¿Es obligatorio el compliance penal en una pyme? Riesgos y versión adaptada

No. El Código Penal no obliga a una pyme a tener un modelo de compliance penal: el art. 31 bis lo plantea como la vía para quedar exenta de responsabilidad, no como un deber. Pero tu empresa puede ser condenada por los delitos que sus administradores o empleados cometan en su beneficio, y sin modelo pierde esa eximente. Y si tienes 50 o más trabajadores, el canal de denuncias sí es obligatorio por la Ley 2/2023.

Qué dice el Código Penal: una eximente, no una obligación

El art. 31 bis del Código Penal hace responsable a la persona jurídica de ciertos delitos cometidos en su nombre o por su cuenta y en su beneficio directo o indirecto. Responde por los delitos de sus representantes y directivos, y por los de sus empleados cuando se han podido cometer por haberse incumplido gravemente los deberes de supervisión, vigilancia y control. Lo explicamos con detalle en responsabilidad penal de las personas jurídicas.

El tamaño no cambia eso. El art. 31 quinquies solo excluye al Estado, a las Administraciones públicas territoriales e institucionales, a los organismos reguladores, a las agencias y entidades públicas empresariales, a las organizaciones internacionales de derecho público y a otras entidades que ejercen potestades públicas. Una sociedad limitada de cinco personas está dentro.

Lo que la ley no hace es obligar a tener un modelo. El art. 31 bis.2 exime a la empresa si se cumplen ciertas condiciones, y la primera es que el órgano de administración haya adoptado y ejecutado con eficacia, antes del delito, un modelo de organización y gestión con medidas de vigilancia y control idóneas. Al tratar los partidos políticos, la Circular 1/2016 de la Fiscalía General del Estado describe al resto de personas jurídicas como «en principio no obligadas a establecer programas de prevención».

Dicho de otra forma: no tener compliance penal no es una infracción, pero deja a la empresa sin su principal defensa si alguien comete un delito en su beneficio. Además, la responsabilidad es autónoma. El art. 31 ter permite exigirla «aun cuando la concreta persona física responsable no haya sido individualizada».

Qué arriesga una pyme sin modelo de prevención

Las penas para la persona jurídica están en el art. 33.7 CP y todas «tienen la consideración de graves»:

El techo teórico de la multa por cuotas es alto: el art. 50.4 computa los años como de 360 días, así que cinco años a 5.000 € diarios suman 9 millones de euros. Cuando el delito prevé multa proporcional, la cifra depende del beneficio obtenido, del perjuicio causado o del valor del objeto. Si no se puede calcular, el art. 52.4 la sustituye por multa de dos a cinco años, de uno a tres años o de seis meses a dos años, según la pena de prisión prevista para la persona física.

Para una pyme hay un matiz útil: el art. 53.5 permite fraccionar el pago de la multa hasta cinco años cuando su cuantía ponga probadamente en peligro la supervivencia de la empresa o el mantenimiento de los puestos de trabajo, o cuando lo aconseje el interés general. Pero fraccionar no evita la condena. Y sin un modelo previo no hay eximente: solo quedan las atenuantes del art. 31 quater, todas posteriores al delito.

A esto se suma lo que no está en el Código Penal: la pérdida de clientes que piden evidencias de cumplimiento, las dudas de bancos e inversores y el coste de defenderse en un procedimiento penal.

Lo que sí es obligatorio aunque seas pyme

Que el compliance penal no sea obligatorio no significa que una pyme no tenga deberes de cumplimiento. El más cercano es el sistema interno de información de la Ley 2/2023:

• 50 o más trabajadores. Las empresas del sector privado con 50 o más trabajadores deben tener un sistema interno de información (art. 10.1.a).
• Sin umbral en algunos sectores. Lo deben tener, con independencia de su plantilla, las entidades que entran en el ámbito de los actos de la UE sobre servicios financieros, prevención del blanqueo y de la financiación del terrorismo, seguridad del transporte y protección del medio ambiente (art. 10.1.b).
• Responsable del Sistema. Lo designa el órgano de administración, y su nombramiento se notifica a la Autoridad Independiente de Protección del Informante, o a la autoridad autonómica competente, en los diez días hábiles siguientes (art. 8).
• Medios compartidos. Las empresas de 50 a 249 trabajadores pueden compartir entre sí el sistema y los recursos de gestión, respetando las garantías de la ley (art. 12).

Ese canal encaja con el requisito 4.º del art. 31 bis.5, que obliga a informar de posibles riesgos e incumplimientos al organismo que vigila el modelo. Si ya tienes que implantar el canal de denuncias, tienes una de las piezas del modelo penal en marcha.

La versión pyme del modelo: qué permite el art. 31 bis.3

El Código Penal tiene una sola regla específica para empresas pequeñas. En las personas jurídicas de pequeñas dimensiones, las funciones de supervisión del modelo «podrán ser asumidas directamente por el órgano de administración». Son de pequeñas dimensiones las que, según la legislación aplicable, están autorizadas a presentar cuenta de pérdidas y ganancias abreviada. Ese criterio contable mira el activo, la cifra de negocios y la plantilla media; tu asesor contable sabe si lo cumples.

Nada más se rebaja. Los seis requisitos del art. 31 bis.5 se aplican igual, y el modelo tiene que estar adoptado y ejecutado antes del delito. La propia Circular 1/2016 reconoce que el sistema está «ideado fundamentalmente para la mediana y gran empresa» y que, para las pequeñas, «las exigencias impuestas en los programas pueden resultar excesivas». La respuesta es la proporcionalidad: menos documentos, pero ajustados a tus riesgos reales.

Un consejo práctico. Cuando el administrador único asume la supervisión, supervisa también sus propias decisiones. Si el delito lo comete un administrador, la exención exige que lo haya cometido «eludiendo fraudulentamente» el modelo (art. 31 bis.2, condición 3.ª), y que no haya habido omisión ni ejercicio insuficiente de la supervisión (condición 4.ª). Una revisión externa periódica, como la de un compliance officer externo, da credibilidad al sistema.

Cuándo le compensa a una pyme implantarlo

Para decidir, mira tu exposición real, no solo tu tamaño:

• Contratas con el sector público o recibes subvenciones. La inhabilitación del art. 33.7.f puede apartarte de ambos hasta quince años.
• Tu actividad toca delitos del catálogo. Gestionas datos personales, cobras de clientes, trabajas con intermediarios o tienes un riesgo fiscal o medioambiental relevante.
• Trabajas en un sector regulado. En finanzas, pagos o cripto es probable que ya tengas procedimientos de control que el modelo penal puede aprovechar.
• Clientes, bancos o inversores te piden evidencias. Un modelo documentado responde a esos cuestionarios.

El primer paso es el mapa de riesgos penales. Con él sabrás si te basta un modelo ligero o necesitas un plan de prevención de delitos completo. Si te preocupa el presupuesto, lo desglosamos en cuánto cuesta implantar compliance penal.

Preguntas frecuentes

¿Un autónomo necesita compliance penal?

No en el sentido del art. 31 bis. Ese régimen se aplica a las personas jurídicas: sociedades, asociaciones, fundaciones y otras entidades con personalidad propia. Un autónomo es una persona física y responde personalmente de sus propios delitos. Si trabajas a través de una sociedad, aunque seas socio único, la sociedad sí puede responder y el modelo vuelve a tener sentido.

¿Mi pyme es «de pequeñas dimensiones» si tiene menos de 50 trabajadores?

No necesariamente: son criterios distintos. Los 50 trabajadores son el umbral del canal obligatorio de la Ley 2/2023. Las pequeñas dimensiones del art. 31 bis.3 dependen de si puedes presentar cuenta de pérdidas y ganancias abreviada, que combina activo, cifra de negocios y plantilla media. Puedes estar obligada al canal y, a la vez, poder dejar la supervisión del modelo en manos del administrador.

¿Sirve de algo implantar el modelo después de un problema?

Para la eximente, no: el art. 31 bis.2 exige que el modelo estuviera adoptado y ejecutado antes del delito. Pero el art. 31 quater, letra d), considera atenuante haber establecido, antes del comienzo del juicio oral, medidas eficaces para prevenir y descubrir delitos futuros. Las otras atenuantes son confesar antes de conocer el procedimiento, colaborar con pruebas nuevas y decisivas y reparar o disminuir el daño.

¿Tengo que certificar el compliance penal con la UNE 19601?

No. El Código Penal no exige ninguna certificación. La UNE 19601, cuya nueva versión publicó UNE el 24 de abril de 2025 en sustitución de la de 2017, se puede certificar por una tercera parte independiente, y esa certificación es voluntaria. A una pyme le sirve como guía para ordenar el modelo; certificarlo es una decisión comercial. Lo vemos en nuestra página de UNE 19601.