Una empresa puede desarrollar su actividad con normalidad y, sin embargo, encontrarse ante un riesgo penal derivado de determinadas actuaciones realizadas dentro de su organización.
Desde la introducción de la responsabilidad penal de las personas jurídicas en el Código Penal, determinadas empresas pueden responder penalmente por delitos cometidos por sus representantes, administradores o empleados cuando concurren las circunstancias establecidas legalmente.
Esto significa que el riesgo penal no afecta únicamente a las grandes empresas. También puede afectar a pequeñas y medianas empresas cuando determinadas conductas se realizan en su nombre, por su cuenta o en su beneficio y concurren los requisitos establecidos por la ley.
La prevención de estos riesgos requiere conocer cómo funciona la responsabilidad penal de la empresa y establecer medidas de organización y control adecuadas a su actividad.
1. ¿Puede una empresa cometer un delito?
Sí, pero es importante precisar cómo funciona jurídicamente esta responsabilidad.
El Artículo 31 bis del Código Penal (BOE) establece que, en los supuestos expresamente previstos por la propia legislación penal, las personas jurídicas pueden responder por determinados delitos cometidos:
- En nombre o por cuenta de la empresa y en su beneficio directo o indirecto por sus representantes legales o personas con facultades de decisión, organización y control.
- Por personas sometidas a la autoridad de las anteriores, cuando hayan podido cometer el delito debido a un incumplimiento grave de los deberes de supervisión, vigilancia y control.
Por tanto, no cualquier delito cometido por un trabajador genera automáticamente responsabilidad penal para la empresa.
Es necesario que el delito sea uno de aquellos para los que el Código Penal contempla responsabilidad de la persona jurídica y que concurran las circunstancias previstas legalmente.
2. ¿La empresa responde automáticamente por lo que haga un administrador o trabajador?
No.
Esta cuestión es especialmente importante para las pymes.
La responsabilidad penal de la persona jurídica no debe confundirse con una responsabilidad automática por los actos realizados por una persona física vinculada a la empresa.
El Tribunal Supremo ha señalado que la responsabilidad penal de la persona jurídica tiene que fundamentarse en un hecho propio de la entidad y no simplemente en trasladar a la empresa la responsabilidad de la persona física.
En una sentencia de 11 de abril de 2025, el Tribunal Supremo volvió a señalar que no basta con atribuir a la persona jurídica los mismos hechos imputados al administrador. La responsabilidad debe relacionarse con las circunstancias propias de la organización y, en particular, con posibles deficiencias en sus sistemas de prevención, vigilancia y control.
Esto es especialmente relevante para entender el papel del compliance penal.
3. ¿Qué delitos pueden generar responsabilidad para una empresa?
La responsabilidad penal de las personas jurídicas no se aplica a todos los delitos.
El Código Penal establece específicamente los delitos en los que puede existir responsabilidad de la empresa.
Entre las materias en las que puede aparecer este riesgo se encuentran, entre otras:
- Estafas.
- Delitos contra la Hacienda Pública.
- Delitos contra la Seguridad Social.
- Delitos de corrupción.
- Delitos de blanqueo de capitales.
- Delitos contra el medio ambiente.
- Determinados delitos contra los trabajadores.
- Delitos relativos a la propiedad intelectual e industrial.
- Determinados delitos relacionados con la protección de datos y sistemas informáticos.
- Delitos de financiación ilegal de partidos políticos, en los supuestos legalmente previstos.
La lista no debe interpretarse como una responsabilidad general de la empresa frente a cualquier conducta delictiva. Es necesario comprobar en cada caso si el delito concreto contempla responsabilidad penal de la persona jurídica y si concurren los requisitos establecidos.
4. ¿Qué importancia tiene el beneficio para la empresa?
El beneficio directo o indirecto para la persona jurídica es uno de los elementos relevantes del artículo 31 bis.
Por ejemplo, determinadas actuaciones realizadas por un administrador o representante pueden generar responsabilidad de la empresa cuando se realizan en su nombre o por su cuenta y buscan un beneficio para ella.
El Tribunal Supremo ha señalado que este requisito de beneficio para la persona jurídica es un elemento indispensable para la responsabilidad prevista en el artículo 31 bis.
Esto no significa necesariamente que la empresa haya obtenido finalmente un beneficio económico. La ley contempla tanto el beneficio directo como el indirecto y las circunstancias deben analizarse en cada caso.
5. ¿Qué es un programa de compliance penal?
Un programa de compliance penal es un sistema de organización y control destinado a identificar y gestionar los riesgos de comisión de determinados delitos dentro de la empresa.
No consiste simplemente en disponer de un documento denominado «compliance».
El artículo 31 bis exige que los modelos de organización y gestión incorporen diferentes elementos, entre ellos:
- Identificación de las actividades en las que pueden cometerse delitos.
- Protocolos para la adopción y ejecución de decisiones.
- Sistemas de gestión de recursos financieros adecuados para prevenir los delitos identificados.
- Obligación de comunicar posibles riesgos e incumplimientos.
- Sistema disciplinario.
- Verificación periódica del modelo y su modificación cuando resulte necesaria.
Por tanto, el modelo debe estar conectado con la actividad real de la empresa y funcionar en la práctica.
6. ¿Necesita una pyme un programa de compliance?
No existe una respuesta idéntica para todas las empresas.
Una pequeña empresa debe valorar sus riesgos reales teniendo en cuenta su actividad, estructura, relaciones comerciales, operaciones y organización interna.
Además, el propio Código Penal contempla una particularidad para las personas jurídicas de pequeñas dimensiones: las funciones de supervisión del modelo pueden ser asumidas directamente por el órgano de administración cuando se trate de entidades autorizadas a presentar cuenta de pérdidas y ganancias abreviada.
Esto no significa que una pequeña empresa quede fuera de la prevención penal.
Significa que las medidas de organización y control pueden adaptarse a su dimensión y estructura.
La Fiscalía también ha señalado que los modelos de las pequeñas organizaciones deben adaptarse razonablemente a sus características, sin exigir una estructura equivalente a la de una gran corporación.
7. ¿Qué ocurre si la empresa tiene un modelo de prevención eficaz?
La existencia de un modelo adecuado y eficaz puede tener una importancia decisiva.
Cuando el delito ha sido cometido por las personas que ejercen funciones de representación, administración, organización o control, el Código Penal establece determinadas condiciones que pueden permitir la exención de responsabilidad de la persona jurídica.
Entre ellas se encuentra que, antes de la comisión del delito:
- El órgano de administración haya adoptado y ejecutado eficazmente un modelo adecuado.
- La supervisión haya sido atribuida al órgano correspondiente con autonomía de iniciativa y control.
- El autor haya eludido fraudulentamente las medidas de prevención.
- No haya existido una omisión o ejercicio insuficiente de las funciones de supervisión.
Cuando estas circunstancias solo puedan acreditarse parcialmente, pueden tener efectos sobre la pena.
Cuando el delito haya sido cometido por personas sometidas a la autoridad de los responsables de la empresa, el Código Penal establece también una regulación específica sobre la eficacia previa del modelo de organización y gestión.
8. ¿Qué consecuencias puede tener para una empresa?
Las consecuencias pueden ser importantes.
El Código Penal contempla para las personas jurídicas diferentes penas, entre ellas:
- Multas.
- Disolución de la persona jurídica.
- Suspensión de actividades.
- Clausura de locales o establecimientos.
- Prohibición de realizar determinadas actividades.
- Inhabilitación para obtener subvenciones y ayudas públicas o contratar con el sector público, en los términos legalmente establecidos.
- Intervención judicial.
La pena aplicable dependerá del delito cometido y de las circunstancias concretas del caso.
Por ello, el riesgo penal no debe analizarse únicamente desde el punto de vista de una posible multa. Algunas de las consecuencias previstas pueden afectar directamente a la continuidad o funcionamiento de la empresa.
9. ¿Puede responder también personalmente el administrador?
Sí.
La responsabilidad penal de la empresa no elimina necesariamente la responsabilidad de las personas físicas que hayan intervenido en los hechos.
Empresa y administrador pueden encontrarse sometidos a responsabilidades diferentes dependiendo de las circunstancias.
El Código Penal regula expresamente la responsabilidad de quienes actúan como administradores de hecho o de derecho y contempla además situaciones en las que pueden existir responsabilidades tanto de la persona física como de la persona jurídica.
Por eso, ante una situación con posibles implicaciones penales, es importante analizar separadamente la posición de la empresa y la de las personas que hayan intervenido en los hechos.
10. ¿Qué debería hacer una pyme para prevenir riesgos penales?
La prevención debería comenzar por identificar los riesgos que realmente pueden producirse dentro de la actividad empresarial.
No tiene sentido aplicar exactamente el mismo modelo a una empresa de transporte, una empresa tecnológica, una constructora o un despacho profesional.
Entre las medidas que pueden resultar útiles se encuentran:
- Identificar las principales áreas de riesgo penal.
- Establecer reglas internas claras.
- Definir quién puede adoptar determinadas decisiones.
- Establecer controles sobre pagos y operaciones económicas.
- Regular las relaciones con clientes, proveedores y terceros.
- Establecer mecanismos para comunicar posibles incumplimientos.
- Formar a las personas que intervienen en áreas de riesgo.
- Documentar las decisiones relevantes.
- Establecer medidas disciplinarias cuando proceda.
- Revisar periódicamente el sistema de prevención.
La clave está en que estas medidas sean proporcionales a la actividad y a la estructura de la empresa y que realmente se apliquen.
11. Un documento de compliance no es suficiente
Uno de los errores que conviene evitar es considerar que disponer de un documento formal significa que la empresa ya tiene un sistema eficaz de prevención.
El Código Penal exige modelos de organización y gestión que identifiquen riesgos, establezcan procedimientos, incorporen controles y sean objeto de verificación y actualización.
Por ello, un programa de prevención que nunca se aplica, no se revisa o no se adapta a los cambios de la empresa puede tener una utilidad muy limitada.
El Tribunal Supremo ha insistido precisamente en que la responsabilidad de la persona jurídica debe relacionarse con su propia organización y con la existencia o deficiencia de mecanismos de prevención y control.
La prevención penal también puede ser relevante para una pyme
La responsabilidad penal de las empresas no es una cuestión reservada exclusivamente a grandes compañías.
Una pyme puede tener riesgos derivados de su actividad, de la actuación de sus administradores, de sus trabajadores o de las relaciones que mantiene con terceros.
La respuesta no consiste necesariamente en implantar una estructura compleja. Lo importante es identificar los riesgos que realmente afectan a la empresa y establecer medidas de prevención y control adecuadas a su dimensión y actividad.
Un sistema de prevención correctamente diseñado puede ayudar a detectar problemas antes de que se conviertan en una infracción y a demostrar que la empresa ha adoptado medidas razonables de organización, vigilancia y control.
Cada empresa presenta unos riesgos penales diferentes. Analizar su actividad y estructura permite determinar qué medidas de prevención pueden resultar necesarias y cómo integrarlas en su funcionamiento habitual.
