Última revisión: 16 de octubre de 2026. Este contenido es informativo y no sustituye el asesoramiento sobre un caso concreto.
Desde 2010, las personas jurídicas pueden responder penalmente en España por determinados delitos. El Código Penal permite que un modelo de organización y gestión adecuado tenga efectos sobre esa responsabilidad, pero solo si funciona en la práctica. Esta guía explica qué exige la ley, cómo se valora la eficacia y qué revisar para comprobar si tu modelo resistiría un examen.
Qué dice el artículo 31 bis del Código Penal
El artículo 31 bis establece que la persona jurídica puede ser penalmente responsable de los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto:
- Por sus representantes legales o por quienes, actuando individualmente o como integrantes de un órgano, están autorizados para tomar decisiones en su nombre u ostentan facultades de organización y control.
- Por quienes, sometidos a la autoridad de las personas anteriores, han podido cometer el delito porque se incumplieron gravemente los deberes de supervisión, vigilancia y control de su actividad, atendidas las circunstancias del caso.
Solo cabe esta responsabilidad respecto de los delitos para los que el Código Penal la prevé expresamente. Entre ellos figuran, por ejemplo, la estafa, el cohecho, los delitos contra la Hacienda Pública, el blanqueo de capitales, determinados delitos contra el medio ambiente o el descubrimiento y revelación de secretos.
Cuándo puede tener efectos el modelo
Los apartados 2 a 4 del artículo 31 bis prevén que la persona jurídica quede exenta de responsabilidad si se cumplen determinadas condiciones. En síntesis, que antes de la comisión del delito el órgano de administración haya adoptado y ejecutado con eficacia un modelo de organización y gestión con medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o reducir de forma significativa el riesgo de su comisión; que la supervisión del modelo se haya confiado a un órgano con poderes autónomos de iniciativa y control; y, cuando el delito lo comete un directivo, que este haya eludido fraudulentamente el modelo y no haya existido omisión o ejercicio insuficiente de las funciones de supervisión.
Si estas circunstancias solo pueden acreditarse parcialmente, el propio artículo prevé que se valoren a efectos de atenuación de la pena. En las personas jurídicas de pequeñas dimensiones, las funciones de supervisión pueden ser asumidas directamente por el órgano de administración.
El efecto del modelo no es automático: depende de que se acredite su adecuación y su funcionamiento efectivo, y de la valoración judicial en cada caso.
Los requisitos legales del modelo
El apartado 5 del artículo 31 bis enumera los requisitos que deben cumplir los modelos de organización y gestión:
- Identificar las actividades en cuyo ámbito pueden cometerse los delitos que deben prevenirse.
- Establecer protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de estas.
- Disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos.
- Imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y la observancia del modelo.
- Establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas.
- Realizar una verificación periódica del modelo y modificarlo cuando se pongan de manifiesto infracciones relevantes o cambios en la organización, la estructura de control o la actividad.
Cómo valora la Fiscalía la eficacia
La Circular 1/2016 de la Fiscalía General del Estado, sobre la responsabilidad penal de las personas jurídicas, ofrece criterios a los fiscales para valorar los modelos. Sus ideas principales son útiles para cualquier empresa:
- Lo relevante no es la existencia formal de un programa, sino que refleje un compromiso real de la organización con el cumplimiento y una cultura ética efectiva.
- El modelo debe estar adaptado a la empresa concreta y a sus riesgos; los programas genéricos o copiados tienen poco valor.
- La implicación de la alta dirección es determinante. Un modelo que la dirección no respalda ni aplica difícilmente se considerará eficaz.
- Las certificaciones de terceros pueden ser un elemento más de valoración, pero no acreditan por sí solas la eficacia del modelo.
- Se valoran positivamente la detección de los delitos por la propia empresa, su comunicación a las autoridades y la reacción posterior, como la revisión de controles y la adopción de medidas disciplinarias.
Señales de que el modelo puede no ser efectivo
Estas situaciones aparecen con frecuencia en revisiones de modelos y suelen indicar que existe un programa en papel, pero no un sistema que funcione:
- El mapa de riesgos penales no se ha revisado desde su elaboración, pese a cambios en la actividad, los mercados o la estructura.
- Los controles descritos en el manual no coinciden con lo que realmente se hace en compras, pagos, ventas o contratación.
- El órgano de cumplimiento no tiene presupuesto, acceso a información ni tiempo para ejercer su función.
- No hay actas, informes ni registros que demuestren reuniones, revisiones o decisiones del órgano de cumplimiento.
- La formación se impartió una vez y no se ha repetido ni adaptado a cada puesto.
- El canal de comunicación no recibe comunicaciones o nadie conoce cómo usarlo.
- No consta ninguna aplicación del sistema disciplinario ante incumplimientos del código de conducta.
Checklist práctico de autoevaluación
Responder a estas preguntas con documentos, y no solo con afirmaciones, es la mejor forma de medir la eficacia del modelo:
- ¿El órgano de administración aprobó el modelo y recibe al menos un informe anual sobre su funcionamiento?
- ¿Existe un órgano o persona de cumplimiento designado formalmente, con funciones, recursos y línea de reporte definidos?
- ¿El análisis de riesgos identifica las actividades concretas de la empresa en las que podría cometerse cada delito aplicable?
- ¿Cada riesgo relevante tiene asignado al menos un control, un responsable y una evidencia de su ejecución?
- ¿Los pagos, cobros, gastos de representación y donaciones siguen procedimientos con autorizaciones y límites?
- ¿Hay un canal operativo para comunicar riesgos e incumplimientos y un procedimiento para investigarlos?
- ¿La plantilla y los directivos han recibido formación adaptada a sus funciones en el último año?
- ¿Se han revisado los controles tras incidencias, cambios organizativos o nuevas líneas de negocio?
- ¿Existe un plan de verificación periódica con resultados y acciones de mejora documentadas?
UNE 19601: una referencia voluntaria
La norma UNE 19601:2017, de sistemas de gestión de compliance penal, es un estándar de adopción voluntaria que ofrece una estructura para diseñar, implantar y mejorar el modelo. Puede ser certificada por una entidad independiente si la empresa lo decide. Ninguna ley obliga a seguirla ni a certificarse, y su aplicación no sustituye a los requisitos del artículo 31 bis: ayuda a ordenarlos y permite acreditar de forma estructurada cómo se gestionan.
Nuestra recomendación
Desde el punto de vista profesional, un modelo eficaz para una pyme suele ser más sencillo de lo que parece: pocos controles bien elegidos, responsables claros y evidencias que se generan en la actividad ordinaria. Recomendamos una revisión anual del modelo y una revisión extraordinaria cuando cambie la actividad o se detecte una incidencia relevante. Puedes ver cómo trabajamos en nuestra página de modelo de prevención penal.
Ningún modelo elimina por sí solo el riesgo penal ni produce efectos automáticos. Su eficacia depende de su adecuación, implantación, recursos y supervisión, y de la valoración que corresponda en cada caso.
Fuentes
- Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, artículos 31 bis a 31 quinquies (BOE, texto consolidado)
- Circular 1/2016 de la Fiscalía General del Estado, sobre la responsabilidad penal de las personas jurídicas (BOE)
- Fiscalía General del Estado
- UNE 19601:2017 Sistemas de gestión de compliance penal (Asociación Española de Normalización)
Si quieres contrastar tu modelo actual con estos criterios, Solicita un diagnóstico inicial.