Un programa de compliance debe tener nueve elementos: mapa de riesgos penales, código ético, políticas y controles, órgano de cumplimiento, canal de denuncias, formación, sistema disciplinario, verificación periódica y documentación de todo lo anterior. El artículo 31 bis del Código Penal exige la mayoría de ellos. La UNE 19601:2025 y la ISO 37301:2021 completan la lista y explican cómo implantar cada pieza.
El artículo 31 bis del Código Penal fija en su apartado 5 seis requisitos del modelo de prevención de delitos. Dice qué debe existir, pero no en qué orden se construye ni qué papeles prueban que funcionaba. Esta guía lo cruza con la UNE 19601:2025 (compliance penal) y la ISO 37301:2021 (compliance general) en una lista de trabajo por fases.
Aquí se trata el cómo. Qué es el compliance y de dónde viene se explica en la guía general sobre qué es el compliance.
El cumplimiento normativo de una empresa no se agota en el Código Penal: abarca también la normativa sectorial, la protección de datos y la ciberseguridad. Este programa se centra en el ámbito penal y se apoya en estándares reconocidos, no en una plantilla genérica.
Las condiciones para que el modelo exima a la sociedad están en los requisitos legales del compliance penal.
¿Qué elementos debe tener un programa de compliance?
Un programa de compliance tiene nueve elementos que se implantan en cinco fases: diagnóstico, normas internas, vigilancia, cultura y prueba. La tabla cruza cada elemento con el artículo 31 bis.5 del Código Penal, la UNE 19601:2025 y la ISO 37301:2021, y señala la evidencia documental que debe quedar de cada uno.
| Elemento | Qué incluye | Art. 31 bis.5 CP | UNE 19601:2025 | ISO 37301:2021 | Evidencia documental |
|---|---|---|---|---|---|
| 1. Mapa de riesgos penales | Contexto, delitos posibles en cada proceso, probabilidad × impacto, controles y riesgo residual | 1.º: identificar las actividades en las que pueden cometerse los delitos que deben prevenirse | Cap. 4 (contexto): identificación, análisis y valoración del riesgo penal | Cap. 4 (contexto): evaluación del riesgo de compliance | Matriz fechada, metodología, entrevistas y todas las versiones |
| 2. Código ético | Valores y normas de conducta propios, con remisión al régimen disciplinario | 2.º: protocolos de formación de la voluntad, adopción y ejecución de decisiones | Cap. 5 (liderazgo): política de compliance penal aprobada por el órgano de gobierno | Cap. 5 (liderazgo): política de compliance y cultura de cumplimiento | Acta de aprobación, acuses de recibo firmados, registro de versiones |
| 3. Políticas, procedimientos y controles | Políticas por riesgo, controles financieros y no financieros, diligencia debida con terceros | 2.º y 3.º: modelos de gestión de los recursos financieros adecuados para impedir delitos | Cap. 8 (operación): controles financieros y no financieros, diligencia debida, cláusulas con socios | Cap. 8 (operación): controles y procedimientos, probados periódicamente | Árbol de políticas vigentes, aprobaciones de pagos, expedientes de diligencia debida |
| 4. Órgano de cumplimiento | Persona u órgano con poderes autónomos de iniciativa y control, recursos y acceso al consejo | No lo enumera: lo exige el art. 31 bis.2.2.ª (en pymes, art. 31 bis.3) | Cap. 5: órgano de compliance penal con acceso directo al órgano de gobierno | Cap. 5: función de compliance (acceso directo, independencia, autoridad, recursos) | Acta de nombramiento con funciones, presupuesto, actas e informes al consejo |
| 5. Canal de denuncias | Comunicaciones confidenciales o anónimas, sin represalias, con investigación de cada una | 4.º: obligación de informar de riesgos e incumplimientos al organismo de vigilancia | Cap. 8: canal e investigaciones, adaptado a la Ley 2/2023 y a la ISO 37002 | Cap. 8: canal para plantear inquietudes y procesos de investigación | Procedimiento de gestión, libro-registro y resolución de cada comunicación |
| 6. Formación | Plan por perfiles de riesgo, al incorporarse y periódico, con prueba de aprovechamiento | No la enumera (la pide la Circular FGE 1/2016) | Cap. 7 (apoyo): formación de los miembros y toma de conciencia, también de socios | Cap. 7 (apoyo): competencia, formación y toma de conciencia | Plan anual, listas de asistencia, resultados de las pruebas |
| 7. Sistema disciplinario | Faltas graduadas y sanciones proporcionales, conocidas de antemano, para todos los niveles | 5.º: sistema disciplinario que sancione el incumplimiento de las medidas del modelo | Cap. 7: acciones disciplinarias y prohibición de represalias | Caps. 5 y 7: medidas disciplinarias rápidas y proporcionadas | Régimen comunicado, expedientes sancionados y archivados |
| 8. Verificación periódica | Plan de monitorización, auditoría, revisión por la dirección, acciones correctivas | 6.º: verificación periódica y modificación tras infracciones relevantes o cambios | Caps. 9 y 10: auditoría interna, tres revisiones, no conformidades | Caps. 9 y 10: seguimiento, auditoría interna, revisión por la dirección y mejora | Plan de monitorización aprobado, informes de revisión, planes de acción |
| 9. Documentación y evidencias | Repositorio con el diseño, el desarrollo y la ejecución del programa | No la enumera: es la prueba de los seis requisitos | Cap. 7: información documentada (disponibilidad, integridad, confidencialidad) | Cap. 7: información documentada | Repositorio con control de versiones y sellado de tiempo |
Tres elementos no figuran en el artículo 31 bis.5. El órgano de cumplimiento está en su apartado 2. La formación la pide la Circular de la Fiscalía General del Estado 1/2016. La documentación prueba el resto. Las normas técnicas se citan por capítulos. La definición breve del término está en el glosario de compliance penal.
Implementación del programa de compliance: un ejemplo práctico
El peso de cada elemento varía según el sector y la entidad. Una empresa que concurre a licitaciones públicas o trabaja con proveedores en el extranjero necesita más diligencia debida. Otra con muchos empleados en contacto con clientes necesita más formación. Por eso la implementación no es idéntica en todas las organizaciones, y en la práctica se aplica de forma proporcionada a cada actividad.
Para qué sirve todo este trabajo, más allá de la exención, se cuenta en cómo protege el compliance a la empresa.
El programa también cuida la reputación y la imagen de la empresa, y refuerza la confianza de clientes, proveedores y entidades financieras gracias a la transparencia en la gestión.
Fase 1. ¿Por dónde se empieza un programa de compliance?
Un programa de compliance empieza con un acuerdo del órgano de administración que encarga el proyecto y, enseguida, con el mapa de riesgos penales. Sin saber qué delitos podrían cometerse en cada proceso de la empresa, ninguna norma ni control tiene a qué responder.
1. Mapa de riesgos penales
El mapa responde al primer requisito del artículo 31 bis.5. La UNE 19601:2025 lo ha llevado al capítulo 4 (contexto) y lo divide en identificación, análisis y valoración. El trabajo sigue cuatro pasos:
- Contexto: objeto social, canales de venta, zona geográfica, plantilla, clientes y relación con las Administraciones.
- Identificación, delito por delito del catálogo de delitos de la persona jurídica, con entrevistas documentadas a cada área.
- Riesgo inherente: probabilidad × impacto, como si no hubiera ningún control.
- Riesgo residual tras valorar los controles, que no debe superar el apetito de riesgo fijado por la dirección.
Un riesgo no identificado se acepta por defecto. Casi todas las empresas comparten el de defraudar a la Hacienda Pública.
Evidencia: la matriz fechada, la metodología y todas las versiones. Se revisa cada año y tras cambios relevantes o incumplimientos.
Identificar los riesgos legales de cada actividad es la clave del programa, porque de ahí salen los demás elementos. Un equipo con representantes de cada área y apoyo jurídico aporta el conocimiento de los procesos que no figura en ningún documento.
¿Está implantando un programa de compliance en su empresa?
Fase 2. ¿Qué normas internas necesita un programa de compliance?
Las normas internas de un programa de compliance forman una pirámide. Arriba, un código ético propio y breve. Debajo, la política de compliance y las políticas que salen del mapa de riesgos. En la base, los procedimientos y controles diarios. Ninguna norma puede contradecir a otra superior, ni el código a la ley o al convenio.
2. Código ético
El código ético es la norma de máximo nivel. Debe ser propio, porque un código común a varias sociedades carece de valor, y conciso: el mejor no es el más largo, sino el que regula lo que debe. Lo aprueba el consejo y obliga también a directivos y administradores.
Junto a él, el órgano de gobierno aprueba la política de compliance penal. Según la UNE 19601:2025, esa política prohíbe los delitos, obliga a informar de conductas sospechosas y explicita la autoridad del órgano de cumplimiento.
Evidencia: acta de aprobación, acuse de recibo firmado al incorporarse, confirmación periódica y registro de versiones con fecha y motivo.
3. Políticas, procedimientos y controles
Las políticas específicas nacen del mapa: anticorrupción, regalos, uso informático, conflictos de intereses. Una «norma de normas» fija quién aprueba, difunde y archiva cada una.
Los controles concretan el tercer requisito del artículo 31 bis.5: modelos de gestión de los recursos financieros adecuados para impedir delitos. La UNE 19601:2025 cita la segregación de funciones, las firmas mancomunadas, la justificación de pagos y la restricción del efectivo, que reduce el riesgo de blanqueo de capitales con dinero en efectivo.
La diligencia debida lleva el control a los socios de negocio con riesgo superior a «bajo» y permite descartar a una sociedad pantalla sin actividad real. En sus contratos se pactan cuatro cláusulas: prohibición de delinquir, exigencia de un sistema de compliance, auditoría y resolución.
Evidencia: árbol de políticas vigentes, aprobaciones de pagos, pruebas de controles por muestreo y expedientes de diligencia debida.
Cada documento debe tener un contenido adaptado a la necesidad real de la empresa y una aplicación comprobable. Las políticas dirigidas a evitar la comisión de delitos incluyen ejemplos concretos de conductas prohibidas, y los proveedores de servicios que actúan en nombre de la empresa quedan sujetos a ellas por contrato.
Fase 3. ¿Quién vigila el programa de compliance y cómo se detectan los incumplimientos?
El programa de compliance lo vigila un órgano de cumplimiento con poderes autónomos de iniciativa y control, que necesita recursos y acceso directo al consejo. Los incumplimientos llegan sobre todo por el canal de denuncias, que debe garantizar la confidencialidad, admitir comunicaciones anónimas y proteger frente a represalias.
4. Órgano de cumplimiento
El órgano de cumplimiento no está en el apartado 5, sino en el 31 bis.2.2.ª, dentro del régimen de responsabilidad penal de las personas jurídicas. Puede ser unipersonal o colegiado. La Circular FGE 1/2016 le exige recursos y formación, y que actúe sin autorización previa.
En la sociedad que presenta cuenta de pérdidas y ganancias abreviada, el artículo 31 bis.3 permite que la supervisión la asuma el órgano de administración. La independencia se protege con cese motivado por escrito y retribución no ligada a objetivos comerciales.
Evidencia: acta de nombramiento con funciones, presupuesto propio, actas e informes al consejo. Lo que arriesga quien ocupa el cargo se analiza en la responsabilidad penal del compliance officer.
5. Canal de denuncias
El canal cumple el cuarto requisito del artículo 31 bis.5: informar de riesgos e incumplimientos al órgano de vigilancia. La UNE 19601:2025 lo adapta a la Ley 2/2023 y a la ISO 37002.
La Ley 2/2023, de protección de las personas informantes lo impone a las empresas de 50 o más trabajadores, con comunicaciones anónimas y sin represalias.
Toda comunicación se investiga y se cierra con una resolución documentada. Los detalles están en qué empresas deben tener canal de denuncias. Evidencia: procedimiento de gestión, libro-registro y estadísticas anonimizadas para el consejo.
Entre los mecanismos de detección están el canal, las auditorías y los controles automáticos. Las herramientas informáticas de gestión del canal sirven si aseguran la confidencialidad y la trazabilidad, y el equipo que investiga debe ser independiente de las áreas afectadas.
Fase 4. ¿Cómo se consigue que la plantilla cumpla el programa de compliance?
La plantilla cumple el programa de compliance cuando lo conoce, sabe qué hacer ante un indicio y ve consecuencias reales. Eso exige formación por perfiles de riesgo, con prueba de aprovechamiento, y un sistema disciplinario proporcionado que se aplique igual al empleado y al directivo.
6. Formación
La formación no está en el artículo 31 bis.5, pero la exige la Circular FGE 1/2016. La ISO 37301:2021 pide formar al incorporarse y a intervalos planificados, según el puesto, y evaluar su eficacia.
El empleado debe saber qué riesgos corre y a quién acudir. La UNE 19601:2025 distingue la formación de los miembros y la toma de conciencia, que alcanza a los socios de negocio.
Evidencia: plan anual, listas de asistencia y resultados de pruebas individuales. La asistencia no acredita el aprovechamiento.
7. Sistema disciplinario
El quinto requisito del artículo 31 bis.5 exige sancionar el incumplimiento de las medidas del modelo. El sistema amplía el convenio colectivo: gradúa las faltas, con el delito como la más grave, y fija sanciones proporcionales conocidas de antemano.
Su eficacia se mide por el número, la rapidez y la contundencia de las sanciones. La ISO 37301:2021 pide igual trato sea cual sea el puesto del infractor, y la Circular FGE 1/2016 valora la firmeza ante vulneraciones anteriores.
Evidencia: régimen comunicado y expedientes tramitados, también los archivados con su motivo.
Fase 5. ¿Cómo se demuestra que el programa de compliance funciona?
Un programa de compliance demuestra que funciona con verificaciones periódicas y con documentación generada mientras se aplica. El artículo 31 bis.5.6.º exige verificar el modelo y modificarlo tras infracciones relevantes o cambios. Sirve la evidencia que nace al ejecutar cada control, fechada y localizable.
8. Verificación periódica
El Código Penal no fija plazo. La Circular FGE 1/2016 pide que lo establezca el propio modelo, y lo habitual es una verificación anual, más una revisión inmediata tras una infracción relevante o un cambio de estructura, actividad o ley.
Entre revisiones trabaja el plan de monitorización, que elabora el órgano de cumplimiento y aprueba la alta dirección. La UNE 19601:2025 añade auditoría interna y revisiones del órgano de compliance, la alta dirección y el órgano de gobierno.
Evidencia: plan de monitorización aprobado, informes de revisión y planes de acción con responsable y fecha.
Actualización del programa ante cambios de regulación
La actualización del programa no espera a la verificación anual cuando cambia la normativa aplicable o la actividad de la empresa. Una reforma del Código Penal, una nueva regulación sectorial o la entrada en otro ámbito de negocio obligan a revisar el mapa de riesgos y los documentos que dependen de él, y a dejar constancia de lo modificado.
9. Documentación y evidencias
En compliance circula un aforismo: control no documentado equivale a control inexistente. La ley no enumera la documentación, pero es la única forma de probar los otros ocho elementos.
Se documenta el diseño, el desarrollo, la ejecución (por qué se actuó y por qué no) y los papeles colaterales, como las actas del consejo. Cada evidencia se nombra, se fecha y, si es posible, se sella en el tiempo.
Un modelo que solo documenta su diseño es un compliance de papel que no exime.
Cuando la sociedad pasa a ser investigada en un procedimiento penal, esa documentación sostiene su defensa.
La STS 298/2024, de 8 de abril, sitúa «en principio» en la defensa la carga de alegar el compliance. El reparto completo se explica en quién prueba el compliance en el juicio.
¿Quiere comprobar si su programa de compliance aguantaría ante un juez?
Preguntas frecuentes sobre el programa de compliance
¿Se puede copiar el programa de compliance de otra empresa?
Copiar el programa de compliance de otra empresa es uno de los errores más graves. La Circular FGE 1/2016 advierte que la copia suscita serias reservas sobre la idoneidad del modelo y el compromiso real de la empresa. El mapa de riesgos y los controles deben salir de la actividad de cada sociedad.
¿Una pyme necesita todos los elementos del programa de compliance?
Una pyme necesita los nueve elementos del programa de compliance, adaptados a su tamaño. Si presenta cuenta de pérdidas y ganancias abreviada, el artículo 31 bis.3 del Código Penal permite que su órgano de administración asuma la supervisión. Siguen haciendo falta mapa de riesgos, reglas de pagos, régimen disciplinario y evidencias.
¿Qué diferencia hay entre la UNE 19601:2025 y la ISO 37301:2021?
La UNE 19601:2025 es la norma española de compliance penal, pensada para el artículo 31 bis del Código Penal. La ISO 37301:2021 es internacional y cubre cualquier obligación de cumplimiento. Ambas son certificables y comparten la estructura de las normas ISO, así que caben en un mismo sistema de gestión.
¿Certificar el programa de compliance garantiza que la empresa quede protegida?
Certificar el programa de compliance no garantiza la protección penal de la empresa. Para la Circular FGE 1/2016, la certificación es un elemento adicional que no acredita la eficacia del modelo ni sustituye la valoración del juez. Ayuda como referencia, siempre que el programa se aplique de verdad.
¿Puede externalizarse el programa de compliance?
La empresa puede externalizar parte del programa de compliance: asesoramiento, gestión del canal, formación o verificación. La responsabilidad no se delega. Dentro de la organización debe haber una persona u órgano con poderes autónomos de iniciativa y control que tome las decisiones y responda ante el consejo.
Implantar un programa de compliance exige conocer la empresa por dentro y saber cómo lo examinará un fiscal. Como abogado de compliance penal en Madrid, acompaño a la sociedad en cada fase y reviso programas ya implantados.
Si la empresa ya está investigada, su defensa la asume un abogado penalista para empresas que trabaja con la documentación existente.
Hay más análisis sobre la empresa y el proceso penal en el blog penal del despacho.
Este artículo ofrece información general, no asesoramiento sobre un caso concreto. Si quiere saber qué le falta a su programa de compliance o por dónde empezar, puede solicitar una consulta y estudiaremos su situación.
Artículo redactado por Víctor Ávila Martínez, abogado penalista, colegiado nº 141230 del Ilustre Colegio de la Abogacía de Madrid.
¿Necesitas un abogado penalista en Madrid?
Contar con un abogado penalista desde el primer momento puede marcar la diferencia. Consulta desde 180 €, online o presencial.
Abogado penalista en Madrid (Graduado en Derecho y ADE con Máster de Acceso a la Abogacía), experto en procedimientos complejos y técnicos en Derecho Penal. Cuenta con títulos como el Curso de Derecho Penal Avanzado impartido por magistrados del Tribunal Supremo en el Iltre. Colegio de Abogacía de Madrid.
