Nous construisons et maintenons vivant le modèle d’organisation et de gestion que l’article 31 bis du Code pénal espagnol exige pour qu’une entreprise puisse être exonérée de responsabilité pénale : cartographie des risques pénaux, protocoles de décision, code éthique, canal interne conforme à la loi 2/2023 et vérification périodique documentée. L’organe de supervision reste celui de votre entreprise, parce que la loi l’exige ainsi ; nous lui apportons la méthode, les preuves et un second regard depuis l’extérieur.
L’article 31 bis du Code pénal espagnol permet qu’une personne morale réponde pénalement des infractions commises en son nom ou pour son compte et à son bénéfice direct ou indirect, aussi bien par ses représentants légaux et par ceux qui sont habilités à prendre des décisions que par ceux qui, placés sous l’autorité des précédents, ont pu commettre les faits parce que les devoirs de supervision, de surveillance et de contrôle ont été gravement méconnus. La conséquence pratique est que l’entreprise se retrouve sur le banc des accusés aux côtés de la personne physique, avec son propre catalogue de peines : amende, dissolution, suspension d’activités, fermeture d’établissements, administration judiciaire et interdiction d’obtenir des subventions et des aides publiques ou de contracter avec le secteur public. Les citations de la loi espagnole sur cette page sont notre traduction ; seul le texte espagnol publié au BOE fait foi.
Face à cela, le paragraphe 2 du même article ouvre une porte de sortie. La personne morale est exonérée de responsabilité si les quatre conditions énumérées par ce paragraphe sont réunies, la première étant que l’organe d’administration a adopté et mis en œuvre avec efficacité, avant la commission de l’infraction, des modèles d’organisation et de gestion comportant les mesures de surveillance et de contrôle propres à prévenir des infractions de même nature ou à réduire de façon significative le risque de leur commission. Les mots qui décident d’un procès sont tous là : adopté, mis en œuvre avec efficacité et avant. Un manuel signé la semaine de la plainte n’exonère de rien. Le paragraphe se clôt en outre sur une nuance souvent négligée : lorsque ces circonstances ne peuvent être établies que partiellement, cet établissement partiel est pris en compte pour atténuer la peine.
La deuxième condition est celle qui suscite le plus de confusion sur le marché, et il vaut mieux la dire sans détour : la supervision du fonctionnement et du respect du modèle de prévention mis en place doit être confiée à un organe de la personne morale doté de pouvoirs autonomes d’initiative et de contrôle, ou à un organe légalement chargé de superviser l’efficacité des contrôles internes de cette même personne morale. De la personne morale. Les deux options offertes par la loi sont internes. Aucun cabinet de conseil ne peut être cet organe par contrat, et quiconque propose d’« être votre compliance officer externe » au sens de l’article 31 bis vend quelque chose que la loi n’admet pas. Ce que fait bel et bien un consultant externe, c’est construire le modèle, doter cet organe interne de procédures, de formation, d’indicateurs et de procès-verbaux, et le vérifier périodiquement depuis l’extérieur, avec l’indépendance que donne le fait de ne pas dépendre de l’organigramme que l’on supervise. L’article prévoit lui-même une exception liée à la taille : dans les personnes morales de petite dimension, celles qui sont autorisées à présenter un compte de résultat abrégé, les fonctions de supervision peuvent être assumées directement par l’organe d’administration.
Le contenu du modèle n’est pas non plus laissé au goût du consultant. Le paragraphe 5 de l’article 31 bis fixe six exigences et les six sont impératives : identifier les activités dans le cadre desquelles les infractions à prévenir peuvent être commises ; établir les protocoles qui précisent le processus de formation de la volonté de la personne morale, d’adoption des décisions et de leur exécution ; disposer de modèles de gestion des ressources financières adaptés pour empêcher la commission des infractions ; imposer l’obligation d’informer des risques et manquements éventuels l’organe chargé de veiller au fonctionnement et au respect du modèle ; établir un système disciplinaire qui sanctionne de manière adéquate le non-respect des mesures ; et procéder à une vérification périodique du modèle et à sa modification éventuelle lorsque des manquements significatifs apparaissent ou lorsque surviennent des changements dans l’organisation, dans la structure de contrôle ou dans l’activité exercée. Cette sixième exigence est celle qui fait de la conformité un service et non un livrable : un modèle que personne ne révise cesse d’être efficace et, par là même, cesse d’exonérer.
La quatrième exigence, le canal permettant de signaler risques et manquements, a cessé d’être une simple pièce du Code pénal avec la loi 2/2023, du 20 février, qui régit la protection des personnes signalant des infractions à la réglementation et la lutte contre la corruption. Son article 10.1 oblige les personnes physiques ou morales du secteur privé comptant cinquante salariés ou plus à disposer d’un Système Interne d’Information, et impose la même obligation, ainsi que, sans aucun seuil d’effectif, celles qui opèrent dans le domaine des services, produits et marchés financiers, de la prévention du blanchiment de capitaux ou du financement du terrorisme, de la sécurité des transports et de la protection de l’environnement. Sa lettre c) y ajoute les partis politiques, les syndicats, les organisations patronales et les fondations créées par les uns et les autres lorsqu’ils reçoivent ou gèrent des fonds publics, également sans seuil d’effectif.
Ici, l’externalisation est possible, mais avec deux limites que presque personne n’explique. L’article 6.1 permet de recourir à un tiers externe et précise dans le même paragraphe ce qu’il faut entendre par gestion du système : « est considérée comme gestion du système la réception des informations ». Ce qui est externalisable, c’est la réception, non le système entier. Et l’article 8 réserve la figure du responsable du Système à l’organisation elle-même : dans le secteur privé, il doit s’agir d’un cadre dirigeant de l’entité, désigné par l’organe d’administration et indépendant de celui-ci. L’article 6.3 boucle la boucle en interdisant que la gestion externe attribue la responsabilité du système à une personne autre que ce responsable interne. Ne pas en disposer a également un prix propre, indépendant du Code pénal : l’article 63.1 qualifie de très graves certaines omissions intentionnelles, dont celle de ne pas disposer du système, et l’article 65 va jusqu’à 1 000 000 d’euros d’amende et à des interdictions de contracter avec le secteur public. Le détail figure plus bas, dans les questions fréquentes.
C’est sur cette base légale que s’appuie la norme technique. UNE 19601:2025, « Sistemas de gestión del compliance penal. Requisitos con orientación para su uso » — systèmes de management de la conformité pénale —, est la référence espagnole pour structurer et auditer un modèle de prévention des infractions, et son édition de 2025 annule celle de 2017. Il convient d’être précis sur un point souvent mal interprété : UNE 19601 n’est pas une loi et n’oblige à rien. C’est une norme espagnole d’adoption volontaire. Sa valeur est probatoire et organisationnelle : elle donne au modèle une structure reconnaissable, elle oblige à laisser une preuve pour chaque exigence et, si l’organisation décide de se faire certifier par un organisme de certification, elle apporte un rapport de tierce partie indépendante qui atteste de sa diligence. Rien de tout cela ne remplace l’appréciation qu’un juge portera sur l’efficacité réelle du modèle, mais le point de départ change. Lorsque l’entreprise veut aller au-delà du risque pénal et gouverner l’ensemble de sa conformité, l’étape suivante est ISO 37301, que gère Summum Calidad.
Le moment où le modèle est construit change son effet juridique, et cela s’explique rarement clairement. L’exonération du paragraphe 2 exige que le modèle ait été adopté et mis en œuvre avec efficacité avant la commission de l’infraction. Si une procédure est déjà en cours, ce qui reste est la circonstance atténuante de la lettre d) de l’article 31 quater : avoir établi, avant l’ouverture des débats, des mesures efficaces pour prévenir et découvrir les infractions qui pourraient être commises à l’avenir avec les moyens ou sous la couverture de la personne morale. L’en-tête de cet article subordonne toutes ses atténuantes au fait que l’action soit menée postérieurement à la commission de l’infraction et par l’intermédiaire des représentants légaux de la société. Cela atténue, cela n’exonère pas. La différence se mesure en années d’interdiction et en survie de l’entreprise.
Summum accompagne des organisations en matière de conformité réglementaire depuis 2007, avec plus de 2 000 projets de digitalisation menés à bien et près de 200 processus de certification ISO accompagnés au sein du groupe. Nous travaillons depuis cinq bureaux, à Valladolid (siège), Burgos, Palencia, Aranda de Duero et Las Palmas de Gran Canaria, ce qui permet au consultant qui révise votre modèle d’être quelqu’un que vous connaissez en personne. Le programme de conformité pénale UNE 19601 décrit le projet de mise en place ; cette page décrit la figure qui le construit et le maintient ensuite, mois après mois. Si vous devez en outre couvrir la protection des données, la figure équivalente sur ce terrain est le DPD externe, qui peut bel et bien être un tiers, et si la mission porte sur la gouvernance, les organes et les protocoles sociaux, le travail se trouve dans gouvernance d’entreprise.
En pratique, le travail ressemble au cas 08 de nos cas publiés : un groupe industriel multinational à maison mère espagnole qui, après une crise sectorielle, a demandé de blinder l’organisation avec un programme auditable. Cartographie des risques pénaux, code éthique, canal de signalement, comité de conformité et formation à six niveaux de direction, avec le programme certifié selon UNE 19601 et l’audit externe validé.
Nous ne publions pas de tarif fixe parce que le périmètre réel dépend de variables qui changent beaucoup d’une organisation à l’autre : le nombre de sociétés du groupe et de sites, le catalogue d’infractions pertinent pour l’activité, l’existence ou non d’un canal interne déjà opérationnel, l’existence de procédures judiciaires ou d’inspections en cours, la volonté d’aller jusqu’à la certification UNE 19601 ou de se contenter d’un modèle défendable, et le volume de formation à dispenser. Nous le précisons lors d’un premier échange sans frais, après avoir compris l’activité réelle, car tout chiffre donné avant ce diagnostic serait une approximation peu utile. Nous ne promettons pas un résultat déterminé devant un juge et nous ne remplaçons pas la défense juridique : nous accompagnons l’organisation pour qu’elle arrive à toute demande avec le modèle, les procès-verbaux et les preuves que la norme exige.
Nous parcourons l’activité réelle, processus par processus, pour identifier dans quels domaines des infractions peuvent être commises et avec quelle probabilité et quel impact. C’est la première des six exigences de l’article 31 bis.5 et celle qui conditionne tout le reste : une cartographie copiée d’un autre secteur n’identifie pas vos risques propres.
Code éthique, politique de conformité pénale, protocoles précisant la formation de la volonté sociale et la manière dont les décisions sont adoptées et exécutées, contrôles financiers, système disciplinaire et canal interne conforme à la loi 2/2023. Le tout avec la traçabilité qu’exige un audit selon UNE 19601:2025.
L’organe de supervision est constitué par l’entreprise, parce que la loi exige qu’il s’agisse d’un organe de la personne morale. Nous lui fournissons son règlement, son plan de travail annuel, des modèles de procès-verbaux et des indicateurs, et nous formons la direction, l’encadrement intermédiaire et le personnel exposé, avec registre de présence et évaluation.
Révision programmée du modèle avec rapport et procès-verbal, plus une révision extraordinaire lorsqu’un manquement significatif apparaît ou que l’organisation, la structure de contrôle ou l’activité changent. C’est la sixième exigence de l’article 31 bis.5 et le seul moyen pour que le modèle soit encore efficace dans trois ans.
Le détail opérationnel : ce que nous livrons en construisant le modèle et ce que nous maintenons vivant ensuite, mois après mois.
Cartographie des risques pénaux par processus
Identification et évaluation des risques pénaux pertinents pour l’activité, avec la matrice de probabilité et d’impact, les contrôles existants et ceux qui manquent, et la traçabilité entre chaque risque et le processus dans lequel il se situe.
Modèle d’organisation et de gestion complet
Politique de conformité pénale, code éthique, protocoles de décision, contrôles sur les ressources financières, système disciplinaire et procédure d’enquête interne. Les six exigences de l’article 31 bis.5, chacune avec sa preuve documentaire.
Canal interne conforme à la loi 2/2023
Système Interne d’Information doté des garanties de la loi 2/2023 : canal anonyme, responsable du Système désigné au sein de l’entité elle-même, politique publiée, registre et délais légaux d’accusé de réception et de résolution. Détail complet dans le service de canal de signalement.
Règlement et plan de travail de l’organe de supervision
Documentation avec laquelle l’entreprise dote son organe interne de pouvoirs autonomes d’initiative et de contrôle : règlement, rattachement fonctionnel, budget, plan annuel, modèles de procès-verbaux et canal de reporting vers l’organe d’administration.
Formation par niveau d’exposition
Sessions différenciées pour l’organe d’administration, pour les responsables ayant un pouvoir de décision et pour le personnel des domaines exposés, avec nos propres supports de formation, test et procès-verbal servant de preuve de mise en œuvre effective.
Vérification périodique documentée
Révision programmée du modèle avec rapport de conclusions et plan d’action, et révision extraordinaire en cas de manquements significatifs ou de changements organisationnels. Sans ce point, le modèle ne satisfait pas la sixième exigence de l’article 31 bis.5.
Préparation de l’audit UNE 19601:2025
Lorsque l’organisation souhaite se faire certifier, nous préparons le système pour l’audit de l’organisme de certification : analyse des écarts par rapport aux exigences de la norme, preuves classées et indexées, et accompagnement pendant l’audit. La certification est délivrée par l’organisme, jamais par nous.
Accompagnement lors de demandes et d’inspections
Si une demande administrative arrive ou qu’une procédure s’ouvre, nous classons et remettons la documentation du modèle et l’historique des procès-verbaux. Nous travaillons en coordination avec la direction juridique ou le cabinet pénaliste de l’entreprise, sans les remplacer.
Coordination avec le reste de la conformité
Protection des données, prévention du blanchiment, égalité, transparence ou commande publique partagent des preuves avec le modèle pénal. Nous le montons une fois et nous le réutilisons, au lieu de maintenir cinq systèmes qui ne se parlent pas.
Quatre limites qu’il vaut mieux mettre par écrit avant de signer, car en conformité pénale le marché promet des choses que la loi ne permet pas.
L’article 31 bis.2, deuxième condition, exige que la supervision du modèle soit confiée à un organe de la personne morale, et les deux options données par la loi sont internes. Cet organe est constitué par l’entreprise et ne peut pas être sous-traité. Nous le dotons de méthode, de documentation et de vérification externe ; nous ne prenons pas sa place.
La certification est délivrée par un organisme de certification après son propre audit. Nous préparons le système et accompagnons le processus, mais nous n’auditons ni ne certifions ce que nous avons mis en place : ce serait être juge et partie.
Nous n’assumons ni la direction de la défense ni le conseil pénal sur une affaire concrète. Nous apportons le modèle, les procès-verbaux et les preuves, et nous travaillons aux côtés du cabinet qui assure la défense.
Un modèle sans vérification périodique méconnaît la sixième exigence de l’article 31 bis.5 et cesse d’être efficace. C’est pourquoi le service est mensuel et non un projet avec une date de fin.
Article 31 bis du Code pénal espagnol, loi 2/2023 pour le canal interne et UNE 19601:2025 comme norme technique de référence.
Quand la conformité cesse d’être seulement pénale, le système de management et la partie technique sont pris en charge par les sociétés sœurs du groupe.
ISO 37301 lorsque vous souhaitez un système de management de la conformité couvrant l’ensemble de vos obligations, et pas seulement le risque pénal.
Voir le service → sistemasSi le canal interne ou le modèle exigent des mesures techniques de sécurité, nous le coordonnons avec l’équipe Sistemas.
Voir le service →Il n’existe pas en Espagne d’obligation générale d’avoir un modèle de prévention des infractions : l’article 31 bis.2 du Code pénal le configure comme une cause d’exonération de la responsabilité pénale de la personne morale, et non comme un devoir dont le non-respect serait sanctionné en tant que tel. Ce qui est bel et bien obligatoire, et assorti d’un régime de sanctions propre, c’est le Système Interne d’Information de la loi 2/2023 : pour les personnes physiques ou morales du secteur privé comptant cinquante salariés ou plus et, sans seuil d’effectif, pour celles qui opèrent sur les marchés financiers, en prévention du blanchiment et du financement du terrorisme, en sécurité des transports et en protection de l’environnement, ainsi que pour les partis, les syndicats, les organisations patronales et leurs fondations lorsqu’ils reçoivent ou gèrent des fonds publics. En pratique, beaucoup d’entreprises arrivent au modèle complet par une troisième voie : un grand client, un cahier des charges public ou une opération de haut de bilan qui l’exige par contrat.
Non. La deuxième condition de l’article 31 bis.2 exige que la supervision du fonctionnement et du respect du modèle soit confiée à un organe de la personne morale doté de pouvoirs autonomes d’initiative et de contrôle, ou à un organe légalement chargé de superviser l’efficacité des contrôles internes de cette même personne morale. Les deux options sont internes. Un tiers sous contrat n’est pas un organe de la personne morale : aucun cabinet de conseil ne peut donc occuper ce poste par contrat. Ce qui est possible, et c’est ce que nous faisons, c’est que l’organe interne existe formellement et qu’un consultant externe lui apporte la méthode, la documentation, la formation et la vérification périodique. L’article prévoit lui-même une seule exception, liée à la taille : dans les personnes morales de petite dimension, celles qui sont autorisées à présenter un compte de résultat abrégé, les fonctions de supervision peuvent être assumées par l’organe d’administration.
Ce sont des figures distinctes, et sur le point clé les règles sont opposées. Le Délégué à la Protection des Données est une figure régie par l’article 37 du RGPD, il peut être un tiers avec un contrat de services et il est formellement communiqué à l’Agence espagnole de protection des données. L’organe de supervision de la conformité pénale, en revanche, doit être interne par exigence de l’article 31 bis.2 du Code pénal. Un consultant externe en conformité travaille sur le risque pénal de la personne morale et sur le canal de la loi 2/2023 ; un DPD externe travaille sur le traitement des données personnelles. Ils se croisent sur le canal de signalement et dans la gestion des enquêtes internes, et c’est pourquoi il vaut mieux que la même équipe s’en charge.
Non. UNE 19601 est une norme technique espagnole d’adoption volontaire, pas une loi, et aucun texte légal espagnol n’oblige à la mettre en place ni à s’y faire certifier. Son utilité est ailleurs : elle offre une structure reconnaissable pour le modèle, elle oblige à laisser une preuve de chaque exigence et, si l’entreprise se fait certifier, elle apporte le rapport d’un tiers indépendant qui atteste de sa diligence. Lorsqu’on la cite, il convient de citer l’édition en vigueur : UNE 19601:2025, « Sistemas de gestión del compliance penal. Requisitos con orientación para su uso », qui annule UNE 19601:2017.
Pas nécessairement. L’article 31 bis.3 du Code pénal établit que, dans les personnes morales de petite dimension — définies comme celles qui sont autorisées à présenter un compte de résultat abrégé —, les fonctions de supervision du modèle peuvent être assumées directement par l’organe d’administration. Cela simplifie la structure, mais n’allège pas le contenu : les six exigences du paragraphe 5 restent les mêmes, et l’organe d’administration doit pouvoir démontrer qu’il exerce réellement cette supervision, avec des procès-verbaux et des preuves. Dans une PME, le travail consiste à le rendre proportionné et soutenable, non à le réduire à un document.
En partie, et il vaut la peine de lire les petits caractères. L’article 6.1 de la loi 2/2023 admet le recours à un tiers externe et précise dans le même paragraphe la portée : « est considérée comme gestion du système la réception des informations ». Autrement dit, ce qui est externalisé, c’est la réception, non le système complet. Le tiers doit offrir des garanties d’indépendance, de confidentialité, de protection des données et de secret des communications (art. 6.2) et a la qualité de sous-traitant du traitement (art. 6.4). De son côté, l’article 8 exige que le responsable du Système, dans le secteur privé, soit un cadre dirigeant de l’entité désigné par l’organe d’administration, et l’article 6.3 interdit que la gestion externe attribue la responsabilité du système à une autre personne. L’autorité compétente au niveau national est l’Autorité indépendante de protection du lanceur d’alerte (AIPI).
Oui, mais pas au même titre. L’exonération de l’article 31 bis.2 exige que le modèle ait été adopté et mis en œuvre avec efficacité avant la commission de l’infraction : un modèle postérieur ne peut donc pas produire cet effet. Ce qui reste est la circonstance atténuante de la lettre d) de l’article 31 quater : avoir établi, avant l’ouverture des débats, des mesures efficaces pour prévenir et découvrir les infractions qui pourraient être commises à l’avenir avec les moyens ou sous la couverture de la personne morale. Cela atténue la peine, cela ne la supprime pas. Et le délai est réel : une fois les débats ouverts, cette porte se ferme aussi.
L’article 63.1 de la loi 2/2023 qualifie d’infractions très graves certaines actions ou omissions intentionnelles, et sa lettre g) vise le manquement à l’obligation de disposer d’un Système Interne d’Information dans les termes exigés par cette loi. L’exigence d’intentionnalité est importante : toute carence ne relève pas automatiquement de cette catégorie. Lorsqu’elle y entre, l’article 65.1.b) fixe pour les personnes morales une amende comprise entre 600 001 et 1 000 000 d’euros pour les infractions très graves. L’article 65.2 permet en outre à l’Autorité Indépendante de Protection du Lanceur d’Alerte de prononcer, en plus de l’amende, un blâme public, l’interdiction d’obtenir des subventions ou d’autres avantages fiscaux pendant une durée maximale de quatre ans et l’interdiction de contracter avec le secteur public pendant une durée maximale de trois ans. Ce sont des mesures facultatives, et non des conséquences automatiques, mais pour une entreprise qui répond régulièrement à des appels d’offres, la dernière pèse souvent plus lourd que l’amende.
Demandez votre pré-diagnostic gratuit — nous répondons sous 24 h.