El modelo de prevención de delitos no es un dossier de políticas, se trata de una arquitectura de control que traduce riesgos penales en reglas operativas, responsabilidades, canales de información y métricas de eficacia. Su razón de ser en España es doble. Por un lado, la responsabilidad penal de la persona jurídica prevista en el art. 31 bis del Código Penal: la empresa puede responder por delitos cometidos en su beneficio por directivos o subordinados si existe un defecto relevante de organización y control. Por otro, la posibilidad de exención o atenuación cuando la organización demuestra un sistema idóneo y eficaz antes del hecho o adopta medidas reparadoras después. Este es el punto de partida de toda Compliance Guide.
Fundamentos jurídicos y alcance
El art. 31 bis del Código Penal exige que el programa cubra, como mínimo: identificación de actividades de riesgo, protocolos decisorios, controles financieros, obligación de informar al órgano de supervisión, régimen disciplinario y verificación periódica. En pymes, el propio órgano de administración puede asumir la supervisión si garantiza independencia y medios. La lógica es clara: no se premia el “papel”, sino la efectividad de la organización para prevenir o reducir significativamente la probabilidad de delitos de su ámbito.
La Fiscalía General del Estado, en su Circular 1/2016, consolidó el modelo español: atribución esencialmente vicarial (el hecho del individuo se proyecta a la empresa), pero con un fuerte acento en el déficit de organización como fundamento del reproche. De ahí que la prueba ya no sea “tener un manual”, sino mostrar evidencia de controles vivos, formación, canales activos y disciplina aplicada.
Estándares de referencia: de la norma UNE a la ISO
Para convertir el mandato penal en sistema gestionable, conviene apoyarse en estándares. En España, la UNE 19601:2025 es el marco específico de compliance penal que sustituye a la versión de 2017 y alinea requisitos con el Código Penal y las mejores prácticas internacionales. Su actualización en 2025 obliga a revisar taxonomías de riesgo, controles, evidencias y gobierno del programa.
A nivel global, ISO 37301:2021 define un sistema de gestión de compliance certificable, basado en la estructura de alto nivel de ISO (contexto, liderazgo, planificación, soporte, operación, evaluación y mejora). Aunque no es penal, es un andamiaje integrable con UNE 19601 para robustecer cultura, reporting y mejora continua.
Principios rectores del modelo
-Proporcionalidad. El diseño debe ser congruente con la exposición real: naturaleza de la actividad, mercados, cadena de suministro, geografías, terceros críticos.
-Trazabilidad. Cada control necesita evidencias auditables: quién, qué, cuándo y con qué resultado.
-Independencia funcional. La supervisión requiere acceso a la información, capacidad de elevar recomendaciones y protección frente a conflictos.
-Mejora continua. El entorno cambia; el modelo debe revisarse ante incidentes, cambios normativos o estratégicos.
Hoja de ruta de implantación
a) Diagnóstico y mapa de riesgos. Delimitar el perímetro penal relevante (cohecho, corrupción en negocios, blanqueo, estafas, privacidad, medioambiente, propiedad intelectual, etc.). Ponderar probabilidad x impacto y localizar puntos de control (decisiones de precio y descuento, contratación pública/privada, pagos y cobros, donaciones y patrocinios, KYC/KYTP de terceros, IT & data, logistics).
b) Diseño normativo interno. Políticas y protocolos decisorios que reduzcan discrecionalidad en zonas críticas (contratación, pagos excepcionales, regalos/hospitalidad, selección de intermediarios). Controles financieros preventivos y detectivos (segregación de funciones, umbrales de doble firma, red flags automáticas, forensics by design).
c) Órgano de supervisión y reporting. Definir el órgano de cumplimiento (LCO, comité o consejo en pymes), su carta de funciones, calendario de trabajo y canales de información desde las áreas de negocio. La supervisión debe integrarse en la gobernanza: informe periódico al máximo órgano, indicadores y seguimiento.
d) Sistema interno de información (canal de denuncias). La Ley 2/2023 impone a numerosas organizaciones canales seguros, confidenciales (y, cuando proceda, anónimos), con plazos de gestión, garantías frente a represalias y un procedimiento documentado. La correcta articulación de este canal es hoy una pieza estructural del modelo penal.
e) Formación y cultura. Plan mínimo anual, adaptado por colectivo y riesgo. La eficacia se mide en comportamientos (no solo en horas): simulaciones, casos reales, micro-learning, evaluación y refreshers tras incidentes.
f) Due diligence de terceros. Clasificación de terceros (proveedores, distribuidores, partners), verificación proporcional (sancionados, beneficial ownership, conflictos), cláusulas contractuales de integridad, derecho de auditoría y monitoreo.
g) Monitorización, auditoría y mejora. Indicadores leading (formación completada, tiempos de investigación, cobertura de due diligence) y lagging (incidentes, sanciones, near misses). Auditorías internas/externas y gap analysis frente a UNE 19601 e ISO 37301; remediation plans priorizados.
Evidencia de eficacia: lo que los jueces miran
La prueba del modelo se apoya en cuatro planos:
1) Idoneidad ex ante: el diseño guarda relación con los riesgos de la organización (no “copia/pega” del sector).
2) Implementación: controles funcionan (registros de aprobaciones, logs, case management del canal, sanciones disciplinarias aplicadas).
3) Seguimiento y reacción: investigaciones diligentes, medidas correctivas, comunicación a la alta dirección, ajustes del modelo.
4) Gobierno: independencia, recursos y accountability del órgano de cumplimiento.
La Circular 1/2016 enfatiza que la carga acusatoria incluye el delito base y los elementos de imputación; la empresa debe demostrar que su sistema existía y era eficaz. Esta es la frontera entre paper compliance y cultura de cumplimiento.
Particularidades en pymes
El Código Penal admite que, en personas jurídicas de pequeñas dimensiones, el consejo o administrador único asuma directamente la función de supervisión. Ello no excusa la exigencia de documentar decisiones, separar funciones cuando sea posible, y pedir apoyo externo en auditorías o investigaciones internas complejas. La proporcionalidad no es rebaja de estándares, sino adaptación responsable.
Interoperabilidad normativa y áreas de fricción
Un modelo eficaz se coordina con marcos colindantes: protección de informantes (Ley 2/2023), protección de datos, prevención de blanqueo, competencia, laboral y medioambiental. La Compliance Guide debe evitar las barreras de comunicación entre los controles financieros, el canal de denuncias y la gestión disciplinaria deben hablar entre sí para no generar vacíos o duplicidades.
Conclusión
Implantar un Modelo de Prevención de Delitos es pasar de la norma en papel a un sistema vivo de organización, supervisión y evidencia. El Código Penal define el marco y la Circular 1/2016 orienta su interpretación; los estándares UNE 19601:2025 e ISO 37301 aportan método y trazabilidad; la Ley 2/2023 integra el canal de información como columna vertebral. Una Compliance Guide solvente no busca blindar a la empresa frente a cualquier contingencia, sino demostrar razonabilidad y eficacia: que la organización ha reducido el riesgo penal a niveles aceptables y puede probarlo cuando importa.
En EANE te ayudamos con tu formación en Legal Compliance Officer. Contacta con nosotros en el 932.995.011 en info(arroba)eane.es o a través del formulario del curso https://www.eane.es/curso-250-curso-de-legal-compliance-officer.html