Este cuestionario revisa si su empresa cuenta con los elementos que el artículo 31 bis del Código Penal exige a los modelos de organización y gestión para la prevención de delitos. Responda a las 10 preguntas y obtendrá una relación de los puntos cubiertos y de los que conviene revisar. Es una orientación: no mide la eficacia real del modelo ni anticipa si un tribunal apreciaría la exención.
Aviso: resultado orientativo, basado solo en sus respuestas. No es asesoramiento jurídico ni sustituye el análisis individualizado del programa de cumplimiento de su empresa.
¿Qué es el compliance penal y por qué importa a su empresa?
El compliance penal (programa de cumplimiento normativo penal o modelo de prevención de delitos) es el conjunto de medidas internas que una organización adopta para prevenir la comisión de delitos en su seno y, si llegan a producirse, detectarlos y reaccionar.
Desde la LO 5/2010, las personas jurídicas pueden ser penalmente responsables de los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, por sus representantes legales o por quienes tienen facultades de decisión, organización o control, así como de los cometidos por empleados sometidos a su autoridad cuando estos hayan incumplido gravemente los deberes de supervisión, vigilancia y control (art. 31 bis.1 CP). La LO 1/2015 reguló los modelos de organización y gestión que permiten a la empresa quedar exenta de esa responsabilidad o, si solo se acreditan en parte, atenuarla.
Condiciones de la exención y requisitos del modelo
Si el delito lo cometen representantes o directivos, la exención exige que el órgano de administración haya adoptado y ejecutado con eficacia, antes del delito, un modelo con medidas de vigilancia y control idóneas; que su supervisión se haya confiado a un órgano con poderes autónomos de iniciativa y control; que los autores hayan eludido fraudulentamente el modelo, y que ese órgano no haya omitido o ejercido de forma insuficiente sus funciones (art. 31 bis.2 CP). Si el delito lo comete un empleado, basta un modelo adecuado adoptado y ejecutado eficazmente antes del delito (art. 31 bis.4 CP).
El modelo debe cumplir seis requisitos (art. 31 bis.5 CP): identificar las actividades de riesgo, establecer protocolos de decisión, disponer de modelos de gestión de los recursos financieros, imponer la obligación de informar al órgano de supervisión, contar con un sistema disciplinario y verificarse periódicamente.
Mapa de riesgos penales
La identificación de las actividades en cuyo ámbito pueden cometerse delitos es el punto de partida del programa. El mapa de riesgos analiza los delitos que pueden afectar a la actividad de la empresa y ordena los controles según el nivel de riesgo de cada área.
Órgano de supervisión: el compliance officer
La supervisión del modelo debe confiarse a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control. En las personas jurídicas de pequeñas dimensiones, es decir, las autorizadas a presentar cuenta de pérdidas y ganancias abreviada, estas funciones puede asumirlas directamente el órgano de administración (art. 31 bis.3 CP). Más detalles en nuestra guía sobre el compliance officer externo.
Canal de denuncias
La Ley 2/2023 obliga a disponer de un sistema interno de información a las empresas con 50 o más trabajadores y, con independencia de su plantilla, a otras entidades como las sujetas a la normativa de la Unión Europea sobre servicios financieros o prevención del blanqueo (art. 10). Ese canal es también una pieza del modelo de prevención. Puede comprobar si su empresa está obligada con nuestro test sobre el canal de denuncias.
La norma UNE 19601
La norma UNE 19601:2025, que sustituye a la versión de 2017, fija los requisitos de un sistema de gestión del compliance penal que puede certificarse por una entidad independiente. La certificación puede ser un elemento más para acreditar la diligencia de la empresa, pero no sustituye la valoración que corresponde al juez sobre la eficacia real del modelo, como advierte la Circular 1/2016 de la Fiscalía General del Estado.
¿Qué delitos pueden generar responsabilidad penal de la empresa?
Solo aquellos en que el Código Penal lo prevé expresamente (art. 31 bis.1). Entre ellos: tráfico de órganos (art. 156 bis.7), trata de seres humanos (art. 177 bis.7), acoso sexual (art. 184.5), descubrimiento y revelación de secretos (art. 197 quinquies), estafas (art. 251 bis), daños informáticos (art. 264 quater), delitos contra la propiedad intelectual e industrial, el mercado y los consumidores, incluida la corrupción en los negocios (art. 288), blanqueo de capitales (art. 302.2), delitos contra la Hacienda Pública y la Seguridad Social (art. 310 bis), urbanísticos (art. 319.4), contra el medio ambiente (art. 328), contra la salud pública (art. 366), cohecho (art. 427 bis), tráfico de influencias (art. 430) y financiación del terrorismo (arts. 576 y 580 bis), entre otros.
Penas y atenuantes
Las penas aplicables a las personas jurídicas, todas graves, son la multa por cuotas o proporcional, la disolución, la suspensión de actividades y la clausura de locales hasta cinco años, la prohibición temporal (hasta quince años) o definitiva de determinadas actividades, la inhabilitación para obtener subvenciones, contratar con el sector público o gozar de beneficios fiscales hasta quince años y la intervención judicial hasta cinco años (art. 33.7 CP).
La responsabilidad de la empresa es exigible aunque la persona física responsable no haya sido individualizada o no se haya podido dirigir el procedimiento contra ella (art. 31 ter CP). Solo pueden atenuarla la confesión antes de conocer que el procedimiento se dirige contra ella, la colaboración con pruebas nuevas y decisivas, la reparación o disminución del daño antes del juicio oral y el establecimiento, antes de ese momento, de medidas eficaces para prevenir y descubrir delitos (art. 31 quater CP). Puede ampliar esta información en nuestras guías sobre el programa de compliance penal y la atenuante del art. 31 quater, o consultar el servicio de compliance para empresas.
Preguntas frecuentes
¿Es obligatorio tener un programa de compliance penal?
El Código Penal no obliga con carácter general a implantarlo, pero un modelo adoptado y ejecutado con eficacia antes del delito es la vía para que la empresa quede exenta de responsabilidad penal o, si solo se acredita en parte, para atenuarla (art. 31 bis CP). Otras normas sí imponen obligaciones concretas, como el sistema interno de información de la Ley 2/2023.
¿Quién puede supervisar el modelo en una pyme?
En las personas jurídicas autorizadas a presentar cuenta de pérdidas y ganancias abreviada, las funciones de supervisión puede asumirlas el propio órgano de administración (art. 31 bis.3 CP). En las demás, debe existir un órgano con poderes autónomos de iniciativa y de control.
¿Basta la certificación UNE 19601 para quedar exento?
No. La certificación puede ayudar a acreditar la diligencia, pero la exención depende de que se cumplan las condiciones del art. 31 bis CP y de que el modelo fuera eficaz en la práctica, lo que valora el juez en cada caso.
¿Sirve de algo implantar el programa después de cometerse el delito?
No permite la exención, pero haber establecido medidas eficaces para prevenir y descubrir delitos antes del comienzo del juicio oral es una circunstancia atenuante (art. 31 quater.d CP).