Conseil juridique spécialisé dans la mise en place et la certification de la UNE 19601:2025 : système de management de la compliance pénale aligné sur l’art. 31 bis du Code pénal espagnol, conçu pour prévenir les infractions, atténuer ou écarter la responsabilité pénale des personnes morales et renforcer la culture éthique.
Consultation gratuite UNE 19601
Nous vous répondons en moins de 24 h
Six domaines d’appui juridique pour concevoir, mettre en place, maintenir et certifier votre système de management de la compliance pénale (SMCP) conforme à la UNE 19601:2025.
Analyse de l’état actuel du système de prévention au regard des 10 chapitres de la norme et des exigences de l’art. 31 bis CP : identification des écarts, hiérarchisation et feuille de route de mise en œuvre.
Modèle de prévention des infractions : cartographie des risques pénaux, catalogue de contrôles, dispositif d’alerte, procédures d’enquête et architecture documentaire complète.
Conception de l’organe de compliance (CCO/OCI), statut, reporting au conseil, indépendance, budget et accès à l’information, comme l’exige la UNE 19601.
Procédures de due diligence pour les partenaires commerciaux, les fournisseurs et le personnel clé conformément à l’Annexe B de la norme, avec segmentation par niveau de risque.
Plans de formation segmentés (dirigeants, opérationnels, tiers), actions de sensibilisation et indicateurs de prise de conscience pour renforcer la culture de compliance.
Préparation à l’audit de certification par un organisme accrédité par l’ENAC (AENOR, Bureau Veritas, DNV, TÜV SÜD, Intertek) et accompagnement tout au long du cycle.
Un système de management de la compliance pénale efficace ne s’improvise pas avec un manuel : il combine une gouvernance réelle, la gestion des risques, des contrôles opérationnels et des preuves continues. C’est ce que demande la norme et ce que le juge apprécie lorsqu’il examine la cause d’exonération de l’art. 31 bis CP.
« La direction générale porte la politique de compliance pénale, alloue des ressources à l’organe de compliance et rend compte devant le conseil. Sans engagement visible, le système ne tient pas à l’audit. »
« Identification, analyse et évaluation des risques pénaux liés à l’activité réelle, selon une méthodologie documentée et une révision périodique. C’est l’axe exigé par la norme. »
« Procédures, séparation des fonctions, contrôles sur les processus sensibles (achats, RH, fiscalité, concurrence, données) et dispositif d’alerte conforme à la loi 2/2023. »
« Suivi, audit interne, revue par l’organe de compliance, par la direction générale et par l’organe de gouvernance. Le système doit évoluer et rester documenté. »
La responsabilité pénale de la personne morale existe depuis 2010 et a été précisée en 2015. Un modèle de prévention efficace peut constituer une cause d’exonération ou une circonstance atténuante ; un modèle inexistant ou cosmétique aggrave les conséquences en cas d’infraction.
Responsabilité pénale autonome de la personne morale pour les infractions commises par ses représentants, dirigeants ou salariés dans l’intérêt de l’entité (art. 31 bis CP).
Exonération totale ou atténuation si l’on démontre un modèle de prévention efficace, adopté et exécuté avant l’infraction, qui satisfait aux exigences de l’art. 31 bis.2 CP.
Dispositif d’alerte obligatoire pour les entreprises de 50 salariés et plus en vertu de la loi 2/2023, parfaitement intégrable au système UNE 19601.
Amendes pour infractions en matière de sociétés, corruption entre particuliers, fraude fiscale, blanchiment ou atteintes à la concurrence, outre la dissolution ou la suspension de l’activité.
Les marchés publics, les relations avec les multinationales et le financement bancaire exigent de plus en plus une certification de compliance pénale accréditée.
Depuis cette date, les certificats UNE 19601 sans accréditation ENAC ont perdu leur validité effective : la certification doit être délivrée par un organisme accrédité.
Nous vous aidons à construire un modèle de prévention des infractions réaliste, proportionné à votre activité et défendable devant un juge comme devant un audit de certification accrédité par l’ENAC.
La UNE 19601 est la norme espagnole certifiable qui fixe les exigences d’un système de management de la compliance pénale. Publiée à l’origine en mai 2017 par l’AENOR, elle a été mise à jour par la UNE 19601:2025, en vigueur depuis le 23 avril 2025 (la version 2017 a été annulée).
C’est la référence technique utilisée par les entreprises pour structurer leur modèle de prévention des infractions aligné sur l’art. 31 bis du Code pénal.
La norme remplit trois fonctions : prévenir la commission d’infractions au sein de l’organisation, détecter et traiter les manquements, et renforcer la culture éthique de l’entreprise. Son Annexe A établit le lien direct entre les chapitres de la norme et les exigences de l’art. 31 bis CP.
Une certification n’est pas, à elle seule, une cause automatique d’exonération de la responsabilité pénale : c’est un commencement de preuve dont l’efficacité s’apprécie au cas par cas.
Non. La UNE 19601 est volontaire. Ce qui est obligatoire, c’est de disposer d’un modèle de prévention des infractions efficace si l’on veut invoquer la cause d’exonération de l’art. 31 bis.2 CP, mais ce modèle n’a pas nécessairement à être certifié.
Cela dit, certifier le système conformément à la UNE 19601 apporte objectivité, traçabilité et reconnaissance auprès des administrations, des clients et des tribunaux.
La UNE 19601 suit la structure de haut niveau (HLS) et s’organise ainsi : 1) Objet et domaine d’application ; 2) Références normatives ; 3) Termes et définitions ; 4) Contexte de l’organisation ; 5) Leadership ; 6) Planification ; 7) Support ; 8) Fonctionnement (due diligence et contrôles) ; 9) Évaluation des performances ; 10) Amélioration, auxquels s’ajoutent six annexes (A à F).
L’Annexe A relie la norme au CP ; la B détaille la due diligence des tiers ; la C le socle documentaire minimal ; la D la mise en place dans les filiales.
La UNE 19601 porte sur la compliance pénale ; la UNE 19602 sur la compliance fiscale ; l’ISO 37301 est le système générique de management de la conformité et l’ISO 37001 se concentre sur la lutte contre la corruption. Elles partagent la structure HLS et s’intègrent parfaitement dans un système intégré unique.
Une organisation mature s’appuie généralement sur la UNE 19601 (axe pénal) et y ajoute l’ISO 37001 ou la UNE 19602 selon son profil de risque.
La loi 2/2023 du 20 février, relative à la protection des personnes qui signalent des infractions à la réglementation et à la lutte contre la corruption, exige un système interne d’information (dispositif d’alerte) pour les entreprises de 50 salariés et plus.
La UNE 19601 intègre ce dispositif comme élément central du SMCP : les deux exigences se mettent donc en œuvre de manière intégrée et efficace.
Pour une PME, comptez entre 3 et 6 mois jusqu’à la phase d’audit ; pour une multinationale, entre 9 et 15 mois, avec un déploiement progressif par filiale. Les délais dépendent du point de départ, du profil de risque et de la disponibilité de l’équipe interne.
La certification par un organisme accrédité par l’ENAC ajoute normalement 1 à 2 mois au calendrier.
Certifient aujourd’hui, entre autres, AENOR, Bureau Veritas, DNV, TÜV SÜD et Intertek, tous accrédités par l’ENAC. Depuis avril 2023, l’accréditation ENAC est exigée pour que la certification ait pleine validité sur le marché.
Il est conseillé de comparer l’expérience sectorielle, les critères d’audit et le coût avant de choisir l’organisme.
Un système UNE 19601 solide n’est pas un ensemble de documents bien rédigés : c’est une architecture de décisions traçables. La norme est la feuille de route ; le vrai travail consiste à en faire un système vivant qui résiste à un audit et à une procédure pénale.
UNE 19601:2025 (remplace la UNE 19601:2017, annulée le 23/04/2025) ; art. 31 bis du Code pénal ; loi organique 1/2015 portant réforme du CP ; loi 2/2023 sur le dispositif d’alerte ; ISO 37301, ISO 37001 et UNE 19602 comme normes complémentaires.
La nouvelle UNE 19601:2025 met l’accent sur le contrôle de la due diligence, introduit explicitement la gouvernance en compliance pénale et segmente la formation et la prise de conscience, en s’alignant sur les meilleures pratiques internationales.
Un système proportionné au profil réel de l’organisation, avec des contrôles opérationnels sur les processus sensibles (achats, finances, RH, commercial, données), une traçabilité documentaire et un organe de compliance indépendant et doté de moyens.
Dans les secteurs régulés, le SMCP s’articule avec d’autres obligations spécifiques : la LCB-FT (loi 10/2010) et la liste du GAFI pour le risque pays, les émetteurs d’EMT MiCA et les participants au sandbox financier pour la fintech et les crypto-actifs, ou les SGIIC et les administrateurs indépendants d’ESI sur les marchés de valeurs.
La UNE 19601 ne se met pas en place avec des modèles types : elle exige une architecture de processus, de décisions et de preuves. Voici le tableau de bord opérationnel que nous suivons dans chaque projet de compliance pénale.
1) GouvernanceApprobation de la politique par l’organe de gouvernance, nomination de l’organe de compliance avec une indépendance effective et allocation de ressources suffisantes et vérifiables.
2) RisquesIdentification des infractions de l’art. 31 bis CP applicables, analyse de la probabilité et de l’impact, rattachement aux processus et à leurs responsables, et évaluation documentée.
3) ContrôlesBatterie de contrôles préventifs et détectifs : séparation des fonctions, validations, plafonds, rapprochements, revues et suivi par des KPI du système.
4) Alerte et enquêtesDispositif d’alerte conforme à la loi 2/2023, protocole d’enquête interne, protection du lanceur d’alerte, gestion des conflits d’intérêts et conservation des preuves.
Cycle completContexte, politique, risques, objectifs, rôles et ressources.
Contrôles, due diligence, alerte éthique, formation et documentation.
Audit interne, revues par la direction et améliorations continues.
Politique formelle approuvée par l’organe de gouvernance, communiquée et intégrée à la stratégie.
Document approuvé, daté et signé, avec registre de diffusion interne et externe.
Méthodologie documentée, périmètre (infractions de l’art. 31 bis CP) et révision périodique.
Matrice des risques avec probabilité, impact, contrôles et responsables par processus.
Indépendance, ressources, accès à l’information et reporting direct à l’organe de gouvernance.
Statut, budget, comptes rendus de reporting et nominations de l’organe ou de la personne responsable.
Système interne d’information conforme à la loi 2/2023, avec protection du lanceur d’alerte.
Outil accessible, politiques, protocole d’enquête, registres et statistiques.
Procédures pour les partenaires commerciaux, les fournisseurs et le personnel clé (Annexe B).
Dossiers de screening, questionnaires, contrats avec clauses de compliance, suivi.
Plans de formation et de sensibilisation segmentés par profil et par risque.
Contenus, preuves de présence, évaluations et mesure de la culture éthique.
Indices que repèrent les auditeurs et, en cas de procédure pénale, les experts de l’accusation particulière.
Si vous allez mettre en place, maintenir ou certifier un système UNE 19601, ces termes figurent dans la norme, dans le Code pénal et dans les audits des organismes accrédités par l’ENAC.
Ensemble intégré de politiques, processus, contrôles et ressources destiné à prévenir et à détecter les infractions pouvant engager la personne morale.
Article qui régit la responsabilité pénale des personnes morales et les conditions de son atténuation ou de son exonération grâce à des modèles de prévention efficaces.
Ensemble structuré de mesures de surveillance et de contrôle destiné à prévenir les infractions, dont l’existence et l’efficacité peuvent exonérer ou atténuer la responsabilité pénale.
Personne ou organe indépendant, doté d’autonomie, de ressources et d’un reporting direct à l’organe de gouvernance, chargé de superviser le système.
Dispositif d’alerte obligatoire pour les entreprises de 50 salariés et plus, avec protection du lanceur d’alerte et protocole d’enquête.
Procédures d’évaluation des partenaires commerciaux et du personnel clé, avec segmentation par niveau de risque et suivi continu.
Organisme qui accrédite les organismes de certification. Depuis avril 2023, la certification UNE 19601 requiert un organisme accrédité par l’ENAC.
Structure de haut niveau commune aux normes ISO/UNE de management, qui facilite l’intégration du SMCP avec l’ISO 37301, l’ISO 37001 et la UNE 19602.
Norme sœur axée sur la prévention, la détection et la gestion des risques fiscaux, entièrement intégrable à la UNE 19601.
Décrivez-nous la situation actuelle de votre compliance pénale et nous vous expliquons comment mener votre organisation vers un système UNE 19601 défendable face à tout audit ou procédure.
La UNE 19601 est la réponse technique de l’écosystème espagnol de normalisation au régime de responsabilité pénale des personnes morales introduit par la réforme de 2010 et précisé par la loi organique 1/2015 du 30 mars, qui a réformé le Code pénal. Sa vocation est instrumentale : transformer les exigences de l’art. 31 bis CP en un système de management auditable.
La norme a été publiée à l’origine en mai 2017 (UNE 19601:2017), élaborée par le comité technique de l’AENOR en matière de compliance et de bonne gouvernance. Le 23 avril 2025, cette version a été annulée et remplacée par la UNE 19601:2025, qui renforce le contrôle de la due diligence, introduit explicitement la gouvernance en compliance pénale et segmente la formation et la prise de conscience.
L’Annexe A de la UNE 19601 établit la correspondance entre les chapitres de la norme et les exigences de l’art. 31 bis du CP. La norme devient ainsi une feuille de route pour démontrer l’existence et l’efficacité du modèle de prévention exigé par la loi comme cause d’exonération ou circonstance atténuante.
La UNE 19601 adopte la High Level Structure (HLS) commune aux normes ISO de systèmes de management, ce qui facilite son intégration avec l’ISO 37301 (compliance générale), l’ISO 37001 (lutte contre la corruption) et la UNE 19602 (compliance fiscale). Son contenu s’organise en 10 chapitres et 6 annexes (de A à F).
La loi 2/2023 du 20 février oblige les entreprises de 50 salariés et plus à disposer d’un système interne d’information. La UNE 19601 intègre ce dispositif comme pièce centrale du SMCP, ce qui permet de respecter de façon intégrée et efficace les deux exigences.
Le 28 avril 2023 a pris fin le délai de validité effective des certificats UNE 19601 délivrés sans accréditation ENAC. Aujourd’hui, la certification pleine s’obtient auprès d’organismes accrédités (AENOR, Bureau Veritas, DNV, TÜV SÜD, Intertek, entre autres).
La jurisprudence du Tribunal suprême et le Parquet général de l’État (circulaire 1/2016) établissent clairement que la certification ne produit pas automatiquement l’exonération : c’est un commencement de preuve que le tribunal doit examiner. Un système bien conçu, mis en œuvre et exploité reste néanmoins le meilleur argument de défense possible.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .