Compliance penal y UNE 19601: cómo implantar un modelo de prevención de delitos

Cuándo responde penalmente una empresa

La responsabilidad penal de las personas jurídicas entró en el Código Penal en 2010 y se reformó en 2015 para detallar cómo debe ser un modelo de prevención. Funciona con una lista cerrada: la empresa solo responde de los delitos en los que el Código lo prevé expresamente. Entre ellos están la estafa, las insolvencias punibles, los daños informáticos, el descubrimiento y revelación de secretos, los delitos contra la propiedad intelectual e industrial, la corrupción en los negocios, el blanqueo de capitales, los delitos contra la Hacienda Pública y la Seguridad Social, los urbanísticos y medioambientales, el cohecho y el tráfico de influencias.

El artículo 31 bis prevé dos vías de imputación, cada una con su propia exención:

El órgano que supervisa el modelo debe tener poderes autónomos de iniciativa y de control. En las empresas pequeñas, las que pueden presentar la cuenta de pérdidas y ganancias abreviada, esa función puede asumirla directamente el órgano de administración (art. 31 bis 3).

Los seis requisitos del modelo de prevención

El apartado 5 del artículo 31 bis enumera lo que debe tener un modelo de organización y gestión. Es la lista de comprobación mínima de cualquier sistema de compliance penal:

Los seis requisitos se refuerzan entre sí. El mapa de riesgos (1) dice dónde poner protocolos (2) y controles financieros (3). El deber de informar (4) y el sistema disciplinario (5) hacen que el modelo funcione en la práctica. La verificación periódica (6) evita que se quede obsoleto.

Qué aporta UNE 19601:2025

El Código Penal dice qué debe tener el modelo, pero no cómo organizarlo. Para eso existe UNE 19601, la norma española de sistemas de gestión de compliance penal. Su edición vigente, UNE 19601:2025, se publicó en abril de 2025 y sustituye a la de 2017.

Sigue la estructura armonizada de las normas de sistemas de gestión (la misma de UNE-ISO 37301 o ISO 27001), lo que facilita integrarla con otros sistemas:

Según AENOR, la edición de 2025 introduce, entre otros, estos cambios:

• aclara las obligaciones del órgano de gobierno;
• matiza los requisitos de formación y concienciación en función del riesgo;
• atenúa la exigencia de diligencia debida en las participaciones financieras.

UNE 19601 no es obligatoria. Es la referencia que usan las entidades de certificación y una forma ordenada de demostrar que el modelo cumple los requisitos del artículo 31 bis. Su texto está protegido por derechos de autor: para implantarla hay que adquirir la norma (en UNE o en un distribuidor autorizado).

Calendario de transición a la edición de 2025

Cómo implantar el modelo paso a paso

1. 1

   Compromiso del órgano de administración

   Aprobar la política de compliance penal y asignar recursos. Sin un compromiso visible de la dirección, ningún modelo resulta creíble.
2. 2

   Designar el órgano de compliance penal

   Una persona o un comité con autonomía, independencia, acceso a la información y medios suficientes, que dependa del órgano de administración.
3. 3

   Contexto y alcance

   Actividades, sociedades del grupo, socios de negocio, mercados y relación con administraciones públicas: lo que define dónde puede surgir el riesgo penal.
4. 4

   Mapa de riesgos penales

   Cruzar actividades con los delitos que pueden cometerse en ellas, y puntuar el riesgo inherente y el residual (ver más abajo).
5. 5

   Controles y protocolos

   Protocolos de decisión, controles sobre recursos financieros y medidas específicas para los riesgos más altos, cada uno con su responsable y su evidencia.
6. 6

   Canal de información y régimen disciplinario

   Un canal que garantice la confidencialidad y la protección de quien informa, y sanciones conocidas y aplicadas de forma coherente.
7. 7

   Formación y concienciación

   Graduadas según la exposición de cada colectivo: no necesita lo mismo quien negocia con administraciones que quien trabaja en el almacén.
8. 8

   Supervisión, revisión y mejora

   Seguimiento de indicadores, auditoría interna, revisión por el órgano de administración y actualización tras incidentes o cambios.

El mapa de riesgos penales

El corazón del modelo es el mapa de riesgos penales. Su unidad de análisis no es «la empresa», sino la pareja actividad × delito: en qué actividad concreta podría cometerse cada delito y en beneficio de quién. Un ejemplo ficticio:

Cada pareja se puntúa como en cualquier matriz: riesgo inherente, controles y riesgo residual. Si necesitas repasar el método, la guía de riesgo inherente y residual lo explica con un simulador.

Canal interno de información (Ley 2/2023)

El deber de informar del artículo 31 bis 5 enlaza con la Ley 2/2023, de protección de las personas que informan sobre infracciones. La ley obliga a tener un sistema interno de información, entre otras, a:

• las empresas privadas con 50 o más personas trabajadoras;
• las que operan en ámbitos regulados por la normativa europea (servicios financieros, prevención del blanqueo, seguridad del transporte, medio ambiente), con independencia de su tamaño;
• los partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones, si reciben o gestionan fondos públicos.

El órgano de administración designa a la persona responsable del sistema y debe comunicar su nombramiento y su cese a la Autoridad Independiente de Protección del Informante o, en su caso, a la autoridad autonómica competente, en un plazo de diez días hábiles. Las infracciones muy graves pueden acarrear a una persona jurídica multas de hasta un millón de euros.

Qué está en juego

A las penas se suma el daño reputacional y la posible exclusión de la contratación pública, que para muchas empresas pesa más que la propia multa. El artículo 31 quater prevé atenuantes por lo que la empresa haga después del delito, como confesarlo, colaborar con la investigación, reparar el daño o implantar medidas eficaces antes del juicio oral, pero ninguno sustituye a tener el modelo antes.

Certificación: qué demuestra y qué no

Certificar el sistema con UNE 19601 ante una entidad acreditada por ENAC aporta una evaluación externa y periódica. Pero no garantiza la exención. La Fiscalía General del Estado lo dejó claro en su Circular 1/2016:

Las certificaciones «podrán apreciarse como un elemento adicional más de la adecuación del modelo pero en modo alguno acreditan su eficacia, ni sustituyen la valoración que de manera exclusiva compete al órgano judicial».Circular 1/2016 de la Fiscalía General del Estado, conclusión 19.ª, apartado 3

Lo que de verdad protege es poder demostrar que el modelo funcionaba: que el mapa estaba al día, que los controles se ejecutaban, que las denuncias se investigaban y que las sanciones se aplicaban. Por eso la trazabilidad pesa tanto como el diseño.

Preguntas frecuentes