Aplicable en España — basado en normativa española (BOE).Cuándo una empresa responde penalmente por el delito de uno de los suyos, y cómo evitarlo con un programa de cumplimiento
Resumen rápido: La responsabilidad penal de las personas jurídicas es la que puede exigirse a una empresa, asociación o fundación por determinados delitos cometidos en su nombre y beneficio por sus administradores o representantes, o por sus empleados cuando medió un incumplimiento grave de los deberes de supervisión.
Definición flash: Una persona jurídica responde penalmente por delitos de administradores o empleados en su nombre, si la ley lo prevé. Un compliance previo puede eximirla.
Etiqueta lingüística
La expresión traduce al Derecho penal español el principio societas delinquere non potest -las sociedades no pueden delinquir-, vigente durante siglos en la tradición continental. La reforma de 2010 rompió esa regla clásica al introducir por primera vez en España un régimen de responsabilidad penal autónoma para las personas jurídicas, reforzado en 2015 con la exigencia de programas de prevención.
Definición técnica
El artículo 31 bis del Código Penal, introducido por la Ley Orgánica 5/2010 y reformado en profundidad por la Ley Orgánica 1/2015, articula dos vías de imputación. La primera, en la letra a) del apartado 1, responsabiliza a la persona jurídica por los delitos cometidos en su nombre o por su cuenta, y en su beneficio directo o indirecto, por sus representantes legales o por quienes, actuando individualmente o como órgano de la persona jurídica, están autorizados para tomar decisiones en su nombre u ostentan facultades de organización y control. La segunda, en la letra b), responsabiliza a la persona jurídica por los delitos cometidos por quienes están sometidos a la autoridad de esas personas físicas, cuando estas hayan incumplido gravemente sus deberes de supervisión, vigilancia y control.
Esta responsabilidad es de numerus clausus: el propio artículo 31 bis exige que se trate de "los supuestos previstos en este Código", de modo que la persona jurídica solo responde en los delitos concretos para los que la ley prevé expresamente esa responsabilidad -entre otros, corrupción, blanqueo de capitales, delitos contra el medio ambiente, delitos informáticos o fraudes-, no en cualquier delito cometido en su seno.
El apartado 2 del artículo 31 bis regula la exención por programa de cumplimiento en la vía de la letra a): la persona jurídica queda exenta si el órgano de administración adoptó y ejecutó con eficacia, antes del delito, un modelo de organización y gestión con medidas de vigilancia y control idóneas; si la supervisión de ese modelo se confió a un órgano con poderes autónomos de iniciativa y control; si los autores individuales eludieron fraudulentamente el modelo; y si no hubo omisión o ejercicio insuficiente de las funciones de supervisión. Cuando estas circunstancias solo puedan acreditarse parcialmente, operan como atenuante. En las personas jurídicas de pequeñas dimensiones, las funciones de supervisión pueden asumirse directamente por el órgano de administración. Para la vía de la letra b), el apartado 4 exige, más simplemente, que el modelo de organización y gestión adoptado antes del delito resultara adecuado para prevenirlo.
El apartado 5 fija los seis requisitos mínimos que debe cumplir todo modelo de organización y gestión: identificar las actividades de riesgo, establecer protocolos de formación de la voluntad y adopción de decisiones, disponer de modelos de gestión financiera adecuados, imponer la obligación de informar de riesgos e incumplimientos, establecer un sistema disciplinario propio, y someterse a verificación periódica.
El artículo 31 ter añade que la responsabilidad penal de la persona jurídica es autónoma: es exigible aunque la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella, siempre que se constate la comisión del delito por quien ostentara los cargos o funciones del artículo 31 bis.
Aplicación práctica
Para las empresas, la consecuencia práctica más relevante es que disponer de un programa de compliance no es una cuestión meramente reputacional: es la única vía legal para evitar o atenuar la responsabilidad penal cuando uno de sus administradores o empleados comete un delito de los que el Código Penal prevé para personas jurídicas. El programa debe existir y funcionar antes del hecho delictivo -uno adoptado después no exime de nada- y debe acreditarse que era realmente eficaz, no un documento formal sin aplicación real: la ley exige verificación periódica y un órgano de supervisión con poderes autónomos, no dependiente de quien puede cometer el delito.
Un error frecuente es asumir que basta con aprobar un código ético o un manual de procedimientos. La ley exige seis elementos mínimos concretos -identificación de riesgos, protocolos de decisión, gestión financiera, canal de denuncias internas, régimen disciplinario propio y revisión periódica-, y su ausencia o su carácter meramente cosmético debilita gravemente la defensa de la empresa cuando se investiga un delito cometido en su seno.
Para la defensa penal de la persona jurídica, conviene distinguir desde el inicio si el delito se imputa por la vía de administradores (letra a, con el régimen de exención más exigente) o por la vía de empleados (letra b, con un estándar de adecuación algo más flexible), porque la estrategia probatoria difiere en cada caso.
Contexto legal en España
La responsabilidad penal de las personas jurídicas se regula en el artículo 31 bis del Código Penal, introducido por la Ley Orgánica 5/2010 y reformado sustancialmente por la Ley Orgánica 1/2015, que incorporó el actual régimen de exención por programas de cumplimiento. El artículo 31 ter regula su carácter autónomo respecto de la responsabilidad de la persona física. Las penas aplicables a las personas jurídicas se enumeran en el artículo 33.7 del Código Penal.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Responsabilidad civil subsidiaria de la empresa
- La responsabilidad civil subsidiaria obliga a la empresa a indemnizar el daño causado por el delito de un empleado, sin que la empresa sea condenada como autora del delito. La responsabilidad penal del artículo 31 bis convierte a la propia persona jurídica en sujeto penalmente responsable, con sus propias penas.
- Programa de compliance como mera formalidad
- Un código ético o manual de procedimientos sin aplicación real no exime de responsabilidad. La ley exige un modelo con los seis requisitos del artículo 31 bis.5, verificado periódicamente y supervisado por un órgano con poderes autónomos.
- Persona jurídica (concepto civil)
- La existencia de personalidad jurídica propia, regulada en el artículo 35 del Código Civil, es el presupuesto para que una organización pueda ser sujeto de esta responsabilidad penal específica, pero son dos regímenes distintos y de leyes distintas.
Términos relacionados
Dato de autoridad
El artículo 31 bis.2 del Código Penal exime de responsabilidad a la persona jurídica cuando "el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza" -la eficacia y la anterioridad del programa de cumplimiento al hecho delictivo son condiciones literales de la ley, no una interpretación doctrinal.
Encuentra un abogado
Preguntas frecuentes sobre responsabilidad penal de las personas jurídicas
¿Puede una empresa ir a la cárcel?
No, las penas privativas de libertad no existen para personas jurídicas. El Código Penal prevé para ellas penas como la multa, la disolución, la suspensión de actividades, la clausura de locales o la inhabilitación para contratar con el sector público, entre otras del artículo 33.7.
¿Responde la empresa por cualquier delito que cometa un empleado?
No. Solo responde en los delitos que el Código Penal prevé expresamente para personas jurídicas -es un régimen de numerus clausus-, y solo cuando el delito se cometió en nombre o por cuenta de la empresa y en su beneficio directo o indirecto.
¿Sirve cualquier código ético como programa de compliance?
No. La ley exige un modelo con seis elementos mínimos: identificación de riesgos, protocolos de decisión, gestión financiera adecuada, canal de información de incumplimientos, régimen disciplinario propio y verificación periódica, supervisado por un órgano con poderes autónomos.
¿Puede condenarse a la empresa si no se identifica a la persona física responsable?
Sí. El artículo 31 ter establece que la responsabilidad de la persona jurídica es autónoma: basta con que se constate la comisión del delito por quien ostentara los cargos o funciones del artículo 31 bis, aunque esa persona física concreta no haya sido individualizada.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.