Spezialisierte Rechtsberatung bei der Implementierung und Zertifizierung nach UNE 19601:2025: ein Managementsystem für strafrechtliche Compliance, abgestimmt auf Art. 31 bis des spanischen Strafgesetzbuchs (Código Penal). Es soll Straftaten verhindern, die strafrechtliche Verantwortlichkeit juristischer Personen mildern oder ausschließen und die ethische Unternehmenskultur stärken.
Kostenlose Beratung zur UNE 19601
Wir antworten Ihnen innerhalb von 24 Std.
Sechs Bereiche rechtlicher Unterstützung, um Ihr Managementsystem für strafrechtliche Compliance nach UNE 19601:2025 zu konzipieren, zu implementieren, zu pflegen und zertifizieren zu lassen.
Analyse des aktuellen Präventionssystems anhand der 10 Abschnitte der Norm und der Anforderungen von Art. 31 bis CP: Ermittlung der Lücken, Priorisierung und Fahrplan für die Implementierung.
Modell zur Prävention von Straftaten: Matrix der strafrechtlichen Risiken, Kontrollkatalog, Hinweisgebersystem, Untersuchungsverfahren und vollständige Dokumentationsarchitektur.
Ausgestaltung des Compliance-Organs (CCO/OCI): Statut, Berichterstattung an den Verwaltungsrat, Unabhängigkeit, Budget und Zugang zu Informationen, wie es die UNE 19601 verlangt.
Due-Diligence-Verfahren für Geschäftspartner, Lieferanten und Mitarbeiter in Schlüsselpositionen nach Anhang B der Norm, mit risikobasierter Segmentierung.
Zielgruppengerechte Schulungspläne (Führungskräfte, operative Mitarbeiter, Dritte), Sensibilisierungsmaßnahmen und Kennzahlen zum Bewusstsein, um die Compliance-Kultur zu stärken.
Vorbereitung auf das Zertifizierungsaudit durch eine von ENAC akkreditierte Stelle und Begleitung während des gesamten Zyklus.
Ein wirksames Managementsystem für strafrechtliche Compliance (SGCP) lässt sich nicht mit einem Handbuch improvisieren. Es verbindet echte Governance, Risk Management, operative Kontrollen und laufende Nachweise. Genau das verlangt die Norm, und genau darauf achtet ein Richter, wenn er die Strafbefreiung nach Art. 31 bis CP prüft.
„Die oberste Leitung treibt die Richtlinie zur strafrechtlichen Compliance voran, stattet das Compliance-Organ mit Ressourcen aus und legt gegenüber dem Verwaltungsrat Rechenschaft ab. Ohne sichtbares Engagement hält das System keinem Audit stand.“
„Ermittlung, Analyse und Bewertung der strafrechtlichen Risiken der tatsächlichen Geschäftstätigkeit, mit dokumentierter Methodik und regelmäßiger Überprüfung. Das ist das Kernstück, das die Norm verlangt.“
„Verfahren, Funktionstrennung, Kontrollen in sensiblen Prozessen (Einkauf, Personal, Steuern, Wettbewerb, Daten) und ein Hinweisgebersystem nach dem Gesetz 2/2023.“
„Überwachung, interne Audits, Überprüfung durch das Compliance-Organ, die oberste Leitung und das Leitungsorgan. Das System muss sich weiterentwickeln und dokumentiert sein.“
Die strafrechtliche Verantwortlichkeit juristischer Personen gibt es in Spanien seit 2010; 2015 wurde sie konkretisiert. Ein wirksames Präventionsmodell kann zur Strafbefreiung oder Strafmilderung führen. Ein fehlendes oder nur kosmetisches Modell vergrößert den Schaden, wenn es zu einer Straftat kommt.
Eigenständige strafrechtliche Verantwortlichkeit der juristischen Person für Straftaten, die Vertreter, Führungskräfte oder Mitarbeiter zu ihren Gunsten begehen (Art. 31 bis CP).
Vollständige Strafbefreiung oder Strafmilderung, wenn ein wirksames Präventionsmodell nachgewiesen wird, das vor der Tat eingeführt und umgesetzt wurde und die Anforderungen von Art. 31 bis.2 CP erfüllt.
Hinweisgebersystem verpflichtend für Unternehmen mit 50 oder mehr Beschäftigten nach dem Gesetz 2/2023; es lässt sich problemlos in das UNE-19601-System integrieren.
Geldstrafen für Gesellschaftsdelikte, Korruption im geschäftlichen Verkehr, Steuerhinterziehung, Geldwäsche oder Wettbewerbsdelikte, dazu Auflösung oder Aussetzung der Tätigkeit.
Öffentliche Ausschreibungen, Geschäfte mit multinationalen Konzernen und Bankfinanzierungen setzen immer häufiger eine akkreditierte Zertifizierung der strafrechtlichen Compliance voraus.
Ab diesem Datum gelten nach der UNE 19601:2017 ausgestellte Zertifikate nicht mehr als akkreditiert: Der Wechsel auf die Fassung von 2025 ist nötig (Übergangsplan der ENAC).
Wir helfen Ihnen, ein realistisches Modell zur Prävention von Straftaten aufzubauen, das zu Ihrer Tätigkeit passt und vor einem Richter ebenso besteht wie in einem Zertifizierungsaudit durch eine von ENAC akkreditierte Stelle.
Rechtlicher Überblick · Übergangsplan der ENAC
Die Norm zur strafrechtlichen Compliance liegt seit April 2025 in neuer Fassung vor, und die ENAC hat festgelegt, ab wann die alten Zertifikate ihre Gültigkeit verlieren.
Ihr nächstes Audit muss nach der Fassung von 2025 erfolgen. Es empfiehlt sich, das System vorher anhand der neuen Norm zu überprüfen, damit keine Nichtkonformitäten auftreten. Details dazu finden Sie in unserem Beitrag Was kostet die Zertifizierung nach UNE 19601 (auf Spanisch).
Der Richter prüft, ob das Modell vor der Tat eingeführt und wirksam umgesetzt wurde (Art. 31 bis.2 CP). Das Zertifikat hilft beim Nachweis, ersetzt ihn aber nicht.
Bis zum 30. April 2027. Ab diesem Datum gelten Zertifikate nach der Fassung von 2017 laut Übergangsplan der ENAC nicht mehr als akkreditiert. Erst- und Rezertifizierungsaudits nach dieser Fassung waren nur bis zum 30. Oktober 2026 möglich. Ihr nächstes Audit muss daher nach der UNE 19601:2025 erfolgen.
Nicht für sich allein. Für die spanische Staatsanwaltschaft sind Zertifizierungen ein zusätzliches Element, das die Wirksamkeit des Modells keineswegs belegt (Rundschreiben 1/2016). Strafbefreiend wirkt nur ein Modell, das die Anforderungen von Art. 31 bis des Strafgesetzbuchs erfüllt und wirksam eingeführt und umgesetzt wurde.
Quellen: ENAC, Übergangsplan zur UNE 19601:2025; Rundschreiben 1/2016 der spanischen Generalstaatsanwaltschaft (Fiscalía General del Estado); Strafgesetzbuch (BOE-A-1995-25444) (Art. 31 bis). Geprüft am 5. November 2026.
Die UNE 19601 ist der spanische zertifizierbare Standard, der die Anforderungen an ein Managementsystem für strafrechtliche Compliance festlegt. Sie wurde ursprünglich im Mai 2017 von AENOR veröffentlicht und durch die UNE 19601:2025 aktualisiert, die seit dem 23. April 2025 gilt (die Fassung von 2017 wurde zurückgezogen).
Sie ist die technische Referenz, mit der Unternehmen ihr Modell zur Prävention von Straftaten im Einklang mit Art. 31 bis des spanischen Strafgesetzbuchs strukturieren.
Die Norm erfüllt drei Funktionen: Sie soll Straftaten innerhalb der Organisation verhindern, Verstöße aufdecken und bearbeiten sowie die ethische Kultur des Unternehmens stärken. Ihr Anhang A stellt den direkten Bezug zwischen den Abschnitten der Norm und den Anforderungen von Art. 31 bis CP her.
Eine Zertifizierung ist für sich genommen keine automatische Befreiung von der strafrechtlichen Verantwortlichkeit. Sie ist ein Anscheinsbeweis, dessen Wirksamkeit im Einzelfall geprüft wird.
Nein. Die UNE 19601 ist freiwillig. Verpflichtend ist ein wirksames Modell zur Prävention von Straftaten, wenn man sich auf die Strafbefreiung nach Art. 31 bis.2 CP berufen will. Dieses Modell muss aber nicht zwingend zertifiziert sein.
Eine Zertifizierung des Systems nach UNE 19601 bringt jedoch Objektivität, Nachvollziehbarkeit und Anerkennung gegenüber Behörden, Kunden und Gerichten.
Die UNE 19601 folgt der High Level Structure (HLS) und gliedert sich in: 1) Anwendungsbereich; 2) Normative Verweisungen; 3) Begriffe; 4) Kontext der Organisation; 5) Führung; 6) Planung; 7) Unterstützung; 8) Betrieb (Sorgfaltspflichten und Kontrollen); 9) Bewertung der Leistung; 10) Verbesserung, dazu sechs Anhänge (A–F).
Anhang A verknüpft die Norm mit dem Strafgesetzbuch, Anhang B regelt die Due Diligence bei Dritten, Anhang C die Mindestdokumentation und Anhang D die Implementierung in Tochtergesellschaften.
Die UNE 19601 betrifft die strafrechtliche Compliance, die UNE 19602 die Tax Compliance, die ISO 37301 ist das allgemeine Compliance-Management-System und die ISO 37001 konzentriert sich auf Korruptionsbekämpfung. Sie teilen die HLS-Struktur und lassen sich problemlos in ein einziges integriertes System zusammenführen.
Eine reife Organisation stützt sich in der Regel auf die UNE 19601 (strafrechtliche Achse) und ergänzt je nach Risikoprofil die ISO 37001 oder die UNE 19602.
Das Gesetz 2/2023 vom 20. Februar zum Schutz von Personen, die Rechtsverstöße melden, und zur Korruptionsbekämpfung verlangt von Unternehmen mit 50 oder mehr Beschäftigten ein internes Informationssystem (Hinweisgebersystem).
Die UNE 19601 macht das Hinweisgebersystem zu einem zentralen Element des SGCP. Beide Anforderungen werden daher integriert und effizient umgesetzt.
Für ein KMU 3 bis 6 Monate bis zur Auditphase, für einen multinationalen Konzern 9 bis 15 Monate, mit schrittweisen Phasen je Tochtergesellschaft. Die Fristen hängen vom Ausgangspunkt, vom Risikoprofil und von der Verfügbarkeit des internen Teams ab.
Die Zertifizierung durch eine von ENAC akkreditierte Stelle verlängert den Zeitplan in der Regel um 1–2 Monate.
Zertifiziert wird durch private Zertifizierungsstellen. Wert erhält das Zertifikat dadurch, dass die Stelle für die UNE 19601 von ENAC akkreditiert ist. Welche Stellen akkreditiert sind und mit welchem Geltungsbereich, können Sie in der Suchfunktion der ENAC für akkreditierte Stellen prüfen. Ab dem 30. April 2027 gelten Zertifikate nach der Fassung von 2017 nicht mehr als akkreditiert.
Vor der Auswahl einer Stelle sollten Sie Branchenerfahrung, Auditkriterien und Kosten vergleichen.
Ein solides UNE-19601-System ist keine Sammlung gut formulierter Dokumente, sondern eine Architektur nachvollziehbarer Entscheidungen. Die Norm ist der Fahrplan. Die eigentliche Arbeit besteht darin, daraus ein lebendiges System zu machen, das ein Audit und ein Strafverfahren übersteht.
UNE 19601:2025 (ersetzt die UNE 19601:2017, zurückgezogen am 23.04.2025); Art. 31 bis des spanischen Strafgesetzbuchs; Organgesetz 1/2015 zur Reform des Strafgesetzbuchs; Gesetz 2/2023 über das Hinweisgebersystem; ISO 37301, ISO 37001 und UNE 19602 als ergänzende Normen.
Die neue UNE 19601:2025 legt mehr Gewicht auf die Kontrolle der Sorgfaltspflichten, führt ausdrücklich die Governance in der strafrechtlichen Compliance ein und differenziert Schulung und Bewusstseinsbildung nach Zielgruppen. Damit orientiert sie sich an internationalen Best Practices.
Ein System, das dem tatsächlichen Profil der Organisation angemessen ist: mit operativen Kontrollen in sensiblen Prozessen (Einkauf, Finanzen, Personal, Vertrieb, Daten), lückenloser Dokumentation und einem unabhängigen, ausreichend ausgestatteten Compliance-Organ.
In regulierten Branchen greift das SGCP in weitere spezifische Pflichten ein: Geldwäscheprävention (Gesetz 10/2010) und die FATF-Liste (GAFI) für das Länderrisiko, Emittenten von EMT nach MiCA und Teilnehmer an der regulatorischen Sandbox im Fintech- und Kryptobereich oder SGIIC und unabhängige Verwaltungsratsmitglieder von Wertpapierinstituten (ESI) im Wertpapiermarkt.
Die UNE 19601 lässt sich nicht mit Vorlagen implementieren. Sie erfordert eine Architektur aus Prozessen, Entscheidungen und Nachweisen. Dies ist das operative Raster, das wir in jedem Projekt zur strafrechtlichen Compliance durchgehen.
1) GovernanceVerabschiedung der Richtlinie durch das Leitungsorgan, Bestellung des Compliance-Organs mit tatsächlicher Unabhängigkeit und Zuweisung ausreichender, überprüfbarer Ressourcen.
2) RisikenErmittlung der einschlägigen Tatbestände nach Art. 31 bis CP, Analyse von Wahrscheinlichkeit und Auswirkung, Zuordnung zu Prozessen und Verantwortlichen sowie dokumentierte Bewertung.
3) KontrollenBündel präventiver und aufdeckender Kontrollen: Funktionstrennung, Freigaben, Limits, Abstimmungen, Überprüfungen und Monitoring mit Kennzahlen (KPI) des Systems.
4) Hinweisgebersystem und UntersuchungenHinweisgebersystem nach dem Gesetz 2/2023, Protokoll für interne Untersuchungen, Schutz der hinweisgebenden Person, Umgang mit Interessenkonflikten und Sicherung von Beweismitteln.
Gesamter ZyklusKontext, Richtlinie, Risiken, Ziele, Rollen und Ressourcen.
Kontrollen, Due Diligence, Ethikkanal, Schulung und Dokumentation.
Interne Audits, Managementbewertungen und kontinuierliche Verbesserung.
Förmliche Richtlinie, vom Leitungsorgan verabschiedet, kommuniziert und in die Strategie eingebunden.
Verabschiedetes Dokument mit Datum, Unterschrift und Nachweis der internen und externen Verbreitung.
Dokumentierte Methodik, Geltungsbereich (Straftaten nach Art. 31 bis CP) und regelmäßige Überprüfung.
Risikomatrix mit Wahrscheinlichkeit, Auswirkung, Kontrollen und Verantwortlichen je Prozess.
Unabhängigkeit, Ressourcen, Zugang zu Informationen und direkte Berichterstattung an das Leitungsorgan.
Statut, Budget, Protokolle der Berichterstattung und Bestellungen des Organs oder der verantwortlichen Person.
Internes Informationssystem nach dem Gesetz 2/2023, mit Schutz der hinweisgebenden Person.
Zugängliches Tool, Richtlinien, Untersuchungsprotokoll, Register und Statistik.
Verfahren für Geschäftspartner, Lieferanten und Personal in Schlüsselpositionen (Anhang B).
Screening-Akten, Fragebögen, Verträge mit Compliance-Klauseln, Monitoring.
Schulungs- und Sensibilisierungspläne, gegliedert nach Profil und Risiko.
Inhalte, Teilnahmenachweise, Lernerfolgskontrollen und Messung der ethischen Kultur.
Warnsignale, die Auditoren erkennen und auf die im Strafverfahren die Gutachter der Nebenklage (acusación particular) achten.
Wenn Sie ein UNE-19601-System implementieren, pflegen oder zertifizieren lassen, begegnen Ihnen diese Begriffe in der Norm, im Strafgesetzbuch und in den Audits der von ENAC akkreditierten Stellen.
Integriertes Gefüge aus Richtlinien, Prozessen, Kontrollen und Ressourcen, das Straftaten verhindern und aufdecken soll, die im Rahmen der juristischen Person begangen werden.
Artikel, der die strafrechtliche Verantwortlichkeit juristischer Personen regelt und die Voraussetzungen festlegt, unter denen sie durch wirksame Präventionsmodelle gemildert oder ausgeschlossen wird.
Strukturiertes Bündel von Überwachungs- und Kontrollmaßnahmen zur Verhinderung von Straftaten, dessen Bestehen und Wirksamkeit die strafrechtliche Verantwortlichkeit ausschließen oder mildern können.
Unabhängige Person oder unabhängiges Organ mit Autonomie, Ressourcen und direkter Berichtslinie zum Leitungsorgan, zuständig für die Überwachung des Systems.
Verpflichtendes Hinweisgebersystem für Unternehmen mit 50 oder mehr Beschäftigten, mit Schutz der hinweisgebenden Person und Untersuchungsprotokoll.
Verfahren zur Bewertung von Geschäftspartnern und Personal in Schlüsselpositionen, gegliedert nach Risikoniveau und mit laufender Überwachung.
Stelle, die Zertifizierungsstellen akkreditiert. Ein akkreditiertes Zertifikat nach UNE 19601 trägt das ENAC-Zeichen und lässt sich in der Suchfunktion der ENAC für akkreditierte Stellen überprüfen.
Gemeinsame übergeordnete Struktur der ISO/UNE-Managementsystemnormen, die die Integration des SGCP mit ISO 37301, ISO 37001 und UNE 19602 erleichtert.
Schwesternorm zur Prävention, Aufdeckung und Steuerung steuerlicher Risiken, vollständig mit der UNE 19601 integrierbar.
Schildern Sie uns den aktuellen Stand Ihrer strafrechtlichen Compliance. Wir erklären Ihnen, wie Ihre Organisation zu einem UNE-19601-System kommt, das jedem Audit und jedem Verfahren standhält.
Die UNE 19601 ist die technische Antwort der spanischen Normungsorganisationen auf die strafrechtliche Verantwortlichkeit juristischer Personen, die mit der Reform von 2010 eingeführt und durch das Organgesetz 1/2015 vom 30. März zur Reform des Strafgesetzbuchs konkretisiert wurde. Ihr Zweck ist praktischer Natur: Sie übersetzt die Anforderungen von Art. 31 bis CP in ein auditierbares Managementsystem.
Die Norm wurde ursprünglich im Mai 2017 veröffentlicht (UNE 19601:2017), erarbeitet vom Technischen Komitee von AENOR für Compliance und gute Unternehmensführung. Am 23. April 2025 wurde diese Fassung zurückgezogen und durch die UNE 19601:2025 ersetzt. Die neue Fassung verstärkt die Kontrolle der Sorgfaltspflichten, führt ausdrücklich die Governance in der strafrechtlichen Compliance ein und differenziert Schulung und Bewusstseinsbildung nach Zielgruppen.
Der Anhang A der UNE 19601 ordnet die Abschnitte der Norm den Anforderungen von Art. 31 bis CP zu. Damit wird die Norm zu einer Navigationskarte, um das Bestehen und die Wirksamkeit des Präventionsmodells nachzuweisen, das das Gesetz für die Strafbefreiung oder Strafmilderung verlangt.
Die UNE 19601 übernimmt die High Level Structure (HLS) der ISO-Managementsystemnormen. Das erleichtert die Integration mit ISO 37301 (allgemeine Compliance), ISO 37001 (Korruptionsbekämpfung) und UNE 19602 (Tax Compliance). Inhaltlich gliedert sie sich in 10 Abschnitte und 6 Anhänge (A bis F).
Das Gesetz 2/2023 vom 20. Februar verpflichtet Unternehmen mit 50 oder mehr Beschäftigten zu einem internen Informationssystem. Die UNE 19601 macht diesen Kanal zu einem Kernstück des SGCP und ermöglicht so eine integrierte und effiziente Erfüllung beider Anforderungen.
Die UNE 19601 wurde im April 2025 überarbeitet. Nach dem Übergangsplan der ENAC waren Erst- und Rezertifizierungsaudits nach der Fassung von 2017 bis zum 30. Oktober 2026 möglich, und ab dem 30. April 2027 gelten Zertifikate nach dieser Fassung nicht mehr als akkreditiert. Wert hat das Zertifikat, das eine für diese Norm von ENAC akkreditierte Stelle ausstellt.
Die Rechtsprechung des spanischen Obersten Gerichtshofs (Tribunal Supremo) und die spanische Generalstaatsanwaltschaft (Rundschreiben 1/2016) stellen klar, dass die Zertifizierung nicht automatisch zur Strafbefreiung führt: Sie ist ein Anscheinsbeweis, den das Gericht prüfen muss. Ein gut konzipiertes, implementiertes und gelebtes System ist jedoch das bestmögliche Verteidigungsargument.
Maßgebliche Vorschriften, mit Link zum amtlichen Text:
Vorschriften und Links im geprüft.