Soy Antonio Rodas, abogado penalista, y el compliance penal es la otra cara de todo lo que litigo: después de años defendiendo a empresas y directivos cuando el problema ya ha estallado, diseño y reviso modelos de prevención de delitos con la única perspectiva que de verdad los hace útiles: la del penalista que sabe exactamente qué mira un juez de instrucción cuando una empresa se sienta en el banquillo.
Desde la reforma del art. 31 bis del Código Penal, las personas jurídicas responden penalmente por los delitos cometidos en su beneficio por administradores, directivos y empleados. Y la misma norma ofrece la salida: el modelo de organización y gestión eficaz, implantado antes del delito, exime o atenúa esa responsabilidad. Trabajo para que ese modelo sea una defensa real y no una carpeta decorativa, tanto en su diseño preventivo como en su despliegue probatorio cuando llega el procedimiento. En toda España, con especial dedicación a pymes y empresas familiares.
Las personas jurídicas responden penalmente en dos escenarios: por los delitos cometidos en su nombre y beneficio por quienes las representan o tienen facultades de organización y control, y por los cometidos por empleados cuando fue posible por un incumplimiento grave de los deberes de supervisión y vigilancia. No todo delito genera esta responsabilidad: el Código la reserva a un catálogo cerrado que incluye, entre otros, la estafa, el blanqueo, los delitos contra la Hacienda Pública y la Seguridad Social, la corrupción en los negocios y el cohecho, los delitos contra los trabajadores en su vertiente de tráfico, los medioambientales, los informáticos y los de propiedad intelectual e industrial.
Las penas del art. 33.7 van mucho más allá de la multa: suspensión de actividades, clausura de locales, prohibición de las actividades en cuyo ejercicio se cometió el delito, inhabilitación para obtener subvenciones y para contratar con el sector público, intervención judicial y hasta la disolución. Para la mayoría de las empresas, perder la contratación pública o las ayudas es una condena mayor que cualquier multa.
El art. 31 bis condiciona la exención a requisitos concretos: un modelo de organización y gestión que identifique las actividades de riesgo penal (el mapa de riesgos), establezca protocolos de formación de la voluntad y de toma de decisiones, gestione recursos financieros para impedir delitos, imponga la obligación de informar de riesgos e incumplimientos a través de un canal, disponga un sistema disciplinario y se verifique y actualice periódicamente. Y un órgano de cumplimiento con poderes autónomos de iniciativa y control —en las pymes, esa función puede asumirla el propio órgano de administración—.
La jurisprudencia ha añadido el matiz decisivo: lo que exime no es tener el documento, sino acreditar la cultura de cumplimiento efectiva —formación real impartida, controles que funcionaron, decisiones documentadas, reacciones ante incidencias—. Los modelos comprados como plantilla y guardados en un cajón no superan un interrogatorio de instrucción, y lo digo porque he visto ese interrogatorio: mi diseño de compliance empieza por las preguntas que la empresa tendrá que responder si algo sale mal.
La Ley 2/2023, de protección del informante, convirtió el canal interno de informaciones en obligación legal para las empresas de 50 o más trabajadores (y para todas las del sector público), con requisitos de confidencialidad, plazos de tramitación, responsable del sistema y prohibición de represalias, bajo un régimen sancionador propio con multas muy serias. El canal es además pieza del modelo de prevención penal: su implantación correcta cumple dos normativas de un solo movimiento, y su gestión deficiente —denuncias ignoradas, represalias— es hoy uno de los flancos más peligrosos de cualquier organización.
Si la empresa ya está investigada, se abre un tablero específico: la persona jurídica es parte con derechos propios —defensa independiente de la de sus directivos, cuyos intereses pueden entrar en conflicto—, el modelo de cumplimiento se convierte en la prueba central de descargo, y las investigaciones internas deben ejecutarse con garantías para que sus resultados sean utilizables y no un búmerán. Dirijo defensas corporativas coordinando esos tres planos, y también el inverso: la acusación contra empresas cuya negligencia organizativa causó el daño a mi cliente.
Si tu empresa aún no tiene modelo: empieza por un mapa de riesgos honesto de tu actividad real —no una plantilla sectorial—, prioriza los tres o cuatro riesgos que de verdad te pueden sentar en un banquillo (fiscal, subvenciones, medioambiente, seguridad laboral según tu sector), implanta el canal de denuncias si superas los 50 trabajadores, y documenta cada acción formativa y cada control: en compliance, lo que no está documentado no existe.
Si surge un incidente o una denuncia interna: no la entierres —la denuncia ignorada es la prueba estrella de la acusación futura—; activa una investigación interna con asesoramiento penal desde el primer momento, preservando evidencia con garantías y midiendo cada paso: lo que la empresa haga en esas semanas decidirá si el modelo la exime o la condena.
Estas figuras aparecen con frecuencia conectadas en una misma causa o como calificaciones alternativas. Consulta también:
