Desde 2010 las empresas responden penalmente en España. Y desde la primera condena del Tribunal Supremo, dictada el 29 de febrero de 2016, el volumen acumulado de multas impuestas a personas jurídicas supera los 3.800 millones de euros, según los datos extraídos de las sentencias publicadas hasta el 31 de diciembre de 2025. Solo en 2025 se acordaron 34 disoluciones.
La mayoría de los empresarios con los que hablo creen dos cosas que no son ciertas: que esto va de multinacionales, y que si el delito lo comete un empleado la empresa queda al margen.
Resumen: qué puede pasarle a una empresa
| Pena | Alcance |
|---|---|
| Multa | Por cuotas o proporcional al beneficio o a lo defraudado |
| Disolución | Pérdida definitiva de la personalidad jurídica |
| Suspensión de actividades | Hasta 5 años |
| Clausura de locales | Hasta 5 años |
| Prohibición de la actividad | Temporal (hasta 15 años) o definitiva |
| Inhabilitación para subvenciones y contratación pública | Hasta 15 años |
| Intervención judicial | Hasta 5 años |
Índice
- Cuándo responde penalmente una empresa
- El delito del empleado: la vía que nadie espera
- Qué significa «beneficio directo o indirecto»
- La empresa responde por separado de su administrador
- El compliance como causa de exención
- Los seis requisitos del modelo de prevención
- Pymes: qué dice el apartado 3
- El compliance officer
- El canal ético o canal de denuncias
- Qué ocurre en el procedimiento penal
- Lo que ha dicho el Tribunal Supremo
- Preguntas frecuentes
Cuándo responde penalmente una empresa
El artículo 31 bis del Código Penal abre dos vías distintas.
La primera alcanza los delitos cometidos en nombre o por cuenta de la empresa, y en su beneficio directo o indirecto, por sus representantes legales o por quienes están autorizados a tomar decisiones o tienen facultades de organización y control. Es la vía esperable: responde la empresa por lo que hace quien manda en ella.
La segunda es la que sorprende, y merece apartado propio.
El delito del empleado: la vía que nadie espera
La empresa responde también de los delitos cometidos, en el ejercicio de actividades sociales y en su beneficio, por quienes están sometidos a la autoridad de esos administradores, cuando hayan podido cometerlos porque los de arriba incumplieron gravemente sus deberes de supervisión, vigilancia y control.
No hace falta que el administrador lo sepa. Ni que participe. Basta con que no haya vigilado.
Esa es la clave de todo el sistema y la razón de ser del compliance penal: la ley no castiga a la empresa por ser el escenario del delito, sino por no haberse organizado para evitarlo.
Conviene añadir un límite: las personas jurídicas solo responden de aquellos delitos para los que el Código Penal lo prevé expresamente. No de todos. Entre los que sí figuran están las estafas, los delitos contra la Hacienda Pública y la Seguridad Social, las insolvencias punibles, la frustración de la ejecución, el blanqueo, los delitos contra la intimidad, los daños informáticos, los delitos urbanísticos y medioambientales, la corrupción en los negocios o el acoso sexual, entre otros.
Qué significa «beneficio directo o indirecto»
La expresión es más amplia de lo que parece y ha sido objeto de precisión jurisprudencial desde la primera sentencia de 2016. No se exige que la empresa haya obtenido una ganancia efectiva y contabilizada: basta con que la conducta se orientara a favorecerla, aunque el beneficio sea indirecto o no llegue a materializarse.
La empresa responde por separado de su administrador
Este punto tiene consecuencias prácticas inmediatas y con frecuencia se descubre tarde.
La responsabilidad de la persona jurídica y la de la persona física no son alternativas: son acumulativas e independientes. Cada una responde de lo suyo. Que se condene al administrador no absuelve a la empresa, y viceversa.
De ahí se derivan dos exigencias procesales que el Tribunal Supremo ha subrayado: la empresa debe ser formalmente declarada investigada en el procedimiento —no basta con que lo esté su administrador—, y debe contar con defensa independiente, para evitar el conflicto de intereses que surge cuando una misma persona representa a ambos.
El compliance como causa de exención
El compliance penal no es una recomendación de buenas prácticas ni un sello reputacional. Es la causa de exención de responsabilidad que el propio Código Penal regula.
Cuando el delito lo comete un administrador o alguien con facultades de organización y control, la empresa queda exenta si concurren cuatro condiciones:
- Modelo adoptado y ejecutado con eficacia antes del delitoCon medidas de vigilancia y control idóneas para prevenir delitos de esa misma naturaleza o reducir significativamente su riesgo.
- Supervisión confiada a un órgano con poderes autónomosDe iniciativa y control, o que tenga legalmente encomendada la supervisión de los controles internos.
- Que los autores eludieran fraudulentamente el modeloEs decir, que el delito se cometiera saltándose los controles, no aprovechando su inexistencia.
- Que el órgano de supervisión no omitiera sus funcionesNi las ejerciera de forma insuficiente.
Cuando el delito lo comete un empleado sometido a esa autoridad, el régimen es menos exigente: basta con haber adoptado y ejecutado eficazmente, antes del delito, un modelo adecuado para prevenir delitos de esa naturaleza o reducir de forma significativa su riesgo.
Y hay una previsión que rara vez se menciona: si esas circunstancias solo pueden acreditarse parcialmente, ello se valora como atenuante de la pena. Un modelo imperfecto sigue valiendo. Lo que no vale es no tener ninguno.
Los seis requisitos del modelo de prevención
El Código Penal no deja el contenido del modelo a la imaginación. Exige que:
- Identifique las actividades de riesgoAquellas en cuyo ámbito puedan cometerse los delitos que deben prevenirse.
- Establezca protocolos de decisiónQue concreten cómo se forma la voluntad de la empresa, cómo se adoptan las decisiones y cómo se ejecutan.
- Disponga de modelos de gestión de los recursos financierosAdecuados para impedir la comisión de esos delitos.
- Imponga la obligación de informar de riesgos e incumplimientosAl organismo encargado de vigilar el modelo. Aquí es donde encaja el canal ético.
- Establezca un sistema disciplinarioQue sancione adecuadamente el incumplimiento de las medidas previstas.
- Prevea su verificación periódicaY su modificación cuando aparezcan infracciones relevantes o cambien la organización, la estructura de control o la actividad.
Un documento que no cumpla estos seis puntos difícilmente servirá para exonerar. De ahí que el modelo comprado por plantilla, sin análisis de la actividad concreta de la empresa, sea poco útil: el primer requisito es precisamente identificar los riesgos de esa organización.
Pymes: qué dice el apartado 3
Contra la creencia extendida, esto no va solo de grandes corporaciones. El propio artículo 31 bis prevé que, en las personas jurídicas de pequeñas dimensiones, las funciones de supervisión puedan ser asumidas directamente por el órgano de administración.
Y define cuáles son: aquellas que, conforme a la legislación aplicable, estén autorizadas a presentar cuenta de pérdidas y ganancias abreviada.
Dicho de otro modo: la ley contempla expresamente que una pyme tenga un modelo de prevención proporcionado a su tamaño, sin necesidad de crear un departamento independiente.
El compliance officer
La segunda condición de la exención exige que la supervisión del modelo esté confiada a un órgano con poderes autónomos de iniciativa y control. Esa función es la que desempeña el responsable de cumplimiento normativo.
El Código Penal no detalla sus funciones con precisión: hay que deducirlas de las referencias dispersas del propio texto. Lo que sí está claro es que su autonomía real es determinante, porque la cuarta condición de la exención decae si ese órgano omitió sus funciones o las ejerció de forma insuficiente.
El canal ético o canal de denuncias
Es el conducto por el que la organización recibe y gestiona las comunicaciones de sus empleados y profesionales sobre posibles conductas irregulares contrarias a la normativa externa o a los códigos internos.
No es un adorno: da cumplimiento al cuarto requisito legal del modelo, la obligación de informar de riesgos e incumplimientos al órgano de supervisión. Sin un cauce operativo para ello, ese requisito queda en el papel.
Qué ocurre en el procedimiento penal
Cuando una empresa es investigada, el proceso tiene reglas propias que conviene conocer antes de necesitarlas.
La empresa comparece a través de un representante especialmente designado, que puede asistir acompañado del letrado encargado de su defensa. Si ese representante no comparece, las actuaciones se sustancian con el abogado defensor.
Para prestar conformidad, el representante debe contar con poder especial. Y esa conformidad puede prestarse con independencia de la posición que adopten los demás acusados, sin vincular el juicio que se siga respecto de ellos.
Existe incluso la figura de la rebeldía de la persona jurídica: si no comparece en plazo, se la declara rebelde.
Lo que ha dicho el Tribunal Supremo
Tres resoluciones marcan el terreno.
La STS 154/2016, de 29 de febrero —conocida como «la bisiesta»— fue la primera condena del Supremo a personas jurídicas, por ausencia absoluta de instrumentos de prevención. Introdujo la idea de analizar si existía una ausencia de cultura de respeto al derecho en la organización, precisó el concepto de beneficio directo o indirecto, y advirtió de la conveniencia de que la empresa no esté representada en juicio por la persona física acusada.
La STS 221/2016, de 16 de marzo absolvió a una empresa por habérsele causado indefensión al no imputarla en forma, y estableció algo capital para la defensa: corresponde a la acusación acreditar el incumplimiento grave de los deberes de supervisión, vigilancia y control. La misma exigencia probatoria que frente a una persona física.
La STS 516/2016, de 13 de junio confirmó el carácter acumulativo e independiente de ambas responsabilidades.
Y una precisión útil: la STS 121/2017, de 23 de febrero aclaró que no cabe acusar a una persona jurídica por delitos contra los derechos de los trabajadores, porque no figuran en el listado del artículo 31 bis, sin perjuicio de que puedan aplicarse las consecuencias accesorias del artículo 129.
Preguntas frecuentes
¿Puede condenarse a mi empresa por lo que haga un empleado?
Sí, si el delito se cometió en el ejercicio de actividades sociales y en beneficio de la empresa, y fue posible porque se incumplieron gravemente los deberes de supervisión, vigilancia y control.
¿El compliance elimina la responsabilidad penal de la empresa?
Puede eximirla, si el modelo fue adoptado y ejecutado eficazmente antes del delito y concurren las condiciones del artículo 31 bis. Si solo se acreditan parcialmente, opera como atenuante.
¿Sirve un plan de compliance genérico?
Difícilmente. El primer requisito legal del modelo es identificar las actividades de riesgo de esa organización concreta, algo que una plantilla no puede hacer.
¿Están obligadas las pymes a tener compliance?
No existe una obligación general de implantarlo. Lo que existe es una consecuencia: sin modelo, la empresa no dispone de la causa de exención. El Código Penal prevé además un régimen adaptado para las de pequeñas dimensiones.
¿Puede cerrarse mi empresa antes de que haya sentencia?
La clausura temporal de locales, la suspensión de actividades y la intervención judicial pueden acordarse como medida cautelar durante la instrucción.
¿Necesita mi empresa un abogado distinto del mío?
Es lo recomendable. Las responsabilidades son independientes y los intereses de la empresa y de su administrador suelen divergir. El Tribunal Supremo ha advertido expresamente sobre este conflicto.
¿De qué delitos responde una empresa?
Solo de aquellos para los que el Código Penal lo prevé expresamente. No de todos los delitos.
En resumen
- Las empresas responden penalmente por los delitos de sus administradores y también por los de sus empleados, si hubo un incumplimiento grave de los deberes de supervisión.
- Se exige que el delito se cometa en beneficio directo o indirecto de la empresa.
- La responsabilidad de la empresa y la de la persona física son acumulativas e independientes.
- Las penas incluyen multa, disolución, suspensión de actividades, clausura, prohibición de actividad, inhabilitación para contratar con el sector público e intervención judicial. Todas son penas graves.
- Un modelo de prevención adoptado y ejecutado eficazmente antes del delito puede eximir de responsabilidad; acreditado parcialmente, atenúa.
- El modelo debe cumplir seis requisitos legales concretos.
- Corresponde a la acusación probar el incumplimiento de los deberes de supervisión.
El compliance penal no se improvisa cuando llega la citación: por definición, tiene que existir antes. Esa es toda su lógica y también su principal limitación.