Compliance penal constructor: certificación AENOR 6 meses | BMC

Contexto del mandante

Un grupo constructor con 450 empleados y presencia en tres provincias había construido su posición a lo largo de dos décadas como especialista en obra civil e inmobiliaria comercial. El negocio era rentable y contaba con una cartera de contratos diversificada entre promotores privados y obra pública. Lo que carecía era de un marco de gobierno formalizado para gestionar el riesgo de terceros, una laguna que se hizo acutamente visible cuando una investigación judicial sobre la conducta de un subcontratista puso el foco sobre las prácticas de contratación del grupo.

La empresa había mantenido una relación comercial continuada con un subcontratista que era el sujeto principal de la investigación por fraude en contratos de obra pública. Aunque el grupo no era el objetivo principal, las diligencias del juez instructor revelaron que sus directivos habían aprobado contratos y facturas de ese subcontratista sin ninguna debida diligencia documentada. Bajo el art. 31 bis del Código Penal, la ausencia de controles adecuados era un factor directo en la valoración de la potencial responsabilidad penal corporativa del grupo.

El Reto

La situación presentaba tres vectores de riesgo acumulados. En primer lugar, la inexistencia total de un mapa de riesgos penales específico para el sector constructor, que presenta exposición particular a delitos de corrupción en contratación pública, blanqueo de capitales, fraude fiscal y delitos contra la seguridad de los trabajadores. En segundo lugar, la ausencia de un órgano de cumplimiento independiente con capacidad real de supervisión sobre la actividad. En tercer lugar, la falta de cualquier canal de denuncias interno que hubiera podido detectar la conducta del subcontratista antes de que trascendiera a la vía judicial.

La reforma del Código Penal de 2015 introdujo de forma definitiva la responsabilidad penal de las personas jurídicas en España. El artículo 31 bis establece que una empresa puede ser condenada penalmente por delitos cometidos en su nombre o por su cuenta, pero también abre la puerta a la exención de responsabilidad si la entidad disponía, en el momento de los hechos, de un modelo de organización y gestión suficiente para prevenir delitos de esa naturaleza. Sin ese modelo —del que este grupo carecía completamente— no había escudo jurídico alguno.

La dirección jurídica del grupo identificó seis meses como el plazo crítico: si se podía documentar y certificar externamente un programa de compliance en ese plazo, podría aportarse ante el juzgado como evidencia material de apoyo a la exención de responsabilidad. El reloj había empezado a correr.

Nuestro Enfoque

El proyecto se estructuró en tres fases solapadas diseñadas para producir un programa certificable dentro del plazo de seis meses.

Mapa de riesgos penales sectoriales. La primera fase consistió en un análisis exhaustivo de los procesos de negocio del grupo frente al catálogo de delitos del art. 31 bis. Para el sector constructor, los riesgos prioritarios identificados fueron: corrupción entre particulares y cohecho en la obtención de contratos y licencias, fraude en subvenciones y contratos públicos, blanqueo de capitales por operaciones con socios o clientes sin debida diligencia, delitos fiscales en operaciones de tesorería, y delitos contra los derechos de los trabajadores y la seguridad laboral. Cada riesgo fue evaluado por probabilidad e impacto y asignado a un proceso de negocio y a un responsable funcional.

Modelo de organización y gestión. A partir del mapa de riesgos, redactamos el conjunto documental exigido por la norma: el Código Ético corporativo, el Manual de Compliance Penal con los controles específicos por proceso, los protocolos de debida diligencia sobre terceros (proveedores, subcontratistas, intermediarios), y los procedimientos de autorización para operaciones sensibles. Diseñamos la estructura del Órgano de Cumplimiento con funciones, acceso a la información, periodicidad de reporte al consejo de administración e independencia funcional garantizada —incluyendo una línea de reporte directo a los consejeros no ejecutivos que evita la interposición de la dirección ejecutiva en los casos que la impliquen.

Canal de denuncias conforme a la Directiva Whistleblowing. Implantamos un canal de denuncias interno que cumplía simultáneamente con las exigencias del compliance penal español y con la Directiva (UE) 2019/1937, transpuesta en España por la Ley 2/2023. El canal se configuró con anonimato garantizado, gestión por un tercero independiente para los casos que implicaran a la propia dirección, plazos de respuesta reglamentarios y registro completo de actuaciones. La formación al personal sobre el uso del canal y la prohibición de represalias se realizó en cascada por niveles jerárquicos, con registros de asistencia documentados.

Certificación AENOR. La fase final consistió en someter el programa a auditoría externa de certificación conforme a la norma UNE 19601. La auditoría AENOR evaluó el diseño del modelo, la efectividad de los controles implantados, la adecuación del órgano de cumplimiento y la evidencia documental de formación e implantación real en toda la organización. El programa obtuvo la certificación sin observaciones mayores.

Resultados

El programa de compliance penal quedó plenamente operativo en seis meses desde el inicio del proyecto. La certificación AENOR fue aportada por la defensa del grupo en el procedimiento judicial como prueba de la existencia de controles suficientes previos a los hechos investigados, elemento clave para sostener la exención de responsabilidad penal contemplada en el art. 31 bis.4 CP.

Durante el primer año de funcionamiento, el canal de denuncias recibió siete comunicaciones. Tres correspondían a irregularidades administrativas menores que fueron corregidas internamente. Dos alertaron sobre prácticas de un subcontratista diferente que no cumplía con los criterios de debida diligencia establecidos, lo que permitió rescindir el contrato preventivamente antes de que se materializara ningún riesgo. Las dos restantes resultaron ser consultas procedimentales mal clasificadas que fueron redirigidas al departamento interno correspondiente.

El grupo dispone hoy de una estructura de gobierno corporativo con un nivel de madurez en compliance penal que, según la auditoría AENOR, supera la media del sector en España. El órgano de cumplimiento se reúne trimestralmente con el consejo y elabora un informe anual de riesgos, prácticas que no existían antes del proyecto.

Conclusiones Clave

El compliance penal en España no es un ejercicio documental: es un proyecto de infraestructura de gobierno corporativo. Los tribunales que valoran la exención del art. 31 bis examinan si los controles estaban genuinamente operativos, no simplemente si estaban escritos. Los dos casos en este expediente donde esa distinción más importó fueron precisamente los casos donde el canal funcionó: un segundo fraude de subcontratista fue prevenido en el año uno porque un empleado utilizó el sistema de reporte para alertar sobre conductas sospechosas antes de que alcanzaran el nivel de una investigación penal. La inversión en construir un programa real —no un escudo de papel— produjo beneficios operativos que se extendieron mucho más allá de la crisis jurídica original.