“El órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas”. Es la primera condición que el artículo 31 bis del Código Penal exige para eximir a la empresa. Tres palabras deciden el pleito: adoptado, ejecutado y antes.
Modelo prevención de delitos, paso a paso. Esta guía ordena la implantación en cuatro fases para el despacho, la asesoría o el departamento jurídico que tiene que montarla. En cada una veremos qué acelera una IA jurídica y qué sigue siendo criterio nuestro.
Qué exige el Código Penal a un modelo prevención de delitos
El art. 31 bis.5 fija seis requisitos. Conviene leerlos como entregables: documentos fechados que prueben que el modelo funcionaba antes del delito. En empresas que pueden presentar la cuenta de pérdidas y ganancias abreviada, la supervisión puede asumirla el órgano de administración (art. 31 bis.3).
| Requisito del modelo prevención de delitos (art. 31 bis.5) | Entregable | Fase |
| 1.º Identificar las actividades de riesgo | Mapa de riesgos penales | 1 |
| 2.º Protocolos de formación de la voluntad y de decisión | Políticas y procedimientos | 2 |
| 3.º Gestión de los recursos financieros | Controles de pagos, gastos y donaciones | 2 |
| 4.º Obligación de informar al órgano de vigilancia | Canal de denuncias | 3 |
| 5.º Sistema disciplinario | Régimen sancionador interno | 3 |
| 6.º Verificación periódica | Informe de revisión y plan de mejora | 4 |
La responsabilidad penal de la persona jurídica se decide años después: un estudio de 37 sentencias del Supremo (2015-2024) contó 70 personas jurídicas acusadas, 40 absueltas y 30 condenadas, en procesos de unos seis años de media (REDEPEC, 2024). Para un programa que ya existe, ver cómo auditar un programa de compliance penal eficaz. Aquí partimos de cero.
Fase 1: diagnóstico y mapa de riesgos penales con IA
El mapa de riesgos penales cruza cada actividad con los delitos imputables a la persona jurídica y valora su probabilidad e impacto. La Circular FGE 1/2016 pide evaluarlo “por tipos de clientes, países o áreas geográficas, productos, servicios, operaciones”.
A mano, son semanas de entrevistas y de catálogo de delitos repartido por el Código. Con Maite.ai subimos la documentación a Expedientes, y pedimos:
“Con este organigrama y estos procesos de compras, enumera los delitos imputables a la persona jurídica en cada área, con su artículo y enlace al BOE”.
La respuesta llega con la fuente citada, y el buscador de jurisprudencia con IA añade sentencias de empresas del sector. Los documentos no se usan para entrenar modelos. Lo que la IA no hace es puntuar probabilidad e impacto: eso sale de las entrevistas.
Fase 2: políticas y protocolos que no parezcan de plantilla
La Fiscalía es tajante: los modelos “deben estar perfectamente adaptados a la empresa y a sus concretos riesgos”, y copiar el de otra compañía “suscita serias reservas” sobre su idoneidad. Es el peligro de una plantilla o de una IA generalista: un código ético impecable que podría ser de cualquiera.
El orden es el inverso. Cada riesgo del mapa pide un control, y cada control, su texto: anticorrupción y regalos, terceros (aquí entra la due diligence con IA), poderes, pagos y donaciones. Con el mapa en el expediente, pedimos a Maite cada borrador vinculado a los riesgos que neutraliza.
Después, revisión cruzada: políticas que se contradicen, controles sin responsable, riesgos sin control. La Circular no está en la base de Maite: la subimos al expediente para contrastar cada texto. El método, en cómo redactar un documento legal con IA. El riesgo que la empresa acepta lo decide su órgano de administración.
Fase 3: canal de denuncias, órgano de cumplimiento y régimen disciplinario
La Ley 2/2023 exige un sistema interno de información a las empresas con 50 o más trabajadores (art. 10). No tenerlo es infracción muy grave: de 600.001 a 1.000.000 € para personas jurídicas (arts. 63.1.g y 65). La AIPI publicó su Recomendación 1/2026 y dio hasta el 10 de abril de 2026 para comunicarle el responsable del sistema.
El canal cubre el requisito 4.º, con acuse de recibo en siete días naturales y respuesta en tres meses como máximo (art. 9). El órgano de cumplimiento, o compliance officer, necesita según el art. 31 bis.2 “poderes autónomos de iniciativa y de control” y un estatuto que lo diga. Y las sanciones internas deben encajar con la graduación de faltas del convenio (art. 58 ET).
Con Maite redactamos el procedimiento de gestión de informaciones, el estatuto del órgano y la tabla de faltas, y comprobamos que no chocan con el convenio subido al expediente. Quién forma el órgano es decisión de gobierno corporativo.
Fase 4: formación, evidencias y revisión periódica
Un modelo prevención de delitos sin rastro no existe ante el juez. Según la Circular, las certificaciones “en modo alguno acreditan la eficacia del programa”. La acredita su vida diaria: formación con asistencia, actas del órgano, informaciones resueltas, controles ejecutados. La UNE 19601, revisada en abril de 2025, ayuda a decidir qué documentar.
Guardarlo todo en el expediente, junto al manual de prevención de delitos, permite defenderlo seis años después. El requisito 6.º obliga a revisarlo ante infracciones relevantes o cambios en la empresa, y una reforma legal es buen motivo para hacerlo: la Directiva (UE) 2026/1021 contra la corrupción debe transponerse antes del 1 de junio de 2028 (Legal Today). Contrastar el mapa con cada reforma del BOE pasa a ser cosa de horas.
Conclusión
Implantar un modelo prevención de delitos es un trabajo de orden: mapa, políticas, canal y órgano, evidencias. La IA no decide qué riesgos acepta la empresa ni certifica nada, pero comprime lo que más horas consume en compliance penal: cruzar actividades con el Código, redactar cada control y mantener vivo el expediente.
Si llevas el cumplimiento de tu empresa o de tus clientes, prueba a montar el mapa de tu próximo modelo prevención de delitos con Maite.ai para departamentos jurídicos.