Quién debe probar que el compliance funciona: el Supremo frente a la Fiscalía

Desde que la reforma de 2010 abrió la puerta a la responsabilidad penal de la persona jurídica, una pregunta ha sobrevolado cada caso: si una empresa puede quedar exenta por tener un programa de prevención eficaz, ¿quién debe probar que ese programa funcionaba? ¿La propia empresa, que lo invoca para exculparse, o la acusación, que sostiene que la organización falló? La respuesta no es un tecnicismo procesal: marca quién soporta el riesgo de la duda y, en la práctica, condiciona la estrategia de defensa de cualquier compañía investigada. Desde 2016, el Tribunal Supremo se ha decantado en un sentido determinado, distinto del que sostiene la Fiscalía, y conviene entender qué significa para las empresas con y sin programa.

El Debate: Carga de la Prueba y Art. 31 bis CP

El artículo 31 bis del Código Penal diseña la responsabilidad de la empresa sobre la idea de defecto de organización: la persona jurídica responde, en esencia, porque no se dotó de las medidas de vigilancia y control idóneas para prevenir el delito. El mismo precepto establece que la empresa quedará exenta si, antes de la comisión del delito, había adoptado y ejecutado eficazmente un modelo de organización y gestión adecuado (y, si el autor fue un directivo, concurren las demás condiciones del art. 31 bis 2).

De esa estructura nace el debate. Caben dos lecturas:

• Lectura A — el compliance como excusa absolutoria que la empresa debe probar: el delito se entiende acreditado con la conducta de la persona física en beneficio de la entidad, y corresponde a la empresa, si quiere exculparse, demostrar que su programa era eficaz. En esta lógica, la duda perjudica a la empresa.
• Lectura B — el defecto de organización como elemento del tipo que la acusación debe probar: la ineficacia o inexistencia del modelo de prevención forma parte de aquello que define el delito de la persona jurídica. Si es un elemento del tipo, debe probarlo quien acusa, y la duda beneficia a la empresa.

La diferencia es enorme. En la primera lectura, una empresa sin pruebas claras de su programa parte en desventaja. En la segunda, el peso recae sobre la acusación, que debe acreditar el fallo organizativo más allá de toda duda razonable, como cualquier otro elemento del delito.

La Posición del Tribunal Supremo y la de la Fiscalía

La Fiscalía General del Estado, en su Circular 1/2016, adoptó la primera lectura: a la persona jurídica le corresponde acreditar que su modelo cumple los requisitos legales, y a la acusación, que el delito se cometió en las circunstancias del art. 31 bis 1. El Tribunal Supremo, en una sentencia de marzo de 2016, se inclinó por la segunda lectura: el defecto de organización es un elemento del delito de la persona jurídica y su acreditación corresponde a la acusación.

En términos prácticos, esto se traduce en varias ideas que la defensa puede hacer valer:

• No existe una presunción de culpabilidad de la empresa por el solo hecho de que un directivo o empleado cometiera un delito en su beneficio.
• La acusación debe probar de forma positiva que el modelo de prevención no existía o que, existiendo, era ineficaz para prevenir delitos de esa naturaleza.
• La presunción de inocencia ampara plenamente a la persona jurídica: la duda razonable sobre la idoneidad del programa debe resolverse a su favor.

La Distinción Clave: Carga Formal y Carga Material

Conviene no confundir dos planos. Una cosa es sobre quién pesa formalmente la carga de la prueba —y el Tribunal Supremo la sitúa en la acusación— y otra es quién está en mejores condiciones de aportar la prueba. La evidencia de que un programa funciona (actas, registros, formaciones, métricas del canal de denuncias) está, por su propia naturaleza, en manos de la empresa.

De ahí una conclusión que matiza el alcance de esa doctrina: la empresa que se cruza de brazos confiando en que "la acusación tiene que probarlo todo" comete un error. Si la acusación aporta indicios de un defecto organizativo —un canal de denuncias que nunca recibió ni tramitó nada pese a evidencias de irregularidades, formaciones inexistentes, un órgano de supervisión sin medios— y la empresa no opone su propia evidencia de implantación efectiva, el resultado puede ser igual de adverso. Esa doctrina reequilibra el punto de partida; no exime de defenderse activamente.

Qué Implica para Empresas Sin Programa de Prevención

Para una organización que carece de compliance, la doctrina del Tribunal Supremo ofrece un alivio más teórico que real. Es cierto que la acusación deberá acreditar el defecto de organización; pero la ausencia misma de un modelo de prevención es la forma más directa de probar ese defecto. Sin programa no hay nada que oponer, ni evidencia que generar, ni exención que reclamar.

El resultado es que estas empresas siguen siendo el blanco más vulnerable. La defensa tendrá que apoyarse en otros frentes —discutir que el delito se cometiera realmente en beneficio de la entidad, cuestionar la atribución de la conducta, o buscar la atenuación por colaboración y reparación del daño tras los hechos—, pero pierde la herramienta más potente del sistema: la exención del artículo 31 bis CP.

Qué Implica para Empresas Con Programa

Para la empresa que sí cuenta con un programa, la doctrina del Tribunal Supremo refuerza una posición de partida favorable, siempre que el compliance no sea de cartón. Las claves para aprovecharla:

1. Evidencia, no documentos. La ley exige que el modelo se haya ejecutado con eficacia, de modo que el compliance puramente formal no exime. Lo decisivo no es el manual, sino el rastro de su aplicación: actas del órgano de supervisión, formaciones efectivamente impartidas, denuncias tramitadas, sanciones internas impuestas, revisiones del mapa de riesgos.
2. Trazabilidad temporal. El modelo debe acreditarse vigente y operativo antes de los hechos. Las mejoras adoptadas después sirven para atenuar si se implantan antes del juicio oral (art. 31 quater d), pero no para acreditar la exención previa.
3. Autonomía del órgano de supervisión. La eficacia se mide también por la independencia y los medios reales del Compliance Officer o del órgano encargado de vigilar el programa.
4. La desviación individual. La defensa más sólida es demostrar que el delito fue una conducta cometida contra el programa, eludiendo controles que funcionaban, y no amparada por un sistema inexistente.

Qué Hacer Ahora

Esa doctrina es una oportunidad para las empresas que se lo toman en serio y una advertencia para las que no. Recomendamos:

• Auditar la implantación real del programa: no basta con que exista, debe poder demostrarse que opera.
• Ordenar y conservar la evidencia que acredita su funcionamiento, de modo que pueda aportarse con rapidez si llega una investigación.
• Revisar el mapa de riesgos y actualizarlo cuando cambien la actividad, la organización o la normativa.
• Reforzar la autonomía y los medios del órgano de supervisión, pieza que exige el art. 31 bis 2 CP y que se examina con detalle.

Como abogados penalistas especializados en compliance y responsabilidad de la empresa, ayudamos a diseñar programas que resistan el escrutinio judicial y a preparar la defensa de la persona jurídica cuando la investigación ya está en marcha.