领导力与治理
真正的高层表率，而非装饰
“高级管理层推动刑事合规政策，向合规机构配置资源，并向董事会汇报。没有可见的承诺，体系在审计中站不住脚。”
UNE 19601刑事合规管理体系
我们为UNE 19601:2025的落地实施与认证提供专业法律服务：协助您建立与《刑法典》第31条之二（art. 31 bis）相衔接的刑事合规管理体系，用于预防犯罪，减轻或免除法人的刑事责任，并强化企业的道德文化。
UNE 19601免费咨询
我们将在24小时内回复您
- 法人免责事由
- 《刑法典》第31条之二第2款
- 举报渠道适用门槛
- 50名员工
- 标准结构
- 10个条款
- 举报渠道法
- 第2/2023号法律
服务
UNE 19601服务目录
六大法律支持领域，帮助您依据UNE 19601:2025设计、实施、维护并认证刑事合规管理体系。
诊断
UNE 19601:2025差距分析
对照标准的10个条款和《刑法典》第31条之二的要求，评估现有预防体系的现状：识别差距、确定优先级，并制定实施路线图。
了解更多 →
差距分析《刑法典》第31条之二ENAC路线图
落地实施
合规模型的设计与实施
犯罪预防模型：刑事风险矩阵、控制措施清单、举报渠道、调查程序以及完整的文件体系。
了解更多 →
风险地图控制措施道德渠道程序
合规机构
刑事合规机构
按UNE 19601的要求设计合规机构（CCO/OCI），包括章程、向董事会汇报机制、独立性、预算以及信息获取权限。
了解更多 →
CCO汇报
尽职调查
第三方尽职调查
依据标准附录B，针对商业伙伴、供应商和关键员工建立尽职调查程序，并按风险分级管理。
了解更多 →
第三方附录B
培训
培训与道德文化
分层次的培训计划（管理层、业务人员、第三方）、宣导活动和意识度量指标，以强化合规文化。
了解更多 →
文化培训
认证
内部审计与认证
为经ENAC认可的机构（AENOR、Bureau Veritas、DNV、TÜV SÜD、Intertek）开展的认证审核做准备，并全程陪同。
了解更多 →
ENAC审计
SGCP体系架构
一套经得起检验的UNE 19601体系的四大支柱
有效的刑事合规管理体系（SGCP）不是靠一本手册临时拼凑出来的：它需要真实的治理、风险管理、运营控制和持续的证据。这正是标准的要求，也是法官审查《刑法典》第31条之二免责事由时关注的内容。
风险评估
《刑法典》第31条之二的犯罪矩阵
“依据企业的实际业务，识别、分析并评估相关刑事风险，采用有文件记录的方法并定期复核。这是标准要求的核心。”
运营控制
财务与非财务控制
“程序、职责分离、敏感流程（采购、人力资源、税务、竞争、数据）中的控制，以及符合第2/2023号法律的举报渠道。”
绩效与改进
持续评估与复核
“监测、内部审计，以及由合规机构、高级管理层和治理机构开展的复核。体系必须不断完善，并留有书面记录。”
后果
为什么说UNE 19601不是摆设的证书？
法人刑事责任自2010年起确立，并在2015年得到细化。有效的预防模型可以成为免责或减轻处罚事由；而形同虚设或徒有其表的模型，一旦发生犯罪，只会放大损害。
法人对其代表人、管理人员或员工为法人利益实施的犯罪，承担独立的刑事责任（《刑法典》第31条之二）。
如能证明已在犯罪发生前采纳并执行了有效的预防模型，且满足《刑法典》第31条之二第2款的要求，可获得完全免责或减轻处罚。
根据第2/2023号法律，员工达50人及以上的企业必须设立举报渠道，该渠道可以完美融入UNE 19601体系。
《刑法典》 最高900万欧元
针对公司类犯罪、私营部门腐败、税务欺诈、洗钱或反竞争犯罪的罚款，此外还可能被解散或暂停经营。
声誉 丢失合同
公共招标、与跨国企业的交易以及银行融资，越来越多地要求提供经认可的刑事合规认证。
ENAC 2023年4月28日
自该日起，未经ENAC认可的UNE 19601证书已实际失去效力：认证必须由获得认可的机构出具。
想要实施（或认证）UNE 19601吗？
我们帮助您建立一套务实、与业务相匹配的犯罪预防模型，使其既能经受法官的审查，也能通过ENAC认可机构的认证审核。
常见问题
UNE 19601常见问题
什么是UNE 19601标准？
UNE 19601是西班牙可认证的标准，规定了刑事合规管理体系的要求。它最初由AENOR于2017年5月发布，后由UNE 19601:2025更新，新版自2025年4月23日起生效（2017年版已作废）。
企业通常以该标准为技术依据，搭建与《刑法典》第31条之二相衔接的犯罪预防模型。
UNE 19601究竟有什么用？
该标准有三项功能：预防组织内部发生犯罪，发现并处理违规行为，以及强化企业的道德文化。其附录A直接建立了标准各条款与《刑法典》第31条之二各项要求之间的对应关系。
认证本身并不当然免除刑事责任：它只是一种初步证据，其效力需个案具体审查。
UNE 19601是强制性的吗？
不是。UNE 19601是自愿性标准。如果希望援引《刑法典》第31条之二第2款的免责事由，必须拥有一套有效的犯罪预防模型，但该模型不一定要经过认证。
不过，依据UNE 19601对体系进行认证，可以在行政机关、客户和法院面前提供客观性、可追溯性和认可度。
标准的10个条款分别是什么？
UNE 19601采用高层结构（HLS），分为：1）目的和适用范围；2）规范性引用文件；3）术语和定义；4）组织环境；5）领导作用；6）策划；7）支持；8）运行（尽职调查与控制）；9）绩效评价；10）改进，另有六个附录（A至F）。
附录A将标准与《刑法典》相对应；附录B细化第三方尽职调查；附录C规定最低文件要求；附录D规定在子公司中的实施。
它与ISO 37301和UNE 19602是什么关系？
UNE 19601针对刑事合规；UNE 19602针对税务合规；ISO 37301是通用的合规管理体系，ISO 37001则专注于反贿赂。它们共享HLS结构，可以完美整合为一套统一的体系。
成熟的组织通常以UNE 19601（刑事主线）为基础，再根据自身风险状况叠加ISO 37001或UNE 19602。
它与第2/2023号法律及举报渠道是什么关系？
2023年2月20日第2/2023号法律，即关于保护举报违法行为人及打击腐败的法律，要求员工达50人及以上的企业设立内部信息系统（举报渠道）。
UNE 19601将该渠道作为SGCP的核心要素，因此这两项要求可以整合实施，高效合规。
UNE 19601项目需要多长时间？
中小企业到审核阶段需要3至6个月；跨国集团需要9至15个月，并按子公司分阶段推进。具体周期取决于起点、风险状况以及内部团队的投入程度。
由ENAC认可机构出具认证，通常还会为时间表增加1至2个月。
西班牙有哪些机构可以认证UNE 19601？
目前可开展认证的机构包括AENOR、Bureau Veritas、DNV、TÜV SÜD和Intertek等，均获得ENAC认可。自2023年4月起，认证须经ENAC认可才能在市场上完全有效。
在选择机构之前，建议比较其行业经验、审核标准和费用。
实操指南
实施UNE 19601:2025实用指南
稳固的UNE 19601体系不是一堆写得漂亮的文件，而是一套可追溯的决策架构。标准是路线图；真正的工作，是把它变成一个能够经受审计和刑事诉讼检验的“活”体系。
适用法规
UNE 19601:2025（取代UNE 19601:2017，后者已于2025年4月23日作废）；《刑法典》第31条之二；关于修改《刑法典》的第1/2015号组织法（LO 1/2015）；关于举报渠道的第2/2023号法律；ISO 37301、ISO 37001和UNE 19602作为补充标准。
2025年版的强化之处
新版UNE 19601:2025强调对尽职调查的控制，明确引入刑事合规中的治理，并对培训和意识提升进行分层，与国际最佳实践接轨。
我们的差异所在
体系应与组织的实际情况相匹配，在敏感流程（采购、财务、人力资源、销售、数据）中设置运营控制，保证文件可追溯，并设立独立且资源充足的合规机构。
分10步实施UNE 19601的清单
- 治理机构和高级管理层作出正式承诺，并批准刑事合规政策。
- 确定SGCP的范围：涵盖的实体、子公司（附录D）、业务活动和流程。
- 设立刑事合规机构（CCO/OCI），确保其独立性、资源及直接汇报渠道。
- 识别、分析并评估刑事风险（《刑法典》第31条之二相关犯罪矩阵）。
- 设计与风险相适应的财务和非财务控制措施，明确责任人并留存执行证据。
- 依据第2/2023号法律设立举报渠道，并建立违规行为和调查的处理程序。
- 针对商业伙伴和关键人员建立尽职调查程序（标准附录B）。
- 制定分层次的培训和宣导计划，并设置文化和意识度量指标。
- 建立最低限度的文件体系（附录C）、记录、版本矩阵和变更控制。
- 开展内部审计、管理层及治理机构评审，并为ENAC认可机构的认证做好准备。
在受监管行业，SGCP还需与其他特定义务相衔接：反洗钱（第10/2010号法律）和用于国别风险的FATF名单；金融科技/加密领域的MiCA电子货币代币（EMT）发行人和金融监管沙盒参与者；证券市场领域的SGIIC和ESI独立董事。
UNE 19601实操要点
从标准到“活”体系：SGCP是如何搭建的
UNE 19601不是靠模板就能落地的：它需要一套由流程、决策和证据构成的架构。以下是我们在每个刑事合规项目中遵循的实操框架。
1）治理领导力、政策与合规机构
由治理机构批准政策，任命具有实际独立性的合规机构，并配置充足且可核查的资源。
- 正式政策
- 独立机构
- 直接汇报
2）风险犯罪矩阵与映射
识别适用的《刑法典》第31条之二所涉罪名，分析发生概率与影响，映射到具体流程和责任人，并形成书面评估。
- 可归责的犯罪
- 敏感流程
- 正式评估
3）控制财务与非财务控制
一整套预防性与侦测性控制措施：职责分离、审批、限额、对账、复核，以及基于体系KPI的监测。
- 预防性
- 侦测性
- 控制KPI
4）渠道与调查道德渠道与违规行为调查
依据第2/2023号法律设立举报渠道，制定内部调查协议，保护举报人，管理利益冲突并妥善保管证据。
提示：调查协议的质量，是审计师和法官评估体系有效性时最看重的要点之一。
完整循环实用图解：SGCP的循环
策划
组织环境、政策、风险、目标、角色与资源。
运行
控制措施、尽职调查、道德渠道、培训与文件。
评审与改进
内部审计、管理评审与持续改进。
UNE 19601操作手册
体系的关键要求及审计师所需的证据
刑事合规政策
由治理机构批准的正式政策，已传达并融入企业战略。
注明日期、签署的批准文件，以及内外部传达记录。
刑事风险评估
有文件记录的方法、范围（《刑法典》第31条之二所涉罪名）以及定期复核。
列明概率、影响、控制措施及各流程责任人的风险矩阵。
合规机构
独立性、资源、信息获取权限，以及向治理机构的直接汇报。
该机构或责任人的章程、预算、汇报纪要和任命文件。
举报渠道
依据第2/2023号法律建立的内部信息系统，并保护举报人。
便于使用的工具、政策、调查协议、记录和统计数据。
客户尽职调查
针对商业伙伴、供应商和关键人员的程序（附录B）。
筛查档案、问卷、含合规条款的合同以及持续监测。
培训与文化
按岗位和风险分层的培训与宣导计划。
培训内容、出勤证明、考核以及道德文化的衡量。
UNE 19601体系薄弱的信号
这些迹象会被审计师发现；发生刑事诉讼时，也会被私人控方的专家鉴定人发现。
- 合规机构没有实际投入、没有预算，或直接隶属于被审计部门。
- 风险矩阵泛泛而谈，照搬其他行业，未映射到企业的具体流程。
- 形同虚设的举报渠道，没有调查协议，也没有历史处理记录。
- 每年只通过一段视频完成培训，没有考核，也不跟踪道德文化。
- 管理评审根本不存在，或事后补写，没有正式的书面批准。
实务词典
UNE 19601关键概念
如果您打算实施、维护或认证UNE 19601体系，以下术语会出现在标准、《刑法典》以及ENAC认可机构的审核中。
SGCP体系
刑事合规管理体系
由政策、流程、控制措施和资源组成的整体，旨在预防和发现法人名义下发生的犯罪。
UNE 19601的目的。
《刑法典》第31条之二刑法典
法人的刑事责任
规定法人刑事责任的条款，以及通过有效预防模型减轻或免除责任的条件。
由第1/2015号组织法修订。
预防模型免责事由
组织与管理模型
一套结构化的监督与控制措施，旨在预防犯罪；其存在及有效性可免除或减轻刑事责任。
《刑法典》第31条之二第2款和第5款的要求。
CCO / OCI合规机构
首席合规官（Chief Compliance Officer）/ 合规监督机构
具有自主权、资源并直接向治理机构汇报的独立人员或机构，负责监督体系运行。
SGCP的必备要素。
道德渠道第2/2023号法律
内部信息系统
员工达50人及以上的企业必须设立的举报渠道，需保护举报人并配备调查协议。
已整合进SGCP。
尽职调查附录B
第三方尽职调查
对商业伙伴和关键人员的评估程序，按风险等级分层并持续跟踪。
UNE 19601:2025中得到强化。
ENAC认可
西班牙国家认可机构（Entidad Nacional de Acreditación）
负责认可认证机构的组织。自2023年4月起，UNE 19601认证须由ENAC认可的机构出具。
AENOR、Bureau Veritas、DNV、TÜV SÜD、Intertek等。
HLSISO/UNE
高层结构（High Level Structure）
ISO/UNE管理体系标准通用的高层结构，便于将SGCP与ISO 37301、ISO 37001和UNE 19602整合。
10个标准条款。
UNE 19602税务
税务合规
姊妹标准，侧重于税务风险的预防、发现和管理，可与UNE 19601完全整合。
税务合规与税务机关的关系。
联系我们
预约通话
请告诉我们您目前刑事合规的现状，我们将说明如何把您的组织打造成一套能经受任何审计或诉讼检验的UNE 19601体系。
UNE 19601规范框架：从《刑法典》到可认证的体系
UNE 19601是西班牙标准化体系对法人刑事责任制度的技术回应；该制度由2010年改革引入，并由修改《刑法典》的2015年3月30日第1/2015号组织法加以细化。其定位是工具性的：把《刑法典》第31条之二的要求转化为可审计的管理体系。
标准的起源与演变
该标准最初于2017年5月发布（UNE 19601:2017），由AENOR负责合规与良好治理的技术委员会制定。2025年4月23日，该版本被废止，由UNE 19601:2025取代；新版强化了对尽职调查的控制，明确引入刑事合规中的治理，并对培训和意识提升进行分层。
与《刑法典》第31条之二的关系
UNE 19601附录A建立了标准各条款与《刑法典》第31条之二各项要求之间的对应关系。这使标准成为一张导航图，用来证明法律作为免责或减轻处罚事由所要求的预防模型确实存在且有效。
标准结构
UNE 19601采用ISO管理体系标准通用的高层结构（HLS），便于与ISO 37301（通用合规）、ISO 37001（反贿赂）和UNE 19602（税务合规）整合。其内容分为10个条款和6个附录（A至F）。
与第2/2023号法律及举报渠道的关系
2023年2月20日第2/2023号法律要求员工达50人及以上的企业设立内部信息系统。UNE 19601将该渠道作为SGCP的核心部分，使两项要求得以整合、高效地落实。
ENAC认可的认证
2023年4月28日，未经ENAC认可而出具的UNE 19601证书的实际有效期届满。目前，完整的认证须通过获认可的机构取得（AENOR、Bureau Veritas、DNV、TÜV SÜD、Intertek等）。
司法层面的效力
最高法院的判例和西班牙检察总长办公室（Circular 1/2016号通函）明确指出：认证并不自动产生免责效力，它只是一种初步证据，须由法院审查。不过，设计合理、有效实施并良好运行的体系，仍是可能做出的最有力的辩护理由。
官方来源
参考法规（附官方文本链接）：
- 2023年2月20日第2/2023号法律，规范对举报违法行为人员的保护及反腐败斗争BOE · 合并文本
- 2010年4月28日第10/2010号法律，关于防止洗钱和恐怖融资BOE · 合并文本
- 2015年3月30日第1/2015号组织法，修改1995年11月23日第10/1995号组织法《刑法典》BOE · 合并文本
法规及链接已于核实。