Programas de compliance, “beneficio” y el error de creer que “solo responden las personas”
Durante años, el Derecho penal se explicaba con una idea sencilla: delinquen las personas, no las empresas. Hoy esa frase, tal cual, es peligrosa. El Código Penal español permite que, en determinados delitos, una persona jurídica (una SL, SA, asociación, fundación, etc.) pueda ser investigada, acusada y condenada.
El artículo clave es el art. 31 bis CP, que marca el “cuándo” y el “por qué” de esa responsabilidad: delitos cometidos en nombre o por cuenta de la empresa y en su beneficio directo o indirecto, con un elemento que lo atraviesa todo: la falta de controles y modelos de prevención eficaces.
Este artículo está pensado para entenderlo sin jerga innecesaria: qué condiciones suelen activarlo, qué papel juegan administradores y empleados, y qué significa realmente tener (o no tener) un programa de cumplimiento.
En Madrid Salinas Abogados te asesoramos sobre cuestiones de implantación de instrumentos de seguridad para que la empresa cumpla con los protocolos para no incurrir en delito.
1) La idea base del art. 31 bis: el “beneficio” y el fallo de control
Para que una empresa responda penalmente, no basta con que alguien de la organización cometa un delito. En términos prácticos, el análisis suele girar alrededor de tres ejes:
- Quién cometió el hecho (administradores/representantes o empleados).
- En nombre o por cuenta de quién se actuó (la empresa).
- Si hubo beneficio para la empresa (directo o indirecto).
Y, además, aparece la pregunta decisiva: ¿existían modelos de organización y gestión adecuados para prevenir delitos o reducir de forma significativa el riesgo? Esa es la “bisagra” del sistema.
2) Dos escenarios típicos: delitos de directivos vs delitos de empleados
Sin entrar a enumeraciones interminables, el 31 bis diferencia dos grandes situaciones:
A) Delito cometido por administradores o representantes
Cuando quienes tienen mando real actúan en nombre de la empresa, la imputación de la persona jurídica suele construirse con más facilidad, porque el “centro de decisión” está arriba.
B) Delito cometido por empleados o subordinados
Aquí el punto clave es el control: si el delito ocurre por ausencia de supervisión, controles insuficientes o cultura de “hazlo como sea”, el riesgo para la empresa crece.
En ambos escenarios, el debate real termina pareciéndose: qué controles existían, si eran reales, si funcionaban, y si se aplicaban.
Llámanos a nuestro teléfonos +34854643723 o al +34604902418
3) ¿Qué se entiende por “beneficio” de la empresa?
No hace falta que el beneficio sea un ingreso claro y contable. En la práctica se discuten beneficios como:
- ahorro de costes (no cumplir, no invertir, no prevenir),
- ventaja competitiva ilícita,
- obtención o mantenimiento de contratos,
- mejora de posición en el mercado por atajos ilegales.
Por eso muchos procedimientos “corporativos” se deciden en documentos: decisiones internas, correos, órdenes, circuitos de pagos, aprobación de gastos, y trazabilidad de quién autorizó qué.
4) El corazón del asunto: el modelo de prevención (compliance) y cuándo “sirve”
El Código Penal no exige un “papel bonito”. Exige un modelo eficaz. En la práctica, un programa de prevención que suele tener opciones reales incluye, como mínimo:
- Mapa de riesgos penalmente relevante (no genérico).
- Protocolos y controles en áreas sensibles (pagos, contratación, intermediarios, regalos/hospitalidad, caja, proveedores).
- Órgano o responsable con autonomía para supervisar.
- Canal de denuncias y respuesta real (no decorativo).
- Formación y comunicación interna.
- Régimen disciplinario y consecuencias internas cuando se incumple.
- Revisión y actualización periódica (siempre documentada).
El error típico es creer que “tener un PDF de compliance” ya salva. Si no hay evidencia de implantación, seguimiento y reacción ante incidencias, el programa se convierte en una alfombra: tapa, pero no protege.
5) ¿Qué pasa si la empresa tenía compliance?
Aquí hay una idea práctica importante: un modelo eficaz puede excluir o atenuar la responsabilidad de la persona jurídica, pero su eficacia se mide en hechos:
- ¿se evaluó el riesgo real del sector?
- ¿había controles donde el delito ocurrió?
- ¿se cumplieron o se eludieron con facilidad?
- ¿la dirección lo respetaba o lo ignoraba?
- ¿se investigaban alertas internas?
En procedimientos, la diferencia entre “cumplimiento real” y “cumplimiento de escaparate” suele ser exactamente la misma de siempre: documentación + trazabilidad + coherencia.
6) Consecuencias: a la empresa le puede doler más que a una persona
Cuando una persona jurídica es condenada, la pena no es “una multa sin importancia”. Dependiendo del caso, pueden aparecer:
- multas relevantes,
- suspensión de actividades,
- clausura de locales,
- prohibición de contratar con el sector público,
- intervención judicial,
- y otras medidas de impacto reputacional y operativo.
Por eso, cuando se abre una investigación penal que toca a la empresa, la respuesta inicial es crítica: qué se preserva, cómo se colabora, qué se aporta y qué se corrige.
Escribe a nuestro correo info@mslegal.es
7) Qué hacer si una empresa se ve afectada por una investigación penal
Sin entrar en tecnicismos procesales, estos pasos suelen ser determinantes al inicio:
- Preservación de evidencias (correos, servidores, dispositivos, contabilidad, contratos).
- Identificación clara de responsables y circuitos de decisión (quién aprobaba qué).
- Revisión del modelo de prevención: qué existía antes de los hechos y qué se aplicaba realmente.
- Medidas correctoras documentadas (cuando proceda): controles, suspensión de prácticas, investigación interna, formación.
- Estrategia de comunicación interna: no “quemar” pruebas con mensajes improvisados.
La improvisación en este punto suele empeorar el caso más que el propio hecho inicial.
8) Conclusión: la empresa puede ser parte del problema… o parte de la solución
El art. 31 bis CP introduce un mensaje claro: una empresa puede responder penalmente si el delito se comete en su ámbito y en su beneficio, especialmente cuando fallan los controles. Pero también deja una puerta abierta: la prevención real y eficaz importa.
En la práctica, esto convierte el compliance en algo muy poco glamuroso y muy útil: controles bien hechos, aplicados, y que dejan rastro.