Responsabilidad penal de la persona jurídica: qué debe saber tu empresa

Hasta la reforma del Código Penal de 2010, el principio societas delinquere non potest —la sociedad no puede delinquir— era dogma en el Derecho penal español. Las empresas solo respondían administrativamente o a través de las personas físicas que actuaban en su nombre. Ese paradigma cambió con la Ley Orgánica 5/2010, que introdujo el artículo 31 bis en el Código Penal, y la posterior reforma de la LO 1/2015 lo perfeccionó. Hoy, una empresa puede ser imputada, sometida a juicio oral y condenada penalmente. Las consecuencias de una condena pueden ser devastadoras: multas millonarias, prohibición de contratar con la Administración, intervención judicial o incluso la disolución de la sociedad.

Qué significa que una empresa tenga responsabilidad penal

La responsabilidad penal de la persona jurídica es un mecanismo autónomo e independiente de la responsabilidad penal de las personas físicas que actúan en su nombre. Esto tiene una consecuencia práctica determinante: una empresa puede ser condenada aunque la persona física que cometió el delito no sea identificada, no pueda ser juzgada por razones procesales (fallecimiento, rebeldía, inmunidad) o sea absuelta.

El artículo 31 bis del Código Penal establece que las personas jurídicas serán penalmente responsables de los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, por dos vías alternativas:

• Por sus representantes legales o administradores de hecho o de derecho, cuando actúen en el ejercicio de las actividades sociales y dentro del ámbito de su competencia.
• Por quienes, estando sometidos a la autoridad de las personas anteriores, han podido realizar los hechos por haberse incumplido gravemente por aquellos los deberes de supervisión, vigilancia y control.

La distinción entre estas dos vías tiene consecuencias importantes para la posibilidad de exonerar a la empresa, como veremos más adelante.

Catálogo de delitos imputables a la persona jurídica

No todos los delitos del Código Penal pueden atribuirse a una empresa. El legislador ha optado por un sistema de numerus clausus: solo los delitos expresamente previstos en el Código Penal para las personas jurídicas pueden generar responsabilidad penal corporativa. Este catálogo, sin embargo, es amplio y cubre los riesgos penales más frecuentes en el ámbito empresarial:

Delitos económicos y financieros

• Tráfico de influencias (art. 430 CP): relevante para empresas que operan en mercados regulados o contratan con la Administración.
• Corrupción en los negocios (art. 286 bis CP): cohecho entre particulares, muy relevante para empresas con relaciones comerciales internacionales bajo el paraguas del Foreign Corrupt Practices Act o la UK Bribery Act.
• Blanqueo de capitales (art. 302 CP): uno de los delitos con mayor presión regulatoria y con implicaciones en la normativa de prevención del blanqueo.
• Financiación ilegal de partidos políticos (art. 304 bis CP).
• Delitos contra la Hacienda Pública y la Seguridad Social (arts. 310 bis CP): fraude fiscal corporativo con cuota defraudada superior a 120.000 euros.
• Insolvencias punibles (art. 261 bis CP): alzamiento de bienes, concurso fraudulento.

Delitos contra la intimidad y la propiedad intelectual

• Descubrimiento y revelación de secretos (art. 197 quinquies CP): especialmente relevante en empresas que manejan datos personales masivos o secretos comerciales de terceros.
• Delitos contra la propiedad intelectual e industrial (arts. 288 CP): piratería software, uso indebido de marcas.

Delitos de corrupción y fraude

• Cohecho activo (art. 424 CP): soborno de funcionarios públicos españoles o extranjeros.
• Tráfico de drogas (art. 369 bis CP): menos habitual en empresas legales, pero presente en casos de uso de estructuras societarias para el tráfico.
• Financiación del terrorismo (art. 576 bis CP).
• Delitos contra los derechos de los trabajadores (art. 318 CP), incluyendo la seguridad laboral (art. 318 bis CP) y la trata de seres humanos (art. 177 bis CP).

Es importante destacar que el catálogo se ha ido ampliando en cada reforma del Código Penal. La tendencia legislativa es incorporar nuevos tipos penales con responsabilidad corporativa, por lo que la revisión periódica del mapa de riesgos de la empresa es imprescindible.

Las dos vías de imputación y su relevancia práctica

Primera vía: delito cometido por representante legal o administrador

Cuando el delito lo comete quien ocupa la cúpula de la organización —el administrador único, los miembros del consejo de administración, el director general— la responsabilidad de la empresa es directa. Para que opere la exención por modelo de compliance, el artículo 31 bis.2 CP exige condiciones más estrictas: el órgano de administración debe haber adoptado y ejecutado con eficacia antes de la comisión del delito un modelo de organización y gestión que incluya medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza. Además, la supervisión del modelo debe haber sido confiada a un órgano con poderes autónomos de iniciativa y control (el compliance officer o el comité de compliance).

Segunda vía: delito cometido por empleado con insuficiente supervisión

Cuando el delito lo comete un empleado de rango inferior —un comercial que paga una comisión irregular, un responsable de almacén que gestiona residuos peligrosos ilegalmente— la empresa responde si ese delito fue posible porque quienes tenían el deber de supervisar incumplieron ese deber de forma grave. En este caso, la empresa puede exonerarse demostrando que antes de la comisión del delito tenía implantado un modelo de compliance eficaz y que la comisión del delito supuso una elusión fraudulenta del modelo por parte del empleado.

Las penas aplicables a las personas jurídicas

El artículo 33.7 del Código Penal establece el catálogo de penas aplicables exclusivamente a las personas jurídicas. Su gravedad es variable pero potencialmente devastadora:

• Multa: calculada por el sistema de días-multa o como porcentaje del volumen de negocio. Para los delitos más graves, puede alcanzar el quíntuplo del beneficio obtenido.
• Disolución: la pena más grave. Implica la liquidación definitiva de la sociedad.
• Suspensión de actividades: por un plazo de hasta cinco años.
• Clausura de locales y establecimientos: temporal o definitiva.
• Prohibición de realizar actividades relacionadas con el delito: temporal o definitiva.
• Inhabilitación para obtener subvenciones y ayudas públicas, contratar con el sector público y gozar de beneficios fiscales o de la Seguridad Social: por un plazo de hasta quince años.
• Intervención judicial: medida cautelar o pena que supone el control judicial de la gestión de la empresa.

Para las PYMEs, la prohibición de contratar con la Administración o la clausura de establecimientos puede suponer el fin del negocio sin necesidad de llegar a la disolución formal.

La exención de responsabilidad: el programa de compliance como escudo

El aspecto más relevante del artículo 31 bis CP desde la perspectiva de la gestión del riesgo empresarial es la existencia de una exención completa de responsabilidad penal para la empresa cuando esta acredita que tenía implantado un programa de compliance eficaz. Los requisitos de esta exención están desarrollados en los apartados 2 a 5 del artículo 31 bis CP.

Requisitos de la exención

Para que el programa de compliance exonere a la empresa de responsabilidad penal, debe cumplir seis requisitos específicos que la jurisprudencia y la doctrina han ido perfilando:

1. Identificación de las actividades en cuyo ámbito pueden cometerse los delitos que se pretende prevenir.
2. Establecimiento de protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas respecto a los delitos que se quieren prevenir.
3. Disposición de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que se deben prevenir.
4. Imposición de la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.
5. Establecimiento de un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas establecidas en el modelo.
6. Realización de una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada.

La atenuante por compliance incompleto

Incluso cuando el programa de compliance no reúne todos los requisitos para operar como exención completa, el artículo 31 bis.4 CP prevé que la empresa pueda beneficiarse de una atenuante si ha adoptado medidas de cumplimiento antes o después de la comisión del delito. Esta atenuante puede reducir significativamente la pena y, en la práctica forense, es la más frecuente porque los programas de compliance raramente son perfectos.

Doctrina del Tribunal Supremo sobre responsabilidad penal corporativa

La jurisprudencia del Tribunal Supremo ha ido delimitando los contornos de la responsabilidad penal corporativa. La Sentencia 154/2016, de 29 de febrero —conocida como el caso Pescanova— estableció que la responsabilidad de la empresa es propia y autónoma, no derivada de la persona física. El Pleno de la Sala de lo Penal fijó que la empresa es un sujeto de imputación diferenciado y que la acusación debe probar que el delito fue consecuencia de un defecto estructural en los mecanismos de control, no simplemente que alguien de la empresa delinquió.

La STS 221/2016 precisó que para condenar a la empresa no basta con acreditar el delito de la persona física: es necesario probar el defecto organizativo, la ausencia o ineficacia de los mecanismos de control. Esta doctrina tiene una implicación directa para la estrategia de defensa: el programa de compliance no solo exonera a la empresa, sino que su ausencia es un elemento del tipo que la acusación debe probar.

Empresas excluidas del régimen de responsabilidad penal

El artículo 31 quinquies CP excluye del régimen de responsabilidad penal a las Administraciones Públicas, los partidos políticos (con matices, pues tienen sus propias normas de transparencia), los sindicatos y las organizaciones internacionales de Derecho público, así como a las entidades de Derecho público con capacidad para dictar disposiciones administrativas de carácter general.

Las sociedades mercantiles públicas —empresas con capital mayoritariamente público que operan en el mercado— no están excluidas: pueden ser imputadas y condenadas penalmente como cualquier empresa privada.

La investigación penal de la empresa: aspectos procesales

Cuando una empresa es investigada penalmente, los efectos son inmediatos y van más allá del proceso judicial. La apertura de diligencias previas implica la posible adopción de medidas cautelares (intervención de cuentas, embargo de bienes), la obligación de nombrar un representante procesal específico para la persona jurídica (artículo 786 bis LECrim), y el riesgo de que la investigación se filtre a proveedores, clientes y entidades financieras, con consecuencias reputacionales y comerciales que pueden ser más devastadoras que la propia condena.

Por ello, la mejor estrategia ante la responsabilidad penal corporativa no es la defensa reactiva, sino la prevención proactiva a través de un programa de compliance penal bien diseñado, implantado de forma genuina y supervisado continuamente. La existencia de ese programa en el momento de los hechos es el único elemento que puede exonerar completamente a la empresa de responsabilidad penal.