Disponer de un programa de cumplimiento penal no garantiza que una empresa quede exenta de responsabilidad si se comete un delito en su organización. Los tribunales exigen que las medidas preventivas estén adaptadas a los riesgos reales, se apliquen de manera efectiva y puedan acreditarse con pruebas. Así lo analiza el despacho Escudo Legal en su blog, donde repasa los criterios de la Audiencia Nacional y del Tribunal Supremo sobre la eficacia de los modelos de compliance penal.
El artículo, publicado el 29 de septiembre de 2026 y firmado por el propio despacho como fuente institucional, recuerda que el artículo 31 bis del Código Penal regula la responsabilidad penal de las personas jurídicas y contempla la relevancia de contar con modelos de organización y gestión eficaces para prevenir delitos. Sin embargo, la mera existencia de un manual interno no constituye una protección automática frente a una investigación o una condena.
Un programa que debe prevenir riesgos concretos
La jurisprudencia rechaza que los planes de cumplimiento se conviertan en «salvoconductos para evitar la impunidad de las personas jurídicas», según recoge Escudo Legal al analizar los criterios judiciales. La finalidad del compliance no consiste en generar documentación para presentar ante un tribunal, sino en establecer controles capaces de prevenir o reducir significativamente el riesgo de que se cometan determinados delitos.
Para ello, el modelo debe aprobarse y ponerse en funcionamiento antes de los hechos investigados. También tiene que identificar las actividades de riesgo de la empresa, definir procedimientos para la toma de decisiones y establecer mecanismos adecuados de supervisión.
Entre sus componentes figuran el control de los recursos financieros, los canales para comunicar irregularidades, un sistema disciplinario y revisiones periódicas que permitan adaptar el programa a los cambios de la organización. La supervisión debe contar, además, con autonomía suficiente para desempeñar sus funciones, de acuerdo con los requisitos legales aplicables.
La diferencia entre tener un manual y aplicarlo
Uno de los aspectos centrales del análisis es la distinción entre la existencia documental de un programa y su implantación real. Una empresa puede disponer de un código ético y de protocolos detallados sin que estos se conozcan, se respeten o se utilicen en la práctica.
Escudo Legal subraya que los tribunales examinan si las medidas se han extendido a los integrantes de la organización, si existen mecanismos para detectar incumplimientos y si la compañía reacciona cuando descubre una conducta irregular. También pueden valorar la gravedad de los hechos, su alcance, las personas implicadas y los antecedentes de incumplimientos.
La existencia de un delito no demuestra por sí sola que el modelo fuera ineficaz: ningún sistema elimina todos los riesgos. No obstante, las circunstancias de la infracción pueden revelar deficiencias importantes, especialmente si la conducta se extendió dentro de la empresa o pudo eludir fácilmente los controles establecidos.
Las certificaciones no garantizan la exención penal
El despacho también advierte de que las certificaciones y los estándares técnicos pueden servir como elementos de apoyo, pero no sustituyen la valoración judicial. Referencias como la UNE 19601 pueden contribuir a demostrar que se han identificado riesgos y establecido medidas preventivas, aunque no acreditan por sí solas que el sistema funcione correctamente.
La eficacia debe demostrarse mediante pruebas sobre su aplicación efectiva. Entre ellas pueden encontrarse documentos internos, declaraciones de testigos e informes periciales que permitan comprobar cómo operaban los controles antes de la comisión del delito y qué respuesta dio la organización ante los incumplimientos.
En este sentido, el artículo insiste en que los programas meramente formales o de «maquillaje» no satisfacen las exigencias de la jurisprudencia. La empresa debe acreditar que el modelo se integra en sus decisiones y en la conducta cotidiana de directivos y empleados.
La cultura de cumplimiento, una responsabilidad permanente
La implantación del compliance exige mantener una auténtica cultura corporativa de respeto a la ley. Esto implica revisar los procedimientos, corregir las deficiencias detectadas y asegurar que los canales de denuncia y los mecanismos disciplinarios sean efectivos.
Aunque la distribución de la carga de la prueba depende de los elementos discutidos en cada procedimiento, la empresa suele necesitar pruebas sobre la existencia y el funcionamiento de su modelo, por tratarse de información que se encuentra especialmente a su alcance.
La conclusión de Escudo Legal es clara: el compliance penal debe funcionar como «un sistema vivo de prevención, detección, reacción y supervisión». No basta con redactar un manual ni con obtener una certificación. El modelo debe responder a los riesgos concretos, aplicarse de forma continuada y poder demostrarse ante los tribunales. Para las empresas, esto convierte el cumplimiento normativo en una tarea permanente de gestión, control y revisión, y no en un simple trámite documental.