Qué es el compliance, en pocas palabras: la función con la que una empresa cumple las normas que la obligan y los compromisos éticos que asume por voluntad propia. Mira la letra y el espíritu. Identifica los riesgos de incumplimiento, los previene, los detecta y responde cuando aparecen. Abarca la protección de datos, el blanqueo, la competencia, los consumidores, el canal de denuncias y también lo penal.
Desde el 13 de marzo de 2023, toda empresa con 50 o más trabajadores debe tener un sistema interno de información (Ley 2/2023, de 20 de febrero). Es la obligación más visible, pero no la única. Una sociedad que trata datos de clientes, cobra en efectivo o vende por internet ya tiene obligaciones de compliance, lo sepa o no.
¿Qué significa compliance y en qué se diferencia del cumplimiento normativo?
Compliance viene del inglés to comply, cumplir. En español se traduce como «cumplimiento normativo», y la traducción se queda corta. El compliance vela por la letra de la norma y también por su espíritu. Comprende las obligaciones que la ley impone a la empresa y las que la propia empresa decide asumir, como las de su código ético.
El Comité de Supervisión Bancaria de Basilea definió en 2005 el riesgo de compliance. Incluye las sanciones, pérdidas o daños reputacionales por incumplir leyes y también normas de autorregulación y códigos de conducta.
Las obligaciones obligatorias nacen de leyes, reglamentos o contratos: el RGPD, la Ley 10/2010 o el Código Penal. Las voluntarias las fija la empresa. Prohibir aceptar regalos de proveedores sin autorización o regular el uso privado del coche de empresa son ejemplos habituales. Una vez adoptadas, cuentan igual que una ley.
En términos legales, la distinción importa: incumplir un compromiso voluntario puede tener consecuencias contractuales o reputacionales. Conviene conocer cada concepto, fijar por escrito los que la empresa asume y evitar cambios improvisados, con el asesoramiento legal que cada caso requiera.
La distancia entre letra y espíritu se ve en la planificación fiscal extrema. Una operación puede respetar la ley y contradecir los valores que la sociedad dice defender. El compliance pregunta qué permite la ley y, sobre todo, qué debe hacer la empresa.
El objetivo del compliance es doble: prevenir incumplimientos y poder demostrar que la empresa actuó con diligencia. Para lograrlo se apoya en procesos y procedimientos escritos que cubren cada actividad, con un plan de seguimiento y decisiones documentadas.
Definición práctica de compliance
La clave es evaluar el riesgo legal según las necesidades del negocio. De ahí salen la estrategia y el contenido del programa, y su implementación genera confianza en clientes e inversores.
¿Qué relación hay entre la ética y el compliance?
La ética empresarial y el compliance nacieron a la vez, en Estados Unidos en los años setenta, y por los mismos escándalos. El compliance es el sistema formal: políticas, controles, formación. La ética es la cultura informal que decide si esas reglas se aplican cuando nadie mira. Un programa sin cultura ética no cambia conductas, por completo que parezca.
Treviño y Brown lo resumieron en 2004: los programas solo funcionan dentro de una cultura que apoye cada día la conducta ética. Por eso el responsable de compliance vigila el espíritu de las normas, no solo las casillas.
Enron tenía un código ético de 64 páginas con cuatro valores: respeto, integridad, comunicación y excelencia. Su cultura real buscaba lagunas normativas. La compañía quebró en diciembre de 2001 y quedó como ejemplo clásico de compliance de papel que no protege a nadie.
La Circular 1/2016 de la Fiscalía General del Estado lo dijo sin rodeos: los programas «no tienen por objeto evitar la sanción penal de la empresa sino promover una verdadera cultura ética empresarial». La protección llega como consecuencia, y la explicamos al tratar cómo protege el compliance a la empresa.
Si la plantilla percibe el compliance como burocracia o como una forma de cargarle la culpa, los incumplimientos suben. William Laufer lo llamó en 1999 la paradoja del compliance.
Buenas prácticas de compliance en la empresa
Las prácticas que más pesan son las que se aplican a diario: un código de conducta conocido por la plantilla, formación periódica, un canal para plantear dudas y un seguimiento real de las medidas adoptadas. La transparencia en las decisiones y la referencia constante a la normativa aplicable refuerzan esa cultura.
¿Quiere saber si el compliance de su empresa cubre el riesgo penal?
¿Qué es la ISO 37301 y qué exige a un sistema de compliance?
La ISO 37301:2021 es la norma internacional sobre sistemas de gestión de compliance. Apareció en abril de 2021 y sustituyó a la ISO 19600 de 2014. Su novedad es que fija requisitos, no solo recomendaciones, así que un organismo acreditado puede certificar que una empresa la cumple. Vale para cualquier organización, pública o privada, sea cual sea su tamaño.
La norma llama «requisitos» a las obligaciones que la empresa tiene que cumplir y «compromisos» a las que elige cumplir. En el centro coloca la cultura de compliance: los valores, la ética, las creencias y las conductas que interactúan con los sistemas de control. La ética entra así en la norma técnica.
El sistema sigue el ciclo de mejora continua: planificar, hacer, verificar y actuar. La empresa evalúa riesgos, aplica controles, los audita y corrige lo que falla.
Como marco de referencia internacional, esta norma es un estándar que se implementa por fases. Exige fijar el ámbito y los objetivos del sistema, definir los procesos de control, prever auditorías internas y revisar el conjunto cuando cambian la normativa, el sector o el entorno de la empresa.
La función de compliance necesita acceso directo al órgano de gobierno, independencia, autoridad y recursos. Qué documentos y controles debe tener el sistema, fase por fase, está en qué debe tener un programa de compliance.
Quien dirige esa función asume también riesgos personales, que analizamos en la responsabilidad penal del compliance officer. La ISO 37301 se integra con dos normas españolas certificables: la UNE 19601:2025, de compliance penal, y la UNE 19602:2019, de compliance tributario.
Un programa de cumplimiento bien documentado ofrece ventajas prácticas: ordena el conocimiento de la empresa sobre sus obligaciones, reduce conflictos con terceros y facilita la investigación interna cuando algo falla. Sus beneficios dependen de que sea operativo y de que se revise con el tiempo.
¿Qué áreas cubre el compliance en una empresa?
El compliance cubre cada materia en la que la empresa tiene obligaciones con consecuencias serias si las incumple. Las habituales son la protección de datos, la prevención del blanqueo, la competencia, los consumidores, el canal de denuncias y el riesgo penal. Cada una tiene su norma, su supervisor y su régimen de sanciones.
Cada sector añade sus propias normas. Una entidad financiera, una inmobiliaria o una tecnológica no se rigen por la misma legislación, y la regulación sectorial se suma a la general. Si opera en varios países, se suma también la de cada uno. Por eso el punto de partida es un mapa de la normativa que afecta a la actividad, con las herramientas de control que cada riesgo necesita.
| Área | Norma principal | Supervisor | Riesgo si falla |
|---|---|---|---|
| Protección de datos | RGPD · LO 3/2018 | AEPD | Hasta 20 M€ o el 4 % del volumen de negocio global |
| Prevención del blanqueo | Ley 10/2010 · RD 304/2014 | SEPBLAC | Desde 150.000 € por infracción muy grave; delito de blanqueo |
| Competencia | Arts. 101 y 102 TFUE · Ley 15/2007 | CNMC y Comisión Europea | Hasta el 10 % del volumen de negocios |
| Consumidores | TRLGDCU · LSSI · MiFID II | Consumo; Banco de España, CNMV y DGSFP | Cláusulas nulas, sanciones y reclamaciones |
| Canal de denuncias | Ley 2/2023 · Directiva (UE) 2019/1937 | Autoridad Independiente de Protección del Informante | Hasta 1.000.000 € |
| Penal | Arts. 31 bis a 31 quinquies CP · UNE 19601:2025 | Juzgados | Condena por los delitos que puede cometer una persona jurídica |
| Tributario | UNE 19602:2019 | Agencia Tributaria | Sanciones y delito fiscal de la empresa |
Protección de datos
El RGPD se aplica desde el 25 de mayo de 2018 y lo completa la LO 3/2018. Su regla central es la responsabilidad proactiva: la empresa debe aplicar medidas técnicas y organizativas y poder demostrar que cumple.
Muchas empresas suman a compliance las tareas del delegado de protección de datos. Una fuga de datos puede empezar como expediente de la AEPD y acabar como delito de descubrimiento y revelación de secretos.
Las acciones preventivas pasan por la privacidad desde el diseño, el registro de actividades de tratamiento y una revisión periódica de los accesos. Estos mecanismos reducen el impacto de un incidente y facilitan su gestión ante la autoridad.
Prevención del blanqueo de capitales
La Ley 10/2010 obliga a una lista cerrada de sujetos: entidades financieras, auditores, asesores fiscales, notarios o inmobiliarias, entre otros. Deben conocer al cliente y a su titular real, comunicar al SEPBLAC las operaciones sospechosas y tener control interno.
La sanción administrativa alcanza también a los administradores. Y el artículo 301 del Código Penal castiga el blanqueo con prisión de seis meses a seis años, y la empresa puede responder penalmente.
Son dos vías distintas: el expediente administrativo y los elementos del delito de blanqueo de capitales que el juez exige probar.
Defensa de la competencia
El TFUE y la Ley 15/2007 prohíben los cárteles y el abuso de posición de dominio. Fijar precios con competidores, repartirse clientes o amañar licitaciones son las conductas de mayor riesgo. La CNMC puede multar aunque la conducta no haya tenido efectos, y también a los directivos.
La Comisión Europea advirtió en 2012, en La importancia de cumplir, que tener un programa no reduce por sí solo la multa. Vale por lo que evita.
Algunas conductas cruzan la frontera penal. El artículo 262 del Código Penal castiga la alteración de precios en concursos y subastas públicas.
Protección de los consumidores
El artículo 51 de la Constitución protege la salud, la seguridad y los intereses económicos de los consumidores. Lo desarrollan el TRLGDCU (RDL 1/2007) y la LSSI. Compliance revisa la información precontractual, el desistimiento de 14 días naturales, las garantías y las condiciones generales. Las cláusulas abusivas son nulas de pleno derecho.
El cliente financiero tiene normas propias: MiFID II, la Directiva de distribución de seguros y la Ley 5/2019 de crédito inmobiliario. Una venta inadecuada genera reclamaciones y, a veces, denuncias por fraude financiero en productos de inversión.
Canal de denuncias
La Ley 2/2023 exige un sistema interno de información a las empresas de 50 o más trabajadores. En servicios financieros, prevención del blanqueo, transporte y medio ambiente no hay umbral de plantilla. La ley protege al informante frente a represalias: acuse de recibo en siete días naturales y respuesta en tres meses.
No tener ese sistema es infracción muy grave: de 600.001 a 1.000.000 € para una persona jurídica, según la Ley 2/2023 publicada en el BOE.
Quién está obligado y cómo se gestionan las comunicaciones lo detallamos en el canal de denuncias obligatorio para empresas.
La tecnología ayuda a cumplir, pero no sustituye al criterio. Una herramienta de gestión del canal debe asegurar la confidencialidad, y el primer paso es definir quién recibe y quién investiga cada comunicación para evitar conflictos de intereses.
Compliance penal
Desde la LO 5/2010, una sociedad puede responder penalmente por delitos de sus directivos o empleados. La LO 1/2015 añadió que un modelo de prevención eficaz, implantado antes del delito, puede eximirla. La base está en el artículo 31 bis del Código Penal.
Aquella reforma cambió el enfoque: ya no basta con tener documentos, porque el juez valora si los controles funcionaban en el contexto real de la empresa.
Quién responde y en qué casos lo explica el artículo sobre la responsabilidad penal de las personas jurídicas.
Entre los riesgos penales de la empresa figuran la corrupción en los negocios y el cohecho, que la legislación española permite imputar a una persona jurídica. Los protocolos sobre regalos, la política anticorrupción y la transparencia en las relaciones con funcionarios forman parte de ese marco de prevención.
Los requisitos del modelo y la exención están en compliance penal: qué es y qué requisitos exige.
Esa parte penal es la que revisamos desde el servicio de abogado de compliance penal en Madrid.
Hay más análisis de delitos económicos en el blog penal del despacho.
¿Su empresa trata datos, cobra en efectivo o contrata con la Administración?
Preguntas frecuentes sobre qué es el compliance
¿Es obligatorio el compliance para todas las empresas?
Ninguna ley obliga a toda empresa a montar un sistema completo de compliance. Hay obligaciones parciales. El canal de denuncias, desde 50 trabajadores (Ley 2/2023). El control interno, para los sujetos obligados de la Ley 10/2010. Y la responsabilidad proactiva, para quien trate datos personales. El modelo de prevención penal es voluntario, pero puede eximir de pena.
¿Se puede certificar el compliance de una empresa?
Sí. Un organismo acreditado puede certificar el sistema de gestión de compliance conforme a la ISO 37301:2021. El compliance penal se certifica con la UNE 19601:2025 y el tributario con la UNE 19602:2019. El certificado acredita que el sistema se ajusta a la norma técnica. No garantiza que la empresa quede libre de sanciones.
¿Quién se encarga del compliance en una empresa?
La función de compliance la dirige un compliance officer o, en las empresas grandes, un equipo con un Chief Compliance Officer al frente. Necesita acceso directo al órgano de administración, independencia, autoridad y recursos. La responsabilidad última sigue en el consejo y la alta dirección, que aprueban la política y la respaldan con medios.
¿Necesita una pyme un programa de compliance?
Una pyme también trata datos personales, vende a consumidores y puede responder penalmente. La ISO 37301 se adapta al tamaño y la complejidad de cada organización, así que su programa será más sencillo que el de un banco. Lo mínimo es saber qué obligaciones tiene la empresa, qué riesgos corre y quién los vigila.
¿Qué diferencia hay entre compliance y compliance penal?
El compliance penal es una parte del compliance general. Se limita a prevenir los delitos que pueden generar responsabilidad penal de la persona jurídica, conforme al artículo 31 bis del Código Penal. El compliance general llega más lejos: sanciones administrativas, pérdidas económicas, reputación y compromisos éticos que la empresa asume por voluntad propia.
¿Quiere saber en qué punto está el compliance de su empresa?
Como abogado penalista, trabajo sobre la parte del compliance que puede acabar en un juzgado. Reviso si el modelo de prevención de delitos funciona de verdad o solo existe en una carpeta, y si los controles de blanqueo, datos o competencia dejan huecos penales. Si la empresa ya está investigada, la defiendo con la documentación que hay.
Si el asunto cae fuera de lo penal, se lo diré en la primera reunión. Es el trabajo de un abogado penalista para empresas.
Este artículo ofrece información general y no sustituye el asesoramiento sobre un caso concreto. Si quiere revisar el compliance de su empresa, puede solicitar una consulta y estudiaremos su situación.
Artículo redactado por Víctor Ávila Martínez, abogado penalista, colegiado nº 141230 del Ilustre Colegio de la Abogacía de Madrid.
¿Necesitas un abogado penalista en Madrid?
Contar con un abogado penalista desde el primer momento puede marcar la diferencia. Consulta desde 180 €, online o presencial.
Abogado penalista en Madrid (Graduado en Derecho y ADE con Máster de Acceso a la Abogacía), experto en procedimientos complejos y técnicos en Derecho Penal. Cuenta con títulos como el Curso de Derecho Penal Avanzado impartido por magistrados del Tribunal Supremo en el Iltre. Colegio de Abogacía de Madrid.
