Muchas empresas españolas descubren tarde que una sociedad puede sentarse en el banquillo igual que una persona física. Desde la reforma del Código Penal, una mercantil responde penalmente por los delitos que cometan sus administradores, directivos o empleados en beneficio de la compañía. Y la única defensa realmente eficaz es haber implantado —y aplicado de verdad— un programa de compliance. En esta guía te explicamos, paso a paso y sin jerga innecesaria, cómo crear un programa de compliance desde cero, qué exige la ley española y qué errores conviene evitar.
📋 Lo que vas a aprender en esta guía
- Qué es exactamente el compliance empresarial y qué no lo es
- Los requisitos que exige el artículo 31 bis del Código Penal
- Las seis fases para implantarlo desde cero en tu empresa
- Diferencia entre compliance penal (UNE 19601) e ISO 37301
- Los errores que dejan el programa sin valor ante un juez
No hablamos de un trámite burocrático ni de un manual guardado en un cajón. Se trata de un sistema vivo de prevención que tiene que demostrarse funcionando el día que llegue una inspección o una denuncia. Por eso los tribunales valoran mucho más la prueba de su aplicación real que el grosor del documento que lo describe.
Qué es un programa de compliance (y qué no es)
Se trata del modelo de organización y gestión, como lo llama el Código Penal: el conjunto de medidas de vigilancia y control que una empresa adopta para prevenir delitos y otros incumplimientos normativos. Identifica los riesgos concretos de esa actividad, establece controles para mitigarlos, designa a un responsable y prevé qué ocurre cuando alguien se salta las reglas.
No es un código ético de dos páginas, ni una cláusula suelta en los contratos, ni un certificado colgado en la recepción. Un modelo copiado de una plantilla genérica, sin análisis de riesgos propio y sin evidencias de aplicación, no protege a la empresa: la Fiscalía y los tribunales lo consideran un simple maquillaje.
Por qué tu empresa necesita un modelo de prevención de delitos
El artículo 31 bis del Código Penal permite que la persona jurídica quede exenta de responsabilidad penal si acredita que tenía implantado un modelo de prevención idóneo antes de los hechos. Si el modelo existe pero es incompleto, funciona como atenuante. Estas son las razones de peso:
Exención o atenuación penal
Es la única causa de exención específica prevista para las empresas frente a multas, intervención judicial o incluso disolución.
Protección del administrador
Acredita la diligencia del órgano de administración y reduce el riesgo de acciones de responsabilidad civil y societaria.
Obligaciones ya exigibles
La Ley 2/2023 obliga a tener canal interno de denuncias a las empresas de 50 o más trabajadores, con sanciones muy elevadas.
Acceso a contratos y clientes
Licitaciones públicas, grandes clientes y entidades financieras piden cada vez más acreditar un modelo de cumplimiento en vigor.
Los requisitos que exige el Código Penal
El apartado 5 del artículo 31 bis marca el contenido mínimo del modelo. Un programa que no cubra estos puntos difícilmente será considerado idóneo por un tribunal:
Mapa de riesgos penales
Identificar las actividades en cuyo ámbito pueden cometerse los delitos que deben prevenirse.
Protocolos de decisión
Procedimientos que concreten cómo se forma la voluntad de la empresa y cómo se ejecutan sus decisiones.
Control de los recursos
Modelos de gestión de los fondos adecuados para impedir la comisión de los delitos detectados.
Canal de denuncias
Obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el modelo.
Régimen disciplinario
Sanciones internas reales para quien incumpla las medidas del modelo, aplicadas siempre con coherencia.
Verificación periódica
Revisión del modelo y actualización cuando cambien la actividad, la organización o la normativa aplicable.
💡 Consejo: el Código Penal exige además un órgano de supervisión con poderes autónomos de iniciativa y control. En empresas de pequeña dimensión esa función puede asumirla el propio órgano de administración, pero conviene dejarlo documentado mediante acuerdo expreso.
Cómo crear un programa de compliance paso a paso
Implantarlo desde cero suele llevar entre tres y seis meses en una pyme. Estas son las fases que seguimos los abogados especializados en cumplimiento normativo:
Diagnóstico inicial
Entrevistas con las áreas clave, revisión de contratos, organigrama y procedimientos existentes para saber de dónde se parte.
Análisis de riesgos
Se valora cada riesgo por probabilidad e impacto y se fija el nivel que la empresa está dispuesta a asumir.
Diseño de controles
Código ético, políticas específicas, segregación de funciones, doble firma y controles sobre proveedores y regalos.
Órgano de cumplimiento
Nombramiento del compliance officer, con presupuesto propio, independencia y acceso directo a la dirección.
Formación y difusión
Acciones formativas con registro de asistencia y aceptación firmada por la plantilla: sin prueba, no hay defensa.
Auditoría y mejora
Revisiones anuales, informes al órgano de administración y actualización tras cualquier incidente relevante.
Compliance penal o compliance normativo: qué norma elegir
Muchas empresas dudan entre certificarse conforme a la UNE 19601 o a la ISO 37301. No son alternativas excluyentes, pero responden a objetivos distintos:
Conviene recordar que ninguna certificación exime de forma automática de responsabilidad: es un indicio favorable, no una patente de corso. Lo decisivo sigue siendo que el modelo estuviera vivo y se aplicara con rigor.
Errores frecuentes y preguntas habituales
Estas son las dudas que más nos plantean las empresas cuando se acercan por primera vez al compliance:
❓ ¿Es obligatorio tener un programa de compliance en España?
No existe una obligación general de implantarlo, pero sí obligaciones concretas como el canal interno de denuncias. Y sin modelo no cabe la exención penal, así que en la práctica resulta imprescindible.
❓ ¿Sirve para una pyme o solo para grandes empresas?
Sirve igual. El Código Penal admite modelos simplificados para las sociedades que pueden presentar cuenta de pérdidas y ganancias abreviada, adaptados a su tamaño y a su riesgo real.
❓ ¿Puede el administrador ser el compliance officer?
En empresas pequeñas la ley lo permite, pero se pierde independencia. Si hay riesgo penal relevante, lo prudente es externalizar la supervisión en abogados especializados.
❓ ¿Cuál es el error más grave que se comete?
Comprar un manual genérico y no dejar rastro documental de formaciones, auditorías ni actas del órgano de control. Sin evidencias, el programa no acredita absolutamente nada.
¿Necesitas implantar un sistema de compliance en tu empresa?
En ASB Legal somos especialistas en compliance y derecho penal económico. Analizamos el riesgo real de tu negocio sin compromiso. Atendemos online en toda España desde Badajoz.
Conclusión
Crear un modelo de cumplimiento desde cero no consiste en redactar documentos, sino en construir un sistema de control que la empresa viva a diario y pueda demostrar. Hacerlo bien exige conocer los riesgos penales concretos del sector, diseñar controles proporcionados y documentar cada paso. Hacerlo mal, o copiarlo de una plantilla, puede resultar peor que no tener nada: transmite una falsa sensación de seguridad que se desmorona en el primer procedimiento judicial.
📌 En resumen
Un modelo de cumplimiento eficaz parte de un mapa de riesgos propio, cumple los requisitos del artículo 31 bis del Código Penal, cuenta con un órgano de supervisión con medios reales y se actualiza y documenta de forma continua. Es la mejor herramienta para que tu empresa quede exenta de responsabilidad penal.
Deja una respuesta