Compliance penal en pymes: guía práctica para implantarlo con eficacia

La reforma del Código Penal operada por la LO 5/2010 y perfeccionada por la LO 1/2015 consolidó la responsabilidad penal de las personas jurídicas en España. Más de una década después, muchas pymes siguen percibiendo el compliance penal como un lujo reservado a grandes corporaciones. Nada más lejos de la realidad: el artículo 31 bis del Código Penal no distingue por tamaño empresarial, y la jurisprudencia reciente —especialmente la STS 154/2016 y la STS 221/2016— ha reforzado la exigencia de modelos de prevención eficaces como condición para exonerar o atenuar la responsabilidad penal corporativa.

La buena noticia es que implantar un programa de compliance en una pyme no requiere estructuras faraónicas. Requiere método, proporcionalidad y compromiso real de la dirección. Sobre esta cuestión resulta útil revisar abogados de derecho penal económico.

¿Por qué una pyme necesita compliance penal?

El artículo 31 bis.2 CP establece que la persona jurídica quedará exenta de responsabilidad penal si, antes de la comisión del delito, el órgano de administración adoptó y ejecutó eficazmente un modelo de organización y gestión idóneo para prevenir delitos de la naturaleza del cometido.

Los riesgos más habituales en pymes incluyen:

• Delitos contra la Hacienda Pública y la Seguridad Social (arts. 305 y 307 CP).
• Blanqueo de capitales (art. 301 CP), especialmente en sectores sujetos a la Ley 10/2010.
• Corrupción en los negocios (art. 286 bis CP).
• Delitos contra los derechos de los trabajadores (arts. 311 y ss. CP).
• Delitos informáticos y contra la intimidad (arts. 197 bis y ss. CP).
• Delitos medioambientales (art. 325 CP).

Además, cada vez más licitaciones públicas, contratos con grandes clientes y entidades financieras exigen acreditar la existencia de un programa de cumplimiento.

Las seis fases para implantar un programa eficaz

1. Compromiso visible de la dirección (tone at the top)

Sin respaldo expreso del órgano de administración, cualquier programa será papel mojado. La aprobación formal del modelo debe constar en acta del consejo o de la junta.

2. Análisis y evaluación de riesgos penales

Es la piedra angular. Consiste en mapear los procesos de la empresa e identificar en qué actividades podría cometerse alguno de los delitos imputables a personas jurídicas (numerus clausus del Código Penal). Para una pyme, una matriz de riesgos sencilla —probabilidad por impacto— suele ser suficiente.

3. Diseño de controles y políticas

Una vez identificados los riesgos, se diseñan los controles. En pymes basta con documentos operativos: código ético, política anticorrupción, protocolo de contratación de proveedores, política de regalos y hospitalidad, procedimiento de contratación de personal, y controles financieros básicos (segregación de funciones, doble firma a partir de determinados importes).

4. Canal de denuncias

La Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas, obliga a disponer de un canal interno de información a todas las empresas con más de 50 trabajadores (desde el 1 de diciembre de 2023). Para pymes por debajo de ese umbral no es obligatorio, pero sí altamente recomendable: el artículo 31 bis.5 CP exige que el modelo imponga la obligación de informar de posibles riesgos e incumplimientos al órgano de vigilancia.

5. Órgano de cumplimiento (Compliance Officer)

El artículo 31 bis.2.2.ª CP exige que la supervisión del modelo se confíe a un órgano con poderes autónomos de iniciativa y control. En pymes, puede ser una persona interna con dedicación parcial o un asesor externo. Lo crucial es garantizar su independencia funcional respecto de la dirección.

6. Formación, revisión y mejora continua

Formar a todos los empleados (presencial o e-learning), documentar la asistencia, y revisar el modelo cada vez que haya cambios normativos relevantes, incidentes, o modificaciones organizativas. Un modelo estático es un modelo muerto.

¿Cuánto cuesta realmente?

El coste de implantación depende del tamaño y la complejidad del negocio y de si se externaliza o no; a él se suma un mantenimiento anual (revisiones, formación, auditoría del canal). Conviene pedir presupuesto cerrado por fases.

Comparado con el coste de una condena —multas de hasta el quíntuplo del beneficio obtenido, inhabilitación para contratar con el sector público, intervención judicial o incluso disolución (art. 33.7 CP)— la inversión es modesta.

Errores frecuentes que invalidan el programa

• Copiar y pegar modelos genéricos sin adaptar al negocio real.
• Falta de evidencia documental: si no está escrito y firmado, no existe.
• Compliance officer sin independencia ni recursos.
• Formación inexistente o testimonial.
• Ausencia de revisiones periódicas tras incidentes o cambios normativos.

La Circular 1/2016 de la Fiscalía General del Estado es muy clara: los modelos puramente cosméticos no exoneran. El fiscal analizará si el programa era realmente operativo en el momento del delito.

Conclusión práctica

Para una pyme, implantar compliance penal eficaz no es cuestión de volumen documental, sino de proporcionalidad y autenticidad. Empiece por un diagnóstico realista de riesgos, documente las decisiones del órgano de administración, implante controles sencillos pero efectivos, asegure un canal de denuncias confidencial y forme periódicamente a su plantilla.

Si su presupuesto es limitado, priorice: evaluación de riesgos, código ético, canal de denuncias y formación básica. Son los cuatro pilares que un juez o fiscal valorará en primer lugar. Lo demás puede incorporarse de forma progresiva. Lo importante es empezar, hacerlo bien y mantenerlo vivo. Un modelo real, aunque modesto, protege infinitamente más que un manual de 300 páginas que nadie aplica.