Responsabilidad penal de la persona jurídica

El régimen de responsabilidad penal corporativa en España

La posibilidad de que una empresa sea responsable penalmente —y no solo civilmente— es relativamente reciente en el derecho español. Hasta la reforma del Código Penal de 2010 (Ley Orgánica 5/2010), el principio societas delinquere non potest (las sociedades no pueden delinquir) impedía imputar responsabilidad penal directa a las personas jurídicas. La reforma introdujo el artículo 31 bis del Código Penal, que establece un sistema dual de responsabilidad penal de las personas jurídicas, completado y perfilado por la Ley Orgánica 1/2015.

Este cambio legislativo ha transformado profundamente el panorama del compliance empresarial en España: las empresas tienen ahora un incentivo de primer orden para implantar programas de cumplimiento normativo eficaces, ya que su existencia puede eximir a la organización de responsabilidad penal.

Presupuestos de la responsabilidad

La persona jurídica puede ser penalmente responsable en dos supuestos previstos en el artículo 31 bis:

Primer supuesto: los delitos cometidos en nombre o por cuenta de la entidad, y en su beneficio directo o indirecto, por sus representantes legales o por quienes actúan individualmente o como integrantes de un órgano de la persona jurídica, estando autorizados para tomar decisiones en su nombre o ejercer funciones de control y dirección.

Segundo supuesto: los delitos cometidos en el ejercicio de actividades sociales y por cuenta y en beneficio de la persona jurídica, por quienes, estando sometidos a la autoridad de las personas del primer supuesto, han podido realizar los hechos por haberse incumplido gravemente los deberes de supervisión, vigilancia y control.

Catálogo de delitos

No todos los delitos del Código Penal pueden atribuirse a personas jurídicas: el sistema español es de numerus clausus, es decir, solo los delitos expresamente previstos por el legislador pueden generar responsabilidad penal corporativa. Los más relevantes para el ámbito empresarial son:

• Tráfico ilegal de órganos (artículo 156 ter CP)
• Trata de seres humanos (artículo 177 bis CP)
• Delitos relativos a la prostitución y explotación sexual (artículo 189 bis CP)
• Estafa (artículo 251 bis CP)
• Insolvencias punibles (artículo 261 bis CP)
• Daños informáticos (artículo 264 quater CP)
• Delitos contra la propiedad intelectual e industrial (artículo 288 CP)
• Delitos contra el mercado y los consumidores (artículo 288 CP)
• Blanqueo de capitales (artículo 302 CP)
• Delitos contra la Hacienda Pública y la Seguridad Social (artículo 310 bis CP)
• Delitos contra los derechos de los ciudadanos extranjeros (artículo 318 bis CP)
• Delitos de construcción, edificación o urbanización ilegales (artículo 319.4 CP)
• Delitos contra el medio ambiente (artículo 328 CP)
• Delitos relativos a la energía nuclear y radiaciones ionizantes (artículo 343.3 CP)
• Delitos de riesgo catastrófico (artículo 348.3 CP)
• Delitos de incendio (artículo 358 bis CP)
• Delitos contra la salud pública (artículo 366 CP)
• Falsedad en medios de pago (artículo 399 bis CP)
• Cohecho (artículo 427 bis CP)
• Tráfico de influencias (artículo 430 CP)
• Corrupción en el sector privado (artículo 288 CP)
• Corrupción en transacciones internacionales (artículo 288 CP)
• Delitos de financiación ilegal de partidos políticos (artículo 304 bis.5 CP)
• Delitos de terrorismo (artículo 576.5 CP)

El programa de compliance como eximente

El artículo 31 bis.2 establece que la persona jurídica quedará exenta de responsabilidad penal si antes de la comisión del delito adoptó y ejecutó eficazmente un modelo de organización y gestión que incluya medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza.

Para que el programa de compliance exima de responsabilidad, debe cumplir los siguientes requisitos (artículo 31 bis.5):

1. Identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos.
2. Establecer los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquellos.
3. Disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.
4. Imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.
5. Establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas establecidas en el modelo.
6. Realizar una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.

Sanciones aplicables a personas jurídicas

Las penas que pueden imponerse a las personas jurídicas son:

• Multa por cuotas: de dos meses a cinco años, calculada en función de la gravedad del delito y de la situación económica de la entidad.
• Multa proporcional: al doble, triple o cuádruple del beneficio obtenido o que se hubiera podido obtener.
• Disolución de la persona jurídica: la sanción más grave, que implica la pérdida definitiva de la personalidad jurídica y la liquidación patrimonial.
• Suspensión de actividades hasta cinco años.
• Clausura de locales o establecimientos hasta cinco años.
• Prohibición de realizar las actividades en cuyo ejercicio se cometió el delito, hasta quince años.
• Inhabilitación para obtener subvenciones y ayudas públicas, para contratar con el sector público y para disfrutar de beneficios e incentivos fiscales o de la Seguridad Social, hasta quince años.
• Intervención judicial para salvaguardar los derechos de los trabajadores o de los acreedores.

Jurisprudencia del Tribunal Supremo

El Tribunal Supremo (Sala Segunda) ha precisado en varias sentencias los contornos de la responsabilidad penal corporativa. La STS 154/2016, de 29 de febrero (“caso Marjaliza”) estableció los criterios para valorar la eficacia de los programas de compliance. La STS 221/2016, de 16 de marzo, distinguió entre la responsabilidad de los representantes y la responsabilidad autónoma de la persona jurídica. La jurisprudencia posterior ha ido perfilando los requisitos del programa de compliance para que pueda operar como eximente: debe ser genuino, no meramente cosmético; debe estar adaptado a los riesgos reales de la empresa; y el órgano de supervisión debe tener autonomía real.