Compliance

Compliance Officer externo y sistemas de gestión de compliance penal

¿Para qué sirve realmente un modelo de prevención de delitos?

El artículo 31 bis del Código Penal permite que una persona jurídica quede exenta de responsabilidad penal si acredita haber adoptado y ejecutado con eficacia, antes de la comisión del delito, un modelo de organización y gestión idóneo para prevenirlo. Cuando la acreditación es solo parcial, opera como atenuante.

La palabra que decide es «eficacia». Un manual encuadernado que nadie ha leído, sin mapa de riesgos real, sin formación y sin supervisión, no exime de nada — y en sede judicial se identifica con facilidad. Un modelo sirve cuando se puede demostrar que funcionaba antes de que ocurrieran los hechos.

¿Está obligada mi empresa a tener canal de denuncias?

El artículo 10 de la Ley 2/2023, de 20 de febrero, obliga a disponer de un Sistema interno de información a las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores, así como —con independencia del número de empleados— a las entidades incluidas en el ámbito de determinados actos de la Unión Europea sobre servicios y mercados financieros, prevención del blanqueo, seguridad del transporte y protección del medio ambiente.

Los plazos de implantación ya vencieron: tres meses desde la entrada en vigor con carácter general y, para las entidades privadas de 249 trabajadores o menos, hasta el 1 de diciembre de 2023.

Las entidades no obligadas pueden implantarlo voluntariamente, y hacerlo refuerza de forma directa la eficacia del modelo de prevención penal.

¿Qué componentes tiene el sistema?

• Mapa de riesgos penales — identificación y evaluación de los delitos a los que realmente está expuesta la actividad, con probabilidad e impacto.
• Código ético y políticas internas — conflictos de interés, regalos y atenciones, relaciones con terceros, uso de recursos.
• Canal de denuncias — conforme a la Ley 2/2023, con garantías de confidencialidad y protección del informante.
• Protocolo de investigación interna — para tramitar comunicaciones con garantías y sin comprometer la validez de lo averiguado.
• Formación y evidencias — porque lo que no deja rastro documental no se puede acreditar.
• Due diligence de terceros — socios, proveedores y operaciones corporativas.
• Supervisión y reporte al órgano de administración.

¿Por qué externalizar la función de Compliance Officer?

El artículo 31 bis exige que la supervisión del modelo se confíe a un órgano con poderes autónomos de iniciativa y control. En una pyme, atribuir esa función a alguien que depende jerárquicamente de quien toma las decisiones operativas debilita justamente el requisito de autonomía.

Un Compliance Officer externo aporta independencia estructural, dedicación proporcionada al tamaño real de la organización y un coste muy inferior al de un puesto interno.

¿Y cuando la comunicación ya ha entrado?

Ahí es donde converge todo. Una investigación interna mal conducida puede destruir la prueba, vulnerar derechos del investigado y generar responsabilidad adicional para la propia empresa.

Imperial Investigaciones reúne en una sola firma al Compliance Officer certificado —curso ejecutivo de 200 horas por Aranzadi La Ley— y al detective privado habilitado que sabe cómo se obtiene una prueba lícita y cómo se sostiene después. Esa combinación es infrecuente y resulta decisiva cuando la denuncia interna acaba en un procedimiento.

Preguntas frecuentes

¿Qué empresas están obligadas a tener un canal de denuncias en España?

Conforme al artículo 10 de la Ley 2/2023, están obligadas las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores, y —con independencia del número de empleados— las entidades incluidas en el ámbito de determinados actos de la Unión Europea sobre servicios y mercados financieros, prevención del blanqueo de capitales, seguridad del transporte y protección del medio ambiente.

¿Hasta cuándo había plazo para implantar el canal de denuncias?

El plazo general era de tres meses desde la entrada en vigor de la Ley 2/2023. Para las entidades jurídicas del sector privado con 249 trabajadores o menos, y para los municipios de menos de diez mil habitantes, el plazo se extendió hasta el 1 de diciembre de 2023. Ambos plazos están vencidos.

¿Un modelo de compliance exime realmente de responsabilidad penal a la empresa?

Puede hacerlo. El artículo 31 bis del Código Penal prevé la exención cuando la persona jurídica acredita haber adoptado y ejecutado con eficacia, antes de la comisión del delito, un modelo de organización y gestión idóneo para prevenirlo. Si la acreditación es parcial, opera como atenuante. La clave es la eficacia demostrable, no la existencia del documento.

¿Puede el administrador de una pyme ser su propio Compliance Officer?

No es recomendable. El artículo 31 bis exige que la supervisión se confíe a un órgano con poderes autónomos de iniciativa y control. Cuando esa función recae en quien toma las decisiones operativas, se debilita precisamente el requisito de autonomía que justifica la exención.

¿Qué normas técnicas se aplican al sistema de compliance?

La UNE 19601 establece los requisitos de los sistemas de gestión de compliance penal en España, y la ISO 37301 los de los sistemas de gestión del cumplimiento con alcance general. Ambas proporcionan una estructura auditable y reconocida para acreditar la eficacia del modelo.

Análisis relacionados

• La prueba lícita no depende solo del detective: por qué el interés legítimo es responsabilidad del cliente
  El detective hizo bien su trabajo. La empresa, no. Dos sentencias en las que la prueba se cae por un defecto en el encargo, no en la ejecución — y el checklist para evitarlo.

Otros servicios

Las referencias normativas de esta página se han contrastado con el texto consolidado publicado en el Boletín Oficial del Estado. Su contenido tiene carácter informativo y no constituye asesoramiento jurídico ni dictamen pericial aplicable a un caso concreto.