Compliance penal para empresas en Alicante

La responsabilidad penal de las personas jurídicas entró en el ordenamiento español con la reforma del Código Penal de 2010 y tomó su forma actual en 2015, cuando los modelos de organización y gestión se incorporaron expresamente como causa de exención. Esa responsabilidad alcanza solo a los delitos en los que el propio Código la prevé de forma expresa, pero dentro de ese catálogo una sociedad puede sentarse en el banquillo por hechos cometidos en su nombre y en su beneficio, y lo que decide su suerte no es la buena fe de sus administradores, sino si tenía un modelo idóneo y si lo aplicaba de verdad.

Cuando el delito lo comete un representante legal o alguien con facultades de decisión, organización o control, el Código Penal pide cuatro cosas a la vez para que el modelo exima: que el órgano de administración lo hubiera adoptado y ejecutado con eficacia antes del delito; que su supervisión esté encomendada a un órgano con poderes autónomos de iniciativa y control; que los autores materiales hayan cometido el delito eludiendo fraudulentamente el modelo; y que ese órgano de supervisión no haya omitido ni ejercido de forma insuficiente sus funciones. Si las condiciones solo se acreditan en parte, el efecto no desaparece: se aplica como atenuante.

Cuando quien delinque es un subordinado, la exigencia es distinta y algo menor: basta con que la empresa hubiera adoptado y ejecutado eficazmente, antes de los hechos, un modelo adecuado para prevenir delitos de la naturaleza del cometido o para reducir de forma significativa el riesgo de que se cometiera. También aquí la acreditación parcial juega como atenuante. En los dos supuestos, el contenido exigible al modelo es el mismo.

El propio artículo 31 bis enumera además seis requisitos de contenido del modelo: identificar las actividades en cuyo ámbito pueden cometerse los delitos, establecer protocolos de formación de la voluntad y de adopción y ejecución de decisiones, disponer de modelos de gestión de los recursos financieros adecuados, imponer la obligación de informar de riesgos e incumplimientos al órgano de cumplimiento, contar con un sistema disciplinario que sancione el incumplimiento del modelo y prever su verificación periódica y su modificación.

A esa exigencia penal se suma otra, esta sí obligatoria por plantilla: la Ley 2/2023, de 20 de febrero, que traspone la directiva europea de protección del informante y obliga a las empresas privadas con cincuenta o más trabajadores a disponer de un Sistema interno de información. No es un buzón de correo: la ley regula quién lo gestiona, cómo se preserva la confidencialidad, qué plazos hay que cumplir y qué protección tiene quien informa frente a represalias.

La confusión más cara que vemos es tratar el compliance como un entregable. Se encarga un manual, se firma, se archiva y la empresa se queda tranquila. El problema llega el día que hay un procedimiento penal abierto: lo que se examina entonces no es la existencia del documento, sino si el modelo se había adoptado y ejecutado con eficacia antes de los hechos. Eficacia significa rastro: actas del órgano de administración, controles que alguien ejecuta y firma, formación con lista de asistentes, comunicaciones tramitadas por el canal, expedientes disciplinarios cuando tocaba abrirlos.

De ahí que el orden del trabajo no sea negociable. Un modelo que no parte de un mapa de riesgos propio no puede ser idóneo para prevenir los delitos que esta empresa concreta puede llegar a cometer: no es lo mismo una constructora que una distribuidora, ni una sociedad con un solo administrador que un grupo con delegaciones. Y un canal de denuncias sin política de gestión, sin responsable designado y sin plazos controlados genera más exposición que protección, porque documenta que la empresa supo y no hizo.

Conviene decir también lo que el compliance no hace. Certificar una norma como la UNE 19601 es un indicio útil de que existe un sistema de gestión, y en licitaciones y contratos marco puede pedirse; pero ninguna certificación exime por sí sola, porque la eficacia del modelo la valora el juez penal caso por caso. Tampoco protege lo que se implanta con el procedimiento ya en marcha: un modelo adoptado después del delito no sirve para eximir, aunque el Código Penal sí valora como atenuante haber establecido medidas eficaces de prevención antes del comienzo del juicio oral. Llegar entonces es llegar tarde y caro.

Nuestro criterio es sencillo y poco vendedor: preferimos un modelo corto que la empresa aplique de verdad antes que uno extenso que nadie lea. Se implanta lo que se puede sostener, se documenta lo que se hace y se revisa cuando la empresa cambia.