Por Óscar Arredondo
Socio director Área Penal Económico Toda & Nel.lo. Ex. Juez
En una de esas cenas habituales entre compañeros de profesión, a las que solemos asistir en vísperas de Navidad y en las que, al menos por cortesía, deberíamos hablar de asuntos ajenos al Derecho, fui testigo de un encendido debate entre un abogado penalista y otro especializado en Compliance y prevención de riesgos penales.
El objeto de la discusión era tan clásico como actual: el verdadero valor de los programas de prevención cuando llega su instante crítico, esto es, durante la instrucción y el juicio oral.
Mientras intercambiaban argumentos, me vino inevitablemente a la cabeza una reciente y relevante sentencia de la Sala Segunda del Tribunal Supremo, de 11 de abril de 2025 (STS núm. 372/2025), sobre el alcance y la utilidad real del Compliance penal. Aquella resolución servía como punto de partida para una reflexión que, a mi juicio, resulta clave de cara a 2026: qué ocurre con los programas de cumplimiento cuando abandonan el plano teórico y se enfrentan al escrutinio judicial.
Y es que todos coincidimos en una idea fundamental. Existe un instante crítico en todo procedimiento penal corporativo en el que el Compliance deja de ser un mapa de riesgos diseñado en despachos y consultoras para convertirse en objeto de prueba en un proceso penal ante un juez.
Ese momento suele producirse durante la fase de instrucción y, con mayor crudeza aún, en la sala de vistas, cuando el tribunal ya no pregunta si la empresa tenía un manual de prevención por escrito, sino si actuó realmente con la diligencia que su modelo proclama.
Del papel al defecto organizativo probado
De esa conversación surgió una segunda constatación: estamos asistiendo a un auténtico cambio de paradigma. Pasamos del Compliance como documento al defecto organizativo probado como eje del juicio penal.
La jurisprudencia del Tribunal Supremo ha consolidado una doctrina que será determinante en cualquier defensa corporativa en 2026: la culpabilidad de la persona jurídica no se presume por las conductas de sus administradores o empleados, sino que debe probarse. Dicho de otro modo, para condenar a una empresa no basta con acreditar la comisión de un delito en su seno o en su beneficio; la acusación debe demostrar la existencia de un defecto estructural de organización y control que haya facilitado la infracción.
Este planteamiento transforma por completo el papel del Compliance. El sistema de prevención deja de ser únicamente una herramienta de gestión de riesgos y se convierte en el objeto central del debate probatorio. El Compliance es, hoy, también una estrategia de defensa procesal.
Las tendencias que marcarán el Compliance penal en 2026
Desde esta perspectiva -la de la sala de vistas- pueden identificarse con claridad algunas de las tendencias que definirán el Compliance penal en 2026.
1.La trazabilidad digital como estándar de prueba
La primera gran tendencia es la consolidación de la evidencia digital como estándar probatorio. En un entorno empresarial plenamente digitalizado, los manuales de cumplimiento han sido sustituidos por sistemas de gestión que generan huellas auditables en tiempo real.
Un modelo de Compliance eficaz debe poder explicarse ante un juez mediante prueba documental, testifical y, cada vez con mayor peso, pericial tecnológica. Si un control de gastos, una debida diligencia de terceros o una decisión relevante no deja un rastro digital objetivo e inalterable -firmas electrónicas, registros de sistema, logs o tecnologías de verificación-, el tribunal puede llegar a considerarlo inexistente.
El Compliance que no puede probarse de forma forense tendrá serias dificultades para desplegar utilidad defensiva en un proceso penal.
2.El fin definitivo del Compliance estático
El año 2026 marca el final del Compliance entendido como mero trámite documental guardado en un cajón. Certificaciones ISO, códigos éticos y políticas internas han perdido valor autónomo si no van acompañados de evidencia verificable de aplicación real.
Los tribunales exigen hechos concretos, entre otros: cómo se adaptaron los riesgos penales a los cambios del modelo de negocio; cómo reaccionó la empresa ante un incumplimiento y a quién se sancionó realmente; y qué grado de implicación efectiva tuvo la alta dirección en la supervisión del sistema.
Desde la experiencia procesal, los programas que colapsan en juicio suelen ser aquellos en los que existe una desconexión evidente entre lo que dicen las políticas internas y lo que reflejan los correos electrónicos, las decisiones reales o la práctica diaria de la organización.
3.Algoritmos e inteligencia artificial como nuevos focos de riesgo penal
La irrupción de la inteligencia artificial abre un nuevo frente para el Compliance penal. La falta de control sobre algoritmos puede convertirse en un foco directo de imputación penal por discriminación automatizada, fraudes financieros o vulneraciones masivas de la privacidad.
En 2026, el Compliance deberá extenderse a la gobernanza y auditoría de sistemas de IA, especialmente cuando su funcionamiento genere beneficios para la empresa. Un fallo en la supervisión de estos sistemas ya no es solo un problema técnico o regulatorio, sino un riesgo penal de primer orden.
4.Investigaciones internas bajo escrutinio judicial
La investigación interna se ha convertido en uno de los terrenos más delicados del Compliance moderno. Ya no se concibe como un proceso puramente privado, sino como una actividad sometida a un control judicial indirecto cada vez más estricto.
Para que una investigación interna sea útil en un procedimiento penal, debe haberse desarrollado bajo protocolos que respeten escrupulosamente los derechos fundamentales: intimidad, secreto de las comunicaciones y protección de datos. Una investigación mal ejecutada no solo invalida la prueba obtenida, sino que puede generar nuevas responsabilidades penales para la propia empresa.
El Compliance penal de 2026 deberá integrar protocolos de respuesta inmediata que sean, desde su diseño, aptos para el juicio.
Conclusión
Después del debate me quedo con las reflexiones que surgen desde la sala de vistas; que permiten afirmar que el Compliance penal no responde a una moda regulatoria, sino a una
exigencia de resiliencia procesal. Diseñar un sistema de cumplimiento sin pensar en cómo se defenderá ante un juez es, sencillamente, una irresponsabilidad.
La conclusión para directivos y profesionales del Derecho es clara: el Compliance que no está preparado para el litigio es una ilusión de seguridad. En 2026, solo los programas capaces de resistir el escrutinio judicial cumplirán realmente la función que se les atribuye.
