Compliance penal y programas de prevención

El término compliance procede del inglés y se traduce, en su sentido jurídico-penal, como «cumplimiento normativo». En el ámbito penal hace referencia específicamente a los modelos de organización y gestión que las personas jurídicas pueden adoptar para prevenir delitos cometidos en nombre o por cuenta de la entidad y en su beneficio directo o indirecto, tanto por sus representantes legales y por quienes están autorizados para tomar decisiones u ostentan facultades de organización y control, como por quienes están sometidos a la autoridad de estos (art. 31 bis CP).

En España, la figura adquirió su configuración actual tras la modificación del Código Penal por la Ley Orgánica 1/2015, de 30 de marzo. El art. 31 bis CP regula la responsabilidad penal de las personas jurídicas y establece los requisitos que debe reunir un modelo de organización y gestión para que la entidad pueda invocar la exención o la atenuación de su responsabilidad penal.

El compliance penal no debe confundirse con el cumplimiento normativo en sentido genérico (laboral, fiscal, de protección de datos), aunque comparte elementos con todos ellos. Su función específica es la gestión del riesgo penal: identificar las actividades en cuyo ámbito pueden cometerse los delitos que deben ser prevenidos, diseñar controles para evitarlos y establecer protocolos para reaccionar cuando se producen. Desde una perspectiva práctica, implica tanto a la cúpula directiva —el órgano de administración es quien debe adoptar y ejecutar con eficacia el modelo (art. 31 bis CP)— como a todos los empleados, que deben conocer y aplicar sus reglas.

El art. 31 bis CP delimita los requisitos que debe reunir un modelo de organización y gestión para desplegar efectos eximentes o atenuantes. Son los siguientes.

Mapa de riesgos penales. El primer paso es identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos (art. 31 bis CP). No es suficiente un catálogo genérico: el análisis debe adaptarse al sector, al tamaño, a la estructura y a la operativa real de la empresa. Una empresa constructora tendrá riesgos distintos a los de una entidad financiera o una empresa farmacéutica.

Protocolos y procedimientos de control. Identificados los riesgos, el modelo debe establecer los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas en relación con esas actividades, y disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos (art. 31 bis CP). En la práctica suelen concretarse en separación de funciones, límites de autorización, controles de doble firma, procedimientos de due diligence con terceros y políticas de regalos y atenciones.

Canales internos de información. El modelo debe imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención (art. 31 bis CP). En la práctica, esta obligación se articula mediante canales internos que permitan a empleados y terceros comunicar irregularidades.

Órgano de supervisión (Compliance Officer). La supervisión del funcionamiento y del cumplimiento del modelo debe confiarse a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control, o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos (art. 31 bis CP). En las personas jurídicas de pequeñas dimensiones —aquellas que, según la legislación aplicable, estén autorizadas a presentar cuenta de pérdidas y ganancias abreviada— estas funciones pueden ser asumidas directamente por el órgano de administración.

Sistema disciplinario. El modelo debe establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que el propio modelo establezca (art. 31 bis CP). Sin este elemento, el modelo carece de efecto disuasorio real y queda incompleto frente a las exigencias legales.

Revisión y actualización periódica. Un programa que no se actualiza deviene obsoleto. La ley exige una verificación periódica del modelo y su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios (art. 31 bis CP).

El efecto jurídico más relevante del compliance penal es su capacidad para eximir de responsabilidad penal a la persona jurídica o, en su caso, para atenuar la pena que le correspondería. El art. 31 bis CP distingue según quién haya cometido el delito.

Delitos cometidos por representantes legales o personas con capacidad de decisión. La persona jurídica queda exenta de responsabilidad si concurren las condiciones del art. 31 bis CP: que el órgano de administración haya adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión con medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o reducir de forma significativa el riesgo de su comisión; que la supervisión se haya confiado a un órgano con poderes autónomos de iniciativa y control; que los autores individuales hayan cometido el delito eludiendo fraudulentamente el modelo; y que no haya existido omisión o ejercicio insuficiente de las funciones de supervisión por parte de ese órgano.

Delitos cometidos por quienes están sometidos a la autoridad de los anteriores. En este caso la persona jurídica queda exenta de responsabilidad si, antes de la comisión del delito, ha adoptado y ejecutado eficazmente un modelo de organización y gestión que resulte adecuado para prevenir delitos de la naturaleza del que fue cometido o para reducir de forma significativa el riesgo de su comisión (art. 31 bis CP).

Atenuación de la responsabilidad. Cuando las circunstancias exigidas para la exención solamente puedan ser objeto de acreditación parcial, esa circunstancia será valorada a efectos de atenuación de la pena (art. 31 bis CP).

Penas aplicables a la persona jurídica. Las penas previstas para las personas jurídicas tienen todas la consideración de graves y son: multa por cuotas o proporcional; disolución; suspensión de actividades por un plazo que no podrá exceder de cinco años; clausura de locales y establecimientos por un plazo que no podrá exceder de cinco años; prohibición de realizar en el futuro las actividades en cuyo ejercicio se haya cometido, favorecido o encubierto el delito, temporal (con un plazo que no podrá exceder de quince años) o definitiva; inhabilitación para obtener subvenciones y ayudas públicas, para contratar con el sector público y para gozar de beneficios e incentivos fiscales o de la Seguridad Social, por un plazo que no podrá exceder de quince años; e intervención judicial por el tiempo que se estime necesario, que no podrá exceder de cinco años (art. 33 CP).

Las penas aplicables a las personas jurídicas, que tienen todas la consideración de graves, son las siguientes: a) Multa por cuotas o proporcional. b) Disolución de la persona jurídica. La disolución producirá la pérdida definitiva de su personalidad jurídica, así como la de su capacidad de actuar de cualquier modo en el tráfico jurídico, o llevar a cabo cualquier clase de actividad, aunque sea lícita. c) Suspensión de sus actividades por un plazo que no podrá exceder de cinco años. d) Clausura de sus locales y establecimientos por un plazo que no podrá exceder de cinco años.

Art. 33 CP · Ley Orgánica 10/1995 · texto en el BOE

La implementación de un programa de compliance penal sigue, en la práctica profesional, un proceso estructurado que puede resumirse en las siguientes fases, aunque su orden y profundidad varían según el tamaño y la complejidad de la organización.

Diagnóstico inicial (gap analysis). Se analiza la situación de partida: qué controles existen ya, cuáles son los riesgos penales propios del sector y de la empresa, y qué distancia hay entre el estado actual y lo exigible. Esta fase requiere entrevistas con directivos y personal clave, revisión documental y análisis del organigrama y los flujos de autorización.

Elaboración del mapa de riesgos penales. A partir del diagnóstico, se identifican y valoran los riesgos: probabilidad de materialización e impacto potencial. Los riesgos se priorizan y se establece cuáles son inaceptables (que exigen control inmediato) y cuáles pueden gestionarse con controles de menor intensidad.

Diseño del modelo. Se redactan el Código Ético, la Política de Compliance, los protocolos específicos por área de riesgo y el reglamento del canal interno de información. Se define la estructura del órgano de supervisión y sus funciones.

Implementación y formación. El modelo debe ser comunicado a toda la organización y ejecutado de manera eficaz, que es lo que exige el art. 31 bis CP. La formación es un elemento crítico: un empleado que desconoce el programa no puede cumplirlo.

Supervisión, auditoría y mejora continua. El órgano de supervisión vigila el funcionamiento del modelo, registra las incidencias, atiende las comunicaciones recibidas y elabora informes periódicos para el órgano de administración. Las auditorías internas o externas periódicas sirven a la verificación periódica del modelo que exige el art. 31 bis CP.

Cuando una persona jurídica es investigada o acusada en un proceso penal, la estrategia de defensa gira en gran medida en torno al modelo de organización y gestión. Acreditar que el modelo existía, era idóneo y se había ejecutado con eficacia antes de la comisión del delito es el eje central de la exención de responsabilidad (art. 31 bis CP).

Acreditación de la preexistencia y eficacia del modelo. La defensa debe aportar documentación que demuestre que el modelo estaba operativo antes del delito: actas de aprobación por el órgano de administración, registros de formación, evidencias del funcionamiento de los canales de información, informes del órgano de supervisión, verificaciones previas. No basta con presentar un documento fechado antes del delito; hay que demostrar una ejecución eficaz.

Separación entre el delito individual y la responsabilidad corporativa. La estrategia puede orientarse a demostrar que los autores individuales cometieron el delito eludiendo fraudulentamente los modelos de organización y de prevención implantados, que es precisamente una de las condiciones de la exención prevista en el art. 31 bis CP.

Refuerzo del modelo tras la detección del incumplimiento. Acreditar que, conocido el hecho, la entidad procedió a la verificación del modelo y a su modificación —lo que el art. 31 bis CP exige cuando se ponen de manifiesto infracciones relevantes de sus disposiciones o cambios en la organización, en la estructura de control o en la actividad desarrollada— evidencia que el sistema de prevención sigue operativo.

Muchas organizaciones afrontan un proceso penal con modelos que, pese a existir formalmente, presentan deficiencias que los privan de eficacia eximente. Los errores más habituales son los siguientes.

Programa de papel o «cosmético». Es el error más extendido. La empresa dispone de un extenso manual de compliance, pero nadie lo ha leído, no hay formación documentada, el canal interno no funciona y el órgano de supervisión es un cargo nominal sin recursos ni autonomía real. Lo que el art. 31 bis CP exige es que el modelo haya sido adoptado y ejecutado con eficacia, no su mera existencia documental.

Mapa de riesgos genérico o copiado de modelos estándar. Un mapa de riesgos que no refleja la actividad real de la empresa —sus contratos, su cadena de suministro, sus mercados, su estructura de filiales— no satisface el requisito de identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos (art. 31 bis CP).

Órgano de supervisión sin autonomía. Cuando el responsable de cumplimiento depende jerárquicamente del mismo directivo cuya actuación está supervisando, o carece de recursos y de acceso directo al órgano de administración, falla la condición de que la supervisión se confíe a un órgano con poderes autónomos de iniciativa y de control (art. 31 bis CP).

Ausencia de régimen disciplinario aplicado. Tener un régimen sancionador en el papel pero no aplicarlo cuando se detectan incumplimientos desvirtúa la exigencia de un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo (art. 31 bis CP).

No actualizar el modelo. Las empresas que lo implantan una sola vez y no lo revisan ante cambios organizativos, de la estructura de control o de la actividad desarrollada, ni tras infracciones relevantes, incumplen la verificación periódica y la eventual modificación que exige el art. 31 bis CP.

Confundir compliance penal con auditoría contable o protección de datos. El compliance penal tiene una lógica propia y distintos riesgos a gestionar. Delegar su diseño en quienes solo conocen el cumplimiento contable o de privacidad puede generar programas con grandes lagunas en los riesgos penales más relevantes para esa actividad.

El abogado penalista interviene en el ámbito del compliance penal en dos momentos bien diferenciados: el preventivo y el reactivo. En el plano preventivo, asesora en el diseño del modelo desde la perspectiva del riesgo penal real, identifica qué delitos deben ser prevenidos dada la actividad de la empresa y verifica que los controles diseñados responden a los requisitos del art. 31 bis CP. Esta labor se complementa frecuentemente con la de otros especialistas —mercantilistas, laboralistas, expertos en regulación sectorial—, pero la visión penal es imprescindible porque es la que determina qué debe quedar probado si el modelo tiene que defenderse ante un juez.

En el plano reactivo —cuando ya existe una investigación penal contra la persona jurídica—, el penalista colegiado asume la defensa de la entidad en el proceso. Esto implica analizar con rigor el modelo existente para determinar qué eficacia eximente o atenuante puede invocarse conforme al art. 31 bis CP, coordinar la aportación de la documentación acreditativa y gestionar la relación de la empresa con las autoridades de investigación.

A través de la plataforma JBH es posible contactar con abogados especialistas colegiados con experiencia en delito económico y compliance penal, que pueden tanto revisar la solidez jurídico-penal de un modelo existente como asumir la defensa de una persona jurídica en un procedimiento penal. La dirección técnica del asunto corresponde siempre al letrado colegiado, que evalúa cada caso en su individualidad y sin comprometer criterios de independencia profesional.

La interpretación de «compliance penal y programas de prevención» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados especialistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.