Assessoria jurídica especializada na implementação e certificação da UNE 19601:2025: sistema de gestão de compliance penal alinhado ao art. 31 bis do Código Penal espanhol, criado para prevenir crimes, atenuar ou eximir a responsabilidade penal das pessoas jurídicas e fortalecer a cultura ética.
Consulta gratuita sobre a UNE 19601
Respondemos em menos de 24 h
Seis áreas de apoio jurídico para desenhar, implementar, manter e certificar seu Sistema de Gestão de Compliance Penal conforme a UNE 19601:2025.
Análise da situação atual do sistema de prevenção em relação às 10 seções da norma e aos requisitos do art. 31 bis CP: identificação de lacunas, priorização e roteiro de implementação.
Modelo de prevenção de crimes: matriz de riscos penais, catálogo de controles, canal de denúncias, procedimentos de investigação e arquitetura documental completa.
Desenho do órgão de compliance (CCO/OCI), estatuto, reporte ao conselho, independência, orçamento e acesso à informação, como exige a UNE 19601.
Procedimentos de diligência devida para parceiros de negócio, fornecedores e empregados-chave conforme o Anexo B da norma, com segmentação por risco.
Planos de treinamento segmentados (diretores, equipes operacionais, terceiros), ações de sensibilização e métricas de conscientização para fortalecer a cultura de compliance.
Preparação para a auditoria de certificação por um organismo acreditado pela ENAC e acompanhamento em todo o ciclo.
Um Sistema de Gestão de Compliance Penal eficaz não se improvisa com um manual: ele combina governança real, gestão de riscos, controles operacionais e evidência contínua. É isso que a norma exige e o que um juiz avalia ao analisar a isenção de responsabilidade do art. 31 bis CP.
“A alta direção impulsiona a política de compliance penal, atribui recursos ao órgão e presta contas ao conselho. Sem compromisso visível, o sistema não se sustenta em uma auditoria.”
“Identificação, análise e avaliação dos riscos penais associados à atividade real, com metodologia documentada e revisão periódica. É o eixo exigido pela norma.”
“Procedimentos, segregação de funções, controles em processos sensíveis (compras, RH, tributário, concorrência, dados) e canal de denúncias conforme a Lei 2/2023.”
“Monitoramento, auditoria interna, revisão pelo órgão de compliance, pela alta direção e pelo órgão de administração. O sistema deve evoluir e ficar documentado.”
A responsabilidade penal da pessoa jurídica existe na Espanha desde 2010 e foi detalhada em 2015. Um modelo de prevenção eficaz pode isentar de responsabilidade ou atenuá-la; um modelo inexistente ou de fachada amplifica o dano em caso de crime.
Responsabilidade penal autônoma da pessoa jurídica por crimes cometidos por representantes, diretores ou empregados em benefício da entidade (art. 31 bis CP).
Isenção total ou atenuante se for comprovado um modelo de prevenção eficaz, adotado e executado antes do crime, que cumpra os requisitos do art. 31 bis.2 CP.
Canal de denúncias obrigatório para empresas com 50 ou mais empregados pela Lei 2/2023, totalmente integrável ao sistema UNE 19601.
Multas por crimes societários, corrupção entre particulares, fraude fiscal, lavagem de dinheiro ou crimes contra a concorrência, além da dissolução ou suspensão da atividade.
Licitações públicas, negócios com multinacionais e financiamento bancário exigem cada vez mais uma certificação de compliance penal acreditada.
A partir dessa data, os certificados emitidos com a UNE 19601:2017 deixam de ser acreditados: é preciso migrar para a versão de 2025 (plano de transição da ENAC).
Ajudamos você a construir um modelo de prevenção de crimes realista, proporcional à sua atividade e defensável perante um juiz e em uma auditoria de certificação acreditada pela ENAC.
Ficha · Plano de transição da ENAC
A norma de compliance penal tem uma nova versão desde abril de 2025, e a ENAC definiu quando os certificados antigos deixam de valer.
Sua próxima auditoria tem de ser feita com a versão de 2025. Convém revisar antes o sistema à luz da nova norma para chegar sem não conformidades. Explicamos os detalhes em quanto custa certificar a UNE 19601 (em espanhol).
O juiz avalia se o modelo foi adotado e executado com eficácia antes do crime (art. 31 bis.2 CP). O certificado ajuda a provar isso, mas não o substitui.
Até 30 de abril de 2027. A partir dessa data, segundo o plano de transição da ENAC, os certificados da versão de 2017 deixam de ser acreditados. As auditorias iniciais e de recertificação com essa versão já terminaram em 30 de outubro de 2026, por isso a próxima auditoria tem de ser feita com a UNE 19601:2025.
Não por si só. Para a Fiscalía (Ministério Público espanhol), as certificações são um elemento adicional que de modo algum comprovam a eficácia do modelo (Circular 1/2016). O que isenta é ter adotado e executado com eficácia um modelo que cumpra o art. 31 bis do Código Penal.
Fontes: ENAC, plano de transição para a UNE 19601:2025; Circular 1/2016 da Fiscalía General del Estado; Código Penal (BOE-A-1995-25444) (art. 31 bis). Revisado em 5 de novembro de 2026.
A UNE 19601 é a norma espanhola certificável que estabelece os requisitos de um Sistema de Gestão de Compliance Penal. Foi publicada originalmente em maio de 2017 pela AENOR e atualizada pela UNE 19601:2025, em vigor desde 23 de abril de 2025 (a versão de 2017 foi anulada).
É a referência técnica que as empresas utilizam para estruturar seu modelo de prevenção de crimes alinhado ao art. 31 bis do Código Penal.
A norma cumpre três funções: prevenir a prática de crimes dentro da organização, detectar e gerir descumprimentos e fortalecer a cultura ética da empresa. Seu Anexo A estabelece a relação direta entre as seções da norma e os requisitos do art. 31 bis CP.
Uma certificação não é, por si só, uma isenção automática de responsabilidade penal: é um início de prova cuja eficácia é analisada caso a caso.
Não. A UNE 19601 é voluntária. O obrigatório é dispor de um modelo de prevenção de crimes eficaz se você quiser invocar a isenção do art. 31 bis.2 CP, mas o modelo não precisa necessariamente ser certificado.
Dito isso, certificar o sistema conforme a UNE 19601 traz objetividade, rastreabilidade e reconhecimento perante a administração pública, os clientes e os tribunais.
A UNE 19601 tem estrutura de alto nível (HLS) e se organiza em: 1) Objeto e campo de aplicação; 2) Referências normativas; 3) Termos e definições; 4) Contexto da organização; 5) Liderança; 6) Planejamento; 7) Apoio; 8) Operação (diligência devida e controles); 9) Avaliação de desempenho; 10) Melhoria, além de seis anexos (A-F).
O Anexo A relaciona a norma com o CP; o B detalha a due diligence de terceiros; o C, o mínimo documental; o D, a implementação em filiais.
A UNE 19601 é compliance penal; a UNE 19602 é compliance tributário; a ISO 37301 é o sistema genérico de gestão de compliance e a ISO 37001 se concentra no antissuborno. Elas compartilham a estrutura HLS e se integram perfeitamente em um único sistema integrado.
Uma organização madura costuma se apoiar na UNE 19601 (eixo penal) e somar a ISO 37001 ou a UNE 19602 conforme seu perfil de risco.
A Lei 2/2023, de 20 de fevereiro, que regula a proteção das pessoas que denunciam infrações normativas e o combate à corrupção, exige um Sistema Interno de Informação (canal de denúncias) das empresas com 50 ou mais empregados.
A UNE 19601 incorpora o canal como elemento central do SGCP; por isso, as duas exigências são implementadas de forma integrada e eficiente.
Para uma PME, entre 3 e 6 meses até a fase de auditoria; para uma multinacional, entre 9 e 15 meses, com fases graduais por filial. Os prazos dependem do ponto de partida, do perfil de risco e da disponibilidade da equipe interna.
A certificação por um organismo acreditado pela ENAC normalmente acrescenta 1-2 meses ao cronograma.
Quem certifica são organismos de certificação privados. O que dá valor ao certificado é o organismo ser acreditado pela ENAC para a UNE 19601: você pode verificar quais são, e com qual escopo, no buscador de acreditados da ENAC. A partir de 30 de abril de 2027, os certificados da versão de 2017 deixam de ser acreditados.
Convém comparar experiência setorial, critérios de auditoria e custo antes de escolher o organismo.
Um sistema UNE 19601 sólido não é um conjunto de documentos bem redigidos: é uma arquitetura de decisões rastreáveis. A norma é o roteiro; o trabalho real consiste em transformá-la em um sistema vivo que resista a uma auditoria e a um processo penal.
UNE 19601:2025 (substitui a UNE 19601:2017, anulada em 23/04/2025); art. 31 bis do Código Penal; LO 1/2015 de reforma do CP; Lei 2/2023 do canal de denúncias; ISO 37301, ISO 37001 e UNE 19602 como normas complementares.
A nova UNE 19601:2025 enfatiza o controle da diligência devida, introduz explicitamente a governança em compliance penal e segmenta o treinamento e a conscientização, alinhando-se às melhores práticas internacionais.
Um sistema proporcional ao perfil real da organização, com controles operacionais nos processos sensíveis (compras, finanças, RH, comercial, dados), rastreabilidade documental e um órgão de compliance independente e com recursos.
Em setores regulados, o SGCP se relaciona com outras obrigações específicas: PLD/FT (Lei 10/2010) e lista do GAFI para o risco-país, emissores de EMT MiCA e participantes do sandbox financeiro em fintech/cripto, ou SGIIC e conselheiros independentes de ESI no mercado de valores.
A UNE 19601 não se implementa com modelos prontos: ela exige uma arquitetura de processos, decisões e evidências. Este é o painel operacional que percorremos em cada projeto de compliance penal.
1) GovernançaAprovação da política pelo órgão de administração, nomeação do órgão de compliance com independência efetiva e atribuição de recursos suficientes e verificáveis.
2) RiscosIdentificação dos tipos penais do art. 31 bis CP aplicáveis, análise de probabilidade/impacto, mapeamento por processos e responsáveis, e avaliação documentada.
3) ControlesBateria de controles preventivos e detectivos: segregação, aprovações, limites, conciliações, revisões e monitoramento com KPIs do sistema.
4) Canal e investigaçõesCanal de denúncias conforme a Lei 2/2023, protocolo de investigação interna, proteção do denunciante, gestão de conflitos de interesse e custódia de provas.
Ciclo completoContexto, política, riscos, objetivos, papéis e recursos.
Controles, due diligence, canal de ética, treinamento e documentação.
Auditoria interna, análises críticas pela direção e melhoria contínua.
Política formal aprovada pelo órgão de administração, comunicada e integrada à estratégia.
Documento aprovado com data, assinatura e registro de divulgação interna e externa.
Metodologia documentada, escopo (crimes do art. 31 bis CP) e revisão periódica.
Matriz de riscos com probabilidade, impacto, controles e responsáveis por processo.
Independência, recursos, acesso à informação e reporte direto ao órgão de administração.
Estatuto, orçamento, atas de reporte e nomeações do órgão ou da pessoa responsável.
Sistema interno de informação conforme a Lei 2/2023, com proteção do denunciante.
Ferramenta acessível, políticas, protocolo de investigação, registros e estatísticas.
Procedimentos para parceiros de negócio, fornecedores e pessoal-chave (Anexo B).
Dossiês de screening, questionários, contratos com cláusulas de compliance, monitoramento.
Planos de treinamento e sensibilização segmentados por perfil e risco.
Conteúdo, evidências de presença, avaliações e medição da cultura ética.
Indícios que os auditores detectam e, em caso de processo penal, os peritos da acusação particular.
Se você vai implementar, manter ou certificar um sistema UNE 19601, estes termos aparecem na norma, no Código Penal e nas auditorias dos organismos acreditados pela ENAC.
Conjunto integrado de políticas, processos, controles e recursos destinado a prevenir e detectar crimes praticados sob a cobertura da pessoa jurídica.
Artigo que regula a responsabilidade penal das pessoas jurídicas e as condições para sua atenuação ou exclusão mediante modelos de prevenção eficazes.
Conjunto estruturado de medidas de vigilância e controle destinado a prevenir crimes, cuja existência e eficácia podem isentar de responsabilidade penal ou atenuá-la.
Pessoa ou órgão independente com autonomia, recursos e reporte direto ao órgão de administração, responsável por supervisionar o sistema.
Canal de denúncias obrigatório para empresas com 50 ou mais empregados, com proteção do denunciante e protocolo de investigação.
Procedimentos de avaliação de parceiros de negócio e pessoal-chave, com segmentação por nível de risco e acompanhamento contínuo.
Organismo que acredita os organismos de certificação. Um certificado UNE 19601 acreditado leva a marca da ENAC e pode ser verificado no buscador de acreditados da ENAC.
Estrutura de alto nível comum às normas ISO/UNE de sistemas de gestão, que facilita a integração do SGCP com a ISO 37301, a ISO 37001 e a UNE 19602.
Norma irmã voltada à prevenção, detecção e gestão de riscos fiscais, totalmente integrável à UNE 19601.
Conte-nos a situação atual do seu compliance penal e explicaremos como levar sua organização a um sistema UNE 19601 defensável em qualquer auditoria ou processo.
A UNE 19601 é a resposta técnica do sistema espanhol de normalização ao regime de responsabilidade penal das pessoas jurídicas introduzido pela reforma de 2010 e detalhado pela Lei Orgânica 1/2015, de 30 de março, que reformou o Código Penal. Sua vocação é instrumental: transformar as exigências do art. 31 bis CP em um sistema de gestão auditável.
A norma foi publicada originalmente em maio de 2017 (UNE 19601:2017), elaborada pelo Comitê Técnico da AENOR em matéria de compliance e boa governança. Em 23 de abril de 2025, essa versão foi anulada e substituída pela UNE 19601:2025, que reforça o controle da diligência devida, introduz explicitamente a governança em compliance penal e segmenta o treinamento e a conscientização.
O Anexo A da UNE 19601 estabelece a correspondência entre as seções da norma e os requisitos do art. 31 bis do CP. Isso faz da norma um mapa de navegação para demonstrar a existência e a eficácia do modelo de prevenção exigido pela lei como causa de isenção ou atenuante.
A UNE 19601 adota a High Level Structure (HLS) comum às normas ISO de sistemas de gestão, o que facilita sua integração com a ISO 37301 (compliance geral), a ISO 37001 (antissuborno) e a UNE 19602 (compliance tributário). Seu conteúdo se organiza em 10 seções e 6 anexos (de A a F).
A Lei 2/2023, de 20 de fevereiro, obriga as empresas com 50 ou mais empregados a dispor de um Sistema Interno de Informação. A UNE 19601 incorpora esse canal como peça central do SGCP, permitindo um cumprimento integrado e eficiente das duas exigências.
A UNE 19601 foi revisada em abril de 2025. Segundo o plano de transição da ENAC, as auditorias iniciais e de recertificação com a versão de 2017 terminaram em 30 de outubro de 2026, e a partir de 30 de abril de 2027 os certificados dessa versão deixam de ser acreditados. O certificado que tem valor é o emitido por um organismo acreditado pela ENAC para esta norma.
A jurisprudência do Tribunal Supremo espanhol e a Fiscalía General del Estado (Circular 1/2016) deixam claro que a certificação não gera automaticamente a isenção: é um início de prova que deve ser examinado pelo tribunal. Ainda assim, um sistema bem desenhado, implementado e operado é o melhor argumento de defesa possível.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .