El compliance penal es el modelo de organización y gestión que una empresa implanta para prevenir los delitos que sus directivos y empleados pueden cometer en su beneficio. El artículo 31 bis del Código Penal lo convierte en causa de exención si existía y funcionaba antes del delito y reúne los seis requisitos legales. Si solo se acredita en parte, sirve para atenuar la pena.
Desde el 23 de diciembre de 2010, cuando entró en vigor la LO 5/2010, existe en España la responsabilidad penal de las personas jurídicas. Desde la LO 1/2015, el modelo implantado antes del delito es la vía para que la empresa quede fuera de la condena.
Aquí se trata la parte jurídica: cuándo exime el modelo, cuándo atenúa y qué le exige la ley. La idea general está en la guía sobre qué es el compliance y para qué sirve en una empresa.
¿Qué es el compliance penal y dónde lo regula el Código Penal?
El compliance penal es el conjunto de normas internas, controles y órganos con los que una persona jurídica identifica sus riesgos de delito y los reduce. El Código Penal lo llama «modelo de organización y gestión» y lo regula en el artículo 31 bis, apartados 2 a 5. Solo opera frente a los delitos que la ley permite imputar a una empresa.
Prevención penal en el ámbito del derecho penal de la empresa
La prevención penal pertenece al derecho penal económico y de la empresa: corrupción, blanqueo de capitales o delitos contra la Hacienda Pública, entre otros. Su carácter es preventivo, ya que busca evitar la comisión del delito y no gestionar sus consecuencias, y por eso el plan de prevención debe existir antes de la actuación investigada.
Modelo de prevención de delitos, plan de compliance o programa de cumplimiento normativo: el nombre cambia, el régimen del artículo 31 bis del Código Penal es el mismo.
La empresa solo responde por los delitos que el Código Penal prevé de forma expresa, un catálogo cerrado que reúne los delitos que puede cometer una persona jurídica.
La STS 154/2016, de 29 de febrero, dictada en Pleno, situó el núcleo de la responsabilidad de la empresa en «la ausencia de las medidas de control adecuadas para la evitación de la comisión de delitos». El glosario de compliance penal recoge la definición breve.
Consecuencias de la condena: multa y otras sanciones
Las consecuencias para la persona jurídica son la multa y, según el artículo 33.7 del Código Penal, otras penas como la disolución, la suspensión de actividades, la prohibición de ejercer determinadas actividades o la inhabilitación para obtener subvenciones y ayudas públicas. De ahí el interés de acreditar el modelo.
¿Cuándo exime el compliance penal a la empresa si delinque un directivo?
Si el delito lo comete un administrador, un representante legal o quien tiene poder de decisión, organización o control, el artículo 31 bis.2 del Código Penal exige cuatro condiciones acumulativas. Basta que falte una para perder la exención completa, aunque el modelo exista sobre el papel.
- Antes del delito, el órgano de administración adoptó y ejecutó con eficacia un modelo idóneo para prevenir delitos de la misma naturaleza o reducir de forma significativa su riesgo.
- Un órgano con poderes autónomos de iniciativa y de control supervisaba el modelo, o lo hacía uno que tenga legalmente encomendada esa función.
- Los autores cometieron el delito eludiendo fraudulentamente el modelo.
- Ese órgano no omitió su supervisión ni la ejerció de forma insuficiente.
Si el directivo delinquió sin engañar a nadie, el control no funcionaba. La Circular de la Fiscalía General del Estado 1/2016 presume ineficaz el modelo cuando un alto cargo participó en el delito, lo consintió o lo toleró.
El plan que solo existe en una carpeta no supera ninguna de las cuatro condiciones: es el compliance de papel, que no exime a la empresa.
La adopción del modelo corresponde al órgano de administración, y una modificación posterior no suple lo que faltaba el día del hecho. Las circunstancias de cada caso, como la relación del autor con la empresa o el ámbito de sus funciones, determinan qué condiciones se examinan.
¿Quiere que su modelo de prevención de delitos cumpla el artículo 31 bis?
¿Y si el delito lo comete un empleado o el modelo solo se acredita en parte?
Cuando el autor es un subordinado, el artículo 31 bis.4 del Código Penal simplifica la exención. Basta que la empresa hubiera adoptado y ejecutado con eficacia, antes del delito, un modelo adecuado para prevenir delitos de esa naturaleza. En las dos vías, si el modelo solo se acredita en parte, el tribunal puede rebajar la pena de la sociedad.
La vía de los empleados (art. 31 bis.4 CP)
Por el delito de un empleado, la empresa solo responde si sus directivos incumplieron gravemente los deberes de supervisión, vigilancia y control (art. 31 bis.1 b). Según la Circular FGE 1/2016, en esta vía no se exige la elusión fraudulenta.
Si el incumplimiento del superior es leve, la sociedad no responde penalmente. Queda la responsabilidad civil subsidiaria del artículo 120.4 del Código Penal: la empresa paga la indemnización, pero no recibe pena.
Las obligaciones de supervisión de los responsables se valoran según las circunstancias concretas: el ámbito de su competencia, la necesidad de control sobre el subordinado y los medios que tenía a su alcance.
La acreditación parcial (art. 31 bis.2, último párrafo)
Si la empresa solo prueba una parte de las condiciones, el último párrafo del artículo 31 bis.2 permite atenuar la pena; el apartado 4 se remite a esa regla. La Circular FGE 1/2016 la explica como las eximentes del Código Penal que concurren de forma incompleta: faltan requisitos, pero el control existente basta para rebajar el castigo.
Distinta es la atenuante por medidas eficaces del artículo 31 quater d), que premia el modelo implantado después del delito y antes del juicio oral.
¿Qué requisitos legales debe cumplir un modelo de prevención de delitos?
El artículo 31 bis.5 del Código Penal fija seis requisitos para cualquier modelo de prevención de delitos, desde el mapa de riesgos hasta la verificación periódica. Enunciarlos no basta. Ante un juez, cada requisito se prueba con documentos fechados antes del delito.
| Requisito (art. 31 bis.5 CP) | Qué se comprueba al valorarlo |
|---|---|
| 1.º Actividades de riesgo | Mapa de riesgos penales fechado, con los delitos del catálogo |
| 2.º Protocolos de decisión | Quién decide qué y con qué aprobaciones |
| 3.º Recursos financieros | Segregación de funciones, firmas mancomunadas, pagos justificados |
| 4.º Deber de informar | Canal de denuncias y registro de comunicaciones |
| 5.º Sistema disciplinario | Régimen comunicado y expedientes tramitados |
| 6.º Verificación periódica | Informes de revisión y actas de los cambios |
Cómo se implanta cada requisito, fase por fase, se explica en qué debe tener un programa de compliance.
El primer requisito condiciona los demás. Una empresa con varias sociedades y operaciones intragrupo tendrá en su mapa el riesgo de delito contra la Hacienda Pública.
El cuarto requisito tiene hoy ley propia. La Ley 2/2023, de protección de los informantes, obliga a las empresas de 50 o más trabajadores a tener un sistema interno de información.
La herramienta de comunicación debe ofrecer seguridad y confidencialidad, y la ley prohíbe las represalias contra el informante y prevé un régimen de sanciones por su incumplimiento. Esta regulación convive con el modelo penal, pero no lo sustituye.
Su régimen se detalla en el canal de denuncias obligatorio para empresas.
¿Puede una pyme eximirse con un programa de cumplimiento normativo?
Sí. Una pyme puede responder penalmente y también eximirse con un programa de cumplimiento normativo. El artículo 31 bis.3 del Código Penal solo cambia quién vigila el modelo: en las personas jurídicas autorizadas a presentar cuenta de pérdidas y ganancias abreviada, el propio órgano de administración puede asumir la supervisión.
La Circular FGE 1/2016 pide adaptar los seis requisitos al tamaño de la empresa. Un taller con doce trabajadores no necesita un departamento de compliance, pero sí un mapa de riesgos y reglas claras de pagos.
Un plan de prevención proporcionado a la realidad de cada sector evita exigencias desmedidas para la empresa pequeña, pero no elimina la obligación de acreditar que el modelo existía y se aplicaba. Los efectos sobre la pena dependen de esa prueba.
Las SSTS 894/2022, de 11 de noviembre, y 249/2025, de 20 de marzo, absolvieron a sociedades sin complejidad organizativa por considerarlas inimputables. Decide la estructura, no el número de socios, como explica el análisis de la responsabilidad penal de la sociedad unipersonal.
El voto particular de la STS 1073/2024, de 26 de noviembre, discrepa: el artículo 31 bis.3 no dispone «una exención de la responsabilidad penal, sino una posibilidad de incardinar las funciones de supervisión en el órgano de administración».
Las empresas pantalla, sin actividad lícita real, quedan «totalmente al margen» del artículo 31 bis por otra razón: no hay organización que prevenir (STS 108/2019, de 5 de marzo).
Lo que gana una pequeña empresa con un modelo proporcionado se resume en cómo protege el compliance a la empresa.
¿Qué criterios aplica la Fiscalía para valorar un compliance penal?
La Circular de la Fiscalía General del Estado 1/2016, de 22 de enero, instruye a los fiscales sobre cómo valorar los modelos tras la reforma de 2015. No vincula a los jueces, pero anticipa lo que el fiscal mirará antes de acusar a la sociedad o de pedir su exención.
Sus criterios de eficacia: compromiso real de la alta dirección, buena selección de directivos, firmeza ante incumplimientos anteriores, descubrimiento del delito por la propia organización y reacción posterior, con reparación y colaboración.
La Circular añade al artículo 31 bis.5 la formación de directivos y empleados, la evaluación del riesgo por clientes y países y un plazo fijo de revisión.
La Circular insiste en que el modelo responda a la realidad de la empresa y de su sector, con una evaluación del riesgo que se actualice cuando cambian las circunstancias. La voluntad de cumplir se prueba con hechos, no con declaraciones.
En un punto los tribunales se han separado de la Fiscalía. La Circular trata la exención como una excusa absolutoria cuya prueba incumbe a la empresa. La STS 298/2024, de 8 de abril, reparte la carga de otro modo, como se desarrolla en quién prueba el compliance en el juicio.
¿Quién vigila el modelo y sirve de algo certificarlo con la UNE 19601?
El modelo necesita un órgano de cumplimiento con poderes autónomos de iniciativa y control, separado de la gestión diaria. La certificación UNE 19601:2025 acredita que el sistema se ajusta a una norma técnica. No prueba ante el juez que fuera eficaz frente al delito concreto: para la Fiscalía es un elemento más, nunca una garantía.
El órgano puede ser unipersonal, el compliance officer, o colegiado. La Circular FGE 1/2016 pide personas «con la suficiente formación y autoridad» y que actúen sin necesitar el permiso del órgano de administración al que vigilan. La responsabilidad penal del compliance officer es una cuestión distinta.
La UNE 19601 se actualizó en abril de 2025. Para la Circular, las certificaciones son «un elemento adicional más de la adecuación del modelo pero en modo alguno acreditan su eficacia, ni sustituyen la valoración que de manera exclusiva compete al órgano judicial».
Como recuerda Encinar del Pozo, del Gabinete Técnico del Tribunal Supremo, el juez valora el programa frente al delito cometido y puede auxiliarse de peritos.
La certificación se concede tras la auditoría de un tercero, y su implantación requiere un responsable y herramientas de seguimiento. Aun así, la seguridad que ofrece es relativa, porque el tribunal valora el funcionamiento real del modelo y no solo su existencia.
En el servicio de abogado de compliance penal en Madrid revisamos las dos cosas: el papel y su funcionamiento real.
¿Necesita revisar el compliance penal de su empresa?
Preguntas frecuentes sobre el compliance penal
¿Es obligatorio tener un plan de compliance penal?
Ninguna norma penal obliga a una sociedad mercantil a tener un plan de compliance penal. El artículo 31 bis del Código Penal lo configura como causa de exención o de atenuación. Sí es obligatorio, por la Ley 2/2023, el sistema interno de información en las empresas de 50 o más trabajadores.
¿El compliance penal sirve si se implanta después del delito?
Un modelo implantado después del delito no exime, porque el artículo 31 bis.2 y 4 exige que existiera y funcionara antes. Sí puede atenuar la pena: el artículo 31 quater d) del Código Penal premia las medidas eficaces de prevención adoptadas antes del juicio oral.
¿Quién debe probar en el juicio que el compliance era eficaz?
Según la STS 298/2024, de 8 de abril, la acusación prueba el defecto de organización y la defensa carga con alegar el compliance, aunque rige el in dubio. Si la sociedad no propone ninguna prueba sobre su modelo, el tribunal puede entender que no existía.
¿El compliance penal libra también al directivo que cometió el delito?
No. La exención del artículo 31 bis protege solo a la persona jurídica. La responsabilidad de la empresa se suma a la de la persona física y no la sustituye (SSTS 516/2016, de 13 de junio, y 321/2023, de 9 de mayo). El directivo responde por su delito aunque la sociedad quede exenta.
¿Qué ocurre si la propia empresa descubre el delito y lo denuncia?
La Circular FGE 1/2016 indica a los fiscales que pidan la exención cuando la persona jurídica detecta el delito con sus controles y lo comunica a las autoridades. Si el modelo no basta para eximir, confesar la infracción antes de saber que el procedimiento se dirige contra la empresa es una atenuante del artículo 31 quater.
Más análisis en el blog penal del despacho.
Revisar un modelo de prevención de delitos exige conocer la empresa por dentro. Como abogado de compliance penal y abogado penalista para empresas, intervengo en dos momentos. Antes de que ocurra nada, para comprobar si el plan cumple el artículo 31 bis y se aplica de verdad. Y cuando la sociedad ya es parte de una investigación, para defenderla.
Este artículo ofrece información general y no sustituye el asesoramiento sobre un caso concreto. Si quiere saber en qué punto está su programa de cumplimiento normativo, puede solicitar una consulta y estudiaremos su situación.
Artículo redactado por Víctor Ávila Martínez, abogado penalista, colegiado nº 141230 del Ilustre Colegio de la Abogacía de Madrid.
¿Necesitas un abogado penalista en Madrid?
Contar con un abogado penalista desde el primer momento puede marcar la diferencia. Consulta desde 180 €, online o presencial.
Abogado penalista en Madrid (Graduado en Derecho y ADE con Máster de Acceso a la Abogacía), experto en procedimientos complejos y técnicos en Derecho Penal. Cuenta con títulos como el Curso de Derecho Penal Avanzado impartido por magistrados del Tribunal Supremo en el Iltre. Colegio de Abogacía de Madrid.
