Construimos y mantenemos vivo el modelo de organización y gestión que el artículo 31 bis del Código Penal exige para que una empresa pueda quedar exenta de responsabilidad penal: mapa de riesgos, protocolos de decisión, código ético, canal interno conforme a la Ley 2/2023 y verificación periódica documentada. El órgano de supervisión sigue siendo de tu empresa, porque la ley lo exige así; nosotros le damos método, evidencias y una segunda opinión desde fuera.
El artículo 31 bis del Código Penal permite que una persona jurídica responda penalmente por los delitos cometidos en su nombre o por su cuenta y en su beneficio directo o indirecto, tanto por sus representantes legales o por quienes están autorizados para tomar decisiones como por quienes, sometidos a la autoridad de los anteriores, han podido realizar los hechos porque se incumplieron gravemente los deberes de supervisión, vigilancia y control. La consecuencia práctica es que la empresa se sienta en el banquillo junto a la persona física, con su propio catálogo de penas: multa, disolución, suspensión de actividades, clausura de locales, intervención judicial e inhabilitación para obtener subvenciones y ayudas públicas o para contratar con el sector público.
Frente a eso, el apartado 2 del mismo artículo abre una puerta de salida. La persona jurídica queda exenta de responsabilidad si se cumplen las cuatro condiciones que el propio apartado enumera, y la primera es que «el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión». Las palabras que deciden un juicio están todas ahí: adoptado, ejecutado con eficacia y antes. Un manual firmado la semana de la denuncia no exime de nada. El apartado cierra además con un matiz que suele pasarse por alto: cuando esas circunstancias solo pueden acreditarse parcialmente, esa acreditación parcial se valora a efectos de atenuación de la pena.
La segunda condición es la que más confusión genera en el mercado, y conviene decirla sin rodeos: la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha de estar confiada «a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica». De la persona jurídica. Las dos alternativas que ofrece la ley son internas. Ninguna consultora puede ser ese órgano por contrato, y quien ofrezca «ser tu compliance officer externo» a efectos del artículo 31 bis está vendiendo algo que la ley no admite. Lo que sí hace un consultor externo es construir el modelo, dotar a ese órgano interno de procedimientos, formación, indicadores y actas, y verificarlo periódicamente desde fuera, con la independencia que da no depender del organigrama que se está supervisando. El propio artículo prevé una excepción por tamaño: en las personas jurídicas de pequeñas dimensiones, que son las autorizadas a presentar cuenta de pérdidas y ganancias abreviada, las funciones de supervisión puede asumirlas directamente el órgano de administración.
El contenido del modelo tampoco queda al gusto del consultor. El apartado 5 del artículo 31 bis fija seis requisitos y los seis son exigibles: identificar las actividades en cuyo ámbito puedan cometerse los delitos que han de ser prevenidos; establecer los protocolos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas; disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos; imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo; establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas; y realizar una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada. Ese sexto requisito es el que convierte el compliance en un servicio y no en un entregable: un modelo que nadie revisa deja de ser eficaz y, con ello, deja de eximir.
El cuarto requisito, el canal para informar de riesgos e incumplimientos, dejó de ser solo una pieza del Código Penal con la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Su artículo 10.1 obliga a disponer de un Sistema interno de información a las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores, y también, sin umbral alguno de plantilla, a las que operan en el ámbito de los servicios, productos y mercados financieros, de la prevención del blanqueo de capitales o de la financiación del terrorismo, de la seguridad del transporte y de la protección del medio ambiente. Su letra c) añade a los partidos políticos, los sindicatos, las organizaciones empresariales y las fundaciones creadas por unos y otros cuando reciban o gestionen fondos públicos, también sin umbral de plantilla.
Aquí sí cabe externalizar, aunque con dos límites que casi nadie explica. El artículo 6.1 permite acudir a un tercero externo y acota en el mismo apartado qué se entiende por gestión del sistema: «se considera gestión del Sistema la recepción de informaciones». Lo externalizable es la recepción, no el sistema entero. Y el artículo 8 reserva la figura del Responsable del Sistema a la propia organización: en el sector privado tiene que ser un directivo de la entidad, designado por el órgano de administración y con independencia respecto de él. El artículo 6.3 cierra el círculo al impedir que la gestión externa atribuya la responsabilidad sobre el sistema a una persona distinta de ese Responsable interno. No tenerlo, además, tiene precio propio al margen del Código Penal: el artículo 63.1 califica como muy graves determinadas omisiones dolosas, entre ellas la de no disponer del sistema, y el artículo 65 llega hasta 1.000.000 de euros de multa y a prohibiciones de contratar con el sector público. El detalle está más abajo, en las preguntas frecuentes.
Sobre esa base legal se apoya la norma técnica. UNE 19601:2025, «Sistemas de gestión del compliance penal. Requisitos con orientación para su uso», es la referencia española para estructurar y auditar un modelo de prevención de delitos, y su edición de 2025 anula a la anterior de 2017. Conviene ser preciso en un punto que se malinterpreta a menudo: UNE 19601 no es una ley y no obliga a nada. Es una norma española de adopción voluntaria. Su valor es probatorio y organizativo: da al modelo una estructura reconocible, obliga a dejar evidencia de cada requisito y, si la organización decide certificarse ante un organismo de certificación, aporta un informe de tercera parte independiente que respalda su diligencia. Nada de eso sustituye la valoración que hará un juez sobre la eficacia real del modelo, pero cambia el punto de partida. Cuando la empresa quiere ir más allá del riesgo penal y gobernar todo su cumplimiento, el paso siguiente es ISO 37301, que lleva Summum Calidad.
El momento en que se construye el modelo cambia su efecto jurídico, y esto rara vez se explica con claridad. La exención del apartado 2 exige que el modelo se haya adoptado y ejecutado con eficacia antes de la comisión del delito. Si ya hay un procedimiento en marcha, lo que queda es la atenuante de la letra d) del artículo 31 quater: haber establecido, antes del comienzo del juicio oral, medidas eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica. El encabezado de ese artículo condiciona todas sus atenuantes a que la actividad se realice con posterioridad a la comisión del delito y a través de los representantes legales de la sociedad. Atenúa, no exime. La diferencia se mide en años de inhabilitación y en la supervivencia de la empresa.
Summum acompaña a organizaciones en cumplimiento normativo desde 2007, con más de 2.000 proyectos de digitalización ejecutados y cerca de 200 procesos de certificación ISO acompañados en el grupo. Trabajamos desde cinco oficinas, en Valladolid (sede), Burgos, Palencia, Aranda de Duero y Las Palmas de Gran Canaria, y eso permite que el consultor que revisa tu modelo sea alguien a quien conoces en persona. El programa de compliance penal UNE 19601 describe el proyecto de implantación; esta ficha describe la figura que lo construye y lo mantiene después, mes a mes. Si además necesitas cubrir la protección de datos, la figura equivalente en ese terreno es el DPO externo, que sí puede ser un tercero, y si el encargo es de gobernanza, órganos y protocolos societarios, el trabajo está en gobierno corporativo.
En la práctica el trabajo se parece al caso 08 de nuestros casos publicados: un grupo industrial multinacional con matriz española que, tras una crisis sectorial, pidió blindar la organización con un programa auditable. Mapa de riesgos penales, código ético, canal de denuncias, comité de cumplimiento y formación a seis niveles directivos, con el programa certificado según UNE 19601 y la auditoría externa superada.
No publicamos una tarifa fija porque el alcance real depende de variables que cambian mucho de una organización a otra: el número de sociedades del grupo y de centros de trabajo, el catálogo de delitos que resulta relevante para la actividad, si ya existe un canal interno operativo, si hay procedimientos judiciales o inspecciones abiertas, si la organización quiere llegar a certificarse en UNE 19601 o le basta un modelo defendible, y cuánta formación hay que impartir. Lo concretamos en una primera llamada sin coste, después de entender la actividad real, porque cualquier cifra dada antes de ese diagnóstico sería una aproximación poco útil. No prometemos un resultado concreto ante un juez ni sustituimos a la defensa jurídica: acompañamos a la organización para que llegue a cualquier requerimiento con el modelo, las actas y las evidencias que la norma exige.
Recorremos la actividad real, proceso a proceso, para identificar en qué ámbitos pueden cometerse delitos y con qué probabilidad e impacto. Es el primero de los seis requisitos del artículo 31 bis.5 y el que condiciona todo lo demás: un mapa copiado de otro sector no identifica los riesgos propios.
Código ético, política de compliance penal, protocolos que concretan cómo se forma la voluntad de la sociedad y cómo se adoptan y ejecutan las decisiones, controles financieros, sistema disciplinario y canal interno conforme a la Ley 2/2023. Todo con la trazabilidad que exige una auditoría según UNE 19601:2025.
El órgano de supervisión lo constituye la empresa, porque la ley exige que sea un órgano de la persona jurídica. Nosotros le damos reglamento, plan de trabajo anual, modelos de acta e indicadores, y formamos a dirección, mandos intermedios y personal expuesto, con registro de asistencia y evaluación.
Revisión programada del modelo con informe y acta, más una revisión extraordinaria cuando aparece una infracción relevante o cambian la organización, la estructura de control o la actividad. Es el sexto requisito del artículo 31 bis.5 y la única forma de que el modelo siga siendo eficaz dentro de tres años.
El detalle operativo: lo que entregamos al construir el modelo y lo que mantenemos vivo después, mes a mes.
Mapa de riesgos penales por proceso
Identificación y evaluación de los riesgos penales relevantes para la actividad, con la matriz de probabilidad e impacto, los controles existentes y los que faltan, y la trazabilidad entre cada riesgo y el proceso donde vive.
Modelo de organización y gestión completo
Política de compliance penal, código ético, protocolos de decisión, controles sobre los recursos financieros, sistema disciplinario y procedimiento de investigación interna. Los seis requisitos del artículo 31 bis.5, cada uno con su evidencia documental.
Canal interno conforme a la Ley 2/2023
Sistema interno de información con las garantías de la Ley 2/2023: canal anónimo, Responsable del Sistema designado dentro de la propia entidad, política publicada, libro-registro y plazos legales de acuse de recibo y resolución. Detalle completo en el servicio de canal de denuncias.
Reglamento y plan de trabajo del órgano de supervisión
Documentación con la que la empresa dota a su órgano interno de poderes autónomos de iniciativa y de control: reglamento, dependencia funcional, presupuesto, plan anual, modelos de acta y canal de reporte al órgano de administración.
Formación por nivel de exposición
Sesiones diferenciadas para el órgano de administración, para los mandos con capacidad de decisión y para el personal de las áreas expuestas, con material propio, test y acta que sirve como evidencia de implantación efectiva.
Verificación periódica documentada
Revisión programada del modelo con informe de conclusiones y plan de acción, y revisión extraordinaria ante infracciones relevantes o cambios organizativos. Sin este punto, el modelo no cumple el sexto requisito del artículo 31 bis.5.
Preparación de la auditoría UNE 19601:2025
Cuando la organización quiere certificarse, preparamos el sistema para la auditoría del organismo de certificación: análisis de brechas contra los requisitos de la norma, evidencias ordenadas y acompañamiento durante la auditoría. La certificación la emite el organismo, nunca nosotros.
Acompañamiento en requerimientos e inspecciones
Si llega un requerimiento administrativo o se abre un procedimiento, ordenamos y entregamos la documentación del modelo y el histórico de actas. Trabajamos coordinados con la dirección jurídica o el despacho penalista de la empresa, sin sustituirlos.
Coordinación con el resto del cumplimiento
Protección de datos, prevención de blanqueo, igualdad, transparencia o contratación pública comparten evidencias con el modelo penal. Lo montamos una vez y lo reutilizamos, en lugar de mantener cinco sistemas que no se hablan.
Cuatro límites que conviene dejar por escrito antes de firmar, porque en compliance penal el mercado promete cosas que la ley no permite.
El artículo 31 bis.2, condición 2.ª, exige que la supervisión del modelo se confíe a un órgano de la persona jurídica, y las dos alternativas que da la ley son internas. Ese órgano lo constituye la empresa y no puede subcontratarse. Nosotros lo dotamos de método, documentación y verificación externa; no ocupamos su lugar.
La certificación la emite un organismo de certificación tras su propia auditoría. Nosotros preparamos el sistema y acompañamos el proceso, pero no auditamos ni certificamos lo que hemos implantado: sería juez y parte.
No asumimos la dirección letrada ni el asesoramiento penal de un caso concreto. Aportamos el modelo, las actas y las evidencias, y trabajamos junto al despacho que lleva la defensa.
Un modelo sin verificación periódica incumple el sexto requisito del artículo 31 bis.5 y deja de ser eficaz. Por eso el servicio es mensual y no un proyecto con fecha de fin.
Artículo 31 bis del Código Penal, Ley 2/2023 para el canal interno y UNE 19601:2025 como norma técnica de referencia.
Cuando el cumplimiento deja de ser solo penal, el sistema de gestión y la parte técnica las llevan las hermanas del grupo.
ISO 37301 cuando quieras un sistema de gestión del compliance que cubra todo el cumplimiento, no solo el riesgo penal.
Ver servicio → sistemasSi el canal interno o el modelo exigen medidas técnicas de seguridad, lo coordinamos con el equipo de Sistemas.
Ver servicio →No existe en España una obligación general de tener un modelo de prevención de delitos: el artículo 31 bis.2 del Código Penal lo configura como causa de exención de la responsabilidad penal de la persona jurídica, no como un deber cuyo incumplimiento se sancione por sí mismo. Lo que sí es obligatorio, y con régimen sancionador propio, es el Sistema interno de información de la Ley 2/2023: para las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores y, sin umbral de plantilla, para las que operan en mercados financieros, prevención del blanqueo y de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente, además de partidos, sindicatos, organizaciones empresariales y sus fundaciones cuando reciban o gestionen fondos públicos. En la práctica, muchas empresas llegan al modelo completo por una tercera vía: un cliente grande, un pliego público o una operación corporativa que lo exige por contrato.
No. La condición 2.ª del artículo 31 bis.2 exige que la supervisión del funcionamiento y del cumplimiento del modelo se haya confiado a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control, o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de esa misma persona jurídica. Las dos opciones son internas. Un tercero contratado no es un órgano de la persona jurídica, así que ninguna consultora puede ocupar ese puesto por contrato. Lo que sí es posible, y es lo que hacemos, es que el órgano interno exista formalmente y que un consultor externo le aporte el método, la documentación, la formación y la verificación periódica. El propio artículo prevé una única excepción, y es por tamaño: en las personas jurídicas de pequeñas dimensiones, las autorizadas a presentar cuenta de pérdidas y ganancias abreviada, las funciones de supervisión puede asumirlas el órgano de administración.
Son figuras distintas y con reglas opuestas en el punto clave. El Delegado de Protección de Datos es una figura regulada por el artículo 37 del RGPD, puede ser un tercero con contrato de servicios y se comunica formalmente a la Agencia Española de Protección de Datos. El órgano de supervisión del compliance penal, en cambio, tiene que ser interno por exigencia del artículo 31 bis.2 del Código Penal. Un consultor de compliance externo trabaja sobre el riesgo penal de la persona jurídica y sobre el canal de la Ley 2/2023; un DPO externo trabaja sobre el tratamiento de datos personales. Se cruzan en el canal de denuncias y en la gestión de investigaciones internas, y por eso conviene que los lleve el mismo equipo.
No. UNE 19601 es una norma técnica española de adopción voluntaria, no una ley, y ningún texto legal español obliga a implantarla ni a certificarse en ella. Su utilidad es otra: ofrece una estructura reconocible para el modelo, obliga a dejar evidencia de cada requisito y, si la empresa se certifica, aporta el informe de un tercero independiente que respalda su diligencia. Cuando se cite, conviene citar la edición vigente: UNE 19601:2025, «Sistemas de gestión del compliance penal. Requisitos con orientación para su uso», que anula a UNE 19601:2017.
No necesariamente. El artículo 31 bis.3 del Código Penal establece que, en las personas jurídicas de pequeñas dimensiones —definidas como las que están autorizadas a presentar cuenta de pérdidas y ganancias abreviada—, las funciones de supervisión del modelo pueden ser asumidas directamente por el órgano de administración. Eso simplifica la estructura, pero no rebaja el contenido: los seis requisitos del apartado 5 siguen siendo los mismos, y el órgano de administración tiene que poder acreditar que ejerce esa supervisión de verdad, con actas y evidencias. En una pyme el trabajo se concentra en hacerlo proporcionado y sostenible, no en reducirlo a un documento.
En parte, y conviene leer la letra pequeña. El artículo 6.1 de la Ley 2/2023 admite acudir a un tercero externo y precisa en el mismo apartado el alcance: «se considera gestión del Sistema la recepción de informaciones». Es decir, lo que se externaliza es la recepción, no el sistema completo. El tercero debe ofrecer garantías de independencia, confidencialidad, protección de datos y secreto de las comunicaciones (art. 6.2) y tiene la condición de encargado del tratamiento (art. 6.4). Por su parte, el artículo 8 exige que el Responsable del Sistema, en el sector privado, sea un directivo de la entidad designado por el órgano de administración, y el artículo 6.3 impide que la gestión externa atribuya la responsabilidad sobre el sistema a otra persona. La autoridad competente en el ámbito estatal es la Autoridad Independiente de Protección del Informante.
Sirve, aunque no para lo mismo. La exención del artículo 31 bis.2 exige que el modelo se hubiera adoptado y ejecutado con eficacia antes de la comisión del delito, así que un modelo posterior no puede producir ese efecto. Lo que queda es la circunstancia atenuante del artículo 31 quater, letra d): haber establecido, antes del comienzo del juicio oral, medidas eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica. Atenúa la pena, no la elimina. Y el plazo es real: pasado el comienzo del juicio oral, esa puerta también se cierra.
El artículo 63.1 de la Ley 2/2023 califica como infracciones muy graves determinadas acciones u omisiones dolosas, y su letra g) es el «Incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos en esta ley». El requisito del dolo es relevante: no toda carencia entra automáticamente en ese tramo. Cuando encaja, el artículo 65.1.b) fija para las personas jurídicas una multa de entre 600.001 y 1.000.000 de euros en las muy graves. El artículo 65.2 permite además a la Autoridad Independiente de Protección del Informante acordar, junto a la multa, la amonestación pública, la prohibición de obtener subvenciones u otros beneficios fiscales durante un plazo máximo de cuatro años y la prohibición de contratar con el sector público durante un máximo de tres años. Son medidas potestativas, no consecuencias automáticas, pero para una empresa que concurre habitualmente a licitaciones la última suele pesar más que la multa.
Solicita tu pre-diagnóstico gratuito — respondemos en 24h.