Compliance penal: qué piezas debe tener un modelo

Por qué las piezas del modelo importan: el artículo 31 bis del Código Penal

Las personas jurídicas pueden ser penalmente responsables de determinados delitos cometidos por sus representantes, directivos o empleados, en su nombre o por su cuenta y en su directo o indirecto beneficio. El artículo 31 bis del Código Penal, en la redacción dada por la Ley Orgánica 1/2015, establece el régimen que vincula esa responsabilidad con la existencia de un modelo de organización y gestión: lo que habitualmente llamamos modelo o programa de compliance penal.

La lógica del precepto es la siguiente:

• Exención. La persona jurídica queda exenta de responsabilidad si, antes de la comisión del delito, el órgano de administración adoptó y ejecutó eficazmente un modelo de organización y gestión idóneo para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión (art. 31 bis 2, apartado 2º, y 31 bis 5, que extiende la exención a los supuestos de delitos de empleados cuando el modelo era idóneo y no hubo omisión grave de los deberes de supervisión).
• Atenuación. Cuando la exención no procede, la existencia del modelo puede atenuar la pena en los términos del art. 31 bis 4, que enumera los elementos que el modelo debe reunir.

De esta estructura se deduce la consecuencia práctica principal: el modelo debe existir y funcionar antes del delito. Improvisar documentación después de los hechos no cumple la finalidad del precepto. Y el modelo debe ser "idóneo": no basta cualquier documento, sino un sistema ajustado a los riesgos reales de la organización.

Las piezas que exige el artículo 31 bis 4

El apartado 4 del art. 31 bis enumera los elementos del modelo. Ordenados operativamente, son estos:

1. Identificación de las actividades de riesgo

El modelo debe identificar las actividades en cuyo ámbito pueden ser cometidos los delitos que deben ser prevenidos. Es el mapa de riesgos penales: un análisis específico de la organización (actividad, estructura, procesos, geografías, terceros) que localiza dónde puede nacer el riesgo penal. Un mapa de riesgos genérico, copiado de otra empresa o de una plantilla, no identifica las actividades de la organización y compromete todo lo que se construye encima. Normolex elabora mapas de riesgos penales ajustados a la realidad de cada empresa.

2. Protocolos y procedimientos de prevención

El modelo debe incorporar protocolos y procedimientos que concreten el proceso de formación de la voluntad, de adopción de decisiones y de ejecución de las mismas en relación con los delitos a prevenir. Es la capa normativa interna: código ético, políticas y procedimientos que regulan cómo se decide y cómo se actúa en las áreas de riesgo identificadas. Deben ser coherentes con el mapa de riesgos y con el funcionamiento real de la empresa. En Normolex desarrollamos el código ético y las políticas de compliance como piezas vivas del sistema, no como declaraciones de buenas intenciones.

3. Recursos financieros adecuados

El modelo debe contar con modelos de gestión de recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos. En la práctica: controles sobre pagos, fondos, aprobaciones y circuitos de gasto dimensionados según los riesgos detectados.

4. Canal de información

El modelo debe imponer la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar el funcionamiento del modelo, a través de un canal de información. Este canal puede integrarse con el Sistema Interno de Información conforme a la Ley 2/2023, que añade requisitos propios (responsable, plazos, confidencialidad, anonimato) a las empresas obligadas.

5. Sistema disciplinario

El modelo debe establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas. Un código sin consecuencias es una recomendación; la norma exige que el incumplimiento tenga respuesta dentro de la organización, en coherencia con la normativa laboral.

6. Verificación y revisión periódica

El modelo debe verificarse y evaluarse periódicamente, y modificarse cuando se releven infracciones relevantes o cuando cambien la organización, la estructura de control o la actividad. El cumplimiento penal no es un proyecto con fecha de fin: es un sistema que se mantiene. El mantenimiento del modelo de compliance es, precisamente, lo que diferencia un modelo eficaz de uno abandonado tras su redacción.

El órgano de control y la supervisión

Aunque el art. 31 bis lo sitúa en otros apartados, el modelo requiere un órgano encargado de vigilar su funcionamiento y observancia, con autonomía y facultades suficientes. Su configuración (persona única, comité, función integrada en otro órgano) depende del tamaño y la estructura de la empresa, pero en todos los casos deben quedar definidas sus funciones, sus recursos y sus cauces de reporte al órgano de administración. La supervisión del órgano de administración sobre el modelo no es delegable en su totalidad: la propia exención del art. 31 bis 5 se pierde cuando ha existido una omisión grave de los deberes de supervisión, vigilancia y control.

La UNE 19601: qué es y qué no es

La norma UNE 19601 es una norma de AENOR sobre sistemas de gestión de compliance penal. Sirve como referencia técnica para estructurar el sistema y su certificación es voluntaria: no existe exigencia legal de certificar el modelo. Certificar puede aportar una valoración externa de la estructura del sistema, pero la certificación por sí sola no equivale a la exención del art. 31 bis, que siempre apreciará un juez o tribunal caso por caso.

Normolex no certifica modelos de compliance penal: el diseño, la implantación y el mantenimiento del modelo por un lado, y su certificación por entidades acreditadas por otro, son funciones distintas. Lo que Normolex hace es construir modelos que puedan funcionar y defenderse, incluida la preparación de la organización para una eventual certificación si la empresa decide solicitarla.

Exención y atenuación: diferencias prácticas

Conviene no confundir los dos efectos del modelo. La exención exige que el modelo se hubiera adoptado y ejecutado eficazmente antes del delito y que fuera idóneo; en los delitos cometidos por empleados o colaboradores, el art. 31 bis 5 exige además que la infracción se haya cometido eludiendo fraudulentamente el modelo y que no haya mediado una omisión grave de los deberes de supervisión, vigilancia y control. La atenuación opera cuando el modelo existe pero no reúne todos los requisitos de la exención o cuando los hechos se producen en un contexto que la excluye.

La lección práctica es doble. Primera: el estándar no es "tener papeles", sino la eficacia real del sistema. Segunda: la supervisión del órgano de administración es decisiva; un modelo correcto sobre el papel puede perder su efecto si la dirección se desentendió de él.

Los terceros dentro del modelo

Los riesgos penales no se agotan dentro de la empresa: proveedores, agentes, distribuidores y socios pueden generar exposición penal relevante. Cuando el mapa de riesgos identifica esta vía, el modelo debe incorporar una diligencia debida de terceros: conocimiento del tercero, valoración de su riesgo, cláusulas contractuales de cumplimiento y seguimiento. Es una pieza que suele ausentarse de los modelos más antiguos y que el análisis de riesgos actual raramente permite omitir.

Cómo se implanta un modelo: una secuencia razonable

La experiencia muestra que los proyectos que funcionan siguen una secuencia parecida:

1. 01Análisis de partida. Comprensión de la actividad, la estructura y los antecedentes de la organización.
2. 02Mapa de riesgos penales. Identificación y ponderación de los riesgos específicos, con talleres y revisión documental.
3. 03Diseño de controles. Protocolos, políticas y circuitos de decisión ajustados al mapa.
4. 04Gobernanza. Configuración del órgano de control, funciones, recursos y reporte al órgano de administración.
5. 05Canal y disciplina. Integración del canal de información y del sistema disciplinario.
6. 06Despliegue y difusión. Puesta a disposición de la organización de las piezas del modelo.
7. 07Mantenimiento. Verificación periódica, actualización ante cambios y registro de evidencias del funcionamiento.

Cada fase debe dejar evidencia documental: si el modelo alguna vez debe defenderse, lo hará con los registros de su funcionamiento, no con su memoria de redacción.

Errores habituales en los modelos de compliance penal

• El modelo de papel. Documentación completa que nadie conoce, nadie aplica y nadie revisa. Ante los tribunales, lo relevante es la eficacia real.
• Mapa de riesgos genérico. Sin identificación específica de las actividades de riesgo de la organización, las medidas no se justifican.
• Canal desconectado. Un canal de información que no cumple la Ley 2/2023, cuando la empresa está obligada por ella, deja coja una pieza central del modelo.
• Sin sistema disciplinario. Políticas sin consecuencias por incumplimiento.
• Sin revisión. Modelos aprobados una vez y olvidados, desconectados de los cambios de la actividad.
• Supervisión delegada por completo. El órgano de administración no puede desentenderse del modelo.

Cómo trabaja Normolex

Normolex diseña, implanta y mantiene modelos de organización y gestión conformes al art. 31 bis: mapa de riesgos penales, código ético y políticas, canal de información integrado, sistema disciplinario, apoyo al órgano de control y revisión periódica, incluida la diligencia debida de terceros cuando el mapa de riesgos lo exige. Si tu empresa necesita construir o revisar su modelo, puedes plantearnos la situación desde contacto.

Fuentes oficiales

Esta guía se apoya en el Código Penal (LO 10/1995, en la redacción de la LO 1/2015) y en la norma UNE 19601 de AENOR, citados al final de esta página.