CSRD: Impacto en Auditoría Penal de Multinacionales

La Directiva 2022/2464/UE (CSRD) ha equiparado el régimen jurídico de la información de sostenibilidad al de las cuentas anuales tradicionales. Esto significa que la auditoría externa ya no es opcional, las sanciones administrativas alcanzan importes millonarios y el riesgo penal de administradores y auditores se ha multiplicado. Como despacho penalista especializado en derecho penal económico, analizamos el impacto real de la CSRD en la auditoría penal corporativa.

La Transposición de la Directiva CSRD

España transpuso parcialmente la CSRD mediante el Real Decreto-Ley 9/2024, modificando el Código de Comercio y la Ley de Sociedades de Capital. El despliegue temporal sigue un calendario por fases:

• 2024: Grandes empresas de interés público con más de 500 empleados
• 2025: Resto de grandes empresas (más de 250 empleados, 50M€ facturación o 25M€ balance)
• 2026: PYMES cotizadas (con régimen simplificado)
• 2028: Filiales y sucursales de matrices extracomunitarias con actividad relevante en la UE

La obligación se concreta en publicar un informe de sostenibilidad integrado en el informe de gestión, redactado conforme a los Estándares Europeos de Reporte de Sostenibilidad (ESRS) aprobados por la Comisión. El informe debe abordar las tres dimensiones (ambiental, social y gobernanza) con métricas cuantitativas verificables.

Sanciones por Incumplimiento

El régimen sancionador es severo y opera en tres niveles. En el plano administrativo, el ICAC y la CNMV pueden imponer:

• Multas de hasta el 5% del volumen de negocio anual consolidado por infracciones muy graves
• Inhabilitación temporal de administradores para el ejercicio del cargo
• Publicación de la sanción en el BOE y en la web de la CNMV
• Suspensión de la cotización en mercados regulados en supuestos extremos

En el plano civil, los accionistas y bonistas pueden ejercitar acciones de responsabilidad contra los administradores por las pérdidas derivadas de la información engañosa. Y en el plano penal, la información no financiera falsa puede integrar tres tipos delictivos diferentes según el contexto y la intención.

Falsedad en Información No Financiera como Delito

La información no financiera publicada conforme a la CSRD entra de lleno en el ámbito de protección de varios tipos penales:

1. Artículo 290 CP (falsedad en cuentas anuales): Cuando los administradores falsean la información que la sociedad debe reflejar en documentos que reproduzcan la imagen fiel de la entidad. Pena de 1 a 3 años de prisión y multa, agravada cuando se causa perjuicio efectivo.
2. Artículo 282 bis CP (estafa de inversores): Cuando se falsean datos relevantes sobre la situación de la sociedad para captar inversión, financiación o emisiones. Pena de 1 a 4 años de prisión, agravable hasta 6 años.
3. Artículo 392 CP (falsedad documental): Subsidiaria, aplicable cuando la falsedad afecta a documentos mercantiles depositados en registros públicos.

La jurisprudencia del Tribunal Supremo viene exigiendo tres requisitos: (1) la información falseada debe ser idónea para inducir a error, (2) debe existir dolo de causar perjuicio y (3) el perjuicio debe ser económicamente evaluable. La defensa penal se construye precisamente sobre la negación o relativización de cualquiera de estos tres elementos.

Auditoría Externa y Cadena de Custodia Documental

La CSRD introduce un cambio crítico: la información de sostenibilidad debe someterse a verificación externa independiente. Inicialmente la verificación se hará con un nivel de seguridad limitado (limited assurance), pero a partir de 2028 la Comisión exigirá nivel razonable (reasonable assurance), equivalente al de las cuentas anuales.

Esto convierte al auditor de sostenibilidad en sujeto activo de potencial responsabilidad penal, en los mismos términos que el auditor financiero. Los riesgos típicos son:

• Emisión de informes con reservas insuficientes ante datos manifiestamente erróneos
• Aceptación de evidencia documental inadecuada para sustentar afirmaciones críticas
• Conflicto de intereses no declarado con la sociedad auditada
• Encubrimiento de irregularidades detectadas durante el trabajo de campo

La cadena de custodia documental es el elemento más sensible. Las empresas deben conservar, durante al menos seis años, toda la documentación soporte de cada métrica publicada: facturas de consumo energético, registros de horas trabajadas, certificados de proveedores, etiquetados de productos, etc. Cualquier ruptura o manipulación de esa cadena puede integrar el tipo de la falsedad documental e incluso de la obstrucción a la justicia (Art. 463 CP).

Riesgo Penal para Administradores

Los administradores y consejeros de las multinacionales sujetas a CSRD asumen un riesgo penal directo que excede al de cualquier obligación informativa anterior. Las áreas de mayor exposición son:

• Doble materialidad mal aplicada: Omisión deliberada de impactos negativos que la sociedad genera sobre el entorno o las personas
• Datos de la cadena de valor: Información sobre proveedores y subcontratistas que se publica sin la verificación adecuada
• Métricas de transición climática: Compromisos públicos de neutralidad de carbono cuyo soporte técnico es inexistente
• Indicadores sociales: Brecha salarial, diversidad y accidentalidad presentados con metodologías sesgadas

La defensa preventiva pasa por: (1) delegación documentada de las funciones de captura y consolidación de datos ESG en directivos específicos con poder y medios suficientes, (2) certificaciones internas en cascada que dejen trazabilidad de quién valida cada cifra, (3) actas detalladas del consejo que reflejen el debate sobre la información a publicar y (4) programa de compliance penal con módulo CSRD específico.

Cuando la investigación ya está abierta, intervenir con un equipo jurídico especializado en las primeras 48 horas resulta determinante para preservar la documentación, organizar la pericial y diseñar la línea de defensa coordinada con la pericial técnica contable.