La gestión de una empresa implica asumir riesgos de naturaleza muy distinta. A los financieros, laborales, tecnológicos o comerciales se suman aquellos que pueden derivarse del incumplimiento de determinadas normas y que, en los casos más graves, pueden llegar al ámbito penal. Esta realidad ha hecho que el compliance penal haya ganado un peso creciente dentro de la organización de las compañías españolas y que muchas recurran a especialistas externos para diseñar, revisar o mantener sus sistemas de cumplimiento.
El punto de inflexión llegó con la introducción en España de la responsabilidad penal de las personas jurídicas. La reforma del Código Penal de 2010 estableció que, en determinados supuestos, una empresa podía responder penalmente por delitos cometidos en su nombre o por su cuenta y en su beneficio. Posteriormente, la reforma de 2015 desarrolló con mayor precisión el papel de los modelos de organización y gestión destinados a prevenir delitos o reducir de forma significativa el riesgo de que se produzcan.
Desde entonces, el compliance penal ha dejado de asociarse únicamente con grandes corporaciones sometidas a complejas estructuras regulatorias. Su aplicación puede tener sentido en organizaciones de tamaños y sectores muy diferentes, aunque el sistema nunca debería implantarse de manera idéntica en todas ellas. El propio marco jurídico contempla las particularidades de las personas jurídicas de pequeñas dimensiones, lo que obliga a adaptar las medidas a la realidad de cada empresa.
Conocer dónde están los riesgos
Ese carácter personalizado es precisamente uno de los pilares de un programa de compliance eficaz. No se trata de incorporar un conjunto de documentos estándar ni de acumular procedimientos que después apenas tengan relación con la actividad cotidiana. El punto de partida debe ser conocer cómo funciona realmente la organización y en qué áreas pueden producirse conductas con relevancia penal.
Los riesgos de una constructora, por ejemplo, no son idénticos a los de una empresa tecnológica, una compañía dedicada al comercio internacional o una organización que trabaja habitualmente con la Administración. El sector, el tamaño, la estructura interna, la presencia en otros países, el tipo de clientes, la contratación de intermediarios o las relaciones con proveedores pueden modificar de forma considerable el mapa de riesgos.
Por eso, el análisis inicial resulta determinante. A partir de la actividad de la compañía pueden identificarse aquellas situaciones que requieren controles específicos y establecer medidas proporcionadas. El objetivo no consiste en imaginar cualquier escenario posible, sino en reconocer los riesgos razonablemente vinculados al funcionamiento real del negocio.
A partir de ahí, el modelo debe traducirse en procedimientos que puedan aplicarse. El Código Penal establece entre los requisitos de estos modelos la identificación de las actividades en cuyo ámbito puedan cometerse los delitos que deben ser prevenidos, así como el establecimiento de protocolos o procedimientos que concreten la formación de la voluntad de la persona jurídica, la adopción de decisiones y su ejecución.
De los documentos al funcionamiento cotidiano
Esta exigencia ayuda a entender por qué el compliance penal no puede reducirse a disponer de un manual guardado en un archivo. Su utilidad depende de que los controles lleguen a las áreas en las que realmente pueden aparecer los riesgos y sean conocidos por las personas encargadas de tomar decisiones.
Eso puede afectar a operaciones muy habituales dentro de una compañía. La aprobación de determinados gastos, la selección de proveedores, la contratación de terceros, la concesión de poderes, los pagos, las relaciones comerciales o la participación en procesos de contratación pública pueden necesitar mecanismos de supervisión adaptados a las características de cada organización.
En algunos casos será necesario establecer autorizaciones adicionales; en otros, separar determinadas funciones para evitar que una sola persona controle todo un proceso. También puede resultar conveniente conservar evidencias de las decisiones tomadas o realizar comprobaciones sobre determinados socios comerciales antes de iniciar una relación.
Lo importante es que las medidas tengan una finalidad concreta. Un control que existe únicamente sobre el papel difícilmente puede demostrar que la organización ha realizado un verdadero esfuerzo preventivo. La Fiscalía ya ha señalado que la mera adopción formal de un programa no constituye por sí misma una garantía frente a una eventual responsabilidad penal y que debe valorarse su eficacia real.
Esta cuestión ha contribuido a profesionalizar considerablemente los servicios de compliance. Las empresas que recurren a asesoramiento especializado no buscan únicamente obtener documentación, sino disponer de un sistema que pueda integrarse en sus procesos y evolucionar cuando cambian las circunstancias.
La responsabilidad también alcanza a la dirección
Esa integración resulta difícil si el compromiso se limita al departamento jurídico o al responsable de cumplimiento. La implicación de los órganos de administración y de la dirección constituye uno de los elementos esenciales para que el modelo funcione.
Las decisiones adoptadas desde los niveles superiores condicionan la forma en la que el resto de la organización interpreta las normas internas. Si determinados controles se perciben como obstáculos que pueden ignorarse cuando existe presión comercial, el sistema pierde eficacia rápidamente. Por el contrario, cuando las mismas exigencias se aplican con independencia del cargo de quien interviene, el cumplimiento pasa a formar parte de la manera habitual de trabajar.
La Fiscalía ha insistido precisamente en la importancia del compromiso de la alta dirección y en la existencia de una verdadera cultura de cumplimiento. También considera relevante cómo responde la empresa cuando detecta una conducta irregular, incluyendo aspectos como la investigación de los hechos, la revisión de posibles fallos del modelo o la adopción de medidas correctoras.
Esto hace que el compliance penal tenga una dimensión mucho más amplia que la estrictamente jurídica. Afecta a la gobernanza, a la distribución de responsabilidades y a la forma en que circula la información dentro de la organización.
Detectar también forma parte de prevenir
Ningún sistema puede garantizar que nunca vaya a producirse una conducta irregular. Precisamente por eso, además de establecer medidas preventivas, resulta necesario crear mecanismos que permitan detectar posibles incumplimientos y reaccionar ante ellos.
Los canales internos de información ocupan aquí un lugar relevante. Permiten comunicar hechos que puedan resultar contrarios a las normas internas o a la legislación y facilitan que la compañía conozca situaciones que, de otro modo, podrían permanecer ocultas durante largos periodos.
Pero disponer del canal tampoco resulta suficiente si no existe un procedimiento claro para analizar las comunicaciones recibidas. La confidencialidad, la protección de las personas implicadas, el acceso restringido a la información y la correcta investigación de los hechos son aspectos fundamentales para que el mecanismo resulte creíble.
La aparición de una incidencia puede revelar además una deficiencia que no se había detectado durante la evaluación inicial. Por eso, cada caso debería servir también para comprobar si los controles existentes siguen siendo adecuados o necesitan modificaciones.
El compliance se convierte de esta forma en un sistema dinámico. Las empresas cambian, incorporan nuevas líneas de negocio, entran en otros mercados, modifican su estructura o trabajan con nuevos proveedores. Cada una de esas decisiones puede alterar su exposición a determinados riesgos.
Revisar para que el modelo siga teniendo sentido
La necesidad de actualización explica por qué el servicio de compliance penal no termina normalmente con la implantación inicial. Un programa diseñado correctamente puede perder utilidad con el paso del tiempo si no se adapta a los cambios de la compañía o del entorno normativo.
Las revisiones periódicas permiten comprobar si los procedimientos se utilizan, si los responsables conocen sus funciones y si han aparecido riesgos que anteriormente no existían. También permiten analizar la experiencia acumulada y simplificar controles que resulten poco prácticos sin reducir por ello el nivel de protección.
Este proceso de mejora continua cuenta también con referencias técnicas específicas, tal y como nos señalan desde Worldlex, quienes nos dicen que, en abril de 2025 se aprobó la UNE 19601:2025 sobre sistemas de gestión de compliance penal, que sustituyó a la versión de 2017 y ofrece requisitos y orientación para desarrollar este tipo de sistemas.
La existencia de estos estándares demuestra hasta qué punto el compliance se ha convertido en una disciplina propia dentro de la gestión empresarial. Sin embargo, una certificación o la adopción de una determinada metodología tampoco sustituye al análisis concreto de cada organización. La Fiscalía ha indicado que las certificaciones pueden constituir un elemento adicional para valorar un modelo, pero no acreditan automáticamente su eficacia.
Una herramienta que va más allá de evitar sanciones
La consolidación del compliance penal responde, por tanto, a una evolución mucho más profunda que la simple necesidad de cumplir un requisito. Un sistema bien integrado ayuda a ordenar responsabilidades, establecer criterios de actuación y reducir espacios de incertidumbre en procesos especialmente sensibles.
También facilita que quienes trabajan dentro de la empresa sepan qué conductas requieren especial cautela, dónde pueden plantear una duda y cómo deben actuar cuando detectan una posible irregularidad. Esa claridad adquiere especial importancia en organizaciones con numerosos empleados, distintas delegaciones o cadenas de decisión complejas.
Al mismo tiempo, permite documentar cómo gestiona la compañía sus riesgos y qué medidas ha adoptado para prevenir determinadas conductas. Esa trazabilidad puede resultar relevante tanto internamente como en las relaciones con clientes, socios comerciales o terceros que exigen determinadas garantías antes de establecer una colaboración.
De ahí que las asesorías especializadas en compliance penal hayan ido ampliando su presencia en el entorno empresarial. Su trabajo ya no consiste simplemente en interpretar el Código Penal, sino en trasladar sus exigencias a procedimientos que puedan convivir con la actividad diaria de cada organización.
Otros servicios a los que recurren las empresas de forma habitual
Junto al compliance penal, las empresas suelen apoyarse en numerosos servicios externos que cubren áreas muy diferentes de su actividad. La complejidad creciente de la gestión hace que resulte poco habitual concentrar internamente todos los conocimientos necesarios, especialmente en pequeñas y medianas compañías que necesitan acceder a perfiles especializados sin incorporar cada función de manera permanente a su estructura.
Uno de los apoyos más habituales sigue siendo la asesoría fiscal y contable. La elaboración de cuentas, la presentación de impuestos, la planificación de determinadas operaciones o la correcta aplicación de las obligaciones tributarias requieren un conocimiento técnico que cambia con frecuencia. Para muchas empresas, contar con profesionales especializados permite mantener ordenada la información financiera y disponer de una visión más precisa de su situación económica.
La asesoría laboral ocupa también un lugar central. La contratación de trabajadores, la elaboración de nóminas, las altas y bajas, la gestión de vacaciones, las incapacidades temporales o la aplicación de convenios colectivos generan una carga administrativa considerable. A ello se suma la necesidad de interpretar correctamente cambios legislativos que pueden afectar a la jornada, la contratación, las cotizaciones o las condiciones laborales.
En compañías con plantillas más amplias, esta colaboración puede extenderse además a áreas como la organización de recursos humanos. Procesos de selección, evaluación del desempeño, definición de puestos o elaboración de planes de formación son algunas de las tareas que pueden externalizarse cuando se necesita conocimiento específico o una visión independiente de la propia estructura.
La tecnología ha convertido igualmente a los servicios informáticos en una parte esencial del funcionamiento empresarial. El mantenimiento de equipos, la gestión de servidores, la implantación de programas de gestión o la asistencia técnica forman parte del día a día de compañías de prácticamente cualquier sector. Incluso negocios con una actividad tradicional dependen ya de aplicaciones para facturación, inventario, atención al cliente o comunicación interna.
Dentro de este ámbito, la ciberseguridad ha adquirido una relevancia particular. La dependencia de sistemas digitales obliga a proteger dispositivos, redes y cuentas frente a accesos no autorizados, pérdidas de información o interrupciones del servicio. Muchas empresas recurren a proveedores especializados para realizar auditorías técnicas, configurar copias de seguridad, supervisar posibles vulnerabilidades o formar a los empleados en prácticas básicas de seguridad digital.
La protección de datos constituye otro campo en el que es frecuente acudir a asesoramiento externo. El tratamiento de información de clientes, trabajadores, proveedores o usuarios obliga a revisar qué datos se recopilan, con qué finalidad se utilizan y durante cuánto tiempo se conservan. La correcta preparación de cláusulas informativas, contratos con proveedores tecnológicos o procedimientos para atender derechos puede requerir apoyo especializado, especialmente cuando existen tratamientos complejos.
También los servicios jurídicos mantienen una presencia constante en la actividad empresarial. La revisión de contratos, la resolución de conflictos, la reclamación de impagos o el asesoramiento ante determinadas operaciones comerciales forman parte de las necesidades habituales de cualquier organización. No todas las empresas cuentan con un departamento jurídico propio, por lo que los despachos externos funcionan en muchos casos como una extensión de su estructura.
A medida que una compañía crece, también suele aumentar la necesidad de recibir asesoramiento financiero. La búsqueda de financiación, la negociación con entidades bancarias, la elaboración de previsiones de tesorería o el análisis de inversiones pueden requerir conocimientos que van más allá de la contabilidad ordinaria. En momentos de expansión, este tipo de apoyo resulta especialmente útil para valorar diferentes escenarios antes de comprometer recursos.
El marketing y la comunicación conforman otro de los grandes campos externalizados. La gestión de redes sociales, la creación de contenidos, el diseño de campañas publicitarias, el posicionamiento en buscadores o la relación con medios exige perfiles muy distintos entre sí. Para muchas compañías resulta más eficiente recurrir a agencias o profesionales especializados que mantener internamente equipos completos para cada disciplina.
Algo similar ocurre con el diseño y desarrollo web. La página corporativa, una tienda online o determinadas plataformas de atención al cliente requieren mantenimiento, actualizaciones y mejoras continuas. La colaboración externa permite incorporar conocimientos técnicos concretos en función de las necesidades de cada proyecto sin aumentar de manera permanente la estructura de la empresa.
La prevención de riesgos laborales es asimismo un servicio habitual, especialmente en actividades en las que existen riesgos físicos, uso de maquinaria o determinados entornos de trabajo. Evaluaciones, formación específica, vigilancia de la salud y adaptación de procedimientos forman parte de una gestión que suele requerir la intervención de servicios especializados.
A todo ello se añaden campos como la logística, la traducción, la propiedad industrial, la gestión de ayudas públicas, la sostenibilidad o la consultoría estratégica. Cada empresa recurre a unos u otros dependiendo de su tamaño, del mercado en el que opera y de las dificultades concretas que necesita resolver.
