Cómo el compliance exime a la empresa: requisitos del Art. 31 bis 2 CP

Que una empresa pueda ser condenada penalmente no significa que esté indefensa. El artículo 31 bis del Código Penal ofrece a la persona jurídica una vía para quedar exenta de responsabilidad cuando se ha cometido un delito en su seno: acreditar que tenía implantado y operativo un programa de prevención eficaz. No basta con invocarlo. La exención está sujeta a requisitos estrictos y acumulativos, y este artículo explica cuáles son, cómo se distinguen de la mera atenuación y cómo se construye la defensa de la empresa en torno a ellos. Para una visión general del régimen de imputación —las dos vías del Art. 31 bis y el catálogo de delitos— remitimos al análisis sobre la responsabilidad penal de la persona jurídica; aquí nos centramos en los requisitos de la exención.

Los Cuatro Requisitos Acumulativos del Art. 31 bis 2 CP

Cuando el delito lo comete un representante, administrador o persona con facultades de decisión (la llamada "vía a"), la persona jurídica queda exenta solo si concurren las cuatro condiciones del Art. 31 bis 2 CP a la vez. La ausencia de una sola impide la exención plena:

• Modelo previo y eficaz. El órgano de administración debe haber adoptado y ejecutado con eficacia, antes de la comisión del delito, un modelo de organización y gestión con medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o reducir significativamente su riesgo. La anterioridad es inderogable: un modelo implantado tras la notitia criminis no exime.
• Supervisión por un órgano autónomo. El funcionamiento y cumplimiento del modelo debe confiarse a un órgano con poderes autónomos de iniciativa y control —el Compliance Officer o comité de cumplimiento—, o al órgano que legalmente tenga encomendada la función de supervisar los controles internos.
• Elusión fraudulenta del autor. Los autores individuales deben haber cometido el delito eludiendo fraudulentamente el modelo de prevención. El reproche se desplaza así de la organización a la desviación individual.
• Ausencia de omisión de supervisión. No debe haberse producido una omisión ni un ejercicio insuficiente de las funciones de supervisión, vigilancia y control por parte del órgano de cumplimiento.

Qué Debe Contener el Modelo: el Art. 31 bis 5 CP

La eficacia del modelo no es un concepto abstracto. El Art. 31 bis 5 CP enumera los seis requisitos de contenido que todo programa debe reunir para poder fundar la exención:

1. Mapa de riesgos penales: identificar las actividades en cuyo ámbito puedan cometerse los delitos que deben prevenirse.
2. Protocolos y procedimientos que concreten cómo se forma la voluntad de la entidad y cómo se adoptan y ejecutan las decisiones en las áreas de riesgo.
3. Modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos identificados.
4. Obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar el modelo (el canal de denuncias).
5. Sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas del modelo.
6. Verificación periódica del modelo y su modificación cuando se revelen infracciones relevantes o cambien la organización, la estructura de control o la actividad.

La jurisprudencia consolidada del Tribunal Supremo ha insistido en que estos requisitos se valoran por su implantación real, no por la existencia del documento. Como referencia técnica de eficacia, los tribunales atienden a estándares reconocidos como la UNE 19601 o la ISO 37301, sin que su certificación garantice por sí sola la exención.

La Elusión Fraudulenta: la Pieza Decisiva

De los cuatro requisitos, la elusión fraudulenta es la que con frecuencia decide el caso. La ley distingue dos escenarios opuestos:

• El delito se cometió contra el modelo: el autor sorteó controles que funcionaban, ocultó información o falseó documentos para burlar el sistema. Aquí el fallo es individual, no organizativo, y la exención puede prosperar.
• El delito se cometió al amparo de un hueco del modelo: el programa no contemplaba el riesgo, el control no operaba o el procedimiento era ficticio. Entonces el defecto de organización persiste y no hay exención.

Acreditar que la conducta fue una desviación deliberada y oculta —y no el resultado previsible de un programa débil— es uno de los ejes de la defensa de la empresa.

Cuando el Delito lo Comete la Alta Dirección (Art. 31 bis 4 CP)

El régimen se modula según quién sea el autor. Si el delito lo comete un subordinado por defecto de control (la "vía b" del Art. 31 bis 1.b), el Art. 31 bis 4 CP condiciona la exención a que, antes del delito, la empresa hubiera adoptado y ejecutado eficazmente un modelo adecuado para prevenir delitos de esa naturaleza o reducir su riesgo de forma significativa.

Cuando el autor es un representante o alto directivo (la "vía a"), la exención exige acreditar además que el órgano de supervisión tenía capacidad real de controlar a quien cometió el delito, lo que es notoriamente más exigente. En las personas jurídicas de pequeñas dimensiones —las autorizadas a presentar cuenta de pérdidas y ganancias abreviada—, las funciones de supervisión pueden asumirse directamente por el órgano de administración, lo que adapta el modelo a su tamaño sin renunciar a su eficacia.

La Carga de la Prueba: un Equilibrio que Conviene Conocer

¿A quién corresponde demostrar que el modelo funcionaba? La doctrina reciente del Tribunal Supremo, afianzada a lo largo de 2025, viene exigiendo a la acusación que acredite el defecto de organización como elemento del delito de la persona jurídica: la empresa no parte de una presunción de culpabilidad que deba desmontar. Esto reequilibra el punto de partida, pero no exime de defenderse. La evidencia de que el programa estaba implantado y operaba (actas del órgano de supervisión, formaciones, registros del canal de denuncias, sanciones internas) está en manos de la empresa, y es precisamente lo que genera la duda razonable que debe resolverse a su favor. Hemos analizado este giro con detalle en un artículo específico sobre la carga de la prueba del compliance.

Si la Exención No Procede: la Atenuación

La exención es la meta, pero no la única defensa. El propio Art. 31 bis 2 CP dispone que, cuando las circunstancias de la exención solo puedan acreditarse parcialmente, esa circunstancia se valore a efectos de atenuar la pena. Y con independencia de ello, el Art. 31 quater CP recoge atenuantes específicas de la persona jurídica:

• Confesión de la infracción antes de conocer que el procedimiento se dirige contra ella.
• Colaboración en la investigación aportando pruebas nuevas y decisivas.
• Reparación o disminución del daño causado.
• Implantación de medidas eficaces para prevenir y descubrir delitos futuros.

Bien articuladas, estas atenuantes pueden rebajar la pena en uno o dos grados, lo que en delitos graves marca la diferencia entre una multa asumible y consecuencias que comprometen la viabilidad de la sociedad.

La Defensa de la Empresa: Qué Hacemos

Cuando la persona jurídica es citada como investigada, el trabajo se organiza en torno a la prueba de los requisitos de exención:

1. Captura documental con fecha cierta del modelo vigente al tiempo del hecho, para fijar su anterioridad frente a cualquier discusión posterior.
2. Auditoría forense del modelo: revisión de actas del comité de cumplimiento, formaciones impartidas, denuncias recibidas y tramitadas, evaluaciones de riesgo y controles aplicados al área concreta donde se produjo el delito.
3. Prueba de la autonomía real del órgano de supervisión: presupuesto propio, reporte directo al consejo y precedentes de aplicación del modelo.
4. Acreditación de la elusión fraudulenta: reconstruir cómo el autor burló controles que funcionaban.
5. Designación cuidadosa del representante específico de la persona jurídica, que no puede ser quien resulte coinvestigado por los mismos hechos.

Trabajamos para que el modelo de prevención de su empresa resista el escrutinio judicial y para preparar la defensa de la persona jurídica cuando la investigación ya está en marcha. Puede ampliar información sobre nuestro enfoque en la página de extinción de responsabilidad por compliance efectivo.