Hay una escena que se repite en los despachos y en las asesorías. Llega el cliente con una carpeta impecable: manual de cumplimiento, código ético, un organigrama con su compliance officer y hasta un certificado enmarcado. Y llega también la pregunta incómoda: “con esto estamos cubiertos, ¿verdad?”.
La respuesta honesta casi nunca es un sí rotundo. Un programa de compliance penal eficaz no es un documento: es un sistema que se ejecuta, se supervisa y deja rastro. Y esa diferencia, entre tener el modelo y demostrar que funcionaba, es exactamente la que decide si la empresa queda exenta de responsabilidad penal o se sienta en el banquillo.
En esta guía te contamos qué exige el artículo 31 bis del Código Penal, qué mira de verdad un tribunal y cómo puedes auditar un programa contra la norma y la jurisprudencia sin dedicarle tres semanas de tu vida.
Qué es un programa de compliance penal eficaz
Un programa de compliance penal eficaz es el modelo de organización y gestión que una persona jurídica adopta y ejecuta realmente para prevenir los delitos que puede cometer en su seno, con medidas de vigilancia y control idóneas, un órgano de supervisión con poderes autónomos y evidencia documentada de su funcionamiento.
La palabra clave es eficacia. El Código Penal no premia la existencia del programa, premia su ejecución. Un modelo aprobado en consejo y guardado en una carpeta compartida no cumple el estándar legal, aunque tenga 200 páginas.
Conviene recordar también el perímetro: la responsabilidad penal de la persona jurídica solo alcanza a un catálogo cerrado de delitos. Están dentro la corrupción, el blanqueo de capitales, los delitos contra la Hacienda Pública, los medioambientales o los informáticos. No están, por ejemplo, los delitos contra los derechos de los trabajadores. Es un detalle que cambia el mapa de riesgos de una empresa industrial.
Cuándo exime de verdad: los cuatro requisitos del art. 31 bis.2 CP
Cuando el delito lo comete un administrador o alguien con facultades de organización y control, el artículo 31 bis del Código Penal exige cuatro condiciones acumulativas para la exención:
- El órgano de administración adoptó y ejecutó con eficacia, antes del delito, un modelo de organización y gestión con medidas idóneas para prevenir delitos de esa misma naturaleza.
- La supervisión del modelo se confió a un órgano con poderes autónomos de iniciativa y control.
- Los autores individuales eludieron fraudulentamente el modelo.
- No hubo omisión ni ejercicio insuficiente de las funciones de supervisión por parte de ese órgano.
Si el delito lo comete un empleado sometido a la autoridad de los anteriores, el estándar es más accesible: basta con haber adoptado y ejecutado eficazmente un modelo adecuado para prevenir ese delito o reducir significativamente su riesgo.
Y hay una tercera vía que muchos clientes desconocen: cuando las condiciones solo se acreditan parcialmente, no se pierde todo. Opera como atenuante, con rebaja de pena. En la práctica, defender un programa imperfecto pero real sigue mereciendo la pena.
Los seis requisitos del modelo de organización y gestión
El apartado 5 del art. 31 bis fija los seis elementos que todo modelo debe contener. Es el checklist con el que se mide cualquier programa:
| Requisito legal | Qué significa en la práctica |
| Identificar actividades de riesgo | Mapa de riesgos penales por proceso, área y puesto |
| Protocolos de decisión | Cómo se forma y ejecuta la voluntad de la empresa en esas áreas |
| Gestión de recursos financieros | Controles que impidan financiar la comisión del delito |
| Obligación de informar | Canal de denuncias interno accesible y sin represalias |
| Sistema disciplinario | Sanciones reales por incumplir el modelo, aplicadas de verdad |
| Verificación periódica | Revisión y actualización tras incidencias o cambios organizativos |
Sobre el canal interno, ojo: la Ley 2/2023 reguladora de la protección del informante lo convirtió en obligación autónoma para gran parte del tejido empresarial, con exigencias propias de confidencialidad y plazos de respuesta. Cumplir el 31 bis.5 sin cumplir la Ley 2/2023 ya no es una opción, igual que ocurre con las obligaciones de RGPD que afectan a las pymes cuando ese canal trata datos personales.
Qué exigen los tribunales: eficacia real, no papel
La jurisprudencia española ha sido constante en un punto: el programa se valora por lo que hizo, no por lo que dice. La STS 154/2016, de 29 de febrero, primera condena del Supremo a personas jurídicas, situó el foco en la cultura de cumplimiento de la organización más que en la existencia formal de un manual.
La STS 316/2018, de 28 de junio, reforzó esa línea al abordar la carga probatoria y el llamado paper compliance: quien invoca la eximente tiene que aportar evidencia de que el modelo estaba vivo. Actas del órgano de supervisión, formaciones con asistencia registrada, expedientes disciplinarios resueltos, revisiones del mapa de riesgos con fecha.
Y sobre las certificaciones, la Circular 1/2016 de la Fiscalía General del Estado fue tajante: valen como un elemento más de prueba, pero en modo alguno acreditan la eficacia del programa. Merece la pena decírselo al cliente antes de que enmarque el diploma.
Cómo auditar el programa con IA jurídica, paso a paso
Aquí es donde una IA jurídica cambia los tiempos. Revisar un modelo de 150 páginas contra el art. 31 bis, la UNE 19601:2025 y la jurisprudencia aplicable es un trabajo de días. Con un copiloto legal como Maite.ai se convierte en una sesión de trabajo.
- Sube el programa completo: manual, código ético, mapa de riesgos, procedimiento del canal, y pide un contraste requisito por requisito frente a los seis apartados del art. 31 bis.5. El OCR integrado permite trabajar incluso con escaneos antiguos.
- Detecta huecos y contradicciones: cláusulas que remiten a procedimientos inexistentes, funciones asignadas a puestos que ya no están, plazos incompatibles con la Ley 2/2023.
- Contrasta con jurisprudencia. Busca resoluciones sobre los delitos concretos del mapa de riesgos del cliente y sobre la eficacia de modelos similares. Nuestro buscador de jurisprudencia con IA devuelve las sentencias con enlace a la fuente, y el hábito de analizar sentencias con IA te ahorra el cribado manual.
- Redacta el informe de auditoría con hallazgos, criticidad y recomendaciones. El mismo método que aplicamos al revisar riesgos contractuales funciona aquí: primero el inventario de riesgos, después el juicio profesional.
El valor no está en que la IA “apruebe” el programa. Está en que llegues a la reunión con el cliente con el listado exhaustivo de lo que falta y las fuentes en la mano.
Qué no debes esperar de la IA en compliance penal
Una IA jurídica no certifica un sistema de gestión, no sustituye la auditoría de un tercero acreditado y no toma la decisión de si un modelo es eficaz. Tampoco hace cálculos financieros ni valora la solvencia de un control interno mirando cuentas.
Lo que sí hace, y muy bien, es lenguaje y razonamiento jurídico: leer volúmenes enormes de documentación, cruzarlos con la norma y la jurisprudencia, señalar incoherencias y preparar borradores sólidos. El criterio sigue siendo tuyo, y la responsabilidad también. Por eso trabajamos en un entorno privado donde los documentos del cliente nunca se usan para entrenar modelos: el secreto profesional no es negociable.
Conclusión
La exención del art. 31 bis no se gana con un manual: se gana con un modelo idóneo, ejecutado antes del delito, supervisado por un órgano autónomo y respaldado por evidencia. Todo lo demás es papel, y el papel no exime.
La buena noticia es que auditar esa eficacia ya no exige semanas de lectura. Si quieres ver cómo un copiloto legal contrasta un programa de compliance penal con la norma y la jurisprudencia en minutos, descubre qué puede hacer Maite.ai en tu despacho. Después, el criterio jurídico, el que de verdad convence a un tribunal, sigue siendo tuyo.