Responsabilité pénale des entreprises en Espagne

L’origine de la responsabilité pénale des entreprises en Espagne

L’Espagne a introduit la responsabilité pénale des personnes morales par la Ley Orgánica 5/2010, qui a réformé le Code pénal (Código Penal) en ajoutant l’article 31 bis. Avant cette réforme, le droit pénal espagnol reposait sur le principe societas delinquere non potest — une personne morale ne peut pas commettre d’infraction. La réforme a renversé cette position, alignant l’Espagne sur les directives européennes anticorruption et les normes de l’OCDE.

La Ley Orgánica 1/2015 a considérablement renforcé ce cadre, en précisant notamment le rôle des programmes de conformité pénale comme cause d’exonération totale (eximente) et en introduisant des conditions plus détaillées pour l’exonération.

Qui peut être responsable ?

L’article 31 bis du Code pénal crée une responsabilité pour :

• Les personnes morales (personas jurídicas) : y compris les sociétés commerciales (SL, SA, coopératives, fondations, associations) opérant à but lucratif ou non
• Les entités constituées en Espagne et les entités étrangères opérant en Espagne

Les entités suivantes ne sont pas soumises à la responsabilité pénale des personnes morales :

• L’État espagnol, les gouvernements régionaux, les collectivités locales et autres organismes publics
• Certains organismes de réglementation et agences publiques (exceptions étroites)

Les deux voies de mise en cause de la responsabilité

Voie A : Responsabilité pour actes de direction

Une société est responsable lorsqu’une infraction est commise :

• Par ses représentants légaux ou personnes ayant autorité de gestion (membres du conseil, PDG, directeurs généraux)
• Au nom de la société ou pour son compte
• Au profit de la société (direct ou indirect, y compris une réduction de coûts)

Voie B : Responsabilité pour défaut de surveillance

Une société est également responsable lorsqu’une infraction est commise :

• Par un salarié ou un subordonné (pas seulement les dirigeants)
• L’infraction a été rendue possible par le manquement à exercer une surveillance, une vigilance ou un contrôle adéquats sur cette personne par la direction

Cette seconde voie est particulièrement large : elle peut couvrir un commercial soudoyant le responsable des achats d’un client, un employé logistique fraudant des transporteurs, ou un responsable RH prenant des décisions d’embauche discriminatoires — si la société n’a pas mis en place les contrôles qui auraient prévenu ces comportements.

Infractions pouvant engager la responsabilité de l’entreprise

Le Code pénal ne rend pas toutes les infractions applicables aux personnes morales — seulement un catalogue défini :

Sanctions pénales pour les sociétés

Lorsqu’une société est condamnée, le tribunal peut imposer :

Ces sanctions s’appliquent en sus et indépendamment des sanctions pénales imposées aux auteurs individuels.

Le programme de conformité pénale comme moyen de défense

Exonération totale (Eximente Completa)

Une société est totalement exonérée de responsabilité pénale si, avant la commission de l’infraction, elle avait adopté et mis en œuvre un modèle de conformité pénale efficace (modelo de organización y gestión) qui :

1. Identifiait et cartographiait les risques pénaux inhérents aux activités de la société
2. Établissait des protocoles et des contrôles pour prévenir ces risques ou les réduire significativement
3. Désignait un organe doté de pouvoirs de surveillance autonomes (compliance officer / órgano de vigilancia y control)
4. Incluait un canal de signalement des violations potentielles (canal de denuncias)
5. Établissait un système disciplinaire en cas de violation du modèle de conformité
6. Examinait et mettait à jour régulièrement le modèle

Pour que l’exonération totale s’applique via la Voie B (infraction commise par un salarié), le modèle de conformité doit avoir été efficace et la gestion de l’órgano de vigilancia ne doit pas avoir été négligente.

Exonération partielle (Eximente Parcial)

Si le programme de conformité existait mais n’était pas pleinement mis en œuvre ou présentait des lacunes au moment de l’infraction, le tribunal peut appliquer une circonstance atténuante (atenuante) plutôt qu’une exonération totale — résultant en des sanctions réduites.

Certification de conformité

Plusieurs organismes de certification (AENOR, Bureau Veritas, Lloyd’s Register, etc.) proposent la certification des systèmes de gestion de la conformité pénale selon des référentiels normalisés (UNE 19601, ISO 37001 pour l’anti-corruption). Bien que non légalement requise pour la défense, la certification constitue une preuve solide d’une mise en œuvre effective.

Le responsable de la conformité et l’organe de surveillance

L’órgano de vigilancia y control doit disposer :

• D’une véritable autonomie par rapport à la direction (ne peut pas relever de la même direction qui fait l’objet de la surveillance)
• De ressources suffisantes et d’un accès à l’information
• Du pouvoir d’enquêter sur les violations signalées
• De la capacité de proposer des mesures disciplinaires

Dans les grandes entreprises, il s’agit généralement d’un responsable de la conformité (CCO) dédié, appuyé par une fonction conformité. Dans les petites entreprises, un avocat ou consultant externe peut exercer ce rôle. Pour les petites entreprises en deçà de certains seuils, le comité d’audit (órgano de administración) peut assumer le rôle de surveillance de la conformité.

Obligation de canal de signalement

L’obligation de disposer d’un canal de signalement dans le cadre du programme de conformité a été renforcée par la Ley 2/2023 de protección del informante (transposant la directive européenne sur la protection des lanceurs d’alerte). Les entreprises de 50 salariés ou plus doivent disposer d’un canal de signalement interne (canal interno de denuncias). Ce canal est désormais à la fois une obligation au titre de la prévention des risques et une obligation de conformité pénale.

Questions fréquentes

Une société peut-elle être condamnée même si l’auteur individuel n’est pas identifié ? Oui. Le droit espagnol permet à la société d’être condamnée même lorsque le responsable individuel n’est pas identifié, à condition que les faits constitutifs de l’infraction soient établis et qu’ils se soient produits dans le cadre de l’activité de la société à son profit.

Quel est le délai de prescription de la responsabilité pénale des entreprises ? Le délai de prescription dépend de l’infraction spécifique. Les infractions graves (corruption, blanchiment, fraude fiscale) sont prescrites au bout de 10 à 20 ans. La prescription de la responsabilité de la société court à compter de la même date que pour la personne physique.

Les filiales espagnoles de groupes étrangers sont-elles soumises à ce cadre ? Oui. Toute personne morale constituée en Espagne (y compris les filiales de groupes étrangers) est soumise à l’article 31 bis. Le fait que la société mère dispose de son propre programme de conformité international ne protège pas automatiquement la filiale espagnole — un programme adapté localement est nécessaire.

Qu’est-ce que la norme UNE 19601 ? La norme UNE 19601 est la norme espagnole (norma española) pour les systèmes de gestion de la conformité pénale, publiée par AENOR. C’est la principale norme espagnole selon laquelle les programmes de conformité pénale sont certifiés, conçue spécifiquement pour démontrer la conformité aux exigences de l’article 31 bis. La norme ISO 37001 couvre spécifiquement l’anti-corruption.

Une société peut-elle faire l’objet à la fois d’une responsabilité pénale et administrative pour les mêmes faits ? Le principe non bis in idem (interdiction du double jugement) empêche que des sanctions à la fois pénales et administratives soient prononcées pour des faits identiques. Cependant, si la poursuite pénale est en cours ou a abouti, les procédures administratives parallèles doivent généralement être suspendues dans l’attente de l’issue pénale. Après acquittement, les procédures administratives peuvent reprendre.