¿Cuánto cuesta implantar compliance penal? Partidas del modelo y de qué depende

No hay un precio oficial: el Código Penal no fija tasas, capital mínimo ni importe alguno para implantar compliance penal. El coste depende de cuántos riesgos tengas, de tu tamaño y de lo que ya funcione en tu empresa. Lo que sí fija la ley son las piezas: los seis requisitos del art. 31 bis.5, un órgano que supervise el modelo y, si tienes 50 o más trabajadores o estás en ciertos sectores, un canal de denuncias conforme a la Ley 2/2023.

Qué fija la ley y qué no

El modelo de prevención de delitos no necesita autorización de ningún organismo y el Código Penal no prevé inscribirlo en un registro. Por eso, a diferencia de una licencia financiera, aquí no hay tasas, capital mínimo ni garantías obligatorias. Lo que la ley fija es el contenido. Si quieres que el modelo pueda eximir a tu empresa (art. 31 bis.2 y 31 bis.4), debe reunir los seis requisitos del art. 31 bis.5, y su supervisión debe confiarse a un órgano con poderes autónomos de iniciativa y de control.

«Sí, para la eximente» quiere decir que el Código Penal no te obliga a tener el modelo, pero sin esas piezas no te protege. Lo explicamos en si el compliance penal es obligatorio para una pyme. La formación no aparece como requisito autónomo en el art. 31 bis.5, pero sin ella es difícil acreditar que el modelo se ejecutaba con eficacia, que es lo que pide la condición 1.ª del art. 31 bis.2.

Las partidas del modelo, una a una

Diagnóstico y mapa de riesgos penales

Es la partida que más condiciona el resto. Su coste depende de cuántos delitos del catálogo pueden darse en tu actividad, de cuántos procesos hay que revisar y de cuántas entrevistas hacen falta. Una empresa con una sola línea de negocio y pocos proveedores no necesita el mismo análisis que un grupo con filiales y trato habitual con Administraciones. El método lo explicamos en cómo se hace un mapa de riesgos penales.

Código de conducta, protocolos y control financiero

Cubren los requisitos 2.º, 3.º y 5.º: quién decide qué, cómo se controlan pagos y gastos y qué pasa si alguien incumple. La Circular 1/2016 de la Fiscalía General del Estado señala que el sistema disciplinario presupone un código de conducta que defina las obligaciones de directivos y empleados. El coste baja si ya tienes procedimientos de aprobación, poderes bien definidos o controles de otras normas, como los de prevención del blanqueo o protección de datos, que se pueden aprovechar.

Canal de denuncias

El requisito 4.º exige un cauce para informar al órgano de control. Si tienes 50 o más trabajadores, o estás en sectores como los servicios financieros o la prevención del blanqueo, además debes cumplir el art. 10 de la Ley 2/2023. La propia ley abre dos vías para ajustar el coste:

• Gestión interna o externa. El sistema puede gestionarse dentro de la empresa o por un tercero externo que ofrezca garantías de independencia, confidencialidad, protección de datos y secreto de las comunicaciones (art. 6). Externalizar no traslada la responsabilidad, que sigue en el Responsable del Sistema.
• Medios compartidos. Las empresas de 50 a 249 trabajadores pueden compartir entre sí el sistema y los recursos de gestión (art. 12).

Tienes más detalle en cuánto cuesta un canal de denuncias y en nuestro servicio de canal de denuncias.

Formación

Se presupuesta por colectivos: órgano de administración, directivos, áreas expuestas y resto de la plantilla. Depende del número de personas, de los idiomas y de si se hace en sesiones presenciales o en línea, siempre con registro de asistencia y evaluación.

Órgano de cumplimiento

El art. 31 bis.2 exige confiar la supervisión a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control. Puede ser una persona o un comité interno con apoyo externo y, en las personas jurídicas de pequeñas dimensiones, el propio órgano de administración (art. 31 bis.3). Es un coste recurrente: dedicación interna, servicio externo o una combinación. Lo comparamos en cuánto cuesta un compliance officer externo.

Verificación periódica y evidencias

El requisito 6.º obliga a verificar el modelo de forma periódica y a modificarlo cuando hay infracciones relevantes o cambios en la organización, la estructura de control o la actividad. Es la partida recurrente que más se olvida al presupuestar: revisión de controles, actualización del mapa, informe al órgano de administración y archivo de evidencias.

Certificación (opcional)

Certificar el sistema con la UNE 19601, cuya nueva versión publicó UNE el 24 de abril de 2025, es voluntario. Si decides hacerlo, al trabajo de implantación se suma la auditoría de una entidad de certificación, que es un tercero independiente. Lo analizamos en cuánto cuesta certificar la UNE 19601.

De qué depende el presupuesto

• Número de riesgos relevantes. No es lo mismo una consultora con riesgos de datos y fiscales que una empresa que licita, gestiona residuos y opera en varios países.
• Tamaño y estructura. Plantilla, centros de trabajo, sociedades del grupo e idiomas.
• Sector. En sectores regulados hay más controles que integrar, pero también más procedimientos que se pueden reutilizar.
• Punto de partida. Si ya tienes código ético, canal, poderes y controles de pagos documentados, el trabajo es de adaptación y no de creación.
• Funciones que externalizas. Gestión del canal, apoyo al órgano de cumplimiento, formación o revisión periódica.
• Objetivo de certificación. Preparar una auditoría UNE 19601 exige más documentación y evidencias formales.

Lo que no conviene es ahorrar copiando un modelo genérico. La Circular 1/2016 advierte de que copiar los programas de otras compañías suscita «serias reservas sobre la propia idoneidad del modelo adoptado». Un modelo que no exime es el más caro de todos.

Lo que cuesta no tenerlo

La referencia del otro lado es la pena. El art. 33.7 CP prevé para la persona jurídica multa por cuotas o proporcional, disolución, suspensión de actividades y clausura de locales de hasta cinco años, inhabilitación para obtener subvenciones y contratar con el sector público de hasta quince años e intervención judicial. En la multa por cuotas, la cuota diaria de una persona jurídica va de 30 a 5.000 euros (art. 50.4). Súmale el coste de defenderte en un procedimiento penal y el daño reputacional.

Cómo te ayudamos

En nuestro servicio de corporate compliance trabajamos así:

1. Primera consulta sin coste. Nos cuentas tu actividad, tu tamaño y lo que ya tienes.
2. Diagnóstico. Identificamos los riesgos penales que te aplican y las piezas del modelo que faltan.
3. Presupuesto cerrado. Por fases y con el alcance definido: sabes qué incluye antes de empezar.
4. Implantación. Mapa de riesgos, código ético y políticas, canal de denuncias e investigaciones, due diligence de terceros, formación por roles y controles con evidencias.
5. Supervisión y revisión. Apoyo al órgano de cumplimiento, reporting al órgano de administración, auditoría y mejora continua.

Preguntas frecuentes

¿Hay que pagar alguna tasa o inscribir el modelo en un registro?

No. El art. 31 bis no prevé autorización, tasa ni inscripción del modelo de prevención de delitos. La comunicación formal que sí existe está ligada al canal de denuncias: si estás obligado a tenerlo, debes notificar el nombramiento y el cese del Responsable del Sistema a la Autoridad Independiente de Protección del Informante, o a la autoridad autonómica competente, en los diez días hábiles siguientes (art. 8.3 de la Ley 2/2023).

¿Sale más barato que el administrador asuma la supervisión?

Puede, si tu empresa es de pequeñas dimensiones: el art. 31 bis.3 lo permite cuando estás autorizada a presentar cuenta de pérdidas y ganancias abreviada. Pero no es gratis. El administrador tiene que dedicar tiempo, dejar constancia de sus revisiones y supervisar de verdad, porque la eximente exige que no haya habido omisión ni ejercicio insuficiente de esa función (condición 4.ª del art. 31 bis.2).

¿Qué hace subir el coste de mantenimiento de un año a otro?

Sobre todo los cambios. El art. 31 bis.5.6.º obliga a modificar el modelo cuando aparecen infracciones relevantes o cambia la organización, la estructura de control o la actividad. Un producto nuevo, una adquisición, la entrada en otro país o una investigación interna derivada del canal obligan a revisar el mapa y los controles. Un año sin cambios relevantes se limita a la verificación ordinaria y a la formación de refresco.

¿Puedo implantarlo por fases para repartir el coste?

Sí. El Código Penal no fija un calendario de implantación. Lo razonable es empezar por el mapa de riesgos y los controles de los riesgos altos o críticos, y completar después el resto. Ten en cuenta que la eximente exige un modelo adoptado y ejecutado con eficacia antes del delito: mientras falten piezas, la protección es parcial. El canal, si estás obligado por la Ley 2/2023, ya es exigible.