31 quater. Antes del juicio oral había adaptado su canal de denuncias a la Ley 2/2023 e iniciado la auditoría para la certificación UNE 19601:2017, y había consignado la cuota más 40.972,72 euros de intereses. Fue condenada a una multa de 32.062,23 euros (el 25 % de la cuota) y a la pérdida durante un año de la posibilidad de obtener subvenciones y beneficios fiscales o de la Seguridad Social, frente a la multa del tanto al doble y la pérdida de tres a seis años que prevé el art. 310 bis CP cuando el delito de la persona física tiene prevista prisión de más de dos años. Al ser una conformidad, no analiza la eficacia de las medidas ni explica la individualización de la pena, que no puede atribuirse solo al compliance.
• STS 894/2022, de 11 de noviembre (ROJ STS 4116/2022, ECLI:ES:TS:2022:4116; ponente: Ángel Luis Hurtado Adrián). Absolvió a una sociedad de mínima complejidad y vinculó la imputabilidad corporativa a «criterios de complejidad y estructura organizativa interna (que la puede haber en sociedades unipersonales)», más que al carácter unipersonal de la sociedad.

Exención y atenuante: qué puede lograr el programa

La exención elimina la responsabilidad penal de la empresa. Si el delito lo comete un administrador o directivo, el art. 31 bis.2 CP exige un modelo adoptado y ejecutado con eficacia antes del delito, supervisado por un órgano autónomo, que el autor haya eludido fraudulentamente y sin omisión o ejercicio insuficiente de la supervisión. Si lo comete un empleado, basta un modelo adecuado adoptado y ejecutado eficazmente antes del delito (art. 31 bis.4).

La atenuación opera en dos supuestos. El primero, cuando esas condiciones solo pueden acreditarse parcialmente (art. 31 bis.2, último párrafo, y 31 bis.4, segundo párrafo). El segundo, el art. 31 quater, que recibió su numeración actual con la LO 1/2015 (antes figuraba en el art. 31 bis.4, introducido por la LO 5/2010) y admite como atenuantes solo cuatro actividades posteriores al delito; su letra d) se refiere a haber establecido, antes del comienzo del juicio oral, «medidas eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica». Su lógica es incentivar que la empresa corrija sus deficiencias aunque el delito ya se haya cometido, incluso con el procedimiento iniciado. Las medidas deben ser eficaces y verificables, no una declaración formal; y si la empresa carece de complejidad organizativa, la cuestión no es la atenuante, sino la exclusión de su responsabilidad.

La diferencia práctica es enorme: con la exención la empresa no es condenada; con la atenuante lo es, pero con una pena reducida.

Los seis requisitos del modelo (art. 31 bis.5 CP)

Los modelos con efecto eximente deben cumplir seis requisitos acumulativos:

1. Identificación de las actividades de riesgo. El programa parte de un mapa de riesgos penales que analice actividades, procesos, relaciones con terceros y entorno para detectar dónde podría cometerse cada delito del catálogo. No puede ser genérico ni de plantilla: una constructora no tiene los riesgos de una tecnológica o de un despacho profesional. Debe actualizarse cuando cambian la actividad, la organización o la regulación.
2. Protocolos de formación de la voluntad corporativa. Procedimientos documentados sobre cómo se adoptan las decisiones en los ámbitos de riesgo: autorización de pagos a intermediarios, due diligence de clientes y proveedores, aprobación de gastos de representación, donativos, patrocinios y contribuciones políticas. Ninguna decisión con potencial penal debería depender de una sola persona sin controles cruzados.
3. Gestión de los recursos financieros. Segregación entre quien autoriza y quien ejecuta un pago, control del efectivo, trazabilidad de operaciones con partes vinculadas, facturación que impida facturas falsas y auditorías de los circuitos de mayor riesgo, integradas en los sistemas contables.
4. Deber de informar al órgano de cumplimiento. Empleados, directivos y colaboradores deben comunicar los indicios de delito o de incumplimiento del programa. El cauce habitual es el canal de denuncias, de modo que su integración cumple a la vez la Ley 2/2023 y el art. 31 bis.5.4.º CP.
5. Sistema disciplinario. El incumplimiento de las políticas debe constituir infracción laboral con sanciones proporcionadas, aplicadas sin excepciones para la alta dirección: si se sanciona aceptar un regalo por encima de cierto importe, la regla vale igual para el comercial júnior que para el director de ventas. Una doble vara de medir destruye la credibilidad del programa y su efecto eximente.
6. Verificación periódica y actualización. El modelo debe revisarse periódicamente y modificarse cuando se descubran infracciones relevantes o cambien la organización, la estructura de control o la actividad (art. 31 bis.5.6.º). La ley no fija periodicidad; como buena práctica, conviene una auditoría al menos anual y revisar el mapa de riesgos ante nuevas actividades, mercados, cambios legales o jurisprudenciales.

El órgano de cumplimiento o compliance officer

La supervisión del modelo debe confiarse a un órgano de la persona jurídica con poderes autónomos de iniciativa y control, o que tenga encomendada legalmente la supervisión de los controles internos (art. 31 bis.2, condición 2.ª, CP). En las personas jurídicas de pequeñas dimensiones —las autorizadas a presentar cuenta de pérdidas y ganancias abreviada— puede asumirla el propio órgano de administración (art. 31 bis.3). En la práctica se le llama compliance officer, responsable o comité de cumplimiento.

Sus funciones esenciales son supervisar el programa, gestionar las comunicaciones del canal de denuncias, investigar incidentes, mantener el mapa de riesgos, formar e informar a la plantilla y reportar periódicamente al órgano de administración. En cotizadas y grandes corporaciones lo razonable es una figura interna de alto nivel; en las pymes puede apoyarse en abogados o consultores externos para tareas concretas, teniendo presente que el Código Penal habla de un órgano «de la persona jurídica» y que la supervisión no puede desplazarse por completo fuera de ella (sobre esta opción, véase la guía del compliance officer externo). Su independencia debe ser real: un responsable que solo puede actuar con la aprobación del administrador al que investiga no cumple la exigencia de autonomía. Se garantiza con acceso directo al consejo de administración, protección frente al cese por ejercer sus funciones y recursos propios.

La norma UNE 19601

La UNE 19601, publicada en 2017 como «Sistemas de gestión de compliance penal. Requisitos con orientación para su uso», es el estándar técnico español de referencia. Su certificación no es obligatoria. Emitida por una entidad acreditada, aporta la evaluación de un tercero independiente y puede presentarse en un proceso penal como un elemento más, pero no acredita por sí sola la eficacia del modelo: lo que se valora es si funcionaba y era idóneo para prevenir el delito concreto. Sigue la estructura común de las normas ISO de sistemas de gestión, lo que facilita combinarla con la ISO 37301 (que sustituyó a la ISO 19600), y aplica un ciclo PDCA: contexto y partes interesadas, evaluación de riesgos, controles, formación y comunicación, gestión de incidentes y mejora continua.

El canal de denuncias como pieza del programa

Sin un mecanismo eficaz de comunicación interna, el órgano de cumplimiento no tiene información para actuar. El canal es obligatorio por la Ley 2/2023 para las empresas del sector privado con cincuenta o más trabajadores (sus requisitos se detallan en la guía sobre el canal de denuncias obligatorio); por debajo de ese umbral, adoptarlo voluntariamente puede ayudar a acreditar medidas eficaces ante un tribunal. Su integración debe ser real: cada comunicación debe activar un protocolo de investigación interna, los resultados deben alimentar el mapa de riesgos y la gestión del canal debe auditarse. Un canal sin comunicaciones durante años no indica que la empresa sea perfecta, sino quizá que la plantilla no confía en él o no sabe que existe.

Cómo implantar un programa: cinco fases

1. Diagnóstico inicial: qué documentos existen (código de conducta, políticas, procedimientos), si hay canal operativo, qué controles financieros funcionan y si ha habido incidentes, para medir la distancia con el art. 31 bis CP.
2. Evaluación de riesgos: para cada proceso y cada tipo de relación (empleados, directivos, proveedores, clientes, administraciones), probabilidad e impacto de cada delito del catálogo y controles existentes. El resultado es una matriz de riesgos inherentes y residuales que fija prioridades.
3. Diseño del modelo: código de conducta, políticas por riesgo (anticorrupción, antisoborno, prevención del blanqueo, conflictos de interés), procedimientos operativos, matriz de autorizaciones y protocolo de investigación interna, coherentes entre sí y con la realidad de la empresa.
4. Implantación y formación: un programa que nadie conoce no existe a efectos penales. La empresa debe poder acreditar que su personal conoce el programa, ha firmado el código de conducta, ha recibido formación periódica adaptada a los riesgos de su puesto y sabe usar el canal.
5. Supervisión y mejora continua: indicadores del programa, gestión de incidentes, auditorías, revisión del mapa de riesgos y actualización documental. El informe anual al órgano de administración cierra el ciclo y acredita que el programa está vivo.

Para una primera aproximación, el test de compliance penal para empresas ayuda a identificar las áreas que requieren atención. Para diseñar o revisar un modelo, el despacho presta asesoramiento en compliance penal para empresas, y la consulta puede plantearse a través de la página de contacto.

Preguntas frecuentes

¿Es obligatorio el compliance penal?

No existe en la legislación española una obligación general de implantarlo. Pero, como la empresa responde por su defecto de organización y control, carecer de programa la priva de la principal causa de exención cuando un directivo o empleado comete un delito del catálogo. Para una empresa con exposición real a esos riesgos, la pregunta no es si debe tenerlo, sino cuándo.

¿Un programa exonera siempre a la empresa?

No. Los tribunales analizan si los controles eran idóneos para prevenir el delito concreto, si el órgano de cumplimiento tenía autonomía real, si la formación era adecuada y si el sistema disciplinario se aplicó con coherencia. Un programa bien diseñado pero mal implantado puede no ser reconocido.

¿Cuánto cuesta implantarlo?

Depende del tamaño de la empresa, de la complejidad de su actividad, del grado de madurez del que parte y del alcance del encargo. La comparación relevante es con el coste de una investigación o una condena penal: defensa en un proceso complejo, tiempo del equipo directivo, daño reputacional, posible inhabilitación para contratar con la Administración y riesgo de medidas cautelares que paralicen la actividad.

Valoración del despacho

El mayor riesgo de un programa de compliance penal no es la falta de documentos, sino la falta de vida. El modelo se juzga a posteriori, cuando ya se ha cometido un delito, y la empresa tendrá que demostrar que antes funcionaba: que el mapa de riesgos respondía a su actividad real, que la formación se impartió y puede acreditarse, que el canal se utilizaba y que las infracciones se sancionaban también en los niveles directivos. Por eso conviene empezar por un diagnóstico honesto de los riesgos concretos, no por una plantilla, y dimensionar el programa a la empresa; en una pyme, el órgano de administración puede asumir la supervisión, pero debe dejar rastro documental de que la ejerce. La certificación UNE 19601 es útil como herramienta de gestión y de prueba, pero no sustituye la eficacia real, y el sistema interno de información de la Ley 2/2023 debe integrarse en el programa y no gestionarse como una obligación aislada. Ningún programa garantiza que la empresa no será investigada; su función es reducir el riesgo y permitir acreditar la diligencia debida, para lo que conviene conservar documentación fechada: mapa de riesgos, protocolos, actas, registros del canal, formación y medidas disciplinarias.

Si la empresa llega a un procedimiento, la jurisprudencia ofrece argumentos de defensa que deben plantearse desde el escrito de defensa, y no reservarse para la casación: que el relato acusatorio describa y la prueba acredite un defecto organizativo concreto (qué controles faltaban, quién debía supervisar y por qué eso hizo posible el delito), sobre todo en sociedades con administrador único y socio mayoritario; que los hechos probados declaren uno por uno los elementos del art. 31 bis, y que el beneficio derive del delito mismo y no de la mera relación económica con su autor, algo decisivo en los fraudes fiscales de socios o directivos. Pero no conviene sobrevalorar estas sentencias: no premian la falta de compliance, y una estrategia abstencionista es arriesgada, porque el silencio sobre el programa puede llevar a tenerlo por inexistente. El modelo debe aportarse y explicarse desde el primer momento, y hay que valorar si los intereses de la sociedad y los de su administrador coinciden realmente, porque sus estrategias de defensa pueden ser distintas.

Cuando la empresa llega al proceso sin modelo previo, merece la pena trabajar desde el inicio en medidas reales y documentadas —canal conforme a la Ley 2/2023, mapa de riesgos, protocolos, sistema disciplinario y, en su caso, auditoría externa— acreditables con certificados antes del juicio oral, que pueden reforzar una conformidad o sostener la atenuante del art. 31 quater. La SAP de Zaragoza de 2024 debe leerse con prudencia, por ser una conformidad en la que además se reparó el perjuicio, y lo que no resiste el escrutinio de la acusación son los documentos elaborados a última hora sin implantación efectiva.