Qué es el compliance en empresas: guía completa

Entender qué es el compliance en empresas y por qué es obligatorio se ha convertido en una prioridad para directivos y administradores en España. Desde la reforma del Código Penal que introdujo la responsabilidad penal de las personas jurídicas, contar con un programa de cumplimiento normativo ya no es una opción, sino una necesidad estratégica y legal. En este artículo desglosamos los elementos esenciales, la base legal, los beneficios y las consecuencias de no tener un sistema de compliance adecuado.

Definición de compliance empresarial

El compliance, o cumplimiento normativo, es el conjunto de procedimientos, políticas y controles internos que una organización establece para garantizar que su actividad se ajusta a la legislación vigente, a las normas regulatorias aplicables y a sus propios estándares éticos.

No se trata únicamente de cumplir la ley en sentido estricto. El compliance abarca también los códigos de conducta internos, las políticas anticorrupción, la protección de datos, la prevención del blanqueo de capitales, las normativas sectoriales y los compromisos voluntarios asumidos por la empresa ante sus grupos de interés.

El concepto tiene su origen en el ámbito anglosajón, donde las regulatory compliance obligations llevan décadas integradas en la gestión corporativa. En España, su impulso definitivo llegó con la reforma del Código Penal de 2010 y, especialmente, con la de 2015, que reconoció explícitamente que los programas de compliance pueden eximir o atenuar la responsabilidad penal de las empresas.

Base legal en España: artículo 31 bis del Código Penal

El artículo 31 bis del Código Penal español establece que las personas jurídicas son penalmente responsables de los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, por sus representantes legales o por quienes, estando sometidos a la autoridad de estos, hayan podido realizar los hechos por haberse incumplido gravemente los deberes de supervisión, vigilancia y control.

Sin embargo, el mismo artículo prevé la exención de responsabilidad penal cuando la empresa haya adoptado y ejecutado eficazmente, antes de la comisión del delito, modelos de organización y gestión que incluyan las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión.

Los requisitos que el Código Penal establece para que un programa de compliance sea eficaz son:

1. Identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos (mapa de riesgos penales).

2. Establecer los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas.

3. Disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos.

4. Imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento del modelo (canal de denuncias).

5. Establecer un sistema disciplinario que sancione el incumplimiento de las medidas del modelo.

6. Realizar una verificación periódica del modelo y su eventual modificación cuando se pongan de manifiesto infracciones relevantes o cambios en la organización.

Este marco legal convierte al compliance en una herramienta jurídica de primer orden. No tener un programa de compliance no constituye un delito en sí mismo, pero priva a la empresa de su principal línea de defensa en caso de que se cometa un delito en su seno.

Elementos de un programa de compliance eficaz

Un programa de compliance robusto se construye sobre varios pilares interdependientes:

Mapa de riesgos. Es el punto de partida. Consiste en identificar y evaluar los riesgos penales, regulatorios y éticos a los que está expuesta la empresa en función de su sector, su tamaño, su estructura y su ámbito geográfico de actuación. El mapa debe considerar delitos como la corrupción, el fraude fiscal, el blanqueo de capitales, los delitos contra los trabajadores, los delitos medioambientales, el cohecho, el tráfico de influencias y los delitos informáticos, entre otros.
Código ético y políticas internas. El código ético establece los principios y valores que deben guiar la conducta de todos los miembros de la organización. Las políticas internas concretan estos principios en procedimientos operativos: política anticorrupción, política de regalos y hospitalidades, política de conflictos de interés, política de protección de datos y política de competencia leal. Contar con una definición clara de la misión, visión y valores de la empresa proporciona el fundamento sobre el que construir el código ético.
Canal de denuncias (whistleblowing). La Ley 2/2023, de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, transpone la Directiva europea de whistleblowing y obliga a todas las empresas con cincuenta o más trabajadores a disponer de un canal interno de denuncias. Este canal debe garantizar la confidencialidad del denunciante, la protección frente a represalias y la investigación diligente de las denuncias recibidas.
Formación y comunicación. Un programa de compliance es eficaz solo si los empleados lo conocen y lo entienden. La formación debe ser periódica, adaptada a cada perfil de riesgo y documentada. La comunicación interna debe reforzar continuamente la cultura de cumplimiento.
Organismo de vigilancia (compliance officer). La empresa debe designar un órgano o persona responsable de supervisar el funcionamiento del programa, con autonomía e independencia suficientes, acceso a la información necesaria y recursos adecuados. En las pymes, esta función puede recaer en un miembro del consejo de administración o en un responsable externo. Desarrollar las habilidades directivas necesarias para ejercer esta función de supervisión resulta fundamental.
Sistema disciplinario. El programa debe prever consecuencias claras para quienes incumplan las normas internas, desde amonestaciones hasta el despido, pasando por la denuncia ante las autoridades competentes cuando proceda.
Evaluación y mejora continua. El programa no es un documento estático. Debe someterse a revisiones periódicas, auditorías internas y externas, y actualizarse ante cambios legislativos, organizativos o de mercado.

Quién necesita un programa de compliance

Técnicamente, cualquier persona jurídica puede ser penalmente responsable en España, lo que significa que todas las empresas, independientemente de su tamaño, están potencialmente expuestas. Sin embargo, la necesidad práctica de un programa formal varía:

Empresas obligadas por regulación específica:

• Entidades financieras y aseguradoras (supervisadas por el Banco de España y la DGSFP).
• Empresas sujetas a la normativa de prevención del blanqueo de capitales.
• Empresas cotizadas (sujetas a la CNMV y al código de buen gobierno).
• Empresas con cincuenta o más empleados (canal de denuncias obligatorio).

Empresas que deberían tener compliance por prudencia:

• Pymes con actividad internacional, donde los riesgos de corrupción y de incumplimiento de normativas extranjeras se multiplican. Las empresas que operan en comercio exterior están especialmente expuestas.
• Empresas que licitan en contratación pública.
• Empresas de sectores regulados (salud, alimentación, medioambiente, transporte).
• Empresas en crecimiento rápido, donde la estructura de control puede quedarse obsoleta.

Para las pymes más pequeñas, un programa de compliance no tiene por qué ser complejo ni costoso. Un mapa de riesgos simplificado, un código ético básico, un canal de denuncias sencillo y una formación periódica constituyen un punto de partida razonable y eficaz.

Beneficios del compliance más allá del cumplimiento legal

Los beneficios de un programa de compliance trascienden la mera prevención de sanciones:

• Exención o atenuación de responsabilidad penal. Es el beneficio jurídico más directo y poderoso, como establece el artículo 31 bis del Código Penal.
• Protección reputacional. Un escándalo por corrupción, fraude o incumplimiento puede destruir en días una reputación construida durante años.
• Mejora del gobierno corporativo. El compliance obliga a formalizar procesos, documentar decisiones y establecer controles que mejoran la gestión global de la empresa. Esta mejora se alinea con la creciente importancia de la normativa ESG para las empresas españolas.
• Ventaja competitiva. Las grandes empresas y las administraciones públicas exigen cada vez más acreditaciones de compliance a sus proveedores y contratistas.
• Cultura organizativa. Un programa de compliance bien implementado fomenta una cultura de integridad, transparencia y responsabilidad que atrae talento y genera confianza.
• Reducción de costes. La prevención de litigios, multas y daños reputacionales evita costes muy superiores a los de implantar un programa de cumplimiento.

Consecuencias de no tener compliance

Las consecuencias de carecer de un programa de compliance pueden ser devastadoras:

Responsabilidad penal de la empresa. Las penas aplicables a las personas jurídicas incluyen multas (que pueden alcanzar el quíntuplo del beneficio obtenido), disolución, suspensión de actividades, clausura de establecimientos, inhabilitación para obtener subvenciones o contratar con el sector público, e intervención judicial.
Responsabilidad personal de administradores y directivos. Los administradores pueden responder personalmente, tanto penal como civilmente, por los daños derivados de su falta de diligencia en la supervisión.
Exclusión de contratación pública. Las empresas condenadas por determinados delitos quedan excluidas de los procesos de licitación pública.
Pérdida de confianza. La pérdida de confianza de clientes, inversores, empleados y socios comerciales puede ser irreversible.

La implementación de un programa de compliance debe verse como una inversión en la sostenibilidad y la resiliencia del negocio. Quienes se planteen establecer un plan de recursos humanos completo encontrarán que las políticas de compliance refuerzan directamente las buenas prácticas laborales.

El rol del compliance officer

El compliance officer, o responsable de cumplimiento, es la figura clave del programa. Sus funciones principales son:

• Diseñar, implantar y actualizar el programa de compliance.
• Supervisar el cumplimiento de las políticas internas.
• Gestionar el canal de denuncias y las investigaciones internas.
• Coordinar la formación en materia de cumplimiento.
• Reportar periódicamente al consejo de administración o al órgano de gobierno.
• Mantenerse actualizado sobre los cambios legislativos y regulatorios.

En pymes, esta función puede externalizarse o asignarse a un directivo con formación específica. Lo importante es que la persona designada tenga independencia real, acceso a la información y recursos suficientes para desempeñar su labor.

Conclusión

El compliance en empresas ha pasado de ser una práctica voluntaria a convertirse en un componente esencial de la gestión empresarial en España. El artículo 31 bis del Código Penal establece claramente que un programa de cumplimiento eficaz puede eximir a la empresa de responsabilidad penal, lo que convierte al compliance en la mejor póliza de seguro jurídico que puede tener una organización. Más allá de la obligatoriedad legal, los beneficios en términos de gobierno corporativo, reputación, cultura organizativa y competitividad justifican sobradamente la inversión. Las pymes no deben percibir el compliance como una carga burocrática, sino como una herramienta de protección y de mejora continua.