Consulenza legale specializzata nell’implementazione e nella certificazione della UNE 19601:2025: un sistema di gestione della compliance penale (SGCP) allineato all’art. 31 bis del Codice penale spagnolo (CP), pensato per prevenire i reati, attenuare o escludere la responsabilità penale delle persone giuridiche e rafforzare la cultura etica.
Consulenza gratuita UNE 19601
Ti rispondiamo entro 24 ore
Sei aree di supporto legale per progettare, implementare, mantenere e certificare il tuo sistema di gestione della compliance penale secondo la UNE 19601:2025.
Analisi dello stato attuale del sistema di prevenzione rispetto ai 10 capitoli della norma e ai requisiti dell’art. 31 bis CP: individuazione delle lacune, definizione delle priorità e roadmap di implementazione.
Modello di prevenzione dei reati: matrice dei rischi penali, catalogo dei controlli, canale di segnalazione, procedure di indagine e architettura documentale completa.
Progettazione dell’organo di compliance (CCO/OCI), statuto, reporting al consiglio, indipendenza, budget e accesso alle informazioni, come richiede la UNE 19601.
Procedure di due diligence per partner commerciali, fornitori e dipendenti chiave secondo l’Allegato B della norma, con segmentazione per rischio.
Piani di formazione differenziati (dirigenti, personale operativo, terzi), azioni di sensibilizzazione e metriche di consapevolezza per rafforzare la cultura di compliance.
Preparazione all’audit di certificazione da parte di un ente accreditato da ENAC (AENOR, Bureau Veritas, DNV, TÜV SÜD, Intertek) e assistenza lungo tutto il ciclo.
Un sistema di gestione della compliance penale efficace non si improvvisa con un manuale: combina governance reale, risk management, controlli operativi ed evidenze continue. È ciò che richiede la norma e ciò che un giudice valuta quando analizza l’esimente dell’art. 31 bis CP.
«L’alta direzione promuove la politica di compliance penale, assegna risorse all’organo e risponde al consiglio. Senza un impegno visibile, il sistema non regge in audit.»
«Identificazione, analisi e valutazione dei rischi penali legati all’attività reale, con una metodologia documentata e una revisione periodica. È l’asse portante richiesto dalla norma.»
«Procedure, segregazione delle funzioni, controlli nei processi sensibili (acquisti, risorse umane, fiscale, concorrenza, dati) e canale di segnalazione conforme alla Legge 2/2023.»
«Monitoraggio, audit interno, riesame da parte dell’organo di compliance, dell’alta direzione e dell’organo di governo. Il sistema deve evolvere ed essere documentato.»
La responsabilità penale della persona giuridica esiste dal 2010 e si è precisata nel 2015. Un modello di prevenzione efficace può essere un’esimente o un’attenuante; uno inesistente o di facciata amplifica il danno in caso di reato.
Responsabilità penale autonoma della persona giuridica per i reati commessi da rappresentanti, dirigenti o dipendenti a beneficio dell’ente (art. 31 bis CP).
Esimente totale o attenuante se si dimostra un modello di prevenzione efficace, adottato e attuato prima del reato, che rispetti i requisiti dell’art. 31 bis.2 CP.
Canale di segnalazione obbligatorio per le imprese con 50 o più dipendenti ai sensi della Legge 2/2023, perfettamente integrabile nel sistema UNE 19601.
Multe per reati societari, corruzione tra privati, frode fiscale, riciclaggio di denaro o reati contro la concorrenza, oltre allo scioglimento o alla sospensione dell’attività.
Gare pubbliche, rapporti con le multinazionali e finanziamenti bancari richiedono sempre più spesso una certificazione di compliance penale accreditata.
Da quella data i certificati UNE 19601 senza accreditamento ENAC hanno perso la validità effettiva: la certificazione deve essere rilasciata da un ente accreditato.
Ti aiutiamo a costruire un modello di prevenzione dei reati realistico, proporzionato alla tua attività e difendibile davanti a un giudice e in un audit di certificazione di un ente accreditato da ENAC.
La UNE 19601 è lo standard spagnolo certificabile che stabilisce i requisiti di un sistema di gestione della compliance penale. È stata pubblicata originariamente a maggio 2017 da AENOR (l’ente spagnolo di normazione) e aggiornata con la UNE 19601:2025, in vigore dal 23 aprile 2025 (la versione 2017 è stata annullata).
È il riferimento tecnico che le imprese usano per strutturare il proprio modello di prevenzione dei reati in linea con l’art. 31 bis del Codice penale.
La norma svolge tre funzioni: prevenire la commissione di reati all’interno dell’organizzazione, individuare e gestire le violazioni e rafforzare la cultura etica dell’impresa. Il suo Allegato A stabilisce il collegamento diretto tra i capitoli della norma e i requisiti dell’art. 31 bis CP.
Una certificazione non è, di per sé, un’esimente automatica dalla responsabilità penale: è un principio di prova la cui efficacia viene valutata caso per caso.
No. La UNE 19601 è volontaria. È obbligatorio dotarsi di un modello di prevenzione dei reati efficace se si vuole invocare l’esimente dell’art. 31 bis.2 CP, ma il modello non deve necessariamente essere certificato.
Tuttavia, certificare il sistema secondo la UNE 19601 dà oggettività, tracciabilità e riconoscimento di fronte alle pubbliche amministrazioni, ai clienti e ai tribunali.
La UNE 19601 ha una struttura di alto livello (HLS) ed è organizzata così: 1) Oggetto e campo di applicazione; 2) Riferimenti normativi; 3) Termini e definizioni; 4) Contesto dell’organizzazione; 5) Leadership; 6) Pianificazione; 7) Supporto; 8) Attività operative (due diligence e controlli); 9) Valutazione delle prestazioni; 10) Miglioramento, più sei allegati (A-F).
L’Allegato A collega la norma al CP; il B dettaglia la due diligence sui terzi; il C il minimo documentale; il D l’implementazione nelle società controllate.
La UNE 19601 riguarda la compliance penale; la UNE 19602 la compliance fiscale; la ISO 37301 è il sistema generico di gestione della conformità e la ISO 37001 si concentra sull’anticorruzione. Condividono la struttura HLS e si integrano perfettamente in un unico sistema integrato.
Un’organizzazione matura di solito si appoggia alla UNE 19601 (asse penale) e aggiunge la ISO 37001 o la UNE 19602 in base al proprio profilo di rischio.
La Legge 2/2023 del 20 febbraio, che disciplina la protezione delle persone che segnalano violazioni normative e la lotta alla corruzione, impone alle imprese con 50 o più dipendenti un Sistema interno di informazione (canale di segnalazione).
La UNE 19601 include il canale come elemento centrale del SGCP, per cui i due requisiti si attuano in modo integrato ed efficiente.
Per una PMI servono tra 3 e 6 mesi fino alla fase di audit; per una multinazionale tra 9 e 15 mesi, con fasi graduali per ogni società controllata. I tempi dipendono dal punto di partenza, dal profilo di rischio e dalla disponibilità del team interno.
La certificazione da parte di un ente accreditato da ENAC aggiunge di solito 1-2 mesi al cronoprogramma.
Oggi certificano, tra gli altri, AENOR, Bureau Veritas, DNV, TÜV SÜD e Intertek, tutti accreditati da ENAC. Da aprile 2023 l’accreditamento ENAC è richiesto perché la certificazione abbia piena validità sul mercato.
Conviene confrontare esperienza di settore, criteri di audit e costi prima di scegliere l’ente.
Un sistema UNE 19601 solido non è un insieme di documenti ben scritti: è un’architettura di decisioni tracciabili. La norma è la roadmap; il lavoro vero consiste nel trasformarla in un sistema vivo che regga sia a un audit sia a un procedimento penale.
UNE 19601:2025 (sostituisce la UNE 19601:2017, annullata il 23/04/2025); art. 31 bis del Codice penale; LO 1/2015 di riforma del CP; Legge 2/2023 sul canale di segnalazione; ISO 37301, ISO 37001 e UNE 19602 come norme complementari.
La nuova UNE 19601:2025 dà maggiore rilievo al controllo della due diligence, introduce esplicitamente la governance nella compliance penale e differenzia formazione e consapevolezza per destinatari, in linea con le migliori prassi internazionali.
Un sistema proporzionato al profilo reale dell’organizzazione, con controlli operativi nei processi sensibili (acquisti, finanza, risorse umane, area commerciale, dati), tracciabilità documentale e un organo di compliance indipendente e dotato di risorse.
Nei settori regolamentati, il SGCP si intreccia con altri obblighi specifici: AML/CFT (Legge 10/2010) e lista GAFI per il rischio paese, emittenti di EMT MiCA e partecipanti al sandbox finanziario nel fintech e nel cripto, oppure SGIIC e consiglieri indipendenti delle imprese di investimento (ESI) nel mercato dei valori.
La UNE 19601 non si implementa con i template: richiede un’architettura di processi, decisioni ed evidenze. È il quadro operativo che percorriamo in ogni progetto di compliance penale.
1) GovernanceApprovazione della politica da parte dell’organo di governo, nomina dell’organo di compliance con indipendenza effettiva e assegnazione di risorse sufficienti e verificabili.
2) RischiIdentificazione dei reati dell’art. 31 bis CP applicabili, analisi di probabilità/impatto, mappatura su processi e responsabili e valutazione documentata.
3) ControlliUn insieme di controlli preventivi e di rilevazione: segregazione, approvazioni, limiti, riconciliazioni, verifiche e monitoraggio con KPI del sistema.
4) Canale e indaginiCanale di segnalazione conforme alla Legge 2/2023, protocollo di indagine interna, tutela del segnalante, gestione dei conflitti di interesse e custodia delle prove.
Ciclo completoContesto, politica, rischi, obiettivi, ruoli e risorse.
Controlli, due diligence, canale etico, formazione e documentazione.
Audit interno, riesami della direzione e miglioramento continuo.
Politica formale approvata dall’organo di governo, comunicata e integrata nella strategia.
Documento approvato con data, firma e registro della diffusione interna ed esterna.
Metodologia documentata, ambito (reati dell’art. 31 bis CP) e revisione periodica.
Matrice dei rischi con probabilità, impatto, controlli e responsabili per processo.
Indipendenza, risorse, accesso alle informazioni e reporting diretto all’organo di governo.
Statuto, budget, verbali di reporting e nomine dell’organo o della persona responsabile.
Sistema interno di informazione conforme alla Legge 2/2023, con tutela del segnalante.
Strumento accessibile, politiche, protocollo di indagine, registri e statistiche.
Procedure per partner commerciali, fornitori e personale chiave (Allegato B).
Fascicoli di screening, questionari, contratti con clausole di compliance, monitoraggio.
Piani di formazione e sensibilizzazione differenziati per profilo e rischio.
Contenuti, evidenze di partecipazione, valutazioni e misurazione della cultura etica.
Indizi che individuano gli auditor e, in caso di procedimento penale, i periti dell’accusa privata (acusación particular).
Se devi implementare, mantenere o certificare un sistema UNE 19601, questi termini compaiono nella norma, nel Codice penale e negli audit degli enti accreditati da ENAC.
Insieme integrato di politiche, processi, controlli e risorse volto a prevenire e individuare i reati nella sfera della persona giuridica.
Articolo che disciplina la responsabilità penale delle persone giuridiche e le condizioni per attenuarla o escluderla mediante modelli di prevenzione efficaci.
Insieme strutturato di misure di vigilanza e controllo volto a prevenire i reati, la cui esistenza ed efficacia possono escludere o attenuare la responsabilità penale.
Persona o organo indipendente, con autonomia, risorse e reporting diretto all’organo di governo, responsabile della supervisione del sistema.
Canale di segnalazione obbligatorio per le imprese con 50 o più dipendenti, con tutela del segnalante e protocollo di indagine.
Procedure di valutazione di partner commerciali e personale chiave, con segmentazione per livello di rischio e monitoraggio continuo.
L’organismo che accredita gli enti di certificazione. Da aprile 2023 la certificazione UNE 19601 richiede un ente accreditato da ENAC.
Struttura di alto livello comune alle norme ISO/UNE sui sistemi di gestione, che facilita l’integrazione del SGCP con ISO 37301, ISO 37001 e UNE 19602.
Norma sorella orientata alla prevenzione, all’individuazione e alla gestione dei rischi fiscali, pienamente integrabile con la UNE 19601.
Raccontaci la situazione attuale della tua compliance penale e ti spieghiamo come portare la tua organizzazione a un sistema UNE 19601 difendibile in qualsiasi audit o procedimento.
La UNE 19601 è la risposta tecnica del sistema di normazione spagnolo al regime di responsabilità penale delle persone giuridiche introdotto dalla riforma del 2010 e precisato dalla Legge organica 1/2015 del 30 marzo, che ha riformato il Codice penale. Ha una vocazione strumentale: trasformare i requisiti dell’art. 31 bis CP in un sistema di gestione verificabile con audit.
La norma è stata pubblicata originariamente a maggio 2017 (UNE 19601:2017), elaborata dal Comitato tecnico di AENOR in materia di compliance e buon governo. Il 23 aprile 2025 quella versione è stata annullata e sostituita dalla UNE 19601:2025, che rafforza il controllo della due diligence, introduce esplicitamente la governance nella compliance penale e differenzia formazione e consapevolezza.
L’Allegato A della UNE 19601 stabilisce la corrispondenza tra i capitoli della norma e i requisiti dell’art. 31 bis del CP. Questo rende la norma una mappa di orientamento per dimostrare l’esistenza e l’efficacia del modello di prevenzione che la legge richiede come esimente o attenuante.
La UNE 19601 adotta la High Level Structure (HLS) comune alle norme ISO sui sistemi di gestione, il che ne facilita l’integrazione con la ISO 37301 (compliance generale), la ISO 37001 (anticorruzione) e la UNE 19602 (compliance fiscale). Il suo contenuto è organizzato in 10 capitoli e 6 allegati (dalla A alla F).
La Legge 2/2023 del 20 febbraio impone alle imprese con 50 o più dipendenti un Sistema interno di informazione. La UNE 19601 include questo canale come elemento centrale del SGCP, consentendo di rispettare entrambi i requisiti in modo integrato ed efficiente.
Il 28 aprile 2023 è scaduto il periodo di validità effettiva dei certificati UNE 19601 emessi senza accreditamento ENAC. Oggi la certificazione piena si ottiene tramite enti accreditati (AENOR, Bureau Veritas, DNV, TÜV SÜD, Intertek, tra gli altri).
La giurisprudenza del Tribunal Supremo e la Procura generale dello Stato (Fiscalía General del Estado, Circolare 1/2016) chiariscono che la certificazione non produce automaticamente l’esimente: è un principio di prova che il tribunale deve esaminare. Un sistema ben progettato, attuato e gestito è comunque il miglior argomento di difesa possibile.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .