¿Puede ser condenada penalmente mi empresa? Responsabilidad penal de las personas jurídicas y compliance

Desde cuándo responde penalmente una empresa en España

Hasta 2010 rigió en España un principio antiguo: las sociedades no delinquían; respondían, en su caso, sus administradores. La Ley Orgánica 5/2010 rompió ese principio e introdujo en el Código Penal el artículo 31 bis, que hace penalmente responsables a las personas jurídicas de determinados delitos cometidos en su seno. La Ley Orgánica 1/2015 perfeccionó el sistema y reguló con detalle la pieza que hoy lo preside: los modelos de organización y gestión (los programas de compliance) cuya adopción y ejecución eficaz puede eximir de responsabilidad a la empresa. Sobre esa base, el Pleno de la Sala de lo Penal del Tribunal Supremo fijó su interpretación en la STS 154/2016, y una línea jurisprudencial ya abundante la ha ido perfilando hasta hoy.

Los tres presupuestos: quién delinquió, para quién y qué falló

La responsabilidad penal de la empresa exige, primero, un delito de conexión: un hecho delictivo cometido por una persona física de su organización. La ley distingue dos vías. La primera, los delitos cometidos en nombre o por cuenta de la sociedad por sus representantes legales o por quienes están autorizados para tomar decisiones en su nombre u ostentan facultades de organización y control (administradores de hecho o de derecho, directivos, también mandos con poderes delegados). La segunda, los delitos cometidos por empleados sometidos a la autoridad de los anteriores, cuando el hecho fue posible porque aquéllos incumplieron gravemente sus deberes de supervisión, vigilancia y control; si el incumplimiento no fue grave, no hay responsabilidad penal de la empresa por esta vía.

Se exige, en segundo lugar, que el delito se cometiera en beneficio directo o indirecto de la sociedad. El Tribunal Supremo lo ha precisado en la sentencia del caso Pescanova (STS 89/2023): no hace falta que el beneficio llegue a materializarse; basta que la conducta, contemplada antes de ejecutarse, resultara beneficiosa para la empresa, directa o indirectamente (también el ahorro de costes o las ventajas reputacionales o estratégicas). Quedan fuera, en cambio, los hechos cometidos contra los intereses de la propia sociedad o en beneficio exclusivo de quien los protagoniza: la empresa víctima del delito de su directivo no responde por él.

Y hace falta, en fin, lo que constituye el núcleo de esta responsabilidad: que fallara la organización. Desde la STS 154/2016, el Tribunal Supremo sitúa el fundamento del reproche a la empresa en la ausencia de una cultura de respeto al Derecho traducida en medidas concretas de vigilancia y control idóneas para evitar delitos como el cometido. Sin ese defecto de organización no hay delito corporativo, por más que un directivo o un empleado hayan delinquido.

No cualquier delito: el catálogo cerrado

La empresa no responde de cualquier infracción, sino únicamente de los delitos para los que el Código Penal lo prevé de forma expresa («en los supuestos previstos en este Código»). El catálogo es amplio pero tasado: comprende, entre otros, la estafa y demás defraudaciones, las insolvencias punibles y el blanqueo de capitales; los delitos contra la Hacienda Pública y la Seguridad Social; los delitos contra la propiedad intelectual e industrial, el mercado y los consumidores, y la corrupción en los negocios; el cohecho y el tráfico de influencias; los daños informáticos y el descubrimiento y revelación de secretos; los delitos contra el medio ambiente y la ordenación del territorio; los delitos contra la salud pública; la falsificación de moneda y de medios de pago; la financiación ilegal de partidos y la financiación del terrorismo; la trata de seres humanos y el favorecimiento de la inmigración ilegal. Fuera del catálogo (un homicidio imprudente en la obra, unas lesiones) podrá haber responsabilidad penal de las personas físicas y responsabilidad civil de la empresa, pero no pena para la sociedad.

La regla general es que la empresa responde solo de delitos dolosos: la Fiscalía General del Estado tiene identificados únicamente cuatro supuestos imprudentes capaces de generar su responsabilidad —ciertas insolvencias, el blanqueo imprudente, los delitos contra los recursos naturales y el medio ambiente y la financiación del terrorismo— (Circular 1/2016).

Qué penas arriesga la empresa

Todas las penas previstas para las personas jurídicas tienen la consideración de graves. La común a todos los supuestos es la multa, por cuotas diarias o proporcional. Junto a ella, la ley permite imponer, cuando el delito lo prevé: la suspensión de actividades y la clausura de locales (hasta cinco años), la prohibición de realizar las actividades en cuyo ejercicio se cometió el delito (temporal hasta quince años, o definitiva), la inhabilitación para obtener subvenciones, contratar con el sector público o disfrutar de beneficios fiscales y de la Seguridad Social (hasta quince años), la intervención judicial (hasta cinco años) y, en el extremo, la disolución de la sociedad, con pérdida definitiva de su personalidad jurídica.

Estas penas no se imponen a bulto. La ley obliga a ponderar su necesidad para prevenir la continuidad delictiva, sus consecuencias económicas y sociales (señaladamente para los trabajadores) y el puesto que ocupaba en la estructura quien incumplió el control; y las penas interdictivas por más de dos años exigen, además, reincidencia o que la sociedad se utilice instrumentalmente para delinquir. No es retórica: en la propia STS 154/2016 el Tribunal Supremo suprimió la disolución que la Audiencia había impuesto a una de las sociedades y mantuvo solo la multa, fraccionable precisamente para preservar los puestos de trabajo. Conviene saber, además, que la clausura, la suspensión de actividades y la intervención judicial pueden acordarse ya durante la instrucción como medidas cautelares. Las Administraciones y demás entes públicos quedan al margen de este régimen.

El compliance que de verdad exime

La ley concede a la empresa una eximente completa si acredita que hizo lo que debía. Para los delitos de los directivos, la ley exige cuatro condiciones: que el órgano de administración hubiera adoptado y ejecutado con eficacia, antes del delito, un modelo de organización y gestión idóneo para prevenir delitos de esa naturaleza o reducir significativamente su riesgo; que la supervisión del modelo se confiara a un órgano con poderes autónomos de iniciativa y control (el órgano de cumplimiento); que los autores cometieran el delito eludiendo fraudulentamente el modelo; y que el órgano de cumplimiento no hubiera desatendido sus funciones. Para los delitos de los empleados basta lo primero: un modelo adecuado, adoptado y ejecutado eficazmente antes del delito. La acreditación solo parcial de estas condiciones no exime, pero atenúa la pena.

El contenido mínimo del modelo lo fija la ley: identificar las actividades en las que pueden cometerse los delitos que deben prevenirse (el mapa de riesgos); establecer los protocolos de formación de la voluntad y de adopción y ejecución de decisiones; disponer de modelos de gestión de los recursos financieros adecuados para impedir esos delitos; imponer la obligación de informar de riesgos e incumplimientos al organismo de vigilancia (el canal de denuncias); establecer un sistema disciplinario que sancione los incumplimientos; y verificar periódicamente el modelo, modificándolo cuando se pongan de manifiesto infracciones relevantes o cambios en la organización. En las empresas de pequeñas dimensiones (las autorizadas a presentar cuenta de pérdidas y ganancias abreviada), las funciones de supervisión puede asumirlas directamente el órgano de administración.

Lo decisivo no es el papel, sino la realidad. Un manual comprado, genérico y sin vida (el compliance de estantería) no exime; puede incluso retratar a la empresa. La Fiscalía General del Estado ha fijado pautas claras para valorar la eficacia de estos programas (Circular 1/2016): las certificaciones externas son un elemento más, pero no acreditan por sí la eficacia del modelo; ningún programa es creíble si la alta dirección lo incumple o premia a quien lo incumple; y se valora de forma señalada el comportamiento de la empresa tras el delito (medidas disciplinarias, revisión del programa, reparación, colaboración) hasta el punto de que, si fue la propia corporación quien descubrió la conducta y la puso en conocimiento de la autoridad, los fiscales deben solicitar su exención de pena. Los estudios sobre programas de cumplimiento apuntan en la misma dirección: fallan los que se conciben como un trámite de casillas (formación que nadie evalúa, canales que nadie usa) y funcionan los que se diseñan para prevenir y detectar de verdad, y pueden demostrarlo con datos.

Quién tiene que probar qué

Es la cuestión más disputada de esta materia y la jurisprudencia la tiene resuelta a favor de la empresa. El delito de la persona física no hace presumir el fallo de la organización: el Tribunal Supremo rechaza expresamente que, acreditado el delito de conexión, exista una presunción de defecto organizativo que la empresa deba desvirtuar. La presunción de inocencia protege también a las personas jurídicas, y por ello corresponde a la acusación probar, además del delito de la persona física, el defecto estructural en los mecanismos de prevención y control que fundamenta el reproche propio de la sociedad (SSTS 154/2016 y 221/2016; lo reitera la reciente STS 768/2025: el fiscal no está exento de acreditar el incumplimiento grave de los deberes de supervisión). Sobre esa base el Tribunal Supremo ha absuelto a sociedades cuya condena descansaba solo en el delito de su administrador, sin un hecho propio de la empresa en el relato probado (así, la STS 836/2025, que comentamos en esta entrada del blog).

Ahora bien, que la carga pese sobre la acusación no aconseja a la empresa cruzarse de brazos. La STS 298/2024 lo advierte con crudeza: si la defensa ni siquiera alega la existencia de un programa de cumplimiento ni intenta acreditarlo, el tribunal puede legítimamente concluir que no existía. Y la Fiscalía sostiene, además, un criterio más exigente que el del Supremo —trata la eximente como una excusa absolutoria cuya prueba incumbe a la propia persona jurídica (Circular 1/2016)—, de modo que en el proceso real la empresa se encontrará con un fiscal que le reclamará esa acreditación. La consecuencia práctica es una sola: el programa no solo hay que tenerlo y aplicarlo; hay que poder probarlo, con su documentación, sus registros y sus actos de aplicación efectiva, preparados antes de que nadie los pida.

Sociedades pequeñas, unipersonales y pantalla

No toda persona jurídica es penalmente imputable. La Fiscalía distingue tres situaciones (Circular 1/2016): las sociedades que operan con normalidad en el mercado, plenamente imputables; las que se utilizan de forma instrumental para delinquir aunque conserven actividad legal, también imputables; y las sociedades puramente pantalla, cuya actividad legal es residual o aparente, que son inimputables y reciben el tratamiento de simples instrumentos del delito.

En las sociedades unipersonales o de mínima estructura, el Tribunal Supremo ha añadido una precisión importante: lo decisivo no es que la sociedad tenga uno o varios socios, sino su complejidad organizativa interna. Cuando la sociedad es de tan mínima complejidad que apenas se distingue de su administrador (es, en la práctica, la forma con la que esa persona se presenta al mercado), no cabe apreciar un incumplimiento de deberes de supervisión distinto de la propia conducta del administrador que delinque: basta con condenar a éste, y la persona jurídica debe ser absuelta (STS 894/2022; en la misma línea, STS 249/2025). Es un argumento que el Tribunal Supremo ha acogido en favor de la pequeña empresa; pero, como se verá enseguida, la absolución penal no borra la responsabilidad civil.

Una responsabilidad propia que no se esquiva

La responsabilidad de la empresa es autónoma respecto de la de las personas físicas. Es exigible aunque el autor concreto no haya podido ser individualizado o no quepa dirigir el procedimiento contra él, y no la excluyen ni el fallecimiento ni la fuga de quienes materialmente delinquieron. Tampoco se esquiva con ingeniería societaria: la transformación, fusión, absorción o escisión de la sociedad no extingue su responsabilidad penal, que se traslada a la entidad resultante, y la disolución encubierta o meramente aparente (la que continúa la misma actividad con los mismos clientes, proveedores y empleados) no extingue nada.

Lo que sí reconoce la ley es el valor de rectificar. Son atenuantes propias de la persona jurídica, realizadas después del delito a través de sus representantes legales: confesar la infracción antes de conocer que el procedimiento se dirige contra ella; colaborar en la investigación aportando pruebas nuevas y decisivas; reparar o disminuir el daño antes del juicio oral; y establecer, también antes del juicio, medidas eficaces para prevenir y descubrir futuros delitos. Un compliance implantado tras el delito no exime, pero atenúa.

Si investigan a su empresa: cómo se la juzga y qué hacer

La sociedad investigada tiene un estatuto procesal propio. La citación se practica en su domicilio social, requiriéndole que designe un representante especialmente designado para el procedimiento, además de abogado y procurador. Ese representante comparece por la empresa en las diligencias, y su declaración (asistido del abogado de la sociedad) se presta con los derechos de cualquier investigado: guardar silencio, no declarar contra la entidad y no confesarse culpable. En el juicio, la empresa ocupa el lugar del acusado a través de su representante, que puede declarar por ella y ejercer el derecho a la última palabra, y la conformidad de la persona jurídica solo puede prestarla ese representante con poder especial. Estas garantías no son ornamentales: el Tribunal Supremo ha anulado un juicio íntegro (con orden de celebrarlo de nuevo ante magistrados distintos) porque no se citó debidamente al representante designado por la sociedad acusada (STS 123/2019).

En la práctica, las primeras decisiones marcan la defensa. La empresa necesita defensa propia y separada de la de sus administradores, porque sus intereses pueden no coincidir (a la sociedad puede convenirle acreditar que el directivo burló sus controles, exactamente lo contrario de lo que conviene al directivo). Conviene elegir con cuidado al representante (no puede designarse a quien haya de declarar como testigo), preservar de inmediato la documentación y las comunicaciones relevantes, valorar una investigación interna que ordene los hechos antes de que lo haga la acusación y, con el resultado a la vista, ponderar la colaboración y las atenuantes legales. Son decisiones que conviene no demorar: parte de lo que sostiene la defensa (documentos, comunicaciones) puede perderse con el tiempo.

Lo que el compliance no evita: la responsabilidad civil

Una última precisión, imprescindible para no llamarse a engaño. Si la empresa es condenada penalmente, responde civilmente del daño de forma solidaria con las personas físicas condenadas. Pero es que, aun cuando la empresa resulte absuelta en lo penal (por tener un compliance eficaz, o por su mínima estructura), puede seguir respondiendo civilmente de forma subsidiaria por los delitos cometidos por sus empleados, dependientes o representantes en el desempeño de sus obligaciones o servicios, o en sus establecimientos con infracción de reglamentos. Esta responsabilidad se funda en criterios objetivos ligados a la organización y al riesgo de la actividad, no en la culpa de la sociedad, por lo que el programa de cumplimiento no la elimina; así lo asume la propia Fiscalía (Circular 1/2016) y lo ilustra la STS 894/2022, que absolvió penalmente a la sociedad y la mantuvo, no obstante, como responsable civil subsidiaria. La conclusión práctica: son dos planos distintos. El compliance opera en el terreno penal; la responsabilidad civil sigue su propia lógica (ligada a la organización y al riesgo de la actividad) y no se apaga con el programa de cumplimiento.

Cabe añadir que ni siquiera la falta de personalidad jurídica deja el fenómeno fuera del Código: a las empresas, organizaciones o agrupaciones sin personalidad, el juez puede imponerles motivadamente, como consecuencias accesorias, la suspensión, la clausura, la prohibición de actividades, la inhabilitación o la intervención.

Preguntas frecuentes

Página relacionadaDefensa penal de la empresa y compliance: cómo trabajamos