El pasado 23 de mayo, durante la primera “Matinal de Compliance” organizada por Fortuny Legal en Madrid, se presentó una novedad relevante para el ámbito empresarial y jurídico: la actualización de la norma UNE 19601 sobre sistemas de gestión de compliance penal, publicada el 24 de abril de 2025. Esta revisión coincide con una sentencia clave del Tribunal Supremo —la 372/2025, de 11 de abril— que consolida la doctrina sobre cómo deben responder penalmente las empresas en España.
Para que una persona jurídica sea condenada, debe demostrarse que ha fallado en su organización interna: que exista un defecto estructural que haya posibilitado o facilitado la comisión del delito. Esta visión, conocida como modelo de autorresponsabilidad, ya venía perfilándose desde la conocida “sentencia bisiesta” de 2016 (STS 154/2016), y ahora se consolida con mayor claridad y respaldo jurisprudencial a través de la sentencia del pasado mes de abril.
La sentencia del Supremo refuerza que la responsabilidad penal de una empresa no es una traslación automática de la conducta de un individuo. Se requiere un “defecto de organización” que facilite o no evite la conducta delictiva. Por tanto, la prevención no es opcional, sino una obligación inherente al deber de diligencia empresarial.
En este contexto, la nueva versión de la UNE 19601 cobra una relevancia renovada. Aunque no introduce reformas de gran calado, sí actualiza algunos aspectos clave que la alinean con las exigencias actuales del entorno normativo y judicial.
Se redefine el concepto de cultura de cumplimiento. Ya no se limita a los valores y principios declarados, sino que incorpora la conducta observable dentro de la organización. Esta cultura se asocia directamente al liderazgo, lo que subraya la importancia de que los altos cargos y los mánagers sean referentes éticos.
El rol del órgano de compliance penal también se aclara. La norma diferencia entre las funciones que este órgano debe ejecutar directamente y aquellas que debe supervisar. Esto permite definir responsabilidades de manera más clara y eficaz, lo que mejora la trazabilidad, la rendición de cuentas y clarifica las eventuales responsabilidades.
En materia de formación, se establece una distinción entre la formación —para quienes desempeñan funciones críticas en áreas de riesgo penal— y la concienciación general, que debe extenderse a toda la plantilla y socios de negocio. Esta diferenciación mejora la eficacia del programa formativo y permite ajustarlo a la proporcionalidad y razonabilidad necesarias en todo sistema de gestión de riesgos.
Otro de los cambios es el traslado de la evaluación de riesgos penales al capítulo que analiza el contexto de la organización, en línea con la ISO 37301 y otras normas UNE como la 19604 (sociolaboral) o 19603 (competencia).
Otro aspecto destacable es la actualización del canal de denuncias. La norma se adapta a los requisitos de la Ley 2/2023, de 20 de febrero (de protección de los informantes) y de la ISO 37002, incluyendo expresamente a las personas jurídicas como informantes protegidos frente a represalias.
No obstante, es importante recordar que contar con un sistema de compliance conforme a la UNE 19601 no garantiza automáticamente la exención de responsabilidad penal. Tal como advirtió la Fiscalía General del Estado en su Circular 1/2016, lo esencial no es la certificación, sino la eficacia real y ex ante del sistema para evitar el concreto delito cometido. Los tribunales valorarán cada caso en función de los hechos cometidos y de la eficacia del modelo para prevenirlos o evitarlos.
Disponer de un sistema bien diseñado, adecuadamente implementado y debidamente auditado, constituye una línea de defensa importante. Más allá de ello, invertir en compliance aporta beneficios estratégicos, refuerza la cultura organizativa, mejora la reputación y el buen gobierno corporativo, generando confianza en los grupos de interés, y contribuye a la sostenibilidad del negocio.
La conclusión es que la UNE 19601:2025 está en línea con la lógica del modelo de autorresponsabilidad establecido por el Tribunal Supremo: si el delito se comete por una persona concreta, pero en una estructura empresarial diligente y bien gestionada, no tiene sentido castigar a toda la organización. En estos casos se considerará que el delito no es explicable por un defecto de organización de la persona jurídica, sino atribuible en exclusiva a la conducta de la persona física que ha cometido el delito.
Miquel Fortuny Cendra
Socio director de Fortuny Legal
Puedes leer el artículo en Expansión, aquí.
