Quién debe probar que el compliance funciona: el giro de 2025

Desde que la reforma de 2010 abrió la puerta a la responsabilidad penal de la persona jurídica, una pregunta ha sobrevolado cada caso: si una empresa puede quedar exenta por tener un programa de prevención eficaz, ¿quién debe probar que ese programa funcionaba? ¿La propia empresa, que lo invoca para exculparse, o la acusación, que sostiene que la organización falló? La respuesta no es un tecnicismo procesal: marca quién soporta el riesgo de la duda y, en la práctica, condiciona la estrategia de defensa de cualquier compañía investigada. A lo largo de 2025 la doctrina del Tribunal Supremo ha ido decantándose en un sentido determinado, y conviene entender qué significa ese giro para las empresas con y sin programa.

El Debate: Carga de la Prueba y Art. 31 bis CP

El artículo 31 bis del Código Penal diseña la responsabilidad de la empresa sobre la idea de defecto de organización: la persona jurídica responde, en esencia, porque no se dotó de las medidas de vigilancia y control idóneas para prevenir el delito. El mismo precepto establece que la empresa quedará exenta si, antes de la comisión del delito, había adoptado y ejecutado eficazmente un modelo de organización y gestión adecuado.

De esa estructura nace el debate. Caben dos lecturas:

• Lectura A — el compliance como excusa absolutoria que la empresa debe probar: el delito se entiende acreditado con la conducta de la persona física en beneficio de la entidad, y corresponde a la empresa, si quiere exculparse, demostrar que su programa era eficaz. En esta lógica, la duda perjudica a la empresa.
• Lectura B — el defecto de organización como elemento del tipo que la acusación debe probar: la ineficacia o inexistencia del modelo de prevención forma parte de aquello que define el delito de la persona jurídica. Si es un elemento del tipo, debe probarlo quien acusa, y la duda beneficia a la empresa.

La diferencia es enorme. En la primera lectura, una empresa sin pruebas claras de su programa parte en desventaja. En la segunda, el peso recae sobre la acusación, que debe acreditar el fallo organizativo más allá de toda duda razonable, como cualquier otro elemento del delito.

El Giro de la Doctrina Reciente (Otoño de 2025)

La jurisprudencia del Tribunal Supremo había contenido pronunciamientos que, leídos aisladamente, alimentaban ambas lecturas. La línea que se ha ido afianzando a lo largo de 2025, y que se aprecia con nitidez en los pronunciamientos del otoño, se inclina por la segunda lectura: el defecto de organización es un elemento del injusto de la persona jurídica y su acreditación corresponde a la acusación.

En términos prácticos, esto se traduce en varias ideas que la defensa puede hacer valer:

• No existe una presunción de culpabilidad de la empresa por el solo hecho de que un directivo o empleado cometiera un delito en su beneficio.
• La acusación debe probar de forma positiva que el modelo de prevención no existía o que, existiendo, era ineficaz para prevenir delitos de esa naturaleza.
• La presunción de inocencia ampara plenamente a la persona jurídica: la duda razonable sobre la idoneidad del programa debe resolverse a su favor.

La Distinción Clave: Carga Formal y Carga Material

Conviene no confundir dos planos. Una cosa es sobre quién pesa formalmente la carga de la prueba —y la doctrina reciente la sitúa en la acusación— y otra es quién está en mejores condiciones de aportar la prueba. La evidencia de que un programa funciona (actas, registros, formaciones, métricas del canal de denuncias) está, por su propia naturaleza, en manos de la empresa.

De ahí una conclusión que matiza el alcance del giro: la empresa que se cruza de brazos confiando en que "la acusación tiene que probarlo todo" comete un error. Si la acusación aporta indicios de un defecto organizativo —un canal de denuncias que nunca recibió ni tramitó nada pese a evidencias de irregularidades, formaciones inexistentes, un órgano de supervisión sin medios— y la empresa no opone su propia evidencia de implantación efectiva, el resultado puede ser igual de adverso. El giro reequilibra el punto de partida; no exime de defenderse activamente.

Qué Implica para Empresas Sin Programa de Prevención

Para una organización que carece de compliance, el giro doctrinal ofrece un alivio más teórico que real. Es cierto que la acusación deberá acreditar el defecto de organización; pero la ausencia misma de un modelo de prevención es la forma más directa de probar ese defecto. Sin programa no hay nada que oponer, ni evidencia que generar, ni exención que reclamar.

El resultado es que estas empresas siguen siendo el blanco más vulnerable. La defensa tendrá que apoyarse en otros frentes —discutir que el delito se cometiera realmente en beneficio de la entidad, cuestionar la atribución de la conducta, o buscar la atenuación por colaboración y reparación del daño tras los hechos—, pero pierde la herramienta más potente del sistema: la exención del artículo 31 bis CP.

Qué Implica para Empresas Con Programa

Para la empresa que sí cuenta con un programa, la doctrina reciente refuerza una posición de partida favorable, siempre que el compliance no sea de cartón. Las claves para aprovechar el giro:

1. Evidencia, no documentos. El Tribunal Supremo ha sido constante en que el compliance puramente formal no exime. Lo decisivo no es el manual, sino el rastro de su aplicación: actas del órgano de supervisión, formaciones efectivamente impartidas, denuncias tramitadas, sanciones internas impuestas, revisiones del mapa de riesgos.
2. Trazabilidad temporal. El modelo debe acreditarse vigente y operativo antes de los hechos. Las mejoras adoptadas después sirven para atenuar, pero no para acreditar la exención previa.
3. Autonomía del órgano de supervisión. La eficacia se mide también por la independencia y los medios reales del Compliance Officer o del órgano encargado de vigilar el programa.
4. La desviación individual. La defensa más sólida es demostrar que el delito fue una conducta cometida contra el programa, eludiendo controles que funcionaban, y no amparada por un sistema inexistente.

Qué Hacer Ahora

El giro doctrinal es una oportunidad para las empresas que se lo toman en serio y una advertencia para las que no. Recomendamos:

• Auditar la implantación real del programa: no basta con que exista, debe poder demostrarse que opera.
• Ordenar y conservar la evidencia que acredita su funcionamiento, de modo que pueda aportarse con rapidez si llega una investigación.
• Revisar el mapa de riesgos y actualizarlo cuando cambien la actividad, la organización o la normativa.
• Reforzar la autonomía y los medios del órgano de supervisión, pieza que la jurisprudencia examina con detalle.

Como abogados penalistas especializados en compliance y responsabilidad de la empresa, ayudamos a diseñar programas que resistan el escrutinio judicial y a preparar la defensa de la persona jurídica cuando la investigación ya está en marcha.