Responsabilidad penal de empresas en España: guía práctica para evitar delitos

En los últimos años, las empresas en España se han convertido en protagonistas directas de muchos procedimientos penales. Ya no solo se investiga a administradores o empleados concretos: la propia sociedad puede sentarse en el banquillo, ser condenada y llegar incluso a disolverse. Comprender cómo funciona la responsabilidad penal de empresas en España y qué puede hacerse para evitar delitos es hoy una cuestión de supervivencia para cualquier organización, grande o pequeña.

Qué significa que una empresa tenga responsabilidad penal en España

Desde la reforma del Código Penal de 2010 (y su importante actualización en 2015), las personas jurídicas pueden ser declaradas penalmente responsables por determinados delitos cometidos en su seno. Esto supone un cambio radical: la empresa deja de ser un mero “escenario” del delito para convertirse en posible autor penal con consecuencias propias e independientes de las de sus directivos o empleados.

En términos sencillos, la responsabilidad penal de empresas en España implica que una sociedad mercantil, asociación, fundación u otra entidad con personalidad jurídica puede ser condenada cuando:

• El delito se ha cometido en su nombre o por su cuenta, y
• Se ha producido en su beneficio directo o indirecto, y
• Ha existido una falta grave de control, supervisión o vigilancia dentro de la organización.

Esta responsabilidad se regula principalmente en el artículo 31 bis del Código Penal y se aplica con independencia de que se llegue o no a condenar a la persona física concreta que cometió el hecho. Es decir, la empresa no puede “escudarse” en que no se identifica a un empleado concreto, ni en cambios de administradores, ni en reestructuraciones.

Quiénes pueden generar responsabilidad penal para la empresa

No cualquier conducta delictiva cometida por un trabajador arrastra automáticamente a la empresa. La ley distingue dos grandes grupos de personas:

• Órganos de dirección y alta responsabilidad:
  • Representantes legales.
  • Administradores de hecho o de derecho.
  • Personas u órganos con facultades de organización, control o toma de decisiones relevantes.
• Empleados y colaboradores sometidos a autoridad:
  • Trabajadores que actúan bajo las órdenes o supervisión de los anteriores.
  • Agentes, comerciales, delegados o colaboradores que operan por cuenta de la empresa.

Si el delito lo comete el primer grupo (alta dirección), la imputación a la empresa es más directa. Si lo comete el segundo grupo (empleados), la clave estará en demostrar si existió o no un incumplimiento grave de los deberes de supervisión, vigilancia y control por parte de la compañía.

Qué entidades pueden ser penalmente responsables

En España, pueden ser penalmente responsables la mayoría de las personas jurídicas de derecho privado:

• Sociedades anónimas, limitadas y otras formas societarias.
• Asociaciones, fundaciones y entidades sin ánimo de lucro.
• Empresas familiares y pymes con personalidad jurídica.

Quedan excluidos, entre otros, el Estado, las Administraciones públicas, organismos reguladores y otras entidades que ejerzan potestades públicas de soberanía o administrativas. Sin embargo, sí puede haber responsabilidad penal de empresas públicas que actúen en el mercado bajo formas mercantiles en determinados supuestos.

Delitos por los que puede responder penalmente una empresa

La responsabilidad penal de empresas en España no se aplica a cualquier delito, sino a un catálogo concreto recogido en el Código Penal. Entre los más relevantes para la actividad empresarial destacan:

• Delitos económicos y societarios:
  • Estafas, fraudes y apropiaciones indebidas.
  • Delitos de corrupción entre particulares y en los negocios.
  • Blanqueo de capitales.
  • Delitos contra la Hacienda Pública y la Seguridad Social.
  • Insolvencias punibles y alzamiento de bienes.
• Delitos contra el patrimonio y el orden socioeconómico:
  • Defraudaciones masivas.
  • Falsedades documentales vinculadas a la actividad de la empresa.
• Delitos de corrupción y contra la Administración Pública:
  • Cohecho (soborno) a funcionarios nacionales o extranjeros.
  • Tráfico de influencias.
  • Fraudes en contratación pública. En estos supuestos resulta clave contar con una defensa especializada en procedimientos penales por prácticas corruptas que afectan directamente a la organización.
• Delitos contra los trabajadores:
  • Delitos contra la seguridad y salud en el trabajo.
  • Explotación laboral grave, trata con fines de explotación, etc.
• Delitos medioambientales:
  • Vertidos ilegales.
  • Gestión ilícita de residuos.
  • Contaminación grave del suelo, agua o atmósfera.
• Delitos informáticos y tecnológicos:
  • Accesos ilícitos a sistemas informáticos.
  • Daños informáticos.
  • Delitos relacionados con datos personales, cuando alcanzan relevancia penal.
• Otros delitos relevantes:
  • Tráfico de drogas cometido en el marco de la actividad empresarial (por ejemplo, uso de la logística de la empresa).
  • Delitos de blanqueo vinculados a redes de narcotráfico.
  • Delitos contra la libertad y la indemnidad sexual en determinados contextos corporativos.

Este catálogo se ha ido ampliando con las reformas del Código Penal, y la tendencia es que cada vez más delitos admitan la responsabilidad penal de la persona jurídica, especialmente en ámbitos como la corrupción, delitos económicos, delitos medioambientales y delitos contra trabajadores.

Consecuencias y penas para las empresas condenadas

Las consecuencias de una condena penal para una empresa van mucho más allá de una multa. Pueden comprometer su continuidad, su reputación y su capacidad para operar en el mercado, especialmente en sectores regulados o en contratación pública.

Las principales penas previstas para las personas jurídicas son:

• Multa:
  • Por cuotas (durante un tiempo y con una cuantía diaria).
  • Proporcional al beneficio obtenido o al daño causado.
• Disolución de la persona jurídica:
  • Es la sanción más grave, equivalente a la “pena de muerte” de la empresa.
  • Implica la pérdida definitiva de su personalidad jurídica y la imposibilidad de continuar la actividad.
• Suspensión de actividades:
  • Por un plazo determinado (meses o años).
  • Pueden afectar a toda la actividad o solo a una parte.
• Clausura de locales y establecimientos:
  • Temporal o definitiva de centros concretos.
• Inhabilitación para contratar con el sector público:
  • Prohibición de contratar con Administraciones Públicas.
  • Prohibición de recibir subvenciones, ayudas o beneficios fiscales.
• Intervención judicial:
  • Nombramiento de un interventor para supervisar la empresa.
  • Especialmente en casos en que se quiere asegurar la continuidad de la actividad y la protección de trabajadores y acreedores.

Además, la condena penal suele ir acompañada de:

• Indemnizaciones civiles a perjudicados.
• Decomiso de beneficios obtenidos ilícitamente.
• Gravísimo daño reputacional, con impacto directo en clientes, proveedores, entidades financieras y socios.

Ejemplo práctico

Una empresa de construcción con sede en Madrid participa en una licitación pública. Un directivo acuerda pagar comisiones ilegales a un funcionario para obtener la adjudicación. Se demuestra que la empresa no tenía ningún protocolo de control de pagos, ni revisiones de contratos, ni formación en corrupción para sus empleados.

En este escenario, la empresa puede ser condenada por delito de cohecho, enfrentándose a una fuerte multa, inhabilitación para contratar con el sector público y, en casos graves, incluso a la suspensión de su actividad. Además, el directivo responderá personalmente con penas de prisión.

Criterios legales para imputar responsabilidad penal a la empresa

La responsabilidad penal de empresas en España no es automática. Los tribunales analizan una serie de elementos que deben concurrir para que la persona jurídica pueda ser condenada. Entre los más relevantes:

• Delito cometido “en nombre o por cuenta” de la empresa:
  • El autor actúa como representante, directivo o empleado de la sociedad.
  • La conducta se vincula a la actividad de la empresa, no a la esfera estrictamente privada del autor.
• Beneficio directo o indirecto:
  • Obtención de contratos, ahorros de costes, ventajas competitivas, etc.
  • Incluso si el beneficio no llega a materializarse por completo (por ejemplo, intento de fraude).
• Falta de modelos de prevención eficaces:
  • Ausencia total de controles.
  • O existencia de protocolos meramente formales, no aplicados en la práctica.
• Incumplimiento grave de los deberes de supervisión y control:
  • La empresa no actúa con la diligencia exigible para evitar delitos previsibles en su sector y actividad.

La clave está en la idea de “cultura de cumplimiento”. Si la organización demuestra que, antes del delito, había implantado un sistema serio de prevención penal, podrá aspirar a la exención o, al menos, a una importante atenuación de su responsabilidad.

Cómo puede una empresa quedar exenta de responsabilidad penal

El Código Penal ofrece una salida clara: la empresa puede quedar exenta de responsabilidad penal si acredita que, antes de la comisión del delito, había implantado y ejecutado de forma eficaz un modelo de organización y gestión para prevenir delitos (compliance penal).

Para que esta exención sea aplicable, deben cumplirse requisitos como los siguientes:

• Modelo de prevención adoptado y eficaz antes del delito:
  • No basta con aprobar un documento genérico tras iniciarse la investigación.
  • El plan debe estar en vigor y funcionando cuando se comete el delito.
• Medidas de vigilancia y control idóneas:
  • Adaptadas a los riesgos concretos de la empresa (sector, tamaño, tipo de operaciones).
  • Con controles reales, no meramente formales.
• Órgano con poderes autónomos de iniciativa y control:
  • Designación de un compliance officer o un órgano de cumplimiento con verdadera independencia.
  • En pymes, estas funciones pueden ser asumidas directamente por el órgano de administración, documentándolo adecuadamente.
• El delito se comete eludiendo fraudulentamente el modelo:
  • El autor ha burlado los controles existentes.
  • No se debe a una omisión o ejercicio insuficiente de las funciones de supervisión.

Si no se logra acreditar todo lo anterior de forma completa, la existencia de un modelo de prevención puede servir al menos como circunstancia atenuante, reduciendo sensiblemente la pena a imponer a la empresa.

Circunstancias atenuantes específicas para las empresas

Además del modelo de prevención penal, la ley prevé otras conductas que pueden atenuar la responsabilidad penal de la persona jurídica si se realizan tras la comisión del delito:

• Confesión temprana:
  • La empresa reconoce los hechos ante las autoridades antes de saber que existe un procedimiento en su contra.
• Colaboración activa con la investigación:
  • Aportación de pruebas nuevas y decisivas.
  • Facilitar el acceso a documentación interna, sistemas informáticos, etc.
• Reparación o disminución del daño:
  • Indemnización a las víctimas.
  • Restitución de cantidades o bienes.
• Implantación de medidas eficaces antes del juicio oral:
  • Puesta en marcha de un programa de compliance penal serio y documentado.
  • Revisión de procesos, formación y canales de denuncia.

Estas actuaciones pueden marcar la diferencia entre una condena que ponga en riesgo la continuidad de la empresa y una pena ajustada que permita su supervivencia.

Modelos de prevención penal (compliance): el núcleo de la defensa de la empresa

La herramienta esencial para gestionar la responsabilidad penal de empresas en España es el modelo de organización y gestión para la prevención de delitos, también conocido como plan de prevención penal o programa de compliance penal.

Este modelo no es un simple documento teórico. Debe ser un sistema vivo, integrado en la gestión diaria de la compañía, que permita:

• Identificar los riesgos penales relevantes.
• Establecer controles y protocolos para mitigarlos.
• Detectar conductas irregulares a tiempo.
• Reaccionar de forma rápida y documentada ante cualquier indicio de delito.

Elementos mínimos de un modelo de prevención penal eficaz

Un modelo de prevención penal sólido suele incluir, al menos, los siguientes elementos:

• Mapa de riesgos penales:
  • Análisis detallado de las actividades de la empresa.
  • Identificación de qué delitos pueden llegar a cometerse razonablemente en su seno (por ejemplo, delitos económicos, delitos contra trabajadores, delitos medioambientales, delitos informáticos, etc.).
• Políticas y protocolos de actuación:
  • Códigos éticos y de conducta.
  • Procedimientos para contratación de proveedores, gestión de pagos, regalos y hospitalidades, selección de personal, etc.
  • Protocolos específicos en áreas sensibles (contratación pública, relaciones con autoridades, seguridad y salud laboral, medio ambiente).
• Controles internos y segregación de funciones:
  • Autorizaciones en varios niveles para operaciones de riesgo.
  • Revisiones periódicas por parte de auditoría interna o externa.
• Canal de denuncias interno:
  • Mecanismo seguro y confidencial para que empleados y terceros comuniquen irregularidades.
  • Gestión documentada de cada comunicación y respuesta.
• Sistema disciplinario:
  • Régimen claro de sanciones internas por incumplimiento de las normas y protocolos.
  • Aplicación real y coherente, sin tolerar excepciones por jerarquía.
• Formación y comunicación:
  • Sesiones periódicas adaptadas a cada nivel (dirección, mandos intermedios, plantilla).
  • Materiales claros que expliquen qué conductas son aceptables y cuáles pueden ser delito.
• Supervisión continua y revisión periódica:
  • Evaluaciones regulares de la eficacia del modelo.
  • Actualización ante cambios legislativos, de actividad o estructura.

Evitar el “paper compliance”

Uno de los grandes riesgos es caer en el llamado paper compliance: modelos de prevención que existen solo sobre el papel, sin aplicación real. Los tribunales españoles y la Fiscalía son cada vez más exigentes a la hora de valorar si el plan es efectivo o una mera apariencia.

Para que un programa de compliance tenga valor real en un procedimiento penal debe demostrarse que:

• Se ha implantado de forma efectiva en toda la organización.
• Se han impartido formaciones y se han documentado.
• Se han aplicado sanciones internas cuando se han detectado incumplimientos.
• Se han revisado y actualizado los protocolos con el tiempo.

Pasos prácticos para implantar un plan de prevención penal en la empresa

Implantar un modelo de prevención penal eficaz requiere un trabajo ordenado. A modo de guía práctica, puede estructurarse en las siguientes fases:

1. Compromiso de la alta dirección

Sin el apoyo claro del órgano de administración y de la alta dirección, cualquier programa está condenado al fracaso. Es imprescindible:

• Aprobar una política de cumplimiento explícita.
• Asignar recursos suficientes (tiempo, personal, presupuesto).
• Integrar el cumplimiento en la estrategia general de la empresa.

2. Análisis de riesgos penales

Se realiza un estudio detallado de:

• Actividades y procesos de negocio.
• Áreas especialmente sensibles (finanzas, compras, recursos humanos, medio ambiente, seguridad laboral, sistemas informáticos, etc.).
• Entorno regulatorio y sectorial.

El resultado es un mapa de riesgos penales que servirá de base para diseñar los controles específicos.

3. Diseño e implantación de controles y protocolos

En función de los riesgos detectados, se establecen:

• Protocolos de toma de decisiones y autorizaciones.
• Controles financieros y de tesorería.
• Procedimientos para selección de socios de negocio y terceros.
• Medidas de seguridad informática y protección de datos.
• Protocolos en materia de prevención de blanqueo, corrupción, delitos medioambientales o contra trabajadores, según el caso.

4. Designación del órgano de cumplimiento (compliance officer)

La empresa debe nombrar una persona u órgano responsable de:

• Supervisar el modelo de prevención.
• Recibir y gestionar denuncias internas.
• Proponer mejoras y actualizaciones.

En empresas de pequeñas dimensiones, estas funciones pueden ser asumidas por el propio órgano de administración, siempre que quede constancia documental de ello y se actúe con la diligencia exigible.

5. Formación y comunicación interna

Todo el personal debe conocer:

• Las normas internas y protocolos que le afectan.
• Los riesgos penales asociados a su puesto.
• El funcionamiento del canal de denuncias y la protección frente a represalias.

La formación debe ser periódica, práctica y adaptada al lenguaje y funciones de cada colectivo.

6. Canal de denuncias y respuesta ante incidentes

Es esencial contar con un canal interno de información que permita detectar irregularidades a tiempo. Debe garantizar:

• Confidencialidad de la identidad del informante.
• Prohibición de represalias.
• Investigación rápida y documentada de los hechos comunicados.

Ante cualquier indicio de delito, la empresa debe reaccionar de forma inmediata:

• Paralizar la conducta ilícita.
• Preservar pruebas.
• Evaluar la necesidad de comunicar a autoridades.
• Adoptar medidas disciplinarias internas.

7. Revisión y mejora continua

El modelo de prevención penal no es estático. Debe revisarse, como mínimo, en estos supuestos:

• Cambios relevantes en la estructura o actividad (nuevas líneas de negocio, fusiones, adquisiciones).
• Modificaciones legislativas que afecten a los riesgos penales.
• Detección de incidentes o debilidades en los controles.

Cada revisión debe quedar documentada, para poder demostrar ante un juez el esfuerzo real de la empresa por prevenir delitos.

Ejemplos de riesgos penales habituales por sectores

Los riesgos penales no son iguales para todas las empresas. Dependen del sector, del tipo de clientes, de la cadena de suministro y de otros factores. Algunos ejemplos:

• Sector construcción e inmobiliario:
  • Riesgo de delitos de corrupción, fraudes en licitaciones, delitos urbanísticos.
  • Posibles delitos medioambientales o contra la seguridad de los trabajadores en obra.
• Sector industrial y energético:
  • Delitos medioambientales por vertidos o emisiones.
  • Delitos contra trabajadores por incumplimientos graves en prevención de riesgos laborales.
• Sector financiero y servicios profesionales:
  • Riesgos de blanqueo de capitales y financiación del terrorismo.
  • Delitos de estafa, apropiación indebida o administración desleal.
• Sector tecnológico y digital:
  • Delitos informáticos (accesos ilícitos, daños a sistemas, uso indebido de datos).
  • Posibles delitos relacionados con la privacidad cuando alcanzan gravedad penal. En estos entornos, un asesoramiento específico en responsabilidad penal corporativa ligada al uso de inteligencia artificial puede resultar decisivo.
• Sector transporte y logística:
  • Riesgos de delitos de contrabando, tráfico de drogas o blanqueo utilizando la infraestructura de la empresa.

Un buen plan de prevención penal debe partir de este análisis sectorial y adaptarse a la realidad concreta de cada compañía.

Responsabilidad penal de empresas y continuidad del negocio

Más allá del cumplimiento formal, la responsabilidad penal de empresas en España es hoy una cuestión estratégica. Un procedimiento penal puede provocar:

• Pérdida de confianza de bancos y financiadores.
• Resolución de contratos por parte de clientes clave.
• Imposibilidad de concurrir a licitaciones públicas durante años.
• Caída drástica de la reputación corporativa y de la marca.

Por eso, muchas empresas integran ya el compliance penal dentro de sus sistemas de gestión global (calidad, medio ambiente, riesgos laborales, seguridad de la información), e incluso optan por certificaciones como la ISO 19601 (Sistemas de gestión de compliance penal) para reforzar su posición frente a terceros y ante eventuales procedimientos judiciales. En este contexto, puede ser recomendable contar con el apoyo de un equipo especializado en programas de cumplimiento vinculados a nuevas tecnologías que adapte el modelo a los riesgos actuales.

Claves para una estrategia penal preventiva eficaz en la empresa

Como síntesis práctica, una empresa que quiera minimizar su exposición a la responsabilidad penal debe tener presentes estas ideas:

• La prevención es más barata que la reacción:
  • El coste de implantar un modelo de prevención penal es muy inferior al impacto económico, reputacional y operativo de un procedimiento penal.
• El modelo debe ser propio y proporcional:
  • No sirve copiar protocolos de otra compañía sin adaptarlos.
  • Debe ser proporcional a la dimensión, recursos y riesgos reales de la empresa.
• La documentación es esencial:
  • Cada medida, formación, investigación interna y revisión debe quedar registrada.
  • En un procedimiento penal, lo que no está documentado, difícilmente podrá probarse.
• La implicación de la dirección debe ser visible:
  • La alta dirección debe dar ejemplo y apoyar de forma clara la cultura de cumplimiento.
  • Cualquier tolerancia hacia prácticas dudosas puede arruinar el programa.
• La actualización constante es obligatoria:
  • Los riesgos evolucionan, la legislación cambia y la empresa también.
  • El plan de prevención penal debe revisarse de forma periódica y cuando se produzcan cambios relevantes.