Desde 2010, una empresa puede sentarse en el banquillo. La responsabilidad penal de la persona jurídica convirtió al compliance en una cuestión de defensa, no solo de buen gobierno: un delito cometido por un directivo o un empleado puede arrastrar a la sociedad a un proceso penal, con multas, intervención judicial o incluso disolución. Para los grupos internacionales con filial o actividad en España, entender cómo funciona este régimen —y cómo ha cambiado la jurisprudencia más reciente— es decisivo. Asesoramos y defendemos a empresas frente a la responsabilidad penal corporativa, en el diseño del programa de cumplimiento y en su defensa cuando el delito ya se investiga.
Qué dice el art. 31 bis CP
El art. 31 bis CP hace responsable penalmente a la persona jurídica de los delitos cometidos en su nombre y beneficio por sus representantes o administradores, y también por empleados cuando ha faltado el debido control sobre ellos. No es una responsabilidad por el hecho ajeno sin más: el fundamento es el defecto de organización de la propia empresa. Por eso el mismo precepto prevé la exención cuando la entidad había adoptado y ejecutado con eficacia un modelo de organización y gestión idóneo para prevenir delitos de esa naturaleza, supervisado por un órgano autónomo.
El programa de cumplimiento: qué lo hace eficaz
La diferencia entre un programa que exonera y uno que no sirve está en su realidad operativa. Un modelo eficaz parte de un análisis de los riesgos penales propios de la actividad, establece protocolos para prevenirlos, dota de recursos a un órgano de supervisión autónomo, articula un canal de denuncias y un régimen disciplinario, y se revisa periódicamente. Un documento adoptado para cubrir el expediente, sin implantación real, no cumple la función exoneradora. El tribunal valora el programa vivo, no el papel.
La dimensión internacional
Cuando el delito se comete en España, se aplica el régimen español aunque la matriz sea extranjera. Los grupos alemanes, austríacos o suizos con un compliance diseñado conforme a su propio estándar deben verificar que su modelo es oponible ante un tribunal español, lo que exige conocer ambos ordenamientos. La traducción no basta: hay que adaptar la arquitectura del programa a las exigencias concretas del art. 31 bis.
Errores frecuentes
El error más común es confundir el compliance mercantil o de gobierno corporativo con el compliance penal, que tiene exigencias propias orientadas a la exención del art. 31 bis. También es habitual adoptar un modelo estándar sin adaptarlo a los riesgos reales de la actividad, lo que lo vuelve inútil ante un tribunal. Y cuando el delito ya se investiga, aportar o no el programa sin una estrategia penal definida puede perjudicar la posición de la empresa más que ayudarla.
Preguntas frecuentes
¿Puede mi empresa ser condenada penalmente por un delito que cometió un directivo?
No de forma automática. El art. 31 bis CP permite la responsabilidad penal de la persona jurídica cuando el delito se comete en su nombre y beneficio por sus administradores o empleados, pero no basta con probar el delito de la persona física. El Tribunal Supremo ha rechazado la responsabilidad objetiva: hace falta acreditar un defecto de organización propio de la empresa. En la STS 768/2025, de 25 de septiembre, el Supremo absolvió a una persona jurídica precisamente porque no se probó ese defecto estructural, aunque el delito del directivo sí estaba acreditado.
¿A quién le corresponde probar que mi programa de compliance no funcionaba?
Aquí está el giro más importante de la jurisprudencia reciente, y favorece a la empresa. Durante un tiempo se entendió que la defensa debía demostrar que su modelo de prevención era eficaz. Las SSTS 768/2025, de 25 de septiembre, y 836/2025, de 14 de octubre, han devuelto la carga de la prueba a la acusación: es el Ministerio Fiscal quien debe acreditar el incumplimiento grave de los deberes de supervisión, porque ese defecto estructural es el fundamento de la responsabilidad corporativa y rige la presunción de inocencia. Para la defensa, esto abre una línea clara: si la acusación no prueba el defecto organizativo, no hay condena.
¿Tener un programa de compliance me garantiza que la empresa no será condenada?
No lo garantiza, pero es el elemento decisivo. El art. 31 bis 2 CP exime de responsabilidad a la persona jurídica si tenía un modelo de organización y gestión adecuado, adoptado y ejecutado con eficacia antes del delito, con un órgano de supervisión autónomo. La clave es que sea real y operativo, no un documento de cajón: que tenga análisis de riesgos, canal de denuncias, formación y supervisión efectiva. Un programa cosmético no exonera; uno vivo y aplicado puede excluir la responsabilidad o, al menos, atenuarla de forma relevante.
Mi empresa es alemana o tiene matriz extranjera y opera en España. ¿Qué régimen se aplica?
Si el delito se comete en España, se aplica el régimen español del art. 31 bis, aunque la matriz sea extranjera. Esto plantea un reto práctico: un grupo con un compliance diseñado conforme al estándar alemán —donde el debate sobre la Verbandsverantwortlichkeit y el Verbandssanktionengesetz ha seguido su propio camino— debe verificar que su modelo cumple también las exigencias españolas del art. 31 bis. Como abogada con doble formación en España y Alemania, reviso esa compatibilidad para que el programa del grupo sea oponible ante un tribunal español, no solo ante uno alemán.
Si investigan a mi empresa, ¿conviene aportar el programa de compliance o esperar?
Es una decisión estratégica que depende del caso, y conviene tomarla con asesoramiento penal, no de forma automática. Tras las SSTS 768/2025 y 836/2025, si la acusación no acredita el defecto organizativo, la defensa puede sostener que falta un elemento de la culpabilidad sin necesidad de exhibir todo el modelo. En otros supuestos, aportar un programa sólido y bien documentado desde el inicio refuerza la posición de la empresa. En los casos que llevo, esa decisión se valora caso por caso, midiendo qué ha probado realmente la acusación antes de mover ficha.
Últimas tendencias en los tribunales
La jurisprudencia más relevante para cualquier empresa investigada llegó en el otoño de 2025, y cambió el reparto de la carga de la prueba a favor de la defensa. En la STS 768/2025, de 25 de septiembre (Sala de lo Penal, ponente Palomo Del Arco), y en la STS 836/2025, de 14 de octubre, el Tribunal Supremo rechazó de forma expresa la responsabilidad objetiva de la persona jurídica: no existe una presunción de defecto organizativo por el solo hecho de que un directivo haya cometido un delito. El Supremo afirma que, al ser ese defecto estructural el fundamento de la responsabilidad corporativa, la presunción de inocencia obliga al Fiscal a acreditar el incumplimiento grave de los deberes de supervisión. La consecuencia práctica es de primer orden: si la acusación no prueba el defecto de organización, la empresa no puede ser condenada, y la defensa puede sostener la falta de ese elemento sin verse obligada a exhibir todo su modelo de prevención. Conviene tener presente que la doctrina sobre esta materia ha oscilado en los últimos años —la STS 298/2024 había situado la carga en la defensa—, por lo que cada caso exige comprobar el estado vigente del criterio.
Hablemos de la exposición penal de su empresa, con discreción
Elaboramos de forma eficaz programas de cumplimiento normativo, con experiencia probada en numerosos ámbitos y sectores. Si su empresa está siendo investigada, o quiere asegurarse de que su programa de compliance realmente protege frente a la responsabilidad penal en España, conviene una revisión técnica antes de que el riesgo se materialice. Estudiamos su situación con la confidencialidad que estos asuntos exigen y le explicamos qué corresponde a su caso.
Teléfono: +34 919 492 119 · Emergencias / WhatsApp: +34 626 804 157 · Email: [email protected]