Un compliance de papel es un programa de cumplimiento que existe en documentos pero no se aplica en la empresa. No exime de responsabilidad penal. El artículo 31 bis.2 del Código Penal exige un modelo «adoptado y ejecutado con eficacia» antes del delito. La Circular 1/2016 de la Fiscalía General del Estado rechaza los modelos «de boquilla» y mide el compromiso real, no el grosor del manual.
Enron tenía un código ético de 64 páginas que hablaba de respeto, integridad, comunicación y excelencia. En diciembre de 2001 protagonizó la mayor quiebra de la historia de Estados Unidos.
En España, el Código Penal permite que una empresa quede exenta de pena si tenía un modelo de prevención eficaz. Esa regla forma parte del régimen de la responsabilidad penal de las personas jurídicas, y la palabra que pesa es «eficaz». Aquí verás qué miran el fiscal y el juez, y cómo comprobarlo tú antes.
¿Qué es un compliance de papel y por qué no exime a la empresa?
Un compliance de papel, o compliance cosmético, es un plan formal que no gobierna las decisiones reales de la empresa. Puede ser un manual copiado, un canal de denuncias que nadie usa o un mapa de riesgos que no describe la actividad. No exime porque el artículo 31 bis.2 del Código Penal pide un modelo ejecutado con eficacia antes del delito. El papel solo prueba que alguien lo redactó.
La guía de Colex sobre el plan de cumplimiento llama a los paper compliance «los mayores anticompliance». Ninguno de sus casos típicos activa la eximente del art. 31 bis:
- el copia-pega de otra organización o del propio Código Penal;
- planes con una fecha distinta de la que se alega;
- programas no adaptados a la empresa actual;
- planes tan amplios que diluyen lo importante.
Si el modelo solo se acredita en parte, el artículo 31 bis del Código Penal lo reduce a un motivo para atenuar la pena.
Un programa implantado después del delito tampoco exime. Como mucho encaja en la atenuante del art. 31 quater d), si se adopta antes del juicio oral.
Los detalles están en las atenuantes de la persona jurídica.
Errores frecuentes en la gestión del compliance
Los errores más habituales son tratar las normas como un trámite, no actualizar el contenido cuando cambia la norma en vigor y dejar la gestión del programa sin un responsable con una función definida. Un estándar como la ISO 37301 pide lo contrario: revisión y actualización continuas dentro del entorno real de la empresa.
¿Por qué un compliance de papel puede ser peor que no tener ninguno?
Un compliance de papel puede empeorar la conducta de la plantilla. El Módulo 1 del manual de CESCOM lo explica con la «paradoja de Compliance» (Laufer, 1999). Si la empresa trata el programa como un seguro frente a las penas, vigila menos y cuida más las formas. Los empleados lo ven entonces como un trámite.
El mismo manual, con cita de Paine (1994), describe el resultado. El programa se queda en «un mero conjunto de documentos y procedimientos» para evitar un procesamiento. Los empleados lo perciben «como meras formalidades y modelos de papel». Para el manual, un programa así puede ser «peor que no tener ninguno».
La Circular FGE 1/2016, que el manual reproduce, va en la misma línea. Muchas empresas se dotan de programas costosos «con la única finalidad de eludir el reproche penal». Para la Fiscalía, esos programas «no pueden enfocarse a conseguir este propósito», sino a reafirmar una cultura de respeto a la ley.
La Circular nombra el riesgo: que dentro de la empresa los programas «se perciban como una suerte de seguro frente a la acción penal». Por eso lo que de verdad protege a la empresa es un programa que cambia decisiones, no uno que ocupa estanterías.
En materia de cultura, la confianza se pierde cuando el cliente, el proveedor o la plantilla comprueban que la realidad no coincide con el documento. El marco de gobernanza de la empresa debe reflejar esa realidad en cada relación.
Un organismo regulador o un fiscal tienen expectativas concretas: que el tratamiento de los datos, los pagos y los contratos se haga conforme a lo escrito.
¿El programa de compliance de tu empresa solo existe en una carpeta?
¿Qué diferencia un compliance de papel de uno eficaz según la Fiscalía?
La diferencia está en las evidencias. La Circular FGE 1/2016, de 22 de enero, lo resume así. La clave «no radica tanto en la existencia de un programa de prevención sino en la importancia que tiene en la toma de decisiones de sus dirigentes y empleados». Un compliance eficaz deja rastro en decisiones, investigaciones, sanciones y revisiones fechadas antes del delito.
La Fiscalía busca un compromiso que «realmente disuada de conductas criminales». Presume ineficaz el modelo si un alto cargo participó en el delito, lo consintió o lo toleró. Y la comisión de un delito no hace ineficaz el programa de forma automática.
| Señal de compliance de papel | Señal de compliance eficaz | Fuente del criterio |
|---|---|---|
| Manual copiado de otra empresa o del Código Penal | Mapa de riesgos hecho sobre la actividad real | Art. 31 bis.5.1º CP; Circular FGE 1/2016 |
| El programa se vende dentro como un seguro frente a la pena | El programa se presenta como compromiso ético de la dirección | Circular FGE 1/2016; manual CESCOM, Módulo 1 |
| Un alto cargo participó, consintió o toleró el delito | Controles que alcanzan al órgano de administración | Circular FGE 1/2016 |
| El certificado es la única prueba | Certificación acompañada de evidencias | Circular FGE 1/2016 (conclusión 19ª) |
| El delito lo destapa un tercero | La empresa detecta el delito y lo denuncia | Circular FGE 1/2016 |
| Incumplimientos previos sin sanción | Sistema disciplinario aplicado con firmeza | Art. 31 bis.5.5º CP; Circular FGE 1/2016 |
| Obligaciones fiscales ordinarias incumplidas | Control de las obligaciones básicas | STS 217/2024, de 7 de marzo |
| Plan fechado después de los hechos | Modelo ejecutado antes del delito | Art. 31 bis.2.1ª y 31 bis.4 CP |
Cada fila es una prueba que la empresa podrá aportar o no. El mínimo legal está en los requisitos del compliance penal del art. 31 bis.5.
Entre las evidencias útiles están las actas del órgano de administración donde conste la aprobación del modelo, los archivos de formación y el registro de incidencias del canal. Cada edición del plan debe llevar su fecha y su control de versiones, anteriores a los hechos.
¿Cómo decide un juez si el compliance de mi empresa funcionaba?
El juez no valora el compliance en abstracto. Lo examina en concreto, respecto del delito cometido, como explica Encinar del Pozo, del Gabinete Técnico del Tribunal Supremo. La pregunta es si ese modelo, tal como se aplicaba, era idóneo para prevenir ese delito o reducir de forma significativa su riesgo.
El Pleno del Supremo, en la STS 154/2016, de 29 de febrero, fijó el núcleo de la responsabilidad de la empresa. Es «la ausencia de las medidas de control adecuadas para la evitación de la comisión de delitos».
La misma sentencia dejó fuera del art. 31 bis a las sociedades pantalla sin actividad lícita. En ellas no hay programa que valorar.
La STS 217/2024, de 7 de marzo, muestra el reverso en un delito contra la Hacienda Pública. La sociedad era la obligada tributaria. El pago de impuestos «era fácilmente comprobable y controlable», y para el Supremo resultaba «evidente que hubo ausencia de los debidos controles».
Esa inferencia se apoyó en datos del caso y no se extiende sin más a otros delitos. Sí muestra el peso que tiene el compliance tributario en el delito fiscal de la empresa.
El juez también atiende al ámbito de la actividad y al sector. No se parte de lo mismo en una pyme que en una sociedad con operaciones de compra y venta de gran volumen, clientes internacionales o movimientos de capitales, porque el riesgo de blanqueo y de otros delitos cambia con el entorno.
Si acusan a mi empresa, ¿basta con decir que tenía compliance?
No basta. La acusación debe describir el defecto organizativo, pero la defensa sigue teniendo que alegar su modelo y acreditarlo. Según la STS 298/2024, de 8 de abril, la falta de un plan eficaz es un elemento negativo. La carga de alegarlo recae, en principio, en la defensa, aunque rige el in dubio pro reo.
La STS 372/2025, de 11 de abril, absolvió a una sociedad porque el hecho probado «no dedica una sola línea» a su injusto propio. Trata de lo que debe describir la acusación, no de la calidad del programa.
La STS 298/2024 añade que la presunción de inocencia «no obliga a presumir» que toda sociedad cuenta con un programa ajustado al Código Penal. La Circular atribuye a la empresa la prueba de la eficacia, una tesis que el Supremo no ha hecho suya. Lo explicamos en quién tiene que probar el compliance en el juicio.
Cuando la sociedad pasa a ser investigada, aportar el plan es una decisión de defensa. El AAN 391/2021, de 1 de julio, declaró que no se le puede exigir que lo entregue.
La empresa conserva las garantías de cualquier investigado en un proceso penal.
Qué se aporta, y cuándo, conviene decidirlo con un abogado de compliance penal.
El enfoque de la defensa depende del contexto: el alcance del modelo, su desarrollo en el tiempo y el uso real que se hizo de los controles. Cada aspecto operativo debe poder probarse, porque el valor de un programa está en lo que demuestra, no en lo que promete.
La eficacia se acredita a través de hechos: la publicación interna de las políticas, su aplicación de manera uniforme y su adaptación a los productos o servicios que la empresa ofrece.
¿Cómo saber si el compliance de tu empresa es de papel?
Un compliance papel mojado se detecta con preguntas incómodas, no leyendo el manual. Piensa en los últimos tres años. Si contestas «no» o «no lo sé» a varias, el programa difícilmente superaría el examen del fiscal o del juez. Cada «no» es una prueba que hoy no tendrías.
- ¿El mapa de riesgos describe los procesos reales de tu empresa?
- ¿El órgano de cumplimiento tiene presupuesto y actúa sin pedir permiso a quien supervisa?
- ¿El canal de denuncias ha recibido comunicaciones y consta qué se hizo con cada una?
- ¿Se ha sancionado algún incumplimiento y queda constancia?
- ¿El plan se revisó tras el último cambio de actividad, estructura o normativa?
- ¿Hay controles sobre impuestos, pagos y cobros en efectivo?
- ¿Puedes acreditar la fecha de cada versión?
- ¿Los controles alcanzan a los administradores?
El canal de la pregunta 3 no es opcional en muchas empresas. La Ley 2/2023, de protección del informante, lo exige desde 50 trabajadores.
Revisa también la herramienta con la que gestionas ese canal: debe preservar la confidencialidad, dejar trazabilidad de cada comunicación y conservar el archivo de las actuaciones.
Un canal que no recibe ni tramita nada es otra señal de papel; más en el canal de denuncias obligatorio para empresas.
En una pyme la ley adapta las exigencias, pero no las suprime. Un abogado penalista para empresas puede revisar estas respuestas con los documentos delante.
Más análisis sobre delitos económicos y empresa en el blog penal.
¿Quieres saber si tu compliance resistiría el examen de un fiscal?
Preguntas frecuentes sobre el compliance de papel
¿Sirve de algo un plan de compliance certificado con la UNE 19601?
Sirve como indicio, no como prueba de eficacia. Según la Circular FGE 1/2016, las certificaciones «en modo alguno» acreditan la eficacia del modelo ni sustituyen la valoración judicial. La UNE 19601 ordena bien el sistema. Aun así, el juez seguirá preguntando si los controles funcionaban frente al delito cometido.
¿Puedo implantar el compliance después de que empiece la investigación?
Puedes, pero ya no eximirá a la empresa. El artículo 31 bis.2 del Código Penal exige un modelo adoptado y ejecutado antes del delito. Un programa implantado después solo puede servir como atenuante del art. 31 quater d), y únicamente si se establece antes del juicio oral.
¿Un programa de compliance funciona como un seguro frente a la pena?
No. La Circular FGE 1/2016 advierte del riesgo de que los programas se perciban como «una suerte de seguro frente a la acción penal». Un plan pensado solo para eludir la pena tiende a quedarse en papel. La exención llega cuando el modelo funcionaba de verdad antes del delito.
¿Qué pasa si quien cometió el delito es el propio administrador?
La Circular FGE 1/2016 presume ineficaz el modelo cuando un alto cargo participó en el delito, lo consintió o lo toleró. Para los delitos de administradores, el art. 31 bis.2 exige también que el autor eludiera fraudulentamente los controles y que el órgano de supervisión no fallara.
¿Una pyme necesita un compliance officer para que su plan no sea de papel?
No siempre. El art. 31 bis.3 del Código Penal permite que el órgano de administración asuma la supervisión en las sociedades que pueden presentar la cuenta de pérdidas y ganancias abreviada. La exigencia de eficacia no cambia: controles reales, adaptados a los riesgos de esa pyme.
¿Quieres saber si el compliance de tu empresa resistiría una investigación penal?
Revisar un programa antes de que haya un problema cuesta mucho menos que defenderlo después. Un abogado compliance penal lee el plan con los ojos del fiscal. Mira qué riesgos cubre, qué pruebas de funcionamiento hay y qué huecos quedarían a la vista.
Si la empresa ya está investigada, la estrategia cambia. Hay que decidir qué se aporta y cómo se acredita que el modelo se aplicaba antes de los hechos. Como abogado penalista en Madrid, trabajo la responsabilidad penal de la persona jurídica en las dos fases: la revisión preventiva del programa y la defensa de la sociedad en el procedimiento. Esta información es general y no sustituye el análisis de tu caso. Si quieres que revisemos tu situación, puedes solicitar una consulta.
Artículo redactado por Víctor Ávila Martínez, abogado penalista, colegiado nº 141230 del Ilustre Colegio de la Abogacía de Madrid.
¿Necesitas un abogado penalista en Madrid?
Contar con un abogado penalista desde el primer momento puede marcar la diferencia. Consulta desde 180 €, online o presencial.
Abogado penalista en Madrid (Graduado en Derecho y ADE con Máster de Acceso a la Abogacía), experto en procedimientos complejos y técnicos en Derecho Penal. Cuenta con títulos como el Curso de Derecho Penal Avanzado impartido por magistrados del Tribunal Supremo en el Iltre. Colegio de Abogacía de Madrid.
