La responsabilidad penal del compliance officer es personal y nunca automática. El Código Penal no castiga a nadie por supervisar mal un modelo de prevención. El compliance officer responde si participa en el delito, como cualquier otra persona. También podría responder por omisión (art. 11 CP) si conocía el delito, podía impedirlo y no actuó, pero esa tesis sigue discutida.
En mayo de 2017, el compliance officer de MoneyGram aceptó pagar 250.000 dólares y tres años de inhabilitación. El motivo: falta de diligencia en la prevención del blanqueo. Fue en Estados Unidos y sin prisión, pero mostró que el cargo tiene riesgo propio.
En España la pregunta surge en cuanto la empresa queda investigada en un procedimiento penal. La acusación suele pedir el programa de compliance y la identidad de su responsable para tomarle declaración.
¿Quién es el compliance officer según el Código Penal?
El Código Penal no usa la expresión «compliance officer». El artículo 31 bis.2.2ª habla de un órgano con poderes autónomos de iniciativa y de control. A ese órgano de cumplimiento se le confía supervisar el modelo de prevención de delitos. Puede ser una sola persona o un comité.
La figura del compliance officer tras la reforma del Código Penal
La reforma del Código Penal de 2015 (LO 1/2015) reguló el modelo de prevención y exigió un órgano de supervisión, pero no definió la figura del compliance officer ni sus requisitos de formación. En la práctica, el oficial de cumplimiento es la persona que desempeña ese rol dentro de la empresa.
También vale un órgano con supervisión legal propia, como la comisión de auditoría de las cotizadas. En las pymes con cuenta de pérdidas y ganancias abreviada, puede asumirla el órgano de administración (apartado 3 del artículo 31 bis del Código Penal).
La Circular de la Fiscalía General del Estado 1/2016 exige separación operacional entre quien administra y quien vigila. El órgano de control debe poder actuar sin autorización previa. La UNE 19601:2025 lo llama «órgano de compliance penal».
Puede apoyarse en asesores externos, pero las decisiones vinculantes las toma alguien de la empresa. Es una pieza básica de cualquier modelo de compliance penal con valor de eximente.
Su ámbito de actuación abarca todas las áreas de la empresa, desde los empleados hasta los directivos y el consejo, y su rol es de supervisión, no de gestión del negocio. El contenido de sus funciones, su naturaleza y su nivel de dependencia se fijan en el acta de nombramiento.
¿Qué características debe tener el órgano de cumplimiento?
El órgano de cumplimiento necesita cuatro rasgos: integridad, neutralidad, independencia y autonomía. Sin ellos, el nombramiento queda en papel: no acredita ante un juez los poderes autónomos de iniciativa y control que pide el art. 31 bis.2.2ª del Código Penal.
- Integridad: aptitud (formación suficiente) y honorabilidad (sin conflictos de interés ni sanciones ligadas a sus funciones, y con dedicación suficiente).
- Neutralidad: imparcialidad de juicio, unida a la independencia.
- Independencia: separación de la gestión diaria. No puede ser absoluta, porque el consejo fija la política de riesgos.
- Autonomía: capacidad de decidir y ejecutar, con presupuesto propio.
Requisitos prácticos del nombramiento
La ley no enumera los requisitos del cargo. Se deducen de la Circular FGE 1/2016 y de las normas técnicas: formación en el ámbito jurídico y de control, tiempo y medios suficientes, y acceso directo al consejo. Las circunstancias de la empresa, como su tamaño o su sector, determinan el perfil adecuado.
No las reúne un responsable sin presupuesto que depende del director comercial al que vigila. Su posición recuerda más a la del testaferro que figura sin decidir que a la de un órgano de control.
Ese nombramiento sin medios es el ejemplo típico de compliance de papel, que no exime a la empresa.
¿Es usted compliance officer y le preocupa su responsabilidad?
¿Responde la empresa por lo que haga o deje de hacer el compliance officer?
Sí, por dos caminos. La Circular FGE 1/2016 sitúa al compliance officer entre las personas con facultades de organización y control del art. 31 bis.1.a CP. Si delinque en beneficio de la empresa, la responsabilidad puede trasladarse a la sociedad. Y si su supervisión falla, la empresa pierde la eximente.
Desde 2015, la Fiscalía incluye en esa letra a) a mandos intermedios y delegados, dentro del régimen de responsabilidad penal de las personas jurídicas.
El segundo camino es más frecuente. La cuarta condición de la eximente del art. 31 bis.2 es que no haya habido «omisión o ejercicio insuficiente» de la supervisión.
Por eso el trabajo documentado del compliance officer es la principal prueba de descargo de la sociedad, y sus lagunas alimentan a la acusación. Eso no permite condenar a la empresa por arrastre: el Supremo exige que el hecho probado describa un defecto organizativo propio (STS 372/2025, de 11 de abril).
La empresa puede quedar exenta de responsabilidad si el modelo funcionaba, o beneficiarse de una atenuación si solo se acredita en parte, pero eso no hace quedar exento al compliance officer del delito que haya cometido personalmente. Para trasladar su conducta a la sociedad, el delito debe haberse cometido en nombre o por cuenta de esta y en su beneficio directo o indirecto.
¿Puede ir a prisión el compliance officer?
Sí, pero nunca por el cargo. El Tribunal Supremo habla de un «(hoy inexistente) delito de omisión de programas de cumplimiento normativo» (STS 123/2019, de 8 de marzo). La prisión exige intervenir en un delito concreto castigado con esa pena.
El carácter personal de la responsabilidad obliga a la acusación a acreditar la conducta de cada profesional investigado, sin presumir nada por el cargo. Cada caso depende del ámbito concreto de actuación y de lo que esa persona conocía.
La primera vía es la participación activa: quien redacta el informe que oculta un soborno responde como autor, cooperador o cómplice (arts. 28 y 29 CP). Hace falta dolo.
La segunda es la imprudencia grave, solo en los delitos que la castigan expresamente (art. 12 CP). El ejemplo más claro para un responsable de prevención es el blanqueo de capitales imprudente del art. 301.3 CP.
La tercera, la omisión, se analiza abajo. Y la condena de la empresa no exonera a la persona física. Las dos responsabilidades se acumulan, como dispone el artículo 31 ter del Código Penal (STS 516/2016, de 13 de junio).
¿Qué es la posición de garante y por qué se discute en el compliance officer?
La posición de garante es la de quien tiene el deber jurídico de evitar un resultado. El artículo 11 del Código Penal equipara la omisión a la acción en los delitos de resultado cuando hay una obligación legal o contractual específica de actuar. Aplicarla al compliance officer es un debate doctrinal abierto.
La Circular FGE 1/2016 admite que el compliance officer responda por la vía del artículo 11 del Código Penal, por el deber de vigilancia que le impondría su contrato.
Hay razones de peso en contra: el Código Penal no lo prevé. El legislador de 2015 suprimió del proyecto un tipo de omisión de medidas de control. Y el art. 11 solo opera en delitos de resultado, cosa que muchos delitos empresariales no son.
Incluso quien acepta la tesis exige que el compliance officer conociera el delito, pudiera evitarlo y no actuara. El Supremo aplicó esa estructura a un consejero delegado. Le condenó «por no actuar las facultades que le corresponden» con «conocimiento de la situación generadora del deber y con posibilidad de hacerlo» (STS 516/2016). Pero un administrador decide, y el compliance officer normalmente informa y propone.
La doctrina del Supremo sobre la persona jurídica se ocupa de la empresa, no del compliance officer. Hay más análisis de esa jurisprudencia en el blog penal del despacho.
¿Cuándo responde personalmente según la SEC y la UNE 19601:2025?
La SEC, el supervisor bursátil estadounidense, limita la responsabilidad personal del director de cumplimiento a tres supuestos. Son la implicación personal en la conducta indebida, la obstrucción o engaño al supervisor y el fallo total o generalizado en sus funciones. No es Derecho español, pero sirve de vara de medir.
La regulación española no ofrece una lista equivalente de supuestos, de modo que cada aspecto de la actuación del compliance officer se examina con las reglas generales del Código Penal. Por esa diferencia de detalle, la comparación sirve solo como orientación.
La UNE 19601:2025 sigue una lógica parecida en su capítulo 5 (Liderazgo). Separa las actividades bajo control directo del órgano de compliance penal de las que solo debe impulsar sin garantizar su resultado. Así identifica las tareas clave cuyo descuido puede provocar un «fallo generalizado».
Gestionar el canal de denuncias o informar al consejo depende del compliance officer. Que cada jefe de área aplique sus controles, no. Debe poder probar por escrito que cumplió lo primero e impulsó lo segundo.
El buen funcionamiento del sistema exige que cada aspecto quede asignado a una persona concreta, de modo que nadie asuma por defecto una tarea que no controla.
¿Qué riesgos penales corre el compliance officer y cómo se mitigan?
El compliance officer afronta riesgos personales y otros que recaen sobre la empresa a través de su trabajo. Casi todos se reducen con separación de funciones, escalado inmediato y prueba documental. La tabla recoge los seis más habituales, con fuente y mitigación.
| Riesgo para el compliance officer | Fuente | Cómo se mitiga |
|---|---|---|
| Participar en el delito como autor, cooperador o cómplice | Arts. 28 y 29 CP; supuesto 1 de la SEC | No decidir sobre el negocio; dejar por escrito cada reparo |
| Comisión por omisión: no impedir un delito conocido pudiendo hacerlo | Art. 11 CP; Circular FGE 1/2016 (tesis discutida) | Escalar por escrito al órgano de gobierno; investigación interna |
| Imprudencia grave en delitos que la castigan | Arts. 12 y 301.3 CP | Diligencia debida documentada |
| Obstruir o engañar al supervisor o al juzgado | Supuesto 2 de la SEC | Información veraz, con abogado propio |
| Fallo total o generalizado en tareas bajo su control directo | Supuesto 3 de la SEC; UNE 19601:2025, cap. 5 | Plan anual de compliance y evidencia de cada control |
| Supervisión insuficiente que hace perder la eximente a la empresa | Art. 31 bis.2.4ª CP | Informes al consejo; recursos pedidos por escrito |
¿Cómo se protege un compliance officer frente a una investigación penal?
Con prueba preparada antes del problema. Un nombramiento formal, un mandato escrito, recursos solicitados e informes periódicos al órgano de gobierno demuestran qué hizo el compliance officer y cuándo. Lo que no quedó por escrito será muy difícil de probar años después.
El acta de nombramiento debe invocar el art. 31 bis.2.2ª CP y fijar sus funciones, incluido el canal de denuncias. El mandato escrito añade dependencia, tareas propias, delegadas y exclusiones.
La descripción del puesto debe delimitar el ámbito de actuación y el contenido de cada función, y se comunica a empleados y directivos para que sepan a quién acudir. En las sociedades mercantiles, la designación suele corresponder al órgano de administración.
Si el consejo asume un riesgo que el compliance officer desaconsejó, el informe debe recogerlo. Esa trazabilidad desplaza la responsabilidad a quien decide.
Combinar compliance con auditoría interna elimina una línea de defensa, y unirlo a la asesoría jurídica tampoco conviene. El art. 8.6 de la Ley 2/2023, de protección del informante permite que sea también responsable del sistema interno de información. Si lo es, los registros del canal formarán parte de su prueba.
Si llega la investigación, el compliance officer necesita abogado propio cuando sus intereses chocan con los de la sociedad. Y debe saber si le citan como testigo o en condición de investigado.
Si va a declarar como testigo, tampoco puede representar a la empresa: lo impide el artículo 786 bis de la Ley de Enjuiciamiento Criminal.
Un abogado penalista para empresas puede preparar esa declaración con los documentos.
¿Necesita documentar su función de cumplimiento para protegerse?
Preguntas frecuentes sobre la responsabilidad penal del compliance officer
¿Puede ir a prisión el compliance officer?
Puede, aunque no por ocupar el cargo. El Código Penal no castiga la supervisión deficiente. La prisión llega si el compliance officer participa con dolo en un delito o incurre en imprudencia grave donde la ley la castiga, como en el blanqueo del art. 301.3 CP. La vía de la omisión del art. 11 CP sigue discutida.
¿El compliance officer tiene posición de garante?
Es una cuestión abierta. La Circular FGE 1/2016 admite la responsabilidad del compliance officer por omisión. El Código Penal no la prevé expresamente y el legislador de 2015 retiró un tipo de omisión de medidas de control. Quien defiende esa posición de garante exige que conociera el delito, pudiera evitarlo y no actuara.
¿Responde la empresa si el compliance officer comete un delito?
Puede responder. La Fiscalía incluye al compliance officer entre las personas con facultades de organización y control del art. 31 bis.1.a CP. Si comete un delito del catálogo en beneficio de la sociedad, la persona jurídica puede ser acusada. El Supremo exige, además, un defecto organizativo propio de la empresa.
¿Puede el compliance officer representar a la empresa en el juicio?
No conviene si va a declarar. El art. 786 bis LECrim impide designar representante de la persona jurídica a quien deba declarar como testigo. La STS 123/2019, de 8 de marzo, anuló un juicio en el que no se había citado al representante y este había declarado como testigo. Es mejor nombrar a otra persona.
¿Protege la certificación UNE 19601:2025 al compliance officer?
Ayuda, pero no blinda. Para la Circular FGE 1/2016, la certificación es un elemento adicional que no acredita por sí sola la eficacia del modelo. Su utilidad para el compliance officer está en el orden documental que impone: evidencias de controles, informes al órgano de gobierno y tareas propias bien delimitadas.
¿Necesita revisar su posición como compliance officer?
Este artículo ofrece información general que no sustituye el estudio de su caso.
Si es usted compliance officer o administrador, conviene revisar el acta, el mandato y los informes al consejo antes de cualquier requerimiento judicial. Si la empresa ya está investigada, toca separar su defensa personal de la de la sociedad y ordenar los documentos que acreditan qué hizo.
Como abogado compliance penal en Madrid, diseño esta función y defiendo tanto al responsable de cumplimiento como a la persona jurídica.
Puede solicitar una consulta y estudiaremos su situación con la documentación delante.
Artículo redactado por Víctor Ávila Martínez, abogado penalista, colegiado nº 141230 del Ilustre Colegio de la Abogacía de Madrid.
¿Necesitas un abogado penalista en Madrid?
Contar con un abogado penalista desde el primer momento puede marcar la diferencia. Consulta desde 180 €, online o presencial.
Abogado penalista en Madrid (Graduado en Derecho y ADE con Máster de Acceso a la Abogacía), experto en procedimientos complejos y técnicos en Derecho Penal. Cuenta con títulos como el Curso de Derecho Penal Avanzado impartido por magistrados del Tribunal Supremo en el Iltre. Colegio de Abogacía de Madrid.
