Mapa de riesgos penales: cómo se hace para el art. 31 bis del Código Penal

Un mapa de riesgos penales identifica en qué actividades de tu empresa podría cometerse alguno de los delitos por los que responde una persona jurídica, valora cada riesgo por probabilidad e impacto y lo enlaza con los controles que lo reducen. Es el primer requisito del modelo de prevención del art. 31 bis.5 del Código Penal. Se construye en cinco pasos: catálogo de delitos, actividades, valoración, controles y revisión.

Qué exige el Código Penal al mapa de riesgos

El art. 31 bis.5 del Código Penal enumera seis requisitos para el modelo de organización y gestión. El primero es el mapa: los modelos «identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos». La ley no impone una metodología. Sí deja claro para qué sirve: sobre ese mapa se construyen los otros cinco requisitos (protocolos de decisión, gestión de los recursos financieros, obligación de informar al órgano de control, sistema disciplinario y verificación periódica).

El mapa también condiciona la eximente. Según el art. 31 bis.2, la empresa queda exenta si su órgano de administración había adoptado y ejecutado con eficacia, antes del delito, un modelo con «medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza». Si un riesgo no está identificado, es difícil defender que había controles idóneos para él.

La Circular 1/2016 de la Fiscalía General del Estado añade dos criterios útiles. Los programas deben ser «claros, precisos y eficaces y, desde luego, redactados por escrito», y deben estar «perfectamente adaptados a la empresa y a sus concretos riesgos». El mapa es el documento que demuestra esa adaptación. El marco general lo tienes en el artículo 31 bis, explicado.

Paso 1: qué delitos pueden aplicarse a tu empresa

Una empresa no responde por cualquier delito. El art. 31 bis.1 empieza con «En los supuestos previstos en este Código»: solo hay responsabilidad de la persona jurídica en los delitos que lo prevén de forma expresa. La Circular 1/2016 lo describe como un sistema de numerus clausus. El primer paso es quedarte con los delitos que tu actividad hace posibles.

Estos son los que más aparecen en empresas con actividad comercial o financiera, tomados de la relación de la Circular 1/2016:

Dos matices. Primero, el catálogo cambia con las reformas: la Ley Orgánica 1/2019, posterior a la Circular, extendió la responsabilidad de la persona jurídica a la malversación y al conjunto de los delitos de terrorismo, que antes solo alcanzaba a su financiación. Trabaja siempre con el texto consolidado vigente. Segundo, hay delitos que no entran en el art. 31 bis pero sí en el régimen de consecuencias accesorias del art. 129 CP. La Circular cita, entre otros, los delitos contra los derechos de los trabajadores (art. 318), la alteración de precios en concursos y subastas públicas (art. 262) y la negativa a actuaciones inspectoras (art. 294). Conviene que el mapa los recoja aparte.

Descarta los delitos que no pueden darse en tu actividad, pero deja escrito por qué. Un mapa que solo recoge los riesgos elegidos, sin explicar el descarte del resto, es difícil de defender.

Paso 2: dónde podría cometerse cada delito

El requisito legal habla de «actividades», no de delitos en abstracto. Por eso el trabajo se hace por procesos: compras, ventas, tesorería y pagos, fiscalidad, recursos humanos, sistemas y datos, relación con Administraciones y gestión de terceros. Para cada proceso se describe un escenario concreto: quién podría cometer el delito, cómo y qué ganaría la empresa.

Ese «qué ganaría la empresa» no es un detalle. El art. 31 bis.1 exige que el delito se cometa en nombre o por cuenta de la persona jurídica y en su beneficio directo o indirecto. Y prevé dos vías:

• Letra a). Delitos de los representantes legales y de quienes están autorizados para tomar decisiones en nombre de la empresa u ostentan facultades de organización y control.
• Letra b). Delitos de las personas sometidas a la autoridad de los anteriores, cuando han podido cometerse por haberse incumplido gravemente los deberes de supervisión, vigilancia y control.

El mapa debe cubrir las dos: las decisiones de la dirección y la operativa del día a día. Para encontrar los escenarios sirven las entrevistas por área, la revisión de procedimientos y contratos y las incidencias pasadas. La Circular, que se apoya en la normativa sectorial, menciona variables como los tipos de clientes, países o áreas geográficas, productos, servicios y operaciones. En una pyme el mapa será más corto, no menos riguroso: lo vemos en compliance penal en una pyme.

Paso 3: cómo valorar probabilidad e impacto

El Código Penal no fija una escala. Lo habitual es puntuar cada escenario de 1 a 5 en probabilidad y en impacto y multiplicar. El resultado es el riesgo inherente, antes de aplicar controles. Lo importante es que los criterios estén escritos y se apliquen igual a todos los riesgos. Nosotros trabajamos con estos niveles:

Para el impacto, piensa en las consecuencias legales y en las de negocio. Las penas de la persona jurídica están en el art. 33.7 CP: multa por cuotas o proporcional, disolución, suspensión de actividades o clausura de locales hasta cinco años, prohibición de actividades, inhabilitación para obtener subvenciones o contratar con el sector público e intervención judicial. Cada delito tiene sus propias penas, así que el impacto no es igual para todos. Suma el daño reputacional, el contractual y, si eres una entidad regulada, el regulatorio.

Para la probabilidad, mira la frecuencia de la actividad, el volumen de operaciones, la intervención de terceros, el historial de incidencias y el margen de decisión de las personas implicadas. Puedes ordenar la matriz con nuestra herramienta de mapa de riesgos, que distingue entre riesgo inherente y residual.

Paso 4: controles, evidencias y riesgo residual

Cada riesgo medio, alto o crítico necesita controles concretos: qué se hace, quién lo hace, cuándo y qué registro deja. Los controles se conectan con el resto de requisitos del art. 31 bis.5:

• Protocolos de decisión (2.º): quién aprueba qué, con qué límites y con qué documentación.
• Gestión de los recursos financieros (3.º): segregación de funciones en pagos, doble firma, conciliaciones y control de gastos.
• Obligación de informar (4.º): un cauce para comunicar riesgos e incumplimientos al órgano que vigila el modelo, normalmente el canal de denuncias.
• Sistema disciplinario (5.º): consecuencias conocidas por incumplir las medidas del modelo.

Con los controles aplicados se vuelve a puntuar: el resultado es el riesgo residual. La ley no exige riesgo cero. La condición 1.ª del art. 31 bis.2 admite modelos idóneos «para reducir de forma significativa el riesgo de su comisión», y la Circular recuerda que el delito no invalida necesariamente el programa de prevención. Pero esa reducción tienes que poder demostrarla con evidencias.

Paso 5: revisión del mapa

El requisito 6.º del art. 31 bis.5 exige una verificación periódica del modelo y su modificación «cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios». Un producto nuevo, un país nuevo, una operación societaria o un incidente son motivos para revisar el mapa sin esperar al ciclo ordinario. Nosotros recomendamos, además, una revisión completa al menos una vez al año.

Errores que dejan el mapa sin valor

• Copiar el de otra empresa. La Circular 1/2016 advierte de que copiar los programas de otras compañías suscita «serias reservas sobre la propia idoneidad del modelo adoptado».
• Listar delitos sin procesos. Una lista del catálogo penal no es un mapa: faltan las actividades, los escenarios y los responsables.
• Puntuar sin criterio escrito. Si nadie sabe por qué un riesgo es alto, nadie puede revisar la valoración.
• Controles sin evidencia. Un control que no deja registro no se puede acreditar.
• No actualizarlo. Un mapa que no recoge los cambios de actividad no cumple el requisito 6.º.
• Hacerlo solo para el expediente. Según la Circular, los programas «no tienen por objeto evitar la sanción penal de la empresa sino promover una verdadera cultura ética empresarial».

Preguntas frecuentes

¿Quién aprueba el mapa de riesgos penales?

El art. 31 bis.2 atribuye al órgano de administración la adopción y ejecución del modelo, y el mapa forma parte de él. Su supervisión corresponde a un órgano con poderes autónomos de iniciativa y control; en las personas jurídicas de pequeñas dimensiones puede asumirla el propio órgano de administración (art. 31 bis.3). En la práctica, lo preparan el responsable de cumplimiento y los responsables de área, y lo aprueba el consejo o el administrador.

¿Qué pasa si se comete un delito que no estaba en el mapa?

La exención exige controles idóneos para prevenir delitos «de la misma naturaleza». Si ese riesgo no se identificó, será difícil sostener la eximente para ese delito. Si las condiciones solo se acreditan en parte, el art. 31 bis.2 permite valorarlo para atenuar la pena. Y el art. 31 quater, letra d), recoge como atenuante establecer, antes del juicio oral, medidas eficaces para prevenir y descubrir delitos futuros.

¿Hay que registrar el mapa o enviarlo a algún organismo?

No. El art. 31 bis no prevé registrar el modelo ni comunicarlo a ninguna autoridad. Su valor aparece si hay un procedimiento penal: ahí tendrás que acreditar que el mapa y los controles existían y se aplicaban antes del delito. Por eso importan las versiones fechadas, las actas de aprobación y los registros de cada revisión.

¿Sirve una plantilla o una herramienta para hacerlo?

Sirve para ordenar el trabajo, no para sustituirlo. Una plantilla da la estructura: registro de riesgos, escala, controles y responsables. El contenido tiene que salir de tus procesos. Nuestra herramienta de mapa de riesgos te permite registrar riesgos, valorarlos en una matriz 5 × 5 y comparar el riesgo inherente con el residual.