No es obligatorio, y por eso se malinterpreta
Conviene empezar por aquí, porque circula en las dos direcciones: ninguna ley obliga a tener un programa de compliance penal. No hay multa por no tenerlo ni inspección que lo exija.
Lo que sí hay es una consecuencia: el artículo 31 bis del Código Penal permite condenar a la persona jurídica por delitos cometidos en su beneficio, y tener un modelo eficaz es la única forma de quedar exenta. No es una obligación: es una defensa.
Y esa defensa hay que construirla antes. Un programa adoptado después del delito no exime; como mucho atenúa (art. 31 quater).
Los seis requisitos, y son acumulativos
El artículo 31 bis.5 enumera lo que debe tener el modelo. La palabra importante es acumulativos: fallar uno tumba la exención.
- Identificar las actividades en cuyo ámbito pueden cometerse los delitos a prevenir. Un mapa de riesgos de la actividad real, no una plantilla genérica.
- Protocolos y procedimientos que concreten cómo se forma la voluntad de la organización y cómo se toman las decisiones.
- Gestión de los recursos financieros adecuada para impedir la comisión de los delitos que deben prevenirse.
- Obligación de informar de riesgos e incumplimientos al órgano que vigila el modelo. En la práctica, el canal interno.
- Sistema disciplinario que sancione el incumplimiento de las medidas del modelo.
- Verificación periódica del modelo, y su modificación cuando aparezcan infracciones relevantes o cambien la organización, el control o la actividad.
El cuarto conecta con algo que muchas organizaciones ya tienen obligatorio por otra vía: el canal de denuncias de la Ley 2/2023. Quien ya lo tiene bien montado tiene medio camino andado; quien lo tiene de adorno, tiene un problema doble.
El error caro: el modelo de cajón
Aquí está lo que casi nadie destaca y conviene saber antes de encargarle a nadie un programa.
La Circular 1/2016 de la Fiscalía General del Estado fue explícita con los programas cosméticos —los diseñados para aparentar cumplimiento—: no solo no eximen, sino que pueden valorarse como indicio de falta de cultura de cumplimiento de la empresa.
Dicho claro: un manual descargado, sin análisis de riesgo propio y sin evidencia de que se aplica, puede dejarte peor que no tener nada. Es la única situación de cumplimiento que conozco donde el documento vacío empeora tu posición en vez de dejarla igual.
Lo que sostiene un modelo ante un juez no es el índice: es el rastro. Riesgos identificados sobre la actividad real, decisiones documentadas, comunicaciones del canal con su tratamiento, formación con registro y revisiones fechadas.
Si quieres ver qué aspecto tiene un rastro comprobable, puedes verificar un expediente sellado como lo haría un tercero: sin registrarte y sin fiarte de nuestra palabra.
Dos vías de imputación, dos niveles de exigencia
El artículo distingue quién comete el delito, y eso cambia lo que se exige al modelo:
Alta dirección —representantes legales o quienes tienen facultades de organización y control—. Aquí la exención es más difícil: además del modelo eficaz, hace falta que exista un órgano de supervisión con poderes autónomos y que los autores hayan eludido fraudulentamente los controles.
Subordinados, cuando el delito se pudo cometer por haberse incumplido gravemente los deberes de supervisión. Aquí basta con haber adoptado y ejecutado eficazmente un modelo adecuado antes del delito.
Y una precisión que sorprende: la responsabilidad de la empresa es autónoma (art. 31 ter). Puede condenarse a la persona jurídica aunque la persona física sea absuelta, no se identifique o haya fallecido.
Por dónde empezar si no tienes nada
- Mapa de riesgos sobre tu actividad real. Qué delitos son verosímiles en tu negocio: no los mismos en una constructora que en una consultora.
- Revisa el canal de denuncias que quizá ya tengas por la Ley 2/2023: es el cuarto requisito, y suele estar a medias.
- Escribe el régimen disciplinario y comunícalo. Sin consecuencias, el modelo pierde credibilidad ante un juez.
- Fecha las revisiones. La verificación periódica es requisito, y un modelo sin revisar desde su aprobación se defiende mal.
Si vas a encargarlo fuera, la pregunta que más filtra es sencilla: ¿el análisis de riesgos se hace sobre mi actividad o me dan uno de sector?
Preguntas frecuentes
¿Es obligatorio tener compliance penal?
No. Ninguna norma lo impone ni hay sanción por no tenerlo. Pero es la única vía para que una persona jurídica quede exenta de responsabilidad penal por un delito cometido en su beneficio.
¿Sirve si lo implanto después de que ocurra el delito?
Como eximente, no: el modelo debe existir y estar ejecutado antes. Como atenuante, sí (art. 31 quater), igual que la confesión, la colaboración con la investigación y la reparación del daño.
Tengo un manual de compliance descargado. ¿Me protege?
Probablemente no, y puede perjudicarte. La Circular 1/2016 de la Fiscalía señala que los programas cosméticos no solo no eximen, sino que pueden valorarse como indicio de falta de cultura de cumplimiento.
¿Pueden condenar a mi empresa si absuelven al empleado?
Sí. El artículo 31 ter establece que la responsabilidad penal de la persona jurídica es autónoma: cabe condena aunque la persona física sea absuelta, no se identifique o haya fallecido.
¿Vale el mismo modelo para cualquier empresa?
No. El modelo debe ser idóneo para el riesgo concreto de la actividad. Un programa genérico difícilmente sostiene la exención, porque el primer requisito es identificar las actividades en cuyo ámbito pueden cometerse los delitos a prevenir.
Contenido revisado contra las fuentes oficiales el 2026-08-24. Las normas cambian: si lees esto mucho después, confirma las fechas.