Litigación y defensa
Compliance que funciona y investigaciones internas con garantías
El compliance penal es el conjunto de controles con que una empresa previene los delitos que pueden cometerse en su actividad. Si el modelo cumple los requisitos del artículo 31 bis del Código Penal y se aplica de verdad, puede eximir de responsabilidad penal a la sociedad. Gold and Koleman diseña y audita estos modelos, implanta el canal interno de información y dirige investigaciones internas.
Compliance e investigaciones
Un programa de cumplimiento se pone a prueba el día en que algo sale mal. Ese día, un juez o un fiscal no preguntarán si la empresa tenía un manual, sino si el control que debía impedir el delito existía, si alguien lo supervisaba y si quedó rastro de ello. Los modelos copiados de una plantilla fallan justo ahí. Diseñamos el sistema a partir de la actividad real de la empresa, de sus flujos de dinero y de quién decide qué.
El trabajo tiene dos caras. La preventiva: mapa de riesgos, protocolos, canal de información, formación y revisión periódica. Y la reactiva: cuando llega una comunicación al canal, aparece una irregularidad en una auditoría o se recibe un requerimiento, hay que investigar deprisa, sin vulnerar derechos de los empleados y sin contaminar la prueba. De cómo se haga depende que el resultado pueda usarse después ante un tribunal.
Para grupos que necesitan una revisión completa de su exposición, la firma ofrece un servicio de auditoría jurídica integral. Cuando la investigación interna desemboca en un procedimiento judicial, la defensa de la sociedad se coordina con el área de penal económico, y las cuestiones de tratamiento de datos personales que plantea toda investigación, con la de protección de datos.
En qué trabajamos
Compliance penal
El modelo de organización y gestión debe haberse adoptado y ejecutado con eficacia antes de que se cometa el delito, y su supervisión debe estar confiada a un órgano con poderes autónomos de iniciativa y control. En las sociedades que pueden presentar cuenta de pérdidas y ganancias abreviada, esa función puede asumirla el propio órgano de administración. Diseñamos el modelo, redactamos políticas y protocolos, definimos el estatuto del órgano de cumplimiento y formamos a la plantilla.
Art. 31 bis CP
Investigaciones internas
Ante un indicio de fraude, corrupción, acoso o fuga de información, dirigimos la investigación: plan de trabajo, preservación de evidencias digitales, revisión documental, entrevistas e informe de conclusiones. El acceso al correo y a los equipos corporativos exige que la empresa haya establecido y comunicado criterios de uso, y un juicio de proporcionalidad. Una prueba obtenida vulnerando la intimidad del empleado no sirve y expone a la empresa. La intervención de abogados externos refuerza la confidencialidad del trabajo.
Art. 20.3 ET; art. 87 LO 3/2018
Canal interno de información
Toda empresa con cincuenta o más trabajadores debe tener un sistema interno de información que permita comunicar infracciones por escrito o verbalmente, también de forma anónima. Hay que acusar recibo en siete días naturales y responder en un máximo de tres meses, ampliables otros tres en casos de especial complejidad. El órgano de administración designa a un responsable del sistema y debe aprobar un procedimiento de gestión. Lo implantamos, lo gestionamos como tercero externo o revisamos el existente.
Arts. 5-12 Ley 2/2023
Mapas de riesgo
El primer requisito legal del modelo es identificar las actividades en cuyo ámbito pueden cometerse los delitos que deben prevenirse. Eso exige cruzar el catálogo de delitos imputables a la persona jurídica con los procesos reales de la empresa: ventas a la Administración, uso de agentes, tesorería, subvenciones, residuos, datos. Entrevistamos a los responsables de área, valoramos probabilidad e impacto, y asignamos a cada riesgo un control y un responsable.
Art. 31 bis.5.1.º CP
Prevención de corrupción
El cohecho a funcionarios, el tráfico de influencias y la corrupción entre particulares generan responsabilidad penal para la empresa. El riesgo se concentra en intermediarios, regalos y hospitalidad, patrocinios, donaciones y contratación pública. Redactamos políticas anticorrupción, procedimientos de diligencia debida sobre agentes y socios comerciales, y cláusulas contractuales. Para grupos con actividad exterior tenemos en cuenta las normas extranjeras de alcance extraterritorial.
Arts. 286 bis y 419-430 CP
Responsabilidad penal de personas jurídicas
La sociedad responde por los delitos cometidos en su nombre y en su beneficio por sus representantes y directivos, y por los de empleados cuando se han incumplido gravemente los deberes de supervisión. Responde aunque no se identifique o no se condene a la persona física. Las penas incluyen multa, suspensión de actividades, inhabilitación para contratar con el sector público hasta quince años y disolución. Asesoramos antes del delito y defendemos a la entidad en el proceso.
Arts. 31 bis-31 quinquies y 33.7 CP
Auditorías compliance
La ley exige verificar periódicamente el modelo y modificarlo cuando se detectan infracciones relevantes o cambian la organización, la estructura de control o la actividad. Una adquisición, una nueva línea de negocio o la entrada en otro país obligan a revisarlo. Comprobamos si los controles se aplican, con muestreo de operaciones y entrevistas, y emitimos un informe con hallazgos y plan de corrección. Usamos como referencia los estándares UNE 19601 e ISO 37301.
Art. 31 bis.5.6.º CP
Prevención blanqueo
Entidades financieras, promotores e intermediarios inmobiliarios, auditores, asesores fiscales, abogados en determinadas operaciones, joyeros o comerciantes de arte son sujetos obligados. Deben identificar al cliente y al titular real, examinar las operaciones sospechosas, comunicarlas al Sepblac sin avisar al cliente y conservar la documentación diez años. Elaboramos el manual de prevención y el informe de autoevaluación del riesgo, y asistimos en inspecciones y expedientes sancionadores.
Ley 10/2010; RD 304/2014
Los seis requisitos legales de un modelo de prevención
El artículo 31 bis.5 del Código Penal enumera lo que debe contener el modelo para que pueda eximir o atenuar la responsabilidad de la sociedad.
- Identificar las actividades en cuyo ámbito pueden cometerse los delitos que deben prevenirse.
- Establecer protocolos que concreten cómo se forma la voluntad de la sociedad, cómo se adoptan las decisiones y cómo se ejecutan.
- Disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de esos delitos.
- Imponer la obligación de informar de riesgos e incumplimientos al órgano encargado de vigilar el modelo.
- Establecer un sistema disciplinario que sancione el incumplimiento de las medidas previstas.
- Verificar periódicamente el modelo y modificarlo cuando haya infracciones relevantes o cambios en la organización, el control o la actividad.
- 50 trabajadores
- Umbral a partir del cual la empresa privada debe disponer de un sistema interno de información (art. 10 Ley 2/2023)
- 7 días naturales
- Plazo para enviar acuse de recibo al informante desde que se recibe la comunicación (art. 9.2.c Ley 2/2023)
- 3 meses
- Plazo máximo para dar respuesta a las actuaciones de investigación, ampliable otros tres en casos de especial complejidad (art. 9.2.d Ley 2/2023)
- Hasta 1.000.000 €
- Multa a personas jurídicas por infracciones muy graves, como adoptar represalias contra el informante (art. 65 Ley 2/2023)
Cómo se conduce una investigación interna
Una secuencia ordenada protege a la empresa, al informante y a la persona investigada.
Recepción y análisis preliminar
Se registra la comunicación, se acusa recibo y se valora si los hechos son verosímiles y entran en el ámbito del sistema. Se identifican posibles conflictos de interés de quien debe investigar.
Preservación de evidencias
Antes de cualquier entrevista se aseguran correos, ficheros y registros con cadena de custodia, y se suspenden los borrados automáticos.
Plan de investigación
Se delimitan los hechos, las fuentes, el equipo y el calendario, y se documenta el juicio de proporcionalidad de cada medida que afecte a empleados.
Entrevistas
La persona afectada tiene derecho a conocer los hechos que se le atribuyen y a ser oída, con respeto a la presunción de inocencia. La identidad del informante se mantiene reservada.
Informe y decisiones
El informe separa hechos acreditados, valoración jurídica y recomendaciones. El órgano competente decide medidas disciplinarias, correctoras y, si hay indicios de delito, la remisión inmediata al Ministerio Fiscal.
Preguntas frecuentes sobre compliance
¿Es obligatorio tener un programa de compliance penal?
El Código Penal no lo impone con carácter general, pero es la única vía para que la sociedad quede exenta de responsabilidad si un directivo o un empleado comete un delito en su beneficio. Sí son obligatorios por ley algunos de sus componentes: el sistema interno de información para empresas de cincuenta o más trabajadores y las medidas de prevención del blanqueo para los sujetos obligados.
¿Qué empresas deben tener canal de denuncias?
Todas las personas físicas o jurídicas del sector privado con cincuenta o más trabajadores. También, con independencia de su plantilla, las entidades sujetas a la normativa europea de servicios financieros, prevención del blanqueo, seguridad del transporte y protección del medio ambiente, además de partidos políticos, sindicatos y organizaciones empresariales que gestionen fondos públicos. Las empresas de entre 50 y 249 trabajadores pueden compartir sistema y recursos.
¿Se puede despedir a un empleado que ha usado el canal?
No por haberlo usado. La Ley 2/2023 prohíbe las represalias contra quien informa de buena fe, incluidas las amenazas y las tentativas, y considera represalia el despido, la degradación, el cambio de condiciones o la no renovación. Si el informante acredita que comunicó y que sufrió un perjuicio, corresponde a la empresa demostrar que su decisión respondió a motivos ajenos a la comunicación. Las represalias son infracción muy grave.
¿Puede la empresa revisar el correo de un empleado durante una investigación?
Solo con condiciones. La empresa debe haber fijado criterios de uso de los medios digitales y haber informado de ellos a los trabajadores, y el acceso debe superar un juicio de proporcionalidad: ser idóneo para comprobar la sospecha, necesario porque no existe un medio menos invasivo, y equilibrado. Un acceso indiscriminado puede vulnerar la intimidad y el secreto de las comunicaciones, invalidar la prueba e incluso constituir delito.
¿Basta una certificación para que la empresa quede exenta?
No. Una certificación conforme a un estándar como UNE 19601 es un indicio de que el modelo está bien diseñado, pero no vincula al juez. Lo que se examina en el proceso es si el modelo era idóneo para prevenir el delito concreto, si se aplicaba de forma efectiva, si el órgano de cumplimiento supervisó y si el autor lo eludió fraudulentamente. La prueba decisiva son los registros de funcionamiento real.
Jurisprudencia de referencia
Resoluciones que marcan cómo se deciden hoy estos asuntos.
STS 221/2016, de 16 de marzo · Tribunal Supremo, Sala Segunda (Penal) ·
La acusación debe probar el defecto organizativo de la empresa
Acreditar el delito de la persona física no genera una presunción de defecto organizativo. La acusación debe probar que ese delito fue posible por un fallo estructural en los mecanismos de prevención exigibles a la sociedad.
Texto oficial en CENDOJSTS 163/2016, de 2 de marzo · Tribunal Supremo, Sala Segunda (Penal) ·
Apropiación indebida de dinero tras la reforma penal de 2015
Tras la LO 1/2015, quien incorpora definitivamente a su patrimonio el dinero recibido para administrarlo sigue cometiendo apropiación indebida. La administración desleal se reserva para el ejercicio abusivo de las facultades de gestión sin apropiación definitiva.
Texto oficial en CENDOJSTS 154/2016, de 29 de febrero · Tribunal Supremo, Sala Segunda (Penal), Pleno ·
Primera sentencia de Pleno sobre responsabilidad penal de la empresa
La persona jurídica responde cuando el delito de la persona física fue posible por la ausencia de una cultura de respeto al Derecho traducida en medidas de vigilancia y control. Le asisten los mismos derechos y garantías que a cualquier acusado.
Texto oficial en CENDOJ
Resoluciones reales consultadas en fuentes oficiales. El resumen es propio y no sustituye la lectura del texto íntegro ni el análisis de cada caso.
Análisis relacionados
- Legal Report nº 06Inteligencia artificial y responsabilidad jurídica empresarialQué obligaciones tiene una empresa que usa IA, desde cuándo se aplican tras el aplazamiento de 2026, y cómo responde por datos, contratos y daños.
- AnálisisAdministración desleal y delitos societarios: diferenciasQué castiga el artículo 252 del Código Penal, qué son los delitos societarios de los artículos 290 a 294 y cuándo una mala gestión no es delito.
- Guía prácticaCanal de denuncias: qué empresas están obligadas y cómoQué exige la Ley 2/2023 sobre el canal de denuncias: empresas obligadas desde 50 trabajadores, plazos de respuesta, responsable del sistema y sanciones.
Áreas relacionadas
- Litigación y defensaPenal económicoDefensa y acusación en administración desleal, estafa, delitos societarios, insolvencia punible, blanqueo y delito fiscal. Riesgos, penas y primeros pasos.
- Tecnología e innovaciónProtección de datos y ciberseguridadAuditoría RGPD, brechas de seguridad en 72 horas, delegado de protección de datos y defensa ante la AEPD. Qué exige la norma y qué plazos corren.
- Personas y patrimonioLaboral y Seguridad SocialDespidos, contratos de alta dirección, despidos colectivos y Seguridad Social de administradores: qué plazo corre y qué decisión conviene tomar antes de firmar.
- Empresa y operacionesMercantil y societarioConflictos entre socios, responsabilidad de administradores, impugnación de acuerdos y pactos: qué plazo corre y qué acción tienes en cada caso.
Cuéntanos tu asunto
Un abogado valorará los antecedentes y si podemos asumir el encargo, previa comprobación de conflictos de intereses. Enviar una solicitud no supone aceptación del encargo ni suspende plazos legales.