Abogados para Compliance ESG con Vertiente Penal

ESG y Responsabilidad Penal: La Nueva Frontera del Compliance

La intersección entre ESG (Environmental, Social, Governance) y derecho penal es la gran frontera del compliance corporativo a partir de 2026. La Directiva CSDDD (UE 2024/1760) impone a las empresas grandes la obligación de due diligence en derechos humanos y medio ambiente a lo largo de toda su cadena de valor, incluyendo proveedores y filiales. El incumplimiento sistemático puede activar tanto sanciones administrativas como responsabilidad penal cuando se materializan delitos contra trabajadores, medio ambiente, urbanismo o flora y fauna (la de la propia empresa, solo en los que la prevén, como los medioambientales y urbanísticos).

Directiva CSDDD: Due Diligence en Cadena de Valor

Tras su reforma por la Directiva (UE) 2026/470, la CSDDD se aplica a las empresas de la UE con al menos 5.000 empleados y 1.500 M€ de volumen de negocios mundial neto, que deben (1) identificar y evaluar impactos adversos en derechos humanos y medio ambiente; (2) prevenir y mitigar riesgos en su propia operativa y en la cadena de valor; (3) establecer canal de quejas accesible a terceros afectados; (4) reportar públicamente el desempeño anual. El tope máximo de las multas es el 3% del volumen de negocios mundial neto. Los Estados deben transponerla antes del 26 de julio de 2028 y aplicarla desde el 26 de julio de 2029, fechas clave para la planificación del compliance.

Tipologías Penales Asociadas a Riesgos ESG

• Delitos contra los derechos de los trabajadores (Arts. 311-318 CP): Imposición de condiciones laborales ilegales, tráfico de mano de obra, empleo de extranjeros sin permiso. Frecuente en sectores agrícola, hostelero y construcción.
• Delitos medioambientales (Arts. 325-331 CP): Emisiones, vertidos, residuos peligrosos, extracción ilegal de recursos.
• Delitos urbanísticos (Art. 319 CP): Construcción en suelo no urbanizable o protegido.
• Delitos contra fauna y flora (Arts. 332-336 CP) y maltrato animal (Art. 340 bis CP): Tráfico de especies protegidas, caza y pesca ilegal, maltrato animal industrial.
• Delito publicitario (Art. 282 CP): Greenwashing con publicidad falsa o engañosa sobre características ESG.
• Falseamiento de cuentas (Art. 290 CP): Inclusión de métricas ESG falsas en informes integrados o cuentas anuales.

Greenwashing y Falsedad en Reporting ESG

La publicidad de credenciales ESG no contrastadas (emisiones netas cero, neutralidad de carbono sin compensación real, certificaciones inexistentes) constituye delito publicitario del Art. 282 CP cuando puede causar un perjuicio grave y manifiesto a los consumidores. Si el reporting ESG forma parte de las cuentas anuales o estados de información no financiera (EINF) y se incluyen métricas falsas idóneas para causar un perjuicio económico, puede concurrir el delito de falseamiento del Art. 290 CP, que no genera responsabilidad penal de la empresa.

Integración del ESG en el Modelo del Art. 31 bis CP

El modelo de prevención del Art. 31 bis CP debe ampliarse para incluir controles específicos ESG: mapa de riesgos por país de operación, due diligence reforzada en proveedores de alto riesgo (textil, minería, agricultura), canal de denuncias accesible a stakeholders externos, formación específica al equipo de sostenibilidad y procurement, y testing periódico con auditoría externa. Solo así puede invocarse la exención del 31 bis cuando se materialice en la cadena de suministro un delito de los que generan responsabilidad de la persona jurídica (medioambientales, urbanísticos, publicidad engañosa, corrupción o trata, entre otros). No la generan los delitos contra los trabajadores (Arts. 311-317 CP), en los que responden los administradores o encargados y caben las consecuencias del Art. 129 (Art. 318), ni el falseamiento de cuentas del Art. 290.

Los seis requisitos del modelo idóneo aplicados al riesgo ESG (Art. 31 bis 5 CP)

Para que un modelo de organización y gestión despliegue eficacia eximente de la responsabilidad penal de la persona jurídica (si solo se acredita en parte, atenúa), el Art. 31 bis 5 CP exige seis requisitos acumulativos que deben proyectarse sobre los riesgos ambientales, sociales y de gobernanza. El primero es la identificación de las actividades en cuyo ámbito puedan cometerse los delitos a prevenir: en clave ESG, ello obliga a mapear los procesos con exposición a delitos contra el medio ambiente, contra los derechos de los trabajadores, de corrupción y los derivados de la cadena de suministro. El mapa de riesgos no es un documento estático, sino la base técnica sobre la que se construye todo el modelo.

Los requisitos restantes encadenan ese diagnóstico con medidas verificables. Han de establecerse protocolos que concreten la formación de la voluntad de la entidad y la toma de decisiones; modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos; un canal que permita informar de riesgos e incumplimientos al órgano de supervisión; un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas; y una verificación periódica del propio modelo, con su modificación cuando se revelen infracciones relevantes o cambien la organización o la actividad. Un modelo que no se traduzca en formación efectiva, régimen disciplinario aplicado y comunicación interna coherente corre el riesgo de quedar reducido a un programa meramente documental, sin la idoneidad que el precepto reclama.

La traslación de estos requisitos al ámbito ESG exige rigor técnico. No basta con una declaración de principios sostenibles: el modelo debe contener controles concretos sobre vertidos y residuos, sobre la contratación con proveedores en jurisdicciones de riesgo, sobre regalos y atenciones a empleados públicos, y sobre la subcontratación de mano de obra. La eficacia se mide por la trazabilidad de cada control y por la capacidad de la organización para detectar, escalar y corregir las desviaciones antes de que cristalicen en un hecho delictivo.

El órgano de supervisión autónomo y la diligencia debida en la cadena de suministro

El Art. 31 bis 2 CP condiciona la exención, cuando el delito lo cometen administradores o representantes, a que la supervisión, vigilancia y control del modelo se haya confiado a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control. Esta es la pieza institucional del compliance: el habitualmente denominado órgano de cumplimiento o compliance officer. Su autonomía no es nominal; requiere reporte directo al máximo órgano de administración, acceso sin filtros a la información, dotación de medios y la imposibilidad de que su criterio sea neutralizado por quienes gestionan las áreas vigiladas. En entidades de menor dimensión, el Art. 31 bis permite que las funciones de supervisión las asuma el propio órgano de administración.

En materia ESG, este órgano canaliza la diligencia debida sobre la cadena de suministro. La supervisión no se agota en las fronteras de la sociedad: alcanza a la selección de proveedores, a las cláusulas contractuales de cumplimiento, a las auditorías de segundo y tercer nivel y a la reacción ante alertas de trabajo forzoso, daño ambiental o corrupción en eslabones externos. La omisión de esta diligencia es relevante porque la persona jurídica también responde, conforme al Art. 31 bis 1 b) CP, de los delitos del catálogo cometidos por subordinados cuando ha existido un incumplimiento grave de los deberes de supervisión, vigilancia y control atendidas las circunstancias del caso.

La idoneidad del órgano se evalúa por su funcionamiento real, no por su organigrama. Un compliance officer sin presupuesto, sin acceso a las decisiones de compra o sin capacidad de paralizar operaciones de riesgo difícilmente acreditará la autonomía que el precepto exige. Por ello la documentación de su actividad —actas, investigaciones, recomendaciones y su seguimiento— constituye un elemento probatorio central cuando la entidad invoca la eficacia del modelo.

Carga de la prueba de la exención y estatuto procesal de la persona jurídica investigada

La responsabilidad penal de la persona jurídica es autónoma de la de la persona física. El Art. 31 ter CP permite que la entidad responda aunque la concreta persona física autora no haya sido individualizada o no haya podido dirigirse contra ella el procedimiento, y aunque a esa persona se le aprecie una circunstancia que afecte a su culpabilidad. De ahí que la defensa de la sociedad no pueda apoyarse únicamente en la suerte procesal del individuo: ha de articularse en torno a la existencia y eficacia de su propio modelo de organización y gestión adoptado y ejecutado con anterioridad a la comisión del delito.

Cuando la entidad es investigada, adquiere un estatuto procesal propio y plenas garantías de defensa. Le asisten el derecho a no declarar contra sí misma, a no confesarse culpable, a la asistencia letrada y a proponer prueba, y es requerida para designar un representante específico para el proceso penal, que no puede ser quien haya de declarar como testigo en el juicio y conviene que no tenga intereses contrapuestos con los de la sociedad. La acreditación de la idoneidad del modelo y de su efectiva implantación se sostiene sobre la prueba que la propia entidad aporte: el mapa de riesgos, las evidencias de formación, los registros del canal, las resoluciones disciplinarias y los informes de verificación periódica.

La conformidad de la persona jurídica es posible y se rige por su propio régimen, sin que dependa de la conformidad o no de las personas físicas coacusadas. Conviene insistir en que estamos ante un sistema de responsabilidad corporativa: no procede trasladar aquí un esquema de penas concebido para un delito de persona física (y el plazo de prescripción que le corresponde es una cuestión discutida), porque la entidad responde conforme a su propio régimen sancionador y a sus propias reglas de imputación.

Penas del Art. 33.7, Ley 2/2023 y sucesión empresarial (Art. 130.2 CP)

Las consecuencias para la persona jurídica son específicas y se recogen en el Art. 33.7 CP: multa por cuotas o proporcional, disolución de la entidad, suspensión de sus actividades, clausura de locales y establecimientos, prohibición de realizar en el futuro las actividades en cuyo ejercicio se haya cometido el delito, inhabilitación para obtener subvenciones y ayudas públicas, contratar con el sector público o gozar de beneficios e incentivos fiscales o de la Seguridad Social, e intervención judicial para salvaguardar los derechos de trabajadores y acreedores. La gravedad de algunas de estas penas explica por qué un modelo de cumplimiento eficaz, que pueda eximir o atenuar conforme al Art. 31 bis y al Art. 31 quater CP, es una herramienta de gestión del riesgo y no un mero trámite formal.

El pilar social del compliance ESG se entrelaza con la Ley 2/2023, de 20 de febrero, que obliga a numerosas organizaciones a implantar un sistema interno de información y protege frente a represalias a quienes informen de infracciones. Ese canal interno satisface al mismo tiempo una exigencia del Art. 31 bis 5 CP —el deber de informar de riesgos e incumplimientos al órgano de supervisión— y una obligación legal autónoma. Un canal seguro, confidencial y con seguimiento documentado de las comunicaciones refuerza la idoneidad del modelo y aporta evidencias decisivas si la entidad llega a ser investigada.

Finalmente, el Art. 130.2 CP impide que la responsabilidad penal se extinga por la transformación, fusión, absorción o escisión de la persona jurídica: la responsabilidad se traslada a la entidad o entidades resultantes. Esto convierte la diligencia debida en compliance penal en un punto crítico de cualquier operación de M&A, pues la entidad absorbente o resultante hereda las contingencias penales preexistentes (y en una compra de acciones la sociedad adquirida conserva las suyas). Una revisión de cumplimiento previa a la operación, que examine el modelo de la sociedad objetivo y sus riesgos ESG latentes, es la vía para identificar y gestionar esa transmisión de responsabilidad antes del cierre.