El tradicional principio societas delinquere non potest dejó de reflejar la realidad jurídica hace ya más de una década. La incorporación del artículo 31 bis del Código Penal mediante la Ley Orgánica 5/2010, de 22 de junio, precepto que regula la responsabilidad penal de la persona jurídica, marcó un punto de inflexión en el sistema penal español, al reconocer, por primera vez, la responsabilidad penal de estas personas, si bien es cierto que limita a la comisión de los delitos en los que expresamente se prevea esta posibilidad.
I. La integración del modelo de cumplimiento dentro de la teoría del delito
El artículo 31 bis del Código Penal configura un sistema de imputación con una doble vertiente. Por un lado, contempla los supuestos en los que el delito es cometido por personas físicas que desempeñan facultades de dirección o representación dentro de la compañía, como puede ser el caso de un alto directivo o de un miembro del órgano de administración. Por otro lado, prevé aquellos casos en los que la conducta delictiva es realizada por mandos intermedios o subordinados, es decir, por trabajadores de la entidad vinculados a ella mediante una relación laboral ordinaria.
El tratamiento jurídico de ambos supuestos difiere significativamente, y es especialmente relevante la existencia de un programa de cumplimiento eficaz cuando el delito ha sido cometido por estos últimos.
Mientras que, en el caso en el que la comisión del hecho delictivo haya tenido lugar por parte de un subordinado, la persona jurídica quedará exenta únicamente si se hubiese adoptado y ejecutado un modelo adecuado de prevención del delito ex ante, cuando el delito se ha cometido por una persona física con poderes en la compañía, la persona jurídica solo quedará exenta si se cumplen una serie de requisitos:
1. Que se hayan adoptado, por parte del órgano de administración, modelos que incluyan medidas de control y vigilancia.
2. Que se haya supervisado el modelo de prevención por parte de un órgano independiente de la compañía como, por ejemplo, el compliance officer.
3. Que el delito se haya cometido mediante la elusión fraudulenta de los modelos aprobados y desarrollados por la compañía.
Dicho esto, es evidente que la posición que ocupa la adopción de un modelo eficaz de compliance dentro de la teoría del delito no es irrelevante: si consideramos que el programa de compliance es un elemento de la culpabilidad, debe ser la acusación la que acredite que el modelo implantado por la persona jurídica no es válido; en cambio, si entendemos que el programa de compliance es una circunstancia modificativa de la responsabilidad, debe ser el acusado, es decir, la persona jurídica, quien acredite su validez y adecuación.
El desplazamiento de la carga de la prueba introduce una diferencia de gran relevancia, lo que explica que ambas posiciones hayan sido ampliamente discutidas en la doctrina en los últimos tiempos.
Concretamente, a raíz de varios pronunciamientos del Tribunal Supremo, se ha asentado la tesis de que el programa de compliance es un elemento de la culpabilidad, lo que obliga a la Fiscalía y, en su caso, a la acusación particular, a probar la inadecuación del modelo adoptado por la compañía para obtener una condena. En este caso, se abre la puerta a una interesante línea de defensa: si la Fiscalía no es capaz de probar el defecto en el programa, no habrá quedado acreditado que el delito se haya cometido como consecuencia de dicho defecto organizativo.
En consecuencia, si el Ministerio Fiscal no insta a la persona jurídica a aportar su modelo de cumplimiento, la estrategia defensiva más sencilla para la compañía consistiría en alegar la ausencia de uno de los elementos de la culpabilidad, al no haber propuesto la acusación prueba alguna relativa al modelo de organización y gestión adoptado. En términos apriorísticos, ello podría conducir a un pronunciamiento absolutorio.
Sin embargo, confiar en esta posibilidad es, cuanto menos, arriesgado. Lo cierto es que, aunque las recientes sentencias de nuestro más alto tribunal coinciden en exigir que sea la acusación quien pruebe la inadecuación del modelo de cumplimiento, no debemos olvidar que la STS 298/2024 de 8 de abril de 2024 señaló expresamente que el programa de compliance:
“Se trata de un elemento negativo, lo que, al margen de cuál sea su naturaleza, acarrea ciertas elementales consecuencias procesales. Entre otras, que la carga de la alegación de ese factor excluyente de la responsabilidad recae, en principio, en la defensa. Si ésta se abstiene de proponer prueba alguna al respecto, y no realiza ni siquiera un amago de aportar un plan de cumplimiento y/o demostrar que la empresa se ajustaba en su funcionamiento a cada uno de los requisitos que perfila el Código Penal, será legítimo entender acreditado que no existía tal plan de cumplimiento”.
La STS 768/2025 de 25 de septiembre de 2025, por su parte, rechaza el régimen de responsabilidad objetiva, e indica expresamente que no existe presunción iuris tantum de existencia de defecto organizativo en la persona jurídica en el caso de que un particular -persona física- haya cometido un delito:
“En la medida en que el defecto estructural en los modelos de gestión, vigilancia y supervisión constituye el fundamento de la responsabilidad del delito corporativo, la vigencia del derecho a la presunción de inocencia impone que el Fiscal no se considere exento de la necesidad de acreditar la concurrencia de un incumplimiento grave de los deberes de supervisión”.
La más reciente sentencia en esta materia por parte del Tribunal Supremo (STS 836/2025 de 14 de octubre de 2025) vuelve a incidir en la obligación de acreditar la concurrencia de un incumplimiento grave en los deberes de supervisión por parte de la entidad para poder hablar de responsabilidad penal de la persona jurídica.
Éste es, agrandes trazos, el panorama de la responsabilidad penal de la persona jurídica en España. Cabe recordar que no se trata de una visión compartida ni a nivel europeo ni a nivel internacional. A continuación, vamos a dar unas breves pinceladas acerca de los diferentes modelos de responsabilidad penal de la persona jurídica y del papel que juegan los programas de compliance en los distintos ordenamientos jurídicos, mediante la referencia a algunos de los países de nuestro entorno.
II. La responsabilidad de la persona jurídica en el ámbito europeo
(i) Portugal:
En Portugal, el Código Penal exige que la infracción se haya cometido (i) por una persona física con cargo directivo y que actúe en nombre y beneficio de la persona jurídica, o (ii) por un individuo subordinado que actúe bajo la autoridad de una persona que tenga un cargo directivo; y (iii) que el delito se haya cometido debido a la culpa in vigilando del directivo.
En caso de que la persona jurídica se haya dotado de un programa adecuado, se contempla la atenuación de la pena. También cabe destacar que, en caso de no existir en el seno de la organización un modelo de cumplimiento, está prevista la imposición de penas accesorias por este hecho. Otra posibilidad que se prevé es la sustitución de la pena, lo cual dependerá de la calidad y efectividad del programa de compliance. Lo que no es posible en ningún caso es que se produzca la plena exención de la responsabilidad penal de la persona jurídica.
Dicho esto, el problema es que el Código Penal portugués no define las características de un programa de compliance idóneo o adecuado, sino que son los propios jueces quienes deben determinar su corrección en cada caso concreto, tal y como sucede en España. Esto genera una gran incertidumbre e inseguridad jurídica y puede derivar en situaciones en las que las empresas presenten al juez un modelo aparentemente eficaz, pero que carezca de efectos en la práctica real de la sociedad.
(ii) Italia:
En Italia, la responsabilidad de la persona jurídica es formalmente calificada como administrativa, pero debemos tener en consideración que, de hecho, guarda una estrecha relación y encuentra más similitudes que diferencias con la responsabilidad penal que rige en otros ordenamientos europeos.
Al igual que en el caso español, la entidad no puede ser considerada responsable de cualquier delito cometido en su interés por sus miembros o subordinados, sino sólo de aquéllos expresamente incluidos en el catálogo de ilícitos imputables a la persona jurídica.
En el caso italiano, sí cabe la exención total de responsabilidad, siempre que la empresa haya adoptado programas de compliance con anterioridad a la comisión del hecho ilícito. Es decir, no basta con una puesta en práctica ex post.
En materia de compliance, no se puede evitar invocar la famosa sentencia Impregilo dictada por la Corte de Casación Italiana en 2022, que supuso un cambio de paradigma, ya que se trató del primer caso que reconoció la idoneidad de un modelo de compliance y proporcionó importantes indicaciones sobre la vía judicial de validación de los modelos organizativos y sobre la evaluación del defecto de organización, que debe llevarse a cabo en cuatro pasos:
1. Identificación de la norma organizativa preexistente y presuntamente violada por la entidad.
2. Comprobación de la denominada causalidad de la falta. Es decir, la infracción individual debe haberse producido como consecuencia del defecto de organización alegado contra la entidad.
3. Comprobación del comportamiento alternativo lícito, ya que debe demostrarse que la elaboración ex ante de un modelo adecuado habría evitado o reducido significativamente el riesgo de comisión del ilícito.
4. Comprobación del alcance objetivo de la culpa organizativa.
Esta sentencia entiende que, para hablar de responsabilidad penal de la persona jurídica, es necesario asentar el concepto de elusión, que define como: “comportamiento con connotación claramente delictiva, consistente en la evasión maliciosa de una obligación o en la elusión de un obstáculo, específicamente establecido en las prescripciones del modelo; reforzado además por el predicado de «fraudulenta»”.
Por tanto, debe tratarse de una conducta capaz de frustrar el cumplimiento diligente de las normas establecidas mediante el engaño. La elusión prueba, según esta sentencia, que el delito es obra de la propia persona física y que su comisión no guarda relación con la persona jurídica. Señala expresamente que el delito es una elección personal del individuo que se ha llevado a cabo no debido a una organización deficiente, sino a pesar de una organización correcta y adecuada.
Con base en todo lo anterior, la Corte de Casación entendió que la compañía se dotó de un programa de compliance adecuado, debido a que (i) no existía un mecanismo alternativo que hubiese podido impedir la comisión del delito; (ii) el órgano de vigilancia actuó correctamente con carácter general, ya que no es posible la supervisión de cada proceso concreto; y (iii) se produjo una doble elusión por parte de los autores, que se pusieron de acuerdo para cometer el ilícito, y evitaron que el modelo implementado surtiera efecto.
III. La responsabilidad de la persona jurídica en el ámbito iberoamericano
Más allá de Europa, existen numerosos países que, a pesar de compartir parte de la regulación sustantiva en materia de responsabilidad penal de las personas jurídicas con España, cuentan con particularidades que demuestran la diversidad de las distintas legislaciones:
(i) Perú:
En Perú, el Congreso aprobó que la existencia de un programa de compliance no puede operar como eximente cuando quien comete el acto delictivo es un miembro de la alta dirección, ya que se considera que se trata de una contradicción en sí misma. Por tanto, cuando es un miembro de la alta dirección quien delinque, estamos ante un sistema vicarial que no excluye la sanción, aunque la existencia del programa puede actuar como atenuante.
Sin embargo, en caso de que la comisión del ilícito se haya producido por un mando medio de la compañía o por un trabajador que no tenga poder alguno en la toma de decisiones, cabe exención siempre que se acredite el correcto funcionamiento de un modelo de compliance. Por ende, estamos ante un sistema dividido, cuyas consecuencias dependen del autor del hecho.
(ii) Ecuador:
En Ecuador, la adopción de un programa de compliance no excluye la responsabilidad penal, sino que opera como posible atenuante. Una cuestión particular es que la legislación ecuatoriana no diferencia entre la adopción de medidas de compliance ex ante y ex post, ya que, en ambos supuestos, lo máximo a lo que pueden aspirar las entidades es a atenuar la pena.
Además, para que el modelo de cumplimiento actúe como atenuante no basta con la adopción de un programa, sino que este hecho debe ir seguido de alguna otra actuación que atenúe la responsabilidad de la persona jurídica, como, por ejemplo, la autodenuncia, la colaboración o la reparación integral.
(iii) Argentina:
En Argentina existen dos regímenes distintos de responsabilidad de la persona jurídica. Por un lado, existe la responsabilidad que se regula en el Código Penal. Por otro, la que se recoge en el régimen penal tributario. Sin embargo, tanto los presupuestos para que exista tal responsabilidad como el papel del programa de compliance son idénticos en ambos casos.
El modelo se fundamenta en un sistema de hetero-responsabilidad, en el que se parte del delito cometido por una persona física y, mediante un mecanismo de transferencia, se imputa la responsabilidad a la persona jurídica, siempre que el ilícito haya sido cometido en su beneficio.
El papel del modelo de cumplimiento es de mera atenuación, siempre y cuando su correcta implementación y su adecuación hayan quedado probadas.
Cuestión distinta es la aplicabilidad del compliance en el ámbito de la Ley de Responsabilidad de Personas Jurídicas por Hechos de Corrupción (Ley 27401). En este caso, el rol del compliance cobra una importancia clave, y es que tiene la capacidad de eximir a la persona jurídica de responsabilidad. Para ello, deben coexistir tres elementos:
1. Realización de una autodenuncia tras una investigación interna.
2. Existencia de un modelo de compliance adecuado, que incluya en todo caso un protocolo de relaciones con el sector público, capacitaciones periódicas y un programa ético.
3. Reparación del daño.
Además, cabe aludir a que las autoridades interpretan que, para que exista eximente de responsabilidad, el programa de compliance que la entidad haya adoptado debe dificultar gravemente la posibilidad de comisión del delito. De lo contrario, no cabrá beneficiarse de la eximente.
IV. Cuestiones a debate
Como se desprende de la anterior exposición, los países europeos y los iberoamericanos cuentan con unos regímenes muy diferentes entre sí, ya que manejan distintas concepciones de la responsabilidad de la persona jurídica.
En España, existen dos posiciones enfrentadas a raíz de las recientes sentencias del Tribunal Supremo. Los defensores de la auto-responsabilidad afirman que no es admisible hablar de presunción iuris tantum de defecto organizativo cuando se comete un ilícito en el seno de una empresa. La principal propuesta de este sector se basa en la creación de guías sobre modelos adecuados de compliance o la emisión de circulares por parte de la Fiscalía en las que se indique qué requisitos deben tenerse en consideración para hablar de un programa eficaz.
Los defensores de la hetero-responsabilidad, por su parte, consideran que debe ser la persona jurídica quien lleve a cabo la diligencia probatoria que permita demostrar la eficacia del modelo de cumplimiento. De lo contrario, no cabe hablar de exoneración.
Es cierto que, a diferencia de sistemas como el estadounidense, en España, en Ministerio Fiscal no tiene el monopolio de la acción penal, por lo que elaborar una guía o llegar a un acuerdo de manera taxativa no es sencillo, puesto que no debemos olvidar el papel que juega en nuestro régimen jurídico la acusación particular (y también la acusación popular, en determinados supuestos).
La clave sería, quizás, evitar que la sangre llegue al río, mediante la exoneración a las personas jurídicas en fases tempranas de la instrucción, siempre antes de la apertura del juicio oral, lo que evitaría así que las conformidades llegasen a destiempo, con el consecuente daño reputacional, que es difícilmente reparable.
Otro asunto que es objeto de debate en la actualidad es la exigencia de autodenuncia. Si bien se ha escuchado a miembros del Ministerio Fiscal asegurar que la autodenuncia es un mecanismo positivo y que provoca automáticamente una exención de responsabilidad, como por ejemplo en el caso BANKIA. Lo cierto es que, tanto las empresas como sus abogados, tienen aún serias dudas acerca de la capacidad de la autodenuncia para evitar una acusación formal por parte de la Fiscalía.
La inseguridad jurídica a este respecto, así como el derecho a la no autoincriminación, hacen que las personas jurídicas se lo piensen dos veces antes de denunciar la comisión de un ilícito en el que estén involucradas.
Este derecho a la no autoincriminación ha sido también puesto en tela de juicio, sobre todo desde la entrada en vigor de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, que obliga, siempre que haya existido una denuncia interna a través del canal de denuncias de la entidad, a realizar la correspondiente labor de investigación y, en caso de que se produzcan hallazgos que hagan pensar que pueda existir responsabilidad penal, a comunicar estos hechos a la Fiscalía.
La realidad es que la persona jurídica cuenta con los mismos derechos que la persona física en el procedimiento penal. Por tanto, puede negarse a declarar o a aportar fuentes de prueba, entre otros. Es necesario señalar que, en estos casos, sería de aplicación la conocida STEDH de 17 de diciembre de 1996, Caso Saunders c. Reino Unido, que determinó que:
1. No cabe emplear como prueba en un procedimiento penal las declaraciones obligatorias obtenidas durante una investigación preliminar que no tenga carácter penal.
2. Todas aquellas pruebas físicas existentes de manera independiente a la voluntad del acusado no están protegidas por el derecho a la no autoincriminación, por lo que podrán ser empleadas contra él.
Por tanto, el derecho a no auto incriminarse no entra en juego en caso de que se trate de documentos o pruebas cuya tenencia sea exigible legalmente para la persona jurídica. Sin embargo, si se trata de documentación voluntaria, es decir, aquella que libremente posee la entidad por cualquier motivo sin que sea un requisito legal, quedaría amparada por este derecho.
Surge aquí el problema acerca de la exigencia impuesta por la Ley 2/2023 en materia de conservación y archivo de documentación relativa a denuncias, investigaciones e informaciones recibidas y realizadas. Por tanto, cabe entender que estos datos no quedan amparados por el derecho a la no autoincriminación.
En conexión con lo anterior, cuando la denuncia interna termina en la apertura de un procedimiento de carácter penal, siempre que la autoridad correspondiente exija los datos del denunciante, éstos deben ser puestos de manifiesto. Es decir, en el seno de un procedimiento penal, si estuviésemos ante una denuncia anónima, la identidad del denunciante, en contra de los principios generales de la Ley 2/2023, debería ser desvelada.
La colisión entre las dos normas es evidente, y no parece que el legislador vaya a dar respuesta a corto plazo a las contradicciones entre ambas. Por el momento, sólo cabe esperar a que estas disyuntivas comiencen a explorarse en la práctica.
V. Conclusiones
Los problemas normativos y las discusiones doctrinales en este ámbito son evidentes. En la actualidad, parece que se impone la teoría de la auto-responsabilidad de la persona jurídica, pero desconocemos si nuestro más alto Tribunal mantendrá este posicionamiento en un futuro.
Por el momento, sólo cabe que las compañías traten de protegerse de la comisión de ilícitos penales y de la consiguiente responsabilidad derivada de ellos a través de la implantación de modelos de compliance que tengan un funcionamiento eficaz. Esto es, programas adecuados, aplicados con un alto grado de especificidad, cuyo contenido dependa del sector en el que opere la empresa, tenga en cuenta a los terceros implicados en el día a día de la sociedad, y genere un mapa de riesgos precisos, unas políticas eficaces y una monitorización de cada proceso.
Ante la inseguridad jurídica que existe en la actualidad, la mejor opción es contar con un modelo robusto, basado en la mejora constante y en la involucración directa del órgano directivo, de los mandos intermedios y de todos los trabajadores.
Y, por supuesto, un modelo que sea objeto de revisión continua y de auditoría periódica. Contar con un programa capaz de prevenir es la clave para no tener que curar en el futuro.
Para más información:
Noelia Serrano (noelia.serrano@regula.law)