Desde 2010, una empresa española puede ser condenada penalmente —con multas millonarias, prohibición de contratar con la Administración o incluso su disolución— por delitos cometidos por sus administradores o empleados. Es una de las reformas más relevantes del derecho penal económico de las últimas décadas, y muchas empresas siguen sin tener claro cuándo responden y qué pueden hacer para evitarlo.
El origen: la Ley Orgánica 5/2010
La responsabilidad penal de las personas jurídicas se introdujo en España mediante la Ley Orgánica 5/2010, de 22 de junio, que incorporó el art. 31 bis del Código Penal. El sistema de exención por programas de cumplimiento normativo (compliance) que hoy conocemos se configuró en su redacción actual con la Ley Orgánica 1/2015, de 30 de marzo.
Antes de 2010, el principio societas delinquere non potest —la sociedad no puede delinquir— regía el sistema penal español: solo las personas físicas podían ser responsables penalmente, y la empresa quedaba, a lo sumo, sujeta a consecuencias accesorias o a la responsabilidad civil derivada del delito. La reforma de 2010 rompió con esa tradición y situó a España dentro de la corriente de países de nuestro entorno que ya reconocían una responsabilidad penal autónoma de las personas jurídicas. Desde entonces, y de manera más precisa desde la reforma de 2015, una empresa deja de ser un mero instrumento a través del cual delinquen las personas físicas para convertirse en un sujeto que puede, ella misma, ser investigada, acusada y condenada penalmente, con todas las garantías procesales que ello exige.
Los dos caminos por los que una empresa puede responder
El art. 31 bis.1 CP prevé dos supuestos:
- Letra a): delitos cometidos en nombre o por cuenta de la empresa, y en su beneficio directo o indirecto, por sus representantes legales o por quienes, actuando individualmente o como integrantes de un órgano de la empresa, están autorizados para tomar decisiones en su nombre u ostentan facultades de organización y control (administradores de hecho o de derecho).
- Letra b): delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en beneficio de la empresa, por empleados sometidos a la autoridad de los anteriores, cuando estos hayan incumplido gravemente sus deberes de supervisión, vigilancia y control.
Esta distinción entre la letra a) y la letra b) no es meramente técnica: tiene consecuencias directas sobre qué debe hacer una empresa para protegerse. Frente a los delitos de administradores y representantes legales, el nivel de exigencia para eximir de responsabilidad a la empresa es más alto —se requieren las cuatro condiciones acumulativas del apartado 2 del art. 31 bis—, precisamente porque quienes ostentan el poder de dirección tienen, en principio, mayor capacidad de controlar el cumplimiento normativo dentro de la organización. Frente a los delitos de empleados, el legislador flexibiliza el estándar en el apartado 4, exigiendo únicamente que el modelo de organización fuera adecuado y estuviera en funcionamiento eficaz antes del hecho, sin necesidad de acreditar las cuatro condiciones completas.
El compliance como escudo: la eximente del apartado 2
La empresa queda exenta de responsabilidad (para los delitos de la letra a) si concurren cuatro condiciones acumulativas: que el órgano de administración adoptara y ejecutara con eficacia, antes de la comisión del delito, un modelo de organización y gestión con medidas de vigilancia idóneas; que la supervisión de ese modelo se confiara a un órgano de cumplimiento con poderes autónomos de iniciativa y control; que los autores individuales cometieran el delito eludiendo fraudulentamente esos modelos de prevención; y que no hubiera omisión o ejercicio insuficiente de las funciones de supervisión por parte del órgano de cumplimiento.
Un matiz importante: si estas condiciones solo pueden acreditarse parcialmente, esa acreditación parcial no da la exención completa, pero sí se valora como atenuante de la pena. Para los delitos de empleados (letra b), el art. 31 bis.4 CP exige un estándar algo menos exigente: basta con que la empresa haya adoptado y ejecutado eficazmente un modelo de organización adecuado antes del delito, sin necesidad de acreditar las cuatro condiciones completas.
El apartado 5 del art. 31 bis fija los seis requisitos mínimos que debe cumplir cualquier programa de compliance penal: identificar las actividades de riesgo, establecer protocolos de formación de la voluntad social, disponer de una gestión de recursos financieros que impida la comisión de delitos, imponer la obligación de informar de riesgos e incumplimientos, establecer un sistema disciplinario, y realizar una verificación periódica del modelo.
Los seis requisitos de un programa de compliance eficaz
Conviene detenerse en cada uno de estos seis elementos, porque de su concurrencia efectiva —no solo de su existencia formal en un manual— depende que el compliance opere realmente como eximente o, al menos, como atenuante de la responsabilidad penal de la empresa:
- Un mapa de riesgos penales adaptado a la actividad concreta de la empresa, no una plantilla genérica.
- Protocolos claros de formación de la voluntad y toma de decisiones dentro de la organización.
- Un modelo de gestión de los recursos financieros adecuado para evitar la comisión de delitos.
- Un canal de denuncias interno —obligatorio, desde la Ley 2/2023, para empresas de 50 o más trabajadores—, que protege al informante frente a represalias.
- Un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas del modelo.
- Una verificación periódica del propio modelo, con modificación cuando se detecten infracciones relevantes o cambios significativos en la organización.
La clave, en la práctica, no es tener estos seis elementos redactados en un manual archivado en un cajón, sino que estén realmente implantados y operativos en el día a día de la empresa. Los tribunales distinguen con claridad entre un compliance "de papel", diseñado únicamente para su exhibición ante una eventual inspección o investigación, y un compliance que efectivamente condiciona cómo se toman las decisiones, cómo se gestionan los riesgos y cómo se sanciona internamente el incumplimiento. Esa distinción es la que, en última instancia, determina si el modelo puede sostener una eximente completa o si, por el contrario, solo alcanza a operar como atenuante — o no sirve de nada.
Las atenuantes específicas del art. 31 quater CP
Aunque la empresa no logre acreditar la eximente completa, el art. 31 quater CP recoge circunstancias atenuantes propias de la responsabilidad penal de las personas jurídicas, aplicables con independencia de las atenuantes generales del Código Penal:
- Haber procedido, antes de conocer que el procedimiento judicial se dirige contra ella, a confesar la infracción a las autoridades.
- Haber colaborado en la investigación del hecho aportando pruebas nuevas y decisivas.
- Haber procedido, en cualquier momento del procedimiento y con anterioridad al juicio oral, a reparar o disminuir el daño causado por el delito.
- Haber establecido, antes del juicio oral, medidas eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica — el llamado compliance sobrevenido.
Estas cuatro atenuantes comparten una misma lógica: premian la colaboración activa y la reacción diligente de la empresa una vez conocida la existencia de un ilícito, frente a la pasividad o el ocultamiento. Desde el punto de vista de la defensa penal de la persona jurídica, identificar cuál o cuáles de estas circunstancias pueden concurrir en un caso concreto —y acreditarlas adecuadamente ante el juzgado— resulta a menudo decisivo para el resultado final del procedimiento, incluso cuando la eximente completa del art. 31 bis.2 CP no puede alcanzarse.
El catálogo completo de penas del art. 33.7 CP para personas jurídicas
El art. 33.7 CP establece un catálogo de siete penas aplicables a las personas jurídicas condenadas, de gravedad muy distinta según el caso:
- Multa, por cuotas o proporcional.
- Disolución de la persona jurídica.
- Suspensión de sus actividades.
- Clausura de sus locales y establecimientos.
- Prohibición de realizar en el futuro las actividades en cuyo ejercicio se haya cometido, favorecido o encubierto el delito.
- Inhabilitación para obtener subvenciones y ayudas públicas, para contratar con el sector público y para gozar de beneficios e incentivos fiscales o de la Seguridad Social.
- Intervención judicial de la empresa para salvaguardar los derechos de los trabajadores o de los acreedores.
No todas estas penas tienen la misma gravedad ni se aplican con la misma frecuencia. La disolución de la persona jurídica es, con diferencia, la más severa —equivale, en la práctica, a la "pena de muerte" de la empresa— y el Código Penal la reserva para los supuestos más graves, cuando la persona jurídica se utiliza instrumentalmente para la comisión de delitos. La multa, en cambio, es la pena que con más frecuencia se impone en la práctica judicial, junto con las penas de inhabilitación para contratar con el sector público o para obtener subvenciones, que pueden resultar especialmente gravosas para empresas cuya actividad depende en buena medida de la contratación o la financiación pública.
La primera condena real: el caso del Tribunal Supremo
La STS 154/2016, de 29 de febrero, dictada por el Pleno de la Sala Segunda, fue la primera sentencia de condena del Tribunal Supremo aplicando el art. 31 bis CP: un caso de tráfico de más de 6.000 kilos de cocaína ocultos en maquinaria transportada entre España y Venezuela, con condena a tres empresas. La sentencia fijó el criterio central que sigue rigiendo hoy: la responsabilidad de la empresa exige acreditar que el delito fue posible o facilitado por la ausencia de una "cultura de respeto al Derecho" dentro de la organización — el llamado "modelo de responsabilidad por defecto de organización".
Poco después, la STS 221/2016, de 16 de marzo, matizó ese criterio en un sentido garantista: exige que el Ministerio Fiscal acredite un "defecto estructural en los mecanismos de prevención" concreto, rechazando cualquier presunción automática de responsabilidad por el mero hecho de que un empleado o directivo cometa el delito, y equiparando la presunción de inocencia de la empresa a la de las personas físicas. La STS 316/2018, de 28 de junio, aplicó estos criterios a delitos societarios, vinculando la falta de control interno con el buen gobierno corporativo. Y la STS 123/2019, de 8 de marzo, fijó garantías procesales propias para la empresa acusada: debe intervenir con Procurador y Letrado distintos de los de otros acusados cuando existan intereses contrapuestos, so pena de nulidad del juicio.
Del conjunto de esta línea jurisprudencial se extraen dos ideas que siguen siendo centrales hoy: primero, que la empresa acusada tiene derecho a una defensa propia, diferenciada de la de sus administradores o empleados investigados, cuando sus intereses procesales no coinciden; y segundo, que la acusación —normalmente el Ministerio Fiscal— no puede limitarse a probar que un directivo o empleado cometió el delito, sino que debe acreditar, además, el defecto de organización de la propia empresa como elemento autónomo. Estas dos ideas han marcado el desarrollo jurisprudencial posterior, incluido el debate más reciente sobre la carga de la prueba del compliance.
El "vaivén" jurisprudencial 2024-2025 sobre la carga de la prueba del compliance
Uno de los debates más relevantes de los últimos años en esta materia es sobre quién debe probar la eficacia (o ineficacia) del programa de compliance: si es la empresa quien debe acreditar que su modelo era idóneo, o si es la Fiscalía quien debe probar que el modelo era defectuoso o inexistente.
La STS 298/2024 pareció desplazar la carga de la prueba hacia la empresa, exigiéndole un mayor esfuerzo probatorio sobre la eficacia de su propio modelo. Sin embargo, esta posición fue matizada y en cierto modo revertida por la STS 768/2025 y la STS 836/2025, que devuelven el peso de la carga de la prueba hacia la Fiscalía, reafirmando el rechazo a un régimen de responsabilidad objetiva o de "responsabilidad estricta" de la empresa por el mero hecho de que uno de sus empleados haya delinquido. La responsabilidad penal de la persona jurídica sigue exigiendo culpabilidad propia de la organización, no una simple transferencia automática de la culpa de la persona física.
Este vaivén jurisprudencial no es una cuestión meramente académica: de él depende, en la práctica, la estrategia de defensa de una empresa investigada. Si la carga de la prueba recae sobre la Fiscalía, la empresa puede limitarse a cuestionar la solidez de la acusación; si recae sobre la propia empresa, esta necesita construir y documentar activamente, desde el primer momento del procedimiento, la eficacia de su modelo de organización y gestión. La tendencia más reciente del Tribunal Supremo, con la STS 768/2025 y la STS 836/2025, devuelve una tranquilidad relativa a las empresas que han invertido de buena fe en su programa de compliance, pero no exime de la necesidad de poder acreditarlo documentalmente si llega el caso.
El debate doctrinal de fondo: ¿culpa propia de la empresa o responsabilidad por el hecho ajeno?
Existe un debate doctrinal consolidado sobre el fundamento último de la responsabilidad penal de las personas jurídicas en España, con dos grandes posiciones enfrentadas: la teoría de la autorresponsabilidad (defendida por autores como Feijóo Sánchez y Gómez-Jara Díez), que sostiene que la empresa responde por su propia "culpabilidad organizativa" —el defecto estructural de no haber implementado controles adecuados—, y la teoría de la heterorresponsabilidad o responsabilidad vicarial (con autores como Galán Muñoz frente a posiciones críticas de Robles Planas y Del Rosal Blasco), que entiende que, en el fondo, la empresa responde por el hecho cometido por la persona física, trasladado a ella por criterios de imputación normativos.
La propia Fiscalía General del Estado, en su Circular 1/2016, fijó una posición institucional sobre esta cuestión, que ha condicionado buena parte de la práctica de la acusación pública en estos procedimientos desde entonces. El profesor De la Cuesta Arzamendi es otra referencia doctrinal habitual en esta materia.
Esta discusión doctrinal no es solo teórica: condiciona directamente cómo se construye la defensa de una empresa en un procedimiento penal concreto. Si se parte de la autorresponsabilidad, el foco de la defensa se sitúa en demostrar que la organización, como tal, actuó con la diligencia debida; si se parte de la heterorresponsabilidad, el debate se traslada más bien a las condiciones de imputación del hecho de la persona física a la persona jurídica. Conocer en qué posición se sitúa el órgano juzgador concreto, y cómo ha evolucionado la jurisprudencia más reciente del Tribunal Supremo al respecto, forma parte del trabajo previo de cualquier defensa penal seria de una persona jurídica.
Qué delitos pueden generar esta responsabilidad
El sistema es de numerus clausus: solo los delitos que el Código Penal enumera expresamente con remisión al art. 31 bis pueden generar responsabilidad de la empresa. Entre los más relevantes para el tejido empresarial: blanqueo de capitales (arts. 301-302), delitos contra la Hacienda Pública y la Seguridad Social, cohecho y tráfico de influencias, delitos informáticos, insolvencias punibles, delitos contra el medio ambiente, financiación ilegal de partidos políticos y delitos contra la salud pública.
En conjunto, el Código Penal recoge más de 40 tipos delictivos distintos que pueden generar responsabilidad penal de la propia persona jurídica cuando se cometen en su nombre o por su cuenta, y en su beneficio directo o indirecto, por sus representantes legales, administradores de hecho o de derecho, o por quienes, estando sometidos a la autoridad de los anteriores, hayan podido cometer los hechos por no haberse ejercido sobre ellos el debido control. Entre este amplio catálogo se incluyen también, junto a los ya mencionados, los delitos societarios.
Para una empresa media, identificar de antemano cuáles de estos delitos son razonablemente previsibles en su sector de actividad —por ejemplo, los delitos contra la Hacienda Pública o la Seguridad Social en cualquier empresa con obligaciones fiscales y laborales, o los delitos informáticos en empresas que manejan grandes volúmenes de datos de clientes— es precisamente el punto de partida del mapa de riesgos penales que exige el art. 31 bis.5 CP. Un programa de compliance genérico, que no distinga entre los riesgos reales de cada sector de actividad, difícilmente podrá sostener una defensa sólida si la empresa llega a ser investigada.
Preguntas frecuentes
¿Desde cuándo pueden las empresas ser condenadas penalmente en España?
Desde la entrada en vigor de la Ley Orgánica 5/2010, de 22 de junio, que introdujo el art. 31 bis del Código Penal y, con él, la responsabilidad penal de las personas jurídicas en España por primera vez.
¿Por cualquier delito puede ser condenada una empresa?
No. El sistema es de numerus clausus: solo responde por los delitos concretos que el Código Penal enumera expresamente con remisión al art. 31 bis, como blanqueo de capitales, corrupción, delitos fiscales, contra el medio ambiente, informáticos o contra la salud pública, entre otros.
¿Qué dos vías existen para que una empresa responda penalmente?
El art. 31 bis.1 CP prevé dos supuestos: delitos cometidos por administradores o representantes legales en nombre y beneficio de la empresa (letra a), y delitos cometidos por empleados por incumplimiento grave de los deberes de supervisión, vigilancia y control por parte de sus superiores (letra b).
¿Sirve un programa de compliance para evitar la condena de la empresa?
Sí. Si la empresa acredita que, antes del delito, tenía implantado y en funcionamiento eficaz un modelo de organización y gestión que cumple los requisitos del art. 31 bis.5 CP, puede quedar exenta de responsabilidad penal; si solo acredita el cumplimiento parcial, el compliance opera como atenuante de la pena.
¿Cuál fue la primera sentencia del Tribunal Supremo que condenó a una empresa conforme al art. 31 bis?
La STS 154/2016, de 29 de febrero, dictada por el Pleno de la Sala Segunda, en un caso de tráfico de cocaína oculta en maquinaria, que fijó los criterios básicos —el defecto de organización— para apreciar esta responsabilidad.
¿Es obligatorio tener un canal de denuncias interno en mi empresa?
Desde la Ley 2/2023, sí es obligatorio para empresas de 50 o más trabajadores. El canal de denuncias es además uno de los seis elementos que la ley exige para que un programa de compliance pueda operar como eximente o atenuante de la responsabilidad penal de la empresa.
¿Puede una empresa evitar la responsabilidad penal si implementa el compliance después de cometerse el delito?
Puede servir como atenuante (no como eximente completa) si se establece antes del juicio oral, conforme al art. 31 quater CP — es lo que se conoce como "compliance sobrevenido".
¿Quién tiene que demostrar que el programa de compliance de la empresa era eficaz?
Es un debate jurisprudencial activo: tras un periodo en que la STS 298/2024 pareció desplazar esa carga hacia la empresa, la STS 768/2025 y la STS 836/2025 devuelven el peso de la prueba hacia la Fiscalía, reafirmando que no cabe una responsabilidad objetiva de la empresa.
¿Qué penas puede sufrir una empresa condenada penalmente?
El art. 33.7 CP prevé siete penas: multa, disolución, suspensión de actividades, clausura de locales, prohibición de actividades futuras, inhabilitación para subvenciones y contratación pública, e intervención judicial de la empresa.
¿Cualquier delito cometido por un empleado genera responsabilidad penal de la empresa?
No cualquier delito, sino un catálogo cerrado de más de 40 tipos delictivos específicos, y siempre que se cometa en nombre o por cuenta de la empresa y en su beneficio directo o indirecto, por sus representantes o por empleados cuando ha faltado el debido control.
Cuando una empresa se enfrenta a una investigación penal, la diferencia entre una condena y una exención completa suele estar en cómo estaba organizada antes de que ocurriera el delito. No se trata solo de si existía o no un manual de compliance, sino de si el mapa de riesgos, el canal de denuncias, el sistema disciplinario y la verificación periódica del modelo estaban realmente operativos, y de si la empresa puede acreditarlo con documentación y trazabilidad suficientes ante un juzgado. A eso se suma, hoy, la incertidumbre sobre quién debe probar esa eficacia —si la empresa o la Fiscalía—, un debate que la jurisprudencia más reciente del Tribunal Supremo sigue perfilando. Álvaro Sánchez de la Morena del Olmo asesora a empresas y administradores en estos procedimientos desde el primer momento, analizando tanto la responsabilidad penal individual como la de la propia sociedad.
