Dado el carácter histórico del derecho penal, siempre que se produce la introducción de un nuevo tipo delictivo o surge una nueva línea argumentativa, se despierta el lógico interés por todos los operadores jurídicos, guiados por el ánimo de analizar estas. Si ello es así con tipos concretos, mucho más cuando la novedad afecta a un hecho nunca cuestionado como era el que las sociedades no podían delinquir, recogido en el principio clásico societas delinquere non potest.

Todo cambió, sin embargo, con la aprobación de la LO 5/2010; pues por primera vez en nuestra historia se estableció por el legislador la responsabilidad penal de las personas jurídicas. Tal introducción ha dado lugar a numerosos artículos doctrinales, estudios de derecho comparado y, en menor medida, pronunciamientos jurisprudenciales. Y, como parecía lógico también, múltiples interpretaciones al respecto, dado que, no sólo se introduce un nuevo sujeto activo en el derecho penal, sino que, además, éste es una ficción jurídica que es llevada a un campo del derecho que se basaba en el concepto de acción como conducta humana.

El delito, desde la perspectiva de su teoría general, se define como la acción típica, antijurídica, culpable y punible y, desde el derecho positivo español, como las acciones y omisiones dolosas o imprudentes penadas por la ley (art. 10 CP). Tal sencilla definición, sin embargo, da lugar a interesantísimos debates doctrinales y ello, sobre cada uno de sus elementos. No puede extrañar por ello que la introducción de la responsabilidad penal de las personas jurídicas sea una cuestión de intenso debate doctrinal, pues cuando aún existen numerosos debates sobre la doctrina general, se ha introducido, nada más y nada menos, que un nuevo sujeto activo que ha de ser “encajado” en ésta.

Pero hasta que se afiance, si es que ello es posible, una doctrina mayoritaria, no puede soslayarse que la responsabilidad penal de la persona jurídica está en vigor, y que, desde una perspectiva estrictamente práctica, resulta muy importante determinar unos mínimos en orden a su eventual aplicación.

Que las personas físicas y las personas jurídicas no son lo mismo es, permítaseme, algo obvio. Así, toda persona física cuenta, per se, con conciencia y voluntad, en tanto en las personas jurídicas, es inexistente. De ahí que se hable como una ficción jurídica su capacidad jurídica y de obrar. La conciencia y voluntad de una persona jurídica no es otra cosa que la suma de la conciencia y voluntad de una, o varias, personas físicas. Tal obviedad no genera ningún problema práctico en la realidad económica desde hace tiempo, pero, tratar de aplicar ciertos principios propios del derecho penal a la misma no es nada sencillo, ya que la esencia tradicional de éste se construyó sobre la base de la conducta humana, que, obviamente, no es predicable de una ficción jurídica. La decisión de cometer un delito se encuentra presidida por la conciencia y voluntad individual, de ahí que antes de la reforma, la Jurisprudencia veía en el principio de culpabilidad «un obstáculo muy importante para que se pueda considerar, en nuestro ordenamiento jurídico, como autora de un delito a una persona jurídica»¹. La forma de exteriorizar la voluntad de la persona jurídica, en el marco de la vigente economía de mercado, no ofrece problema alguno y, entre otras cosas, sirve para limitar la responsabilidad de las personas físicas². Pero ¿puede, ésta,  equipararse a efectos penales? ¿No generaría ello un campo para la impunidad de aquellas personas físicas base de la exteriorización de la voluntad?

Pero, considerado lo anterior, cabe plantearse qué es lo que realmente importa a los gestores de una persona jurídica, conocer cuál es el fundamento de la culpabilidad penal de la misma o conocer cómo actuar para evitar que ésta se vea inmersa en un proceso penal. La decisión de cometer un delito se encuentra presidida por la conciencia y voluntad individual, por ello cabe preguntarse en qué medida tal decisión individual puede extenderse a la ficción jurídica³ o, mejor expresado, cómo se ha regulado en nuestro derecho positivo. Y para ello debemos de acudir a lo dispuesto en el Código Penal, concretamente a su Libro I, Título II, que lleva por rúbrica “De las personas criminalmente responsables de los delitos”, englobando los artículos 27 a 31 quinquies.

En términos generales, el código penal alude a los «responsables criminalmente de los delitos» individualizando como tales a los autores y los cómplices (art. 27) para, a continuación, identificar quienes se encuentran en tales categorías. De tal manera, cuando aludimos al autor tenemos tanto a aquella persona que comete el delito por sí mismo, como a aquellos que lo comenten conjuntamente o a través de otro del cual se sirven como instrumento y, junto a ello, se consideran también autores a los inductores y a los cooperadores necesarios (art. 28). A las categorías anteriores se añadió con posterioridad, una categoría para responder de ciertos delitos especiales propios en los que la condición no se daba en persona física alguna, sino que concurría únicamente en la jurídica (art. 31) y, finalmente, la de las propias personas jurídicas como responsables penales (art. 31 Bis).

Con base a esto, cabría afirmar que las personas jurídicas no cometen delitos, en determinadas circunstancias, eso sí, son responsables penales de ciertos delitos cometidos por una persona física. Es por ello por lo que la máxima «societas delinquere non potest» no está completamente desencaminada, aun cuando sólo sea respecto al más puro sentido gramatical.

El delito, como decíamos, es la acción típica, antijurídica, culpable y punible.Y, cuestión diferente, es quién responde por del delito cuando éste se comete. Es, dentro de esta segunda faceta, en la que se introduce la responsabilidad penal de las personas jurídicas, pero no debemos “perder de vista” que la teoría general del delito se aplica para la definición de éste y sus elementos, sin perjuicio de que, cuando de quiénes deben responder del mismo, se apliquen otras cuestiones no necesariamente incluidas en el concreto tipo penal. Para un práctico del derecho, tales cuestiones se aproximan más a aspectos procesales propias del campo de la carga de la prueba y lo cierto es que no son desconocidas.

Así, una vez probada la comisión de un delito, desde siempre han existido otras personas no materialmente autoras que pueden responder por éste y que el propio código asimila a autoras en algunos casos. En el supuesto del inductor: se debe probar que una persona influyó al autor material (u otro en caso de inducciones en cadena) para que éste cometiese el delito; en el del cooperador necesario: se debe de probar la participación de una persona en un acto sin el cual no se habría cometido el delito.; en el del cómplice: se debe probar la participación en un acto anterior o simultáneo al delito que ayuda al mismo. Y, en ciertos delitos especiales propios: se debe probar que se trata de un administrador de hecho o de derecho, o que actúa en nombre o representación legal o voluntaria de la persona jurídica en la que si concurren las circunstancias.

Ahora bien, a diferencia de lo que ocurre con los existentes hasta la LO 5/2010, en que no se planteaban problemas desde la aplicación del principio de culpabilidad, la nueva extensión si los plantea debido a su esencia de ficción jurídica y que el legislador ha resuelto, con mejor o peor acierto, sobre una dualista distinción en función de qué persona física comete el delito y la relación (o capacidad) que la misma tiene para expresar la voluntad de la persona jurídica con exigencias probatorias distintas.

Como ya decía la Circular de la Fiscalía General de Estado 1/2016, «No es esta una controversia meramente especulativa o doctrinal, sino que tiene un indudable alcance práctico. Si el fundamento de la imputación es la defectuosa organización societaria y esta se configura como elemento del tipo o define su culpabilidad, la acusación deberá probar, además de la comisión del delito por las personas físicas de las letras a) y b) del apartado primero, que tal infracción se ha cometido a consecuencia del ineficiente control de la persona jurídica. Otro entendimiento -que la persona jurídica estuviera obligada a probar su adecuado sistema de organización- representaría una inversión de la carga de la prueba constitucionalmente inadmisible. Ahora bien, si el fundamento de la imputación de la persona jurídica reside en la conducta delictiva de sus dirigentes o en el incumplimiento de sus obligaciones de control sobre los subordinados, esto será lo único que deba probar la acusación. En este entendimiento, los programas de control constituyen una referencia para medir las obligaciones de las personas físicas con mayores responsabilidades en la corporación (letra a), como indicaba la Circular 1/2011. Pero será la persona jurídica la que deberá acreditar que tales programas eran eficaces para prevenir el delito, cuestión ésta sobre la que se volverá más adelante al analizar los programas de organización y gestión».

Soslayando, como señaló la STS 298/2024 «el ya cansino tema de la disyuntiva autorresponsabilidad versus heterorresponsabilidad con relación a las personas jurídicas», entendemos más acertado centrarnos en qué se debe probar para poder ejercitar una pretensión de condena penal frente a una persona jurídica.

Pues bien, conforme el artículo 31.bis.1 del CP, existen dos supuestos claramente distintos y diferenciados, aunque con elementos comunes, así:

a) Se debe probar que se trata de sus representantes legales o aquellos que actúen individualmente o como integrantes de un órgano de esta, que estén autorizados para tomar decisiones en su nombre u ostente facultades de organización y control dentro de la misma   y que se cometan en su nombre o por su cuenta, y en su beneficio directo o indirecto,

b) Se debe probar que se trata de personas sometidas a la autoridad de las anteriores y que se ha cometido en el ejercicio de actividades sociales, por cuenta y en beneficio directo o indirecto y que «han podido realizar los hechos por haberse incumplido gravemente por aquellos los deberes de supervisión, vigilancia y control de su actividad atendidas las concretas circunstancias del caso».

Como se viene diciendo , a diferencia de lo que sucede con otras personas que responden criminalmente por el delito cometido por otra, en que la culpabilidad se encuentra clara en cuanto les afecta a ellas mismas por sus decisiones y voluntad, el problema básico de las personas jurídicas está en su culpabilidad.

Las personas físicas y las personas jurídicas no son lo mismo. Es cierto que ambas tienen capacidad jurídica y capacidad de obrar, pero mientras que las primeras son, digamos, innatas, en las segundas son fruto de una ficción jurídica. Y, a partir de tal ficción, en la normativa se atribuye a ciertas personas físicas, u órganos, la capacidad de expresar la voluntad de la persona jurídica; esto es, la voluntad de la persona jurídica se expresa a través de una, o varias, personas físicas.

Si partimos de la premisa anterior, y la aplicamos a los subapartados a) y b) del artículo 31.bis.1 del CP se comprueba el porqué de la distinta carga de la prueba. Las personas del subapartado a) son básicamente aquellas que pueden expresar la voluntad de la persona jurídica, de ahí que, cuando son ellas las que comenten el delito en el seno de la empresa y en su beneficio, se produce una doble conjunción de expresión de voluntades, la individual de la persona física y la individual de la ficción jurídica. No es que exista responsabilidad objetiva, es que tal persona obra emitiendo la voluntad tanto de sí mismo como de la persona jurídica.

Por el contrario, las del subapartado b) carecen de la capacidad para emitir la voluntad de la persona jurídica, de ahí que, en delitos cometidas por éstas en el seno de sus funciones y en beneficio de esta, sea exigible algo más, pues tal persona no estaría emitiendo la voluntad de la jurídica, y por ello, la carga de la prueba se extiende a un defecto en la organización que ha de ser probado por las acusaciones.  Ello día lugar a que se comenzase a hablar del delito corporativo como defecto de organización. Sin embargo, tal denominación puede dar lugar a confusiones, pues técnicamente no es correcto aludir a delito, aunque sin duda, si que resulta preciso un plus probatorio en tales casos muy vinculado, si se quiere, con la existencia de una cultura ética de cumplimiento afianzada en el seno de la persona jurídica.

Establecido lo anterior, y como también ocurre con las personas físicas, el ordenamiento prevé causas que excluyen o atemperan la culpabilidad. Así, al igual que una persona física puede cometer un hecho delictivo y, por ejemplo, matar a otra, sin ser culpable por una enfermedad mental, de la misma manera se prevé que una persona jurídica no sea responsable del delito cometido por alguna de las personas físicas señaladas por tener implantado un programa eficaz de cumplimiento normativo., cuestión a la que se refieren los apartados 2, 3 y 4 del artículo 31.bis.

Probado lo anterior, cómo se deben de valorar los programas de cumplimiento normativo y, en qué fase procesal son otras de las cuestiones que generan gran problemática, tanto dogmática como a nivel práctico, pues son múltiples los aspectos a los que no se ha dado una regulación lo necesariamente clara. No obstante, con carácter previo entiendo conveniente realizar una serie de consideraciones previas vinculadas al nuevo estatuto procesal de la persona jurídica ante un procedimiento penal.

Cuando se inicia una investigación por un delito cometido indiciariamente en el seno de una persona jurídica, la primera consideración que ha de tenerse presente es que, como consecuencia de su eventual declaración como investigada, le corresponde el manto protector del artículo 24 de la Constitución Española, esto es, el derecho de defensa que, entre otras cosas, supone el derecho a no declarar contra si misma y a no confesarse culpable. Las cuestiones que afectan al mismo al inicio de una investigación, y que ahora quiero destacar, es la relativa a los eventuales requerimientos que se le pueden hacer, pues no cabe duda que toda investigación, en mayor o menor medida, habrá de sustentarse en el análisis de diversa documentación empresarial.

Anteriormente a la reforma no existía duda alguna de que a las personas jurídicas podía requerírseles cuanta información fuese necesaria para la investigación, fuese quién fuese la persona física que estuviese como investigada, pues al no estarlo, ni poder estarlo, la persona jurídica, no existían eventuales conflictos con el derecho de defensa. Ahora bien, desde la reforma todo cambio pues, como señala el Tribunal Constitucional si una persona investigada, en el uso de su derecho a no declarar contra sí misma o no autoincriminarse decide no aportar aquella documentación que no le convenga, no puede obligársele a tal aportación, pues la imposición de cualquier sanción o medio conminatorio lesionaría el derecho referido y el derecho a un proceso con todas las garantías (Sala Primera, Sentencia 18/2005 de 1 Feb. 2005, rec. 3147/2001). Para tales casos, en la medida que resulte la documentación imprescindible y proporcionada a las diligencias, podrá acordarse, claro está, la entrada y registro para su obtención, conforme los parámetros exigidos para tal diligencia limitativa de derechos fundamentales.

Pero, sin llegar a tal resolución limitativa de derechos fundamentales, ha de analizarse si todo requerimiento de documentación vulneraría el derecho de defensa. No cabe desconocer que las entidades mercantiles han de tener ciertos documentos con carácter obligatorio, siendo además algunos de ellos objeto de preceptiva publicación en registros públicos. Por ello, cuanto se trate de obtener documentos que son obligatorios por normativa, ha de entenderse que los requerimientos son legítimos, al igual que lo son los requerimientos de la AEAT en un procedimiento inspector. Tal cuestión tiene importancia, pues dentro de tales documentos, aparte d ellos relativos a la llevanza de la contabilidad, contamos con los documentos relativos a otorgamiento de poderes y facultades delegadas en el seno de la organización, lo que afectará, sin duda, en orden a determinar si nos encontramos ante un supuesto de la letra a) o b) del apartado primero del artículo 31.bis.

Obviamente, tal y como es lógico y deseable en un Estado de Derecho, para recabar de una persona investigada cualquier tipo de documento que no sea de obligada existencia conforme a la normativa, no podrán efectuarse requerimientos coercitivos. Si se podrá, lógicamente, dirigir oficios a la cualquier persona investigada haciéndole saber qué tipo de documentos se desea obtener en la investigación a los efectos de que la misma, si así lo entiende conveniente en el legítimo ejercicio de su derecho de defensa los presente, o si, por el contrario, acogiéndose a éste, obsta por su no presentación. La decisión que adopte la misma, sin embargo, no es baladí, pues constituye una evidencia de su voluntad de colaboración, y ello va unida a la posible apreciación de la circunstancia atenuante del artículo 31.quater.b) del CP.

La siguiente fase en que entraría en juego el derecho de defensa, es la relativa a la toma de declaración de la persona jurídica como investigada, en que, no cabe duda alguna, la misma cuenta con iguales facultades que cualquier persona física, por lo que, puede acogerse a su derecho a no declarar, a contestar sólo a alguna de las partes, a contestar a unas preguntas sí y a otras no, a guardar silencio. Cuestión más problemática, aunque igualmente predicable de las personas físicas, es si el derecho de defensa incluye también el derecho a mentir, respecto del cual únicamente cabe poner de manifiesto que, como ha dictado la jurisprudencia, «es cierto que este Tribunal ha afirmado que el imputado en un proceso penal no está sometido a la obligación jurídica de decir la verdad, sino que puede callar total o parcialmente o incluso mentir, en virtud de los derechos a no declarar contra sí mismo y a no confesarse culpable (por todas, SSTC 68/2001, de 17 de marzo, FJ 5, 233/2002, de 9 de diciembre, FJ 3; 312/2005, de 12 de diciembre, FJ 1; 170/2006, de 5 de junio, FJ 4) y que no pueden extraerse consecuencias negativas para el acusado derivadas exclusivamente del ejercicio de su derecho a guardar silencio o de los derechos a no declarar contra sí mismo o a no confesarse culpable (por todas, STC 76/2007, de 16 de abril, FJ 8). A lo que cabría añadir que el ejercicio del derecho de defensa -al que aparecen íntimamente vinculados los derechos fundamentales invocados por los recurrentes- ofrece una cobertura reforzada a las manifestaciones vertidas tanto por los Abogados en el ejercicio de su función de defensa, como por los ciudadanos que asumen por sí mismos en un procedimiento la defensa de sus derechos e intereses legítimos, por no ser preceptiva la asistencia letrada (por todas, SSTC 288/1994, de 27 de octubre, FJ 2; 102/2001, de 23 de abril, FJ 4, y 299/2006, de 23 de octubre, FJ 4). Ahora bien, de todo lo anterior no puede concluirse -como hacen los recurrentes- que los derechos a no declarar contra sí mismos y no declararse culpables en su conexión con el derecho de defensa consagren un derecho fundamental a mentir, ni que se trate de derechos fundamentales absolutos o cuasi absolutos, como se llega a sostener en la demanda, que garanticen la total impunidad cualesquiera que sean las manifestaciones vertidas en un proceso, o la ausencia absoluta de consecuencias derivadas de la elección de una determinada estrategia defensiva. Ello no es así ni siquiera en el proceso penal. Pues aunque hemos afirmado que la futilidad del relato alternativo no puede sustituir la ausencia de prueba de cargo, so pena de asumir el riesgo de invertir la carga de la prueba, también hemos declarado que, en cambio, la versión de descargo puede servir como contraindicio o como elemento de corroboración de los indicios a partir de los cuales se infiere la culpabilidad (por todas, SSTC 220/1998, de 16 de noviembre, FJ 6; 155/2002, de 22 de julio, FJ 15; 135/2003, de 30 de junio, FJ 3; 147/2004, de 13 de septiembre, FJ 6; 55/2005, de 14 de marzo, FJ 5, y 10/2007, de 15 de enero, FJ 5). Nuestra doctrina, por tanto, desvirtúa el argumento expuesto en la demanda según el cual ninguna consecuencia negativa puede derivarse de la falsedad de las afirmaciones de los recurrentes por haber sido emitidas en el ejercicio de su derecho a no confesarse culpables”».

Llegados a este punto, y tratando de seguir con el planteamiento práctico, ante una eventual declaración como investigada de una persona jurídica, desde la perspectiva del programa de cumplimiento normativo, corresponderá a esta tanto su alegación como la prueba de su contenido y aplicación efectiva. Pues, se ha de tener muy presente que la propia existencia de un programa de cumplimiento normativo no es imperativa para ninguna entidad, de forma que corresponde a cada una la decisión de su implantación. Ello refuerza, aún más si cabe, la naturaleza de eximente que le confiere el artículo 31.bis del CP y hace que deba de hacerse una somera referencia a las reglas procesales generales relativas a las circunstancias eximentes.

Una de las primeras cuestiones que conviene tener presentes, es que la carga de la prueba de las circunstancias eximentes corresponde a aquella parte que las esgrime en el proceso. Lo que implica que, sólo cuando el Ministerio Fiscal plantea la aplicación de la eximente, corresponderá a éste la carga formal de su prueba. Por otra parte, ha de destacarse el cambio jurisprudencial reciente en orden a su valoración desde la distinción entre carga material y formal de la prueba que se expresa con toda claridad en la STS núm. 291/2024, del 21 de marzo de 2024.

Con carácter tradicional,  señala dicha resolución que venía siendo relativamente pacífica la jurisprudencia que señalaba «“que las circunstancias modificativas de la responsabilidad, cuya carga probatoria compete a la parte que las alega deben estar tan acreditadas como el hecho delictivo mismo (SSTS. 138/2002 de 8.2, 716/2002 de 22.4, 1527/2003 de 17.11, 1348/2004 de 29.11, 369/2006 de 23.3). Las causas de inimputabilidad como excluyentes de la culpabilidad (realmente actúan como presupuestos o elementos de esta última) en cuanto causas que enervan la existencia del delito (por falta del elemento culpabilístico) deben estar tan probadas como el hecho mismo y la carga de la prueba, como circunstancias obstativas u obstaculizadoras de la pretensión penal acusatoria. Los déficits probatorios no deben resolverse a favor del reo, sino en favor de la plena responsabilidad penal (STS. 1477/2003 de 29.12). En definitiva, para las eximentes o atenuantes no rige la presunción de inocencia ni el principio «in dubio pro reo». La deficiencia de datos para valorar si hubo o no la eximente o atenuante pretendida no determina su apreciación.”». Se descartaba con ello la afectación constitucional de dos principios de suma importancia en el proceso penal, como son la presunción de inocencia y el in dubio pro reo; exigiendo en el orden valorativo las mismas condiciones para su aplicación que la relativa a la carga probatoria de los hechos constitutivos de la infracción y autoría. Con ello, cumplida la carga material de la prueba del delito y la participación por la acusación, para la aplicación de una atenuante o eximente, la parte que la alegaba debía de probar sus circunstancias con igual rigor.

El cambio jurisprudencial, no obstante, su fue anunciando paso a paso, y así, continúa la inicial resolución citada señalando como «las SSTS 335/2017, de 11 de mayo, 722/2020, de 30 de diciembre, 204/2021, de 4 de marzo, si bien descartan el juego de la presunción de inocencia para despejar la incertidumbre y las implicaciones que del mismo pueden derivarse en orden a la atribución de cargas de prueba, vienen, sin embargo, a coincidir en la necesidad de que a la hora de determinar, a la luz de los resultados probatorios, si concurre, o no, una eximente o atenuante juegue el “principio in dubio pro reo”». Hasta que, finalmente, ya se rechaza la tradicional jurisprudencia a comienzos del 2024, llegando a afirmarse en la STS 77/2024, de 25 de enero «que ha de considerarse sepultada definitivamente la idea de que las eximentes o atenuantes han de estar tan acreditadas como el hecho mismo (como dice el Tribunal Superior de Justicia en su Sentencia en fórmula tan repetida -también por esta Sala- como criticable)».

Conforme a las reglas anteriores, y volviendo al texto del precepto, el legislador ha establecido que la aplicación de la eximente sea en correspondencia con la persona física autora del delito, así, en los supuestos de la letra a), será de aplicación lo dispuesto en el apartado segundo; en tanto, en los supuestos en que el autor sea alguna de las personas contempladas en la letra b), será de aplicación lo dispuesto en el apartado cuarto. Resulta obligada su transcripción, pues las exigencias son mucho mayores para los supuestos de la letra a):

Y

Como fácilmente se comprueba, ambos comparten como elemento común, el denominado por el legislador «modelo de organización y gestión» que, como mínimo necesario deberá «cumplir los siguientes requisitos:

1.º Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos.

2.º Establecerán los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquéllos.

3.º Dispondrán de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.

4.º Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.

5.º Establecerán un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo.

6.º Realizarán una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios».

Podrá afirmarse, vista la regulación, que es evidente que el legislador ha establecido un sistema dualista en que la persona jurídica ha de elegir si prefiere contar con un modelo integral de cumplimiento o, con un modelo que sólo afecta a los empleados (letra b), esto es, que excluya a los altos directivos (letra a). Tal decisión tiene pleno sentido, pero igualmente tiene importantes limitaciones, pues, no puede soslayarse que, por más que las juntas generales de accionistas constituyan la representación integral de la voluntad de una sociedad anónima, es el juego de las mayorías de los derechos de votos en el seno del consejo las que, de forma real, toman las decisiones fundamentales en las empresas. Con base en ello, corresponde a tales órganos decidir si quieren incluir a una tercer persona u órgano que vigile sus propias facultades de dirección. A fin de cuentas, el oficial de cumplimiento normativo ha de verse como un “empleado” que, sin facultades ejecutivas, tiene plenas facultades supervisoras, incluyendo a toda persona física u órgano colegiado con facultades ejecutivas. Y que no sólo ha de tenerlas, sino que también han de ejercerlas de forma plena y efectiva, pues la necesidad de probarlas abarca tanto su existencia como se ejercicio.

Existiendo, como se ha dicho, grandes dudas interpretativas sobre la forma en que ha de interpretar y aplicar la responsabilidad penal de la persona jurídica, fue transpuesta al ordenamiento jurídico español la Directiva (UE) 2019/1937 Del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, por la ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Dicha ley regula la figura del informante (o delator), en referencia -de forma simplista- a quién por su trabajo tenga conocimiento de una actividad ilícita en el seno de la empresa cómo puede actuar para ponerla en conocimiento, bien de la propia empresa, bien de un tercero; así como las obligaciones que se imponen a toda empresa.

De la nueva regulación, por su conexidad con lo expuesto, merece destacarse la obligatoriedad de establecer un sistema interno de información y un canal de denuncias interno y anónimo dentro de la empresa, así como la figura del responsable de este con la dotación necesaria para poder cumplir con sus funciones, entre las que destaca, la obligación de «remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito. En el caso de que los hechos afecten a los intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea». Previsión que ha de ser completada con la obligación de «contar con un libro-registro de las informaciones recibidas y de las investigaciones internas a que hayan dado lugar» ya que, si bien la propia ley establece el carácter confidencial del mismo, concluye estableciendo que «Este registro no será público y únicamente a petición razonada de la Autoridad judicial competente, mediante auto, y en el marco de un procedimiento judicial y bajo la tutela de aquella, podrá accederse total o parcialmente al contenido del referido registro». Tal previsión resulta, cuanto menos, enigmática, pues parece dar a entender que la investigación interna que realice una empresa tras la recepción de un denuncia en su canal interno habrá de ser entregada a la autoridad judicial siempre que ésta, por auto, la requiera. Previsión que, en la medida que la persona jurídica pueda ser declarada investigada, supone un evidente conflicto con su derecho de defensa.

El planteamiento anterior, no obstante -y sin caer en ningún fraude de ley- puede ser fácilmente evitado. En efecto, el mismo se basa en identificar el programa de cumplimiento normativo a efectos del artículo 31 bis del CP con la nueva regulación del sistema interno de información, esto es, considerar que ambos son lo mismo o, cuanto menos, se solapan. Pero lo cierto es que, ni el código penal, ni la ley 2/2023, obligan a que uno se integre en el otro, pudiendo perfectamente ser ambos autónomos e independientes. Con ello se conseguiría, en caso de indicios de un delito en que la propia persona jurídica pudiese resultar eventualmente responsable penal que investigación interna se hiciese amparada por el derecho de defensa y no dentro del sistema de información interno, bastando para ello que el responsable del sistema, tras remitir la denuncia al Ministerio Fiscal, diera por cumplida su función y pudiese encargarse una investigación interna en el marco de un eventual ejercicio del derecho de defensa.

Introducción

La distribución de la responsabilidad penal en el marco de los delitos de empresa, a partir de la LO 5/2010 (lo que se mantiene en la LO 1/2015), es la de constituir un sistema dual o acumulativo.

En efecto, el fundamento de la punición de la persona jurídica es que ha conculcado un precepto penal por medio de las personas físicas que actúan en su nombre. Nadie ha negado nunca que las personas jurídicas, por sí mismas, no puede llevar a cabo acciones, pero se parte de la concepción dogmática de que, a través de sus acciones u omisiones corporativas, se pueden cometer delitos. Y que tales hechos se ejecutan por su administradores o representantes, que lo hacen, no a título particular, sino como gestores sociales, y exclusivamente en dicha función corporativa. Por ello, el fundamento de su responsabilidad es distinto cuando se conculca un precepto penal por una persona física que por una persona jurídica. En ello descansa el distinto fundamento de la exigencia de tales responsabilidades. Solamente bajo esta tesis puede construirse la responsabilidad penal de la persona jurídica.

En efecto, una de las características fundamentales del Derecho Penal del siglo XXI ha sido la ampliación del sujeto penal a las personas jurídicas. La modificación llevada a cabo por la LO 5/2010, de 22 de junio, que entró en vigor el día 23 de diciembre de 2010, ofrece una panorámica totalmente nueva en punto a la exigencia de responsabilidad penal de las personas jurídicas, terminando con el viejo aforismo acuñado en nuestro Derecho histórico más tradicional, conforme al cual “societas delinquere non potest”.

Títulos de imputación

La ley ha dispuesto dos títulos de imputación, uno para aquellos delitos cometidos en nombre o por cuenta de una persona jurídica y en su beneficio, directo o indirecto, por las personas que tienen poder de representación de las mismas, y otro, por no haber controlado adecuadamente a sus empleados o trabajadores.

Como quiera que tal fundamento se basa en la falta de organización social, a título de culpabilidad, que ha de acarrear una pena, y para evitar esa responsabilidad, se concede la exención de la misma a las empresas que tengan implantado un compliance que haya sido adoptado con eficacia, pese a lo cual, se haya cometido el delito en su seno.

Requisitos para la responsabilidad corporativa

Seguimos en este apartado a la STS 298/2024, en donde se sintetiza esquemáticamente tal responsabilidad corporativa, que exigirá:

1. La responsabilidad penal de una persona jurídica necesita de un elemento nuclear positivo (comisión de un delito por quien actúa como directivo o empleado del ente).
2. Otro requisito normativo (que se trate de uno de los delitos en que está prevista esa posible responsabilidad).
3. Uno más negativo (que no esté implantado un plan de cumplimiento eficaz que haya tenido que ser burlado para la actuación delictiva del agente).
4. Y finalmente, reclama un elemento accesorio que es pieza imprescindible: el delito, objetivamente considerado y con independencia del móvil del agente, ha de redundar en beneficio directo o indirecto de la persona jurídica.

Algunas consideraciones previas

En esta materia, se está construyendo, casi desde cero, una nueva teoría jurídica del delito de las personas jurídicas. Por ello, no pueden sus detractores, aplicando viejos dogmas jurídicos, intentar derribar este nuevo modo de exigir responsabilidad penal a las empresas o sociedades mercantiles, bajo la aplicación de conceptos de una teoría jurídica del delito de las personas físicas, pues evidentemente se encontrarán fallos de coordinación o de fundamentación. No hablamos de la responsabilidad de personas físicas, sino jurídicas, esto es muy obvio. En consecuencia, han de adaptarse los criterios de imputabilidad de las personas físicas a las personas jurídicas, pues los responsables son ontológicamente distintos. Si no se parte de este planteamiento no se entenderá absolutamente nada.

Otra diferencia es la penalidad que prevé el Código Penal, pues aquí, aparte de la pena de multa, se opera con diversidad electiva de penas, de modo que el juzgador selecciona la penalidad correspondiente. Esto no es más que una diferencia entre ambos sistemas. De igual forma, podría diseñarse este sistema para las personas físicas, pero históricamente no se ha procedido así. Pero no es mejor un sistema que otro, ambos tienen ventajas e inconvenientes.

Es verdad que un delito menos grave puede generar la disolución de la sociedad, y que un delito muy grave, puede saldarse exclusivamente con una pena de multa (que no es siempre proporcional), pero ello no sería más reprochable por su planteamiento que por su resolución.

Hecho de conexión

El sistema de responsabilidad de la persona jurídica se basa necesariamente en la conculcación del derecho penal. No puede existir responsabilidad sin infracción penal. En consecuencia, es preciso el examen del hecho de conexión que deriva del artículo 31 ter del Código Penal:

Es, pues, necesario un delito; este delito debe haberse cometido dentro del seno de la persona jurídica, esto es, en el círculo de su actuación social; se ha tenido que perpetrar por quien ostente los cargos o funciones aludidos en el art. 31 bis del Código Penal. Es decir, la ley penal está diseñando los dos títulos de imputación, base del sistema:

1. La de los cargos, esto es, la representación de la persona jurídica.
2. La de las funciones, esto es, la del control de los trabajadores o empleados.

Y ello, aunque la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella. Lo que nos lleva al paradigma de que no hay un injusto propio de la persona jurídica en el Libro II del Código Penal.

Que la ley penal parte de tal hecho de conexión, resulta con toda claridad del contenido del art. 31 bis, apartado 1, del Código Penal, en tanto que proclama que «las personas jurídicas serán penalmente responsables:» (…) «de los delitos cometidos por» (tanto en la letra a) como en la letra b); es decir, toma en consideración un autor físico.

Diseño conceptual del compliance

De hecho, el compliance es el modelo en donde puede comprobarse que la ley penal parte de un sistema de auto-responsabilidad, pues tales programas de cumplimiento van dirigidos a la organización, por encima de la conducta de cada individuo, a la que le alcanza, sin embargo, el derecho penal antropocéntrico.

Con respecto a la responsabilidad por actos propios de la persona jurídica, la jurisprudencia, por ejemplo, la STS 747/2022, de 27 de julio, lleva a cabo esta observación: «Se dice que la sanción a la persona jurídica se funda en la ausencia de un sistema interno de prevención eficaz. Eso ha permitido hablar a la jurisprudencia de un delito corporativo y establecer un fundamento diferenciado de la sanción, así como hablar de autorresponsabilidad». También se enmarcan en esta misma tesis, entre varias otras, las Sentencias números 534/2020, de 22 de octubre o 234/2019, de 8 de mayo.

Sistema acumulativo o dual

Recapitulando, el punto de partida de la reforma operada por la LO 5/2010, conforme al cual tal responsabilidad procederá incluso “cuando la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella”, exige, primero, la oportuna moderación de sanciones en caso de concurrencia, teniendo de todos modos en cuenta que “la concurrencia, en las personas que materialmente hayan realizado los hechos o en las que los hubiesen hecho posibles por no haber ejercido el debido control, de circunstancias que afecten a la culpabilidad del acusado o agraven su responsabilidad, o el hecho de que dichas personas hayan fallecido o se hubieren sustraído a la acción de la justicia, no excluirá ni modificará la responsabilidad penal de las personas jurídicas”.

Dicho en palabras de la STS 668/2017, de 11 de octubre: «La responsabilidad por el hecho propio y la reivindicación de un injusto diferenciado se han perfilado como presupuestos sine qua non para proclamar la autoría penal de una persona jurídica».

En suma, la responsabilidad penal de una persona jurídica: no desplaza ni sustituye la responsabilidad penal de las personas físicas que, actuando en su nombre o por cuenta suya, han cometido el delito (STS 321/2023, de 09/05/2023).

Único vestigio de cierta conexión entre ambos sujetos

Cuando como consecuencia de los mismos hechos se impusiere a ambas la pena de multa, los jueces o tribunales modularán las respectivas cuantías, de modo que la suma resultante no sea desproporcionada en relación con la gravedad de aquéllos (art. 31 ter.1), con la oportuna moderación de sanciones en caso de concurrencia.

De manera que se toma en consideración por el legislador que ambas personas se encuentren personadas en el proceso penal.

Nótese que la ley penal modula las cuantías en función de la gravedad de los delitos, y no en función de la cuantificación de las sanciones pecuniarias. Lo que no siempre se ha entendido así, como cuando la STS 583/2017, de 19 de julio, en un caso de multa proporcional en un delito de blanqueo de capitales, expresaba que «para fijar su monto no puede dejar de tomarse en consideración la eventual participación plural para no multiplicar desproporcionadamente el total de la cuantía objeto de blanqueo y aplicarlo a la multa».  

Y que se aplica en caso de que concurran en el proceso diversas personas jurídicas con forma jurídico mercantil societaria que están participadas en porcentajes o bien altos o totales por quienes son a su vez responsables penales y por tanto merecedores de una multa.

Eso ha de repercutir, sigue diciendo la jurisprudencia, en la cuantía de las respectivas multas (art. 31 ter 4.1 inciso final) y obliga a rectificar las penas pecuniarias impuestas en la sentencia de instancia que no razona de forma cumplida por qué se acude a cuantías superiores al mínimo (STS 583/2017, de 19 de julio).

Sin embargo, la STS 36/2022 de 20 de enero, correctamente se refiere a la gravedad del delito: Modulación de las cuantías de la pena de multa, conforme a lo dispuesto en el art. 31 ter 1 CP para evitar, en su caso, que la suma resultante no fuera desproporcionada en relación con la gravedad del único hecho castigado.

Sobre este tema resulta muy interesante citar la STS 409/2022, 26 de abril, que toma en consideración no solamente la multa, sino también las penas relativas a la pérdida de la posibilidad de obtener subvenciones o ayudas públicas y del derecho a gozar de los beneficios o incentivos fiscales o de la Seguridad Social, que deben ser igualmente reducidas, lo que es conforme con la gravedad del delito y no solamente con su cuantía.

Incluso la STS 217/2024, de 7 de marzo, analizando un delito contra la Hacienda Pública, con respecto a la persona física, llevó a señalar que cuando todos sus socios son penalmente responsables del delito, no es factible condenar a su vez a la sociedad. Lo que no se refiera a que todos los administradores sociales lo sean (STS 298/2024, de 8 de abril).

Por lo demás, fuera de ello, ausencia de toda interferencia entre ambos tipos de personas: La concurrencia, en las personas que materialmente hayan realizado los hechos o en las que los hubiesen hecho posibles por no haber ejercido el debido control, de circunstancias que afecten a la culpabilidad del acusado o agraven su responsabilidad, o el hecho de que dichas personas hayan fallecido o se hubieren sustraído a la acción de la justicia, no excluirá ni modificará la responsabilidad penal de las personas jurídicas, sin perjuicio de lo que se dispone en el artículo siguiente (circunstancias atenuantes, conforme se lee en el art. 31 ter. 2).

Inexistencia de litisconsorcio pasivo necesario

De todo lo que venimos exponiendo se deduce que la responsabilidad penal de la persona jurídica no exige ni la presencia ni la responsabilidad de la persona física, razón por la cual (STS 455/2017, de 21 de junio) no existe un improcedente litisconsorcio pasivo necesario en esta materia, careciendo de fundamento si tenemos en cuenta que la responsabilidad de la persona física es autónoma de la del ente social; además, la pretensión de haberse vulnerado el principio acusatorio por ese defecto tampoco es sostenible pues no existe el derecho a la condena de otro.

Mutaciones en materia de responsabilidad civil

Ello no quiere decir que se produzcan mutaciones de la responsabilidad civil de la persona jurídica, como sucedería en el caso de haber sido absuelta como responsable penal una persona jurídica, no pueda ser condenada como partícipe a título lucrativo, tanto por la vía de la responsabilidad civil subsidiaria como por la del propio art. 122 del Código Penal.

Incluso como responsable civil subsidiaria, pues sabido es que, en este caso no hace falta que el delito haya redundado en su beneficio o provecho.

Responsabilidad de la persona jurídica sin persona física

Como ya hemos señalado, y a tenor del art. 31 ter., apartado 1, la responsabilidad penal de las personas jurídicas será exigible siempre que se constate la comisión de un delito que haya tenido que cometerse por quien ostente los cargos o funciones aludidas en el artículo anterior, aun cuando la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella.

En suma, ese aserto «haya tenido que cometerse…», no significa otra cosa que la ley penal diseña un modelo de atribución de responsabilidad penal a la persona jurídica, sin persona física.

Igualmente significa también que diseña una especie de inferencia probatoria: a la vista de los datos disponibles, ha tenido que cometerse un delito en su seno, del cual va a responder la persona jurídica, sin atender a otras consideraciones.

Apunta también que no hay que buscar culpables individuales, basta la mera comisión delictiva, para agilizar su atribución delictiva.

Y simboliza finalmente una especie de principio de oportunidad para no seguir buscando personas físicas responsables.

No creemos se trate, aunque también se valoró dogmáticamente en su momento, como una tercera regla de imputación, aparte de la correspondiente a los representantes y a los empleados descontrolados, como fundamento de la responsabilidad penal de las personas jurídicas.

Esta forma de actuación no es novedosa, se ha empleado dicha inferencia en delitos cometidos por una persona física, como en el caso de falsedad documental, en donde existe la línea interpretativa acerca de la cual si un delito de falsedad aparece cometido y no se conoce su autor material, responde aquel que, sirviéndose del documento falso, lo aprovecha en su beneficio, de manera que, como el delito no lo es de propia mano, responderá como autor material (en tanto que consta un delito que ha debido cometerse por quien le aprovecha, y no se sabe a cierta ciencia, quién lo cometió).

Cuestiones dogmáticas

Si hablamos de condena de personas jurídicas sin persona física, qué duda cabe que resultará interesante analizar cuestiones dogmáticas, sobre el grado de ejecución delictiva, e incluso su participación.

Así, vemos cómo la STS 827/2016, de 3 de noviembre parte de la condena a persona jurídica por delito de estafa procesal, en grado de tentativa. En el caso, no se planteó por ninguna parte el grado de ejecución del delito corporativo, pero qué duda cabe que tal aspecto es una cuestión dogmática.

De manera que nos planteamos si puede tener distinto grado de ejecución el delito de la persona física y el de la persona jurídica.

No hay ninguna duda que el delito de la persona física, o hecho de conexión, puede estar cometido en imperfecto grado de ejecución, pero sobre el de la persona jurídica, podemos tomar dos opciones: a) es posible que el delito corporativo lo esté siempre, o no, en ese mismo grado imperfecto de ejecución; b) o bien el delito corporativo es una consecuencia automática del delito correspondiente al hecho de conexión y toma ese mismo grado de ejecución. En tal caso, sería otro aspecto de conexión entre la responsabilidad penal de ambas personas.

Nos inclinamos por la primera tesis, que se enmarca más bien en la concepción de la separación de responsabilidades. En efecto, ante la comisión de un hecho de conexión que describe un delito intentado, el delito corporativo, por el contrario, puede estar consumado, pues la persona jurídica se ha desorganizado para permitir la infracción penal (bien ésta se consume o se intente), pues puede sostenerse que no ha habido un mero intento de desorganización o de falta de control, sino un completo descontrol que ha dado lugar al delito, y, sin embargo, el hecho de conexión ha resultado intentado, sencillamente porque los controles establecidos por la víctima o por las autoridades han impedido su consumación. En suma, puede encontrarse en grado de tentativa o de consumación.

La jurisprudencia sostiene que puede existir tentativa, pero no excluye la consumación del delito corporativo.

Grado de participación

Ahora analizamos la participación delictiva, y sus posibilidades: autoría o complicidad. Y nos preguntamos: ¿es posible la condena como cómplice de un representante de la persona jurídica y no en concepto de autor? La respuesta viene de la mano de la siguiente interrogación: si el concepto de control, que fundamenta la responsabilidad de la persona jurídica, puede ser graduado, o no. Como vemos, es otra derivada del tema que acabamos de tratar.

Quien controla como miembro de la cúpula de la sociedad (consejo de administración), responderá a título de autor.

Claro es que en el segundo título de imputación, pueden existir también subordinados que supervisen la operación, en cuyo caso, pueden responder en concepto de cooperación necesaria o de complicidad, lo que se fundamentará en su aportación causal.

Quien supervisa incorrectamente, arrastra la responsabilidad penal de la sociedad, pero ese delito corporativo, ¿podrá descomponerse en distintas formas de participación? La STS 89/2023, de 10 de febrero, hubiera entrado en un espacio argumental muy interesante, pero finalmente no hizo falta. Dice esta resolución judicial con respecto a la posición del recurrente:

“No hay previsión punitiva –argumentan las recurrentes–, para la participación de una persona jurídica como “cooperadora necesaria” del delito de un tercero (art. 28 b CP) pues o se actúa por cuenta de aquélla (art. 31 bis CP) o la utilización como instrumento de la empresa, pero no por su cuenta, no permite la sanción separada e independiente de ésta”.

Otras categorías dogmáticas

Nos preguntamos ahora si los delitos que cometen las personas jurídicas son delitos especiales, o comunes. O bien depende del delito cometido en el correspondiente hecho de conexión. Así, un delito fiscal, como delito especial que es, o igualmente, un delito de alzamiento de bienes, permite considerar que el autor sea un representante de la persona jurídica, pero puedan concurrir extraneus, como la figura de un asesor fiscal o un auditor (por ejemplo, en el caso de la Sentencia de Pescanova, a la que después aludiremos).

Desde luego consideramos fuera de toda duda, que un delito de estafa no se convierte en especial, por el hecho de que sea cometido por una persona jurídica.

Con todo, una reciente Sentencia del Tribunal Supremo (STS 298/2024, de 8 de abril) analiza alguno de estos interrogantes. Así, dirá uno de los recurrentes que para que surja responsabilidad penal de una persona jurídica, el art. 31 bis exige que el directivo o empleado que actúa por cuenta de ella o a su servicio sea autor principal del delito. Solo cometería el delito el autor directo, es decir, quien lo ejecuta. No cometerían el delito los inductores, ni los cooperadores, necesarios o no; tan solo quien realiza el hecho (art. 28 CP). Esto llevaría a descartar la responsabilidad penal de las tres sociedades implicadas en el caso enjuiciado, en cuanto sus administradores serían penalmente responsables solo como cooperadores necesarios, no como autores. Ellos no habrían cometido el delito, sino solo participado en el delito cometido por un tercero, persona física.

La referida Sentencia se contesta del siguiente modo:

Sutil interpretación que no podemos suscribir. Cuando el art. 31 bis habla de “delitos cometidos” por determinadas personas ligadas al ente colectivo está pensando en todas las formas de participación y no solo en la autoría directa.

Ese entendimiento es el que concuerda no solo con la primera acepción del término «cometer» en el diccionario, sino también con la inteligencia que se da a ese verbo en muchos pasajes del Código Penal (vid. por todos, art. 120.4 CP).

Cuando se habla de comisión de un delito se alude a todos los responsables penales, sea cual sea su participación, y en todas sus formas de aparición, también la tentativa. Quien intenta, sin lograr consumarlo, perpetrar un delito, también ha cometido un delito. Quien induce a otro a ejecutar un delito, ha cometido un delito en la semántica del CP.

Pero, sobre todo, sigue argumentando la Sentencia citada, es que sistemáticamente nuestro Código Penal no admite ese voluntarioso reduccionismo de las locuciones cometer un delito o comisión de un delito a los supuestos de autoría, excluyentes de los demás partícipes.

Lo confirma un rápido repaso al cuerpo normativo. Basta llevar la equivalencia propugnada por el recurrente a otros pasajes del Código para que se derrumbe el frágil edificio argumental de carácter lexicológico. Pensamos en los arts. 20, 57.3, 80, 86.1.a), 90.3 in fine, 90.8, 94, 95, 129 bis, 140 bis, 156 quater y quinquies,171.4, 192.3, 400, entre muchos otros… No; de esas previsiones no están excluidos los partícipes.

Los argumentos de signo teleológico anudados al principio de intervención mínima pierden con ello todo apoyo gramatical y se convierten en vaporosas razones que podrían aconsejar variar la ley pero que no condicionan su interpretación.

¿Cómo se calibra la responsabilidad del delito corporativo?

Partimos del deber de organizarse, cuya obligación no viene estrictamente establecida en el Código Penal, que no lo enuncia propiamente, aunque puede deducirse sin mucho esfuerzo de sus preceptos, y especialmente, por lo que hace a las sociedades mercantiles de la Ley Sociedades de Capital, cuyo art. 225, proclama un “Deber general de diligencia”, y en el art. 227, un deber de lealtad.

De manera que el directivo/administrador, no solamente ha de ser un ordenado empresario, sino que ostenta el control de la sociedad, que es tanto como organizarla adecuadamente.

Para ello el ordenamiento jurídico le impone:

• deber de informar/informarse
• deber de lealtad
• deber de indemnizar el daño causado
• obligación de devolver el enriquecimiento injusto

No es, pues, extraño que el Preámbulo de la LO 1/2015, de 30 de marzo, declare que la finalidad de la reforma es “…llevar a cabo una mejora técnica en la regulación de la responsabilidad penal de las personas jurídicas (…) con la finalidad de delimitar adecuadamente el contenido del «debido control», cuyo quebrantamiento permite fundamentar su responsabilidad penal».

Pero sustancialmente nuestro Código Penal residencia el quantum de la pena, tomando en consideración el «puesto que en la estructura de la persona jurídica ocupa la persona física u órgano que incumplió el deber de control» (lo que resulta del art. 66 bis, circunstancia 1ª).

De manera que deberá analizarse tal puesto en la estructura de la persona jurídica para individualizar la pena, esto es, el puesto que ostente la persona física o el órgano que incumplió el deber de control. La razón hay que buscarla en que cuanto más alto esté tal directivo o administrador, mayor será la responsabilidad de la persona jurídica, y por consiguiente, más intensa la necesidad de pena; y al contrario, en escalones inferiores.

Observamos esta diferencia en el primer título de imputación, en tanto se exige: a) estar autorizado para tomar decisiones en nombre de la persona jurídica, o bien b) ostentar facultades de organización y control dentro de la misma.

A tal efecto, deberíamos distinguir entre delegados o consejeros delegados del Consejo de Administración y propios miembros del mismo Consejo.

En realidad, son dos facetas de lo mismo: las decisiones están relacionadas con las facultades de organización y control.

En la segunda regla de imputación, los directivos a los que se refiere el precepto (art. 31 bis.1 b), son propiamente los anteriores, en tanto que dan órdenes o controlan (supervisan) a los trabajadores de la sociedad.

¿Quién actúa en nombre de una persona jurídica?

Tales personas físicas son, por definición legal, aquellas «que actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en nombre de la persona jurídica u ostenten facultades de organización y control dentro de la misma». El artículo prevé, pero no distingue, que se tomen decisiones individuales o colegiadas. De manera que no solamente es preciso ostentar facultades de organización y control, sino también haber tomado una decisión. Naturalmente, aquellos que han votado a favor serán los eventualmente responsables, no los que hayan votado en contra.

¿Por qué han desaparecido los administradores de hecho?

En la regulación operada por LO 1/2015 han desaparecido los administradores de hecho, pues el texto derogado se refería a los «administradores de hecho o de derecho» de tales personas jurídicas. Y tal efecto, no se comprende que hayan desaparecido en 2015 los administradores de hecho en el art. 31 bis, y sin embargo, se mantengan en la responsabilidad en nombre de otros, a que alude el art. 31 del Código Penal.

La ley penal restringe, en consecuencia, el concepto de autoría a la propia y legal representación, sin tomar en consideración al administrador de hecho, siempre y cuando pudiera involucrar jurídicamente a la sociedad. Pero es claro que no puede tomarse hoy este punto de vista, por haber desaparecido con la LO 1/2015.

En cambio, seguirá siendo posible el testaferro en la participación de los delitos especiales propios (art. 65.3). Y se aplicará el principio de accesoriedad limitada o mínima.

En efecto, la responsabilidad en nombre de otro viene declarada en el art. 31 del Código Penal, a cuyo tenor:

Este precepto tiene espacio en la autoría de delitos que pueda cometer una persona jurídica y que no sean de catálogo delictivo. Con la característica de que aquí se permitirá la presencia de un administrador de hecho, al contario de las personas jurídicas a que se alude en el art. 31 bis del Código Penal. Y en los que el representado sea una persona física (en donde la figura de un administrador de hecho, suele ser menos habitual, pero no inexistente: personas discapacitadas, por ejemplo).

No se comprende bien, en consecuencia, este distinto régimen en cuanto a los administradores de hecho, en unos casos para las personas jurídicas penalmente responsable, y en otros, en los supuestos de responsabilidad personal en nombre de otros.

¿La nueva regulación de la responsabilidad de las personas jurídicas es más favorable que la responsabilidad en nombre de otro?

Esta cuestión ha sido ya respondida por la jurisprudencia en sentido positivo. Así, en la STS 234/2019, de fecha 8 de mayo, declara la retroactividad favorable del nuevo régimen de responsabilidad penal de las personas jurídicas al derogado artículo 31.2 del Código penal. Y declara: el nuevo régimen de responsabilidad de las personas jurídicas es incompatible con la responsabilidad directa y subsidiaria en el pago de la multa establecida en el artículo 31.2 del Código Penal derogado.

Responsabilidad de los administradores

Al analizar esta cuestión, hemos de distinguir entre empresas familiares o de pocos socios, y las grandes compañías.

Respecto a las primeras, la sociedad la dominan todos los administradores, que conocen los pormenores de su gestión diaria, luego en estas sociedades el conocimiento del acto ilícito es consecuencia de su escaso volumen de negocio, de manera que pueden ser imputados todos los administradores. Por ello, ¿no sería redundante también su imputación a título personal? Creemos que en las sociedades de pequeñas dimensiones no debería sancionarse tanto al administrador individualmente como a la propia sociedad, cuando sean decisiones tomadas de consuno por toda la compañía. Llevar a cabo una doble imputación bajo el sistema dualista, podría dar lugar a la conculcación del bis in idem.

Sin embargo, en las grandes compañías las decisiones se toman en el ámbito de un Consejo de Administración, que a veces delega en consejeros delegados la gestión de una parcela mercantil: la responsabilidad debe residenciarse en el ejecutivo que tiene la competencia delegada (partícipes: 65.3 C.P.), pero que involucra a la persona jurídica.

En ambos casos, la solución viene de la mano de la teoría del dominio de la acción. Conforme a ella, quien domina la acción, responde de sus actos. Tal teoría excluye con carácter general a los subordinados, que se limitan a cumplir las órdenes de quien domina la acción, los cuales tienen poder de la compañía para tomar una decisión de donde provenga la responsabilidad (de la empresa).

Pero quien comete el hecho de conexión no puede ser, a su vez, quien lo controla, porque no se permite esa dualidad en este tipo de responsabilidad, como analizaremos más adelante.

El beneficio directo o indirecto

Con la regulación original derivada de la LO 5/2010, se acuñó el término «provecho», que tenía un claro componente económico. La LO 1/2015, lo refiere al beneficio, que conecta más con cualquier ventaja, de cualquier naturaleza, sea económica o no, y siendo tan amplio el concepto de beneficio, la mención legal de directo o indirecto, trata de proclamarlo con más fuerza aún.

En caso de que el delito redunde en perjuicio de la sociedad, no estaría aquí comprendida la responsabilidad de la empresa.

Podemos entender (aunque es algo discutido doctrinalmente) que ese beneficio fundamenta la responsabilidad penal, pero, claro, no es necesario para su responsabilidad civil subsidiaria. Veamos el siguiente esquema práctico:

RPPJ => beneficio

RCS => es indiferente, beneficio o perjuicio

La Sentencia dictada en el denominado «caso Pescanova» (STS 89/2023, de 10 de febrero) declara que no cabe la menor duda –y así resulta con toda evidencia del tenor literal del propio artículo 31 bis del Código Penal–, que la declaración de responsabilidad criminal de una persona jurídica demanda como presupuesto indispensable que la actuación desarrollada por las personas físicas que actuaron en nombre o por cuenta de las mismas, lo hubiera sido también en beneficio, directo o indirecto, de la persona jurídica declarada a la postre responsable.

La aportación de esta Sentencia a la dogmática de las personas jurídicas viene de la mano de que el beneficio existe, incluso aunque finalmente no se logre. Pues, en realidad, lo que el artículo 31 bis del Código Penal exige, como elemento indispensable para que pueda asentarse la responsabilidad penal de la persona jurídica, no es que la misma haya obtenido como consecuencia de los delitos cometidos en su nombre o por su cuenta un beneficio real, directo o indirecto, sino que aquellos hechos delictivos se cometieran “en beneficio” de la misma.

Se ha dicho que solamente se ha de controlar lo que beneficia a la sociedad, no lo que le perjudica. Si diéramos por válida esta afirmación, deberíamos tomar en consideración que la organización no puede controlar cualquier acontecimiento que tenga lugar en el desarrollo de su actividad, entendiéndose como un razonable límite exigir únicamente que lo haga con respecto a las conductas que le son estructuralmente beneficiosas, quedando excluidas las que ningún beneficio puedan reportarle.

Dicho de otro modo, se ha venido entendiendo que la empresa tenderá a relajar sus controles con relación, precisamente, a aquellos comportamientos que pudieran generarle beneficios, siendo precisamente ahí donde dichas prevenciones resultarán más necesarias.

Y, en fin, también se han invocado consideraciones relativas a la teoría de la pena, observando que donde las conductas delictivas producidas en el seno de la organización se realizan “en beneficio o en interés” de ésta, es donde tendrá más sentido atribuirle responsabilidad penal, compensando de ese modo el enriquecimiento pretendido.

Concepto finalístico

Pero ello no significa, naturalmente, que dicho beneficio haya de ser efectivamente obtenido y, mucho menos aún, que, descubierto el delito o como consecuencia final del mismo, los beneficios o aprovechamientos que se perseguían puedan finalmente frustrarse o, incluso, situar a la propia persona jurídica en una posición desfavorable, también en términos económicos, con relación a la que tuviera antes de cometerse la infracción.

Ya lo proclamaba así, por ejemplo, la STS 154/2016, de 29 de febrero (básica en esta materia), cuando de responsabilidad penal de las personas jurídicas se trata: «Se nos dice que está ausente, en esta ocasión uno de los elementos o requisitos que configuran la base para la declaración de responsabilidad penal de la persona jurídica que no es otro que el de que el delito cometido por la persona física, aquí la infracción contra la salud pública, reporte alguna clase de «provecho» (el art. 31 bis en su redacción actual se refiere en este punto a «beneficio directo o indirecto») para la entidad.

Se trata de un extremo que, sin duda, habrá de resolverse de forma casuística en el futuro y que, junto con otros que incorpora el precepto, será, con toda seguridad objeto de importantes debates.

Por ello, debe considerarse beneficio incluso la simple expectativa. La STS 89/2023 (citada) nos dice que, por ello, convendría dejar claro desde ahora que ese término de «provecho» (o «beneficio») hace alusión a cualquier clase de ventaja, incluso de simple expectativa o referida a aspectos tales como la mejora de posición respecto de otros competidores, etc., provechosa para el lucro o para la mera subsistencia de la persona jurídica en cuyo seno el delito de su representante, administrador o subordinado jerárquico, se comete.

Naturalmente (STS 298/2024, de 8 de abril) si la sociedad no obtiene ningún beneficio, no hay responsabilidad, y es claro que no lo obtiene respecto a una defraudación del IRPF de uno de sus directivos, por lo que no puede declararse este tipo de responsabilidad corporativa. En efecto, el beneficio o interés de que habla el art. 31 bis CP ha de estar asociado al delito por el que se hace responsable penal a la persona jurídica: un beneficio que surgiría precisamente del delito, aunque no sea de forma directa. No basta que el beneficio aparezca de alguna forma relacionado con actuaciones anteriores que hayan revestido interés crematístico para la empresa. Es necesario que sea precisamente el delito el origen o causa, directa o indirecta, del beneficio.

El problema de la culpabilidad

La culpabilidad es el principal reto para la atribución de responsabilidad a las personas jurídicas. No es cierto que carezcan de capacidad de culpabilidad; ciertamente, no la tienen por sí mismas, esto es obvio, son entes ficticios de naturaleza jurídica, pero actúan a través de sus representantes que toman decisiones por tales personas jurídicas. Esas personas físicas que toman decisiones por ellas, tienen todos los componentes para su culpabilidad, en la condición de cargos o funciones a los que se refiere el art. 31 ter del Código Penal. Si son capaces las personas jurídicas de cometer ilícitos administrativos que se sancionan con multas, aplicando los principios del derecho sancionador, no se ve el inconveniente para que puedan conculcar tipos penales. En uno y en otro caso, actúan por medios de sus representantes o administradores, personas físicas. Las personas jurídicas son culpables a partir de la actuación de un representante, que no puede considerarse un tercero a la sociedad, sino ésta misma, pues este es el dibujo estructural de las personas jurídicas.

Superada esta cuestión, entendemos que la culpabilidad tiene que ser dolosa, sirviendo tanto el dolo directo como el eventual. Es verdad que se ha dicho que la falta de control parece una imprudencia y que resulta paradójico que de tal comportamiento se convierta en una atribución culpable a título de dolo. Pero ello se explica porque tal falta de control debe ser tenida como una actuación conocida por la sociedad, y es claro, que la imprudencia se predica de aquellos actos no queridos ni representados por sus administradores, y aquí estamos hablando de actos conocidos y tolerados, bajo la atribución de dolo, directo o eventual. Dicho de otra forma, en una desorganización culpable por consentida, o inadecuadamente proyectada, dolosa en todo caso.

De otro lado, el Código Penal (art. 12) solamente permite la imprudencia cuando lo establece así, y aquí no hay una determinación semejante.

Siendo así, la culpabilidad se predicará de la actuación de un representante que realiza un acto de representación o que no controla adecuadamente a sus empleados o trabajadores.

Incluso en los hechos de conexión imprudentes (en los escasos casos supuestos que puedan contemplarse), la culpabilidad del injusto de la persona jurídica tiene que ser, a nuestro juicio, dolosa.

El delito corporativo es, exclusivamente, el que fundamenta la responsabilidad de las personas jurídicas

En efecto, solamente si analizamos este título de imputación desde la perspectiva de la infracción del debido control, como categoría organizativa de la empresa, y no como infracción del deber del directivo, estaremos configurando una propia responsabilidad penal separada de la del empleado. Se trata de la configuración del delito corporativo.

De tal modo, que la conexión jurídica es la siguiente: a) Prueba de la comisión del hecho de conexión: delito de catálogo; b) Prueba de la defectuosa organización que lo ha propiciado: delito corporativo (prevención incorrecta de la empresa); c) Regla de conexión: delito XXX en relación con el art. 31 bis del Código Penal, conforme al precepto que permite tal remisión (art. YYY).

Por tanto (STS 123/2019, de 8 de marzo), “a la persona jurídica no se le imputa un delito especial integrado por un comportamiento de tipo omisivo, sino el mismo delito que se imputa a la persona física, en el cual, generalmente, participará a través de una omisión de las cautelas obligadas por su posición de garante legalmente establecida, tendentes a evitar la comisión de determinados delitos”.

En suma, la jurisprudencia declara la posición de garante de la empresa, y su responsabilidad constituye la omisión de cautelas obligadas.

De modo que el fundamento de la responsabilidad de las personas jurídicas se basa en la infracción del deber de organizarse adecuadamente para impedir que se cometan delitos dentro de su seno empresarial. En consecuencia, no se trata, solamente, de probar los elementos típicos del delito perseguido, sino el fundamento de la responsabilidad de la persona jurídica por su falta de organización interna, que es el aspecto nuclear del denominado delito corporativo.

Y todo esto debe ser trasladado a los hechos probados de la sentencia condenatoria.

Comisión por omisión

Esto nos llevará a que el título de imputación será el de comisión por omisión.

Desde mi punto de vista, el fundamento de la responsabilidad penal de las personas jurídicas reside en la infracción de un deber de organizarse adecuadamente para impedir la perpetración de delitos dentro de las actividades sociales que redunden en su beneficio directo o indirecto, de manera que se trata de un delito de comisión por omisión.

Se comete, en consecuencia, por omisión de ese deber de organizarse adecuadamente para evitar delito en el seno de su organización. Delito que constituye un hecho de conexión como delito de catálogo.

La autoría del delito por parte de la persona jurídica requiere que exista un enlace de su responsabilidad con la actuación de la persona física que la representa, en el sentido de constituir la expresión de un específico obrar corporativo, que en el caso tratado por la STS 252/2017, de 6 de abril, no se acredita

Elementos esenciales para decretar la responsabilidad de la persona jurídica

Antijuridicidad

La antijuridicidad lo constituye la perpetración de un hecho, atribuible como tal a la persona jurídica, en virtud de los mencionados títulos de imputación regulados en las letras a) y b) del apartado 1 del art. 31 bis del Código Penal, y que tal hecho sea ilícito, en el sentido de no ser conforme al ordenamiento jurídico.

Tipicidad

La tipicidad vendrá constituida por la descripción del concreto delito del catálogo atribuible a las personas jurídicas, que conforma el hecho de conexión, y que ha debido ser cometido por una persona física.

Imputabilidad

La imputabilidad de este tipo de entes sociales, constituye la posibilidad de establecer, en el caso concreto y dentro del seno de la sociedad o empresa, mecanismos de control.

Es decir, su capacidad organizativa, es lo que constituye la imputabilidad de la persona jurídica. También puede ser tratado como su capacidad de acción.

Culpabilidad

La culpabilidad, lo será el reproche judicial consecuencia de la falta o defectuosa organización que haya facilitado el delito.

La responsabilidad de la persona jurídica ha de hacerse descansar en un delito corporativo construido a partir de la comisión de un previo delito por la persona física, pero que exige algo más, la proclamación de un hecho propio con arreglo a criterios de imputación diferenciados y adaptados a la especificidad de la persona colectiva. De lo que se trata, en fin, es de aceptar que sólo a partir de una indagación por el Juez instructor de la efectiva operatividad de los elementos estructurales y organizativos asociados a los modelos de prevención, podrá construirse un sistema respetuoso con el principio de culpabilidad (STS 221/2016, de 16 de marzo).

Nuestro sistema, en fin, no puede acoger fórmulas de responsabilidad objetiva, en las que el hecho de uno se transfiera a la responsabilidad del otro, aunque ese otro sea un ente ficticio sometido, hasta hace bien poco, a otras formas de responsabilidad.

La pena impuesta a la persona jurídica sólo puede apoyarse en la previa declaración como probado de un hecho delictivo propio.

La persona jurídica sólo responde cuando se hayan “…incumplido gravemente los deberes de supervisión, vigilancia y control de su actividad, atendidas las circunstancias del caso”.

Podría pensarse que los incumplimientos menos graves o leves quedan extramuros de la responsabilidad penal de los entes colectivos, pero esta afirmación no es del todo cierta en tanto que el art. 66 bis, circunstancia 2ª, del Código Penal, establece que cuando la responsabilidad de la persona jurídica, en los casos previstos en la letra b) del apartado 1 del artículo 31 bis, derive de un incumplimiento de los deberes de supervisión, vigilancia y control que no tenga carácter grave, estas penas tendrán en todo caso una duración máxima de dos años.

Sociedad de un solo socio

El Tribunal Supremo tardó bastante tiempo en resolver este problema. Finalmente, la STS 747/2022, de 27 de julio, trató el tema de la responsabilidad penal de personas jurídicas, concluyendo que no procede cuando se trata de una sociedad unipersonal y el socio único y administrador es la persona física responsable penal.

En el caso, se absuelve a la persona jurídica del delito de defraudación tributaria por el que era acusada, aun manteniéndose su condena como responsable civil solidaria al abono a la Hacienda Pública de las cantidades fijadas.

Argumentaba esta resolución judicial que se trata de sociedad unipersonal con un solo socio. Cuando el condenado penalmente como persona física es titular exclusivo de la sociedad, no resulta factible imponer dos penalidades sin erosionar, no ya solo el principio del non bis in idem, sino la misma racionalidad de las cosas. No puede en estos casos condenarse penalmente tanto al socio único como a la persona jurídica.

En realidad, es un problema de imputabilidad.

¿Puede condenarse a las sociedades instrumentales?

Aquí hemos de distinguir distintas categorías conceptuales. Las sociedades constituidas exclusivamente para cometer delitos son, en realidad, organizaciones criminales y les deben ser aplicables las consecuencias accesorias del 129 Código Penal. No se trata, en consecuencia, de sociedades sino de organizaciones criminales.

Sin embargo, las sociedades constituidas regularmente, pero utilizadas como meras pantallas, son personas jurídicas, pero inimputables, por no contar con propios elementos de control ni de decisión, son personas jurídicas instrumentales: sociedades pantalla.

Esto ya fue subrayado por la Circular FGE 1/2016: se entiende así que las sociedades instrumentales, aunque formalmente sean personas jurídicas, materialmente carecen del suficiente desarrollo organizativo para que les sea de aplicación el art. 31 bis, especialmente tras la completa regulación de los programas de cumplimiento normativo.

Un último paso: ¿Hacia la irresponsabilidad penal de las personas jurídicas de pequeñas dimensiones?

En efecto, la novedosa Sentencia del Tribunal Supremo 894/2022, de 11 de noviembre sienta la doctrina de que la responsabilidad penal de la persona jurídica ha de girar en clave de complejidad organizativa, lo que difícilmente es apreciable en las sociedades de pequeñas dimensiones; en el caso, se estima el recurso y, no obstante absolver a la persona jurídica del delito de estafa, al concurrir los presupuestos del art. 120.4º CP, se la condena como responsable civil subsidiaria, con esta argumentación: la condena a la persona jurídica ha tenido lugar sin una base fáctica que definiera su delito corporativo, del que derivar su responsabilidad penal, en que las premisas de organización y complejidad está la base de su propio fundamento, con elementos propios para conformar su culpabilidad, distintos de los de la persona física.

En suma, cuando hablamos de delito corporativo para referirnos al cometido por la persona jurídica, es porque ha de tratarse de un hecho propio de ella; qué duda cabe, sin embargo, que cualquier hecho, como fenómeno del mundo exterior, generalmente es realizado por una persona física, que, en su caso, deberá responder por él; lo que sucede es que, en evitación de pasar por criterios de responsabilidad objetiva, esa responsabilidad de aquélla no ha de operar por transferencia automática a la exigible a la persona jurídica, sino que el camino elegido para ello ha sido que, para exigir responsabilidad penal a la persona jurídica, con independencia de qué presupuesto para ello esté en la actuación de la persona física, sin embargo, en la medida que su imputación ha de asentarse en criterios de imputabilidad propios, tal imputación habrá de ponerse en relación con los fallos en que, por defecto de organización o funcionamiento, incurra en el ejercicio de su actividad sobre la gestión, el control, la supervisión o vigilancia para la prevención del delito de que se trate, y todo ello sin prescindir de los criterios rectores del campo del derecho en que nos estamos moviendo, que es el penal, informado por principios como el de culpabilidad subjetiva, de manera que su responsabilidad habrá de serlo por la perpetración de su propio hecho corporativo y en función del reproche culpabilístico de dicho hecho, al margen y obviando criterios de responsabilidad objetiva, como supondría hacerla responsable por una simple transferencia acrítica del hecho cometido por la persona física; el cometido por ésta, como hecho de conexión, podría ser presupuesto de la comisión del de aquélla, pero no serviría como fundamento, que ha de buscarse en uno propio.

En la misma línea, con razonamiento más sintetizado, la STS 221/2016, de 16 de marzo, nos dice: «El hecho sobre el que ha de hacerse descansar la imputación no podrá prescindir, claro es, del delito de referencia atribuido a la persona física. Pero habrá de centrarse en su averiguación desde una perspectiva estructural. Se tratará, por tanto, de una indagación sobre aquellos elementos organizativo-estructurales que han posibilitado un déficit de los mecanismos de control y gestión, con influencia decisiva en la relajación de los sistemas preventivos llamados a evitar la criminalidad en la empresa».

En el caso enjuiciado, nos encontramos con una sociedad, que, si bien formalmente contaba con dos socios administradores solidarios, solo uno de ellos ejercía sus funciones como tal, como lo evidencia que la sentencia de instancia condena exclusivamente a uno; y no solo eso, sino que lo que nos parece determinante es que se trata de una sociedad de tan mínima complejidad que era la forma de presentarse al público, a través de ella, su administrador, que, como persona física, ha sido condenada, o, dicho de otra manera, era tan mínima su complejidad, que difícilmente se diferenciaba el socio de la propia sociedad.

Así lo considera la jurisprudencia porque la razón para ese tratamiento diferenciado de responsabilidades, no está tanto en que se trate de personas jurídicas unipersonales o no, sino en criterios de complejidad y estructura organizativa interna (que la puede haber en sociedades unipersonales), pues, faltando esa complejidad, ni siquiera cabría apreciar la culpabilidad que derivaría del incumplimiento de unos deberes de supervisión y control, que si, como hemos dicho, quedan consumidos en la propia dinámica delictiva del administrador que delinque, bastará con la condena de este, y, en consecuencia, la absolución de la persona jurídica procederá por su consideración como inimputable, debido a que no cabe estimar que concurra en ella el elemento de culpabilidad, en la medida que es incompatible con su naturaleza hablar de mecanismos internos de control y, en consecuencia, de cultura de respeto a la norma, a partir de la cual se residencia su capacidad de culpabilidad.

Es cierto que la posible inimputabilidad de personas jurídicas sin complejidad ha sido muy debatida por doctrina y jurisprudencia. Hasta ahora, las resoluciones judiciales que han absuelto a personas jurídicas de pequeñas dimensiones se han centrado en el principio non bis in idem, pero sin negar su imputabilidad. La STS 894/2022, de 11 de noviembre, da un paso más allá, y por primera vez determina la inimputabilidad de una persona jurídica en base a su incapacidad de cometer un defecto de organización, un hecho propio a ella atribuible, debido a su mínima complejidad organizativa.

Recuérdese que la primera Sentencia que ya se expresó acerca de la inimputabilidad de las personas jurídicas fue la STS 534/2020, de 22 de octubre.

Enunció entonces la falta de sustrato organizativo que determina la inimputabilidad de la persona jurídica, y haciéndose eco de la alegación defensiva, expresó que se trata de meras «sociedades pantalla», las cuales la Sala Casacional ha definido en alguna ocasión como empresas que pretenden evitar el rastreo de la propiedad y el origen de los fondos. Por su parte, la citada Circular 1/2016 de la Fiscalía General del Estado señala que las sociedades instrumentales son formalmente personas jurídicas, pero materialmente carecen de desarrollo organizativo. Y si acudimos a la Circular 1/2011 podemos comprobar que las sociedades pantalla se caracterizan “por la ausencia de verdadera actividad, organización, infraestructura propia, patrimonio etc., utilizadas como herramientas del delito o para dificultar su investigación”.

Derecho a la última palabra

Para terminar, y en punto a la responsabilidad de la persona jurídica, analizamos un tema procesal que fue decidido por la STS 583/2017, de 19 de julio, como era el derecho a la última palabra de personas jurídicas encausadas cuando sus titulares están también acusados, decantándose por la intrascendencia de la omisión puramente formal, aunque con la particularidad de que dicha resolución judicial analiza tal problemática desde la óptica de la necesidad de indagar en qué medida puede anudarse algún género de indefensión a esa supuesta omisión (un trámite formal de última palabra a una persona jurídica que estaba defendida por letrado, cuyos titulares reales eran parte en el juicio, y que no había designado a nadie diferente para ostentar su representación, designación que en todo caso correspondía a esos propietarios reales también partes en el proceso y que por tanto lo conocían de sobra su existencia y vicisitudes), la conclusión a la que llega no puede ser más contundente: ninguna indefensión ha podido producirse.

Necesidad de preservar cualquier conflicto de intereses entre la dirección letrada de la persona jurídica investigada y la persona física autora del delito de referencia

La STS 123/2019, de 8 de marzo, que aprecia un déficit relevante en las condiciones en las que la persona jurídica compareció y pudo desarrollar su defensa en el plenario, y no solamente por no haber sido adecuadamente citada la persona especialmente designada para su representación en la causa penal, sino también porque fue representada procesalmente por la misma procuradora y defendida por el mismo letrado que actuaban en representación y defensa de otro acusado con el que se había apreciado la existencia de intereses contrapuestos, lo que en el caso, dadas las circunstancias, bien pudo haber causado un déficit en la defensa.

En definitiva, «…dejar en manos de quien se sabe autor del delito originario, la posibilidad de llevar a cabo actuaciones como las de buscar una rápida conformidad de la persona jurídica, proceder a la indemnización con cargo a ésta de los eventuales perjudicados y, obviamente, no colaborar con las autoridades para el completo esclarecimiento de los hechos, supondría una intolerable limitación del ejercicio de su derecho de defensa para su representada, con el único objetivo de ocultar la propia responsabilidad del representante o, cuando menos, de desincentivar el interés en proseguir las complejas diligencias dirigidas a averiguar la identidad del autor físico de la infracción inicial, incluso para los propios perjudicados por el delito una vez que han visto ya satisfecho su derecho a la reparación».

I. INTRODUCCIÓN

Ha pasado ya la época en que los empresarios podían crear empresas, contratar trabajadores y crear riqueza… sin control alguno.

Cierto es que en el Código Penal anterior al vigente, el CP de 1970 –y su importante reforma del año 1983-, no contenía delitos específicos susceptibles de ser cometidos por Empresas y empresarios. Obvio es que sí se podían cometer estafas, apropiaciones indebidas, etc., pero no había delitos específicos. Expresado en otros términos, al final del régimen anterior no había una tipificación de los llamados “delitos de cuello blanco”.

La ley penal predemocrática podría definirse, con cierta simplicidad, como una ley para los “robagallinas” y para los considerados delincuentes políticos. La estrecha relación entre los poderes económicos de la época y el régimen político hacía que no se plantease la necesidad de llevar al código punitivo estas conductas.

En la actualidad, el Derecho Penal debe enfrentarse a nuevos y complejos problemas. Uno de ellos es de la comisión de delitos a través o en el seno de estructuras empresariales, organizadas y complejas, basadas en principios de división funcional del trabajo y jerarquía.

En un mundo interconectado, como el presente, existen muchas posibilidades de cometer delitos, de diluir la responsabilidad de la comisión de delitos dentro de una empresa, no digamos ya en multinacionales. Y el legislador, siendo consciente de estos problemas, ya en el Código Penal vigente, el de 1995, ha ido introduciendo, en sucesivas reformas, numerosos bienes jurídicos susceptibles de protección y cuya vulneración da lugar a la comisión de delitos, con la consiguiente condena a multas cuantiosas y la posibilidad real de ingreso efectivo en prisión.

El legislador, en efecto, lleva años intentado introducir una cultura de cumplimiento normativo en las empresas en prevención de riesgos, sea respecto de sus trabajadores (delitos contra los derechos de los trabajadores, contratación de mano de obra ilegal, etc.), sea respecto de clientes y proveedores y de sus propios trabajadores (protección de datos de carácter personal), sea de prevención del blanqueo de capitales, en las transacciones internacionales, en las contrataciones del sector público, sea, en suma, de prevención de la comisión de delitos en el seno de las empresas y entes públicos, bien por parte de trabajadores, bien por cuenta de directivos que actúen siempre en provecho y beneficio de la empresa (esto es, la responsabilidad penal de las personas jurídicas introducida en nuestro Derecho Penal por la LO 5/2010, de 22 de junio y posterior reforma por LO 1 /2015, de 30 de marzo).

Así, en la prevención de riesgos en una Empresa debe tenerse en cuenta ciertas materias de las cuales debe ser consciente y conocedora cualquier persona que quiera crear una Empresa. Tales son:

• La protección de datos de carácter personal.

Con la aprobación de un Reglamento Europeo de Protección de Datos (RGPD) y la aprobación de la Ley Orgánica 3/2018 de Protección de Datos Personales y Garantía de Derechos Digitales, las empresas tendrán que estar especialmente alertas a las políticas de tratamiento de datos, deben ser conscientes que se ha instaurado como derecho fundamental el derecho a la privacidad.

Se trata de un derecho fundamental de los denominados de «nueva generación«, sumándose así a los tradicionales, como los derechos a la libertad, al secreto de las comunicaciones y otros también conocidos.

• La protección de los derechos de los trabajadores.

Protege el legislador a los trabajadores, penalizando una serie de conductas y cuya infracción puede dar a la comisión de delitos (contra los derechos de los trabajadores, de seguridad e higiene en el trabajo, de contratación ilegal de mano de obra extranjera, etc.).

      La clase trabajadora en cuanto tal, como sujeto de derechos, determina, por parte del legislador un catálogo de delitos –esto es, acciones u omisiones que atentan contra los trabajadores- en desarrollo del principio rector de la política social y económica de velar por la seguridad e higiene en el trabajo (art. 40.2 CE), principio que, de acuerdo con el mandato del art. 53.3, también de la Constitución, debe inspirar la legislación positiva. En definitiva, se integran todas aquellas en el ámbito del Derecho Penal, lo que, en sede doctrinal, se ha denominado «Derecho Penal del Trabajo«.

• Responsabilidad penal de personas jurídicas.

Es clásico el aforismo según el cual <<societas delinquere non potest>>, pero este principio, que estuvo vigente a lo largo de muchos siglos en nuestro Derecho, dejó de estarlo por la LO 1/2010, de 22 de junio, de reforma del Código Penal, por el que se introdujo la responsabilidad penal de las personas jurídicas, aprovechándose la transposición de varias Directivas de la Unión Europea. Actualmente, “societas delinquere potest” ¹. Y se fundamenta, según la Exposición de Motivos de la Ley, en la necesidad impuesta por numerosos los instrumentos jurídicos internacionales que demandan una respuesta penal contra ellas², fundamentalmente en aquellas figuras delictivas donde su intervención se hace más evidente, tales como corrupción en el sector privado, corrupción en transacciones comerciales internacionales, pornografía y prostitución infantil, trata de seres humanos, blanqueo de capitales, inmigración ilegal, ataques a sistemas informáticos, y similares, recogiéndose hasta veintiuna figuras delictivas en los que es posible la comisión del delito por personas jurídicas y excluyéndose otros cuya razón no nos explicamos, como examinaremos infra³.

Y por la LO 1/2015, de 30 de marzo, se introdujo una nueva reforma en el Código Penal respecto:

• No ya de introducción de nuevos tipos delictivos (lo que sería loable por cuanto no se entiende la omisión por el legislador de ciertos delitos que se pueden cometer y de hecho se cometen en el seno de las empresa, tales son el homicidio y lesiones -al menos de forma imprudente-, el aborto y la omisión del deber de socorro, la eutanasia, delitos de manipulación genética, delitos contra la salud pública -en concreto, la elaboración de sustancias que causan grave daño a la salud-, el mobbing y acoso inmobiliario, las imprudencias profesionales, pero, esencialmente, los delitos societarios y delitos contra los derechos de los trabajadores y delitos contra la seguridad y salud de los trabajadores, cuya misión es inexplicable, así como la falta de regulación del delito de quebrantamiento de condena, con las graves consecuencias que ello conlleva en el caso de incumplimiento de las penas impuestas a una persona jurídica por sentencia firme),
• Sino respecto a la introducción de los planes de cumplimiento o de autocontrol (los compliance programs o, simplemente, compliance, según terminología anglosajona que parece que se ha impuesto) que puede llegar a exonerar de responsabilidad penal a la persona jurídica de comprobarse su existencia, su debido cumplimiento y su efectividad o, al menos, minorarla (sea como eximente incompleta, sea como atenuante cualificada o simple)

¿Qué es lo que pretendía el legislador con la regulación como causa de extinción la responsabilidad criminal -o, en su caso, de minoración como circunstancia modificativa de la responsabilidad criminal- de los programas de compliance? Pues, simplemente, introducir una cultura de cumplimiento de una serie de programas, en el interior de la empresa, de autocontrol para evitar que en su seno se cometan delitos.

Quiere el legislador establecer una cultura de cumplimiento que pretende seguir la cultura introducida de prevención de riesgos laborales y la protección de datos de carácter personal, sea de trabajadores, sea de clientes, sea de proveedores.

Se trata, en definitiva, tras esta reforma del Código Penal operada por la citada LO 1/2015, de 22 de junio, de que las empresas establezcan en su seno una serie de medidas, de programas de autocontrol (compliance programs) para evitar incurrir en responsabilidad penal e instaurar, de tal forma, una cultura de cumplimiento de prevención de delitos. Cuestión distinta es si estos citados programas de cumplimiento, de autocontrol, son efectivos o no, lo que será en su caso objeto de prueba en el proceso penal y analizaremos infra.

• La ciberseguridad

Resulta difícil hoy en día no ser consciente de la importancia que han tomado los riesgos vinculados a la tecnología en nuestra sociedad. Empresas, Gobiernos, Administraciones públicas y ciudadanos en general, se afanan por no ser los siguientes de una larga lista de perjudicados por incidentes informáticos, de ataques informáticos, que no sólo crece de forma exponencial, sino que además nos sigue sorprendiendo con nuevos ataques cada vez más dañinos. Y sin embargo el futuro se dibuja todavía más sombrío, ya que más allá del negocio creciente de organizaciones criminales o contiendas hacktivistas, nuevos actores como Gobiernos y grupos terroristas han irrumpido en el escenario internacional con recursos casi ilimitados.

En este complejo escenario geo-político en el que operan las organizaciones, y donde cada vez dependen en mayor medida de la tecnología para sobrevivir en plena transformación digital, resulta indispensable establecer rigurosas medidas de protección para enfrentarse a amenazas cada vez más sofisticadas.

El que quiera crear una empresa, debe incidir en el desarrollo del conocimiento y las capacidades necesarias y básicas para el desempeño profesional de la gestión de la ciberseguridad. En suma, prevenir, de forma práctica y operativa, las consecuencias de las amenazas a las que se expone cada día cualquier organización empresarial.

• El blanqueo de capitales.

El delito de blanqueo de capitales  se produce por, entre otros, el blanqueo de dinero  o capital o incluso rentas (también conocido en algunos países centro e iberoamericanos –por traducción literal de terminología anglosajona-, como “lavado de capitales”, “lavado de activos” o “blanqueo de dinero”) como el proceso a través del cual es encubierto el origen de los fondos generados mediante el ejercicio de algunas actividades ilegales o criminales (tráfico de drogas o estupefacientes, contrabando de armas, prostitución, corrupción en general, fraude fiscal, crímenes de “guante blanco”, extorsión, trabajo ilegal e, incluso, terrorismo).

Se trata, en suma, de la no declaración legal del dinero en cuentas bancarias en paraísos fiscales y con la finalidad -entre otros supuestos- de no efectuar declaración de impuestos sobre ganancias o bienes de un particular o una empresa. Supone el blanqueo de capitales, en definitiva, el “último eslabón” en la cadena criminal como proceso por el cual un dinero logrado de modo ilícito (“negro”) pasa a formar parte del flujo económico legal (esto es, “se blanquea” el dinero” y de ahí el nombre de blanqueo de capitales).

            La prevención del delito de blanqueo de capitales, en nuestra legislación, tiene como finalidad prevenir e impedir la utilización del sistema financiero para blanquear los capitales procedentes de cualquier tipo de participación delictiva, en la comisión de un delito castigado con pena que puede alcanzar hasta los seis años de prisión así como una multa cuya cuantía será del triple del valor de los bienes blanqueados.

En España, la vigilancia y el control de los riesgos relacionados con el delito de blanqueo de capitales corresponde al Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC) y desde un punto de vista normativo esta materia se encuentra regulada en la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, y en el Real Decreto de 1995, por el que se aprueba el Reglamento, así como en los arts. 298  a 304 de nuestro texto punitivo.

• Otros delitos que pueden cometerse en el seno de una Empresa.

En una Empresa, además de los citados, se pueden cometer muchos, pero muchos delitos… coacciones, amenazas, hurtos, estafas, acoso (mobbing) o abusos sexuales y corresponde a los directivos de estas empresas evitarlos y, para ello, tiene que saber cuáles son los que se pueden cometer, la forma de prevenirlos y, en su caso, forma de atacarlos y manera de proceder en el caso de que llegue a su conocimiento su comisión.

En definitiva, cualquier emprendedor, quien quiera crear una Empresa, debe tener conocimiento de:

• Cuál es la normativa vigente en términos de prevención de riesgos.
• Entender los motivos que han dado lugar a las reformas legales.
• La actuación de cada reforma en el ámbito empresarial.
• El desarrollo de programas para evitar el incumplimiento de la normativa legal y evitar, así, infracciones administrativas o, lo que es más grave, la comisión de delitos.
• Tener conocimientos básicos de ciberseguridad y de blanqueo de capitales.
• Tener unas nociones, siquiera básicas, sobre prevención de la comisión de otros delitos en el seno de la empresa y, en su caso, manera de actuar cuando se produzcan.

Y con estos conocimientos –básicos, en todo caso- estará en condiciones de crear esa empresa en la que ha puesto toda su ilusión y energía, una importante –cuando no toda- su capacidad económica y estará en condiciones de enfrentarse al mercado, creando riqueza para él y para los demás y –esto es fundamental- evitar caer en una grave infracción administrativa y/o penal (acuérdense: “la ignorancia de las leyes no excusa su cumplimiento” –art. 6.1 Código Civil-, vigente ya desde el derecho romano –“ignorantia iuris non excusat”-), que le puede acarrear graves consecuencias, incluso la desaparición de la empresa, de su patrimonio y, lo que es más grave, su ingreso en prisión.

II. TIPOS DE RESPONSABILIDAD PENAL DE LOS ADMINISTRADORES DE UNA EMPRESA

Dentro de la responsabilidad penal de los administradores debemos distinguir entre:

• El régimen general (responsabilidad propia y personal del Administrador de una empresa); y
• El régimen derivado de la responsabilidad penal de la persona jurídica.

Como consecuencia de las reformas operadas en nuestro Código Penal, especialmente las efectuadas en los años 2010 y 2015 (LO 5/2010, de 22 de junio, y LO 1/2015, de 30 de marzo, respectivamente), es conocido que las personas jurídicas pueden cometer delitos, superando el viejo aforismo <<societas delinquere non potest>>, vigente en nuestro derecho durante muchos siglos, desde tiempo inmemorial, pasándose a <<societas delinquere potest>>, las sociedades, las empresas sí pueden delinquir.

      Esto es, si el representante o administrador de una entidad jurídica, una empresa, una mercantil (fuera de hecho o de derecho) comete un delito, éste se convierte en autor inmediato y material del citado delito; ahora bien, en los casos en que no es el administrador o representante quien participa de forma personal y directa en el hecho delictivo, sino que el mismo lo protagoniza un empleado u otra persona que tiene bajo su autoridad, es necesario analizar el concepto por el que responden en su caso el administrador o representante de la empresa.

            Veamos cada uno de los supuestos.

III. RESPONSABILIDAD PROPIA Y PERSONAL DEL ADMINISTRADOR DE UNA EMPRESA

3.1. Introducción

Al abordar la responsabilidad penal de los administradores hay que partir de varias premisas.

• En primer lugar, puede considerarse que esta es una cuestión relativamente novedosa en nuestro derecho penal.
• Es a partir de la entrada en vigor del Código Penal de 1995, el llamado “Código Penal de la democracia”, cuando podemos empezar a hablar como concepto con perfiles propios de responsabilidad penal de los administradores.

3.2. Responsabilidad penal del administrador en delitos comunes desde o dentro de la empresa

3.2.1. Introducción. Quienes responden penalmente en una empresa

En los supuestos de criminalidad desde o dentro la empresa es posible distinguir entre delitos comunes, en los que el autor puede ser cualquiera, y delitos especiales, en los que solamente puede ser autor quien además de realizar la conducta típica reúne ciertas condiciones.

Asimismo:

• Por criminalidad desde la empresa debe entenderse aquellos delitos a partir de o para una empresa, como por ejemplo los delitos contra el medio ambiente.
• El concepto de criminalidad dentro de la empresa se refiere a aquellos casos de comisión delictiva contra ella misma, como son los delitos societarios.

• Observaciones generales.

Debemos hacer en este punto varias observaciones y/o precisiones:

1. Hay que señalar que, con carácter general, la responsabilidad del administrador tiene lugar sólo cuando actúa como tal, es decir cuando actúa como órgano social, por lo que la responsabilidad derivada del incumplimiento de funciones inherentes al cargo quedan sujetas a las personas físicas titulares de la condición de órgano social. Así, no será aplicable cuando actúe como mero socio o particular.
2. Hay que entender que no basta la actuación como administrador en nombre de una persona jurídica, sino que es necesario el conocimiento y la voluntad de realizar la conducta delictiva. En definitiva, es insuficiente la condición de representante legal de la empresa para apreciar responsabilidad penal si no consta que se haya tenido alguna intervención concreta en la conducta imprudente.
3. Por tanto los administradores societarios responderán por:
   • Actos realizados dolosa o imprudentemente.
   • Actos realizados por acción u omisión.
   • Actos realizados por sí o a través de otros en autoría mediata.
4. En el caso de varios administradores y en el que uno de ellos haya actuado de una manera mecánica dando simplemente por bueno lo que otros proponen no habría en principio responsabilidad penal aunque podríamos estar ante una conducta imprudente. Se puede apreciar lo mismo para la ausencia cuando se tome la decisión, a no ser que sea deliberada, o la dimisión, aunque si esta se realiza por motivos de precaución interesada también podría exigirse responsabilidad.
5. De lo anterior se deduce que para que un administrador quede exculpado penalmente no basta con no haber participado directamente en el delito, sino que además debe hacer todo lo posible para evitar que el mismo se cometa.
6. En el marco de los delitos comunes que pueden producirse en la empresa cabe imputar responsabilidad penal a los administradores que, de un modo u otro, hayan intervenido en la realización delictiva, aunque dicha responsabilidad estará sujeta a las reglas generales de imputación de responsabilidad, pues, a estos efectos, el hecho de que el autor sea administrador es irrelevante, ya que este cargo no es algo requerido por la norma penal.
7. En relación con lo expuesto anteriormente la jurisprudencia de la Sala Segunda del Tribunal Supremo⁴ ha declarado que el artículo 31 CP no puede servir como criterio de atribución de responsabilidad penal en los delitos empresariales comunes. Si se constata que se ha cometido un delito en o a partir de la empresa no cabe concluir, sin un mayor análisis, que el responsable es el administrador de la misma.
8. Además, el concepto de administrador en los delitos comunes debe de entenderse en un sentido amplio como las personas que integran el órgano de administración de la empresa, pudiendo adquirir éste distintas formas como son administrador único, administradores solidarios o mancomunados, y consejo de administración.
9. Así, desde la perspectiva de la gestión de la empresa, el administrador tiene encomendadas las principales funciones como las de planificación, organización, coordinación y vigilancia general de la actividad empresarial encaminadas al desarrollo y consecución del que sea el objeto social.
10. No obstante, las funciones de gestión general de la empresa no solamente pueden estar en manos de los administradores sino que también pueden encargarse los directores gerentes o directores generales. Por tanto, la consideración de administrador en el ámbito de los delitos comunes se extendería también a esos otros altos directivos de la empresa con competencias sobre la gestión al máximo nivel.

3.2.2. Tipos delictivos

Sin ser excluyentes, los tipos delictivos más frecuentes de los que los administradores o asimilados pueden ser responsables son los siguientes:

• Defraudaciones: Estafas y apropiaciones indebidas. (Artículos 248 a 254 CP). Hay que señalar que desde la reforma efectuada por la LO 1/2015, la administración desleal –artículo 295- se ha sacado de los delitos societarios, y situado entre los delitos patrimoniales -artículo 252-, pues puede ser sujeto pasivo del mismo tanto una persona individual como una sociedad.
• Delitos contra la propiedad intelectual e industrial, al mercado y a los consumidores. (Artículos 270 a 288 CP).
• Delitos contra la Hacienda Pública y la Seguridad Social. (Artículos 305 a 310 CP).
• Delitos contra los Derechos de los trabajadores. (Art. 311 a 318 CP).
• Delitos relativos a la ordenación del territorio y el urbanismo, la protección del patrimonio histórico y el medio ambiente (Artículos 319 a 331 CP).​

3.3. La responsabilidad del administrador de hecho o de derecho como representante de la persona jurídica en los delitos especiales propios

3.3.1. Ideas generales

En la actualidad, el Derecho Penal debe enfrentarse a nuevos y complejos problemas. Uno de ellos es el de la comisión de delitos a través o en el seno de estructuras empresariales, organizadas y complejas, basadas en los principios de división funcional del trabajo y de jerarquía.

La responsabilidad criminal de los que intervienen en la comisión de un delito en el seno de estas estructuras empresariales presenta sus propios problemas en el ámbito de la autoría y la participación. La responsabilidad del ejecutor material del delito no admite discusión. Sin embargo, ¿en base a qué criterios de imputación deben responder penalmente los directivos y administradores de las sociedades? La respuesta nos lleva a analizar varias cuestiones.

3.3.2. La responsabilidad de los ejecutores materiales de los hechos delictivos, mandos intermedios y directivos

Supongamos que el Consejo de Administración de una empresa adopta el acuerdo de arrojar vertidos contaminantes en un río cercano, para evitarse así el gasto de adquirir contenedores especiales como establece la legislación vigente. Parece claro que cuando los subordinados cumplen una orden emitida por un superior jerárquico, si conocen la ilicitud de su conducta deben responder, bien como autores o bien como coautores, junto a sus superiores jerárquicos. Pero ¿qué ocurre con los mandos intermedios y los directivos, que no realizan actos de ejecución, pues sus conductas consisten en planificar el hecho delictivo y emitir una orden a un subordinado?

Los dirigentes de las estructuras empresariales no realizan meras actuaciones accesorias y deberán responder en concepto de autores del delito, ya que dominan de modo esencial la actuación ilícita, controlan toda la información del hecho delictivo y tienen el control de la organización jerárquica; en definitiva, tienen el dominio del hecho.

3.3.3. La teoría del dominio del hecho

La teoría del dominio del hecho parte del principio de que sólo puede ser autor quien realiza (por acción u omisión) el hecho injusto (doloso o culposo) tipificado en la Ley y castigado con una pena. En general, puede decirse que el dominio del hecho consiste en el poder de configurar y determinar el sí y el cómo de la realización del tipo penal (elemento objetivo), con conocimiento de las circunstancias objetivas que fundamentan dicho dominio (elemento subjetivo).

Cuando un hecho delictivo se comete dentro de una estructura empresarial jerárquicamente organizada, con división de funciones, donde unos tienen el papel de diseñar el hecho delictivo, otros de transmitirlo y otros de ejecutarlo, cada uno cumpliendo su rol y con conocimiento de que con su conducta se producirá la lesión del bien jurídico, es difícil negar, en cada una de las fases, el dominio del hecho. De esta manera:

• el dirigente que planifica y emite la orden domina el hecho porque configura su ejecución;
• igual que el que la transmite, siempre que tenga mando de decisión o funciones directivas, porque ambos determinan el desarrollo del hecho desde la acción de ejecución hasta su consumación. Y finalmente,
• el que ejecuta el hecho, cumpliendo la orden emitida por el directivo y con conocimiento de su ilicitud, también tiene dominio del hecho.
• Y si concurren las características señaladas, todos deberán responder como coautores.

Y esto, tanto en relación a ejemplos de comportamientos dolosos, como de comportamientos imprudentes, activos u omisivos. Téngase en cuenta que también se responde por lo que no se hace. Y que también se responde por la negligencia cometida.

La teoría del dominio del hecho sirve para explicar la autoría en los delitos que son comunes, o sea, que cualquiera puede cometerlo (como lo sería el delito medioambiental). Si se comete en el seno de la empresa, basta con concretar quién, dentro de la organización, tiene el dominio del hecho. Sin embargo, resulta insuficiente para explicar la autoría en delitos especiales propios, que son aquéllos que requieren una especial cualidad de su autor.

3.3.4. Regulación legal

A tenor del artículo 31 del CP que “el que actúe como administrador de hecho o de derecho de una persona jurídica, o en nombre o representación legal o voluntaria de otro, responderá personalmente, aunque no concurran en su persona las condiciones que el correspondiente delito requiera para ser sujeto activo del mismo, si tales circunstancias se dan en la entidad o persona en cuyo nombre o representación obre.”

La responsabilidad del artículo 31 no deriva del hecho formal de ser apoderado sino del más relevante dato de actuar como tal. Cuando el Código habla del representante o administrador se está refiriendo a los órganos de la dirección o personas físicas que posean expresamente y directamente facultades de gestión en el ámbito concreto en que se haya desenvuelto la actividad delictiva (posición de dominio) o que hayan impulsado ese comportamiento, como autores, inductores o cooperadores del delito concreto cometido.

Los términos representante o administrador son conceptos valorativos, que expresan control y dirección de las actividades de una empresa, sin que se limiten a su significación literal.

3.3.5. El administrador de hecho

Respecto al administrador de hecho, es una condición que debe atribuirse con suma cautela y sólo a quien, por actos concluyentes, haya adoptado una posición equiparable a la de los administradores de Derecho.

La regulación de la responsabilidad del administrador de hecho o de derecho que hace el artículo 31 del CP supone un mecanismo para colmar las lagunas de punibilidad en delitos especiales propios, que son aquéllos que sólo pueden ser cometidos por las personas que reúnan una determinada cualidad (así y respecto de los delitos económicos, ser técnico director, ser obligado al pago de las cuotas de la seguridad social, ser concursado, ser deudor tributario, ser distribuidor o comerciante, etc.)⁵.

Lo que por supuesto no será correcto es condenar en concepto de autor (por la vía del art. 31 o por la tesis del dominio del hecho) al Presidente del Consejo de Administración, sin más, por el mero hecho de serlo, cuando está acreditado que ni tomó parte ni conoció el delito cometido.

En este sentido, la doctrina constitucional⁶ es tajante cuando afirma que no se trata de introducir una responsabilidad objetiva que actúa automáticamente cuando no resulte posible averiguar quiénes, de entre los miembros de una persona jurídica, han sido los auténticos responsables de la conducta delictiva por cuanto sería contrario al principio de presunción de inocencia.

Lo que se persigue es evitar la impunidad en la que quedarían las acciones delictivas realizadas bajo el manto de una persona jurídica por miembros de la misma perfectamente individualizados, que en todo caso deben responder en concepto de autores, aunque no concurran en ellos las características especiales exigidas. No cabe condenar por el mero hecho de ostentar un determinado cargo en la sociedad, pues ha de existir una actuación concreta de una persona física que pueda considerarse suficiente para que encaje en alguna de las categorías de responsables.

Y es que en Derecho Penal se parte de la responsabilidad personal y deben acreditarse tanto la real y efectiva participación en los hechos, como la culpabilidad en relación a los mismos.

3.3.6. La responsabilidad por omisión y la posición de garante

En la actualidad asistimos cada vez más a imputaciones a directivos por hechos delictivos que ellos no han cometido, que no logran entender cómo se han podido ver inmersos en un proceso penal. Así:

• ¿En base a qué criterios debe responder penalmente un directivo por delitos cometidos por sus empleados, de los que ni siquiera tenía conocimiento?
• ¿Cómo es posible que un gerente o un presidente de un consejo de administración se vean imputados, por ejemplo, en un homicidio o unas lesiones imprudentes, derivadas de un accidente laboral o ambiental, cuando tenían delegadas sus funciones de control y supervisión en un concreto ámbito de gestión?

… Porque el delito se puede cometer por acción o por omisión, como ut supra hemos analizado.

Dentro de la omisión, cabe distinguir entre omisión pura y comisión por omisión.

• Los delitos de omisión pura consisten en no realizar la acción exigida por la Ley, infringiendo así un precepto que obliga a una persona a actuar de una determinada manera, sin que se precise la producción de un resultado posterior.
• Por el contrario, los delitos de comisión por omisión son aquéllos que precisan de un resultado típico, de manera que podría haberse evitado de haberse actuado como se debía. No se causa un resultado, pero tampoco se evita; o, de otro modo, se causa al no evitarse. En estos delitos se podrá imputar a quien no actúa cuando está obligado a hacerlo por su particular “posición de garante” del interés que se quiere proteger. Por ello, habrá que demostrar que la ausencia de la conducta debida ha sido un factor de riesgo que ha contribuido a la aparición del resultado y que se tenía la obligación de llevarla a cabo.

En este sentido, el artículo 11 del Código Penal señala que “Los delitos o faltas que consistan en la producción de un resultado sólo se entenderán cometidos por omisión cuando la no evitación del mismo, al infringir un especial deber jurídico del autor, equivalga, según el sentido del texto de la Ley, a su causación”. A tal efecto se equiparará la omisión a la acción:

a) Cuando exista una específica obligación legal o contractual de actuar.

b) Cuando el omitente haya creado una ocasión de riesgo para el bien jurídicamente protegido mediante una acción u omisión precedente”.

Los delitos que consisten en la producción de un resultado sólo se podrán considerar cometidos por omisión cuando se infrinja un especial deber jurídico. Esto es, quien no actúa sólo podrá ser considerado autor del delito de resultado cuando está obligado a hacerlo. Y ello sólo podrá ocurrir cuando se encuentre en lo que se denomina “posición de garante”.

El garante es la persona que está obligada a evitar el resultado lesivo, bien por tener una específica obligación contractual o legal de actuar, bien porque ha creado una ocasión de riesgo para el bien protegido, mediante una actuación u omisión precedentes. Si el garante no ejecuta la acción que evita el siniestro, incurrirá en responsabilidad legal.

Y así ocurre a menudo en el ámbito empresarial, en el que se considera que la propia actividad de las empresas es fuente de numerosos riesgos que pueden provocar menoscabos a bienes jurídicos protegidos por el Derecho Penal (delitos medioambientales, seguridad en el trabajo, delitos de riesgo catastrófico, daños provocados por el producto, etc.). En estos supuestos será el empresario quien deba asumir la posición de garante, ya que al tener una dotación de medios, materiales y personales, bajo su mando, está obligado a la evitación de resultados lesivos mediante la supervisión de la actuación de sus dependientes.

Pero ¿qué ocurre si el garante-empresario-directivo delega sus funciones en otra persona?, ¿le exime de responsabilidad penal la delegación?

La exoneración de responsabilidad penal del delegante no es automática por el mero hecho de existir delegación de funciones. Una delegación mal hecha (por no ser suficientemente individualizada, por no estar bien documentada o por no ser clara en cuanto a los poderes de control y supervisión) no evita la responsabilidad penal del directivo. Será necesario probar (mejor documentalmente) la propia existencia de la delegación, su concreción y su individualización, esto es:

• Debe hacerse sobre persona cualificada y capaz.
• Debe ser aceptada por el delegado, quien tendrá que ser dotado de los medios materiales que precise para desarrollar las funciones encomendadas.
• Además, será necesario dar publicidad a la delegación de manera que el personal dependiente del delegado, así como los agentes externos con los que se relaciones la empresa (clientes, proveedores, funcionarios, etc.) conozcan la delegación efectuada.

3.4. La responsabilidad en los órganos colegiados

La actuación ilícita de los administradores y directivos de una sociedad se incluye muchas veces en una estructura de poder que dificulta la asignación de responsabilidades individuales. En este campo, hay que diferenciar lo que es una actuación enmarcada en la toma de decisiones de órganos colegiados de lo que es simplemente una participación conjunta en unos hechos delictivos.

En este último caso, lo que debe conseguirse es, como hemos visto, deslindar los diferentes comportamientos penalmente relevantes, determinar quién tiene el dominio del hecho injusto y, a partir de ahí, individualizar la responsabilidad atendiendo a las obligaciones y responsabilidades de cada partícipe y a la concreta actuación llevada a cabo.

Respecto a la responsabilidad de los miembros de un Consejo de Administración o de Órganos colectivos de dirección que adoptan acuerdos que pudieran ser constitutivos de delito, parece que no habrá problema en imputar a todos sus miembros, cuando el acuerdo delictivo haya sido aprobado por unanimidad. Pero en caso de acuerdos aprobados por una mayoría, habrá que estarse a la responsabilidad penal de las personas que con su voto hayan contribuido a la producción del ilícito penal.

Debe tenerse en cuenta, por otra parte, que por el mero hecho de adoptarse el acuerdo no queda consumado el delito, sino que la responsabilidad por el voto está subordinada al comienzo de los actos ejecutivos que deben ser realizados por los subordinados. En caso contrario, la conducta sería, en principio, atípica.

Para determinar la responsabilidad penal del miembro que votó en contra del acuerdo o que se abstuvo habrá que averiguar, en todo caso, si el mismo asume una posición de garante dentro de la empresa.

Debe entenderse que el cargo asumido supone la adquisición de un compromiso individual, desde el momento que se acepta y ejerce, de evitar los resultados lesivos producidos por la actividad de su empresa. De ahí surge la posición de garante de evitar que en su esfera de competencia, en su dominio de organización, no se produzcan riesgos ni lesiones de aquellos bienes jurídicos protegidos por el Derecho Penal. En definitiva, quien no apoyó con su voto el acuerdo delictivo podrá ser también responsable si dentro de su ámbito competencial de organización o gestión no ha impedido la producción del resultado lesivo.

Para quedar exento de responsabilidad criminal es necesario probar:

• en primer lugar, que con el voto negativo o la abstención no se apoyó el acuerdo delictivo y,
• en segundo lugar, que hubo oposición real a la ejecución del acuerdo; en su caso, pero no sólo, mediante su impugnación.

En el caso de quienes no participan en los acuerdos, la falta de asistencia a la sesión donde se votan los que pueden dar lugar a la comisión de delitos no será suficiente para exonerarles de su responsabilidad, siendo preciso para ello que se desconozca la existencia del acuerdo, tanto en el momento anterior a la reunión como con posterioridad a ésta, algo difícil de probar.

3.5. Conclusión

En la actualidad y en conclusión, la organización empresarial no ha de atender únicamente a criterios económicos de optimización de los recursos materiales, económicos y humanos de que dispone, sino que ha de tener muy en cuenta las posibles implicaciones jurídicas y, más aún, penales en que puede incurrir en el ejercicio de su actividad.

La tendencia expansiva del Derecho Penal alcanza a todos, incluso a los que actúan creyéndose amparados por la cobertura de una estructura empresarial, más o menos compleja, en la que responsabilidad penal puede quedar difusa por la delegación de funciones, la actuación como administrador de la sociedad, el desconocimiento de ciertos hechos, etc.

Los empresarios, directivos o administradores de las sociedades habrán de acreditar que han adoptado todas las cautelas a su alcance, cada uno dentro de su concreto ámbito de responsabilidad, para que no se menoscaben determinados intereses especialmente protegidos por el Derecho Penal, como lo son:

• la seguridad y salud en el trabajo,
• el medioambiente,
• el buen funcionamiento del tráfico mercantil,
• la seguridad del producto o servicio ofrecido,
• el orden socioeconómico,
• etc.

La adopción de manuales de procedimiento o protocolos de “corporate defense” (también conocidos como “compliance”) evitará en muchos casos imputaciones innecesarias, con los perjuicios económicos y de otro orden que ello conlleva (buen nombre de la empresa, la llamada “pena de banquillo”, etc.), y en muchos otros casos dará lugar a la exoneración de responsabilidad de administradores y directivos, al quedar acreditado que, en el ejercicio de sus competencias, han actuado correctamente.

IV. RESPONSABILIDAD PENAL DEL ADMINISTRADOR POR LOS DELITOS COMETIDOS EN EL SENO DE LA EMPRESA (RESPONSABILIDAD PENAL DE LAS PERSONAS JURÍDICAS)

4.1. Historia e introducción

Es clásico el aforismo según el cual <<societas delinquere non potest>>, pero este principio –se reitera-, que estuvo vigente a lo largo de muchos siglos en nuestro Derecho, dejó de estarlo por la LO 1/2010, de 22 de junio, de reforma del Código Penal, por el que se introdujo la responsabilidad penal de las personas jurídicas, aprovechándose la transposición de varias Directivas de la Unión europea⁷.

Hasta la reforma del 2010 del CP⁸, la persona jurídica podía verse implicada en un procedimiento penal bajo tres fórmulas diferentes:

• como simple responsable civil (directa o subsidiaria) por el hecho cometido por sus representantes o empleados;
• como responsable directa y solidaria en el pago de la pena de multa impuesta en sentencia a sus representantes;
• como sujeto de las denominadas consecuencias accesorias a la pena impuesta a la persona física del artículo 129 CP.

Y por la LO 1/2015, de 30 de marzo, se introdujo una nueva reforma en el Código Penal respecto, no ya de introducción de nuevos tipos delictivos (lo que sería loable por cuanto no se entiende la omisión por el legislador de ciertos delitos que se pueden cometer y de hecho se cometen en el seno de las empresa, tales son el homicidio y lesiones -al menos de forma imprudente-, el aborto y la omisión del deber de socorro, la eutanasia, delitos de manipulación genética, delitos contra la salud pública -en concreto, la elaboración de sustancias que causan grave daño a la salud-, el mobbing y acoso inmobiliario, las imprudencias profesionales, pero, esencialmente, los delitos societarios y delitos contra los derechos de los trabajadores y delitos contra la seguridad y salud de los trabajadores, cuya misión es inexplicable, así como la falta de regulación del delito de quebrantamiento de condena, con las graves consecuencias que ello conlleva en el caso de incumplimiento de las penas impuestas a una persona jurídica por sentencia firme)⁹, sino respecto a la introducción de los planes de cumplimiento, de autocontrol, los compliance programs, que puede llegar a exonerar de responsabilidad penal a la persona jurídica de comprobarse su existencia, su debido cumplimiento y su efectividad.

Con esta modificación legal se procedió a eliminar de nuestro ordenamiento jurídico penal el antiguo concepto romano «societas delinquere non potest», según el cual una persona jurídica no podía cometer delitos. Debido a esta novedad, la reforma hace que las personas jurídicas se conviertan en sujetos inmediatos del Derecho Penal, y por tanto, susceptibles de cometer delitos y de ser castigadas con auténticas penas¹⁰. Ahora, la responsabilidad penal de la persona jurídica podrá declararse con independencia de que se pueda o no individualizar la responsabilidad penal de la persona física¹¹.

Según el nuevo art. 31 bis CP, y siempre bajo el principio de culpabilidad, la persona jurídica responderá penalmente en dos casos¹²:

a) Por los delitos cometidos en nombre o por cuenta de la persona jurídica, y en su provecho, por sus legales representantes y administradores de hecho o de derecho.

b) Por los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en provecho de la persona jurídica, por quienes, estando sometidos a la autoridad de sus legales representantes o administradores de hecho o de derecho, han podido realizar los hechos por no haberse ejercido sobre ellos el debido control, supervisión y vigilancia, atendidas las concretas circunstancias del caso¹³.

Así:

• En el primer caso, cuando el directivo de una empresa comete un delito en beneficio de ésta, la responsabilidad penal del autor va a extenderse automáticamente a la empresa.
• En el segundo supuesto, cuando el delito es cometido por un colaborador o empleado, la persona jurídica va a responder por culpa in vigilando como consecuencia de no haber establecido los mecanismos de control necesarios para evitar que en su seno se cometan ilícitos penales.

¿Qué es lo que pretendía el legislador con la regulación como causa de extinción la responsabilidad criminal -o, en su caso, de minoración como circunstancia modificativa de la responsabilidad criminal- de los programas de compliance? Pues, simplemente, introducir una cultura de cumplimiento de una serie de programas, en el interior de la empresa, de autocontrol para evitar que en su seno, que en el interior de una empresa, se cometan delitos.

            Se trata de una cultura de cumplimiento que pretende seguir la cultura introducida de prevención de riesgos laborales, de larga trayectoria ya en nuestro Derecho, por cuanto en caso contrario y de no cumplirse estos programas de prevención se podría incurrir -y, de hecho, se incurre y así lo vemos todos los días en los Juzgados y Tribunales- en delitos contra  la seguridad y salud de los trabajadores, y más recientemente, en la protección de datos de carácter personal, debiendo guardar la Empresa los datos esenciales de sus trabajadores, bajo el riesgo de incurrir, en caso contrario, en, al menos, una importante multa impuesta por la Agencia de Protección de Datos por no proteger tales datos confidenciales de sus trabajadores.

            En definitiva, tras esta reforma del Código Penal operada por la citada LO 1/2015, de 22 de junio, pretende el legislador que las empresas establezcan en su seno una serie de medidas, de programas de autocontrol (compliance programs) para evitar incurrir en responsabilidad penal e instaurar, de tal forma, una cultura de cumplimiento de prevención de delitos. Cuestión distinta es si estos citados programas de cumplimiento, de autocontrol, son efectivos o no, lo que será en su caso objeto del proceso penal, con los problemas intrínsecos que conlleva en el ámbito del Derecho Procesal Penal.

4.2. ¿Por qué la responsabilidad penal de las personas jurídicas, de las empresas?

Si bien habrá que analizar caso por caso esta cuestión, actualmente la mayoría de la doctrina entiende que en estos casos el administrador o representante de la entidad jurídica se convierte en estos casos en coautor al considerar que el representante o administrador es garante de la causa del resultado por el dominio de la vigilancia ejercido con los medios de poder de la persona jurídica (dirección e información) sobre los miembros subordinados o en virtud de la custodia sobre los objetos peligrosos del patrimonio empresarial que son propiedad de la persona jurídica.

4.3. Supuestos de responsabilidad penal de las personas jurídicas (y, por ende, de sus administradores de derecho o de hecho)

Afirmado o anterior, es necesario delimitar los supuestos de responsabilidad en los que a va a resultar de aplicación a los representantes lo dispuesto en el apartado b) del primer número del artículo 31 bis del Código Penal (a cuyo tenor “En los supuestos previstos en este Código, las personas jurídicas serán penalmente responsables: b) De los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en beneficio directo o indirecto de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad atendidas las concretas circunstancias del caso”).

Del tenor literal del precepto penal señalado debemos deducir inicialmente que su aplicación está limitada a aquellos casos en los que el incumplimiento grave de los deberes de supervisión, vigilancia y control que competen al administrador o al representante legal, no les convierte en autores del delito por su posición de garantes; o dicho de otro modo, cuando no constituye delito la ausencia del debido control por parte del administrador (de hecho o de derecho) o del representante legal, quedando como autor sólo el empleado sometido a su autoridad.

El único modo de delimitar esta cuestión, si bien deberá ser objeto de desarrollo jurisprudencial y doctrinal, es mediante la aplicación de un criterio meramente formal, que entiende que se vulnera el deber de control por parte del administrador (de hecho, o de derecho) o del representante legal cuando:

1. El administrador o representante legal hubiera conocido los hechos (riesgo o certeza de la comisión de un delito por parte de una persona subordinada a su autoridad); y

2. Los hubiera podido remediar. Se distinguen aquí dos clases de medidas correctoras, las de propia competencia del administrador o del representante legal, y aquellas otras que no son de su competencia, de tal modo que:

• Si el administrador (de hecho, o derecho) o el representante legal hubiesen podido evitar el delito del subordinado utilizando las medidas que sí son de su competencia, habría delito por parte de éste y resultaría de aplicación lo dispuesto en el artículo 31 bis.1 a) del Código Penal.
• Si las medidas correctoras que se necesitaban aplicar no eran propias de su competencia, entonces no habría comisión del delito por parte del administrador (de hecho, o derecho) o del representante legal resultando de aplicación el artículo 31 bis b) del Código Penal.

Como conclusión a lo expuesto, será necesario distinguir en cada caso concreto si existió un conocimiento por parte del responsable de la entidad jurídica en cuanto a la comisión de un delito por un subordinado, y en caso afirmativo, discernir si se pudo evitar tal delito a través de las medidas de control existentes en la empresa, para lo cual es claro que la implantación de un programa de compliance resulta una herramienta de gran utilidad.

4.4. Regulación legal

La responsabilidad penal de las personas jurídicas está regulada en los artículos 31 bis a 31 quinquies del Código Penal. No obstante, destaca que, según el artículo 31 ter de esta norma, la responsabilidad penal de una persona jurídica es independiente de la que pueda tener la persona física que haya ejecutado el acto delictivo en sí (hasta el punto de que puede condenarse a una sin que se llegue a condenar a la otra). Por ello, consideramos pertinente hacer una mención de la responsabilidad penal de la persona física del administrador de una sociedad.

En este caso, la regulación básica la encontramos en el artículo 31 del Código Penal, a cuyo tenor “El que actúe como administrador de hecho o de derecho de una persona jurídica, o en nombre o representación legal o voluntaria de otro, responderá personalmente, aunque no concurran en él las condiciones, cualidades o relaciones que la correspondiente figura de delito requiera para poder ser sujeto activo del mismo, si tales circunstancias se dan en la entidad o persona en cuyo nombre o representación obre”. Esta redacción vino dada por la Ley Orgánica 1/2015, si bien el único cambio que introdujo respecto de la anterior fue la eliminación de la referencia a las faltas.

4.5. Requisitos para apreciar la responsabilidad penal de los administradores -de derecho o de hecho- o representante legal por los delitos cometidos por una persona jurídica

La Sentencia del Tribunal Supremo 86/2017, de 16 de febrero, haciendo acopio de otros pronunciamientos anteriores, resume la teoría general de esta figura en su Fundamento de Derecho 8. Según se desprende, podemos entender que los principales aspectos a tener en cuenta son los siguientes:

• Por “administrador de hecho” se entiende a toda persona que adopta e impone las decisiones de la gestión de una Sociedad (fundamentalmente, en este ámbito, las expresadas en los tipos penales). Por “administrador de derecho” se entiende lo mismo que en Derecho Mercantil.
• Los delitos producidos en el ámbito organizativo empresarial suelen ser el resultado de la suma de numerosas acciones, así como de diversas personas entre las que se reparten decisiones y omisiones. En este sentido, el Derecho Penal debe poder indicar quién es, dentro de la empresa, el responsable de las infracciones. Para ello, se atiende a la llamada “autoría social-funcional”, que considera que el autor es aquél que realmente domina la organización en la que se produce un resultado penalmente responsable.
• En consecuencia, el autor lo sería tanto la persona física que actúa como en su caso el Administrador. En palabras del Tribunal Supremo, “las actividades y formas de actuar de la empresa se consideran comportamientos penalmente relevantes y éstas se imputan penalmente, en primer lugar, a los directivos de la empresa como acciones propias, siguiendo el orden interno de atribución de responsabilidad, y, en segundo lugar, o en segunda línea la imputación a los subordinados en atención a las propias circunstancias del caso concreto”.
• A pesar de ello, no cabe entender que estemos ante un régimen de responsabilidad objetiva para los Administradores en caso de que en el seno de la organización se haya cometido un delito. Tal como indica el TC, lo que se pretende es evitar la impunidad en que quedarían las actuaciones delictivas perpetradas bajo el manto de una persona jurídica. En definitiva, esto implica que si se pretende exigir responsabilidad penal al director o administrador de la persona jurídica de que se trate, no basta con que el mismo ostente un cargo, sino que además habrá de desarrollar una acción u omisión que contribuya a la ejecución material del delito.
• Por tanto, la condición del sujeto activo debe vincularse a la disponibilidad de los poderes o facultades que permiten la ofensa del bien jurídico protegido, puesto que la condición de sujeto activo lo define el dominio sobre la vulnerabilidad jurídico penalmente relevante del bien jurídico.
• En conclusión, un Administrador responderá como persona física cuando se le pueda imputar el hecho delictivo de que se trate, ya sea por acción o por omisión. Se entiende que cuenta con el dominio del hecho, aunque esta pretensión se puede desvirtuar si se demuestra lo contrario.

Esta regulación resulta, pues, compatible con la que ofrece el artículo 31 bis.1 a) del Código Penal, cuando indica que una persona jurídica puede responder por actos de sus Administradores, en relación con el ya mencionado 31 ter CP, que proclama la independencia entre la responsabilidad penal de la persona física y la jurídica. A la luz de estos artículos, queda claro que el Administrador respondería como persona física (por acción o por omisión) independientemente de que la persona jurídica tuviera o no un Programa de Compliance que la eximiera de responsabilidad.

4.6. La responsabilidad penal de los administradores y del “Compliance officer” en la última reforma del Código Penal

La reforma del Código Penal operada por la LO 1/2015, de 30 de marzo, precisa la responsabilidad penal de la persona jurídica, contenida en el art. 31 bis Código Penal (CP, en adelante), disponiendo de forma expresa la exoneración de la empresa si dispone de programas de cumplimiento, con determinados requisitos y contenidos. La reforma introduce la figura del Oficial de cumplimiento (o, en terminología anglosajona, “Chief compliance officer”).

Una lectura conjunta de dicha reforma con la operada por la Ley 31/2014, de 3 diciembre, de modificación de la Ley de Sociedades de Capital para la mejora del gobierno corporativo, que impone a los administradores un específico deber de control de riesgos de la empresa, permite sostener una responsabilidad penal de los administradores, como garantes, por los delitos de los empleados, en comisión por omisión.

El Oficial de cumplimiento no asume directamente esa posición de garante y sólo responderá cuando la delegación de funciones le haya encomendado un deber contractual específico de evitación de delitos más allá de sus funciones de supervisión del funcionamiento y cumplimiento del modelo de prevención.

La legislación penal se ha visto imbuida en los últimos años de un creciente influjo tanto de la globalización, de la casuística de escándalos empresariales concretos como de las tendencias normativas de la legislación mercantil.

Parte de los problemas que encara el Derecho Mercantil actual cuando regula la responsabilidad de administradores se comparten por el Derecho Penal Económico. Así sucede, en especial, con fenómenos tales como la difusión y fragmentación de la información en las empresas, el desplazamiento del riesgo en las organizaciones o la delegación de funciones, que pueden desembocar en la denominada irresponsabilidad organizada de las corporaciones.

De lo anterior se deduce que los administradores podrán ser responsables penalmente, a título de autores, autores mediatos o partícipes, por delitos comunes o especiales en los que hayan participado en diversa forma en el ámbito de la empresa o por atribución ex art. 31 CP.

Podrán responder, asimismo, en comisión por omisión, conforme al art. 11 CP, por la no evitación de delitos de los empleados o directivos en el entorno de la empresa, si concurren las condiciones de equivalencia de su omisión a la acción, al resultar ahora un deber legal específico de control sobre las actividades de la empresa y los riesgos de la misma, del que resulta, en forma más precisa, una posición de garante en relación con la evitación de delitos en el ámbito de la compañía.

La delegación de funciones por los administradores a terceros, incluido el oficial de cumplimiento, no debe determinar su exoneración completa en favor del delegado, como la jurisprudencia tiene establecido. Por otro lado, la exoneración no alcanza tampoco a los casos en los que, en vez de una delegación de funciones, ajustada a las formalidades mercantiles, lo único que tiene lugar es un mero encargo de ejecución de un determinado cometido, manteniendo el administrador su posición de garante, al igual que en los casos de delegación defectuosa.

La nueva redacción del art. 31 bis CP -tras la reforma operada por la LO 1/2015, de 30 marzo- aclara que el modelo de responsabilidad penal de la empresa se basa en el defecto de organización, supera el esquema de la responsabilidad vicarial, configurándose como un tipo penal autónomo para el delito de empresa, frente al simple modelo de cláusula de autoría o de extensión de responsabilidad.

Corresponde al órgano de administración la adopción y ejecución con eficacia, antes de la comisión del delito, de los modelos de organización y gestión (programas de cumplimiento) que incluyan las medidas de vigilancia y control idóneas para prevenir delitos o para reducir de forma significativa el riesgo de su comisión.

Los administradores, conforme a lo expuesto, asumen una posición de garantía específica de adopción de programas de cumplimiento y evitación de delitos, en el entorno de tales programas, al que apuntaba el propio tipo penal específico de omisión de programas de cumplimiento, finalmente eliminado de la versión final de la reforma. La posición de garante se correlaciona además con el deber mercantil específico de control sobre la empresa y sus riesgos.

4.7. El Oficial de cumplimento (Compliance officer). Funciones.

4.7.1. Características y funciones

• El rol del Oficial de cumplimiento o Compliance officer se halla, por el contrario, más delimitado ex lege.
• Le corresponde la supervisión del funcionamiento y cumplimiento del modelo de prevención con poderes de iniciativa, que no de decisión (que siguen correspondiendo al órgano de administración), y de control.
• Se trata de un oficial o directivo auxiliar sin poderes ejecutivos que participa en el diseño, implementación, verificación y actualización de los programas de cumplimiento.
• No le corresponde ni la adopción ni la modificación de los programas de cumplimiento ni la decisión final en relación con los mismos. Sólo ostenta poderes de iniciativa y de control.

4.7.2. Extensión de su responsabilidad

Para determinar la extensión de la responsabilidad del Oficial de cumplimiento debemos hacer las siguientes consideraciones:

a) No existe pues un deber legal específico que genere una posición de garante automática en el Compliance officer, sin perjuicio de que pueda asumir esa posición contractualmente, en atención a la delegación de funciones que le opere el órgano de administración a través del contrato o los acuerdos societarios correspondientes.

b) Será posible por ende excluir esa responsabilidad del Compliance officer, mediante la delimitación concreta de sus funciones, a la que habrán de estar los tribunales en cada caso.

c) La delegación no eximirá por completo de responsabilidad al órgano de administración en este ámbito, siendo posible una acumulación de posiciones de garantía al efecto, en forma análoga a lo apreciado ya por cierta jurisprudencia alemana que condena por asunción de posición de garante por complicidad omisiva.

d) Una adecuada configuración de los documentos corporativos y mercantiles en esta materia se revela crucial de cara a la defensa en juicio de administradores, oficiales de cumplimiento y empresas, en caso de delitos de los empleados y directivos, ante la previsible inercia judicial de expandir los imputados (ahora investigados), a resultas de lo que derive de la instrucción, lo que aconsejará asimismo huir de la mera copia o uso de programas de cumplimiento certificados o estandarizados conforme a normas ISO, sin estar debidamente correlacionados con cada empresa y con los roles de sus directivos y administradores.

4.8. Los programas de cumplimento (compliance).

4.8.1 ¿Qué es un «programa de cumplimiento»?

La responsabilidad penal del administrador de una sociedad es uno de los grandes cambios que ha experimentado la legislación española en los últimos años. En el ordenamiento jurídico español venimos oyendo hablar de ella desde 2010, pero… ¿qué significa exactamente eso de la responsabilidad penal del administrador? Esta materia nos exige aproximarnos en cierto modo al compliance penal. Significa que cuando en el seno de una organización se comete un delito, al margen de la persona que lo ha cometido, la propia persona jurídica (la empresa en la persona de su/s administrador/es) puede ser también condenada por los órganos jurisdiccionales competentes. Esto es precisamente lo que busca evitar el compliance o el director de cumplimiento normativo. La justicia, ante la comisión del delito en el seno de la organización, va a depurar responsabilidades como siempre, pero desde esta última reforma del Código Penal, va a ponderar también si la empresa puso los medios para obstaculizar la comisión de delitos dentro de su esquema. Se trata en suma, de poner la mayor cantidad de trabas a la realización del fraude en la empresa¹⁴.

La implementación de un programa de cumplimiento normativo implica la implantación de un plan de prevención de las actividades delictivas y usos en la empresa que llevan a la comisión de delitos, es decir, de un plan de fomento de la cultura corporativa acorde con los valores sociales y que persiga de forma eficaz la criminalidad, debiendo, además, ponerse el acento en las diversas características a las que tienen que responder los programas de cumplimiento normativo, esto es: tienen que ser programas eficaces, adecuados, idóneos, preventivos y de reducción de riesgos¹⁵.

Y hablaremos de programas idóneos para prevenir los riesgos penales o reducir significativamente su comisión, respecto de los que se adapten a las actividades propias de la empresa, teniendo capacidad de modificación de las mismas, cuando en la organización empresarial surja una nueva actividad¹⁶.

No obstante, lo que nos dice la ley no es que siempre que haya delito se condenará a responsable y administrador. La responsabilidad penal de una persona jurídica es independiente de la que tenga persona física. Cabe la posibilidad de que se pueda condenar a la persona física responsable del delito y quedar absuelta de toda culpa la persona jurídica. Repetimos, son responsabilidades independientes.

4.8.2. Marco legal

Como hemos afirmado ut supra, con la reforma del Código Penal en 2015 el marco para regular estas cuestiones cambia sensiblemente. Tenemos:

• La LO 1/2015, de 30 de marzo (reforma del Código Penal). Y
• La Circular de la Fiscalía General del Estado 1/2016.

La reforma del Código Penal vía LO 1/2015 impone a través del art. 31 bis CP la necesidad de establecer en la empresa modelos de prevención y control de delitos como única vía de exención de la responsabilidad penal de la persona jurídica; es lo que se conoce como Compliance penal. Este último se trata de un sistema conformado por un conjunto de herramientas de carácter preventivo que se instauran con la finalidad de prevenir la infracción de normas de carácter penal y evitar las posibles sanciones que generen responsabilidad a la empresa. En definitiva, es un sistema por el que la empresa se va a asegurar de que no se cometen delitos en su seno, y así evitar las consecuencias penales que pudieran desplegarse¹⁷; eso sí, La evitación de riesgos imprevisibles no debe considerarse exigible a la empresa¹⁸.

4.8.3. Desarrollo y contenido de los programas de cumplimiento

El art. 31.5 bis CP contiene un desarrollo profundo y específico de su contenido y requisitos, siendo estos los siguientes:

• Identificar las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos. Esto es, la determinación del «mapa de riesgos», es decir, la identificación de actividades en cuyo ámbito pueden ser cometidos los delitos, implica la individualización de los denominados riesgos previsibles, así como de las potenciales conductas ilícitas que pueden generarse con ocasión de los mismos¹⁹.
• Establecer los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquellos.
• Disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos
• Imponer la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención
• Establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo.
• Realizar una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los haga necesarios.

En definitiva, las empresas deben alcanzar un estado de conocimiento que les permita la concepción e implementación de medidas de supervisión adicionales en la empresa; hecho este que implica una identificación, enjuiciamiento y comunicación, tanto de los riesgos, como de las estrategias de riesgo²⁰.

El mapa de riesgos así entendido, esto es, acogiendo la totalidad de los riesgos penales derivados de las actividades empresariales, pero también de todo el universo de la empresa, permitirá identificar la «totalidad de las actividades, procesos, procedimientos y estructuras internas«, en cuyo ámbito pueden ser cometidos los delitos en el marco interno de la misma y acogerá los siguientes elementos: identificación de actividades de riesgos, la descripción de las conductas potencialmente delictivas; los análisis de controles implementados y la evaluación sobre la posible comisión de delitos en términos probabilísticos²¹.

4.8.4. Consecuencias de tener un buen plan de prevención de comisión de delitos en la Empresa

El hecho de contar con un buen Compliance penal, propicia la exención de responsabilidad penal de la persona jurídica; esto es cuando «el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión» (art. 31.2 bis CP). En ese caso, la persona jurídica va a quedar liberada al entenderse que ha llevado a cabo las acciones necesarias para prevenir y minimizar el riesgo de comisión de delitos²².

A pesar de no recogerse en el Código Penal una obligación expresa de implementar un sistema de Compliance penal, la ley pone de relieve que el no disponer del mismo, va a generar consecuencias y responsabilidad por los delitos cometidos²³.

4.8.5. Requisitos para evitar la responsabilidad penal de los administradores por la existencia de un plan de cumplimento

Para que la empresa, sus administradores, no se vean penalizados por el delito cometido por una persona dentro de su organización deben darse estos condicionantes:

1. Prevención: La empresa tiene que haber implantado (de forma previa a la comisión del delito) unos protocolos de gestión y organización que supongan una vigilancia y control sobre la actividad, de tal forma que eviten la comisión de delitos en su seno. Es lo que se llama compliance.
2. Responsable de cumplimiento normativo: idealmente externo a la organización, el Compliance officer o director de cumplimiento normativo velará para que se cumpla y actualice el plan de compliance, esos modelos de gestión responsables del punto anterior.
3. La persona responsable del delito ha tenido que esquivar el plan de compliance. El delito cometido tiene que haber sido perpetrado eludiendo los cauces del plan de compliance de la organización. Es muestra, al mismo tiempo, de que la empresa puso todos los medios para evitar el fraude y por otro lado de la comisión consciente e intencional del delito por parte del responsable, al margen de la organización.
4. El responsable de cumplimiento normativo no ha faltado a sus funciones como responsable de velar por el control de la organización y obstáculo del delito.

Si se cumplen los requisitos que prevé la ley, la persona que cometió el delito puede ser condenada y la persona jurídica perfectamente absuelta. He aquí la importancia de contar con el respaldo de un experto en compliance corporativo (sea interno, sea externo) para prevenir problemas futuros que pueden dar al traste con una empresa que en lo productivo funciona perfectamente.

4.8.6. ¿Pueden establecerse responsabilidades contra el propio responsable de cumplimiento normativo?

En la organizaciones, frecuentemente (y el compliance no es una excepción) se encuentran con la misma dicotomía cuando tienen que acometer una nueva tarea: ¿dotamos plantilla o externalizamos? En el caso del compliance, muchas empresas optan por nombrar un Chief Compliance Officer (director de cumplimiento normativo) a alguno de sus directivos. Básicamente, están convirtiendo a esta persona en responsable de poner los medios para evitar el delito (ya hemos visto en el epígrafe anterior que el compliance no tiene que evitar el delito sino poner y probar que se pusieron todas las trabas y medidas para obstaculizar el delito). Este directivo ¿puede haber recibido un regalo envenenado en forma de nueva responsabilidad y mayores retribuciones? Como hemos analizado ut supra, sí. Se va a indagar si veló con celo por el cumplimiento del plan de prevención del delito o si por el contrario no actuó con la debida diligencia (en cuyo caso, podría ser omisivamente partícipe). Sí, el responsable de compliance responde del delito de otro, pero de forma limitada a su calidad de asesor y vigilante. Su labor es diseñar el marco más difícil posible para la comisión del delito y velar por su actualización no en sí mismo la de evitar el delito.

4.8.7. ¿Cómo es un plan de compliance y para qué delitos sirve?

El plan de compliance, viene a evitar una extensa gama de delitos tales como: delitos contra el medioambiente/salud, delitos fiscales, delitos societarios, delitos contra los consumidores, delitos contra la propiedad intelectual e industrial, delitos contra el mercado, delitos tecnológicos. delitos contra los derechos de los trabajadores, de estafa, de cohecho o de alzamiento de bienes, delitos urbanísticos, corrupción entre particulares, etc.

Precisamente, para evitar esos riesgos, el plan de compliance, si está correctamente planteado, tiene que poder:

1. Anticiparse a los posibles delitos a cometer en su organización, teniendo en cuenta la idiosincrasia de la misma.
2. Diseñar los protocolos que obstaculicen (mediante vigilancia y control) esos potenciales delitos anticipados.
3. Establecer cauces de comunicación para que el Responsable de Cumplimiento Normativo pueda ser advertido de la comisión de un delito.
4. Hacer partícipe a la plantilla del marco de normas y protocolos que establece el Plan de compliance.
5. Exigir a la plantilla esa condición informante al Responsable de Cumplimiento Normativo cuando se sepa de la comisión de un delito.
6. Prever e imponer sanciones por incumplimiento del plan de compliance.
7. Actualizar permanentemente el modelo.

V. CONCLUSIONES Y REFLEXIÓN FINAL

En los tiempos actuales, una empresa, una organización empresarial no ha de atender únicamente a criterios económicos de optimización de los recursos materiales, económicos y humanos de que dispone, sino que ha de tener presente y valorar las posibles implicaciones jurídicas y, especialmente, penales en que puede incurrir en el ejercicio de su actividad.

Debe destacarse, empero, que el factor humano es inabarcable. Y es que, cuando hablamos de la responsabilidad penal del administrador de una sociedad nos podemos imaginar a una persona omnisciente capaz de anticiparse al futuro como en aquella película, Minority Report del director Steven Spielberg, donde la delincuencia se reducía a cero porque la policía sabía del crimen antes incluso de que el responsable supiera que iba a suceder. Nada más lejos de la realidad. Se trata, simple y llanamente, introducida la responsabilidad penal de las personas jurídicas en nuestro ordenamiento jurídico, de establecer barreras, poner trabas, de poder afirmar y probar que si se cometió un delito en nuestra Empresa (pero solo –volvemos a reiterar- dentro de los delitos que como numerus clausus introdujo la reforma del Código Penal por la LO 5/2010, de 22 de junio, y LO 10/2022, de 6 de septiembre) se hizo esquivando la labor “policial” de la misma, del sistema de prevención de delitos instaurado en su interior, de compliance, y no dentro de un esquema de libre albedrío, que cada uno haga lo que quiera, cuando quiera y como quiera que es campo abierto para el delito.

El endurecimiento en los últimos años introducido por las legislaciones para los directivos responsables de las empresas, tanto en el ámbito civil como -de forma especial- en el penal, han supuesto un cambio en la forma de operar de las empresas. Ahora, es necesario incidir mucho más en la prevención de comisión de delitos y protección personal de los directivos, para evitar incurrir en alguna de las múltiples responsabilidades en las que pueden incurrir.

Se trata, en suma –y esto es la finalidad última del legislador-, de que la Empresa ponga todos los obstáculos contra la comisión del delito en su seno, en su organización interna, de forma que su concurso y/o participación en el delito cometido por una persona física –fuese directivo o empleado- quede perfectamente descartada aun cuando se produjere y, por tanto, siempre por causas ajenas a su voluntad –y, es más, saltándose el sistema de prevención, de compliance, establecido precisamente para evitar tal comisión delictiva- lo que conllevara a esa exención de su responsabilidad penal.

Las organizaciones y las empresas que inviertan en el desarrollo de un compliance integral y multifacético (social, medioambiental, sostenible, de responsabilidad social corporativa, que identifiquen patrones de riesgo y predecir y prevenir problemas de funcionamiento y, en suma, de integridad y responsabilidad social) estarán preparadas para enfrentar los desafíos de un mundo cada vez más cambiante y, así, aprovechar las nuevas oportunidades de negocio que surjan.

BIBLIOGRAFÍA Y WEBTECA

• AGUILERA GORDILLO, R. y MARCHENA GÓMEZ, M., Compliance penal en España, Ed. Aranzadi, Pamplona, 2018.
• ALMAGRO MARTÍN, C., Estudios sobre control del fraude fiscal y prevención del blanqueo de capitales, Ed. Aranzadi, Pamplona, 2016.
• Almagro Martín, C., Estudios sobre control del fraude fiscal y prevención del blanqueo de capitales, Pamplona, 2016.
• APARICIO SALOM, J., Estudio sobre la Protección de Datos, 4.ª ed., Ed. Aranzadi, Pamplona, 2013.
• APARICIO VAQUERO, J, P. y BATUECAS CALETRIO, A., En torno a la privacidad y la protección de datos en la sociedad de la información, Ed. Comares, Granada, 2015.
• AREITIO BERTOLÍN, J., Estrategias y tácticas de defensa a los intentos de intrusión y ataques en ciberseguridad-privacidad, 2018.
• BAJO ALBARRACÍN, J.C., Auditoría de sistemas de gestión. Compliance, Ed. Aranzadi, Pamplona, 2017.
• BALLESTEROS SÁNCHEZ, J., Compliance empresarial: la labor de la empresa más allá de los bienes jurídicos penales. Perspectiva española en Derecho Penal y Criminología, 2020.
• BAQUERO SERRANO, C., Manual básico de prevención de riesgos laborales, 4.ª ed., Madrid, 2018.
• BARRIO ANDRÉS, M., Delitos 2.0, Madrid, 2018.
• Ciberderecho, Madrid, 2018.
• Ciberdelitos. Amenazas criminales del ciberespacio, Madrid, 2017.
• BERMEJO, MATEO G., Prevención y castigo del blanqueo de capitales. Un análisis jurídico-económico, Madrid, 2015.
• BLANCO CORDERO, I., El blanqueo de capitales, Ed. Aranzadi, Pamplona, 2015.
• BOCK, Compliance y deberes de vigilancia en la empresa en KUHLEN, MONTIEL Y ORTIZ DE URBINA GIMENO (edits.), Compliance y teoría del Derecho Penal, Madrid, 2021.
• CALDERON TELLO, F., El delito de blanqueo de capitales, Ed. Aranzadi, Pamplona, 2016.
• CAMPOS ACUÑA, M.ª C., Aplicación práctica y adaptación de la protección de datos en el ámbito local, Madrid, 2018.
• CAPARRÓS, F., El Delito de Blanqueo de Capitales, Madrid, 1998.
• CARDONA TORRES J., La responsabilidad penal de las personas jurídicas, en Diario LA LEY, nº. 7699 (2011).
• CARRAU CRIADO, R., Compliance para pymes, Ed. Tirant lo Blanch, Valencia, 2016.
• CASANOVAS YSLA, A., Compliance penal normalizado, Ed. Aranzadi, Pamplona, 2017.
• CASAS HERRER, E., La red oscura, Madrid, 2017.
• CERVANTES P. Y TAUSTE, O., Internet negro, Madrid, 2015.
• DAVARA E. Y DAVARA, L., Delitos informáticos, Ed. Aranzadi, Pamplona, 2017.
• DE MIGUEL DE ASENSIO, P. A., Derecho privado de Internet, 5.ª ed., Madrid, 2015.
• DEL ROSAL BLASCO B., Sobre los elementos estructurales de la responsabilidad penal de las personas jurídicas: reflexiones sobre las SSTS 154/2016 y 221/2016 y sobre la Circular núm. 1/2016 de la Fiscalía General del Estado, en Diario LA LEY nº. 8732 (2016).
• DELGADO MARTÍN, J., Investigación tecnológica y prueba digital en todas las jurisdicciones, Madrid, 2016.
• DÍEZ RIPOLLÉS J. L., La responsabilidad penal de las personas jurídicas. Regulación española, en InDret, 1/2012.
• DURÁN CARDO, B., La figura del responsable en el Derecho a la protección de datos, Madrid, 2016.
• ECHARRI CASI F., Las personas jurídicas y su imputación en el proceso penal: una nueva perspectiva de las garantías constitucionales, Rev. Diario LA LEY, nº. 7632. 18 mayo 2011., Editorial LA LEY.
• ENSEÑAT DE CARLOS, S., Manual de compliance officer, Ed. Aranzadi, Pamplona, 2016.
• FEIJOO SÁNCHEZ B., El delito corporativo en el Código penal español, 2.ª ed. 2016.
• FERNANDEZ BERMEJO, D. y MARTÍNEZ ATIENZA, G., Ciberseguridad, Ciberespacio y Ciberdelincuencia, Ed. Aranzadi, Pamplona, 2018.
• FERNÁNDEZ BERNAT, J. A., Infracciones y sanciones en materia de prevención de riesgos laborales, Ed. Comares, Granada, 2014.
• FERNÁNDEZ CASTEJÓN, El criminal compliance program como modelo de prevención: de la teoría a su aplicación en la práctica, en La Ley Penal (138), 2019.
• FERNÁNDEZ DE CEVALLOS Y TORRES, J., Blanqueo de capitales y principio de lesividad, Salamanca, 2014.
• FERRÉ MARTÍNEZ C., La responsabilidad penal de las personas jurídicas, Ed. Bosch, Barcelona, 2011
• FERRER MUÑOZ, E., Cuestiones prácticas para el ejercicio de la prevención en riesgos laborales, Valladolid, 2015.
• GALÁN MUÑOZ, A., Fundamentos y límites de la responsabilidad penal de las personas jurídicas tras la reforma de la LO 1/2015, Ed. Tirant lo Blanch, Valencia, 2017.
• GÁLVEZ BRAVO, R., Los Modus Operandi en las operaciones de blanqueo de capitales, 2.ª ed., Barcelona, 2017.
• GARCÍA ALBERO, La medición del riesgo penal corporativo en MORALES PRATS/TAMARIT SUMALLA/GARCÍA ALBERO (Coords), Represión penal y Estado de Derecho. Homenaje al Prof. Gonzalo Quintero Olivares, 2018.
• GARCÍA MAHAMUT, R. Y RALLO LOMBARTE, A., Hacia un nuevo derecho de protección de datos, Ed. Tirant lo Blanch, Valencia, 2015.
• GARCÍA MEXIA, La internet abierta, Madrid, 2017.
• GARCÍA PRATS, A., Intercambio de información, blanqueo de capitales y lucha contra el fraude fiscal, Madrid, 2014.
• GARRIGA DOMÍNGUEZ, A., Nuevos retos para la protección de datos personales, Madrid, 2016.
• GIL GONZÁLEZ, E., Big data, privacidad y protección de datos, Madrid, 2016.
• GIMENO BEVIÁ, J., Compliance y proceso penal, Madrid, 2016.
• GOENA VIVES, B., Responsabilidad penal y atenuantes en la persona jurídica, Madrid, 2017.
• GOENA VIVES, B./MONTANER FERNÁNDEZ, R./NUÑEZ MIRÓ, A., Más ley penal, más espacios para la responsabilidad penal de las personas jurídicas en La Ley compliance penal, núm. 10, 2022.
• GÓMEZ-JARA DÍEZ C., La imputabilidad organizativa en la responsabilidad penal de las personas jurídicas. A propósito del Auto de la Sala de lo Penal de la Audiencia Nacional de 19 de mayo de 2014, en Rev. Diario LA LEY, 8341 (2014),

– Delito corporativo y responsabilidad penal de las personas jurídicas: un desarrollo coherente de la jurisprudencia del Tribunal Supremo, en Rev. Diario La Ley, Nº 8830, Sección Doctrina, 23 de Septiembre de 2016, Ref. D-335, Editorial LA LEY.

– El Pleno Jurisdiccional del Tribunal Supremo sobre la responsabilidad penal de las personas jurídicas: fundamentos, voces discrepantes y una propuesta reconciliadora, en Rev. Diario LA LEY, nº. 8714, 2016.

– La incidencia de la autorregulación en el debate legislativo y doctrinal actual sobre la responsabilidad penal de las personas jurídicas en Arroyo Jiménez, L./ Nieto Martín, A., Autorregulación y Sanciones, Ed. Thomson, 2 ª Ed, 2015.

– El Tribunal Supremo ante la responsabilidad penal de las personas jurídica, Ed. Aranzadi, Pamplona, 2017.

• GÓMEZ MARTÍN, V. y CORCOY BIDASOLO, M., Manual de Derecho Penal, económico y de empresas, Ed. Tirant lo Blanch, Valencia, 2016.
• GÓMEZ TOMILLO, M., Compliance penal y política legislativa, Ed. Tirant lo Blanch, Valencia, 2016.
• Introducción a la responsabilidad penal de las personas jurídicas, 2.ª ed., Ed. Aranzadi, Pamplona, 2015.
• La responsabilidad penal de las personas jurídicas: Comentario a la STS 154/2016 de 29 de febrero, ponente José Manuel Maza Martín, en Diario LA LEY nº. 8747 (2016).
• GONZÁLEZ CUSSAC, J.L., Responsabilidad penal de las personas jurídicas y programas de cumplimiento. Edit. Tirant lo Blanch, Valencia, 2020.
• GOÑI SEIN, J. L., La nueva regulación europea y española de protección de datos y su aplicación al ámbito de la empresa, Albacete, 2018..
• GRACIA MARTÍN L., La inexistente responsabilidad «penal» de las personas jurídicas, en Foro FICP – Tribuna y Boletín de la FICP (www.ficp.es), No 2015-2 (julio), págs. 149 y ss.
• Críticas de las modernas construcciones de una mal llamada responsabilidad penal de la persona jurídica, en RECPC 18-05 (2016).
• GRACIA MARTÍN L., FEIJOO SÁNCHEZ B., en BAJO FERNÁNDEZ / FEIJOO SÁNCHEZ / GÓMEZ-JARA, Tratado de la responsabilidad penal de las personas jurídicas, 1.ª ed., 2012, págs.
• HERNÁNDEZ LÓPEZ, J. M., El derecho a la protección de datos personales en la doctrina del Tribunal Constitucional, Ed. Aranzadi, Pamplona, 2013.
• IGARTUA MIRÓ, T., Sistemas de prevención de riesgos laborales, 4.ª ed., Madrid, 2018.
• JAÉN VALLEJO M. y PERRINO PÉREZ, A. L., La recuperación de activos frente a la corrupción, Madrid, 2016.
• JIMÉNEZ GARCÍA, F., La prevención y lucha contra el blanqueo de capitales y la corrupción, Ed. Comares, Granada, 2015.
• JIMÉNEZ GARCÍA, F. y ROPERO CARRASCO, J., Blanqueo de capitales y corrupción, Ed. Aranzadi, Pamplona, 2018.
• LOMBARDERO EXPÓSITO, L., El nuevo marco regulatorio del blanqueo de capitales, Barcelona, 2015.
• LÓPEZ ÁLVAREZ, L., Protección de datos personales, Madrid, 2017.
• LÓPEZ CALVO, J., El nuevo marco regulatorio derivado del Reglamento de Protección de Datos, Barcelona, 2018.
• LÓPEZ BORJA DE QUIROGA, J., La reforma de los delitos económicos, Madrid, 2015.
• LÓPEZ GANDÍA, J. y Blasco Lahoz, J. F., Curso de prevención de riesgos laborales, 19.ª ed., Ed. Tirant lo Blanch, Valencia, 2018.
• LÓPEZ, J. F., MALLADA, C. y GARCÍA. C., Guía práctica de prevención del blanqueo de capitales, Madrid, 2015.
• LORENZO AGUILAR, J., Compliance, Madrid, 2018.
• LUZÓN CÁNOVAS A., La responsabilidad penal de las personas jurídicas y la criminalidad organizada, en Reforma penal: personas jurídicas y tráfico de drogas; justicia restaurativa (VIII Jornadas de Derecho penal en memoria de José María Lidón), en Cuadernos Digitales de Formación, CGPJ, nº 37, 2012.
• LUZÓN PEÑA D., Lecciones de Derecho Penal, Parte General, 2ª ed., 2012, págs. 12 ss.
• MAGRO SERVET, V., Guía práctica sobre responsabilidad penal de empresas y planes de prevención (Compliance), Madrid, 2017
• Delitos socioeconómicos, 2.ª ed., Madrid, 2015.
• MAROTO CALATAYUD, M., La financiación ilegal de los partidos políticos, Madrid, 2015.
• MARTÍN FERNÁNDEZ, J. y SANTANA LORENZO, M., La prevención de los delitos contra la Hacienda Pública y el blanqueo de capitales a través del Compliance, Ed. Aranzadi, Pamplona, 2018.
• MARTÍN SÁNCHEZ, M. A, Tratado sistematizado de prevención del blanqueo de capitales para profesionales, Ed. Aranzadi, Pamplona, 2017.
• MARTÍNEZ-ARRIETA MARQUEZ DE PRADO, A., El autoblanqueo, Ed. Tirant lo Blanch, Valencia, 2014.
• MARTÍNEZ-BUJÁN PÉREZ, C., Derecho penal económico y de la empresa. Parte especial,5.ª ed., Ed. Tirant lo Blanch, Valencia, 2016.
• MATALLÍN EVANGELIO, Á., Compliance y prevención de delitos de corrupción, Ed. Tirant lo Blanch, Valencia, 2018.
• MARTÍNEZ LÓPEZ-SÁEZ, M., Una revisión del derecho fundamental a la protección de datos de carácter personal, Ed. Tirant lo Blanch, Valencia, 2018.
• MATALLÍN EVANGELIO A. / GÓRRIZ ROYO E., (Coords.), Comentarios a la Reforma del Código penal de 2015, 2015.
• MIR PUIG S., Las nuevas «penas» para personas jurídicas, una clase de «penas» sin culpabilidad, en Foro FICP – Tribuna y Boletín de la FICP (www.ficp.es), No 2015-2 (julio), págs. 140 ss.
• MONTANER FERNÁNDEZ, R., Criminal compliance preventivo y la delimitación del riesgo penal ambiental empresarial. A propósito de la gestión ilegal de residuos, en Rev. La Ley Penal, 2020.
• MORENO SOLANA, A., El servicio de prevención en la empresa, Ed. Aranzadi, Pamplona, 2016.
• NAVARRO, J. y MONTANER, R., El compliance officer, ¿un profesional en riesgo?, Barcelona, 2018.
• NAVAS NAVARRO, S., La personalidad virtual del usuario de Internet, Ed. Tirant lo Blanch, Valencia, 2014.
• NEIRA PENA, A. M.ª, La defensa penal de la persona jurídica, Ed. Aranzadi, Pamplona, 2018.
• Las instrucciones de los procesos penales frente a las personas jurídicas, Ed. Tirant lo Blanch, Valencia, 2017.
• NIETO MARTÍN A., Problemas fundamentales del cumplimiento normativo en Derecho Penal en Biblioteca virtual Miguel de Cervantes, 2021.
• Responsabilidad penal de la persona jurídica y programas de cumplimiento: de la gestión de la legalidad a la legitimidad en La Ley compliance penal, Nº 4, Primer trimestre de 2021.
• NOAIN SÁNCHEZ, A., La protección de la intimidad y vida privada en Internet, Madrid, 2016.
• OLAIZOLA NOGALES, I., La financiación ilegal de los partidos políticos, Ed. Tirant lo Blanch, Valencia, 2014.
• ONTIVEROS ALONSO, M., La responsabilidad penal de las personas jurídicas, Ed. Tirant lo Blanch, Valencia, 2014.
• ORTEGO RUIZ, M., Prestadores de servicios de Internet y alojamiento de contenidos ilícitos, Madrid, 2016.
• PALMA HERRERA, J. M. y AGUILERA GORDILLO, R., Compliances y responsabilidad penal corporativa, Ed. Aranzadi, Pamplona, 2017.
• PARRO, C. y GALINDO, J.C., La prevención de blanqueo de capitales. Algunos aspectos de interés, Madrid, 2018.
• PASCUAL CADENA, A., El plan de prevención de riesgos penales y responsabilidad corporativa, Barcelona, 2016.
• PÉREZ ARIAS, J., Sistema de atribución de responsabilidad penal a las personas jurídicas, Madrid, 2014.
• PÉREZ MACHÍO, A. I., La responsabilidad penal de las personas jurídicas en el Código Penal español, Ed. Comares, Granada, 2018.
• Responsabilidad penal de las personas jurídicas y delitos de tratos degradantes, acoso laboral, acoso inmobiliario y acoso sexual: ¿un paso más hacia el sistema de incriminación de numerus apertus?, en Rev. Diario La Ley nº. 2457/2023, de 12 de abril.
• PÉREZ-CRUZ MARTÍN, A., Proceso penal y responsabilidad penal de las personas jurídicas, Ed. Aranzadi, Pamplona, 2017.
• PIÑAR MAÑAS, J. L. y RECIO GAYO, M., El derecho a la protección de datos en la jurisprudencia del Tribunal de Justicia de la Unión Europea, Madrid, 2018.
• PINTO PALACIOS, F. y PUJOL CAPILLA, P., La prueba en la era digital, Madrid, 2017.
• POQUET CATALÁ, R., Derechos y obligaciones de los trabajadores en materia de prevención de riesgos laborales, Albacete, 2105.
• POVEDA CRIADO, M. A., Delitos en la red, Madrid, 2015.
• PRECIADO DOMENECH, C., La corrupción pública en la reforma del Código Penal de 2015, Madrid, 2015.
• PUENTE ALBA, L. M.ª, La intervención penal en supuestos de fraude y corrupción, Barcelona, 2015.
• PUYOL MONTERO, J. y DELGADO CARAVILLA, E., La implantación del nuevo Reglamento General de Protección de Datos de la Unión Europea, Valencia, 2018.
• PUYOL MONTERO J., Guía para la implantación del compliance en la empresa, Madrid, 2017.
• QUERALT JIMÉNEZ, J., Derecho penal español. Parte especial, 7.ª ed., Ed. Tirant lo Blanch, Valencia, 2015.
• QUINTANO OLIVARES, La regulación de la responsabilidad penal de las personas jurídicas en el sistema adoptado por el Código Penal, en Curso sobre incidencias de la reforma del Código Penal en la Parte General, Fiscalía General del Estado, 2011.
• REBOLLO DELGADO, L., Protección de datos en Europa, Madrid, 2018.
• RECIO GAYO, M., Protección de datos personales e innovación, Madrid, 2016.
• RENEDO ARENAL Mª., Algunos problemas procesales que plantea la responsabilidad penal de las personas jurídicas, en Revista de Derecho Procesal, nº. 1-2, 2011.
• RODRÍGUEZ DE LA MORENA, R., Deber de protección, Ed. Aranzadi, Pamplona, 2015.
• RODRÍGUEZ FERNÁNDEZ R., Diccionario de Jurisprudencia Procesal Penal (2 tomos), Ed. Comares, Granada, 2001.

– Ley de Enjuiciamiento Criminal, 2ª ed., Ed. Comares, Granada, 1999.

– La pésima regulación legal de la responsabilidad penal de las personas jurídicas… ¿quosque tandem abutere, oh legislator!, patientia nostra?». Rev. Sepin. TOPjuridico. Compliance y Portal Penal:  https://www.sepin.es/penal/. Diciembre 2015.

• RODRÍGUEZ MOURULLO G., La responsabilidad penal de las personas jurídicas y los principios básicos del sistema, en Abogados, septiembre 2010.
• RODRÍGUEZ RAMOS L., Sobre la culpabilidad de las personas jurídicas. (Al hilo de las SSTS 514/2015, 154 y 221/2016), en Diario LA LEY nº. 8766 (2016).
• RODRIGUEZ PRIETO R., «¿Qué seguridad? Riesgos y Amenazas de Internet en la Seguridad Humana», Sevilla, 2016.
• RODRÍGUEZ-ZAPATA J., Fuenteovejuna, Señor!: A propósito de la responsabilidad penal de las personas jurídicas, en Constitución y democracia: ayer y hoy, libro homenaje a Antonio Torres del Moral, Ed. Universitaria, Madrid, 2012.
• ROMERO RODENAS, M.ª J. Y TRILLO PÁRRAGA, F., Manual de prevención de riesgos laborales, 3.ª ed., Albacete, 2017.
• RUIZ DE LARA, M., Compliance penal y responsabilidad civil y societaria de los administradores, Barcelona, 2018.
• SANCHEZ MARTÍN, M. A., Responsabilidad penal de las personas jurídicas, Ed. Aranzadi, Pamplona, 2017.
• SÁNCHEZ-STEWART, N., Abogados y prevención del blanqueo de capitales, Madrid, 2014.
• SANJURJO REBOLLO, B., Manual de Internet y redes sociales, Madrid, 2015.
• SEGURA SERRANO, A. y GORDO GARCÍA, A., Ciberseguridad global, Ed. Comares, Granada, 2014.
• SILVA SÁNCHEZ, J. M.ª, La reforma del Código penal: una aproximación desde el contexto, en Rev. Diario La Ley nº 7464 (2010).
• Fundamentos del Derecho penal de la empresa, 2.ª ed., Madrid, 2016.
• Ciberseguridad, la protección de la información en un mundo digital, Telefónica Fundación, Madrid, 2016.
• SOLÉ RAMÓN A. M., La responsabilidad penal de las personas jurídicas. Hacia una nueva regulación de la persona jurídica como sujeto activo del Derecho Penal y Procesal Penal, en Revista General de Derecho Penal, 13 (2010).
• TOSCANI GIMÉNEZ, D. y ALEGRE NUENO, M., Análisis práctico de la Ley de Prevención de Riesgos Laborales, Valladolid, 2016.
• ÚBEDA DE LOS COBOS J.J., La responsabilidad penal de las personas jurídicas tras la reforma del Código Penal aprobada por la LO 5/2010, de 22 de junio, en Rev. Ley Penal, nº 77, diciembre de 2010.
• VALERO TORRIJOS, J., La protección de datos personales en Internet ante la innovación tecnológica, Ed. Aranzadi, Pamplona, 2014.
• VELASCO NÚÑEZ E., Responsabilidad penal de las personas jurídicas: aspectos sustantivos y procesales, en Diario La Ley, nº 7883, de 19 junio 2012.
• VELASCO SAN MARTÍN, C., Jurisdicción y competencia penal en relación al acceso transfronterizo en materia de ciberdelitos, Ed. Tirant lo Blanch, Valencia, 2016.
• Vicerrectorado de Tecnologías de la Información y la Comunicación y Universidad Digital Universidad de Jaén, Guías de Seguridad UJA, Software Malicioso (malware), Jaén, 2018.
• VIDALES, C. y FABRA, M., Régimen jurídico de la prevención y represión del blanqueo de capitales, Ed. Tirant lo Blanch, Valencia, 2015.
• VILLEGAS GARCÍA, M.ª A., La responsabilidad criminal de las personas jurídicas, Ed. Aranzadi, Pamplona, 2016.
• Hacia un modelo de autorresponsabilidad de las personas jurídicas. La STS (Pleno de la Sala de lo Penal) 154/2016, de 29 de febrero, en Diario LA LEY nº 8721 (2016).
• VV.AA., Especial nueva Ley Orgánica de protección de datos y garantía de los derechos digitales, Madrid, 2018.
• VV.AA., Cómo sobrevivir al GDPR, Barcelona, 2018.
• VV.AA., Protección de datos, responsabilidad activa y técnicas de garantía, Madrid, 2018.
• VV.AA., Reglamento General de Protección de datos, Madrid, 2017.
• VV.AA., Manual de prevención de riesgos laborales, 4.ª ed., Barcelona, 2017.
• VV.AA., Fundamentos para la prevención de riesgos laborales, Madrid, 2017.
• VV.AA., Prevención de riesgos laborales, Ed., Aranzadi, Pamplona, 2015
• VV.AA., Delincuencia económica, Ed., Aranzadi, Pamplona, 2018.
• VV.AA., Derecho penal de las personas jurídicas, Madrid, 2016.
• VV.AA., Tratado de responsabilidad penal de las personas jurídicas, Madrid, 2016.
• VV.AA., La responsabilidad criminal de las personas jurídicas en latinoamerica y en España, Ed., Aranzadi, Pamplona, 2015.
• VV.AA., El derecho de Internet, Barcelona, 2016.
• VV.AA., Derecho digital, Barcelona, 2017.
• VV.AA., Derecho TIC, , Ed. Tirant lo Blanch, Valencia, 2016.
• VV.AA. (Coordinadores FERNÁNDEZ BERMEJO D. y MALLADA FERNÁNDEZ C.), Delincuencia económica, Ed. Aranzadi, Madrid 2018.
• VV.AA., Comentarios al Código Penal Español, Ed., Aranzadi, Pamplona, 2016.

• VV.AA., Delitos societarios y conductas afines, Madrid, 2014
• Wolters Kluwer, Guía práctica del Reglamento de protección de datos personales, Madrid, 2018.
• ZARZALEJOS NIETO J., La responsabilidad penal de las personas jurídicas. Aspectos sustantivos y procesales, 2011.
• ZUGALDÍA ESPINAR J. M., La responsabilidad criminal de las personas jurídicas, de los entes sin personalidad y de sus directivos. Análisis de los arts. 31 bis y 129 del Código Penal, Ed. Tirant lo Blanch, Valencia, 2013.
• La ampliación del sujeto del Derecho Penal: entes colectivos susceptibles de ser penados conforme a los arts. 31 bis y 129 del Código Penal, en Libro Homenaje al profesor Luis Rodríguez Ramos, Ed. Tirant lo Blanch, Valencia, 2018.
• ZÚÑIGA RODRÍGUEZ, Compliance penal, diligencia debida, culpa organizacional: ¿juego de abalorios para la responsabilidad penal de las personas jurídicas?, en La Ley compliance penal, 2022.
• Compliance penal, diligencia debida, culpa organizacional: ¿juego de abalorios para la responsabilidad penal de las personas jurídicas?, en La Ley compliance penal, 2022.

Superado el vértigo que supone aceptar la (irrechazable) oferta de colaborar con esta publicación, afronto el presente artículo desde la barrera, adelantando que no tengo soluciones a los problemas de indefensión que la citada Ley plantea para las personas jurídicas en los contextos que se analizan en este artículo de opinión.

Sobre la vulneración del derecho de la persona jurídica a no autoincriminarse ya se han pronunciado voces más autorizadas cuyos argumentos utilizaré existiendo, qué duda cabe, criterios con más peso que ya han ollado este camino. En mi haber sí puedo indicar que he tenido la habilidad (suerte) de estar en el foro adecuado y en el transcurso de discusiones del más alto nivel¹ donde he podido escuchar y tomar algunas de las notas que aquí se plasman. No es poco.

Muchas de las reflexiones que se contienen son fruto del eco que me hago de aquello que, en boca o pluma de terceros, cuestionan la constitucionalidad de algunas de las obligaciones que la Ley de protección del informante impone a las personas jurídicas. Dadas las constantes alusiones a la Ley 2/2023 Reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción me referiré a ella en muchas ocasiones simplemente como la Ley.

Una Ley que nació con mucha fuerza y una ambición encomiable, diría que hasta necesaria para seguir impulsando la cultura de cumplimiento en empresas y organizaciones.

Una Ley que nació con certezas e incertidumbres que no han sido todavía despejadas. Entre estas últimas cuándo comparecerá uno de los actores más importantes en este escenario: La Autoridad Independiente de Protección del Informante (A.A.I). En el momento de escribir estas líneas me hago eco de un borrador del Estatuto de la Autoridad Independiente de Protección del Informante fechado el 24 de abril².

No estará de más que cuando se siente a la mesa como último y retrasado comensal, utilice la prerrogativa que la Ley le otorga para elevar cuestiones controvertidas a fin de poder modular, aclarar e incluso instar la modificación de  preceptos como los que afectan al derecho de defensa de los sujetos obligados por la ley (Personas Jurídicas).

Un año y medio después de la entrada en vigor de la Ley, con todos los sistemas de compliance adecuando sus canales de denuncias a los nuevos requisitos, uno de los temas que más tinta ha ocupado son las consecuencias prácticas de la aplicación del artículo 9.2j, regulador del procedimiento de gestión de las informaciones:

j) Remisión de la información al Ministerio Fiscal con carácter inmediato cuando los hechos pudieran ser indiciariamente constitutivos de delito. En el caso de que los hechos afecten a los intereses financieros de la Unión Europea, se remitirá a la Fiscalía Europea

Si los hechos son constitutivos de una infracción administrativa (art. 2.3b Ley 2/2023) no se plantea debate alguno como tampoco cuando afecte a intereses de la Unión Europea en materias que no revistan una dimensión penal.

Pero si la comunicación apunta a la comisión de un delito en el seno de la empresa y se dan a priori las circunstancias legales para incriminar a ésta (al menos el beneficio directo o indirecto) la proactividad y obediencia debida pueden verse seriamente comprometidas.

Si añadimos el carácter inmediato con el que la ley conmina a comunicar y la naturaleza indiciaria de estar ante la presencia de un delito, la obligación legal se sitúa en el estado primigenio de recibir la comunicación y, tras el triaje oportuno (materia objeto de comunicación, naturaleza de los hechos…) revelar el asunto y todos sus pormenores al Ministerio Fiscal.

 Más allá del deber legal ¿conviene hacerlo a sabiendas de las consecuencias penales para la entidad? ¿Se auto inculpa la persona jurídica?.

 No existe una obligación legal de conocer de inicio cuándo los hechos pueden o no ser constitutivos de un delito o si indiciariamente nos encontramos ante una actividad delictiva. De hecho no son pocas las situaciones en las que, en el transcurso de una investigación interna, se llega a esta conclusión tras semanas de pesquisas, interrogatorios y diligencias internas. Por ello no vulnera la Ley el hecho de que no reportar inmediatamente una comunicación sino en el transcurso o al final de la gestión de la misma y dentro del plazo legal de tres meses conferidos por la propia ley. O seis meses si la investigación se complica.

Aquí parece salvada la obligación de urgencia con la que la Ley conmina a poner en conocimiento de la Fiscalía los hechos delictivos, dando una suerte de árnica que permite a la persona jurídica investigar primero a nivel interno qué, quién y cómo en relación con los hechos denunciados.

El escollo a este escenario es el artículo 26 de la Ley que impone la obligación de…contar con un libro-registro de las informaciones recibidas y de las investigaciones internas que hayan dado lugar, garantizando en todo caso, los requisitos de confidencialidad previstos en esta ley.

Este registro no será público y únicamente a petición razonada de la Autoridad judicial competente, mediante auto, y en el marco de un procedimiento judicial y bajo la tutela de aquella, podrá accederse total o parcialmente al contenido del referido registro.

Esos requisitos de confidencialidad se refieren a datos e identidad de los implicados en la comunicación y su posterior gestión (investigación) pero nada encuentro en relación con el contenido de la investigación que incluiría hechos, circunstancias u otros hallazgos que impactan en la propia organización y su eventual estatus de potencial investigado. Existe además la obligación de colaborar con la Autoridad Independente de Protección del denunciante (art. 19) cuyos miembros tienen la condición de funcionarios públicos con las consecuencias que puede tener la renuencia a cumplir con sus requerimientos.

Antes de la entrada en vigor de la Ley 2/2023 existe un antecedente judicial que procede traer a colación en relación con la colaboración “auto inculpatoria” y su elusión por parte de una persona jurídica.

En el contexto de la instrucción llevada a cabo por el Juzgado Central de Instrucción nº 2 de la Audiencia Nacional, Diligencias Previas 10/2016 (Caso Abengoa), se resolvió un recurso de apelación por parte de la Sala Penal Sección 4ª en relación a la solicitud de aportación a la causa del programa de cumplimiento normativo (compliance) y de la totalidad de las denuncias internas recibidas entre los años 2013 a 2016 con el contenido de las investigaciones llevadas a cabo en relación con las mismas³.

Mediante auto de fecha uno de julio de 2021, la citada sección resuelve el recurso estimando el mismo de forma parcial y dejando sin efecto el requerimiento judicial únicamente respecto de los citados documentos.

El argumento esgrimido por los magistrados que resuelven el recurso, haciéndose eco de la jurisprudencia del TEDH, descansa sobre la base de que el derecho a no auto inculparse alcanza la negativa a aportar datos y documentos de creación voluntaria y respecto de los cuales la persona jurídica tiene plena disposición y dispensa de no aportarlos si de su contenido puede desprenderse su responsabilidad penal en los hechos investigados.

Distinta suerte corre la documentación de obligada tenencia, existencia o llevanza por parte de una persona jurídica. Aquellos documentos que ex lege debe tener la organización y que no están amparados por esa “dispensa” de exhibición y entrega. En el caso concreto que resuelve la Audiencia Nacional se refiere a las actas de auditoría interna o las Cuentas Anuales consolidadas.

Conviene recordar que este criterio es anterior a la entrada en vigor de la Ley 2/2023 de protección del informante de cuyo articulado (especial atención al art. 26) se desprende la obligación legal de tener y mantener un registro de informaciones. Las denuncias/comunicaciones y la gestión de las mismas (investigaciones) ya no son un acto/documento de creación voluntaria sino obligatoria, lo que les equipara a los documentos no amparados por la voluntariedad en su aportación bajo el derecho a la no autoinculpación.

Esta doble obligación que impone la Ley 2/2023, la de comunicar de forma inmediata a la Fiscalía la comisión de un ilícito penal en la empresa y la de facilitar documentación que antes era de creación voluntaria, impacta de lleno en el derecho de defensa de las personas jurídica  y su estrategia.

Una de las soluciones que se plantea en relación con este dilema es la dudosa constitucionalidad de los artículo 9.2j, el 26 párrafo 2º y quizás el apartado 5º del artículo 19:

5.Todas las personas naturales o jurídicas, privadas o públicas, deberán colaborar con las autoridades competentes y estarán obligadas a atender los requerimientos que se les dirijan para aportar documentación, datos o cualquier información relacionada con los procedimientos que se estén tramitando, incluso los datos personales que les fueran requeridos.

Los funcionarios de la Autoridad Independiente de Protección de Informante tendrán la consideración de agentes de la autoridad en el ejercicio de sus funciones. No planteo un escenario de comisión de delito de desobediencia contra un agente de la autoridad pero tal condición refuerza el carácter coercitivo de esta obligación de colaborar, exhibir, franquear el paso y  entregar. A ello debo añadir que “cualquier información” es toda la que exista, se documente y forme parte de los procedimientos que se estén tramitando (investigando). Incluso los datos personales que les fueran requeridos.

Tiene fundamento sostener que si la aplicación práctica y literal de los anteriores preceptos vulneran derechos contenidos en leyes de mayor rango como son la propia constitución (art.24.2) o la Ley de Enjuiciamiento Criminal (arts.409 bis, 786 bis), no pueden ejercitarse y quedarán sin efecto práctico.

En este sentido ya tuvieron ocasión de pronunciarse en este mismo medio en diciembre de 2023 Fernando Lacasa y Alfonso Bravo⁴. En concreto y respecto a la obligación de acudir a la Fiscalía aún a expensas de auto inculparse, los citados autores apuntaban que nos encontrábamos con uno de los aspectos más preocupantes de la Ley 2/2023. Me permito reproducir las palabras que en tal sentido ponían en boca del Profesor Lascuráin⁵:

 “el brete inconstitucional, es el siguiente: si mi sistema de cumplimiento es probablemente defectuoso, si denuncio, me denuncio, y si no lo hago, pues también. La salida es esa: la inconstitucionalidad. O la forzada interpretación de que ese deber de denuncia se refiere sólo a los supuestos en los que la entidad no tiene posibilidades de responsabilidad penal, bien sea porque por su índole esté excluida (art. 31 quinquies 1 CP), bien porque se trate de un delito que no genera responsabilidad penal de las personas jurídicas”

Los citado autores sostienen que una solución para no limitar el derecho de defensa de las personas jurídicas en relación a la obligación legal de denunciar hechos que les puedan comprometer penalmente, es restringir dicha obligación a las comunicaciones que no versen sobre actividades delictivas que presenten rasgos “típicos” del delito corporativo que le sería imputable a la persona jurídica.

Al parecer otros países miembros como Portugal, Bélgica o Suecia han contenido esta restricción en la transposición a su ordenamiento jurídico interno de la Directiva 2019/1937.

A mi juicio esta posibilidad sería conciliable con la Ley siempre y cuando no tenga que considerarse en fase de investigación otros criterios de imputación como el déficit de organización, la inexistencia de una fraudulenta elusión de los controles por parte de los autores físicos….amén que, determinar el beneficio directo o indirecto, no siempre está inicialmente tan claro.  Basta con revisar el debate que en este sentido presentan los “nuevos” delitos relativos al acoso laboral, sexual o por razón del sexo.

Siguiendo la línea de esta primera alternativa, basada en la dudosa constitucionalidad de los preceptos legales apuntados,  reiterar que sólo se plantea en la comunicación de hechos que sean delictivos, y dentro  del númerus clausus de aquellos que aparejan la responsabilidad penal de la organización.

Por ello quizás se está haciendo demasiado ruido con la obligación de acudir de forma inmediata a la Fiscalía cuando en la práctica, sólo afectarán al derecho de defensa de la persona jurídica en un número limitado de las comunicaciones que se reciban. Si además se preconiza la existencia de una cultura de cumplimiento que en sus más altos estándares debe exigir que las empresas vayan con todo y hasta el final en el esclarecimiento de hechos y caiga quien caiga…¿Qué problema plantea no denunciar en cualquier caso?. Si apostamos por los sistemas de compliance donde el riesgo cero no existe y podemos optar a la absolución, la atenuación o el archivo a pesar de que se cometa el delito corporativo…¡caminemos todos y la empresa la primera por la senda del compliance¡

Lo anterior es cierto y supone uno de los argumentos que mejor resume el parecer de la Fiscalía en relación con esta materia. La colaboración no debería ser una opción voluntaria de la persona jurídica sino una consecuencia honesta e irrefutable de su compromiso con el cumplimiento normativo. No se les puede llenar la boca a las organizaciones en torno a la robustez de sus sistema si luego se torna en ocultación, reticencias y medias verdades cuando se trata de esclarecer y revelar lo ocurrido.

Mi postura es la de defender la posibilidad de que la persona jurídica juegue con las mismas armas, prerrogativas y oportunidades que las personas físicas en sede penal. En mi trabajo de documentación tenido la suerte de topar con un estudio elaborado por Beatriz Goena Vives que aboga por el “nemo tenetur corporativo” a pesar de  no ser posible equipararlo en toda su dimensión a los derechos de no declarar contra sí mismo ni auto inculparse que se atribuye a las personas físicas⁶.

Goena Vives sostiene que la posibilidad de proteger a la persona jurídica y garantizar su derecho de defensa, debe conciliarse con la realidad que subyace en una corporación, conformada por personas físicas cuyos intereses son en muchas ocasiones contrapuestos y que, en sede judicial, es difícil poder garantizar que la persona jurídica vea amparado su derecho a no auto incriminarse dado que sólo cuando sea contra sí misma y no frente a terceros verá amparado este derecho, siendo lo cierto que hay muchos “terceros” que no están amparados por esta prerrogativa y, teniendo obligación de decir verdad y colaborar con la instrucción, pueden colmar el acervo probatorio de una acusación. 

Para terminar de enturbiar la situación diré que la absoluta transparencia y abnegada colaboración que se exige a la persona jurídica no se cohonesta con el incentivo que debe suponer tener y mantener un sistema de compliance penal, unos canales de comunicación internos y las bondades de investigar de su peculio cualquier irregularidad acaecida en su seno.

Llegados a la situación en la que las exigencias legales compelen a las organizaciones a una suerte de “apertura en canal” exenta de (alguna) garantías, ya hay voces que sostienen que quizás lo menos perjudicial sea no investigar ni producir trabajo que pueda ser utilizado en contra de la organización. Nada hago, nada tengo, nada entrego.  A mi juicio no debe ser el mensaje ni la opción.

Siguiendo el hilo de los posibles escenarios de la “inmediata” puesta en conocimiento de la comisión de un delito, surge la opción de facilitar toda la información al Ministerio Fiscal y permitir que inicie éste una investigación en sede judicial. Puedo colaborar pero nada tengo en mi libro-registro que pueda ofrecer dado que he actuado con la celeridad e “inmediatez” que me exige la ley. Puedo por el contrario y como diligente empresario, indagar de forma paralela y gestionar esta comunicación iniciando una investigación interna. La Ley 2/2023 no lo impide y creo que muchas organizaciones querrían saber de primera mano qué, quiénes y cómo en relación con los hechos. Habría por tanto dos investigaciones simultáneas en curso: la propia e interna de la organización y la impulsada por el Ministerio Fiscal.

Este escenario cumple escrupulosamente con las obligaciones legales contenidas en la Ley 2/2023 y si la empresa es requerida de forma inmediata para aportar documentación y exhibir su libro-registro, al menos sobre denuncias e investigaciones internas poco o nada puede aportar en primera instancia.

Pero la práctica no concibe que con este escenario de la doble investigación pueda la organización eludir la fiscalización de su trabajo interno. Desde el momento en que la organización gestione de forma interna la comunicación recibida y puesta en conocimiento de la Fiscalía, tiene la obligación ex. artículo 26 de registrar todo lo que a nivel interno haga en relación con ella por lo que en cualquier momento puede ser requerido por la Autoridad Independiente y/o el órgano judicial para exhibir, aportar o compartir sus conclusiones y pesquisas.

Queda al margen de mis consideraciones la invocación al secreto profesional y la posibilidad de hurtar de la acción fiscalizadora el “producto del trabajo” en manos o ejecutado por abogados amparados por ese secreto profesional. Sí, es una derivada al tema del presente artículo y otra alternativa para la protección de la persona jurídica, pero creo que entrar en este tema sería desviarme de mis reflexiones y hay mucha y extraordinaria literatura al respecto. Por todas ellas señalar el artículo inédito que ha tenido a bien compartir conmigo su autor, Daniel Tejada Plana⁷.

 Además y en relación con los documentos que conforman el programa de compliance de una organización, no pocos son elaborados por asesores, consultores externos, abogados de la empresa o incluso peritos informáticos a los que no alcanza  o es poco probable que sea extensible la dispensa del secreto profesional⁸.

¿Qué ocurre si la persona jurídica hace caso omiso a los requerimientos de información cursados en virtud de la Ley 2/2023?. Depende de quién lo pida y en qué contexto.

El artículo 26 al que ya se ha aludido anteriormente obliga a los sujetos llamados a establecer un sistema interno de comunicación a tener y mantener un registro de informaciones:

A tenor del párrafo segundo del epígrafe 1 sólo a petición razonada de la Autoridad Judicial competente y mediante auto, puede accederse a su contenido que, como se indica en el mismo precepto, comprenderá las informaciones recibidas y las investigaciones internas a que hayan dado lugar. Precisamente los documentos clave que contienen material sensible a los efectos de la incriminación.

A tenor de la dicción literal del artículo 26 la Autoridad Independiente de Protección del informante no tiene acceso a este libro registro, vedado únicamente a una autoridad judicial y en el marco de un procedimiento. Tranquiliza por tanto pensar que el auto por el cual se accede a la información del libro registro, además de motivado, proporcionado, adecuado y pertinente, huirá de investigaciones prospectivas lo que permite a la entidad requerida acotar el contenido objeto de exhibición o entrega.

Pero que la Autoridad Independiente no tenga acceso a este libro registro me plantea bastantes dudas al amparo de la obligación legal de colaborar con la Autoridad, lo que incluye desde luego “cualquier” información contenida en el libro registro.

No puedo/debo negarme a colaborar con un Juzgado de Instrucción ante el requerimiento de información al margen de las consideraciones que ya han sido comentadas anteriormente. Plantea más problemas si ese requerimiento judicial se hace a la empresa en calidad de testigo o sin la condición de investigada, pero al menos y hasta que cobre forma alguna de las soluciones apuntadas, la organización podrá cribar el contenido de lo que se aporta obteniendo algo más de margen de cara a la defensa de sus intereses penales.

Plantea más dudas y me preocupan los efectos y alcance de requerimientos que provengan de la Autoridad Independiente de Defensa del Informante.  

El título III de la Ley 2/2023 recoge la recepción y gestión de comunicaciones por parte de la A.A.I. De su lectura puede concluirse que en la instrucción de una comunicación por parte de la Autoridad, la persona jurídica puede ser requerida para exhibir o aportar información sobre su canal de denuncias o las investigaciones en curso. La Autoridad no está investigando unos hechos concretos sino el correcto funcionamiento del sistema interno de comunicación de la entidad.

Ello podría implicar el acceso a información-cualquiera-en aras a verificar qué se denunció, quién y cómo se ha tramitado la comunicación, incluyendo desde los plazos de investigación pasando por las garantías del informante y las personas afectadas, la ausencia de represalias, el respeto a los plazos de acuse de recibo y de resolución de todos los hitos que conforman la gestión…en definitiva mucha información que se incluye en un investigación interna.

En aras a verificar el correcto funcionamiento de un sistema interno, la A.A.I podría llegar a acceder a toda la información de nuestras comunicaciones e investigaciones amparada por el legítimo interés en conocer el grado de cumplimiento de las garantías legales de la Ley.

Esto puede ser una suerte de investigación prospectiva llevada a cabo por un órgano no judicial pero sí competente para acceder al libro-registro. ¿Qué ocurre si descubren los funcionarios de la Autoridad un delito? O ¿si creen estar ante una actividad delictiva?. A tenor del artículo 18.c de la Ley, lo pondrán en conocimiento de la Fiscalía en un primer momento, sin instruir. También puede la Autoridad iniciar sus diligencias de investigación y en un momento posterior, concluir que los hechos deben comunicarse al Ministerio Fiscal al ser indiciariamente de naturaleza delictiva.

El borrador del Estatuto que se encuentra actualmente en trámite de redacción y aprobación es consonante con el espíritu de la Ley pero no despeja las dudas que aquí se plantean:

Queda claro que el papel de la A.A.I no es la de investigar los hechos comunicados sino garantizar que los sistemas internos de comunicación cumplen con los requisitos mínimos exigidos por la Ley y en consonancia con la Directiva Europea.

Son dos objetivos muy distintos y no deberían ser vasos comunicantes. Pero lo son. O lo pueden ser, dado que con la redacción de la Ley y la potestad que confiere el artículo 19 a la A.A.I, su intervención se puede convertir en aquello que el citado auto de la Audiencia Nacional pretendía evitar: Las diligencias de prospección.

Deberá por tanto aclarar la A.A.I qué tipo de información es la que recabará en aras a verificar el correcto funcionamiento de los sistemas sin que ello vulnere ni el derecho de defensa de una persona jurídica ni la confidencialidad de la información o traspasar la restricción legal que el artículo 26 impone  a su acceso a los libros-registro (reservado para  la autoridad judicial).

¿Debe la persona jurídica consignar en el libro-registro las investigaciones internas que tengan su origen en otra fuente que no sea la comunicación a través de su sistema?.

No. El libro-registro como obligación es una novedad de la Ley 2/2023 y se circunscribe a las comunicaciones que se reciban a través de los canales que la propia organización debe habilitar. Ello supone que si la “notitia criminis” tiene su origen en una auditoría interna u otro hallazgo casual no se impone el cauce de la Ley. Distinto es que en consonancia con la cultura de cumplimiento, la unificación de procesos y la proclamada transparencia de los sistemas de prevención de delitos corporativos, se aconseje dejar constancia de todo cuanto se gestione por los mismos cauces, esto es el sistema interno de información de la empresa y su posterior registro en el libro.

 El libro registro como viene configurado en la Ley 2/2023 es un elemento de nueva creación ¿qué debe incluir?  En principio y a tenor del artículo 26 las comunicaciones recibidas y su gestión (investigación o tratamiento). Nada especifica en relación con su contenido con lo que bien puede tratarse de una reseña sobre la comunicación y datos concretos de la misma que preserven la identidad del comunicante y de otros datos confidenciales. Si el cometido de la Autoridad es conocer el correcto funcionamiento del sistema, será información suficiente para dar cumplimiento a los requerimientos que la A.A.I tiene derecho a efectuarnos. Insisto, la Autoridad no está investigando los hechos en sí sino velando por el correcto funcionamiento del sistema y las garantías de ausencia de represalias y confidencialidad de la información.

También debe incluir el libro-registro las investigaciones llevadas a cabo, pero este contenido forma parte de la información a la que sólo tiene acceso la autoridad judicial en virtud del apartado 2º del citado artículo. Por lo tanto y en mi opinión, el registro de comunicaciones y la reseña suficiente sobre su gestión (investigación, cierre, remisión a otras autoridades) es lo máximo y único que debe interesar a la Autoridad. Es lo máximo a lo que la organización dará acceso.

En este punto y dado que la anterior conclusión no deja de ser una reflexión personal, cabe plantearse la posibilidad de desobedecer los requerimientos de la A.A.I que se efectúen al amparo de la obligación de colaborar con ella contenida en el artículo 19.5 de la Ley.

En la ponderación de intereses en juego estaría el pago de una multa por infracción leve ex art.63 de la Ley 2/2023 frente al riesgo de auto incriminarse por los contenidos e información que se aporta a la  Autoridad. Así, el citado artículo determina en su apartado 3 que:

Estas infracciones prescriben a los seis meses y prevén multas de entre 1001 y 10.000.-€ si se trata de un infractor persona física y hasta 100.000.-€ para las personas jurídicas (art.65). Esta infracción incluye también la negativa a remitir con carácter inmediato la comunicación a la Fiscalía toda vez que se trata de un acto no precedido de ningún requerimiento ni se produce en el seno de unas diligencias penales en curso.

De nuevo nos encontramos ante el dilema de incumplir para garantizar derechos constitucionales. La resolución de este dilema debe ponderar la posibilidad de que los órganos judiciales accedan a esta información por otros medios legalmente admitidos como son la entrada y registro o la solicitud de dicha información a terceros no amparados por el secreto profesional. Terceros cuyas declaraciones no suponen una declaración de autoinculpación para ellos mismos.

Si antes de la entrada en vigor de la Ley 2/2023 la voluntariedad de los documentos “comprometedores” garantizaba la negativa a su aportación con efectos incriminatorios, la obligación de denunciar y de dar acceso al sistema de comunicación y las investigaciones compromete mucho la posición de defensa-legítima-que ampara a la persona jurídica en sede penal.  De nuevo surge el debate sobre la creación de un estatuto propio que regule la situación procesal penal de la persona jurídica.  Se aboga por el establecimiento de garantías de no utilización de documentos facilitados extramuros de la jurisdicción penal para inculpar a ésta en sede penal. Vuelve a suscitarse la necesidad de dar presencia al papel de  la Fiscalía en la fase de instrucción de una causa penal que ofrezca garantías a cambio de la colaboración espontánea, honesta y voluntaria de la empresa; colaboración que  por mor de la Ley 2/2023 deja de ser tan voluntaria.

Otro aspecto de la Ley que incide en la desprotección de la persona jurídica tiene que ver con hecho de acompañar las comunicaciones de buena fe con documentos y pruebas cuya obtención por parte del informante vulneren la obligación de éste con la persona jurídica y  el principio de lealtad que les vincula y que forma parte de la relación laboral “sinalagmática” entre empresa y trabajador.

El numerando 91 de la Directiva 2019/1937 cita textualmente:

Es decir, el derecho a protección frente a represalias estaría por encima del compromiso de confidencialidad y la lealtad laboral que pudiera suponerse a un trabajador conforme al estatuto de los Trabajadores. ¿Y si para aportar datos a su comunicación cometiese el informante un posible delito? Por ejemplo acceder de forma inconsentida al ordenador de un compañero de trabajo o un área o directorio restringido para él.

La Directiva diferencia entre las acciones que incluyendo el apoderamiento de información de la empresa no supongan un delito y aquellas acciones que impliquen quebranto legal y actividades delictivas. Se pone también el acento en el tipo de información con la connotación de la buena fe y la existencia de indicios racionales y suficientes de que se está comunicando una infracción de carácter penal o administrativo grave o muy grave. Se sigue dando prioridad a la revelación de información sobre la vulneración de otros bienes jurídicos en juego pero se deja a criterio de cada Estado miembro regular esta circunstancia:

Nuestro legislador ha transpuesto este apartado de la directiva en el artículo 38 de la Ley que regula las medidas de protección frente a represalias:

Es (parece) claro que la Ley ampara frente a represalias a quienes de “buena fe” comuniquen y aporten documentos a la comunicación que no deberían estar en su poder. Documentos que han sido sustraídos a la organización sin su consentimiento y conocimiento, violando la obligación de confidencialidad que les vincula y en relación-a menudo-con secretos de empresa o información cuyo apoderamiento castigan los artículos 278 y siguientes del Código Penal.

Se puede tratar en ocasiones de secretos de empresa sobre los que existe obligación de guardar silencio, no apoderarse, divulgar o ser cedida a terceros. Hablo de una lista de iniciados en el sector financiero, información de I+D+i, proyectos con un alto valor económico por la ventaja competitiva que entrañan…

Queda a salvo para la persona jurídica que esta medida de protección no ampara la comisión de delitos o la responsabilidad penal en la que puedan incurrir los informantes. Insisto que la base de esta protección reside en la buena fe, concepto subjetivo cuya ausencia existe en no pocas ocasiones, tardando años en aflorar. Los “motivos razonables” tampoco aportan mucha seguridad jurídica a una persona jurídica inicialmente expoliada.

Pero en lo que a mi juicio es un confusa y torpe redacción de la ley, el apartado 5 del mismo artículo establece:

Desaparece cualquier alusión a la responsabilidad penal al tratarse de los procedimientos judiciales-todos-y por si hubiese alguna duda: a los relativos a la revelación de secretos.

Esto es sostener una cosa y la contraria y creo que el legislador se ha excedido en el empoderamiento de la figura del informante poniendo a la persona jurídica en un brete y desde luego al pie de los caballos.

Supongamos que un informante “de buena fe”, traicionando su deber de fidelidad y confidencialidad con la empresa (contractualmente garantizado en no pocas ocasiones) aporta datos, documentos y otros soportes relevantes que contienen información de alto valor para la empresa. Supongamos que el informante lo hace en su creencia (de buena fe) de estar ante hechos irregulares que no tienen por qué ser constitutivos de un delito. El informante sostiene que es su creencia razonable la que le ha conducido a incautarse de forma inconsentida de documentación propiedad de la empresa. La persona jurídica afectada no puede emprender acciones penales contra él al estar amparado por la protección contra represalias aunque se trate de un delito de revelación de secretos.  Esto es lo que parece desprenderse de la redacción del artículo 38 de la Ley.

Supongamos que se trata de una comunicación pública en la que no sólo se revela el contenido de la comunicación sino que se aportan documentos relevantes al objeto de que se investigue y se depuren responsabilidades. Los documentos confidenciales de la persona jurídica son expuestos públicamente.

Hervé Falciani sustrajo información que finalmente terminó en los Tribunales de un tercer país (España) y que motivó un condena ratificada por la Sala 2ª del Tribunal Supremo sobre la licitud de prueba documental ilícitamente objetiva en su inicio pero desconectada de su destino final que no fue otro que fundamentar la condena de algunos de los integrantes de la lista. En palabras del Alto Tribunal que “coloquializo” en estas líneas, ni el ciudadano Falciani estaba preconstituyendo pruebas para un procedimiento penal ni actuaba como brazo ejecutor del Estado en aras obtener pruebas que sirvieran para encausar penalmente y sostener una acusación.

En aplicación del espíritu de la Ley, el informante que se incaute de forma indebida de documentos lo hace para que se investiguen los hechos y se depuren responsabilidades (incluida la penal). No le mueve en su “buena fe” otro motivo. Conoce el destino final y el efecto que producen los documentos de los que se apodera y revela.

Esto no es nada nuevo y en la ponderación de bienes y derechos en juego primaría la persecución y esclarecimiento de un delito sobre la confidencialidad de documentos que prueben una actividad delictiva.

Pero la redacción de la Ley y especialmente la protección frente a acciones penales como revelación de secretos me parece cuanto menos desacertada o confusa. En primer lugar porque los hechos que pueda haberse cometido tendrán o no la consideración de delitos cuando los mismos se hayan sometido a un juicio contradictorio con oralidad, inmediación  y muchos meses o años de desconexión con la revelación inicial.

Mientras tanto y en aras a la protección del informante de “buena fe”, el perjuicio para la persona jurídica cuyos valiosos datos han sido deslealmente hurtados puede ser irreparable.

No discuto la pertinencia de aportar documentos confidenciales que revelan una actividad delictiva cierta. Pero ocurrirá en ocasiones que la aportación de los mismos, entre los que puede haber algunos de gran valor para su propietario y sin relación alguna con los hechos, sean revelados a terceros y sólo después de meses o años, resulte que su aportación no estaba revestida de buena fe o de la existencia de un delito (archivo de la causa penal, inexistencia de delito, absolución…) o que su contenido amen de irrelevante fue indebidamente sustraído de su legítimo titular.

En este supuesto no será ningún consuelo para la persona jurídica que se permita el inicio de acciones contra el informante cuando el daño puede haber sido irreparable. Nada nuevo, cierto, pero tenía la necesidad de apuntar a la confusa redacción que la Ley 2/2023 ha dado a la transposición de la Directiva en este punto.

En un futuro que vaticino próximo se aclararan los puntos que se exponen en el representa artículo. Confío en el papel de la Autoridad Independiente y la asunción de su papel como garante de los principios de la Ley entre los que no se encuentran ahondar en el fondo de los asuntos que se gestionen a través del sistema interno de comunicación.

Espero y confío en que los Órganos Judiciales serán respetuosos con el derecho de defensa de las organizaciones y tratarán de conciliarlo en la medida de lo posible con el resto de derechos en juego y el principio de igualdad de armas.

Y finalmente siempre nos quedará la sala 2ª del Tribunal Supremo que tanto y tan bien está haciendo para la consolidación de la responsabilidad penal de las Personas Jurídicas.

I.- Introducción

Una de las cuestiones que más ha sido tratada por la Excma. Sala Segunda del Tribunal Supremo – probablemente, la más tratada hasta el momento – es cómo abordar la responsabilidad penal de las personas jurídicas que carecen de un mínimo sustrato organizativo / complejidad organizativa. La jurisprudencia de la Sala Segunda parece estar un tanto dividida respecto del camino para, eso sí, arribar a la (ab)solución. En una apretada síntesis se podría decir que una solución aboga por la inimputabilidad por carencia de estructura organizativa propia; la otra solución advoca por la insancionabilidad por concurrencia de ne bis in ídem. Pudiera parecer que siendo el resultado el mismo, poco puede importar la fundamentación. Pero sería ésa una conclusión precipitada. El camino escogido importa, y mucho. Ello, fundamentalmente, porque, más allá de disquisiciones doctrinales, su utilidad para resolver casos futuros es ciertamente distinta.

La Sentencia de 11 de noviembre de 2022 [Ponente: Excmo. Sr. D. Ángel Hurtado Adrián] aborda esta cuestión de forma integral e introduce en el campo jurisprudencial un concepto importado del acerbo doctrinal: el concepto del «actor corporativo»¹. La adopción del mismo por parte de la jurisprudencia menor está todavía por ver²; pero, sin duda, constituye un hito en la evolución de una de las doctrinas jurisprudenciales más ricas – en nuestra opinión – de las que existen en Europa respecto de la responsabilidad penal de las personas jurídicas. Desde esta perspectiva, muy resumidamente, se puede sostener que las personas jurídicas que no pueden considerarse un actor corporativo son inimputables³. 

Así las cosas, la sentencia objeto de comentario se encuadra dentro de la tendencia del Tribunal Supremo de adoptar conceptos desarrollados por la doctrina científica e incorporarlos al acerbo jurisprudencial español para dotarlos de utilidad práctica. Así, en concreto, la vinculación del concepto del «actor corporativo» con la complejidad organizativa interna de determinadas personas jurídicas permite abordar con mayor solvencia los retos que plantean algunas formas societarias como, por ejemplo, las sociedades unipersonales o supuestos de concurrencia parcial de responsabilidades entre personas físicas y jurídicas en sociedades carentes de estructura organizativa.

En este sentido, la Sala Segunda también ha acudido al expediente del ne bis in ídem para analizar la problemática de las sociedades unipersonales y sociedades en las que se identifican personas físicas con personas jurídicas; pero dicho expediente choca con la amplia versatilidad de las sociedades que, por ejemplo, no por tener un solo socio deben identificarse con el mismo; es decir: identidad corporativa e identidad individual no tienen porqué coincidir en una sociedad unipersonal. Es decir, no resulta conforme a Derecho afirmar sin más que todas las sociedades unipersonales no deben ser sancionadas si se sanciona a su único socio⁴.

Adicionalmente, en el caso de «pequeñas» personas jurídicas – sc. carentes de sustrato organizativo propio – acudir al principio del ne bis in ídem plantea problemas adicionales en diversos casos. Así, siendo el criterio rector de dicha solución la «doble sanción» que sufren las personas físicas – en primer lugar, por su sanción directa individual; en segundo lugar, por la sanción indirecta corporativa como socios de la persona jurídica – , los grupos de casos (i) en los que las personas físicas ya no son socios de la persona jurídica (que carece de sustrato organizativo) en el momento de la imposición de la sanción (ii) en los que sólo uno de los socios recibe la sanción individual (y no el resto) pese a tratarse de una persona jurídica sin estructura organizativa propia. En estos supuestos, la solución del ne bis in ídem no sería stricto sensu estricto aplicable, pero serían inimputables desde el punto de vista del actor corporativo.

Finalmente, además de lo ya expuesto sobre el fundamento de la inimputabilidad de aquellas personas jurídicas que no alcanzan el grado de desarrollo organizativo suficiente para ser consideradas actores corporativos, la Sentencia de 11 de noviembre de 2022 contiene, como veremos, una suerte de mandato extraordinariamente relevante para los órganos instructores a la hora de dictar los Autos de Apertura del Juicio Oral – lo cual tiene una incidencia práctica determinante – . Si en los escritos de acusación no se contiene un relato fáctico detallado respecto del delito corporativo de la persona jurídica, lo que procede no es abrir sin más el Juicio Oral contra la persona jurídica, sino decretar su sobreseimiento sobre la base del Artículo 637.2 LECrim. Esperamos que dicho mandato sea debidamente acogido por parte de los Juzgados de Instrucción que, debido a la vorágine cotidiana de una justicia penal hipertrofiada, en muchas ocasiones no pueden prestar la debida atención a estas circunstancias.

II.- La Sentencia de 11 de noviembre de 2022

El supuesto de hecho al que se enfrenta la Sentencia de 11 de noviembre de 2022⁶ es, desgraciadamente, demasiado habitual en el panorama de la jurisprudencia española respecto de la responsabilidad penal de las personas jurídicas. Así, por un lado, se trata de una sociedad de escasísima complejidad, como son una gran cantidad de las personas jurídicas en España. En concreto señala que se trata de

Por otro lado, la Sentencia relata una serie de avatares procesales que son el pan nuestro de cada día al que se enfrentan los órganos judiciales en gran parte del territorio español:

Sobre la base de estos parámetros iniciales, la Sentencia se adentra en los fundamentos de la responsabilidad penal de las personas jurídicas para arribar a dos conclusiones que, sin duda, son de gran utilidad para la praxis penal cotidiana: la primera, que las personas jurídicas carentes de una mínima «complejidad interna», de un «suficiente sustrato material organizativo» son inimputables y carecen de capacidad de culpabilidad empresarial⁷; la segunda, que la falta de consignación en los escritos de acusación de un relato fáctico sobre el delito corporativo de la persona jurídica, supone la obligación del magistrado instructor de dictar un Auto de sobreseimiento libre por mor del Artículo 637.2 LECrim. Ambas cuestiones merecen un trato diferenciado.

III.- El actor corporativo como concepto idóneo para abordar la imputabilidad de las personas jurídicas: la complejidad organizativa interna como criterio de valoración

Citando a la doctrina, señala la Sentencia que la sociedad acusada y condenada «“no es un actor corporativo que pueda cometer delitos corporativos” como ha sido dicho algún autor». De esta manera, la resolución comentada engarza con un concepto que introduje hace más de una década en la discusión española y que ha sido objeto de una reciente monografía⁸. Lo importante, en cualquier caso, es la fundamentación que lleva a cabo la propia Sentencia⁹.

Así, la Sentencia de 11 de noviembre de 2022 parte de la jurisprudencia establecida por la Sala Segunda a partir de las dos basales resoluciones de 2016: la STS de 29 de febrero de 2016 [Ponente: Excmo. Sr. D. José Manuel Maza Martín] y la STS de 16 de marzo de 2016 [Ponente: Excmo. Sr. D. Manuel Marchena Gómez]. Ahora bien, también introduce importantes aportaciones de su propia cosecha. En este sentido indica lo siguiente:

A partir de ahí, entronca con las características que tienen que acreditarse en la persona jurídica como sujeto de imputación idóneo en el ámbito de la responsabilidad penal de las personas jurídicas, y lo hace apelando a la mínima complejidad interna que debe tener la persona jurídica para considerarse imputable en nuestro sistema penal. Así, señala:

Dicho planteamiento, como indica la propia Sentencia comentada, encuentra apoyo en lo ya advertido por la propia Circular de la FGE 1/2016, cuando afirma sin ambages que

Finalmente concluye su razonamiento estableciendo los parámetros fundamentales de su decisión:

En la aplicación al caso concreto colige:

Por si lo anterior no resultara suficientemente ilustrativo, la Sentencia de 11 de noviembre de 2022 inicia una discusión interesante con la que pocos meses se había dictado por la misma Sala Segunda: la Sentencia de 27 de julio de 2022 [Ponente: Excmo. Sr. D. Antonio del Moral]. En efecto, trayendo a colación el razonamiento de la Sentencia de 27 de julio de 2022, la Sentencia de 11 de noviembre de 2022 extrae los párrafos relevantes para la cuestión debatida:

Como más adelante, explicita el fundamento de por qué se centra en la complejidad organizativa como parámetro fundamental de valoración:

En efecto, acierta plenamente en su planteamiento la Sentencia de 11 de noviembre de 2022 respecto del camino emprendido por la Sentencia de 27 de julio de 2022. Como detalle de contexto: la Sentencia de 27 de julio de 2022 aborda la problemática de las sociedades unipersonales alcanzando la conclusión de que, en dichos supuestos, resulta más adecuado acudir al expediente del ne bis in idem para evitar la doble sanción a persona física y jurídica. Así, como se ha indicado anteriormente, dicha resolución afirmaba que

Ahora bien, como bien señala la Sentencia de 11 de noviembre de 2022, lo decisivo no es si se trata de una sociedad unipersonal o no, sino del grado de complejidad organizativa interna de la que goza la citada sociedad. En este sentido, piénsese – como hemos señalado anteriormente – en empresas matrices que tienen filiales de las que ostentan el 100% de su accionariado; esto es, filiales que son sociedades unipersonales en las que la matriz es el «titular exclusivo» de la sociedad (filial). En esos casos, las filiales pueden tener una complejidad organizativa interna sumamente desarrollada – como apunta correctamente la Sentencia de 11 de noviembre de 2022 – y, en consecuencia, se produce una «mínima alteridad» a la que hace referencia la sentencia de 27 de julio de 2022 y que abordaremos más adelante. De hecho, no es extraño que grupos empresariales españoles constituyan filiales al 100% por cada rama de actividad que desempeñan por lo que el ejemplo apuntado concurre en la práctica empresarial de forma habitual.

IV.- La adecuada fundamentación teórica de la Sentencia de 11 de noviembre de 2022

Ciertamente pudiera parecer que las fundamentaciones teóricas en la antesala de los Fallos Judiciales no resultan de excesivo interés y que, en definitiva, lo que importa es la conclusión final. No obstante, sería ése un parecer un tanto apresurado. Y ello porque, en definitiva, es la fundamentación teórica la que permite en el futuro resolver grupos de casos similares con una cierta previsibilidad jurídica¹⁰. En este sentido, la fundamentación es un pilar basal de la seguridad jurídica a la que tienen derecho los justiciables.

Así, en nuestra opinión, la fundamentación de la inimputabilidad de las personas jurídicas sobre la base de un déficit de estructura organizativa propia / complejidad organizativa interna constituye una herramienta más sólida que el recurso al expediente del non bis in ídem. Resulta evidente que entre ambos existen concomitancias o puntos en común; en concreto: respecto de la inexistencia de esa «mínima alteridad» entre persona física y persona jurídica en los casos de sociedades inimputables. Pero a partir de ahí la primera fundamentación permite discernir con mejor criterio aquellos supuestos en los que puede existir una apariencia de no «alteridad» cuando en realidad sí concurre – como en los casos indicados de filiales participadas al 100% por una matriz, pero con estructuras organizativas absolutamente diferenciadas – .

Ello se observa con claridad en la reciente Sentencia de la Sala Segunda del Tribunal Supremo de 27 de julio de 2022 [Ponente: Excmo. Sr. D. Antonio del Moral] que indica lo siguiente:

De las reflexiones contenidas en dicha resolución se puede observar que la solución del ne bis in idem resulta compatible con la solución de la inimputabilidad – tal y como hemos referido anteriormente – . En efecto, la solución del ne bis in idem pasa por considerar que no se cuenta con dos sujetos diferenciados, sino con un mismo sujeto penal: la persona física. Y de ahí que la imposición de una pena a la persona jurídica y adicionalmente una pena a la persona física, en puridad, materialmente, constituyan una doble sanción a la persona física. La Sentencia razona de la siguiente forma:

En puridad, esa «mínima alteridad» a la que hace referencia la resolución es lo que el modelo constructivista denomina «actor corporativo». Precisamente cuando surge el actor corporativo – y en consecuencia la persona jurídica se diferencia de la persona física – es cuando no se produce la identificación entre persona física y jurídica a la que hace alude la Sentencia. Ahora bien, al contrario de lo que manifiesta la Sentencia de 27 de julio de 2022, la solución del ne bis in idem es subsidiaria respecto de la solución del mínimo sustrato organizativo propio. Precisamente porque se carece de dicho sustrato organizativo propio es por lo que no concurre la «mínima alteridad» que exige la solución del ne bis in idem.

El problema fundamental de la solución propugnada por la Sentencia del 27 de julio de 2022 es que centra su criterio para determinar la «mínima alteridad» en observar si los socios y administradores son también personas físicas imputadas en el mismo procedimiento; no en la perspectiva organizativa. De ahí que, además de la inadecuación de dicha solución para los supuestos de matriz 100% titular de las acciones de la filial, se presenten ulteriores problemas en supuestos que pueden acontecer de forma habitual en la práctica.

Adicionalmente, y desde un punto de vista teórico, los problemas de la solución del ne bis in idem no se quedan ahí. En efecto, con la constatación de la inexistencia de esa «mínima alteridad» entre persona física y jurídica, no queda constatado el ne bis in idem. Para ello resulta necesario que concurran los otros dos elementos de la triada del ne bis in idem: sujetos, hechos y fundamento. Salvo que se determine apriorísticamente que la identidad de sujetos conlleva obligatoriamente la identidad de hecho y de fundamento – y en caso de que ello fuera así, debería explicitarse por qué – el análisis de los otros dos elementos resulta obligado.

Por lo que respecta a la identidad de los hechos, resulta ya una jurisprudencia consolidada que la persona jurídica es sancionada por su «hecho propio» y no por el hecho individual de la persona física. Desde esta perspectiva, resulta sumamente complicado defender apriorísticamente la identidad de hechos que requiere el ne bis in idem. Respecto de la identidad de fundamento algo similar puede afirmarse. Si bien es cierto que ambas, persona física y jurídica, responden por el delito de la parte especial, resulta igualmente cierto que, al menos en la mayor parte de las ocasiones, las personas físicas responden por la vía de la acción y las personas jurídicas por la vía de la omisión en virtud de la posición de garante que ostentan sobre su ámbito de organización.

En cualquier caso, creemos que la Sala Segunda no pretende la aplicación de la solución del ne bis in idem para sociedades unipersonales cuyo único socio es otra persona jurídica; únicamente pretende esta solución para sociedades unipersonales donde el socio es una persona física. Ahora bien, afirmar que el ne bis in idem sí concurre cuando hay una persona física y una persona jurídica pero no concurre cuando se trata de dos personas jurídicas en idéntica situación no parece compaginarse bien con los principios informadores del ordenamiento. Y ello fundamentalmente porque para arribar a ese resultado, en el fondo late que, «en realidad», la persona jurídica es una «ficción» y, por tanto, nunca puede sufrir «realmente» una pena (siquiera pecuniaria) ni plantearse una vulneración del ne bis in idem. El corsé del principio de igualdad no parece aguantar semejante tensión; de hecho, ese tipo de razonamientos llevaría, en última instancia, a considerar que la persona jurídica no goza «realmente» de la presunción de inocencia puesto que, «en realidad» no puede ser ni culpable ni inocente, puesto que es una «ficción». Y así con un largo etc.

Pero, además, que considerar que la pena impuesta a la persona jurídica supone la imposición de una pena (siquiera indirecta) a la persona física se conjuga difícilmente con otras ramas del ordenamiento jurídico. La razón es que el ordenamiento jurídico distingue claramente entre patrimonio social y patrimonio personal. Concluir que siempre que una sociedad unipersonal sufre una sanción pecuniaria también el socio persona física sufre la sanción no se corresponde con la legislación societaria ni tributaria. Ciertamente, puede apelarse a la idiosincracia de la legislación penal y a que esta no se rige por los mismos parámetros que otras ramas del ordenamiento jurídico, pero a la hora de proponer un canon interpretativo, resulta aconsejable que pueda engarzarse con otras ramas del ordenamiento jurídico.

Finalmente no puede desconocerse que, también en el ámbito de las personas físicas, la imposición de una pena puede tener consecuencias «sancionatorias» para terceros¹¹. Así, por ejemplo, y por seguir en el ámbito pecuniario, la imposición de una pena de multa a un pater familias, conlleva consecuencias «sancionatorias» para los integrantes de dicho núcleo familiar. ¿Se plantearía acaso un ne bis in idem en el caso de que padre e hijo fueran condenados por blanqueo de capitales porque se impusiera una pena de multa al padre que implica una reducción en la paga que da mensualmente a su hijo también receptor de una pena de multa? Entendemos que no.

A modo de resumen, la solución de la inimputabilidad (inexistencia del «mínimo sustrato organizativo») es más adecuada teórica y prácticamente que la solución del ne bis ni idem (inexistencia de una «mínima alteridad» entre persona física y jurídica) debido a que:

i. No obliga a tener que abordar los otros dos elementos de la triada del ne bis in idem (identidad de sujeto, hechos y fundamento).

ii. Permite tener un criterio que soluciona los problemas de matrices/filiales al 100% (sociedades unipersonales) y los problemas de personas jurídicas sin estructura organizativa donde sólo algunos socios son condenados (no todos) o donde los socios en el momento de los hechos no son los mismos a los que existen en el momento de la condena penal .

iii. Permite engarzar con instituciones propias del Derecho penal, en el que se requiere un determinado grado de madurez (en el caso de las personas físicas: psíquica; en el caso de las personas jurídicas: organizativa) para poder ser considerado imputable penalmente¹².

iv. Resulta más coherente con la concepción que otras ramas del ordenamiento jurídico tienen de la persona jurídica.

V.- El engarce de la Sentencia de 11 de noviembre de 2022 con otras resoluciones judiciales

A la vista de lo expuesto anteriormente, no es de extrañar que otras resoluciones tanto del Tribunal Supremo como de otros órganos jurisdiccionales hayan venido manteniendo posturas próximas a la establecida por la Sentencia de 11 de noviembre de 2022. Así, probablemente, la Sentencia más cercana a la resolución ahora objeto de comentario fue la Sentencia del Tribunal Supremo de 22 de octubre de 2020 [Ponente: Excma. Sra. Dña. Susana Polo García]. Así, en primer lugar, establece correctamente el marco de referencia indicando lo siguiente:

Posteriormente, circunscribe el motivo impugnatorio a la realidad fáctica que se considera acreditado en la Sentencia, derivando las consecuencias pertinentes:

En un sentido también similar se pronunció la Sentencia del Tribunal Supremo de 18 de marzo de 2022 [Ponente: Excmo. Sr. D. Andrés Palomo del Arco], haciendo referencia a la inexistencia de una organización diferenciada o a la carencia de suficiente desarrollo organizativo para ser diferenciada de la persona física:

Finalmente, recogiendo esta terminología, también se pronuncia la Sentencia del Tribunal Supremo de 15 de noviembre de 2023 [Ponente: Excmo. Sr. D. Vicente Magro], cimentando la noción de una carencia de suficiente desarrollo organizativo por parte de las personas jurídica inimputables:

En cualquier caso, como hemos indicado anteriormente, la denominada jurisprudencia menor vino impregnándose desde temprano de los planteamientos de la inimputabilidad de ciertas personas jurídicas que habían sido introducidos por la Sentencia del Tribunal Supremo de 29 de febrero de 2016 [Ponente: Excmo. Dr. D. José Manuel Maza Martín]. Así, la Sentencia de la Audiencia Nacional de 15 de julio de 2016 [Ponente: Ilma. Sra. Dña. Ángela Murillo], a la hora de analizar la responsabilidad penal de las personas jurídicas conforme a los planteamientos señalados por la Sala Segunda indicaba lo siguiente:

De igual manera, y ya de forma temprana la Sentencia del Juzgado de lo Penal número 8 de Madrid de 13 de febrero de 2017 [Ponente: Ilmo. Sr. D. Jacobo Vigil] exponía las posturas que más adelante recogían con más profundidad tanto la Sentencia de 11 de noviembre de 2022 – inimputabilidad por falta de complejidad organizativa interna – como la de 27 de julio de 2022 – insancionabilidad por ne bis in ídem – , terminando su razonamiento de la siguiente forma:

En efecto, dicha resolución apunta uno de los varios inconvenientes que presenta la solución del ne bis in idem – que, como hemos referido anteriormente, requiere la triple identidad de sujeto, hecho y fundamento –. Además del problema de afirmar la identidad de sujetos sancionados en casos donde se puede tratar de personas jurídicas absolutamente diferenciadas y diferentes, otro de los problemas es que no se produce la identidad de fundamento dado que, como indica la mencionada resolución, la heterogeneidad del delito corporativo impide su identificación con el delito individual.

Precisamente, a raíz de dichos planteamientos, la Audiencia Nacional, de nuevo haciendo gala de un conocimiento profuso en la materia, vino a establecer la extensión de la tesis de la inimputabilidad no sólo a las «sociedades pantalla», sino a aquellas que carecen de una estructura organizativa compleja. En efecto, en la Sentencia de la Sección Cuarta de la Sala de lo Penal de la Audiencia Nacional de 3 de marzo de 2021 [Ponente: Ilmo. Sr. D. Fermín Echarri Casi], se razona de la siguiente forma – reproducida igualmente en su Sentencia de 14 de diciembre de 2023 [Ponente: Ilmo. Sr. D. Fermín Echarri Casi]:

De manera similar, y coligiendo el planteamiento de la Sentencia de 11 de noviembre de 2022, la Sentencia de la Audiencia Provincial de Madrid de 3 de mayo de 2023 [Ponente: Ilmo. Sr. D. Eduardo Luis Gonzalez Del Campillo Cruz ], resume su aproximación de la siguiente manera:

De igual manera, la reciente Sentencia de la Audiencia Provincial de Palma de Mallorca 26 de octubre de 2023 [Ponente: Samantha Romero Adán] hace acopio de la doctrina expresada en varias de estas resoluciones y concluye de forma similar – aplicando, de hecho, una solución un tanto extrema , como podemos observar a continuación –:

En un sentido similar se pronuncian la reciente Sentencia de la Audiencia Provincial de Badajoz de 27 de diciembre de 2023 [Ponente: Ilma. Sra. Dña. María Dolores Fernández Gallardo] y la también reciente Sentencia del Tribunal Superior de Justicia de Madrid de 19 de octubre de 2023 [Ponente: Ilmo. Sr. D. Francisco José Goyena Salgado], considerando, no obstante, que también sería coincidente el resultado que se alcanzaría mediante la aplicación del principio de ne bis in idem:

Por último, resulta interesante traer a colación el razonamiento llevado a cabo por el Auto de la Audiencia Nacional de 6 de noviembre de 2023 [Ponente: Excmo. Sr. D. Fermín Echarri Casi], donde se analiza qué ocurre en aquellos supuestos en el cual las sociedades pantalla ni siquiera han sido objeto de acusación:

En definitiva, parece advertirse una paulatina tendencia a la adopción del criterio de la complejidad organizativa interna como parámetro para determinar la imputabilidad o inimputabilidad de las personas jurídicas en el sistema de Derecho penal español de tal manera que las personas jurídicas que carecen de ese mínimo sustrato organizativo interno que permita diferenciarlas de las personas físicas no serán consideradas como imputables penalmente – pudiendo adoptarse otra serie de medidas frente a las mismas dependiendo de las circunstancias del caso concreto –. El concepto del actor corporativo sirve, entonces, para referirse a las personas jurídicas que, debido a su complejidad organizativa interna, se han diferenciado suficientemente de las personas jurídicas – esto es: gozan de una identidad corporativa diferenciada – y, por tanto, resultan imputables penalmente.

Ciertamente, este planteamiento restringe el elenco de personas jurídicas imputables a los efectos del artículo 31 bis) CP, pero, como ya indicamos hace tiempo, al igual que no todas las personas físicas son imputables en el Derecho penal individual, no todas las personas jurídicas deben ser imputables en el Derecho penal empresarial. Con ello se logra un triple objetivo: en primer lugar, configurar un sistema de RPPJ respetuoso con la lógica de los principios informadores del Derecho penal; en segundo lugar, evitar en mayor medida el riesgo de desnaturalización de las categorías tradicionales del Derecho penal; en tercer lugar, simplificar procesalmente situaciones que en la práctica se tornan complejas¹³.

VI.- El deber del Juez Instructor de dictar sobreseimiento con el Auto de Apertura del Juicio Oral cuando no se contenga en el relato fáctico de los escritos de acusación referencia alguna al delito corporativo de la persona jurídica

La otra consecuencia notable que se extrae de la Sentencia de 11 de noviembre de 2022 resulta especialmente relevante en la práctica. Así, en la praxis judicial no es inusual encontrarse con relatos acusatorios donde se especifican los hechos cometidos por las personas físicas, pero no se detalla (en muchas ocasiones: ni se menciona) cuál es el defecto estructural en los mecanismos de prevención y detección de los delitos del que adolece la persona jurídica.

Así, como hemos indicado anteriormente, la citada resolución de la Sala Segunda afirma lo siguiente:

En consecuencia, la instrucción que imparte la Excma. Sala es clara:

Piénsese por ejemplo en qué ocurriría si el escrito de acusación contra una persona física no contuviera un «relato con sustantividad propia para acusarla». Ciertamente, el Juez de Instrucción acordaría su sobreseimiento. El hecho de que se trate de una persona jurídica no puede alterar el resultado. De ahí la importancia de que, como viene estableciendo una y otra vez la jurisprudencia del Tribunal Supremo, los derechos y garantías procesales son los mismos para personas físicas y jurídicas, no debiendo establecerse dobles raseros al respecto.

La problemática se torna algo más compleja cuando se observa que en muchos escritos de acusación únicamente viene referido, como delito corporativo, una lacónica frase que, mutatis mutandis afirma lo siguiente: «la empresa X carecía de un programa de cumplimiento normativo». La pregunta entonces es si puede considerarse suficiente tan vaga afirmación o si, por el contrario, se exige algo más para superar el filtro del relato fáctico en aras de posibilitar una adecuada contradicción al respecto – y, en consecuencia, la salvaguarda del derecho de defensa de la persona jurídica -.

Dicha cuestión entronca con un problema nuclear: a quién corresponde la carga de la prueba en este ámbito. En principio, la Sentencia de 16 de marzo de 2016 [Ponente: Excmo. Sr. D. Manuel Marchena Gómez] apuntaba en el sentido de que correspondía a la acusación¹⁴; desde esta perspectiva, entonces, ciertamente no resulta suficiente con la mera afirmación de que una persona jurídica carece de programa de cumplimiento: es necesario que el relato fáctico acusatorio contenga los elementos mínimos de por qué existe un defecto estructural en los mecanismos de prevención y detección del delito.

Ahora bien, en tiempos recientes el cuidado análisis llevado a cabo por la relevante Sentencia del Tribunal Supremo de 8 de abril de 2024 [Ponente: Excmo. Sr. D. Antonio del Moral] respecto de la carga de la prueba suscita ulteriores reflexiones¹⁵. Así, la citada sentencia parte de un entendimiento de los elementos que fundamentan la responsabilidad penal de las personas jurídicas que ha calado en diversas resoluciones de la Sala Segunda. En este sentido, indica:

Pues bien, a este respecto, la Sentencia de 8 de abril de 2024 vierte las siguientes reflexiones que, pese a su extensión merece la pena reproducir por su importancia y claridad:

Como se puede apreciar, la mentada Sentencia aboga por el consolidado principio de que «la carga de la alegación de ese factor excluyente de la responsabilidad recae, en principio, en la defensa». Algunas resoluciones judiciales de tribunales inferiores también han apuntado en el sentido indicado. Así, resulta interesante traer a colación la reciente Sentencia de la Sala de lo Penal de la Audiencia Nacional [Ponente: Ilmo. Sr. D. Enrique López López], puesto que introduce un matiz interesante: en caso de que el presupuesto de la responsabilidad penal de la persona jurídica venga dado por un delito de un directivo, lo razonable es que la carga de la prueba respecto de la exoneración de la persona jurídica competa a la defensa de la persona jurídica (lo cual se invierte cuando el presupuesto viene dado por un delito cometido por un empleado).

La reconciliación de ambas posiciones, aparentemente – pero sólo aparentemente – antagonistas, puede producirse de la mano del presupuesto establecido por la Sentencia de 16 de marzo de 2016 en siguiente sentido:

Así, por un lado, la Excma. Sala afirma que, en materia de carga de la prueba, el análisis de la responsabilidad penal de las personas jurídicas no se puede apartar de los cánones interpretativos propios del orden penal y de la salvaguarda de la presunción de inocencia (STS de 16 de marzo de 2016); por otro lado, afirma que el escrito de acusación debe contar con un relato con sustantividad propia para acusar a la persona jurídica en el sentido de una base fáctica que defina su delito corporativo(SSTS de 16 de marzo de 2016 y de 11 de noviembre de 2022); finalmente, afirma que en el orden penal rige el principio de que la carga de la alegación de un factor excluyente de la responsabilidad recae, en principio, en la defensa (STS de 8 de abril de 2024).

Precisamente por ello en su día propuse una valoración probatoria donde tanto acusación como defensa debían soportar parte del onus probandi. Así, la acusación corría con la carga de la prueba de la ausencia o inidoneidad de las «medidas de vigilancia y control para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión» (Art. 31 bis) 2. 1ª CP) – lo cual deberá ser consignado como relato fáctico en el escrito de acusación -; la defensa corre con la acreditación del funcionamiento de su sistema de cumplimiento normativo (Art. 31 bis) 5 CP) – lo cual deberá ser consignado en su escrito de defensa –¹⁶.

Sea como fuere, merece la pena confrontar los extremos apuntados en la Sentencia de 11 de noviembre de 2022 y de 8 de abril de 2024: en la primera, existía una abulia indagatoria y probatoria en el escrito de acusación; en la segunda, se constata igual abulia en el escrito de defensa. Lo que parece colegirse sin dificultad de una lectura conjunta de ambas resoluciones es que ni el escrito de acusación ni el escrito de defensa pueden evitar pronunciarse sobre los sistemas de cumplimiento normativo – sc. modelos de organización y gestión para la prevención y detección de delitos, en la terminología utilizada por el Código penal – de las personas jurídicas acusadas. Ambos escritos basales de las pretensiones acusatorias (por un lado) y absolutorias (por otro) deben contener relatos fácticos y una propuesta probatoria tendente a la constatación de su ausencia o concurrencia.

VII.- Consideraciones finales: ¿realismo vs. normativismo?

Una vez publicado el presente artículo, el ponente de dos de las sentencias comentadas en el mismo – el Excmo. Sr. D. Antonio del Moral – tuvo la amabilidad y gentileza de hacerme llegar sus impresiones sobre la postura que defiendo en el presente trabajo. Por ello, considero no sólo oportuno sino también necesario hacer referencia a dichas impresiones y, en la medida de lo posible, responder a las mismas.

El núcleo de la postura que sostiene este tan respetado como querido Magistrado es que, en el fondo, las personas jurídicas tienen “algo de ficción”. Por expresarlo con sus propias palabras en otro trabajo:¹⁷

Desde esa perspectiva, los términos del debate serían los siguientes: los realistas parten de la base de que las personas jurídicas son “ficticias” y que, por tanto, únicamente se puede hablar de “culpabilidad” o “penas” a las personas jurídicas en sentido “figurado” – sc. ficticio –. En el bando contrario estaríamos los normativistas que consideramos que, a los ojos del ordenamiento jurídico, las personas jurídicas son tan “ficticias” como las físicas, y tan ficticio es tratar la “culpabilidad” o la “pena” de las personas jurídicas como de las físicas. Este debate nos adentraría, en consecuencia, en una discusión aún más profunda: la relativa a la corriente epistemológica que defiende cada bando.

Desde la perspectiva aquí sostenida la distinción no es tan radical. Y ello por dos motivos: el primero, porque resulta a nuestro juicio innegable que el Derecho penal muestra ciertas dosis de normativismo; el segundo, porque resulta igualmente cierto que el propio sistema jurídico muestra ciertos límites a la normativización. El tema es ciertamente complejo y un tratamiento adecuado desbordaría con creces la extensión posible de un apartado de un artículo. No obstante, sí se pueden dar algunas pinceladas de los parámetros de la discusión.

Si el derecho penal fuera plenamente realista incorporaría sin filtro, por ejemplo, los resultados actuales de las neurociencias y sería coherente respecto del determinismo imperante en la conducta del ser humano. Sin embargo, no es ese el caso. En la actualidad, pese a que el determinismo resulta imperante en el ámbito científico, el Derecho penal asigna normativamente a la persona física un cierto grado de libertad. Se trata, en definitiva, de una libertad normativa¹⁸. La pregunta resultante, entonces, es qué condiciones debe mostrar un sujeto para que el ordenamiento jurídico le asigne esa libertad normativa.

Y aquí es donde, ciertamente, se puede colegir que el Derecho penal exige unas condiciones más exigentes que otras ramas del ordenamiento para asignar esa libertad normativa. Ello resulta evidente cuando contraponemos las condiciones exigidas por el Derecho penal a las condiciones requeridas por el Derecho civil o el Derecho administrativo-sancionador. Expresado en los términos anteriores: el Derecho penal es más “realista” que otras ramas del ordenamiento, pero con ciertas dosis de normativismo. La pregunta clave es la siguiente: ¿Qué dosis de normativismo es tolerable para el Derecho penal en materia de responsabilidad penal de las personas jurídicas?

Formulados así los términos del debate, la respuesta, desde nuestra perspectiva, viene dado por el concepto de organización. El sustrato “realista” que constituye la condición o límite a la normativización en el Derecho penal en este ámbito viene dado por ese “suficiente sustrato material organizativo o complejidad organizativa” que hemos referido en trabajos anteriores¹⁹ y que acoge la Sentencia del Tribunal Supremo de 11 de noviembre de 2022. En este sentido, en las sociedades pantalla ambos planteamientos coinciden: no se cumple la condición para esa asignación de libertad normativa. Donde difieren, por ejemplo, es en los supuestos donde sí existe ese sustrato pese a que sólo una persona física sea titular de las acciones de la persona jurídica.

En este punto se podría sostener que ambas posiciones exigen un determinado grado de “realismo” para poder asignar libertad normativa: el primer bando considera que el realismo sólo puede otorgarlo la persona física; el segundo bando considera que el realismo puede otorgarlo el grado de organización interna de una persona jurídica. Ante esta disyuntiva, consideramos que existen poderosas razones para sostener esa segunda posición. Entre ellas, las siguientes – expuestas en una apretada síntesis –.

La primera razón es que permite una solución más armónica con el resto del ordenamiento jurídico – principio de unidad del ordenamiento jurídico –. No se trata, por tanto, de afirmar que en el Derecho penal las personas jurídicas son “ficticias” y que en el resto de las ramas del Derecho son “reales”. Se trata de afirmar que el Derecho penal requiere unas condiciones más exigentes tanto a personas físicas como jurídicas para asignarlas libertad normativa – y por tanto responsabilidad penal –: en las personas físicas un determinado grado de madurez psicológica (que por cierto se establece normativamente, en España, en 18 años), y en las personas jurídicas un determinado grado de madurez organizativa (que debe establecerse también normativamente).

La segunda razón es que, de esta forma, se proporcionan criterios más razonables – y, en nuestra modesta opinión, más útiles – para solucionar ulteriores problemas – apuntados anteriormente – planteados por los grupos empresariales con una cascada de sociedades unipersonales o por sociedades en los que los accionistas personas físicas en el momento de los hechos son distintos de los accionistas personas físicas en el momento de la condena. Ciertamente, el hecho de que una persona jurídica tenga pocos accionistas personas físicas puede constituir un indicio de que no goza de un sustrato material organizativo suficiente; pero es sólo un indicio. Lo determinante, una vez más, es si “realmente” cuenta con un sustrato material organizativo suficiente.

La tercera razón es que este planteamiento resulta coherente con el fundamento del imparable movimiento del cumplimiento normativo (Compliance). Únicamente en personas jurídicas con un sustrato material organizativo suficiente resulta coherente el sistema de gestión de cumplimiento normativo. Más allá de la terminología – sistemas de gestión de Compliance, programas de Compliance etc. – lo cierto es que el propio Código penal hace referencia a “modelos de organización y gestión”. No tiene sentido la exigencia de un “modelo de organización y gestión” a quien carece de un sustrato material organizativo suficiente.

La cuarta razón, en fin, consiste en que de esta forma se evita afirmar que en el Código Penal hay penas verdaderas y “penas” meramente nominativas, distinguiendo unas y otras en función de si se imponen a personas físicas o jurídica. Así, por ejemplo, la misma pena de multa se trataría de una pena “real” si se impone a una persona física pero una pena “ficticia” si se impone a una persona jurídica. Ese grado de esquizofrenia no es saludable para el ordenamiento jurídico-penal.

Ciertamente, desde la perspectiva de la teoría del Derecho se puede discutir cuán “real” es la personalidad de la persona jurídica. A este respecto, entendemos que los trabajos de Gunther Teubner son muy ilustrativos de cuál es el fundamento de la posición aquí seguida²⁰. Pero, con independencia de dicho interesante e intenso debate, lo cierto es que al operador jurídico que se encuentra ante la tesitura de aplicar el régimen de responsabilidad penal de las personas jurídicas en España deben ofrecérsele herramientas razonables, coherentes y útiles al respecto.

Por ello, lo que aquí se viene a sostener es que el concepto de “actor corporativo” definido como aquella persona jurídica que goza de un sustrato material organizativo suficiente es el único que puede cometer un “delito corporativo” definido como defecto estructural en los modelos de organización y gestión de prevención y detección del delito. Sólo al actor corporativo le puede asignar el Derecho penal libertad normativa y sólo sobre el actor corporativo tiene sentido que el Derecho penal imponga una pena.

En ocasiones, la configuración de una determinada regulación jurídico-penal provoca, en la célebre terminología popularizada por Robert K. Merton, una serie de unintended consequences: consecuencias imprevistas. Probablemente, en una línea similar, quienes introdujeron el conjunto de artículos que conforman el corpus del sistema de responsabilidad penal de las personas jurídicas en España no previeron excesivamente los aspectos relativos a la prescripción. El resultado, lo anticipamos ya al comienzo de este Editorial, es que, para las empresas que operan normalmente en el tráfico jurídico-mercantil y que ni son reincidentes ni meros instrumentos de las personas físicas, el plazo de prescripción de los delitos es siempre de cinco años.

Quizás el lector se lleve las manos a la cabeza ante la afirmación de que, con independencia de la gravedad del delito, el plazo de prescripción es el mismo (5 años) para la gran mayoría de las personas jurídicas. Se advertiría ahí una suerte de “desigualdad” respecto de lo que sucede con las personas físicas. La doctrina penal no ha estado especialmente atenta al tema de este editorial, pero esta consecuencia ha sido lo suficientemente notable como para que la propia OCDE en su informe de 8 de diciembre de 2022 en fase 4 (Implementing the OECD Anti-Bribery Convention. Phase 4 Report: Spain)  –comentado en nuestro anterior editorial– haya solicitado al Legislador español que cambie la regulación de la prescripción respecto de la responsabilidad penal de las personas jurídicas. Y eso, no es poco.

El primer factor decisivo para la peculiar regulación de la prescripción respecto de las personas jurídicas viene dado por el hecho de que la pena de multa es la pena estrella (ya sea proporcional, ya sea por el sistema de días multa) para las personas jurídicas. Y, como es sabido, el artículo 131 CP establece que el plazo de prescripción para las multas es de cinco años.

Ciertamente el elenco de sanciones interdictivas previsto en el artículo 33.7 CP permite la interposición de alguna de ellas – la prohibición de realizar actividad en el futuro (letra e)) y la inhabilitación para obtener subvenciones (letra f)) – por duración superior a cinco años; pero a tenor del artículo 66 bis) CP sólo en dos casos: cuando se trata de una persona jurídica reincidente o cuando la persona jurídica ha sido utilizada como instrumento para la comisión de ilícitos penales. Si no se da ninguna de estas circunstancias, está proscrita la imposición de una reacción interdictiva por más de cinco años.

¿Cómo ha sido acogida esta regulación por parte de los Tribunales españoles? Ciertamente, de forma desigual. Algunas resoluciones judiciales, conscientes de esta regulación -y aún más conscientes de la jurisprudencia del Tribunal Supremo respecto de la responsabilidad penal de las personas jurídicas-, interpretan correctamente los correspondientes postulados. Otras resoluciones, empero, vinculan el plazo de prescripción de las personas jurídicas a las penas de las personas físicas en un denodado intento de evitar las «consecuencias indeseadas». Ello únicamente contribuye a la peor de las consecuencias de una regulación jurídico-penal: la inseguridad jurídica.

Como exponente de la -a nuestro entender- aplicación correcta de los preceptos y jurisprudencia de la Sala Segunda nos encontramos con el Auto de la Sección Tercera de la Audiencia Nacional de 15 de noviembre de 2022 [Ponente Ilmo. Sr. D. Carlos Fraile]. En el mismo se contiene el siguiente razonamiento:

El Auto en apelación confirma dicho planteamiento de la siguiente forma:

No obstante, en sentido contrario, pueden encontrarse diversas resoluciones judiciales, incluso de la propia Audiencia Nacional, en las que se vincula la prescripción de la persona jurídica a los periodos de prescripción previstos para personas físicas. En concreto, el Auto de la Sección Segunda de la Sala de lo Penal de la Audiencia Nacional [Ponente: Ilmo. Sr. D. Joaquín Delgado Martín] razona de la siguiente forma:

“la parte recurrente (Alegación Segunda) se refiere a la existencia de prescripción. Considera que el plazo de prescripción del delito, para hechos ocurridos tras la reforma de la LO 5/2010, respecto de una persona jurídica, es el de 5 años, considerada la pena que lleva aparejada el delito respecto de la persona jurídica acusada y consideradas las reglas particulares del art. 66 bis CP en materia de prescripción del delito y para exigir responsabilidad penal a una persona jurídica.

Ante esta tesitura, el criterio decisivo viene dado por la posición que se adopte respecto de la autonomía de la responsabilidad penal de las personas jurídicas. Y la posición de la Sala Segunda del Tribunal Supremo es clara: la persona jurídica tiene una responsabilidad autónoma independiente de la individual. Por ello, si, como afirma la Sala Segunda, la responsabilidad penal de la persona jurídica debe interpretarse en clave de autorresponsabilidad – y no de heterorresponsabilidad – entonces dicho principio debería regir también para la extinción de dicha responsabilidad. Como señala el mencionado Auto de la Sección Tercera de la Sala de lo Penal de la Audiencia Nacional de 15 de noviembre de 2022, no existe entre persona física y jurídica la conexidad de base natural o sustantiva a la que se refiere el art. 131.4 CP.:

En efecto, el referido Auto es coherente con la posición asumida por nuestro Tribunal Supremo respecto de la responsabilidad penal de las personas jurídicas. En primer lugar, la Sentencia del Tribunal Supremo 710/2021, de 20 de septiembre [Ponente: Excma. Sra. Dña. Ana Ferrer]:

En idéntico sentido, la sumamente relevante Sentencia del Tribunal Supremo 894/2022, de 11 de noviembre [Ponente: Excmo. Sr. D. Ángel Hurtado]:

Por ello, respecto del cómputo de la prescripción desde esta perspectiva, señala con razón el Auto de la Sección Tercera de la Sala de lo Penal de la Audiencia Nacional de 15 de noviembre de 2022 referido anteriormente tanto

Como que

En conclusión, los principios que fundamentan la responsabilidad penal de las personas jurídicas no deberían quedar en el olvido cuando toca valorar la extinción de dicha responsabilidad.

I. Planteamiento. El Derecho Penal ante las organizaciones con personalidad jurídica.

Dentro de poco se cumplirán 15 años de la introducción de lo que el Código Penal español denomina responsabilidad penal de las personas jurídicas¹. Cada vez resulta más acuciante resolver cuestiones sobre las que sigue existiendo controversia como si existen diversas formas de intervención², las formas imperfectas de ejecución³ la vigencia espacial⁴ o la prescripción⁵. Estos problemas concretos no pueden ser resueltos de forma aislada al margen de una posición general sobre el modelo o las características del (sub)sistema. Pero la respuesta que se ofrezca a esta cuestión dogmática está a su vez influida por cuestiones de carácter todavía más abstracto.

En la tradición dogmática de los países que pertenecen a nuestra cultura jurídica los grandes modelos teóricos como los de Feuerbach, los hegelianos, el determinista V. Liszt o Welzel con su ontología subjetivista tan impregnada de fenomenología han partido de un determinado modelo antropológico o filosófico de los sujetos de imputación. De hecho la correspondiente teoría de la acción no era más que un derivado de dicho punto de partida. En este sentido es lógico, por ejemplo, que V. Lizt no viera demasiados problemas en hacer responder a las personas jurídicas o que Jakobs cambiara la posición que mantuvo en su manual sobre las personas jurídicas en cuanto pasó a ocupar un lugar esencial en su teoría un concepto de sujeto con una clara impronta hegeliana⁶. Es cierto que las personas jurídicas han desempeñado un rol insignificante y residual en esta tradición dogmática si es que han desempeñado alguno.

A pesar de esta orfandad dogmática, los legisladores españoles y de diversos países con los que compartimos lengua y cultura jurídica han dejado a doctrina y jurisprudencia la tarea de racionalizar la aplicación de unas normas que silencian más que lo que dicen en una función de intermediación entre la ley y una aplicación coherente y no arbitraria que tenga todos los aspectos en juego sin el apoyo de la tradición dogmática. Las soluciones de otras tradiciones como la anglosajona son difíciles de trasladar directamente.

El debate sobre los modelos de responsabilidad penal de personas jurídicas, como otros muchos retos dogmáticos, está condicionado por cuestiones más generales que no siempre son manifestadas de forma expresa. Por ejemplo, es esencial tener en cuenta las funciones del Derecho Penal⁷. Si se entiende que su función esencial es la protección de bienes jurídicos la responsabilidad corporativa alcanzara legitimidad si acredita proteger mejor bienes jurídicos. Para los que no compartimos esta visión, la cuestión decisiva es qué aporta la responsabilidad corporativa a la desestabilización/estabilización de las normas penales que no quede cubierta por la responsabilidad individual. Estas diferencias plantean ya que las preocupaciones de partida y las cuestiones a resolver se tornen distintas para los diversos autores. Pero el debate resulta en última instancia de tal calado que obliga, incluso, a enfrentarse a cuestiones más amplias y profundas como la relevancia de las aportaciones de la sociología de las organizaciones (por ejemplo, si cabe hablar de una “emergencia fuerte” en la línea de la teoría de los sistemas sociales autopoiéticos o de una “emergencia débil” como la que yo sostengo con un sector de la doctrina⁸). Existe también un trasfondo de combate cultural y de ideas sobre las relaciones entre Estado y sociedad civil y sobre la legitimidad de la intervención del Estado en el mercado que sería ingenuo pensar que vaya a resolver un artículo o un libro y que dan muestras de que un amplio acuerdo doctrinal se puede tildar por el momento de milagroso. Se trata más de aportar perspectivas que soluciones universales. Sería interesante identificar qué es lo que resulta para muchos tan contraintuitivo. En ciencia nos encontramos con frecuencia diversas herramientas teóricas para resolver una cuestión, ofreciendo cada una de ellas ámbitos de aplicación o validez diferentes con sus ventajas y sus defectos o inconvenientes. Incluso en este tema, más que en ningún otro ámbito dogmático, existen tendencias e influjos externos de implicaciones no siempre claras.

A pesar de ser conscientes de estas dimensiones tan complejas no deberíamos cejar en el empeño de que la dogmática ofrezca soluciones, tan rigurosas como prácticas. Sobre todo porque a estas alturas los ordenamientos van ofreciendo soluciones que permiten comparar las consecuencias razonables o inaceptables de los diversos modelos y de qué manera se van resolviendo ciertos conflictos jurídicos. Este dinamismo de los legisladores en esta materia debe estimular el debate dogmático, más allá de la exégesis de textos.

El objetivo de este trabajo es cartografiar las propuestas, tanto legislativas como doctrinales, que me parecen más relevantes sobre la responsabilidad penal corporativa señalando en sentido crítico los senderos dogmáticos que entiendo que pecan de sinuosos o llevan a callejones sin salida identificando por qué conducen a resultados insatisfactorios y señalando los puntos oscuros que tienen que ser mejor iluminados. Me centraré en la regulación del Código Penal español, pero tendré en cuenta los ordenamientos con los que nos podemos sentir más hermanados en el convencimiento de que es imprescindible una perspectiva que analice las diversas soluciones en Derecho comparado. Estas reflexiones críticas sobre la responsabilidad penal de las personas jurídicas o, mejor dicho, de organizaciones con personalidad jurídica (o en sentido más amplio algún tipo de reconocimiento jurídico) pretenden identificar lo que no sirve en absoluto, resulta insatisfactorio o presenta por el momento más inconvenientes que ventajas. En la parte final se realizará alguna propuesta de mejora de las legislaciones vigentes.

II. La responsabilidad del principal. Especial referencia a la fundamentación vicarial.

II.1. Descripción del modelo.

En términos evolutivos estamos hablando del modelo más antiguo. De hecho, es el más extendido en Derecho comparado y se puede remontar a criterios de legitimación de largo recorrido en el ámbito del Derecho privado (arts. 1903 CC o 120 CP).

Parte de que la persona jurídica no es reconocida como sujeto de imputación jurídico-penal, sino simplemente como un sujeto que puede sufrir consecuencias jurídicas (económicas o de otro tipo) derivadas de la infracción cometida por las personas físicas, que serían los auténticos sujetos de imputación. La persona jurídica no responde en relación con lo que hace otro, sino directamente por lo que hace otro bien porque le representa o bien porque es su dependiente (respondeat superior). Por esta razón tradicionalmente en nuestra cultura jurídica este tipo de responsabilidad quedaba expulsada del Derecho Penal.

Los criterios materiales tradicionales serían la representación o la identificación (lo que hace la persona física es como si lo hiciera la persona jurídica: la voluntad o acción del representante u órgano se imputa a la persona jurídica)⁹. Si bien este modelo se puede construir trasladando a la persona jurídica la culpabilidad ajena (modelo de transferencia o de la identificación)¹⁰, lo habitual en el ámbito Latinoamericano es que se trate de una responsabilidad objetiva de tintes civilistas que se limita a exigir una vinculación que convierte a la persona jurídica en principal y un criterio de beneficio o provecho del delito para la persona jurídica. Se trata más que de transferir la culpabilidad, de transferencia de ciertas consecuencias o costes negativos.

Un buen ejemplo se puede encontrar en Brasil en el art. 3 de la Ley nº 9.605/1998, de 12 de febrero (ley de delitos medioambientales) que establece que las personas jurídicas serán responsabilizadas administrativa, civil y penalmente conforme a lo dispuesto en la ley en los casos en los que la infracción sea cometida por decisión de su representante legal o contractual o de su órgano colegiado y en interés o beneficio de su entidad. La responsabilidad penal se limita a los delitos medioambientales¹¹.

Esta solución es propia de ordenamientos que fueron introduciendo la responsabilidad penal de las personas jurídicas en el siglo pasado¹². Muchas de las críticas a la responsabilidad penal de las personas jurídicas van dirigidas más que a tal responsabilidad en general a este modelo en particular, que no es un modelo de responsabilidad corporativa propia por el hecho delictivo, sino de responsabilidad en las consecuencias por un hecho ajeno.

Un ejemplo más reciente ya de este siglo se puede encontrar el art. 49 del Código Orgánico Integral Penal de Ecuador que establece que

(i) “en los supuestos previstos en este Código,

(ii) las personas jurídicas nacionales o extranjeras de derecho privado son penalmente responsables

(iii) por los delitos cometidos para beneficio propio o de sus asociados,

(iv) por la acción u omisión de quienes ejercen su propiedad o control, sus órganos de gobierno o administración, apoderadas o apoderados, mandatarias o mandatarios, representantes legales o convencionales, agentes, operadoras u operadores, factores, delegadas o delegados, terceros que contractualmente o no, se inmiscuyen en una actividad de gestión, ejecutivos principales o quienes cumplan actividades de administración, dirección y supervisión y, en general, por quienes actúen bajo órdenes o instrucciones de las personas naturales citadas”.

Insistiendo en la relevancia del beneficio se añade que “no hay lugar a la determinación de la responsabilidad penal de la persona jurídica, cuando el delito se comete por cualquiera de las personas naturales indicadas en el inciso primero, en beneficio de un tercero ajeno a la persona jurídica”.

Se afirma expresamente que “la responsabilidad penal de la persona jurídica es independiente de la responsabilidad penal de las personas naturales que intervengan con sus acciones u omisiones en la comisión del delito”. Se trata de un tipo de cláusulas que recomienda contemplar la OCDE. En Brasil, si bien no existe una cláusula legal similar, también se opera de esta manera sancionando a las personas jurídicas con independencia de la responsabilidad individual¹³. De esta manera se remedia una consecuencia lógica de la identificación entre individuo y organización de los modelos de responsabilidad del principal: sólo se podría sancionar a la persona jurídica cuando existe una culpabilidad individual que transferir o trasladar¹⁴. Esto acredita que no se trata de modelos de identificación (doctrina del alter ego) o de transferencia de la responsabilidad individual o la culpabilidad como, por ejemplo, la postura tradicional en el common law inglés¹⁵, ya que la sanción a la persona jurídica es posible aunque no exista culpabilidad que trasladar de la persona física a la jurídica, sino que nos encontramos ante modelos vicariales que operan con una lógica propia del Derecho privado y que fueron desarrollados en el contexto de la responsabilidad civil extracontractual¹⁶.

Mientras el modelo de la ley brasileña de delitos medioambientales, una de las primeras en contemplar la responsabilidad penal de las personas jurídicas en Sudamérica, obedece a una lógica de los tiempos, llama la atención que el Código Penal ecuatoriano no tuviera ya en cuenta los nuevos modelos que se podían encontrar en el entorno como la ley chilena de 2009 y que desarrollaban la responsabilidad corporativa en otras direcciones.

Ambas regulaciones tienen características diferentes. La regulación ecuatoriana tiene un concepto más amplio de beneficio que no se limita al beneficio para la entidad, sino también para sus asociados. Además, es claramente más amplia en cuanto a las exigencias de vinculación con la persona jurídica. Ya no se basa en responsabilidad por representación como el modelo brasileño, sino que la persona jurídica puede responder no sólo de los delitos cometidos por “ejecutivos principales o quienes cumplan actividades de administración, dirección y supervisión” o bien “se inmiscuyen en una actividad de gestión”, sino que pueden generar responsabilidad para la persona jurídica “quienes actúen bajo órdenes o instrucciones de las personas naturales citadas”. Abarca también a los dependientes, como es habitual en otros ordenamientos en lengua española. Esta es la tendencia que se ha implantado en los últimos años. Por esta razón prefiero referirme a un modelo basado en la responsabilidad del principal y no a un modelo basado en la representación, salvo que esta se entienda de manera extensiva e impropia de tal manera que todo integrante de la organización sea tratado como representante de la persona jurídica. No se hace referencia en el supuesto de los subordinados o de quien actúe siguiendo instrucciones a la infracción de deberes de control, vigilancia, supervisión o diligencia por parte de los superiores jerárquicos, lo que suele ser habitual en Derecho comparado. Si lo formulamos en términos de responsabilidad civil extracontractual se trataría de responsabilidad puramente objetiva sin culpa o negligencia como la contemplada en el Código Penal español para la responsabilidad civil subsidiaria por los delitos de empleados, dependientes, representantes o gestores. Si bien este es un tema que resulta marginal para los objetivos de este trabajo, es de destacar esta característica de la regulación ecuatoriana con respecto a otras.

Desde un punto de vista puramente descriptivo, si la solución dogmáticamente más aceptada por la doctrina tradicional era no reconocer a la persona jurídica como sujeto de imputación, sino contemplar la posibilidad de imponer consecuencias accesorias basadas en la peligrosidad objetiva, instrumental u organizativa¹⁷, estas regulaciones contemplan consecuencias accesorias que ya no están orientadas -al menos preferentemente- a la peligrosidad objetiva, sino que se aplicarían de forma automática (por reflejo o de rebote) sin un juicio de peligrosidad previo¹⁸. Se trata de una especie de responsabilidad penal patrimonial solidaria basada en la identificación o la representación. Si la persona física infringe la norma, además de responder personalmente si se dan los requisitos de la teoría jurídica del delito (acción culpable), responde en todo caso adicionalmente la persona jurídica¹⁹. La “sanción corporativa” es una consecuencia accesoria para persona distinta a la que es condenada. Al menos en los modelos clásicos de orientación preventivo-especial era preciso que el órgano judicial fundamentara la necesidad de intervención frente a la entidad. Esto ya nos indica un problema. La solidaridad no suele ser aceptada como un criterio legítimo de responsabilidad penal. El modelo se basa en criterios ajenos a las bases y principios del Derecho Penal como rama del Derecho Público²⁰.

II.2. Valoración crítica.

Se encuentra bastante extendida en la doctrina la idea de que este modelo en el que la persona jurídica recibe una sanción por su condición de principal del que comete el delito plantea serios problemas de legitimidad. La responsabilidad vicaria (vicarious liability) suele ser utilizada por la doctrina no como un criterio de legitimación, sino como una referencia para deslegitimar²¹.

La pena exige que el que la sufre sea hecho responsable del hecho desvalorado. Si la consecuencia jurídica no se aplica a la corporación porque sea responsabilizada de la infracción o del hecho punible, sino que el único responsable es la persona física, no estamos ante auténticas penas corporativas, sino otro tipo de consecuencia jurídica accesoria a la pena individual. Se trata de una manifestación de la responsabilidad por el hecho de otro (un sujeto como la corporación sufre males por un hecho ajeno y no propio como exige conceptualmente toda pena). En realidad, el delito individual pone en marcha sanciones para el sujeto que ha cometido el delito y, además, para otro ente o patrimonio que no es hecho responsable de ese mismo delito. Es más, que no es hecho responsable de nada aunque sufra ciertas consecuencias. La doctrina ha puesto sobradamente de manifiesto que estos modelos de hetero-responsabilidad o responsabilidad ajena tienen serios problemas de legitimidad desde el punto de vista del Derecho Penal si se quiere hablar en propiedad de penas y no de meras consecuencias punitivas en un sentido tan amplio que pierde sus contornos.

Es cierto que en las legislaciones a las que se ha hecho referencia se podrían paliar los casos más sangrantes mediante una interpretación constitucionalizada o utilizando principios generales del Derecho Penal, pero los presupuestos objetivos del modelo permiten castigos inmerecidos ajenos a la idea de responsabilidad propia por el hecho que los jueces tendrán problemas para limitar respetando el tenor literal de la ley. Además, si materialmente no se trata ni de penas ni de medidas de seguridad, ¿Por qué aplicar las garantías penales? Si este fuera el único modelo penal posible, tendrían sin duda razón los críticos de la responsabilidad penal de las personas jurídicas.

Los criterios de vinculación funcional como “en nombre” o “por cuenta” y el beneficio como “hechos de conexión” entre la persona física y la persona jurídica son legítimos para establecer otro tipo de responsabilidades para la persona jurídica por el delito de una persona física. Por ejemplo, civiles basadas en el enriquecimiento injusto derivado del delito de otro (participación a título lucrativo²²) o en el decomiso de las ganancias. Pero si hablamos de una pena (por ejemplo, de multa) ésta exige proporcionalidad con la gravedad del hecho punible o de la infracción y la responsabilidad de la propia persona jurídica. Por tanto, si se pretende hablar en propiedad de una genuina responsabilidad penal son necesarios criterios más amplios de naturaleza distinta a los recogidos en las regulaciones expuestas.

Una “pena” sin responsabilidad no es más que un mal que carece de significado comunicativo, por lo tanto no es una pena.

Los sistemas denominados vicariales suelen evolucionar de modelos puros a modelos impuros, donde, a pesar de que el fundamento de la responsabilidad siga siendo objetiva, en el ámbito de determinación de la pena se tiene en cuenta -con una perspectiva menos individualista- la gestión corporativa para prevenir, detectar y reaccionar adecuadamente frente a delitos o riesgos de incumplimiento en general. De esta manera los aspectos organizativos o estructurales sólo son tenidos en cuenta a efectos de determinación de la pena; es decir, no para el “si”, sino para el “cómo”. Es sobradamente conocida la evolución en Estados Unidos²³. También existe otra posibilidad, como en el modelo austríaco (que ha orientado los últimos proyectos de reforma alemanes), de ofrecer amplias opciones al juez de sustituir la multa por medidas de reestructuración²⁴. Se trata de modelos vicariales en su fundamento, pero que introducen otro tipo de consideraciones para individualizar la sanción.

En este sentido en el año 2021 el Código Orgánico Integral Penal de Ecuador introdujo una regulación expresa de la atenuación de la persona jurídica con referentes ajenos a la responsabilidad individual:

Esta evolución interna sin cambiar el modelo de partida nos indica el segundo problema de estos modelos al margen del esencial que es el merecimiento: la necesidad social. ¿Qué necesidad político-criminal queda cubierta si castigamos siempre y de forma automática a toda persona jurídica por delitos vinculados o relacionados con su actividad que le generan beneficios? Si todo depende de una decisión individual, ¿Cuál queremos que sea la aportación o prestación de la persona jurídica?  ¿Qué tendrían que mejorar los gestores para adaptarse a las expectativas del ordenamiento jurídico? En los modelos vicariales puros no se estimula o promueve la implantación de modelos, programas o sistemas de cumplimiento y en los impuros el estímulo es débil. De esta manera se descuida un aspecto esencial para cualquier teorización sobre la responsabilidad penal de las personas jurídicas: el cumplimiento normativo. El principal objetivo del Derecho Penal no debería ser habilitar el castigo sin más a las personas jurídicas para dejarlas a merced del Ministerio Fiscal, sino más bien estabilizar el cumplimiento generalizado de las normas (prevención general).

Es dudoso incluso que se gane en colaboración o implicación de la organización en la resolución del conflicto cuando la única defensa para la persona jurídica es que no se pueda probar la comisión del delito o negar el “hecho de conexión” (el infractor es totalmente ajeno a la persona jurídica -por ejemplo, ha fingido fraudulentamente ser un empleado de la empresa- o el delito no le ha beneficiado). Por ello en Derecho comparado los ordenamientos buscan en muchos casos la colaboración a través de la oportunidad y al margen de la legalidad con criterios ajenos a nuestra tradición jurídica. Los criterios de solución de estas cuestiones deben estar ya en las normas materiales, no remitirse a las procesales.

La importación por este modelo del principal de criterios de responsabilidad civil extracontractual pensados para determinar qué patrimonio responde económicamente o quién asume los costes en caso de perjuicio da lugar a que los fines preventivos no queden claros. Además, todo lo que tiene que ver con el cumplimiento normativo queda desvinculado del fundamento de la responsabilidad como una cuestión de punibilidad y oportunidad que atiende a fines o razones jurídicas ajenas al fundamento del modelo²⁶ y, por tanto, sometido a una aplicación arbitraria que deja a las personas jurídicas a merced del Ministerio Fiscal.

En los supuestos de modelos vicariales impuros no existen diferencias cualitativas entre ser ya una entidad con un sistema de cumplimiento eficaz en el momento de los hechos (ex ante acto) o implantar un programa a posteriori con el exclusivo fin de rebajar la sanción y sus costes.

II.3. Análisis crítico de la posición de Jesús Alfaro Águila-Real.

Las ideas expuestas están bastante extendidas en la doctrina penal. En tiempos recientes desde el Derecho Mercantil y partiendo de una “concepción patrimonial de la persona jurídica” como “patrimonio personificado” o “dotado de capacidad de obrar” ha reivindicado Alfaro Águila-Real en un artículo titulado “Personalidad jurídica y penas” publicado en InDret 3/2024 interpretar las normas penales para personas jurídicas del Derecho Penal español en la línea que se está criticando.

Considera el Catedrático de mercantil de la Universidad Autónoma de Madrid que el art. 31 bis CP configura la responsabilidad penal de las personas jurídicas como puramente objetiva basada en el criterio del ubi commodum²⁷. E incurre en una conclusión que sería inaceptable para la mayoría de la doctrina penalista: “la legitimidad de la imposición de una multa (como lo estaría la inexistencia de responsabilidad penal de las personas jurídicas) está fuera de toda duda. Si los accionistas de Repsol y los socios del Real Madrid se benefician cuando su consejero delegado o su junta directiva lo hacen extraordinariamente bien (o tienen suerte, simplemente), han de soportar las consecuencias cuando los administradores de la persona jurídica de la que son miembros lo hacen mal; no porque les sea imputable en modo alguno la comisión del delito por parte de administradores o empleados de la persona jurídica”²⁸.  O, en sentido contrario a lo manifestado en los apartados previos, se afirma que “no se sostiene el reproche dirigido contra la responsabilidad penal de las personas jurídicas en el sentido de que se hace pagar a justos por pecadores, esto es, a los accionistas o socios o asociados o mutualistas o cooperativistas que carecen de cualquier posibilidad de influencia sobre el comportamiento de los administradores y empleados de las personas jurídica, verdaderos «pecadores» sin un criterio subjetivo de imputación de algún «injusto» a la persona jurídica. Es más simple. El que se convierte en miembro de una persona jurídica – y titular o beneficiario de un patrimonio – asume el riesgo de que los que gestionan el patrimonio cometan delitos y que se sigan, por ello, consecuencias negativas para dicho patrimonio”. Su idea es que “dado que la persona jurídica es un patrimonio dotado de capacidad de obrar, es suficiente para imputar responsabilidad, incluso penal, a ese patrimonio con que los que pueden actuar con efectos sobre él – administradores y empleados – hayan cometido delitos en el ejercicio de sus funciones”²⁹. Pues bien, el argumento de “estar a las duras y a las maduras” es demasiado simple para ser aceptable desde una perspectiva penal. Si esta es la legitimidad es cierta la crítica de que la responsabilidad penal de las personas jurídicas es ilegítima³⁰.

En su contribución se pueden observar gran parte de las características que se han expuesto previamente. Por un lado parte de la teoría de la identificación: “la conducta del administrador es una conducta de la persona jurídica”³¹. Defiende, por otro lado, que las sanciones corporativas son consecuencias accesorias del delito cometido por los administradores o empleados de la persona jurídica³². Ello le lleva a una conclusión curiosa: en el Código Penal habría dos tipos de consecuencias accesorias, por un lado las reguladas en los arts. 31 bis CP y concordantes y, por otro, en el art. 129 CP sin que ello reciba explicación alguna.

Y sostiene que “para obligar a pagar la multa penal a la persona jurídica basta con los criterios generales de imputación objetiva del Derecho civil”³³. Esto llevaría a una curiosa conclusión en la que en una sentencia condenatoria para la persona jurídica se utilizarían esos criterios para imponer la multa y, además, exactamente los mismos para la responsabilidad civil derivada de delito (art. 116.3 CP)³⁴. La equiparación de la responsabilidad penal a la civil porque en ambos casos se trata de responsabilidad patrimonial que propugna el Prof. Alfaro acaba equiparando consecuencias jurídicas tan dispares como penas para personas jurídicas, consecuencias accesorias para entidades sin personalidad jurídica y responsabilidad civil orientada a la reparación o indemnización del daño material causado³⁵.

El trabajo parte de presupuestos altamente discutibles y poco claros que no comparto como que “los hombres son un resultado de la Naturaleza y las leyes de la Evolución” y las personas jurídicas no. Pero la personalidad jurídica no forma parte del mundo natural, ni para los seres humanos ni para las organizaciones. Las personas, tanto físicas como jurídicas, como centros de imputación, son en ambos casos construcciones del sistema jurídico. No se impone una pena a alguien como nudo individuo, sino en la medida en la que ha sido reconocido como sujeto por los otros y el sistema jurídico. No creo que los bienes de la personalidad sean derechos naturales otorgados por el creador³⁶, sino que son valores reconocidos por el sistema jurídico. La libertad, la responsabilidad y la culpabilidad individual no existen en la naturaleza (la voluntad libre indeterminada a lo Agustín de Hipona o Anselmo de Canterbury para resolver el problema de la teodicea no existe), sino que son construcciones sociales; no elementos que vengan predados por la naturaleza. Aunque no se comparta que vivimos en una Sociedad de organizaciones³⁷ es difícil partir de la premisa de que en el Derecho no hay más que individuos y cosas. Por tanto, en las premisas que se formulan se encuentran las conclusiones: “Cuando la pena se impone a un individuo, es pena. Cuando se impone a una persona jurídica no es pena. Es responsabilidad patrimonial”³⁸. Si se parte de que las penas sólo se pueden imponer a seres humanos y las personas jurídicas no son seres humanos, la conclusión es tautológica. Pero eso sólo significa que la conclusión es correcta o la premisa es falsa. No está mal acordarse de Gödel y sus teoremas. Yo creo lo segundo. Sobre todo si tenemos en cuenta que es difícil afirmar que exista una única teoría del delito y una única teoría de la pena.

Con tal punto de partida propugna Alfaro que los penalistas abandonemos nuestras herramientas conceptuales para pasar a explicar la responsabilidad penal de las personas jurídicas correctamente teniendo en cuenta los criterios del Derecho civil. Evidentemente, si se trata de mera responsabilidad patrimonial los criterios son los de la responsabilidad civil extracontractual. Pero ya he expuesto que es evidente que no puede ser la de la responsabilidad civil derivada del delito porque éste se encuentra en el art. 116.3 CP, no en el art. 31 bis CP. Por otro lado, se incurre en una falacia confundiendo la parte con el todo, si se afirma que quien es condenado y sufre la pena es el patrimonio de la persona jurídica pero no ésta. Recuerda a la falacia mereológica en el debate sobre la relación consciencia-cerebro. Quien es condenada es la persona jurídica. Sería como decir que son los cuerpos de los ciudadanos pero no éstos quienes son condenados. El mal es una capitis deminutio del condenado derivada de un hecho previo. Que se trate de privación de libertad, de pérdida de otros derechos, de privación del patrimonio o de cualquier otro mal (por ejemplo, amonestación en una sociedad con un alto sentido del honor) es algo meramente fenomenológico. No se trata más que de símbolos convencionales históricamente contingentes³⁹. Que las sanciones sean pecuniarias no determina que estemos ante mera responsabilidad patrimonial. Al igual que si en una hipotética sociedad opulenta sólo existieran penas de multa para los seres humanos por cualquier delito los presupuestos que legitiman la pena no tendrían que ser sustituidos por criterios propios del Derecho privado. De hecho en países como Alemania aproximadamente el 90 % de las condenas a personas físicas se resuelven con penas de multa y no privativas de libertad. En el mismo sentido, si las penas pecuniarias se sustituyeran por otras de carácter más comunicativo o simbólico (obligación de sufragar la publicación de la condena en medios de comunicación, publicación de la condena en la página web del Ministerio de Justicia en un registro con acceso en abierto, etc.) las cuestiones dogmáticas esenciales no variarían sustancialmente. Esto es una obviedad para quienes asumimos la intercambiabilidad o fungibilidad de los diversos tipos de pena para la estabilización normativa, fenómeno plenamente acreditado empíricamente⁴⁰. Es preciso diferenciar la responsabilidad patrimonial frente a terceros de la criminal frente al Estado en su función pública de garante de la legalidad. No se trata de una responsabilidad que tiene como objetivo ver quién paga o asume costes frente a terceros (relación horizontal), sino el deber de tolerar o soportar una reacción del Estado consistente en una restricción de derechos (la relación en este caso es vertical⁴¹).

A partir de los principios expuestos -que no se comparten- Alfaro entra en terreno estrictamente penal considerando que el art. 31 bis CP representa un “Derecho Penal de las cosas” propio de un comiso sui generis⁴² en el que el patrimonio es decomisado como potencial instrumento o efecto del delito.

Siendo un gran especialista en personas jurídicas⁴³, especialmente en sociedades mercantiles, creo que la argumentación de Alfaro resulta deficiente cuando se adentra en el terreno penal e intenta construir cuáles serían los fines públicos a los que atendería la responsabilidad penal de las personas jurídicas en el Código Penal español. Defiende que las penas a las personas jurídicas cumplen una función semejante al decomiso: las multas son a los patrimonios lo que el decomiso a los bienes singulares⁴⁴. Considera que la “finalidad es reducir la probabilidad de que esos patrimonios se utilicen en el futuro para cometer delitos”. Sin embargo, colisiona con el muro del tenor literal de la ley. El art. 66 bis CP, que es el que regula esta cuestión, establece claramente que esa es la finalidad de todas las sanciones interdictivas (que algunas como la intervención judicial o la inhabilitación no son penas patrimoniales o que son tan personales como las penas privativas de derechos del art. 39 CP), pero no precisamente de la multa. La multa tiene una finalidad diferente a las otras sanciones.

Concretando, afirma Alfaro que a la persona jurídica (a su patrimonio) no se le impone una multa en los supuestos contemplados de exención de responsabilidad basada en los modelos de organización y gestión porque “la imposición de la pena no es necesaria dado que no es probable ni la continuidad delictiva ni una ampliación de los efectos del delito”. Como ya he dicho, esta posición es contraria al art. 66 bis CP ya que la “necesidad para prevenir la continuidad de la actividad delictiva o de sus efectos” es un criterio para todas las sanciones menos, precisamente, para la multa. Sencillamente tal afirmación deriva de una lectura incorrecta del art. 66 bis CP. Parte Alfaro de que “la regla 1ª del precepto, letra a) se refiere a que la imposición de la multa o liquidación sea necesaria “para prevenir la continuidad de la actividad delictiva o de sus defectos”⁴⁵. Si se lee con detenimiento el principio de esta regla de determinación de la pena se refiere a ”las penas previstas en las letras b) a g) del apartado 7 del artículo 33”. Pues bien, la pena de multa está contemplada en la letra a). Por esa razón la determinación de la multa no está orientada a la necesidad para prevenir la continuidad de la actividad delictiva o de sus efectos, sino a los mismos criterios que las personas físicas: las circunstancias de la persona jurídica y la mayor o menor gravedad del hecho (art. 66.1.6ª CP). Siendo esto así, sólo hay que soplar un poquito al castillo de naipes construido por este autor fuera de los límites que permite la ley. No hay que llevar a cabo una gran demolición. Sus puntos de partida son opinables y se pueden compartir o no, pero la propuesta concreta a la que llevan es contra legem.

Además, si lo único que importa es el futuro (prevención especial) perderían sentido las diferencias entre que el modelo estuviera eficazmente implantado en el momento de los hechos o con posterioridad pero antes de la condena. El art. 31 bis CP no deja, sin embargo, lugar a la duda. La exención sólo es posible si el modelo de organización y gestión estaba “adoptado y ejecutado con eficacia, antes de la comisión del delito”. Si no es así sólo es posible atenuar la pena (art. 31 quater CP). En este punto la posición de Alfaro también parece incompatible con la ley o, al menos, está ayuna de ulteriores explicaciones.

Pero la peor consecuencia de esta posición es que sólo se podría exigir responsabilidad e imponer la multa si existieran necesidades preventivo-especiales. Sin embargo, la exclusión de la responsabilidad de las personas jurídicas no se basa en consideraciones preventivoespeciales. Esta solución no promete, como dice este autor, mejores resultados, sino una vuelta a lo que no funciona: las consecuencias accesorias.

El Derecho privado puede servir de ayuda para interpretar algunos elementos del apartado primero del art. 31 bis CP como “en nombre o por cuenta”⁴⁶. Pero no es posible quedarse simplemente en una interpretación de este primer apartado del art. 31 bis CP, sino que una teoría sobre la función a desempeñar por el Derecho Penal con respecto a las personas jurídicas debe tener en cuenta una interpretación sistemática de todo el sistema de responsabilidad penal de personas jurídicas, que englobe la regulación de la exclusión de la responsabilidad y los fines establecidos para determinar las sanciones. Si nos quedamos en la puerta de entrada (en primer apartado del art. 31 bis CP) no conoceremos toda la casa.

Alfaro critica que se trate a las personas jurídicas “como sujetos de imputación análogos a las personas físicas”. No le voy a quitar la razón en este punto, pero la posición homogeneizadora es absolutamente minoritaria en la doctrina penalista en lengua española. Está más presente en los críticos de la responsabilidad penal de las personas jurídicas que en las propuestas positivas. No hay que asumir que no hay más opciones para la responsabilidad penal de organizaciones con personalidad jurídica que bien seguir criterios civilistas o bien sostener la analogía entre personas jurídicas y físicas⁴⁷. La dicotomía es totalmente falsa. Podemos tener el Derecho Penal clásico para individuos y un Derecho Penal de organizaciones de características diferentes. Una gran sociedad cotizada no es como tu mejor amigo o como tu mujer, pero tampoco es como tus zapatos o la silla del comedor⁴⁸. Como se expondrá a continuación, la mayoría de las propuestas más extendidas tanto legal como doctrinalmente sobre la responsabilidad de las personas jurídicas no parten de la analogía al estilo de tratar una persona jurídica como si fuera una persona física. Pero tienen algo en común. De lo que no se olvida ninguna de ellas es de que se trata de Derecho Público.

No deja de ser llamativo que lo único que prácticamente se afirma sobre los “programas de cumplimiento” es que si estos “son eficientes, es decir, aumentan el valor del patrimonio de la persona jurídica, se adoptarán voluntariamente. No hay necesidad de coacción”⁴⁹. Dejando de lado que esta última afirmación tenga algún tipo de base empírica, en Derecho Penal lo esencial no es incrementar valores patrimoniales. Esa es una perspectiva mercantilista. Cuando el Código Penal se refiere a que se exime de responsabilidad a la persona jurídica si “el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión” no está pensando en que el modelo haya aumentado el valor del patrimonio. La exclusión de la responsabilidad de las personas jurídicas, al igual que su fundamento, tiene que ver con la satisfacción de fines o intereses públicos (mediante el uso de la coacción estatal). Y, si esto es así, no “basta con los criterios generales de imputación objetiva del Derecho civil”.

En conclusión, la concepción de la responsabilidad penal como mera responsabilidad patrimonial a resolver con los criterios tradicionales del Derecho Privado es incompatible con las normas del Código Penal sobre responsabilidad penal de las personas jurídicas⁵⁰.

II.4. Conclusión.

El modelo de responsabilidad del principal (respondeat superior), por sus características, permite que la responsabilidad corporativa se extienda más allá de lo merecido y necesario, generando una ilegítima e ineficiente inflación de la responsabilidad penal.

Este modelo, como modelo de heterorresponsabilidad, presenta un evidente problema de supra-inclusión que tiene como consecuencia que resulte disfuncional si el objetivo es promover el cumplimiento de la legalidad en las organizaciones. Se acaba contemplando una sanción punitiva accesoria para toda persona jurídica vinculada o conectada con un delito, con independencia de cómo esté gestionada la organización para cumplir con el Derecho. Pagan por igual justos y pecadores, por lo que carece de lógica desde la perspectiva de una distribución justa -no sólo eficiente- de las penas. Por tal razón estos modelos no estimulan en general a las organizaciones a colaborar con la legalidad, que debería ser, al menos, una de las aportaciones de la responsabilidad penal de las personas jurídicas. De esta manera no quedan claros los fines preventivos que se persiguen con las sanciones y, desde luego, éstas son totalmente ajenas a la idea de retribución ya que no son merecidas.

En los modelos vicariales impuros la existencia de un adecuado modelo de cumplimiento mitiga la sanción y, con ello, los problemas expuestos, pero no resuelve las deficiencias de fondo. Además, en esos casos el ordenamiento penal sólo podrá adquirir algún tipo de influencia en el funcionamiento de las organizaciones de conformidad con la ley si éstas llegan a la conclusión de que el ahorro de costes por la disminución de la sanción compensa las inversiones en materia de cumplimiento.

La conclusión de lo expuesto hasta aquí es que el modelo del principal es incompatible con el Código Penal español y debería evitarse como modelo explicativo general de la responsabilidad penal de las personas jurídicas. Incluso resulta disfuncional para aquellos modelos que optan por una responsabilidad de tipo administrativo por la comisión de delitos si con esas sanciones se buscan fines preventivo-generales razonables. Los ordenamientos como el brasileño o el ecuatoriano deberían evolucionar hacia otro tipo de modelos más actuales como el italiano, el español o el chileno que se expondrán posteriormente.

III. La organización como riesgo o factor criminógeno. Los modelos mixtos o intermedios que combinan responsabilidad vicarial o hetero-responsabilidad con fines preventivos.

III.1. Planteamiento de partida.

Existe una posición en la doctrina española en la que, sin asumir que exista una responsabilidad propia y autónoma de la persona jurídica (la persona jurídica responde por el hecho de otro), se considera que las reglas para las personas jurídicas en el ordenamiento jurídico-penal cumplen ciertos fines preventivos. La aparición de las multas como penas y la exoneración basada en los modelos de organización y gestión ha provocado que se entienda que las sanciones para personas jurídicas cumplen una combinación de fines preventivo-especiales y preventivo-generales. De esta manera ya se hace referencia a presupuestos de imposición que están basados en fines públicos que ya no serían exclusivamente preventivo-especiales, que era la solución clásica en nuestro entorno jurídico para organizaciones y entidades⁵¹. La denominación de modelos mixtos o intermedios obedece a que enriquecen la perspectiva de la hetero-responsabilidad, pero sin llegar a dar el paso hacia una responsabilidad corporativa autónoma. Más bien se niega que el legislador utilice el término responsabilidad penal con propiedad. En palabras de Carlos Martínez-Buján Pérez, uno de los defensores de estas tesis, estamos ante un modelo mixto o intermedio “en la medida en que tiene en común con el vicarial que la PJ responde por un hecho típico ajeno (de una persona física), pero en él se añade a los requisitos de los sistemas vicariales —que provienen del Derecho civil de daños— un elemento de Derecho público, esto es, el estado de cosas peligroso de la PJ, que favorece la conducta delictiva de los integrantes de la empresa”⁵².

Se moderniza la dicotomía tradicional entre culpabilidad por el hecho y penas para personas físicas e irresponsabilidad y prevención especial para personas jurídicas. De esta manera se busca acomodar las soluciones clásicas basadas en la prevención especial a las nuevas regulaciones en España y diversos países sudamericanos que, ni en sus presupuestos ni en el tipo de sanciones, se acomodan ya a esta idea de un modelo de medidas orientado a la prevención especial. Se trata de un modelo que se fundamenta de forma genérica en la prevención al margen de la culpabilidad o responsabilidad propia de la organización, entremezclando fines preventivo-generales que tienen como destinatarios personas físicas (volvemos a la idea de heterorresponsabilidad, pero no en el momento de la imposición, sino de la conminación) y fines preventivo-especiales frente a la organización. Ya no se puede afirmar como en el modelo anterior que la impronta civilista no deje entrever claramente los fines preventivos que se persiguen con las sanciones.

Estas perspectivas se pueden reconducir a una línea clásica de fundamentación de la responsabilidad corporativa que se puede remontar al menos a Sutherland⁵³ que incide en la “actitud criminógena” del grupo o de la corporación. En ocasiones se ha hecho referencia al carácter, espíritu o estructura criminógenos de la organización o de la agrupación⁵⁴. La pena vendría a incidir en la corporación como factor criminógeno⁵⁵. Esa línea que, en principio, servía para legitimar sanciones con una orientación preventivo-especial con el fin de combatir dicho factor criminógeno corporativo se ha transformado en tiempos recientes por parte de algunas propuestas doctrinales en lengua española en imputación objetiva de un hecho propio (que en muchas ocasiones se define como un estado de cosas peligroso u objetivamente antijurídico que favorece la conducta delictiva de los integrantes de la empresa) para poder fundamentar la imposición de sanciones que carecen de una clara orientación preventivo-especial como sucede con la multa.

La diferencia con lo que posteriormente denominaré modelos de prevención es que éste se centra en la prevención directa de la conducta delictiva por parte de la organización, mientras en este modelo que se está exponiendo la prevención es más indirecta: se debe prevenir por determinadas personas físicas que surja o aparezca el estado de cosas o factores criminógenos que pueden llevar a otras personas físicas a cometer delitos en interés de la organización.

En palabras de Alcácer Guirao, “la razón de ser de esta opción político-criminal es clara: partiendo del presupuesto de que la organización empresarial puede conllevar un efecto criminógeno, resulta más eficiente que sea la propia empresa la que directamente se involucre en la remoción de esos factores criminógenos, y despliegue labores de vigilancia, prevención y detección de los delitos cometidos en su seno”⁵⁶.

El fundamento de la sanción a la persona jurídicas estaría en la peligrosidad objetiva u organizativa y la exclusión dependería de que los responsables de la organización hayan combatido adecuadamente dicha peligrosidad.

III.2. Las posiciones de Silva Sánchez y Martínez-Buján Pérez.

Ambos autores mantienen posiciones que considero que se pueden encuadrar en esta línea de fundamentación de las sanciones para personas jurídicas, si bien existen algunos matices diferenciadores entre ellos. El propio Martínez-Buján, que comparte a grandes rasgos la fundamentación y las líneas esenciales del modelo expuesto por Silva, matiza que si para éste “el referido “estado de cosas peligroso” es un elemento supralegal implícito desvinculado de la ausencia de las medidas eficaces de prevención de delitos”, para él “el estado de cosas peligroso es precisamente la consecuencia de la ausencia de tales medidas. Por tanto, ello comporta que, por de pronto, esta ausencia se erija como el auténtico presupuesto de la infracción penal de la PJ, pero con la importante particularidad añadida de que, a través de la ausencia de las medidas preventivas, se origina el estado de cosas defectuoso y peligroso favorecedor de la comisión de delitos, que acaba causando un resultado (el delito cometido por la persona física)”⁵⁷. De esta manera entiende que una organización bien gestionada no es un objeto peligroso, sino que la peligrosidad deriva de una gestión no ordenada o de la desorganización. La sanción corporativa reaccionaría frente a ésta. Esta diferencia de partida no es menor y tiene importancia.

En su última propuesta Silva Sánchez⁵⁸, bajo el curioso título de “la lógica preventivo-general al servicio de la prevención especial”, se refiere a la empresa económica como “un estado de cosas peligroso”⁵⁹. Ya he señalado como en este punto de partida existen diferencias con Martínez-Buján. Tal estado de cosas es definido como “un supuesto peculiar de peligrosidad, que consiste en afectar al proceso deliberativo de las personas físicas integrantes de la organización, alterando la percepción de estas acerca de lo que es jurídico y antijurídico (un aspecto cognitivo), o aportando motivos –obediencia, solidaridad de grupo– para su conducta contraria a Derecho (un aspecto volitivo)”. En este contexto, “mediante la introducción de la responsabilidad penal de las personas jurídicas se pretende introducir un incentivo para la implantación de programas de compliance de prevención y de detección de delitos. Es decir, se construye un sistema de prevención general con el fin de producir una prevención especial autogestionada (…) La vía elegida responde a una estructura –y a una estrategia– de coacción psicológica, de modo que la argumentación es preventivo general”. Según el Catedrático de la Pompeu Fabra “la pretensión del sistema de responsabilidad corporativa es que administradores y socios impulsen la adopción y mantenimiento de mecanismos que impidan que la estructura organizativa económica –la organización empresarial– favorezca la comisión de delitos individuales. Así pues, el efecto de prevención general negativa que se ejerce sobre los administradores y socios tiene una finalidad indirecta de prevención especial positiva –resocialización– relativa a la «empresa como riesgo»”. La función de la intervención penal sería bloquear esos factores criminógenos, lo que lleva a la idea de la prevención especial, que, según Silva, tiene que ser llevada a cabo mediante “coacción extrínseca”⁶⁰. Ello lleva a una concepción del Compliance donde lo relevante no son los riesgos generales de incumplimiento de la organización, sino la actuación de los individuos como riesgos por sus sesgos cognitivos y volitivos. Los integrantes de la organización, al perder la capacidad de autodeterminación que tendrían cuando actúan al margen de la misma, deben pasar a ser tratados como meros peligros para bienes jurídicos que la empresa debe controlar. Silva habla incluso de “intensificar la introducción de mecanismos de prevención técnica –controles y mecanismos de vigilancia–“⁶¹ complementados con medidas preventivas de comunicación. En mi opinión, esto acredita que toda visión excesivamente instrumental de las sanciones para personas jurídicas acaba teniendo incidencia en riesgos o efectos negativos para los derechos de los integrantes de la organización, especialmente de los que disponen de menos poder dentro de la misma. Los integrantes quedan contaminados por esa visión negativa de la empresa económica como un estado de cosas peligroso que limita la capacidad de autorresponsabilidad de sus miembros.

Martínez-Buján, no comparte este punto de partida tan negativo, sino que parte del “criterio del favorecimiento” y se refiere a un “modelo preventivo-general indirecto”⁶². En su objetivo de ofrecer un modelo teórico para la comprensión de la responsabilidad penal de personas jurídicas a la vista de la regulación del Código Penal español, considera que se trata de una responsabilidad penal en sentido amplio que se basa en la lesión de una norma de valoración (no de determinación), por lo que la persona jurídica responde por un hecho (que no una acción) objetivamente propio, con elementos propios, cuyo fundamento básico reside en la peligrosidad manifestada en el caso concreto de cara a la comisión de delitos por parte de sus integrantes y cuya sanción tiene como finalidad primordial intimidar a administradores y socios para que adopten medidas eficaces de prevención que impidan el favorecimiento de delitos. El hecho propio es definido como “déficit organizativo criminógeno, favorecedor de la comisión de delitos por parte de los integrantes de la empresa”⁶³. Considera que la infracción penal de la persona jurídica debe restringirse teleológicamente a los supuestos en los que la omisión de las medidas idóneas de prevención de delitos (presupuesto de la infracción) crea un riesgo que, en el caso concreto, se materializa en la comisión de un delito por parte de una persona física. En concreto señala como “la RPPJ solo existirá cuando se pueda demostrar una conexión de riesgo entre el incumplimiento de las medidas de prevención (presupuesto lógica y cronológicamente anterior) y el hecho penalmente típico cometido por la persona física”⁶⁴. Comparte con Silva “la idea de que la multa impuesta a la PJ (así como las restantes sanciones) posee efectos directos sobre las personas físicas que la integran” y de que “la finalidad de la coacción intimidatoria que recae aquí sobre los destinatarios de la conminación penal abstracta (administradores y socios) no consiste en que estos se abstengan personalmente de la comisión de delitos (para eso ya existen las conminaciones penales que se les dirigen como personas físicas), sino en que impulsen programas de compliance que impidan el favorecimiento de delitos, con lo cual el efecto de prevención que se ejerce sobre administradores y socios tiene además una finalidad indirecta de prevención especial positiva (resocialización) relativa a la ‘empresa como riesgo’”⁶⁵.

El fundamento de la sanción a la persona jurídica residiría en la peligrosidad objetiva u organizativa y la exclusión dependería de que los responsables de la organización hayan combatido adecuada o diligentemente dicha peligrosidad.

La gran novedad radica en que las reglas de exclusión de la RPPJ o relativas al cumplimiento normativo son entendidas como un nuevo tipo de normas de conducta distintas a las prohibiciones o mandatos que derivan de las formulaciones típicas de la parte especial (prohibido matar, obligado socorrer al que esté en peligro grave, etc.)⁶⁶. Como expondré posteriormente en las observaciones críticas considero que esta obligatio ad diligentiam para que la organización no sea un factor criminógeno (desorganización peligrosa) es una norma que dista de estar clara en cuanto a su contenido. Dejando de lado las críticas y quedándonos en el plano meramente descriptivo, el entendimiento por parte de un sector doctrinal de que la norma penal -como norma de conducta- sólo puede determinar procesos neuronales, provoca que tal dinámica de determinación no pueda funcionar directamente con las organizaciones. Como señala gráficamente Martínez-Buján, “la PJ carece del soporte cognitivo que posibilitaría justificar su conexión o nexo de comunicación con la norma penal (un soporte que debe ser capaz de motivación autónoma y de reconocimiento valorativo de las normas), con lo cual no es posible hablar de un posicionamiento autónomo de la PJ frente al Derecho penal, en la medida en que dicho soporte solo concurre en la PJ a través de sus miembros individuales, o sea, de una manera mediata: solo los administradores y empleados están en condiciones de interiorizar lo que la norma espera de la PJ y solo ellos pueden verse intimidados por la sanción penal”; o bien “la PJ no está en condiciones ya de realizar una acción en sentido jurídico-penal porque carece del sustrato biológico o soporte cognitivo que posibilitaría justificar su conexión con la norma penal”⁶⁷. Silva Sánchez⁶⁸ señala como si las personas jurídicas “carecen de un sistema psíquico que permita experimentar el miedo a la sanción” y “(s)ólo pueden experimentar miedo las personas físicas”, “(e)l sistema de responsabilidad penal de personas jurídicas pretende producir un efecto intimidatorio sobre los administradores y socios de las personas jurídicas, que son los únicos que pueden experimentar un efecto psicológico derivado del anuncio –la amenaza– de que recaiga una pena sobre aquellas”. Por esa razón los individuos integrantes de la organización son tratados como una especie de neuronas de la misma y la gestión de la organización se vería determinada indirectamente a través de las personas físicas.

Los partidarios de esta tesis suelen propugnar que la responsabilidad penal de las personas jurídicas no se incorpore al Código Penal, sino que se regule en una ley especial⁶⁹, si bien este es un aspecto más bien secundario o adjetivo que nos recuerda el viejo y poco fructífero debate sobre si los delitos económicos deben ser regulados en el Código Penal o en leyes especiales. Más bien lo que quieren propugnar es que no se trata de Derecho Penal, sino de puro Derecho administrativo sancionador o, a lo sumo, de un “Derecho de intervención”⁷⁰, es decir, de intervención del Estado en el mundo corporativo al margen del Derecho Penal y del Derecho administrativo sancionador⁷¹. Pero esto sólo demuestra que estamos más bien ante un modelo crítico con la existencia de un Derecho Penal de personas jurídicas que haga uso de “penas corporativas”. Se trata más de una teoría crítica y alternativa al Derecho positivo que hermenéutica. La responsabilidad penal corporativa no sería en realidad tal ni las penas se merecen tal calificativo porque no es posible eludir que la responsabilidad penal de la persona jurídica siempre es responsabilidad por una infracción ajena, no meramente relativa a una responsabilidad individual.

III.3. Valoración crítica.

En palabras de Silva⁷², la responsabilidad penal de personas jurídicas que se está extendiendo en los últimos años en nuestra cultura jurídica se caracterizaría porque el delito individual, además de imputarse a la persona física que lo comete, es imputado “al estado peligroso inherente a la empresa y éste, a su vez, a la propia persona jurídica”. Sin embargo, la mezcla de perspectivas no resuelve los problemas que plantea cada una de ellas por separado. Combinar la lógica de la peligrosidad objetiva propia de las consecuencias accesorias con una lógica de la hetero-responsabilidad sólo permite sumar a la lógica tradicional de la peligrosidad objetiva u organizativa insuficiente para explicar los nuevos modelos legislativos una lógica totalmente ilegítima, como ya se ha expuesto previamente. De esa mezcla de elementos heterogéneos no cabe esperar una vía de solución satisfactoria. Además, creo que falta coherencia en el modelo entre fundamento (peligrosidad objetiva u organizativa) y una exclusión que dependería de que los responsables de la organización hayan combatido adecuada y diligentemente dicha peligrosidad. En palabras de Martínez-Buján que hayan adoptado “medidas eficaces de prevención que impidan el favorecimiento de delitos”. Las características expuestas anteriormente del sistema vicarial entran por la ventana de la exención de la responsabilidad. Nada nuevo bajo el sol: peligrosidad objetiva y deberes de diligencia de los administradores propios de la responsabilidad civil extracontractual (sólo que ahora se identifican deberes de los socios con los administradores para ofrecer una justificación a que éstos sufran consecuencias penales).

Por otro lado, creo que este modelo no explica satisfactoriamente el Derecho Penal español ni tampoco otros sistemas como el chileno, argentino o de algunos estados mexicanos que están introduciendo exclusiones específicas de la responsabilidad corporativa basadas en modelos de organización o gestión o sistema de gestión del cumplimiento de la legalidad penal.

Si se tratara simplemente de consecuencias accesorias para combatir la organización como factor peligroso no habría hecho falta cambios tan radicales como la introducción de la responsabilidad penal de personas jurídicas con exclusiones específicas de la responsabilidad. El modelo clásico de consecuencias accesorias habría sido suficiente. Es más, creo que este modelo sirve para fundamentar las consecuencias accesorias de ordenamientos como el español o el peruano, como sanciones que se basan en la necesidad de “prevenir la continuidad de la actividad delictiva o de sus efectos”⁷³. Pero no pueden tener el mismo fundamento las tradicionales consecuencias accesorias de nuestros ordenamientos y las nuevas normas que se están introduciendo para la responsabilidad penal de las personas jurídicas. Concretando, los arts. 31 bis y ss. del Código Penal español o la ley peruana sobre responsabilidad administrativa de personas jurídicas no son un desarrollo natural de las consecuencias accesorias, sino un cambio de paradigma. Expresamente el Código Penal excluye que la multa (única pena que siempre se impone) esté orientada a “prevenir la continuidad de la actividad delictiva o de sus efectos” y establece en el art. 66 bis CP que los criterios de determinación de la multa son los mismos que existen para las personas físicas.

Por ello creo que no explica la regulación vigente sobre la responsabilidad penal de las personas jurídicas considerar que no estamos más que ante una modernización de la idea original que inspiraba la solución de las consecuencias accesorias adaptándola a ciertas novedades legislativas⁷⁴.

No se respeta para los ordenamientos, como el español, que establecen penas para personas jurídicas y consecuencias accesorias para otras entidades con criterios diferentes una distinción clara establecida por la ley, ya que el fundamento acaba siendo idéntico: imposición de consecuencias penales “destinadas a combatir su peligrosidad objetiva y con base en unas reglas de imputación objetiva propias adaptadas a la infracción penal de las PJ”⁷⁵. Ese es el fundamento que yo mismo, junto con un amplio sector doctrinal, otorgaba a las tradicionales consecuencias accesorias para personas jurídicas y otras entidades⁷⁶. Y sigue sirviendo para las consecuencias accesorias que se conservan en la actualidad⁷⁷. Pero la introducción de la responsabilidad penal de personas jurídicas en España y otros ordenamientos obedece a un cambio más profundo que forma parte de una tendencia político-criminal global. Además, no se explica por qué en un caso se imponen multas y en otro no, más allá de la explicación vicarial de que en caso de personas jurídicas la multa sería una sanción a la persona jurídica por el incumplimiento de “deberes” por parte de administradores y socios.

En esta línea de pensamiento un sector tan destacado como amplio de la doctrina española pretende integrar el Compliance como una difusa norma de conducta dirigida tanto a administradores como a socios para neutralizar la peligrosidad de la organización⁷⁸. A diferencia de las soluciones clásicas basadas en medidas contra la peligrosidad objetiva u organizativa, el momento relevante de valoración de los factores criminógenos no sería el de la sentencia, sino el momento previo al hecho o a los hechos delictivos. Como ya no se trata sólo de combatir situaciones de riesgo, sino también de prevenir situaciones o hechos desvalorados por el ordenamiento jurídico, el juez no se limitaría desde esta perspectiva a valorar la necesidad de intervención en el momento de la sentencia, sino que (des)valoraría más bien la situación previa o coetánea a la comisión del hecho delictivo por la persona física.

No acabo de entender cómo lo que el Código Penal define como exención de la responsabilidad de la persona jurídica basada en la implantación de un Sistema de Compliance penal queda de repente convertido en una especie de difusa norma de conducta (mandato) dirigida a administradores y socios para neutralizar la peligrosidad de la organización, que es lo que fundamenta la sanción corporativa⁷⁹.

Dejando de lado que las personas jurídicas no se limitan a las sociedades mercantiles, sino que existen muchos otros tipos de organizaciones con personalidad jurídica (partidos, sindicatos, etc.) la referencia a los socios plantea un sinfín de interrogantes que quedan sin respuesta. Se trata a todos los socios como si fueran socios dominicales con capacidad de influencia en la gestión y marcha de la sociedad. En una gran sociedad anónima si el socio no está de acuerdo con la evolución de la sociedad, le parece excesivamente arriesgada o tiene datos o indicios de que puede haber problemas con las autoridades tiene la opción de vender sus acciones antes de que pierdan valor y de esa manera desligarse del futuro de la sociedad⁸⁰. Cuando se afirma que la norma tendría como destinatarios tanto administradores como titulares del patrimonio social no entiendo cómo se pueden equiparar los deberes de los primeros y los segundos, cuando los administradores tienen deberes imperativos de diligencia y control de riesgos de los que carecen los socios. Esto indica que esa norma de conducta indirecta para personas con posiciones jurídicas de contenido jurídico tan diverso peca de indefinición y resulta extremadamente difusa. ¿Qué se está mandando a los socios que hagan? La personalidad jurídica no sólo limita la responsabilidad patrimonial, sino también la capacidad de decisión de los socios en la gestión de la organización.

Por otro lado, cuando el delito es cometido por los administradores (por ejemplo, dan indicaciones para que los subordinados cometan delitos), ¿Estarían infringiendo las prohibiciones penales propias al mismo tiempo que infringen otros deberes distintos por estar omitiendo medidas para que la organización sea resistente a sus indicaciones o actividades delictivas? Se plantea de esta manera una confusa situación psicológica en la que el administrador tendría que representarse la infracción de la prohibición o del mandato emanada del tipo penal correspondiente al tiempo que tiene que representarse que infringe otro mandato relacionado con la gestión de la organización como un riesgo o factor criminógeno. Todo esto me resulta personalmente una construcción psicológica extraordinariamente complicada.

Tiene razón, por tanto, Alfaro⁸¹, uno de los máximos expertos españoles en la persona jurídica como institución, cuando afirma en este punto que “si hay separación entre propiedad y control (entre la titularidad del patrimonio de la persona jurídica, que corresponde a los socios en el caso de las corporaciones societarias y la gestión de dicho patrimonio, que corresponde a los administradores), los titulares del patrimonio no están en condiciones de vigilar estrechamente lo que hacen los administradores y estos tienen los incentivos adecuados para no delinquir en la gestión dado que responderán penalmente en tal caso”. Como señala este autor, sólo están en condiciones de impedir la comisión de delitos en el seno de la persona jurídica los que pueden controlar la toma de decisiones, esto es, los administradores y socios de control -que son administradores de hecho añado yo-, pero “no los accionistas -o asociados- dispersos”. Por lo que “imponer una multa al patrimonio no intimida a quien no puede hacer otra cosa que vender sus acciones o darse de baja de la asociación ante la comisión del delito por sus administradores o empleados”. Señala también otro mercantilista como Paz-Ares al respecto que la asunción o presuposición de que “la finalidad de la imposición de sanciones penales o administrativas a la persona jurídica es establecer incentivos de última instancia para que los accionistas vigilen la actuación de sus administradores y el cumplimiento por parte de estos de sus deberes de legalidad y de control de legalidad”, “no parece verosímil. La mens legislatoris no se deja racionalizar en tales términos, que se dan de bruces con la arquitectura organizativa y decisional de las sociedades de capital, en la que el papel de gatekeeper no corresponde a los accionistas, sino a los administradores”⁸².

Dejando incluso de lado todos los problemas generales de las estrategias intimidatorias o disuasorias para legitimar la pena, esta concepción tiene, además, como problema que, en la propia lógica de la intimidación o de la disuasión, no queda claro cómo la pena contemplada en la ley puede determinar a una persona si se le conmina con un mal que no va a sufrir él directamente, sino otro: la persona jurídica (quien sufre la multa o la prohibición de contratar es la persona jurídica). Desde el punto de vista de la lógica intimidatoria, los problemas generales de esta teoría de la pena se ven exacerbados cuando se corta el vínculo psicológico entre pena y sujeto que la sufre. En todo caso, como ya he criticado previamente a estas perspectivas en otros trabajos, hay un problema de legitimidad cuando la pena con la que conmina o amenaza la ley se impone a persona distinta que aquella que la infringe. No se trata de la responsabilidad por hecho ajeno de los modelos de impronta civilista (modelos del principal), pero estamos ante la imposición de una pena corporativa por una infracción ajena de la norma (individual). A la persona jurídica se le transfieren o trasladan los costes del incumplimiento por las personas físicas⁸³. Sólo si se identifica plenamente individuo y persona jurídica se eluden estos problemas, pero volvemos a los de la doctrina de la identificación. Se acaba castigando a individuo y corporación por el mismo hecho y con el mismo fundamento. O son el mismo sujeto o no lo son. Pero los administradores o gestores no pueden ser A (en el momento de la conminación penal) y no A (en el momento de la imposición) al mismo tiempo. Una de las características del artefacto persona jurídica como patrimonio organizado es la sucesión permanente, de tal manera que se mantiene la persona jurídica aunque se sucedan personas diferentes de forma perpetua. Si se entiende que, como la persona jurídica es una ficción, la pena se impone a los socios o accionistas, pueden ser castigadas personas a las que no es posible responsabilizar del hecho delictivo (Inditex no tiene los mismos socios hoy que hace ocho o diez años). Es más, como la personalidad jurídica crea una estructura de decisión institucional ajena a los socios, en esta lógica podrían ser castigados de forma ilegítima socios minoritarios que hayan buscado promover una mejor gestión del cumplimiento normativo o que en la Junta o Asamblea no hayan aprobado o respaldado la gestión de la entidad. Esto es así porque la personalidad jurídica es una institución que permite independizar las decisiones de gestión de la organización de la voluntad de los socios individuales⁸⁴. Además, centrándonos en los administradores, si éstos no infringen realmente una norma penal, sino una especie de “requerimiento legal” de que organice la empresa para que no sea un factor criminógeno que promueva los delitos de otros, ¿Por qué se va a castigar a la persona jurídica si no se puede condenar y castigar a la persona física que infringiría la norma de la que debe responder la persona jurídica? Si la responsabilidad penal de las personas jurídicas pretende atender a problemas organizativos y estructurales que en muchos casos exceden el ámbito de la responsabilidad individual o que no se pueden resolver mediante responsabilidad individual, volvemos a tropezar con el problema que pretendemos resolver. La responsabilidad penal de las personas jurídicas puede estimular determinados comportamientos por parte de los gestores de una organización, pero ello nada tiene que ver con la función intimidatoria que se asigna a la pena cuando alguien está tentado de hurtar un reloj en unos grandes almacenes o de abusar sexualmente de una persona que ha bebido de más. Los administradores nada tienen que temer de forma directa de las normas que regulan la responsabilidad penal de las personas jurídicas.

Todos estos inconvenientes tienen un presupuesto común. Esta posición parte de que, en realidad, no se puede hacer responsable penal a la propia persona jurídica, sino que sólo pueden ser sujetos últimos de imputación jurídico-penal las personas físicas⁸⁵. La pena a la persona jurídica sigue sin ser entendida como una pena corporativa en sentido estricto, sino meramente una consecuencia accesoria de la responsabilidad individual.

Este sector doctrinal no acaba de abandonar una perspectiva individualista⁸⁶, que nos reconduce a Carl von Savigny y su idea de que la persona jurídica no es más que una ficción jurídica⁸⁷. Por esta razón se entiende más bien como un objeto perteneciente al mundo de las cosas (patrimonio con capacidad de obrar en el tráfico jurídico) y no como un sujeto de imputación. Muchos autores consideran que los fenómenos corporativos complejos se pueden reducir en última instancia a fenómenos individuales (aunque sea como actuación colectiva)⁸⁸. No hago referencia al reduccionismo en términos peyorativos, sino descriptivos, que tiene que ver con la idea de que para entender algo complejo (el funcionamiento del BBVA o del Banco Santander) hay que descomponerlo en sus componentes (como las piezas de un reloj). Aquí nos encontramos ya con alguno de los grandes debates filosóficos de la postmodernidad⁸⁹. Si se adoptan perspectivas de la sociología de la organización, la distinción entre la organización y sus dinámicas y los individuos y sus dinámicas provoca que ciertos hechos se escapen a una explicación suficiente mediante la referencia a acciones individuales o colectivas. La organización con personalidad jurídica deja de ser una ficción, para ser un constructo o artefacto social reconocido por el Derecho como sujeto. De esta manera, en términos kelsenianos, se convierte en un “punto final de la imputación jurídica”. Pero los autores a los que estamos haciendo referencia se resisten a dar ese paso, por lo que la organización sólo cobra relevancia como factor criminógeno y el Compliance como un mecanismo para combatir dicho estado de cosas incompatible con el Derecho.

Creo que en concreto la posición expuesta de Silva conduce a una concepción del Compliance que resulta difícilmente compatible con las legislaciones que excluyen la responsabilidad corporativa en virtud de la implantación de un adecuado sistema de gestión del cumplimiento de la legalidad penal y que, además, resulta enormemente complicada en su aplicación práctica. No pretendo negar ciertas aportaciones del behavioral compliance como mecanismo de implantación de un Sistema de gestión de Compliance⁹⁰. Pero, frente a lo que sostiene Silva, no deberíamos perder de vista que el Compliance es básicamente un modelo de organización y gestión de riesgos de incumplimiento⁹¹ de la organización, no de sesgos psicológicos individuales. El objeto esencial de la exención de la responsabilidad corporativa no es la psicología individual o colectiva, por lo que las soluciones a las cuestiones normativas esenciales que plantea dicha responsabilidad no se van a encontrar en la psicología conductual que sólo puede servir de ayuda para ciertos aspectos concretos. En materia de corrupción, blanqueo de capitales o financiación del terrorismo es importante la formación y la concienciación (aunque ordenamientos como el español ni lo mencionen), pero principalmente controles financieros como un procedimiento de tesorería que dificulte el pago de sobornos que nada tienen que ver con sesgos cognitivos ni volitivos. El elemento central de todo programa o sistema de cumplimiento no es la identificación de sesgos, sino de los riesgos de incumplimiento por actividades o procesos inherentes a la organización⁹². Sobre esa base se desarrolla todo el sistema. Una organización que se dedicara exclusivamente a trabajar con los sesgos de sus integrantes debería responder penalmente porque no estaría cumpliendo con las exigencias del ordenamiento jurídico. La concienciación y la formación sólo son un aspecto del Compliance⁹³ y ni siquiera suele estar mencionado como requisito o condición para la exclusión de la responsabilidad de la persona jurídica por la comisión de delitos en los ordenamientos que contemplan tal posibilidad.

En todo caso deberíamos tener cuidado para no construir la responsabilidad y la exclusión de la responsabilidad corporativa sobre bases inciertas y de las que carecemos de datos fiables. La delincuencia empresarial obedece a factores enormemente complejos que es difícil reconducir a un determinado sesgo. Y son muchos los déficits existentes hasta el momento en el conocimiento de las causas de los delitos económicos y de empresa⁹⁴.  No disponemos de perfiles definidos por la criminología de delincuentes económicos o empresariales que deberían ser presupuesto imprescindibles de todo sistema de gestión del Compliance basados en sesgos. Por otro lado, ¿Se debería diferenciar entre hombres y mujeres? ¿Son todos los sesgos iguales en los diversos niveles de la organización? ¿Los sesgos son iguales en todo tipo de empresas? ¿Es lo mismo una constructora que un banco? Silva hace referencia a la obediencia, pero la influencia de la jerarquía y la obediencia en el comportamiento humano es enormemente compleja y los estudios empíricos no permiten sacar conclusiones concluyentes⁹⁵. Si la ciencia no conoce aún cuáles son los factores del contexto grupal u organizativo que llevan a las personas a cometer infracciones (dejando de lado aquí el comportamiento adolescente) y los experimentos no son concluyentes, mal podemos basar la sanción corporativa en la prevención de estos factores.

En mi opinión, este modelo mixto o intermedio que combina heterorresponsabilidad con fines preventivos generales y especiales no explica satisfactoriamente las tendencias más actuales en materia de responsabilidad corporativa en perspectiva española y latinoamericana⁹⁶. Las reglas de exención y atenuación de la responsabilidad penal de las personas jurídicas en ordenamientos como Chile, Perú, España y otros recientes en lengua española hacen referencia expresa a una prevención directa del delito, no a una prevención indirecta actuando sobre influencias criminógenas en los integrantes de la organización⁹⁷. Los textos legales no están orientados a la prevención de procesos internos de los individuos, sino en un primer plano a que quien tome la decisión de cometer un delito al hilo de su pertenencia corporativa lo tenga más difícil (de ahí expresiones como eludir controles) para poder cometer el delito o que quien quiera resistirse a participar en una actividad delictiva lo tenga más fácil. Desde luego el enfoque basado en los sesgos en lugar de en los riesgos de incumplimiento no se acomoda a la concepción del Compliance extendido en el tráfico jurídico⁹⁸. Es cierto que la práctica podría ser incorrecta, pero habría que alegar por qué la inmensa mayoría de las personas jurídicas están desarrollando unas políticas erróneas en materia de Compliance, con la aquiescencia de los operadores jurídicos institucionales. No son psicólogos los que están realizando informes periciales de Compliance en la práctica forense y, personalmente, dudo mucho que pudieran aportar datos o información relevante para la condena o absolución de una persona jurídica. En todo caso, el Compliance penal es un apartado de las políticas y estrategias generales de las corporaciones en materia de cumplimiento, por lo que debería estar alineado con otros ámbitos como el Compliance fiscal, en materia de competencia, de sanciones internacionales, etc. Y, sobre todo, habría que explicar por qué la jurisprudencia está dando por buena esa praxis si lo que importan esencialmente son los sesgos individuales como factores criminógenos. La propuesta de Silva lleva a un cambio global de todo lo que tiene que ver con el Compliance de resultados inciertos.

Si la persona jurídica es sancionada por los sesgos cognitivos o volitivos de los integrantes de la organización a la hora de cometer los delitos, la culpabilidad individual debería verse disminuida en proporción a la existencia de dichos sesgos. En todo caso, la persona jurídica debería sufrir una sanción mayor por aquellos que son más influenciables por estar en niveles bajos de la organización que los que tienen más poder dentro de la misma. Esta lógica creo que podría ser poco entendida en general.

Más allá de los inconvenientes planteados, creo que esta posición en todas sus variantes presenta serios problemas prácticos especialmente en lo relativo a sus consecuencias. Si los modelos vicariales encierran problemas de supra-inclusión, la idea de la organización como factor criminógeno plantea problemas de infra-inclusión al vincular la sanción corporativa a la prevención especial que tiene como presupuesto necesario la constatación de un estado de cosas peligroso que ha llevado a la persona física a cometer un delito. La comprensión de la organización como un factor criminógeno genera una infrainclusión que creo que resulta incompatible con las tendencias político-criminales más actuales sobre la responsabilidad penal de la persona jurídica. Esto es así porque en la lógica del favorecimiento introduce como requisito la prueba del “estado de cosas peligroso” o de la existencia de “factores criminógenos” en la organización. Requisito que, por cierto, no aparece -al menos de forma expresa- en las regulaciones más recientes en el ámbito español ni latinoamericano para poder imponer una multa. Una posible alternativa como partir de una presunción de que si ha existido un delito éste será siempre consecuencia de que la empresa es una “organización criminógena” o que toda empresa es criminógena si carece de un modelo de organización y gestión robusto dinamitaría las bases del modelo y tendría problemas muy serios de legitimidad ya que sin la prueba del estado de cosas peligroso no se trata más que de responsabilidad objetiva o de una especie de strict liability⁹⁹. Sin tal objetivación de la responsabilidad que encierra serios problemas de legitimidad volvemos a la endémica inaplicación de las consecuencias accesorias en los ordenamientos que optaron hace años por dicha solución.

Como se expondrá posteriormente, es insuficiente la mera expectativa jurídica de que la empresa no sea un factor criminógeno¹⁰⁰. Se introduce una exigencia que conduce a una muy escasa posibilidad de aplicación, especialmente con respecto a las grandes empresas, como demuestra la experiencia con las tradicionales consecuencias accesorias orientadas a la prevención especial.

También creo que desde el punto de vista político-criminal tal modelo no permite explicar adecuadamente aquellas regulaciones que establecen los criterios para que la persona jurídica responda de un delito, operan básicamente con la imposición de una pena de multa y contemplan un sistema de eximentes y atenuantes específicas para excluir la responsabilidad corporativa al margen de las eximentes y atenuantes individuales. Los modelos mixtos o intermedios se adaptan mejor a un sistema donde, como sucede en el sistema austríaco -o en diversos proyectos existentes en Alemania¹⁰¹-, la persona jurídica responde por infracciones individuales (modelo vicarial) y se contempla la posibilidad de tratar las necesidades de re-organización o re-estructuración en el ámbito de la determinación de la pena. Pero lo cierto es que este modelo centroeuropeo (que, por ejemplo, los proyectos alemanes han recogido de Austria y Estados Unidos) no es el que se está implantando en las regulaciones Latinoamericanas más recientes. En todo caso, en este modelo la prevención especial no fundamenta la reacción del Estado (que se rige por una lógica vicarial), sino que en el ámbito de la individualización de la sanción abre opciones para sustituir la multa como pena esencial del sistema por medidas de reestructuración o de organización. Este modelo, como he expuesto en otro lugar, tiene importantes problemas normativos, pero me parece más operativo que la solución que están propugnando los denominados modelos mixtos o intermedios. Es todo más sencillo si se reconoce una fundamentación vicarial con la posibilidad de sustituir la multa por razones preventivo-especiales. Pero este no es el modelo español ni de otros ordenamientos a los que se hará referencia.

Los problemas de infrainclusión denunciados obedecen a que, en realidad, este modelo no está fundamentando una “pena corporativa” que derive de un delito corporativo o hecho propio de la organización, sino de una especie de medidas de seguridad sui generis de naturaleza híbrida (tertium genus entre penas y medidas) que derivan de comportamientos individuales de gestión defectuosa de la organización como factor criminógeno. O, formulado con palabras de Martínez-Buján¹⁰², “que el déficit organizativo surja de una actuación acumulativa de integrantes”.

Esto es debido a que, al renunciar a la responsabilidad propia de la corporación, se renuncia a una evaluación retrospectiva, ocupando el protagonismo una perspectiva prospectiva¹⁰³. El punto neurálgico es prevenir lo que puede suceder en el futuro.

Percy García Cavero¹⁰⁴ ha definido estos modelos de forma inteligente como modelos mixtos entre la autorresponsabilidad y la heterorresponsabilidad: “En un sistema mixto el punto de referencia del juicio de eficacia preventiva no es el delito concretamente cometido, sino los distintos delitos que podrían cometerse en la actividad de la persona jurídica. En efecto, la sanción penal se le impone a la persona jurídica porque el delito cometido por su órgano o representante evidencia un estado de cosas antijuridico o la existencia de una estructura corporativa criminógena que favorece en general la comisión de delitos por parte de sus miembros individuales. Bajo este esquema conceptual, el modelo de organización y gestión se presentaría como una especie de causa de exclusión de la pena que levantaría la necesidad de castigar a la persona jurídica por el delito cometido, en su beneficio, por su órgano o representante, pues no existiría un riesgo relevante de nueva comisión de delitos por sus miembros individuales en actividades futuras. Como puede verse, la eficacia preventiva no atiende al hecho de si el modelo de organización y función contaba con medidas de prevención ex ante razonables para evitar el delito concretamente cometido, sino de si, en el futuro, se podrá evitar razonablemente la comisión de delitos previsibles o reducir significativamente su riesgo de comisión. Al igual que el modelo de organización y gestión post delictum en el sistema de heterorresponsabilidad, se trata aquí también de una eficacia preventiva ex ante de carácter general”.

De acuerdo con lo expuesto hasta aquí, no se acaba de desarrollar un auténtico modelo de responsabilidad corporativa. En mi opinión, existe una clara tendencia en ciertos países a desarrollar modelos de autorresponsabilidad en los que la pena corporativa va vinculada a la responsabilización de la corporación por el hecho delictivo. Para estas legislaciones el modelo doctrinal expuesto se queda corto, en mi opinión, como acredita la evolución de la jurisprudencia española desde el año 2016. Mejoran el modelo vicarial al introducir elementos preventivos de Derecho Público, pero el paso que se da resulta insuficiente o, al menos, no tan atrevido como el que están dando las legislaciones más recientes sobre responsabilidad penal de personas jurídicas en lengua española.

III.4. Una cuestión central: ¿La organización con personalidad jurídica como un factor criminógeno?

Creo que la concepción de la organización con personalidad jurídica como objeto peligroso o factor criminógeno no se corresponde con nuestra realidad jurídica¹⁰⁵ ni está a la altura de los tiempos. En la era de los criterios ESG no se trata tanto de combatir estructuras criminógenas, sino estructuras deficitarias desde el punto de vista del cumplimiento normativo.

Esto es así porque en los últimos años estamos presenciando un cambio cultural que se puso en marcha hace veinte años con el impulso de las políticas de sostenibilidad referidas a medioambiente, entorno social y gobernanza (ESG) que ha alterado totalmente el mundo de la empresa¹⁰⁶. Hoy en día todas las grandes empresas y sociedades cotizadas tienen un departamento de sostenibilidad o responsabilidad social corporativa. En la doctrina penal especializada Nieto Martín -pionero de algunas ideas que se han expuesto en este apartado- puso en su día el foco en la transformación coactiva de la responsabilidad social¹⁰⁷ corporativa y Gómez-Jara en la idea anglosajona de buen ciudadano corporativo para poner de manifiesto este cambio en el rol de la gran empresa¹⁰⁸. Dichas ideas tienen un indudable valor histórico para la descripción que se está realizando.

En esta línea la responsabilidad de las corporaciones ya no se limita a responder por la reparación de los daños materiales que se derivan de su actividad. Preocupan socialmente también los “costes externos” inmateriales de su actividad que van más allá de la comisión puntual de hechos delictivos. La exigencia jurídica de información veraz y comparable sobre sostenibilidad no es más que una manifestación de esta evolución. Si los temas de gobernanza y buen gobierno corporativo primero y medioambientales posteriormente han protagonizado estos cambios, otros aspectos de impacto social han ido también cobrando protagonismo. Desde una perspectiva estatal o pública, no se trata tanto del impacto en los stakeholders (grupos de interés), sino en los bienes o intereses públicos como la normatividad. Mientras la responsabilidad social corporativa suele estar más vinculada a intereses inmediatamente conexos (trabajadores, clientes, etc.) ajenos a los socios, la Sostenibilidad surge como algo más conectado con las consecuencias de la actividad empresarial sobre intereses más difusos y generales o públicos¹⁰⁹. En ese contexto surge la idea de “diligencia debida” con el entorno social y medioambiental que ya no se corresponde con los deberes de diligencia clásicos de la responsabilidad civil extracontractual.

No se debe ocultar que ya está en marcha una “guerra cultural” o ”discusión ideológica” alrededor de estas cuestiones (una concepción liberal y contractualista frente a una concepción más institucional de las grandes sociedades mercantiles¹¹⁰), pero tampoco se debe desconocer que se ha producido un cambio cultural sobre la función social de las grandes corporaciones que ha permeado las instituciones jurídicas y que está produciendo cambios significativos¹¹¹. No todo se limita a la creación del mayor valor económico para los socios. Por esta razón las grandes corporaciones tienen funciones o áreas corporativas de cumplimiento y/o sostenibilidad que dan soporte al negocio, aumentando la complejidad de las organizaciones en los últimos años.

Toda esta exposición indica que se debe vincular la responsabilidad penal de la persona jurídica a una lógica social de los tiempos que corren. Así, por ejemplo, la ley española 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción¹¹², establece como una de sus finalidades en el art. 1 “el fortalecimiento de la cultura de la información, de las infraestructuras de integridad de las organizaciones y el fomento de la cultura de la información o comunicación como mecanismo para prevenir y detectar amenazas al interés público”. Esto significa que las organizaciones deben garantizar no solamente que la información sobre cumplimiento circule adecuadamente de arriba hacia abajo, sino también de abajo hacia arriba para permitir una gestión ordenada y responsable del cumplimiento normativo. Y esta ley no sólo afecta a las empresas, demostrando que el cumplimiento normativo se está convirtiendo en un elemento básico de cualquier organización con personalidad jurídica, sino a todo tipo de organización de cierto tamaño. Progresivamente lo que exigimos a las grandes empresas se va extendiendo mutatis mutandis a grandes partidos políticos, grandes fundaciones y otro tipo de organizaciones con personalidad jurídica¹¹³.

Esas nuevas exigencias implican también ciertos cambios en la responsabilidad individual. Pero esta tiene limitaciones y para superarlas entra en juego la responsabilidad penal corporativa y la incorporación de las personas jurídicas como sujetos de imputación jurídico-penal¹¹⁴. En este nuevo contexto considero que el tratamiento de las personas jurídicas por parte del Derecho Penal como meros factores criminógenos va desacompasado con el “espíritu de los tiempos”. Muchos más si se parte de que a toda organización es inherente una cultura de incumplimiento que llevará con alta probabilidad a sus integrantes a la delincuencia si no se hace algo en sentido contrario.

No pretendo sostener que ciertas tendencias legislativas muy presentes en la Unión Europea tengan que desembocar necesariamente en un determinado modelo de responsabilidad penal de personas jurídicas, ni siquiera en una responsabilidad corporativa de carácter penal, sino más bien que los modelos de regulación de la responsabilidad penal de las personas jurídicas más innovadores deben ser entendidos en el contexto de una mayor responsabilización de las personas jurídicas de un alcance más amplio que no se reduce estrictamente a combatir la organización como factor criminógeno. Echo en falta que la doctrina penal no haya discutido hasta el momento más sobre estos aspectos. Evidentemente, quien parta de que no estamos más que ante modas pasajeras, podrá opinar lo mismo en relación con la responsabilidad penal de las personas jurídicas. Pero creo que es ingenuo pensar que el entorno normativo no influye en las cuestiones que están siendo tratadas en este trabajo. Algún lector estará pensando que estas reflexiones sólo son válidas para el ámbito de la Unión Europea, con una apuesta muy fuerte en materia de sostenibilidad. Pero estamos hablando de tendencias que también se han venido desarrollando desde la ONU, por lo que estamos hablando de una tendencia global que se va desarrollando por áreas geográficas con distintas intensidades. Tampoco nos podemos olvidar de la reciente firma del tratado de libre comercio entre Mercosur y la Unión Europea. En mi opinión, sólo una mirada amplia que tenga en cuenta todo este contexto normativo podrá ofrecer propuestas dogmáticas sólidas que sean compatibles con las características y funciones del Derecho Penal.

En conclusión, aunque se entienda que una persona jurídica es un patrimonio con capacidad de gestión por parte de sus representantes orgánicos (administradores, patronato, Junta Directiva, etc.), dicha definición es insuficiente si no se tiene en cuenta que la gestión incluye intereses públicos y el cumplimiento de la legalidad. No se trata de que las personas jurídicas se conviertan en una especie de entidades cuasi-públicas o paraestatales primando ciertos intereses públicos, sino de que los integren como parte integrante de la gestión para evitar ciertos efectos indeseados¹¹⁵. Y ello no es simplemente porque una empresa o cualquier otro tipo de organización sea una “cosa peligrosa” en nuestro ordenamiento.

IV. Modelo basado en la prevención de delitos individuales y con exenciones propias para la persona jurídica.

IV.1. Planteamiento de partida y descripción general del modelo y de los submodelos.

Ciertos modelos doctrinales y legislativos buscan una fundamentación de las sanciones corporativas totalmente ajenas a la prevención especial y a la responsabilidad vicarial. Han ido surgiendo propuestas que rompen con la identificación de partida entre hecho individual y hecho de la organización, que genera la ya criticada identidad entre responsabilidad individual y de la persona jurídica titular de la organización. Se trata de modelos que rompen con la premisa del modelo del principal y de la vicarialidad de que la responsabilidad corporativa llega a los mismos lugares de la responsabilidad individual. De esta manera permiten que pueda existir responsabilidad individual sin responsabilidad corporativa y con este fin contemplan exenciones para ésta al margen de aquélla.

Como se trata de sanciones vinculadas a un hecho defectuoso sucedido en el pasado y entienden que lo relevante para la responsabilidad de la persona jurídica no es el defecto individual, sino el defecto de su organización se ha extendido la referencia a una “culpabilidad por defecto de la organización”. En puridad con este término no se pretende ofrecer una fundamentación autónoma de la culpabilidad, sino que se hace referencia a la idea esencial de estos modelos: la base o referencia de la responsabilidad corporativa no se encuentra ya en una actuación individual delictiva o desviada de las normas penales, sino en un defecto de la organización adicional a la comisión del delito. De esta manera ya no se trata de fundamentar la sanción corporativa en el delito individual (hecho ajeno), sino en algún defecto de la propia organización que justifique la imposición de una sanción diferenciada. Se cambia así el foco de la responsabilidad corporativa. El hecho del que responde la persona jurídica no es el delito individual, sino la no evitación de un delito individual que podría haberse evitado o, por lo menos, dificultado.

De acuerdo con esta perspectiva, si en el caso de las personas físicas las normas penales desvaloran conductas, en el caso de las personas jurídicas desvaloran bien un defecto puntual de la organización o bien la gestión defectuosa de la organización a lo largo del tiempo. Como se expondrá, estos son los dos grandes submodelos que coexisten a partir de las ideas expuestas: basta un defecto puntual o coyuntural de la organización o bien la responsabilidad penal exige una dinámica estructural o con cierta permanencia en el tiempo. Cada uno de estos submodelos acarrea criterios jurídicos diferentes con soluciones no coincidentes.

Desde luego las cosas no cambian mucho con respecto al modelo vicarial si se presume iuris et de iure que la infracción individual equivale o implica un defecto de organización, como hacía Tiedemann¹¹⁶ en su propuesta original para explicar el Derecho de contravenciones alemán (OWiG), que es un modelo vicarial. Las presunciones iuris tantum mitigan el problema pero no lo resuelven.

El defecto organizativo queda definido en este modelo como falta de eficacia en la prevención de delitos individuales. En consecuencia, la persona jurídica no responde si se consigue prevenir los delitos, pero tampoco responde si desde la organización se han realizado los esfuerzos idóneos y necesarios (debida diligencia) en ese sentido. En sentido contrario, la persona jurídica es sancionada si no se ha hecho todo lo que era exigible para prevenir la comisión de delitos por personas vinculadas a la entidad.

La responsabilidad penal de las personas jurídicas se fundamentaría en tratarse de un mecanismo eficiente para la prevención de delitos en organizaciones y en responder a una necesidad social en este sentido ante ciertas dificultades del Derecho Penal clásico para reaccionar adecuadamente frente a los delitos de empresa. Ello nos recuerda a los argumentos basados en el estado de necesidad del bien jurídico o en una debilidad preventiva de la responsabilidad individual para la protección de bienes jurídicos (Schünemann¹¹⁷). Por tanto, el fundamento último se encuentra en una mejora en la protección de bienes jurídicos.

Califico este modelo como preventivo para diferenciarlo de los dos anteriores por las siguientes razones:

a) La prevención ya no es entendida como prevención de los factores criminógenos o estado de cosas que llevan a los integrantes de la organización a delinquir. Se trata de prevención directa del delito. El dirigente o el integrante de la organización han podido cometer el delito con facilidad porque la organización no lo ha evitado o dificultado.

b) La idea de “culpabilidad por defecto de la organización” no ofrece un fundamento de la culpabilidad, sino que cambia el enfoque de lo que se imputa a la persona jurídica. Es decir, varía el hecho del que debe responder ésta. Ya no se trata como en el sistema vicarial de responder por la comisión del delito, sino de que la organización no lo ha prevenido. En esa no-prevención es donde se encuentra el punto neurálgico de la responsabilidad corporativa. De ahí que insista en la denominación de modelo preventivo.

Lo que caracteriza este modelo frente a los anteriores es que el hecho propio de la persona jurídica ya no consiste en la realización del delito por la persona física, sino en la no evitación de tal hecho delictivo. El eje de la responsabilidad corporativa pasa a ser una omisión. Como expone Martínez-Buján con respecto a la propuesta de Tiedemann¹¹⁸, la responsabilidad se basa en este caso en “que la empresa ha omitido las medidas de precaución tendentes a evitar la comisión de delitos y ha infringido los deberes de vigilancia, control y de organización que son deberes propios de la PJ”.

En este modelo que renuncia a la prevención especial y se centra en el castigo de la omisión de deberes preventivos se encuadran propuestas doctrinales y legislativas variadas. A grandes rasgos podemos identificar dos perspectivas diferenciadas:

a) Una que entiende que la responsabilidad de la persona jurídica está montada sobre un defecto puntual o coyuntural (por ejemplo, una disposición de fondos puntual sin cumplir la normativa interna para pagar un soborno). En este caso es habitual identificar la “culpabilidad de la organización” desde una perspectiva antropomórfica con una especie de injusto imprudente en comisión por omisión.  Insisto en que en este modelo la identificación suele ser con un injusto imprudente en comisión por omisión, no con la culpabilidad en el delito imprudente¹¹⁹.

b) Otra perspectiva menos antropomórfica entiende que la persona jurídica debería responder exclusivamente por defectos organizativos de cierta permanencia o estructurales. En este segundo caso se valora desde una perspectiva más organizativa u organizacional si la gestión de los riesgos de incumplimiento por parte de la organización se puede calificar en general de inadecuada o inidónea, incluso aunque pueda haber existido algún fallo puntual.

IV.2 Primeras versiones del modelo de prevención. Defecto de organización puntual: La persona jurídica responde por la infracción de deberes de prevención por parte de personas físicas.

En este submodelo la persona jurídica responde por la infracción de los deberes de control, vigilancia o supervisión que la doctrina dominante entiende que tienen los superiores jerárquicos dentro de una organización por su posición de garantía¹²⁰ (control de los riesgos de la organización)¹²¹. En realidad se trata de una cierta variante del modelo ya expuesto de responsabilidad del principal y de responsabilidad vicaria. La diferencia radica en que la persona jurídica no respondería directamente y de forma automática de la comisión del delito, sino indirectamente a través de la infracción de deberes como garante de otro miembro de la organización distinto al que ha cometido el delito¹²². La responsabilidad penal de la persona jurídica quedaría equiparada así a la comisión de un delito por uno o varios miembros de la organización más la infracción de deberes de control, vigilancia y supervisión por parte de otro u otros integrantes de la organización. Cambiamos la referencia de la responsabilidad corporativa, pero los problemas de legitimidad no difieren sustancialmente de los expuestos en el primer apartado: la persona jurídica responde como principal porque un integrante de la organización ha incumplido sus deberes de control, vigilancia o supervisión. En cierta manera se podría decir que los criterios iusprivatistas de la responsabilidad civil del principal por infracción de deberes de diligencia (culpa in vigilando, in eligendo, in operando, in instruendo, etc.) se transforman en deberes de cuidado en la gestión de riesgos propios de la dogmática del delito imprudente.

Un sector de la doctrina ha intentado utilizar la imagen de una autoría o de una participación imprudente en comisión por omisión. Se trataría materialmente de un descuido organizativo en la prevención al estilo de un comportamiento infractor del deber de cuidado. La no prevención supondría una intervención en el delito.

Desde mi perspectiva, sin embargo, esta perspectiva antropomórfica que intenta explicar la responsabilidad penal de las personas jurídicas con los criterios tradicionales de imputación desarrollados para las conductas imprudentes es errónea y no resulta un camino a seguir¹²³. El delito corporativo no es un delito imprudente, sino una forma nueva de responsabilidad para personas jurídicas titulares de organizaciones desconocida hasta el momento.

En mi opinión, cualquier intento de utilizar estructuras dogmáticas pensadas para acciones individuales con el fin de legitimar la imposición de sanciones penales a personas jurídicas está condenada al fracaso. La equiparación entre estructuras de imputación para responsabilidades tan diferentes como la individual y la corporativa no acierta a ofrecer una solución satisfactoria. La referencia a la imprudencia o culpa se puede entender a lo sumo como una imagen aproximativa (persona que no gestiona adecuadamente su ámbito de organización), pero no como que la estructura de la responsabilidad corporativa sea materialmente la de una conducta imprudente¹²⁴. Aunque la doctrina se encuentre siempre más cómoda con fórmulas conocidas, no creo que puedan servir como referente para una forma de responsabilidad tan peculiar como la corporativa las categorías dogmáticas desarrolladas para imputar a las personas físicas delitos no dolosos, siempre que no queramos conformarnos con imputar a la persona jurídica un hecho ajeno (la infracción de deberes de cuidado por parte de un individuo aislado o un colectivo de individuos). Se trata de realidades absolutamente diversas.

Se han recuperado, incluso, ideas denostadas como, por ejemplo, entender el delito corporativo como un cuasi-delito, respondiendo la persona jurídica por un tipo autónomo: una especie de crimen culpae en el que el delito individual sería la condición objetiva de punibilidad. De esta manera, sin embargo, la responsabilidad corporativa queda excesivamente desvinculada del tipo penal concreto (estafa, cohecho, etc.). El problema es común al del tradicional crimen culpae¹²⁵ porque lo que es un criterio de imputación del hecho típico queda convertido en el objeto de imputación (el hecho típico o desvalorado por la norma). La no-prevención queda convertida en un tipo penal autónomo. La opción de entender las cláusulas de responsabilidad penal de personas jurídicas como normas de conducta autónomas o un tipo penal autónomo que obligan a las personas jurídicas a prevenir delitos plantea, además, una infinidad de problemas dogmáticos a los que no veo solución. El injusto de la persona jurídica consistiría en el incumplimiento de un mandato: omitir deberes de prevención o control de las personas físicas. Sin embargo, en la medida en la que la omisión exige conceptualmente capacidad de evitar o de realizar la conducta correcta u obligada, esa capacidad sólo se encuentra en las personas físicas y volvemos a los modelos criticados: la persona jurídica respondería de forma automática de una omisión individual. No se consiguen superar los tradicionales problemas de la responsabilidad de las personas jurídicas con la teoría de la acción. La referencia a una omissio libera in causa¹²⁶ traslada la cuestión a un momento previo, pero no la resuelve materialmente.

Por otro lado, ¿dónde se encontrarían los mandatos de los que derivan los deberes? Habría que entender esa supuesta norma que tiene a las personas jurídicas como destinatarias como una ley penal en blanco de muy dudosa legitimidad que se remitiría a todas las obligaciones de prevención que una persona jurídica tendría en leyes extra-penales (administrativas, mercantiles, etc.) o, incluso, a la lex artis¹²⁷. El problema esencial es que si el centro de la responsabilidad corporativa es el incumplimiento de una norma de conducta como mandato, volvemos a los tradicionales problemas de la persona jurídica desde la perspectiva de la acción: quienes cumplen o incumplen los mandatos son personas físicas.

Por último, si se entiende que el delito individual no es más que una condición objetiva de punibilidad el déficit preventivo podría prescribir mucho antes de que exista tal delito¹²⁸. La única forma de que no prescribiera y respetar el principio general actio nondum nata non praescribitur sería entender la “omisión de la persona jurídica” como un delito permanente, pero de esta manera ya abandonamos la idea de un defecto organizativo puntual.

Los problemas no se resuelven si entendemos que la persona jurídica sería una especie de interviniente o partícipe imprudente en comisión por omisión en el delito de la persona física. Esta idea ha cobrado especial relevancia en doctrinas como la italiana, chilena o española con regulaciones con muchos puntos en común¹²⁹. En realidad la persona jurídica no organiza conjuntamente un hecho delictivo con la persona física (accesoriedad). No aporta algo (instrumento, información, etc.) que el autor necesite para realizar el hecho¹³⁰. La sanción a la persona jurídica es accesoria en el sentido de que los ordenamientos hacen depender la misma de la existencia de un delito individual¹³¹, pero no en el sentido de que la persona física y la persona jurídica organicen conjuntamente el hecho con relevancia penal. La referencia a la participación imprudente en comisión por omisión también ofrece una imagen inadecuada: los déficits preventivos (por ejemplo, la falta de control de pagos) pueden ser muy anteriores a la comisión del delito o, incluso, a la resolución de cometer un delito por parte de la persona física. En ordenamientos como el español donde la persona jurídica puede responder por una conducta de participación de una persona física¹³², se podrían dar supuestos de participación en una participación o de participación en cadena¹³³ (¿Podría darse una participación omisiva en una participación omisiva?). Como se puede apreciar, la búsqueda de analogías con estructuras de imputación desarrolladas para individuos plantea más interrogantes que respuestas. Y no he pretendido agotar todos los problemas dogmáticos que se plantean desde esta perspectiva.

Esta idea errónea de que la persona jurídica no responde del mismo delito que la persona jurídica (cohecho, estafa, defraudación tributaria, etc.), sino de un tipo penal propio que consiste en la omisión de deberes de prevención ha dado lugar en España a una jurisprudencia errática que resulta altamente disfuncional¹³⁴. El problema se puede remontar a la STS 154/2016, de 29 de febrero que define el “núcleo de la responsabilidad” en “la ausencia de las medidas de control adecuadas para la evitación de la comisión de delitos”, por lo que “la presencia de adecuados mecanismos de control lo que supone es la inexistencia misma de la infracción”. De esta manera se entiende que la persona jurídica responde por la omisión de la implantación de medidas o mecanismos de control o prevención. A partir de este sentencia han surgido “dos almas” en nuestra jurisprudencia sobre el objeto de la imputación: el tipo correspondiente de la parte especial o un tipo de omisión propio. Por suerte, parece que se va imponiendo la primera, que es la única compatible con el tenor literal de la ley¹³⁵. De todas maneras la jurisprudencia está obligada a aclarar esta cuestión porque de ella dependen conclusiones concretas de gran relevancia práctica. Por ejemplo, si persona física y jurídica responden por el mismo título de imputación o si una pudiera ser autora y otra partícipe; o si una pudiese responder de un delito consumado y otra en grado de tentativa. Si el objeto de la responsabilidad no es una omisión autónoma, sino la comisión del delito, la persona jurídica responderá por tentativa si el delito de la parte especial ha quedado en grado de tentativa o responderá como partícipe si el delito a la que está vinculada constituye una participación. De ello dependen también cuestiones como la vigencia espacial o temporal o la determinación del dies a quo a efectos del plazo de prescripción (lo relevante sería la comisión del hecho y no la omisión de la persona jurídica). La conclusión que hay que extraer es que entender que la persona jurídica no responde del mismo delito que la persona física, sino de una omisión propia, convirtiendo un criterio de imputación en el objeto de la misma, genera un sinfín de problemas.

En todas las perspectivas que estamos analizando existen también problemas adicionales desde el punto de vista de la comisión por omisión como alternativa a considerar que las normas que regulan la responsabilidad penal de las personas jurídicas configuran una especie de crimen culpae de la universitas complementario al delito individual. Basar el hecho propio corporativo en la infracción de deberes de policía o de colaboración con el Estado en la prevención de delitos no permite fundamentar sin más una genuina posición de garantía¹³⁶. Un funcionario de policía ejerce los deberes de seguridad y protección que son competencia del Estado. Si hablamos de una función cuasi-funcionarial para organizaciones privadas¹³⁷ dicho fundamento se esfuma. Sobre todo porque la posición de garantía no estaría basada -al menos en la mayoría de los casos- en la protección de las víctimas¹³⁸, sino en el control de los riesgos de la organización. Normativamente falta un fundamento para equiparar la no evitación del delito a una intervención o participación en el mismo. No está reconocida a día de hoy una posición de garantía de protección basada ya no en el desempeño de funciones públicas, sino cuasi-públicas por parte de particulares (personas físicas o jurídicas), a no ser que se quiera volver a la denostada teoría formal de las fuentes¹³⁹. La solución pasaría, a mi modo de ver, por defender una teoría de las posiciones de garantía de personas jurídicas más amplia que las de las personas físicas que no estaría mínimamente esbozada. Pero en un modelo antropomórfico en el que el defecto de organización es tratado como un injusto imprudente, me falta una fundamentación normativa de por qué la persona jurídica sería garante allí donde una persona física sólo tendría deberes generales de solidaridad relevantes exclusivamente para delitos de omisión simple¹⁴⁰. No siempre que alguien lo tiene más fácil para evitar un hecho o el Estado necesita que un particular cumpla determinadas funciones de protección surge una posición de garantía¹⁴¹. Hay que tener cuidado con incurrir en una confusión entre Estado y sociedad civil que traslade a ésta deberes de protección estatales, es decir, que tienen un fundamento institucional. De hecho, cuando el Estado obliga a los particulares a suplir los fallos o deficiencias del Estado crea deberes genéricos de solidaridad (arts. 195, 450 CP), pero no posiciones de garantía. Si se entiende que la persona jurídica responde por los deberes de garante de los superiores jerárquicos de la organización volvemos a los problemas de partida: responsabilidad del principal por las omisiones individuales. Al fin y al cabo los deberes de los superiores jerárquicos para evitar los delitos de los subordinados son deberes derivados que originalmente corresponden a la titular de la organización. En conclusión, o se fundamenta una posición de garantía de las organizaciones con personalidad jurídica equivalente o análoga a la dogmática de las posiciones de garantía o se reconoce que no se puede hacer referencia con propiedad a una posición de garantía para construir una especie de injusto imprudente en comisión por omisión.

En conclusión, considero que los intentos de construir una responsabilidad penal de la persona jurídica basada exclusivamente en un defecto puntual conducen a callejones sin salida o no nos permiten alejarnos demasiado del modelo del principal. Es más, desde la perspectiva práctica encierra un cierto riesgo de versarismo (versari in re illicita) que entronca con la responsabilidad objetiva propia del modelo vicarial. Esto es así porque cualquier irregularidad (incumplimiento o no aplicación de normas internas de contratación, de contabilidad, de facturación, de pagos, etc.) puede generar responsabilidad penal corporativa. Las primeras versiones del modelo de prevención basadas en un incumplimiento o defecto de la organización puntual dan lugar a una responsabilidad penal sobredimensionada.

Los jueces se pueden colocar en el lugar de un individuo pero no de una organización compleja¹⁴². Por esa razón la ayuda de peritos es casi inevitable en los casos de cierta complejidad.

La doctrina, cuando se encuentra con novedades de las dimensiones de las que estamos hablando, intenta buscar similitudes con lo conocido. Se trata de una constante. Sin embargo, creo que es un error incurrir en el antropomorfismo estableciendo para las organizaciones paralelismos o similitudes con estructuras de imputación para conductas individuales y definiendo la responsabilidad de las personas jurídicas como una participación omisiva y/o imprudente en el delito de su miembro o integrante. Pueden servir, a lo sumo, como -inexactas- imágenes pedagógicas, pero no otorgan un fundamento material a la imposición de una pena a una persona jurídica. La responsabilidad penal de organizaciones con personalidad jurídica implica cambios en la forma de abordar los problemas. El cumplimiento de la legalidad en una organización no tiene mucho que ver con dejar que un farmacéutico venda una sustancia tóxica sin receta que es utilizada en un asesinato o que en una cantera no se vigile bien el depósito de explosivos. Seguramente en este necesario cambio de mentalidad radiquen gran parte de las dificultades y resistencias por parte de un sector de la doctrina en relación con la responsabilidad penal de las personas jurídicas.

IV.3. Hacia una perspectiva más organizativa de la gestión de riesgos de incumplimiento. La denominada autorregulación preventiva.

Desde una perspectiva más organizativa el hecho del que responde la persona jurídica es ajeno a la omisión de los deberes personales de los integrantes de la organización. Me interesa más destacar la línea político-criminal basada en este segunda idea ya que algunas de las legislaciones más innovadoras en el ámbito sudamericano tienen esta idea como referente de partida y tales ideas permiten un primer avance en la idea de autorresponsabilidad, por lo tanto de una responsabilidad corporativa realmente diferenciada de la individual. Una revisión de las legislaciones sudamericanas más recientes nos permitirá profundizar en esta idea y avanzar por un camino con perspectivas atractivas.

De acuerdo con esta dimensión organizativa la persona jurídica no responde tanto de una omisión puntual de deberes de prevención, sino que responde debido a que la organización no ha gestionado de forma correcta sus riesgos de incumplimiento a lo largo del tiempo¹⁴³. Desde esta perspectiva pasa a ser objeto esencial de debate, prueba¹⁴⁴ y valoración en el procedimiento si ha existido una adecuada gestión de los riesgos de incumplimiento por parte de la organización. La cuestión normativa esencial es si, más allá de los deberes de garante que se derivan de las posiciones individuales de cada integrante de la organización, ésta estableció un sistema diligente de prevención de delitos (incumplimientos), que algún ordenamiento de los que nos interesan en este trabajo define como “observancia del debido control en su organización”¹⁴⁵ o “debida diligencia”¹⁴⁶. Ya en el año 2016 el Código Nacional de Procedimientos Penales de México vino a exigir la prueba de la inobservancia del debido control por parte de la organización para imponer sanciones a una persona jurídica¹⁴⁷.

En aquellos casos en los que la gestión no es adecuada habrá que determinar si el ordenamiento en concreto exige que el delito individual sea prevenido, simplemente dificultado (disminución del riesgo de incumplimiento) o que baste su mera concurrencia como una condición objetiva de punibilidad. En este punto se encuentra una de las grandes decisiones político-criminales que tienen que adoptar los ordenamientos que no parten de un modelo vicarial y no tienen como referente de la responsabilidad corporativa un defecto puntual. Se trata de una cuestión que sólo surge cuando la persona jurídica no responde automáticamente por el defecto individual, sino que quedan claramente diferenciados los fundamentos de la responsabilidad corporativa frente a la responsabilidad individual (la persona jurídica puede no responder aunque sea el principal de alguien que haya cometido el delito en su beneficio o interés). En cuanto la referencia es una gestión general de la organización, la tendencia natural es exigir exclusivamente un mayor esfuerzo o dificultad en la comisión del delito.

En este segundo contexto, que parte de una perspectiva más organizativa, es donde irrumpe la idea de “autorregulación regulada” que la doctrina conecta habitualmente con la responsabilidad penal de las personas jurídicas, pero sin saber en muchos casos cómo integrar autorregulación y responsabilidad corporativa. La autorregulación está vinculada a un enfoque orientado a o basado en el riesgo de incumplimiento que caracteriza los modelos más actuales de responsabilidad penal de personas jurídicas¹⁴⁸. De esta manera las normas penales ya no se remitirían a un conjunto difuso de obligaciones de prevención en leyes extra-penales o usos mercantiles, sino a una valoración de cómo la organización ha identificado, valorado, analizado y gestionado sus riesgos de incumplimiento. Es decir, se trata de una lógica procedimental. Las leyes penales que regulan la responsabilidad de las personas jurídicas no son tipos penales abiertos que realizan una remisión más allá del Derecho Penal a las medidas organizativas que se deben adoptar, sino que establecen una determinada dinámica organizativa, que es sobre lo que deben versar las acusaciones y que los juzgadores deben valorar¹⁴⁹. Ello obliga al juzgador a realizar una valoración de conjunto del modelo de prevención de delitos en relación con el delito cometido: si, a pesar de la comisión del delito, la persona jurídica ha desarrollado un sistema de prevención de incumplimientos que se pueda entender razonable¹⁵⁰ y exigible de acuerdo a sus características se verá exonerada de responsabilidad. Los medios de prueba son los habituales y, al igual que sucede cuando los tipos penales hacen referencia a términos como justificación económica o empresarial o administración o gestión ordenada o racional, las periciales tendrán un peso importante para dicha valoración judicial. Como se puede apreciar, el modelo cambia sustancialmente en relación con el expuesto en el subapartado anterior que se basaba en un defecto preventivo puntual.

Dos buenos ejemplos en el ámbito latinoamericano se pueden localizar tanto en la legislación peruana (responsabilidad administrativa en el proceso penal) como chilena (responsabilidad penal), habiendo sido ambos cuerpos normativos reformados en tiempos recientes, por lo que su estudio puede ser de gran utilidad para identificar tendencias político-criminales actuales en esta materia.

La ley peruana nº 30.424 de 21 de abril de 2016 que regula la responsabilidad administrativa de las personas jurídicas en el proceso penal (y que en origen estaba pensada como tantas otras para las obligaciones con la OCDE por el delito de corrupción pública en transacciones económicas internacionales), tras su modificación mediante la ley 31.740, de 13 de mayo de 2023¹⁵¹, recoge en su art. 3 los requisitos de la responsabilidad:

Se contempla en el art. 12 una eximente privativa de la responsabilidad administrativa de la persona jurídica:

Aquí ya podemos apreciar una diferencia esencial con los modelos de responsabilidad vicarial o del principal expuestos previamente. También podemos ver cómo la referencia del cumplimiento es expresamente la organización. El modelo ha de estar no sólo adoptado, sino también implementado en la organización con anterioridad a la comisión del delito, como se viene exigiendo habitualmente en Derecho comparado.

No se puede silenciar, en todo caso, que la ley ha sido reformada, adoptando un modelo como el que se ha denominado de responsabilidad del principal cuando el delito es cometido por alguna persona situada en una posición apical¹⁵²:

En estos casos el modelo se convierte en un modelo vicarial impuro, por lo que convive este modelo cuando las personas que cometen el delito tienen “capacidad de control de la persona jurídica” con un modelo de autorregulación preventiva cuando las personas sometidas a la autoridad y control de las personas mencionadas anteriormente cometan el delito “bajo sus órdenes o autorización”. Estamos ante un modelo mixto¹⁵³, que le gusta propugnar a la OCDE para el delito de corrupción pública en actividades económicas internacionales¹⁵⁴.

La “implementación del modelo de prevención” es regulado en el art. 17 que, a su vez, tiene un reglamento de desarrollo (Decreto Supremo nº 002-2019-JUS)¹⁵⁵:

Los procedimientos de denuncia son un mecanismo más de prevención o control, en la línea, por ejemplo, del art. 26 bis de la ley administrativa 10/2010, de 28 de abril, de prevención del blanqueo de capitales y financiación del terrorismo de España. Los parentescos son evidentes, por lo que es como si la opción político-criminal por un modelo preventivo consistiera, en esencia, en extender la normativa de prevención del blanqueo de capitales y financiación del terrorismo a otras actividades delictivas como la corrupción. Esto nos da una pista de que no estamos hablando en sentido estricto de responsabilidad penal por el delito, sino de responsabilidad por no prevención del delito o por no colaborar eficazmente con el Estado en la prevención del delito. Un indicador de que no se trata de responsabilidad por un injusto penal es que la determinación de las sanciones en el modelo peruano no viene determinada principalmente por la gravedad del delito cometido, con independencia de que en el art. 14 uno de los criterios sea “la gravedad del hecho punible”.

Otro indicador de que se trata de responsabilidad puramente administrativa donde lo que se sanciona es no tener un modelo de prevención adecuado sin que exista responsabilidad por el delito es que en el art. 18 que regula la “emisión del informe técnico sobre el modelo de prevención” se contempla que

Es cierto que la actuación del fiscal ya no depende de la SMV como en la versión original, pero se trata sin duda de un fuerte componente de administrativización. Especifica este precepto que “al momento de elaborar el informe técnico se tienen en cuenta los estándares internacionales sobre el modelo de prevención y las buenas prácticas en el gobierno corporativo”. No se trata tanto de responsabilizar a la persona jurídica por un delito concreto, sino del cumplimiento de un estándar. Sobre ello es sobre lo que tendría que informar la SMV.

En el art. 30 del reglamento aparece una referencia a la “cultura organizacional” que establece la orientación prioritaria del modelo de prevención: “fomento de una cultura de confianza, integridad y de cumplimiento normativo, en todos los niveles de la persona jurídica, por sobre un enfoque represivo y de excesivo control”. Y es de destacar que entre los elementos mínimos del modelo de prevención se recogen en arts. 32 ss. elementos de un Sistema integral de gestión del cumplimiento que van más allá de la prevención como “la implementación de procedimientos que garanticen la interrupción o remediación rápida y oportuna de riesgos” donde se hace referencia a investigaciones internas o medidas disciplinarias y/o sanciones como “actividades de respuesta” y se especifica que éstas “contemplan también que los hechos presuntamente delictivos sean puestos en conocimiento de las autoridades competentes”.

Tales referencias generan dudas en el lector sobre el efecto de la eximente cuando, si bien se constaten déficits preventivos, la propia persona jurídica haya detectado el delito y reaccionado adecuadamente a dicho descubrimiento. Por ejemplo, un integrante de la organización considera que el pago de un costoso viaje a un funcionario con su familia es contrario al Código ético de la entidad debido a una formación anti-corrupción que ha recibido y denuncia los hechos a través del buzón ético de la entidad. La denuncia llega al Comité de Compliance, que inicia una investigación interna y comprueba el pago del viaje con los fondos de la compañía. Tras esa constatación sanciona a los responsables, pide al funcionario la devolución de los fondos y denuncia los hechos ante fiscalía. Además, revisa las deficiencias y refuerza el sistema de pago de viajes a directivos para que no se pueda volver a aprovechar para el pago de sobornos.

La regulación peruana aporta un supuesto paradigmático de integración de los estándares internacionales sobre Sistemas de gestión de Compliance penal en el ordenamiento jurídico, pero, en mi opinión, se pueden identificar dos deficiencias:

A) La distinción entre efectos eximentes y atenuantes dependiendo exclusivamente de si la persona física que comete el delito tiene capacidad de control de la organización.

B) No se termina de desarrollar un modelo claro sobre las consecuencias de implantar un sistema eficaz y robusto de gestión del cumplimiento de la legalidad penal una vez que se comprueban déficits preventivos. Se puede argumentar que si el reglamento concreta las exigencias no limitándose a la prevención, sino también a la detección y la reacción, éstas deberían tener relevancia para valorar la eficacia y robustez global del modelo más allá de los defectos preventivos. Pero aquí ya entramos en las posibilidades interpretativas del sistema y en terreno inseguro. Un especialista como Percy García Cavero¹⁵⁷ pone de manifiesto como, si bien en el reglamento “las acciones de mitigación no se circunscriben a medidas de prevención de delitos, sino que también abarcan aquellas dirigidas a la detección de los delitos que no se han podido prevenir para evitar la continuidad de sus efectos lesivos”, la ley por su parte establece “que, para gozar de la exención de pena, el modelo de prevención debe contar con medidas de vigilancia y control idóneas que le permitan a la persona jurídica prevenir los delitos o reducir significativamente el riesgo de su comisión”. Este desajuste lleva a García Cavero a afirmar que “podría concluirse entonces que, si bien las acciones de mitigación incluyen medidas de prevención del delito y medidas de neutralización de sus efectos lesivos, la idoneidad del modelo de prevención de cara a la obtención del beneficio de la exención de sanción se circunscribe únicamente a las medidas de prevención”. En todo caso, otra interpretación más amplia teniendo en cuenta el desarrollo reglamentario significaría que ya no estamos ante un modelo preventivo puro en el que el cumplimiento se reduce a la prevención y es discutible que el reglamento pueda modificar el modelo legal teniendo en cuenta el sistema de fuentes. Existe, pues, inseguridad sobre si incumplir el estándar preventivo supone ya responsabilidad, aunque la corporación haya detectado por sí misma los déficits y haya reaccionado adecuadamente.

La regulación más reciente de un modelo preventivo de las características que estamos exponiendo se puede encontrar en Chile¹⁵⁸. La ley 21.595 de delitos económicos y atentados contra el medio ambiente, que se ha convertido en una referencia en el debate político-criminal sobre los delitos económicos, reformó 14 años después una de las leyes pioneras en Sudamérica: la ley nº 20.393, reforma que acaba de entrar en vigor el 1 de septiembre de 2024. Se trata de un texto que abarca todos los aspectos sustantivos, procesales, de determinación de las sanciones para personas jurídicas y de su ejecución. El art. 3 de la ley reformada recoge los presupuestos de esta clase de responsabilidad penal. Establece que una persona jurídica será responsable por un delito económico, siempre que haya sido

También se establece responsabilidad en relación con otra persona jurídica “siempre que ésta le preste servicios gestionando asuntos suyos ante terceros, con o sin su representación, o carezca de autonomía operativa a su respecto, cuando entre ellas existan relaciones de propiedad o participación”, pero los requisitos materiales serían los mismos. Llama la atención la definición en coincidencia con la ley peruana del modelo de prevención como adecuado¹⁵⁹ (no, por ejemplo, como eficaz en términos que utilizan otras regulaciones como alguna mexicana) que también se suele incorporar a las normas europeas sobre diligencia debida de las empresas en materia de sostenibilidad¹⁶⁰. Esta referencia a que el modelo fuera adecuado ya existía en la versión original de la ley. A diferencia de la ley peruana, que se refiere a “un modelo de prevención adecuado a su naturaleza, riesgos, necesidades y características”, la ley chilena carece de un referente expreso para la adecuación. Se podría entender, por ejemplo, que la adecuación debe ir referida al tamaño, características y complejidad de la organización¹⁶¹ o bien a las mejores prácticas existentes (adecuación a un estándar técnico). Pero tales hipótesis no parecen compatibles con el art. 4 de la ley donde se define que el modelo de prevención de delitos es adecuado para los efectos de eximirla de responsabilidad penal cuando en la medida exigible a su objeto social, giro, tamaño, complejidad recursos y a las actividades que desarrolle, considere seria y razonablemente una serie de aspectos. Por esta razón, atendiendo a la lógica del modelo, me da la impresión de que el juicio de adecuación debe ir referido a los medios elegidos para gestionar los riesgos¹⁶². De esta manera, al igual que sucede con los deberes de diligencia en los delitos de insolvencia¹⁶³, la empresa tendrá que justificar en la investigación o el proceso penales la identificación de riesgos llevada a cabo y las decisiones que adoptó con respecto a dicha identificación. No hay un estándar jurídico -aunque el técnico sea un indicio- de cómo gestionar diligentemente los riesgos, por lo que la representación de la persona jurídica tendrá que exponer el método y procedimiento que ha empleado para que el juez valore si se adapta a las exigencias del ordenamiento jurídico. Un modelo de prevención adecuado sería el que se ha adoptado e implantado de forma seria y razonable atendiendo a las características de la organización. La referencia en el art. 4 a que se hayan considerado con seriedad y de forma razonable una serie de aspectos en la prevención de los riesgos demuestra que lo que importa es el cómo lo ha llevado a cabo la organización. Se trata de la lógica procedimental a la que ya hemos hecho referencia. Evidentemente, lo relevante no es si los documentos que se aportan son adecuados, sino el modelo en acción (lo que queda claro con la referencia a “implementación efectiva”).

Llama también la atención la desaparición de la referencia al interés o provecho de la persona jurídica_¹⁶⁴. Simplemente se añade en un último párrafo que “lo dispuesto en este artículo no tendrá aplicación cuando el hecho punible se perpetre exclusivamente en contra de la propia persona jurídica.». En este sentido la reforma chilena marca una peculiaridad en Derecho comparado¹⁶⁵, de acuerdo con una cuestión que había sido bastante discutida por la doctrina penal chilena¹⁶⁶. En un modelo preventivo es una decisión que tiene lógica.

También es de destacar que no se realizan distinciones en función de la posición de la persona física que comete el hecho delictivo dentro de la organización. En coherencia con ello en todos los supuestos se entiende que la implantación efectiva de un modelo de prevención de delitos exime de responsabilidad (art. 4) sin establecer distinciones:

Si bien existen parentescos con la regulación peruana expuesta previamente, la principal diferencia es que los deberes de control, vigilancia y supervisión ya no son personales, girando definitivamente la regulación chilena hacia una perspectiva más organizativa desvinculada de deberes a cumplir por personas concretas. De esta manera queda claro que lo relevante no es la omisión personal de deberes, sino la omisión de un modelo eficaz implantado de forma adecuada (con rigor y seriedad). Y ya no se exige expresamente que el modelo evite o prevenga el delito, sino simplemente que lo favorezca o facilite: “la perpetración del hecho se vea favorecida o facilitada por la falta de implementación efectiva de un modelo adecuado de prevención de tales delitos, por parte de la persona jurídica”. Esto debe entenderse como que el delito no se haya visto dificultado. En este sentido se podía hacer una cierta comparación con la “teoría de la diminución o reducción del riesgo” en la comisión por omisión, como correlato del “incremento del riesgo” en los delitos activos. Es decir, se tiene que acreditar que con un modelo preventivo adecuado habría sido más difícil cometer el delito o al infractor le hubiera supuesto un mayor esfuerzo. No hace falta que la condena a la persona jurídica pase por acreditar que un modelo preventivo adecuado habría evitado con seguridad la comisión del delito individual. Esto forma parte de la lógica de un modelo más organizativo que se basa en una gestión de riesgos a largo plazo y no en un déficit puntual.

Por las razones expuestas hasta aquí no creo que haya que entender el modelo chileno como una forma de participación en el delito de la persona física. La referencia de la ley a “la perpetración del hecho se vea favorecida o facilitada por la falta de implementación efectiva de un modelo adecuado de prevención de tales delitos” quiere resolver el problema práctico ya expuesto: basta para la responsabilidad penal de la persona jurídica la constatación de que el modelo no estaba bien implementado y que una implementación efectiva de un modelo adecuado de prevención habría hecho más difícil o habría exigido mayores esfuerzos para la comisión del delito, pero sin necesidad de comprobar o tener que probar que con seguridad lo habría evitado¹⁶⁷. La referencia a la facilitación o favorecimiento quiere excluir que la persona jurídica se pueda ver exonerada de responsabilidad en aquellos casos en los que no se pueda probar que una “organización correcta” habría evitado el resultado (“organización alternativa preventivamente adecuada”). Esta es una cuestión que ya se está planteando en ciertas jurisdicciones¹⁶⁸. Como ya señalé previamente, los modelos preventivos pueden optar por diversas fórmulas para constatar la relación entre el déficit preventivo de la organización y el delito individual concreto. Esta es una de las grandes cuestiones político-criminales que tiene que afrontar cualquier modelo. Reitero que considero un error establecer equivalencias estructurales entre la responsabilidad penal de las personas jurídicas y los delitos de resultado imprudentes. No tiene nada que ver la decisión de si una persona jurídica es responsable de un delito de cohecho con la imputación de una muerte a una conducta imprudente. La relación entre delito y organización nada tiene que ver con la relación entre resultado y conducta creadora de un riesgo. En el primer caso se trata de responsabilización por un delito cometido por otro y en el segundo de determinar si el resultado forma parte de la conducta infractora de la norma. Por esa razón es lógico, como ya he señalado, que un modelo que no se basa en un defecto puntual o personal no exija constatar que el modelo preventivo alternativo adecuado habría evitado con seguridad o con una seguridad rayana en la certeza la comisión del delito. Dicho de forma sencilla: El legislador chileno no quiere que una persona jurídica que no ha adoptado un modelo adecuado de prevención se vea absuelta porque no se ha podido probar con la certeza necesaria que el modelo adecuado habría podido evitar el delito.

IV.4. Valoración crítica.

Las tendencias político-criminales actuales apuntan como mejor opción a que lo que he denominado modelos preventivos tengan como referencia no un defecto puntual o coyuntural, sino la gestión de los riesgos de la organización a largo plazo. La referencia doctrinal al defecto de la organización en términos similares al tratamiento de la infracción de la norma de cuidado parece más bien desde una perspectiva actual una concepción que se debe entender históricamente como una transición hacia modelos más organizativos basados en la auto-regulación.

La cuestión relativa a que lo relevante no es una omisión puntual, sino que en la responsabilidad penal de las personas jurídicas lo relevante es el mantenimiento de la gestión o del modelo defectuoso a lo largo del tiempo se ha buscado legitimar mediante diversas referencias. Así, por ejemplo, Nieto Martín añadió en 2008 a la idea original de Tiedemann de la “culpabilidad por defecto de organización” que el defecto preventivo o de autorregulación tiene que ser permanente o, mejor dicho, estructural¹⁶⁹; otros autores han hecho referencia a la  “culpabilidad por conducción de la organización”¹⁷⁰. Pero con ello más que ofrecer un fundamento normativo de la responsabilidad corporativa, se está poniendo de manifiesto que la responsabilidad penal de la persona jurídica no tiene que ver con una decisión concreta, sino con la gestión de los riesgos de la organización a lo largo del tiempo. En esta línea, como se ha expuesto, están evolucionando los modelos preventivos a nivel legislativo. Quien no perciba esta evolución tendrá más difícil entender las tendencias más actuales en materia de responsabilidad penal de personas jurídicas.

El Estado tiene toda la legitimidad para implantar en un sistema jurídico mecanismos de Derecho Público que ayuden a la prevención de delitos en organizaciones o en el ámbito empresarial. Pero esto no es suficiente para poder definir el incumplimiento de tales expectativas como genuina responsabilidad penal. Se tratará de responsabilidad administrativa (en este caso me parece jurídicamente impecable la decisión del ordenamiento peruano o de otros ordenamientos como el colombiano¹⁷¹) o de tipo policial cuando la persona jurídica no es, en realidad, responsabilizada del delito, sino meramente de no haber activado mecanismos para la prevención de delitos. En muchos ordenamientos no estamos ante sanciones por ser responsable del delito, sino por no haber activado mecanismos de prevención. Si el modelo del principal presenta una impronta civilista con criterios como el respondeat superior, el modelo de la prevención obedece a una lógica administrativa o policial¹⁷², que podría ser tan eficiente como el Derecho Penal para proteger bienes jurídicos (o, incluso, más). Nieto Martín coincide en que en este modelo que define como “modelo de autorregulación preventiva eficiente” “la sanción debe estar ubicada prioritariamente en el derecho sancionador administrativo”¹⁷³.

El segundo submodelo expuesto dentro de la lógica preventiva, que adopta una perspectiva más organizativa, se puede definir como un modelo de autorresponsabilidad limitado, pero considero que tiene el defecto de que a efectos de valoración de la responsabilidad penal de la persona jurídica desatiende aspectos importantes como la detección (funcionamiento de sistemas internos de información, investigaciones internas, etc.) y la reacción frente al delito (sanciones, acciones correctivas, etc.). Aunque estos aspectos podrían tener relevancia para atenuar la sanción, tal efecto pudiera ser insuficiente, al menos en algunos casos. La mera prevención no atiende a todos los aspectos relevantes para valorar el cumplimiento normativo de una organización. Se puede entender la prevención en un sentido amplio, como indican algunas regulaciones que introducen elementos en esta dirección y exigen controles de alto nivel (canales de denuncias, sanciones, etc.), pero esto parece indicar más bien una evolución hacia otro tipo de modelos que se expondrán posteriormente y que, en mi opinión, dan una vuelta de tuerca más en el sentido correcto a la idea de autorresponsabilidad.

En conclusión, es mejor un modelo basado en la prevención que un modelo basado en la responsabilidad del principal en sus diversas variantes porque estamos trabajando ya con una lógica de Derecho público y no de Derecho privado, pero eso no significa que se pueda hablar de una responsabilidad que se merezca el calificativo de penal y que implique la responsabilización de la persona jurídica por el hecho desvalorado como delito.

Creo que recurrir en sentido crítico a la imagen del delito imprudente nos puede servir para entender mejor esta objeción contra la aceptación extendida de la “culpabilidad por defecto de organización” como déficit de prevención. Existe en este contexto de legitimación un amplio acuerdo en entender que la gestión eficiente, adecuada o razonable de los riesgos de la organización sería algo equivalente al “riesgo permitido”¹⁷⁴, incluso aunque el riesgo se materialice en el resultado (en este caso, el delito individual). Eso entronca con la debida diligencia. Riesgo permitido sería otra forma de definir la diligencia debida. La idea de que no debe responder ni, por tanto, sufrir una pena el que ha creado riesgos de forma permitida tiene indudablemente un fondo correcto. El problema surge si vemos la cuestión desde el punto de vista de la fundamentación: ¿Toda persona que crea de forma no permitida un riesgo o no ha sido diligente es siempre culpable? ¿El que conduce a 60 km./h en una zona con límite de 50 km/h ha hecho todo lo necesario para ser culpable? ¿Podemos conformarnos para la culpabilidad con constatar que se ha creado un riesgo no amparado por el ordenamiento primario o el estándar técnico? Quien conteste negativamente estas preguntas se dará cuenta de que el modelo que he denominado como preventivo encierra algo que no resulta satisfactorio. Desde el ámbito de la responsabilidad individual sería difícil admitir tales conclusiones que van en contra de todos los elementos que hemos desarrollado tradicionalmente en la teoría jurídica del delito como presupuesto de la pena. Un descuido preventivo no siempre es suficiente para responsabilizar penalmente a alguien de un hecho.  Se puede pensar que con las personas jurídicas es diferente, pero corren con la carga de la argumentación los que se conformen con una responsabilidad penal de carácter tan formal.

Si el cumplimiento se reduce a la prevención ex ante no se discrimina entre casos diferentes una vez que se constatan fallos preventivos. Por ejemplo, entre que la organización detecte los hechos gracias a los mecanismos implantados, a la concienciación y a la formación y reaccione adecuadamente en virtud de su robusta cultura de cumplimiento o, por el contrario, que los hechos sean descubiertos por las autoridades y la persona jurídica se limite a responder a los requerimientos de las autoridades para evitar males mayores como entradas y registros, pero sin adoptar ningún tipo de iniciativa colaborativa o interna. Si el modelo legal de responsabilidad penal de personas jurídicas se centra exclusivamente en la prevención, no queda garantizado que la implantación de un robusto sistema de cumplimiento de la legalidad penal que no se reduzca a la prevención y sea más completo excluya la responsabilidad y, por tanto, evite la sanción si se detecta algún defecto preventivo.  Sólo en la medida en la que el modelo se entienda de forma más amplia -no sólo como un modelo de prevención- las soluciones podrán acercarse a las de otros modelos que vamos a exponer posteriormente, que me parece político-criminalmente más satisfactorios. Pero eso significa, en mi opinión, que el modelo preventivo se va convirtiendo en más satisfactorio a medida que va perdiendo sus características esenciales y evoluciona hacia otro tipo de modelo. Tal como sucede con los modelos vicariales, que van paliando sus defectos a medida que se van haciendo menos vicariales y pierden su pureza como tales. Ello nos demuestra que se trata de modelos cuyos defectos se pueden corregir en cierta medida, pero que cuya lógica tiene problemas tanto normativos y de legitimidad de partida como prácticos en cuanto a sus consecuencias que son insalvables.

IV.5. Conclusiones.

Los modelos preventivos mixtos, que excluyen de exoneración de responsabilidad los delitos cometidos por los niveles directivos de la empresa y la limitan a los subordinados son incoherentes y siguen manteniendo, aunque sea parcialmente, los problemas de los modelos vicariales.

Los modelos preventivos puros logran paliar parte de estos problemas, pero siguen incurriendo en una cierta supra-inclusión. Este aspecto práctico negativo se va diluyendo a medida que se contemplan exclusiones propias y autónomas de la responsabilidad que tengan en cuenta no sólo la prevención de delitos, sino también una gestión global de riesgos penales que abarque también su detección y la reacción adecuada tras la identificación de que el riesgo de cumplimiento se ha materializado.

V. La culpabilidad por el carácter de la organización o de la corporación.

V.1. Descripción.

Un sector minoritario de la doctrina convierte el carácter criminógeno de la organización o de la agrupación en una especie de “culpabilidad por el carácter”¹⁷⁵, solución que se entiende más apropiada para las personas jurídicas donde sólo se podría hablar de forma figurada o metafórica de una “culpabilidad por la voluntad”. A diferencia de los modelos expuestos previamente, aquí sí que se pretende ofrecer una fundamentación a la culpabilidad como presupuesto de la pena corporativa. Para ello se aprovecha una vía de legitimación tradicional de la responsabilidad moral.

Es una constante en la teoría jurídica del delito que cuando no se puede recurrir como fundamento a la “culpabilidad por la voluntad libre” se suele recurrir como alternativa a la “culpabilidad por el carácter” (por ejemplo, en el ámbito de la imprudencia inconsciente). Se asume de esta manera una agencia de la persona jurídica (como patrimonio con agencia) o de la organización al margen de la libre voluntad que caracterizaría a los seres humanos. La culpabilidad tiene que ver desde esta perspectiva con una personalidad o con un carácter corporativo propio que se valora o califica como defectuoso que ya no resulta posible sub-dividir o reconducir a personalidades o caracteres individuales. La idea ha sido muy bien formulada por Juan Pablo Mañalich basándose en la dimensión de la persona jurídica como “hecho institucional” en el sentido formulado por Searle: “Las personas jurídicas son, esencialmente, personas institucionales, esto es, personas cuya existencia está enteramente construida   –sin que esto la haga menos «real»– sobre un complejo artefacto de prácticas, reglas y convenciones que generan, distintivamente, determinadas posibilidades y contextos de acción previamente inexistentes”¹⁷⁶. Este autor, a raíz de la entrada en vigor en Chile de la ley 20.393 en el año 2009, entendió la persona jurídica como sujeto y no como objeto de responsabilidad jurídico-penal con base en esta idea. Mediante la referencia a la culpabilidad por el carácter ya se da un paso definitivo hacia una auto-responsabilidad de la corporación con una fundamentación diferenciada y totalmente ajena a la culpabilidad de sus componentes. El carácter de la corporación se ve influido y se puede ver modificado por acciones individuales, pero no depende directamente de dichas conductas individuales¹⁷⁷.

Es altamente discutible que la agencia de los seres humanos se pueda construir sobre un libre albedrío indeterminado como causa incausada, pero esta cuestión no puede ser abordada aquí¹⁷⁸. Se tratará esta fundamentación basada en el carácter y su rendimiento en el ámbito de la responsabilidad corporativa con independencia de la fundamentación que se pueda otorgar a la culpabilidad individual.

La crítica extendida y fácil a esta posición por parte de la doctrina dominante es que este fundamento debería ser rechazado por las mismas razones por las que se rechaza para la culpabilidad individual y éstas se centran en que la “culpabilidad por el carácter” es incompatible con la “culpabilidad por el hecho”. No es que comparta la fundamentación de la culpabilidad que estoy exponiendo, pero considero tal crítica tan injusta como precipitada. La “culpabilidad por el carácter” o “culpabilidad por la personalidad” de bases deterministas no implica que no se responda por un hecho, sino que se contrapone a la idea de la “culpabilidad por la voluntad libre” de presupuestos indeterministas¹⁷⁹. En mi opinión es un error -bastante extendido- entender que la culpabilidad por el carácter implica un Derecho Penal de autor incompatible con un Derecho Penal de la culpabilidad por el hecho. Sin embargo, el “por” no hace referencia al objeto de la responsabilidad, sino a su fundamento. El carácter o la personalidad ocupan el lugar del libre albedrío en la fundamentación, pero no del hecho. Es cierto que se diluye la vinculación con una decisión puntual, pero ello no significa que el objeto de la responsabilidad no sea un hecho concreto (un acto de corrupción, un fraude, etc.).

En este sentido, hay que tener cuidado en el debate doctrinal sobre la ambigüedad de la proposición “por”. Si se ha afirmado previamente que la culpabilidad por defecto de organización no ofrece un fundamento de la culpabilidad, sino que cambia el objeto de la responsabilidad (la persona jurídica no responde por la comisión del delito, sino por su no evitación), con la culpabilidad por el carácter sucede exactamente lo contrario: se ofrece un fundamento, pero ello no presupone cuál es el hecho propio de la organización. La persona jurídica responde por el carácter puesto de manifiesto a través del hecho delictivo. Se trata de un uso opuesto de la palabra “por” a la hora de ofrecer soluciones dogmáticas. La “culpabilidad por defecto de la organización” cambia el objeto de la responsabilidad (omisión preventiva), pero no otorga un fundamento. Por su parte, la culpabilidad por el carácter proporciona un posible fundamento que podría ser válido para diversos hechos. También para ser responsable del hecho tipificado como delito.

La culpabilidad por el carácter o la personalidad es una opción determinista que parte del reconocimiento de que la culpabilidad tiene pasado y que no surge segundos o minutos antes del hecho. El sujeto no puede hacer algo distinto en una determinada situación porque es como es. En consonancia, la culpabilidad por el carácter entiende que existe responsabilidad si la decisión o la acción serían distintas si el carácter fuera otro o el sujeto tuviera una personalidad distinta. Es una teoría que surge de las aporías del indeterminismo. Desde un punto de vista filosófico vincula al autor con su hecho en un mundo determinista. La acción sólo podría ser distinta si el sujeto fuera otro (en términos modernos, si su cerebro fuera otro), por lo que el hecho obedece a su carácter defectuoso. Las neurociencias (neurobiología, neurofisiología, etc.) respaldan el punto de vista determinista de esta teoría, lo cual no significa que normativamente fundamente de forma adecuada la culpabilidad. El delito no estaría -o no estaría solo- determinado por factores externos, sino también – o básicamente- por el propio carácter del autor, que esta teoría entiende que puede ser objeto de reproche. Precisamente lo que tienen en común las diversas modalidades de culpabilidad por el carácter es que el reproche se vincula al carácter defectuoso del autor. El delito tendría su origen y explicación no en la voluntad libre, sino en el carácter del autor. Esta teoría parte del presupuesto de que cada uno es responsable del carácter o de la personalidad que le ha llevado a delinquir en un determinado momento. Lo propio por lo que se debe responder no es la voluntad, sino el carácter o la personalidad ya que sólo siendo otra persona se podría haber actuado de otra manera. No se responde por un uso defectuoso puntual de la libertad, sino por ser como se es. No se trata de si el sujeto en la situación podía actuar de otra manera, sino que sólo siendo una persona distinta habría podido querer algo distinto y actuar de otra manera. Sólo siendo otro podría haber realizado una acción distinta. Entiende esta perspectiva que es incumbencia de cada uno controlar su propio carácter o configurar su forma de ser.

La culpabilidad por el carácter no implica necesariamente que el infractor no responda por un hecho. Lo que sucede es que lo relevante deja de ser la voluntad puntual manifestada a través del hecho, para serlo la personalidad o el carácter. Lo que cambia es el elemento personal relevante para la responsabilidad.

Aunque se suele identificar por muchos autores la culpabilidad por el carácter con la tesis de la culpabilidad por conducción de vida como configuración defectuosa previa de la propia vida que se puede reconducir en última instancia a la Ética a Nicómano de Aristóteles, dicha identificación es precipitada. La culpabilidad por el carácter no traslada necesariamente el momento de la culpabilidad a una fase previa en el tiempo, sino que permitiría hacer responsable al sujeto en el momento que realiza el hecho que estaba determinado por su carácter. Por ello pecan de simplistas las críticas que equiparan en el debate sobre la responsabilidad de las personas jurídicas “culpabilidad por conducción de la organización” y “culpabilidad por el carácter”, aunque existan puntos de contacto. En el ámbito de las personas físicas muchos partidarios de la culpabilidad por el carácter han recurrido a la conducción de vida, pero la vinculación es contingente. La conducción de vida o de la organización es una forma de seguir vinculando el delito a decisiones ocurridas previamente en el tiempo, pero no tiene que ser la única forma de fundamentar por qué una persona o una organización debe responder por su carácter o su personalidad en el momento de los hechos.

Si aprovechamos estas ideas en este contexto de la responsabilidad corporativa, la persona jurídica sería responsable del delito cometido por una persona física cuando ciertas características intrínsecas de la organización o la corporación hayan tenido influencia en la comisión del delito. La persona jurídica responde por ciertas características intrínsecas y permanentes manifestadas a través del hecho delictivo de la persona física como síntoma. No responde, por el contrario, cuando el delito es ajeno a su carácter.

Si entendemos la referencia al carácter como un símil y buscamos modernizar esta idea con las aportaciones de la sociología de la organización y nuevas tendencias en Derecho comparado, el carácter corporativo se podría definir como una “cultura corporativa de incumplimiento del Derecho”. La persona jurídica responderá cuando el delito se ha producido debido a que la organización dispone de una cultura de incumplimiento¹⁸⁰. Es decir, con una cultura distinta el delito no se habría producido o sería menos probable que se hubiera cometido. De esta manera la gestión defectuosa de los riesgos de incumplimiento por parte de la organización se vincula a la cultura corporativa como algo que no es incumbencia de los individuos, sino de la persona jurídica. No responde la persona jurídica por la falta de fidelidad o disposición de los individuos (por los sesgos cognitivos y afectivos o emocionales individuales), sino por “su propia cultura defectuosa”.

Un modelo de esta regulación lo podríamos encontrar en el Código Penal federal australiano que estableció en los años noventa con respecto a organizaciones “que ese requisito de culpabilidad deberá ser imputado a una entidad corporativa que expresa, tácita o implícitamente autorizó o permitió la comisión del delito” y, adicionalmente, que “los medios a través de los cuales puede establecer dicha autorización o permisión incluyen: “la prueba de que existía una cultura corporativa en la entidad corporativa que dirigía, incitaba, toleraba o guiaba hacia el no-cumplimiento de la disposición normativa correspondiente”¹⁸¹. Esta idea influyó en el Decreto legislativo italiano del año 2001 que ha tenido, a su vez, una influencia decisiva en la actual versión del Código Penal español.

V.2. Valoración crítica.

En mi opinión, las críticas a la culpabilidad por el carácter son las mismas que se pueden hacer a esta fundamentación de la culpabilidad cuando se trata de individuos¹⁸². Ya he señalado que son injustas las críticas de que se incurre en un Derecho Penal de autor incompatible con un Derecho Penal de la culpabilidad por el hecho.

Como teoría jurídica el problema de legitimidad es que no ofrece una fundamentación normativa suficiente para dicha incumbencia sobre el carácter o para delimitar la responsabilidad de la casualidad. La referencia al carácter por sí mismo es insuficiente como presupuesto de una pena. No existe asidero para fundamentar la culpabilidad en una auto-responsabilidad. ¿En qué medida se puede hacer responsable a una persona jurídica del carácter de la organización que se ha ido formando a lo largo del tiempo? Engisch, uno de los grandes teóricos de esta línea de legitimación, fue un precursor de las teorías que vinculan la culpabilidad a los fines o la función de la pena al entender que no existía culpabilidad allí donde a través del hecho se ha manifestado un carácter que no necesita ser influido por medio de la imposición de la pena¹⁸³. Pero de esta manera volvemos a desembocar a una orientación básica de las sanciones corporativas a la prevención especial: se impondría la sanción cuando fuera necesario combatir un carácter criminógeno o una “filosofía empresarial” criminógena como lo formulaba Lampe, quedando en otros casos las corporaciones impunes. Ya hemos puesto de manifiesto al analizar las teorías mixtas o intermedias que ello genera una insatisfactoria infrainclusión.

Lo que aporta la idea de la culpabilidad por el carácter es que tradicionalmente, a diferencia de la culpabilidad basada en una voluntad libre e indeterminada y la posibilidad puntual de obrar de otro modo, se caracteriza por tratarse de una teoría que tiene una “perspectiva holística” y con un alcance temporal amplio que permite valorar la culpabilidad como un proceso dinámico que lleva a la responsabilidad. Esta perspectiva presenta puntos de contacto con las teorías más organizativas de la prevención que ya fueron expuestas previamente, pero permitiendo que la detección y la reacción frente al delito se conviertan en aspectos a tener en consideración.

Los problemas expuestos subsisten aunque modernicemos la tradicional idea del carácter con la referencia a una cultura de incumplimiento de la organización. Esta lógica se encuadra perfectamente en un sistema orientado a la prevención especial para corregir o combatir dicha cultura de incumplimiento. Pero el Código Penal español y otras regulaciones similares encajan mejor con una responsabilización de la persona jurídica por el hecho delictivo y una pena de multa que tiene efectos preventivo-generales o de estabilización de la norma o, al menos, donde la prevención especial tiene un papel secundario para legitimar ciertas medidas interdictivas complementarias. Es decir, en un subsistema penal que persigue un cumplimiento normativo generalizado en las organizaciones más que en reestructuraciones o reorganizaciones de personas jurídicas concretas.

El propio promotor de la idea de la cultura de incumplimiento como presupuesto de la pena en la doctrina española, Gómez-Jara¹⁸⁴, ha renunciado a “culpabilidad de la persona jurídica por establecer una cultura de incumplimiento de la legalidad” que caracterizaba sus propuestas iniciales y que estaba fronteriza a la “actitud criminógena de grupo”¹⁸⁵ o a la idea de una cultura corporativa criminógena (combate de cara al futuro de factores criminógenos internos o estructuras deficitarias criminógenas) porque considera que modelos como el español quedan mejor definidos con la referencia a una cultura de cumplimiento de la legalidad defectuosa.

La culpabilidad por el carácter aporta como puntos de vista positivos la visión a largo plazo o estructural de los defectos de la organización jurídico-penalmente relevantes. Sin embargo, creo que precisa una mayor concreción y vinculación con el cumplimiento normativo. La idea se puede formular en sentido negativo con respecto a la exención de responsabilidad. Quedan más claras y concretadas las expectativas respecto de las personas jurídicas mediante la referencia a sistemas de cumplimiento de la legalidad penal que a sistemas de gestión de gestión del carácter corporativo, que tiene un contenido más ambiguo. Lo que aporta de positivo la responsabilidad por el carácter se podría conseguir mediante otro tipo de referencias menos antropomórficas.

Llegados a este punto es posible hacer un balance de las reflexiones críticas realizadas hasta el momento.

VI. Balance.

VI.1. La aparición de legislaciones que dan un paso definitivo de la hetero-responsabilidad a la auto-responsabilidad y hacen a la persona jurídica directamente responsable de hechos delictivos. Especial referencia al Código Penal español y ordenamientos similares.

De acuerdo con la exposición realizada, considero que los modelos teóricos expuestos previamente no permiten ofrecer una explicación dogmática satisfactoria de las normas del Código Penal español que establecen la responsabilidad penal de la persona jurídica. El ordenamiento español en esta materia forma parte de una serie de nuevas regulaciones para las que no son válidos los criterios tradicionales para la responsabilización por daños materiales o de responsabilidad civil extracontractual, no están orientadas preferentemente a la prevención especial y no reducen las expectativas jurídicas a la mera prevención. Dicho de forma sencilla, si las posiciones expuestas previamente fueran las únicas posibles bajo la etiqueta penal estarían circulando normas y criterios de imputación propios del Derecho civil, administrativo o de policía. Por tanto, tendrían razón quienes afirman que no se trata de responsabilidad penal y las sanciones no son penas.

Sin embargo, diversos ordenamientos han ido avanzando hacia un modelo donde la pena no se impone a la persona jurídica por no prevenir delitos -de forma directa o indirecta-, sino porque es responsabilizada por el delito como un hecho propio. La sanción corporativa es denominada como pena porque se impone con carácter retrospectivo (no prospectivo) y la persona jurídica es responsabilizada de un hecho delictivo con un fundamento propio ajeno a la culpabilidad individual. La mera no-prevención quedaría relegada al Derecho administrativo o al Derecho de policía (por ejemplo, no es lo mismo una sanción administrativa por la infracción de la ley de prevención del blanqueo de capitales y financiación del terrorismo que una pena por ser responsable de un delito de blanqueo). Una consecuencia natural es que se trata de modelos especialmente exigentes en cuanto a la responsabilidad. Esto deriva de que, en una lógica ya estrictamente jurídico-penal, no puede haber pena para la persona jurídica sin una responsabilidad propia por el hecho delictivo y la pena ha de ser proporcional a la gravedad del hecho y de la propia responsabilidad de la persona jurídica (no de los individuos). Sólo bajo tal lógica es legítimo hablar de responsabilidad penal corporativa en sentido estricto: de delito corporativo (en el sentido de la teoría jurídica del delito y no de un delito autónomo¹⁸⁶) y de pena corporativa. El ordenamiento español y otros afines han convertido estas premisas irrenunciables en Derecho positivo.

De esta manera las legislaciones que se pueden caracterizar bajo este tipo de modelos ofrecen criterios, por un lado, para identificar cuándo nos encontramos ante un hecho propio de la organización y, por otro, para excluir la responsabilidad aunque los riesgos de incumplimiento se materialicen. En una lógica jurídica, estos últimos criterios sirven también para atenuar la pena (eximentes incompletas). Bajo estos parámetros doctrina y jurisprudencia tendrían por delante como empresa el desarrollo de una teoría jurídica del delito corporativo que sistematice estos criterios, que no tiene que ser idéntica en su contenido a la teoría jurídica del delito de las personas físicas, pero sí debe ofrecer criterios normativos consistentes que permitan justificar la imposición de una pena a una concreta persona jurídica, de tal manera que hagan que la pena se pueda entender como merecida y no sólo preventivamente necesaria o útil. Los fines preventivos ofrecen una fundamentación basada en la necesidad social, pero no una justificación individualizada de por qué una persona jurídica concreta debe responder por un hecho concreto.

Estos modelos a los que estoy haciendo referencia permiten romper definitivamente la identificación entre individuo y organización que ha lastrado las regulaciones clásicas de la responsabilidad penal de las personas jurídicas, diferenciando totalmente entre responsabilidad individual y responsabilidad corporativa. El delito de la persona física no es más que un presupuesto de partida para la responsabilidad corporativa. Además, tienen que existir otros elementos vinculados a la propia corporación. La responsabilidad penal de la persona jurídica tiene como punto de partida ese delito individual, pero las razones de dicha responsabilidad son autónomas de la culpabilidad individual. Esto ya nada tiene que ver con una lógica vicarial. Se ha de excluir la responsabilidad penal de la corporación (no sólo la punibilidad¹⁸⁷) en aquellos casos en los que exista realmente un sistema o modelo de organización y gestión del cumplimiento de la legalidad penal eficaz y robusto. Esta conclusión puede ser adoptada en cualquier momento del procedimiento. No hace falta esperar al juicio si está claro desde un principio que la condena es imposible¹⁸⁸. Por otro lado, la persona jurídica no se verá exenta de responsabilidad si no se puede acreditar una cultura de incumplimiento o criminógena o un estado de cosas peligroso. Estos aspectos sólo afectan a la posibilidad de imponer sanciones complementarias de la multa orientadas a la prevención especial (suspensión o prohibición de actividades, clausura, intervención judicial, etc.), pero no a la propia responsabilidad corporativa por el hecho típico y antijurídico.

Esbozaré a continuación algunos puntos esenciales para desarrollar estas ideas y que permitirían un alejamiento, de tener éxito tal empresa, de las deficiencias puestas de manifiesto en páginas anteriores.

Creo que en el Código Penal español tenemos un buen ejemplo de un modelo de auto-responsabilidad como al que se está haciendo referencia¹⁸⁹. Al menos es compatible con tal modelo. Sobre todo teniendo en cuenta la evolución desde su regulación original en 2010 hasta la actual tras la reforma operada mediante la LO 1/2015, enormemente influida por el Decreto Legislativo italiano de 8 de junio de 2001, n. 231¹⁹⁰. Un modelo idéntico al de 2015 ha sido incorporado en México por los Códigos penales de Yucatán (arts. 16 bis ss.) y de Quintana Roo (arts. 18 bis ss.)¹⁹¹. Merece la pena detenerse, sin embargo, en la evolución del ordenamiento español. La versión de 2010 no contemplaba exenciones o eximentes propias y autónomas de la responsabilidad para las personas jurídicas y las atenuantes tenían que ver todas con actuaciones postdelictivas¹⁹². Con base en principios penales y constitucionales generales y la contemplación de una atenuante postdelictiva un sector doctrinal interpretábamos ya el modelo como de auto-responsabilidad¹⁹³, tal como consagró posteriormente la reforma de 2015. Pero esta no era ni mucho menos la posición dominante¹⁹⁴. El tenor literal de la ley proporcionaba ciertos argumentos para defender un modelo del principal o un modelo muy limitado de auto-responsabilidad, tal como sostuvieron inicialmente un abundante sector doctrinal y la Circular de la Fiscalía General del Estado 1/2011.

La primera versión de 2010 sólo exigía en los casos de delitos cometidos por representantes legales o administradores que la acción se realizara en nombre y por cuenta de la persona jurídica y en su provecho. En el caso de las personas sometidas a la autoridad de éstos, que los representantes legales o administradores no hubieran ejercido el debido control. Se trataba de una responsabilidad de la persona jurídica enormemente vinculada a la actuación de los máximos responsables de la organización, bien por cometer directamente el delito o por incumplimiento de los deberes de control.

En la versión vigente a partir del 1 de julio de 2015 la exención de responsabilidad gira alrededor de la adopción y ejecución con eficacia de modelos de organización y gestión¹⁹⁵. Es de destacar que se especifica que dichos modelos han de incluir “las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión” o se utiliza la expresión “modelos de organización y de prevención”¹⁹⁶. No afirma la ley que los modelos consistan en exclusiva en las medidas de vigilancia y control idóneas para prevenir delitos, sino que tales medidas son una parte integrante de los modelos. De hecho se exige que el modelo debe tener componentes que ya no se reducen a la prevención como establecer un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo. Por consiguiente, no se trata de un mero modelo de prevención o se trata de un modelo que no se puede reconducir exclusivamente a la prevención de delitos¹⁹⁷. El propio tenor de la ley pone de manifiesto que el cumplimiento no se agota, por lo tanto, en la prevención. De esta manera, si la exención de responsabilidad tiene más aspectos que la prevención en sentido estricto, una consecuencia lógica y posible con la regulación vigente es que se podrá excluir la responsabilidad de la persona jurídica si los defectos preventivos quedan compensados con un funcionamiento global correcto del sistema o modelo de cumplimiento normativo¹⁹⁸.

Estas características obligan a huir de fundamentaciones basadas en la hetero-responsabilidad, de la prevención especial basada en la idea de la organización como una “cosa peligrosa” y a superar una visión exclusivamente preventiva de la responsabilidad corporativa. Es decir, de las posiciones que se han estado criticando previamente en los apartado II a IV.

VI.2. Las personas jurídicas responsables: Organización con estructura defectuosa de cumplimiento de la legalidad penal.

Ya he señalado previamente como la concepción de la organización como objeto peligroso o factor criminógeno no resulta acorde con los tiempos. Tal visión negativa debería conllevar una intervención estatal tan poco compatible como peligrosa para la libertad de empresa en el marco de la economía de mercado (art. 38 CE) . Por su parte, la referencia a un carácter o cultura de incumplimiento como fundamento de la pena indica una tendencia o intención acertada, pero no acaba de ser dogmáticamente satisfactoria ni explica adecuadamente los cambios que se están produciendo en Derecho comparado en relación con la responsabilidad penal de las personas jurídicas.

Esto nos lleva al planteamiento de la siguiente pregunta: ¿Por qué de repente un cambio tan radical en el Siglo XXI alterando 200 años de tradición codificada? Como he defendido previamente en el apartado III.4, creo que la respuesta hay que encontrarla en un profundo cambio de la visión que los ordenamientos jurídicos han ido incorporando progresivamente en los últimos años de la personalidad jurídica como institución, modificación que está siendo protagonizada por el papel social que le corresponde a las sociedades cotizadas o emisoras¹⁹⁹. Tal cambio se podría formular en lo que nos interesa de la siguiente manera: el mantenimiento de la juridicidad ya no es una cuestión puramente individual, sino que también incumbe a las organizaciones con personalidad jurídica (grandes corporaciones²⁰⁰). Si esto es así, las corporaciones también pueden ser responsabilizadas de la (des)estabilización de las normas penales, de tal manera que bajo ciertas condiciones pueden ser hechas responsables -al margen de la responsabilidad individual- de la puesta en entredicho de normas como la prohibición de corromper o de engañar a los consumidores. Ya no se trata tanto de combatir estructuras criminógenas, sino estructuras deficitarias desde el punto de vista del cumplimiento normativo. La exigencia ya no se limita a que las organizaciones con personalidad jurídica no sean organizaciones criminales o criminógenas, sino que se trata de que sean gestionadas para que las actividades sociales se desarrollen de conformidad con la legalidad. De esta manera, la persona jurídica (que es el sujeto que sufre la pena), no es un garante para prevenir delitos puntuales de personas físicas como en el modelo de la prevención, sino que su responsabilidad tiene un alcance más amplio ya que parte del presupuesto de que es garante o incumbente de mantener la juridicidad de la organización, es decir, el cumplimiento normativo. Esta nueva incumbencia es la que da pie a convertir a las corporaciones en sujetos en sentido jurídico-penal. Todo ello tiene que ver con una determinada lógica social propia de este siglo. Con esta perspectiva una exclusión relacionada con la gestión del cumplimiento normativo no es ningún elemento extraño, sino que cae por su propio peso como fruta madura. Como ya he señalado previamente, creo que la referencia al carácter no da fe de todas estas profundas cuestiones normativas.

Desde este punto de vista no hay problema alguno en afirmar que puede darse una gestión idónea del cumplimiento normativo aunque puntualmente una persona física cometa un hecho delictivo. Los modelos vicariales o que se basan en que la persona jurídica es el principal del infractor tienen problema con esta conclusión. Los modelos preventivos se enfrentan a estos mismos problemas en cuanto se detecta un fallo preventivo.

El caso paradigmático de responsabilidad penal corporativa sería cuando el órgano de gobierno ha impuesto o tolerado una dinámica delictiva general en la organización (por ejemplo, sistema de corrupción como los de Siemens a principios de este siglo o, más recientemente, de la constructora Odebrecht con su eufemístico “Departamento de Operaciones Estructuradas”). Por ejemplo, si un administrador de una sociedad emisora o cotizada da instrucciones para que la organización al completo participe en proporcionar información falsa al mercado de forma delictiva (arts. 282 bis, 284 CP) y la organización se pliega sin inconveniente al plan delictivo, será poco viable exonerar de responsabilidad a la persona jurídica. Sin embargo, si los servicios técnicos de la persona jurídica (departamento económico-administrativo, de contabilidad, etc.) habían confeccionado información financiera correcta sobre la situación de la entidad y el Consejero Delegado por su cuenta, saltándose de forma torticera y fraudulenta los procedimientos y protocolos de información financiera que hubieran impedido comunicar dicha información, declara ante la prensa una información más favorable que la generada por la propia organización, la persona jurídica se podrá desligar de dicho hecho, aunque sea en beneficio de la entidad y el Consejero Delegado haya realizado la declaración falsa en el marco de sus funciones. La exención es más evidente si la propia entidad, en cuanto se entera de la información falsa, lo pone inmediatamente en conocimiento del mercado y reacciona para minimizar el impacto de la noticia falsa. Este ejemplo demuestra que los criterios de representación o identificación no son los esenciales. Puede que ello sea suficiente para que la sociedad mercantil tenga que indemnizar civilmente a los que invirtieron confiando en la información falsa, pero ello no significa que tenga que responder penalmente si ha existido elusión fraudulenta de procedimientos y controles, detección autónoma y reacción adecuada e inmediata en cuanto se ha detectado la falsedad de la información²⁰¹. Por esta razón los ordenamientos que siguiendo una lógica vicarial hacen responder a la persona jurídica sin excepciones de los delitos de sus administradores o cargos o funciones de alto nivel son, en mi opinión, insatisfactorios.

En mi opinión, una responsabilidad que se merezca el calificativo de penal debe sumar a la perspectiva organizativa de la gestión de riesgos de incumplimiento, la implantación de una estructura (complementaria del negocio), un sistema o un modelo de gestión del cumplimiento de la legalidad que abarque no sólo la prevención de delitos, sino también su detección y gestión con posterioridad a la detección²⁰². Como exigen la mayoría de los ordenamientos con referencias a una implantación o ejecución eficaz, no se trata de que el sistema o el modelo se encuentren recogidos en documentos (aunque la información documentada sea importante), sino de que se encuentren efectivamente implantados en la organización y determinen su funcionamiento cotidiano. Creo que esta dimensión realista y no meramente formal es lo que se quiere poner de manifiesto con expresiones como “cultura de cumplimiento”²⁰³. Ésta no es más que el resultado positivo de la implantación de estructuras, sistemas o modelos de cumplimiento. Pero la denominación es un medio de comprensión, no un fin en sí mismo.

Si se tiene esto claro la prueba documental (información documental sobre el programa o sistema de cumplimiento) tiene un valor enormemente relativo y más bien indiciario en cualquier fase del procedimiento con respecto a esta cuestión. Esto es así porque no se trata de tener un programa de cumplimiento, sino de que la organización funcione de conformidad con la legalidad porque así se ha planificado y gestionado. El defecto estructural se puede probar de muy variadas maneras, incluyendo la prueba de indicios (por ejemplo, extensión en el tiempo de la dinámica delictiva o la participación de diversos niveles de la organización). Si la cuestión esencial de la responsabilidad corporativa tiene que ver con dicha estructura de la organización la representación procesal de la persona jurídica debería tener margen para hacer alegaciones sobre su cultura corporativa o estructura de cumplimiento de la legalidad penal y se debe practicar prueba sobre su sistema de gestión de Compliance penal para llegar a la conclusión de si debe ser hecha responsable. Si la persona jurídica se ha organizado como era exigible no tiene sentido la pena. Considero que ciertas opiniones que afirman que se debería invertir la carga de la prueba ya que sólo las personas jurídica puede aportar la información documentada sobre su sistema o modelo de cumplimiento se basan en una errónea comprensión de la responsabilidad corporativa. Esta no tiene nada que ver con tener o no tener, por lo que la prueba no tiene que ver con que si la persona jurídica tiene o no tiene, sino cómo es su funcionamiento cotidiano²⁰⁴. Que la mera apariencia de tener un sistema o modelo (lo que se suele denominar como Compliance cosmético o en el papel) no puede excluir de responsabilidad no es más que una obviedad que aburre. La carga sobre un funcionamiento deficiente de la organización en materia de cumplimiento corresponde a la acusación porque es la esencia de la responsabilidad corporativa²⁰⁵. Para ello no es imprescindible presentar ningún documento concreto.

En mi concepción la responsabilidad penal de las personas jurídicas plantea dos cuestiones que debe ser diferenciadas. Una es bajo qué criterios el delito individual se convierte en un hecho propio de la organización y otra si la persona jurídica puede ser hecha responsable de ese hecho y, por consiguiente, debe recibir la imposición de la pena. De acuerdo con esta idea la persona jurídica no responde tanto en aquellos casos en que el delito no es un hecho propio de la organización como en los que disponía de un adecuado modelo de organización y gestión respecto al hecho acaecido.

Esta dualidad de cuestiones dogmáticas debería permitir diferenciar los criterios de imputación para entender que el delito es un hecho de la organización de aquellos que tienen que ver con la responsabilidad estructural de la persona jurídica por el hecho. Por ejemplo, la vinculación funcional o el beneficio son criterios que determinan que no estamos ante un mero hecho individual, sino también de la organización²⁰⁶. Por eso no son graduables. Si la actuación delictiva no es en beneficio de la persona jurídica ya no hay que preguntarse nada más. Y si existe, aunque sea escaso, la persona jurídica responde con la multa contemplada por el delito si no había implantado con eficacia un modelo de organización y gestión o no existía una adecuada estructura de cumplimiento. La distinción entre ambas cuestiones dogmáticas (determinar si el hecho es propio de la organización por un lado y la responsabilidad estructural de dicha organización por otro) es esencial para un desarrollo fructífero de la dogmática sobre la responsabilidad corporativa. Se trata de una distinción tan esencial como la existente entre injusto y culpabilidad.

De acuerdo con lo dicho no sería correcto entender que la exigencia existente en la inmensa mayoría de los ordenamientos de que el delito se cometa en beneficio o interés de la persona jurídica tiene algo que ver con el fundamento de la responsabilidad corporativa²⁰⁷. Se trata simplemente de un elemento para vincular el hecho delictivo (la publicidad fraudulenta, el acto de corrupción, la emisión contaminante, etc.) a la organización. Es decir, la ausencia de beneficio no excluye la responsabilidad de la organización, sino que ya excluye que el delito sea un hecho propio de la organización. Sin su concurrencia se trata exclusivamente de un hecho individual ajeno a la corporación que no permite que entren en juego las normas sobre responsabilidad penal de las personas jurídicas²⁰⁸. No es correcta, por tanto, la idea de legitimar la pena en la compensación del beneficio de la persona jurídica. Éste puede no existir. Lo relevante es la tendencia objetiva de la conducta en el momento de su realización, con independencia de que acabe existiendo o no el beneficio. La compensación del beneficio no es la razón del castigo, aunque pueda ser relevante para el comiso de ganancias o la eliminación del enriquecimiento injusto. La lógica del beneficio es irrelevante desde el punto de vista de la fundamentación de la pena corporativa.

La reciente reforma chilena ha puesto sobre la mesa si es necesario este requisito habitual en Derecho comparado del beneficio, provecho o interés, con independencia de que, como ya he señalado, el requisito siga presente de alguna manera²⁰⁹. A pesar de que se asuma que estos elementos son ajenos al fundamento de la responsabilidad, su mantenimiento puede ser de utilidad para determinar que un delito no es sólo un hecho individual, sino también de la organización. Desde esta perspectiva lo relevante no es el beneficio económico, sino la alineación de intereses de la conducta delictiva con los fines de la persona jurídica. Con este papel limitado es un requisito que puede ser conveniente mantener. Es cierto que el término beneficio tiene una impronta vicarial (ubi commodum, ibi est incommodum), pero no estamos obligadosa interpretarlo de acuerdo a esta lógica, sino integrando el requisito en una interpretación sistemática del modelo. En este sentido, creo que la idea de que el delito debe estar alineado objetivamente con los fines o los intereses de la organización ayuda a discriminar los incumplimientos que son propios de la organización de aquellos que no lo son, por lo que no se debería prescindir totalmente de lo que puede aportar, aunque sea limitado²¹⁰. Esto se ve claramente con las recientes reformas del Código Penal español que han establecido que los delitos contra la integridad moral (acoso laboral) o acoso sexual, puedan generar responsabilidad para las personas jurídicas²¹¹. Incluso tenemos un buen ejemplo en la reforma mediante la LO 4/2023, de 27 de abril, que ha introducido un delito consistente en ocultar de modo reiterado información a familiares o allegados sobre el paradero del cadáver de una persona que, en principio, genera responsabilidad penal de personas jurídicas. No tiene sentido que todas las empresas implanten planes por si alguno de sus trabajadores tiene conocimiento del paradero de un cadáver. En un modelo puramente policial-preventivo no hay problema en que los riesgos no sean propios²¹². Todo lo que ayuda a la policía es relevante. Si no se comparte esta idea es necesario fijar criterios que conviertan el delito individual en un hecho propio de la persona jurídica. La vinculación funcional entre la actuación delictiva y la organización resulta imprescindible, pero insuficiente.  Entender como hecho propio todo delito de una persona vinculada a una organización o cometido al hilo de las actividades sociales y en el que la persona jurídica no sea víctima me sigue pareciendo insuficiente. Hace falta algún elemento adicional de contenido material. Si ese criterio puede residir en el alineamiento objetivo de delito e interés corporativo, como vengo sosteniendo, será también objeto de debate en los próximos años a la vista de las más recientes tendencias legislativas.

Los ejemplos mencionados nos indican que criterios como la vinculación funcional o el alineamiento objetivo del delito con los fines o los intereses de la organización sirven para identificar cuáles son los incumplimientos propios de la organización, que son los únicos que deberían generar responsabilidad para la persona jurídica porque son los únicos que tiene sentido estabilizar su gestión y prevención mediante penas. Si no se comparte la idea de que las personas jurídicas tienen que ser un policía de todo lo que suceda vinculado a su actividad (para las personas jurídicas tampoco todo es incumbencia de todas las personas), hay que determinar el perímetro de su responsabilidad. Una parte importante de esta delimitación está en la parte especial. Es una cuestión político criminal de primer orden optar por un sistema de numerus clausus o apertus y, en el primer caso, determinar con claridad los delitos que generan la responsabilidad penal de las personas jurídicas. Pero esta cuestión también precisa tanto una teoría general como criterios jurídicos generales comunes para todos los delitos que pueden generar responsabilidad penal de las personas jurídicas.

Un modelo de auto-responsabilidad parte sin mayores problemas de que, aunque una organización no se pueda desvincular del hecho, no siempre la persona jurídica tendrá una responsabilidad que justifique la imposición de una pena. Ese es el ámbito de los modelos o sistemas de organización y gestión del cumplimiento de la legalidad penal. Quien considere que sólo se pueden imponer penas a organismos biológicos conscientes (con capacidades cognitivas y afectivas o emotivas) negará que esta sea una cuestión que se pueda calificar como de responsabilidad penal en sentido estricto²¹³. Quien no esté de acuerdo con este punto de partida²¹⁴ está obligado a desarrollar para las organizaciones una dogmática que tenga como objeto una responsabilidad de tipo estructural diferente a la culpabilidad que conocemos para las acciones humanas. En trabajos previos he utilizado la expresión responsabilidad objetivo-estructural²¹⁵. En ambos casos el objetivo es el mismo: que la pena quede racionalmente justificada frente al que se ve obligado a soportarla o tolerarla. La pena como institución jurídica exige una responsabilidad originaria, por lo que no basta con disponer de cierta capacidad o idoneidad para sufrir la sanción (porque, por ejemplo, se es titular de un patrimonio de derechos). El futuro de la responsabilidad corporativa depende de que esta empresa tenga éxito²¹⁶.

VI.3. Valoración crítica de las regulaciones existentes y propuestas de futuro.

Lo que se ha expuesto en el presenta apartado no se debe entender como una asunción acrítica de lo que establecen ciertas legislaciones como la española. También estos modelos deben ser objeto de crítica y precisan ciertas reformas o retoques. 

En mi opinión, la autorresponsabilidad quedaría potenciada si en el futuro las legislaciones tuvieran los siguientes aspectos en cuenta:

1. De acuerdo con lo expuesto hasta aquí, creo que la tendencia político-criminal identificada como modelo de autorresponsabilidad por el hecho propio debe avanzar hacia una mayor despersonalización de la gestión del riesgo, adoptando una perspectiva organizativa de gestión de los riesgos de incumplimiento propios de la organización o de la actividad social. Las legislaciones deben abandonar una perspectiva individualizada del control, supervisión y/o vigilancia y adoptar una postura más organizacional. En este sentido valoro de forma positiva la reciente reforma de la ley chilena que acaba de entrar en vigor. Es decir, los criterios a tener en cuenta para entender el delito como un hecho de la organización no deberían depender de la posición del que haya cometido el delito dentro de la organización. Lo relevante debería ser valorar el sistema de controles y cumplimiento y por qué éstos no se aplicaron en el caso concreto, pero desvinculando tal valoración del cumplimiento de deberes por personas concretas, que deberían ser relevantes en exclusiva desde el punto de vista de la responsabilidad individual.
2. Esa “despersonalización”, como ha hecho la ley chilena, debería tener como consecuencia que se exija simplemente que se favorezca o facilite el delito²¹⁷, pero no la constatación de que un sistema de gestión mejor o más eficaz habría podido evitar la comisión del delito. En este sentido deberíamos olvidarnos de proyectar en esta cuestión el debate dogmático sobre la imputación del resultado en el delito imprudente.
3. Si bien valoro adecuadamente estos aspectos de la ley chilena que entró en vigor el pasado 1 de septiembre, no creo, sin embargo, que se deba adoptar como modelo de referencia en Derecho comparado. La razón es que entiendo como un déficit que no abarque -al menos de forma expresa- un sistema o modelo global de organización y gestión de los incumplimientos que comprenda no sólo su prevención, sino también su detección y respuesta frente a los mismos, de tal manera que lo decisivo sea si se ha gestionado de forma correcta el cumplimiento de la legalidad, incluso aunque se constate algún fallo preventivo. La ley chilena se centra en exceso en la prevención desde mi perspectiva. En este sentido me parece mejor un modelo de valoración amplio del modelo de organización y gestión como el español, pero donde los deberes de control, vigilancia y supervisión no residan personalmente en administradores y altos directivos (el nivel dirigente de la organización), sino en un modelo organizativo liderado por administradores y altos directivos como hace el modelo chileno. En conclusión, entiendo como una buena solución partir del modelo español enriqueciéndolo con algunos aspectos novedosos de la ley chilena que ha optado por abandonar la existencia de criterios diferenciados de imputación dependiendo de la posición del integrante de la organización que encierra un cierto tufo vicarial.
4. En el mismo sentido organizativo, creo que los ordenamientos deberían abandonar las referencias individuales a la existencia de un oficial o responsable de cumplimiento penal (aunque la ley chilena haga referencia a “uno o más sujetos responsables”)o, incluso, de un órgano colegiado, siendo lo decisivo si existe una función, unidad o área corporativa que se encargue de supervisar y gestionar el modelo o sistemas de controles y cumplimiento penal (al igual que existen áreas que gestionan los temas fiscales, laborales o contables)²¹⁸.

La responsabilidad penal de las personas jurídicas no genera deberes penales nuevos para los administradores que estén garantizados penalmente²¹⁹. Lo que sucede es que como la persona jurídica tiene una incumbencia asignada con respecto al cumplimiento de la legalidad sus representantes y órganos de gobierno asumen la gestión de tal incumbencia, al igual que asumen deberes de lealtad y diligencia con su principal y personalmente posiciones de garantía en relación con el control de riesgos de la organización (de ahí derivan las posiciones de garante de los superiores jerárquicos con respecto a los subordinados). Como no se trata de deberes directos garantizados penalmente, sino de deberes de gestión derivados de las expectativas jurídicas que tienen como destinatarias originarias a las personas jurídicas, la gestión incorrecta tiene consecuencias para éstas. Si un administrador de una planta industrial no controla adecuadamente los riesgos que crean sus subordinados (para la vida y salud de las personas, contra el medio ambiente, etc.) puede responder personalmente con una pena si se dan todos los requisitos para hacerle culpable en comisión por omisión. Si ese mismo administrador no gestiona correctamente los riesgos de incumplimiento de una organización desatendiendo elementos estructurales (no personales) como la formación y la concienciación, el correcto funcionamiento del sistema interno de información, etc. él no responde personalmente, sino la persona jurídica. Este aspecto de la gestión es una función como administrador que puede ser delegada en una estructura de cumplimiento paralela al negocio. De hecho con las personas jurídicas de pequeñas dimensiones el Código Penal español deja la decisión en manos de los administradores (art. 31 bis 3 CP). Si esa función o área corporativa no hace bien su trabajo responderá la persona jurídica si las deficiencias favorecen o dan lugar a la comisión de un delito (por ejemplo, un Director General paga con fondos de la compañía un viaje de alto coste a un funcionario y su familia cuando el funcionario tiene un papel decisivo para la renovación del principal contrato público de la compañía porque ésta ha venido teniendo tradicionalmente “manga ancha” con este tipo de gastos). Tradicionalmente los administradores asumían una posición de garante de control de riesgos o por la organización o bien de protección o institucional basadas en deberes especiales (deber de salvaguarda patrimonial). En los ordenamientos que se introduce una responsabilidad penal de personas jurídicas asumen de forma derivada una especie de “posición de garantía de cumplimiento de la legalidad penal por parte de la organización” o ”deber de control de la legalidad”²²⁰ que -a diferencia de la posición de garantía por control de riesgos- no genera deberes personales, por lo que no permite la imputación como autor o partícipe y no habilita penas personales. Esa posición también puede ser delegada como las tradicionales posiciones de garantía. De hecho el Código Penal español y otros ordenamientos parten de que debe ser delegada cuando no se trata de organizaciones de pequeñas dimensiones.

Como este trabajo se centra en la perspectiva española y latinoamericana, no puedo dejar de mencionar para terminar que creo que en el campo legislativo de la América de habla española y portuguesa se está entablando una pugna soterrada entre dos visiones contrapuestas de la responsabilidad penal de las personas jurídicas. Una tendría que ver con el modelo estadounidense de aplicación de la FCPA que la OCDE tiene interés en expandir²²¹. Este modelo tiene como objetivo esencial simplificar la labor de la policía y de las autoridades penales²²². Los criterios son estrictamente pragmáticos como la utilidad y la eficiencia²²³. La responsabilidad corporativa sólo es entendida como un mecanismo para favorecer la detección y persecución de delitos individuales por parte del Estado. En este modelo el concepto clave es la colaboración o cooperación, de tal manera que se trata de presionar a las corporaciones a que colaboren para conseguir a cambio acuerdos de no persecución o de posposición de la persecución u otro tipo de beneficios. En este contexto la reacción de las personas jurídicas como las investigaciones internas no son más que una externalización por el Estado de labores policiales. Esta idea conlleva una grave erosión de las garantías constitucionales de los individuos, especialmente de los que no tienen poder suficiente dentro de las organizaciones²²⁴. Otra visión diferente a la que me acojo pretende mantener en el ámbito de la responsabilidad penal de las personas jurídicas los principios y garantías básicos del Derecho Penal sustantivo y procesal, reconociendo que -guste más o menos- hay un nuevo actor en el escenario penal que es el corporativo. Para ello no hace falta afirmar que se trata de un sujeto igual, equivalente o similar a las personas físicas, basta con establecer una responsabilidad diferenciada, aunque ello nos saque a los dogmáticos de nuestra zona de confort. En este segundo contexto elementos como el modelo de prevención o las investigaciones internas²²⁵ sólo cobran relevancia como mecanismos de cumplimiento normativo. En ese segundo modelo de pensamiento la persona jurídica que no es responsable del delito por disponer de un modelo o sistema satisfactorio de cumplimiento de la legalidad penal debe ser absuelta (o sobreseída o archivada en fases previas del procedimiento) con independencia de que haya o no colaborado con el Estado. Puede haber responsabilidad con colaboración²²⁶ y exclusión de la responsabilidad sin colaboración. Es más, hay que asumir que la responsabilidad penal de las personas jurídicas no supone necesariamente un acicate para la colaboración, sino en muchos casos una limitación en virtud de los derechos y garantías que lleva implícita la intervención a través del Derecho Penal²²⁷. La colaboración puede fomentarse y contemplarse como una opción que reporte beneficios a la persona jurídica, pero no debería constituirse en el eje del sistema de responsabilidad corporativa²²⁸. Por dicha razón este trabajo ha versado sobre los criterios jurídicos para determinar y excluir dicha responsabilidad con independencia de lo útil o positiva que haya sido la colaboración o cooperación de la persona jurídica con las autoridades encargadas de perseguir delitos. Si sólo interesa esto segundo la teoría resulta superflua. Sólo hay que limitarse a comentar la práctica. No debemos olvidar que la OCDE sólo puede exigir a los Estados una responsabilidad de las personas jurídicas por la corrupción de un agente público extranjero “de conformidad con sus principios jurídicos”²²⁹ (art. 2 Convenio OCDE de lucha contra la corrupción de agentes públicos extranjeros en las transacciones comerciales internacionales).

Sigue valiendo en el ámbito de la responsabilidad corporativa algo que la doctrina ha asumido en el ámbito de la culpabilidad individual: la mejor prevención es la que puede ser entendida como justa o legítima. Eso no se consigue mediante traslados miméticos de criterios de responsabilidad civil extracontractual ni teniendo en cuenta exclusivamente fines preventivos al margen de la responsabilidad por el hecho, especialmente si éstos quedan vinculados a una responsabilidad vicarial (como hacen las teorías intermedias o mixtas que se han expuesto). Sobre ello ha versado gran parte de este trabajo. Pero tampoco si a las normas que regulan la responsabilidad penal de la persona jurídica se les otorga un limitado alcance como mero mecanismo para facilitar la investigación y persecución de delitos individuales. En este segundo caso, además, no son pocos los riesgos para los derechos fundamentales y garantías de los miembros con menor poder en las organizaciones. La responsabilidad penal de las personas jurídicas bajo esta perspectiva de instrumento dúctil para el Ministerio Fiscal se convierte en un regalo envenenado para un Derecho Penal propio de un Estado de Derecho.

VII. Conclusión.

Estaremos haciendo un uso ilegítimo del Derecho Penal y haciendo circular con el nombre responsabilidad penal sanciones que no se merecen tal calificativo si nos limitamos a

(i) trasladar al Derecho Penal los criterios de la responsabilidad patrimonial o de la responsabilidad civil extracontractual,

(ii) utilizar las normas para personas jurídicas para establecer de forma indirecta deberes de vigilancia y control de administradores y órganos de gobierno y representación

(iii) utilizar las normas que regulan la responsabilidad penal de las personas jurídicas como medio para facilitar o conseguir mayor colaboración con las labores policiales de prevención, detección e investigación de delitos individuales “subcontratando” o externalizando las funciones estatales o

(iv) combatir el enriquecimiento injusto de las organizaciones.

Si por separado se trata de líneas de legitimación insuficientes para fundamentar una auténtica y genuina responsabilidad penal corporativa, su mera suma o combinación tampoco ofrece ninguna solución aceptable.

Bibliografía

Aguilera Gordillo, Rafael, Compliance Penal en España, Navarra, 2018.

Alfaro Águila-Real, Jesús,  La persona jurídica, Granada, 2023.

• “La responsabilidad penal de las personas jurídicas y cuando los cerdos y los osos iban a prisión”, https://derechomercantilespana.blogspot.com/2024/01/la-responsabilidad-penal-de-las.html (consultado el 4 de noviembre de 2024).
• “Responsabilidad penal de la persona jurídica: teoría del delito y dogmática de la responsabilidad”, https://derechomercantilespana.blogspot.com/2024/01/el-modelo-latino-de-responsabilidad.html (consultado el 4 de noviembre de 2024).
• “La exención de responsabilidad penal de las personas jurídicas por `debido control´ vista desde la teoría patrimonialista de las personas jurídicas”, https://almacendederecho.org/la-exencion-de-responsabilidad-penal-de-las-personas-juridicas-por-debido-control-vista-desde-la-teoria-patrimonialista-de-las-personas-juridicas (consultado el 4 de noviembre de 2024).
• Los delirios a los que conduce aplicar analógicamente el Derecho de Personas a las personas jurídicas y el barco de Teseo”, https://derechomercantilespana.blogspot.com/2024/02/los-delirios-los-que-conduce-aplicar.html (consultado el 4 de noviembre de 2024).
• “Personalidad jurídica y penas”, InDret 3/2024.

Amesti Mendizábal, Christi, “La responsabilidad social corporativa: una forma de administrar”, Estudio sobre los órganos de las sociedades de capital. Liber Amicorum Fernando Rodríguez Artigas y Gaudencio Esteban Velasco, 2017 (versión online).

Amoretti Navarro, Mario F., Strafrecht und Criminal Compliance in philosophischer Perspektive. Eine Kritik des postmodernen Zeitgeists im Strafrecht und seiner Wissenschaft, Berlín, 2022.

Arenas Nero, Orestes, “La responsabilidad penal de las personas jurídicas en Panamá”, Estudio penales y criminológicos Vol. 45 (2024).

Artaza Varela, Osvaldo, La empresa como sujeto de imputación de responsabilidad penal. Fundamento y límites, Madrid y otras, 2013.

• Responsabilidad penal de las personas jurídicas, DER ediciones, 2021.
• “Responsabilidad penal de las personas jurídicas”, Navas Mondaca, Iván (Dir.), Derecho Penal Económico. Parte general, Valencia, 2024.

Ayala González, Alejandro, “Responsabilidad penal de las personas jurídicas: interpretaciones cruzadas en las altas esferas”, InDret 1/2019.

Bajo Fernández, Miguel/Feijoo Sánchez, Bernardo/Gómez-Jara Díez, Carlos, Tratado de responsabilidad penal de las personas jurídicas, 2ª ed. Navarra, 2016 (1ª ed., 2012).

Baldomino Díaz, Raúl Andrés, Bases de la responsabilidad penal de las personas jurídicas, Valencia, 2022.

Beale, Sara Sun, “Una respuesta a las críticas a la responsabilidad penal corporativa”, Compliance y responsabilidad penal de las personas jurídicas, México, 2017.

Boldova Pasamar, Miguel Ángel, “Naturaleza jurídica de los programas de cumplimiento”, Revista General de Derecho Penal nº 37 (2022).

Bruns, Hans-Jürgen, Die Befreiung des Strafrechts vom zivilistischen Denken. Beiträge zu einer selbständigen, spezifisch strafrechtlichen Auslegungs- und Begriffsbildungsmethodik, Berlín, 1938.

Cadavid Quintero, Alfonso, “De nuevo: la responsabilidad penal de personas jurídicas desde el Derecho colombiano”, Ontiveros Alonso, Miguel (Coord.), La responsabilidad penal de las personas jurídicas, 2ª ed., Ciudad de México, 2022.

Carlos de Oliveira, Ana Carolina, Los deberes de colaboración en el Blanqueo de Capitales. Contexto normativo, fundamento y límites, Barcelona, 2023.

Caro Coria, Dino Carlos/Ruiz Baltazar, Carmen Elena, “La contrarreforma de la ley de responsabilidad penal de la persona jurídica”, La Ley Compliance penal nº 14 (2023) (versión online).

Carrión Díaz, Juan Elías, “La responsabilidad penal de las personas jurídicas en el Perú”, Pariona, Arana, Raúl/Aránguez Sánchez, Carlos/Armendariz Ochoa, Luis (Dirs.), Tipología y Fundamentos en el Derecho Penal económico y de la Empresa, Lima, 2022.

Casanovas Ysla, Alain, Compliance penal normalizado, Navarra, 2017.

Chirino Sánchez, Eric Alfredo, “El modelo de responsabilidad penal de personas jurídicas en Costa Rica”, Estudios Penales y Criminológicos 43 (2023).

Coca Vila, Ivó, “Programas de cumplimiento como forma de autorregulación regulada?”, Silva Sánchez, Jesús-María (Dir.), Criminalidad de empresa y Compliance. Prevención y reacciones corporativas, Barcelona, 2013.

• “Los modelos de prevención de delitos como eximente de la responsabilidad “penal” empresarial en el ordenamiento jurídico español”, Compliance y responsabilidad penal de las personas jurídicas, México, 2017.

Cohen, Albert/Lindesmith, Alfred/Schuessler, Karl, The Sutherland Papers, Bloomington, 1956.

Cornacchia, Luigi/Demetrio Crespo, Eduardo, Responsabilità da reato degli enti collettivi, Turín, 2023.

Cuervo García, Ana L., “Perfil criminológico del Delincuente de Cuello Blanco”, Bustos Rubio, Miguel/Rodríguez Almirón, Francisco (Dirs.), El sistema socioeconómico desde el prisma del Derecho penal y la Criminología, Navarra, 2019.

De la Cuerda Martín, Mónica, “Informe sobre la responsabilidad penal de las personas jurídicas en España”, Estudios penales y criminológicos 43 (2023).

De la Mata, Norberto J. y otros, Derecho Penal económico y de la empresa, 2ª ed., Madrid, 2024.

De Simone, Giulio, Persone giuridiche e responsabilità da reato, Pisa, 2012.

De Vicente Remesal, Javier, “Control de riesgos en la empresa y responsabilidad penal: la responsabilidad de la persona física (directivo, representante legal o administrador de hecho o de derecho de una persona jurídica) por infringir los deberes de vigilancia o control”, Revista Penal nº 34 (Julio 2014).

Dennett, Daniel, He estado pensando, Barcelona, 2024 (versión electrónica).

Díaz y García Conlledo, Miguel, “Reflexiones sobre el núcleo de la responsabilidad penal de las personas jurídicas en el Derecho Penal español y algunos cabos sueltos”, Redepec nº 2 (2023).

Ebert, Udo, “Charakterschuld”, Festschrift für Kristian Kühl-FS, Munich, 2014.

Embid Imbrujo, José Miguel, “Gobierno corporativo y responsabilidad social corporativa: del desencuentro a la comunicación”,  Estudio sobre los órganos de las sociedades de capital. Liber Amicorum Fernando Rodríguez Artigas y Gaudencio Esteban Velasco, 2017 (versión online).

Engisch, Karl, Die Lehre von der Willensfreiheit in der strafrechtsphilosophischen Doktrin der Gegenwart, 2ª ed., Berlín, 1965.

Espinoza de los Monteros de la Parra, Manuel, “Perspectiva y retos de la responsabilidad penal de las personas jurídicas en México”, Estudios penales y criminológicos 45 (2024).

Feijoo Sánchez, Bernardo, Resultado lesivo e imprudencia, Barcelona, 2001.

• Sanciones para empresas por delitos contra el medio ambiente, Madrid, 2002.
• Derecho Penal de la empresa e imputación objetiva, Madrid, 2007.
• Retribución y prevención general, Montevideo y Buenos Aires, 2007.
• La pena como institución jurídica, Madrid, 2014.
• “Autorregulación y Derecho penal de la empresa: ¿Una cuestión de responsabilidad individual?”, Arroyo Jiménez, Luis/Nieto Martín, Adán, Autorregulación y sanciones, 2ª ed., Navarra, 2015.
• El delito corporativo en el Código Penal español, 2ª ed., Navarra, 2016.
• “La estabilización normativa como fin de la pena: ¿Puro teatro?”, Estudios de Derecho Penal en Homenaje al Prof. Santiago Mir Puig, Buenos Aires y Montevideo, 2017.
• “Bases para un modelo de responsabilidad penal de las personas jurídicas a la española”, La responsabilidad penal de las personas jurídicas. Homenaje al Excmo. Sr. D. José Manuel Maza Martín, Madrid, 2018.
• “Teoría de los actos neutrales y participación delictiva. Los límites de la participación criminal en los delitos económicos”, Demetrio Crespo, Eduardo (Dir.), Derecho Penal económico y teoría del delito, Valencia, 2020.
• La estabilización normativa como función del Derecho Penal, Santiago de Chile, 2021.
• “Sobre el fundamento material de la culpabilidad”, Libro homenaje a Alfonso Reyes Echandía, Universidad Externado de Colombia, 2022.
• “La corrupción entre particulares del artículo 286 bis CP y la responsabilidad penal de las personas jurídicas”, La Ley Penal 2023.
•  “La función de la responsabilidad penal de las personas jurídicas en el Derecho penal español”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 1 (2023).
• “Culpabilidad, libre albedrío y perspectiva de primera persona”, Estudios político-criminales, jurídico-penales y criminológicos. Libro Homenaje al Profesor José Luis Díez Ripollés, Valencia, 2023.

Fernández Teruelo, Javier Gustavo, “La responsabilidad penal de las personas jurídicas en el Código penal español”, Revista Jurídica de Castilla y León 2011.

• Parámetros interpretativos del modelo español de responsabilidad penal de las personas jurídicas y su prevención a través de un modelo de organización o gestión (Compliance), Navarra, 2020.
• “La promoción de un nuevo modelo de responsabilidad penal de la persona jurídica como mecanismo de control de focos de riesgo derivados de conductas ajenas a su actividad e interés y su incompatibilidad con el contenido del art. 31 bis 1º CP”, La Ley compliance penal nº 14 (2023) (versión online).

Feuerbach, Paul Johann Anselm, Lehrbuch des gemeinen in Deutschland gültigen peinlichen Rechts, 11ª ed., Giessen, 1832.

Foffani, Luigi, “25 años de Revista Penal y de política criminal: el ocaso del principio “societas delinquere non potest””, Revista Penal nº 50 (Julio 2022).

Friedman, Milton, “A Friedman doctrine – The Social Responsibility of Business Is to Increase Its Profits”, The New York Times de 13 de septiembre de 1970 (https://www.nytimes.com/1970/09/13/archives/a-friedman-doctrine-the-social-responsibility-of-business-is-to.html, consultado el 4 de noviembre de 2024).

Fusco, Eugenio/Paliero, Carlo Enrico, “L´”Happy End” di una saga giudiziaria: La colpa de organizzazione trova (forse) el suo tipo”, Sistema Penale 9/2022.

Galán Muñoz, Alfonso, Fundamentos y límites de la responsabilidad penal de las personas jurídicas tras la reforma de la LO 1/2015, Valencia, 2017.

• “Acción, tipicidad y culpabilidad penal de la persona jurídica en tiempos del compliance: Una propuesta interpretativa”, Gómez Colomer (Dir.), Tratado sobre Compliance penal, Responsabilidad Penal de las Personas Jurídicas y Modelos de Organización y Gestión, Valencia, 2019.
• “¿Cultura o estructura? ¿Esa es la cuestión? La difícil convivencia y coordinación de los dos sistemas de tratamiento penal de las personas jurídicas en el ordenamiento español”, Revista General de Derecho Penal 35 (2021).
• “Visiones y distorsiones del sistema español de responsabilidad de las personas jurídicas: un diagnóstico 13 años después”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 2 (2023).

García Cavero, Percy, “La imputación subjetiva a la persona jurídica”, InDret 2/2022.

• “Responsabilidad penal de personas jurídicas y consecuencias accesorias”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 2 (2023).
• “La eficacia del modelo de organización y gestión de la responsabilidad penal de las personas jurídicas”, La Ley compliance penal nº 8 (2022) (versión online).
• “Los sistemas de cumplimiento y su efecto en la responsabilidad de personas jurídicas en el Perú”, Estudios Penales y Criminológicos 43 (2023).

Godfrey-Smith, Peter, Filosofía de la Biología, Madrid, 2022.

Gómez Berrueco, Íñigo, “Ley 2/2023 de desprotección de la Persona Jurídica”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 4 (2024).

Gómez Tomillo, Manuel, “Consecuencias materiales y procesales de la jurisprudencia del TJUE en materia de responsabilidad penal y administrativo-sancionadora de las personas jurídicas”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 3 (2023).

Gómez-Jara Díez, Carlos, La culpabilidad penal de la empresa, Madrid, 2005.

• La responsabilidad penal de las empresas en los EE.UU., Madrid, 2006.
• “La incidencia de la autorregulación en el debate legislativo y doctrinal actual sobre la responsabilidad penal de las personas jurídicas”, en Autorregulación y sanciones, 2ª ed., Navarra, 2015.
• “Tomarse la responsabilidad penal de las personas jurídicas en serio: la culpabilidad de las personas jurídicas”, Estudios de Derecho Penal. Homenaje al profesor Miguel Bajo, Madrid, 2016 (=Gómez Colomer (Dir.), Tratado sobre Compliance penal, Responsabilidad Penal de las Personas Jurídicas y Modelos de Organización y Gestión, Valencia, 2019).
• Sistemas de Gestión de Compliance Penal, Navarra, 2020.
• Actor corporativo y delito corporativo. Elementos de un sistema de autorresponsabilidad penal de las personas jurídicas desde una perspectiva teórico-práctica, Navarra, 2020.
• “El modelo constructivista de (auto)responsabilidad de las personas jurídicas: tres contribuciones de la teoría a la práctica”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 1 (2023).

Gómez-Jara Díez, Carlos/Feijoo Sánchez, Bernardo/Tejada Plana, Daniel, “La responsabilidad penal de las personas jurídicas ante la Organización para la cooperación y el desarrollo económico”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance  nº 3 (2023).

González Cussac, José L., “El plano político criminal en la responsabilidad penal de las personas jurídicas”, Matallín Evangelio, Ángela (Dir.), Compliance y prevención de delitos de corrupción (versión online), Valencia, 2018.

• “La Huida de la Responsabilidad Penal de las Personas Jurídicas”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 4 (2024).

González Sierra, Pablo, La imputación penal de las personas jurídicas. Análisis del art. 31 bis CP, Valencia, 2014.

Greco, Luis, “Steht das Schuldprinzip der Einführung einer Strafbarkeit juristischer Personen entgegen? Zugleich Überlegungen zum Verhältnis von Strafe und Schuld”, Goltdammer´s Archiv für Strafrecht, 2015.

Günther, Klaus, ““Nulla poena sine culpa” and corporate personhood”, Kritische Vierteljahresschrift für Gesetzgebung und Rechtswissenschft 2015.

Günther, Tobias, Die Bedeutung von Criminal-Compliance-Massnahmen für die strafrechtliche und ordnungswidrigkeitenrechliche Ahndung, Berlín, 2019.

Hallmann, Amina: Gebundene Freiheit und strafrechtliche Schuld, Tubinga, 2017.

Heine, Günter, Die strafrechtliche Verantwortlichkeit von Unternehmen, Baden-Baden, 1995.

Hernández Basualto, Héctor, “La introducción de la responsabilidad penal de las personas jurídicas en Chile”, Política Criminal Vol. 5, Nº 9 (Julio 2010).

Jahn, Matthias/Schmitt-Leonardy, Charlotte/Schoop, Christian, “Unternehmensverantwortung für Unternehmenskriminalität-,,Frankfurter Thesen””, wistra 2018.

Jakobs, Günther, “Person und Subjekt in Hegels ,,Grundlinien´´, Rechtsphilosophie. Zeitschrift für die Grundlagen des Rechts 4/2017.

Kohlhof, Maximilian, Die Legitimation einer originäre Verbandsstrafe. Eine strafteoretische Untersuchung, Berlín, 2019.

Kölbel, Ralf, “Corporate Crime, Unternehmenssanktion und kriminelle Verbandsattitüde”, Zeitschrift für Internationale Strafrechtsdogmatik 11/2014.

Krämer, Katharina: Individuelle und kollektive Zurechnung im Strafrecht, Tubinga, 2015.

Krugman, Paul, “¿Quién era Milton Friedman?”, El País de 19 de octubre de 2008.

Lampe, Ernst-Joachim, “Systemunrecht und Unrechtsysteme”, Zeitschrift für die gesamte Strafrechtswissenschaft 106 (1994).

• Strafphilosophie, Colonia y otras, 1999.

Lascuraín Sánchez, Juan Antonio, ¿“Penamos a la persona jurídica por conductas de participación”? https://almacendederecho.org/penamos-a-la-persona-juridica-por-conductas-de-participacion (consultado el 19 de noviembre de 2024).

• “Elogio de la responsabilidad penal de la persona jurídica”, Un modelo integral de Derecho penal. Libro homenaje a la profesora Mirentxu Corcoy Bidasolo, Madrid, 2022.

Liñán Lafuente, Alfredo, “La ley 2/2023, de protección del informante, vs. el derecho a la no auto incriminación de la persona jurídica”, La Ley penal 2023.

List, Christian/Pettit, Philip, Group Agency: The Possibility, Design and Status of Corporate Agents, Oxford, 2011.

Luzón Peña, Diego-Manuel, Lecciones de Derecho Penal. Parte General, 3ª ed., Valencia, 2016.

Madrid Boquín, Christa M., “La responsabilidad penal de las personas jurídicas en Inglaterra: Consideraciones sustantivas y procesales sobre el papel del criminal compliance”, Gómez Colomer (Dir.), Tratado sobre Compliance penal, Responsabilidad Penal de las Personas Jurídicas y Modelos de Organización y Gestión, Valencia, 2019.

Mañalich Raffo, Juan Pablo, “Organización delictiva. Bases para su elaboración dogmática en el Derecho penal chileno”, Revista chilena de Derecho, vol. 38 Nº 2 (2011).

Martínez-Buján Pérez, Carlos, Derecho Penal económico y de la empresa, Parte General, 6ª ed., Valencia, 2022.

• “La estructura de la infracción penal de la persona jurídica: el presupuesto (el déficit organizativo peligroso) y el resultado/condición objetiva de punibilidad (el hecho de conexión posterior)”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 3 (2023).
• “La infracción penal de las personas jurídicas y el delito del artículo 286 seis del Proyecto de Ley Orgánica  de Código Penal español de 2013: Paralelismo y compatibilidad”, Libro Homenaje al Prof. Javier De Vicente Remesal por su 70.º aniversario, Madrid, 2024.

Matallín Evangelio, Ángela, “Estándares de eficacia de los programas de cumplimiento: análisis integrado de condiciones y requisitos (artículo 31 bis C.P.)”, Revista de Derecho Penal y Criminología, nº 31 (enero 2024).

Maza Martín, José Manuel, Delincuencia electoral y responsabilidad penal de los partidos políticos, Madrid, 2018.

Medina Schulz, Gonzalo, “Responsabilidad penal de las personas jurídicas en Chile. Panorama actual y perspectivas”, Estudios Penales y Criminológicos 43 (2023).

Megías López, Javier, “La creación de valor tolerante: un modelo de compatibilidad jurídica entre interés social y responsabilidad social corporativa”, Diario La Ley, Nº 9019, 12 de Julio de 2017 (versión online).

• “Gobierno sostenible de las sociedades de capital”, El Derecho en la encrucijada: los retos y oportunidades que plantea el cambio climático, Anuario de la Facultad de Derecho de la Universidad Autónoma de Madrid 26 (2022).

Meini Mendez, Iván, Guía para la atribución de responsabilidad penal de las personas jurídicas en la República de Panamá. Especial aplicación a la investigación y juzgamiento por delito de blanqueo de capitales, 2018.

Menéndez Conca, Luis Gabriel, La responsabilidad penal de las personas jurídicas por los delitos cometidos por sus integrantes: la controvertida naturaleza jurídica del sistema de atribución y de exención de responsabilidad, Madrid, 2024.

Mittelsdorf, Kathleen, Unternehmensstrafrecht im Kontext, Heidelberg, 2010.

Mongillo, Vincenzo, La responsabilità penale tra individuo ed ente colletivo, Turín, 2018.

• “Estructura y función de la responsabilidad penal de las personas jurídicas: notas metodológicas, político-criminales y dogmáticas”, Libro Homenaje al Prof. Luis Arroyo Zapatero. Un Derecho Penal humanista, Volumen I, Madrid, 2021.
• “Il sistema della sancioni applicabili all´ente collettivo tra prevencione e riparazione. Prospettive de iure condendo”, Rivista trimestrale di Diritto penale dell´economia 3-4/2022.
• “La responsabilidad penal de las personas jurídicas en Italia: puntos fuertes, problemas de aplicación y perspectivas de reforma”, Estudios penales y criminológicos 43 (2023).

Montaner Fernández, Raquel, “¿El Compliance como termómetro de la diligencia penalmente exigible a las empresas?”, La Ley Compliance penal nº 1 (2020) (versión online).

Montiel, Juan Pablo, “Apuntes sobre el nuevo régimen de la responsabilidad penal de las personas jurídicas en el derecho argentino”, En Letra: Derecho Penal, Año IV, número 6 (2018).

Montiel, Juan Pablo/Seitún, Diego, “¿Qué tan en serio se toma la jurisprudencia argentina los modelos de atribución de responsabilidad penal de personas jurídicas? Un comentario al fallo “Expreso San Isidro” de la Cámara Nacional en lo Penal Económico”, La Ley Compliance nº 3 (2020).

Morales Prats, Fermín, “¿Son las personas jurídicas responsables solo como autoras o también en régimen de participación?”, Estudios político-criminales, jurídico-penales y criminológicos. Libro Homenaje al prof. José Luis Díez Ripollés, Valencia, 2023.

Mosch, Severin, Schuld, Verantwortung und Determinismus im Strafrecht, Baden-Baden, 2018.

Navarro Frías, Irene, “Responsabilidad corporativa, cumplimiento normativo y deberes de los administradores”, Revista de Derecho de Sociedades nº 63/2021.

Navas Mondaca, Iván, “El compliance penal en la nueva ley de delitos económicos en Chile”, La Ley Compliance Penal nº 18 (2024) (versión online).

Navas Mondaca, Iván/Jaar Labarca, Antonia, “La responsabilidad penal de las personas jurídicas en la jurisprudencia chilena”, Política criminal Vol. 13, Nº 26 (Diciembre 2018).

Nieto Martín, Adán, La responsabilidad penal de las personas jurídicas: Un modelo legislativo, Madrid, 2008.

• Manual de cumplimiento penal en la empresa, Valencia, 2015.
• “La autorregulación preventiva de la empresa como objeto de la política criminal”, Estudios de Derecho Penal homenaje al profesor Santiago Mir Puig, Madrid y otras, 2017.
• El cumplimiento normativo como estrategia político-criminal, Buenos Aires, 2022.
• “La eficacia de los programas de cumplimiento: propuesta de herramientas para su valoración”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 1 (2023).
• “La eficacia de los programas de cumplimiento: apuntes a la luz de la última jurisprudencia italiana”, Estudios político-criminales, jurídico-penales y criminológicos. Libro Homenaje al Prof. José Luis Díez Ripollés, Valencia, 2023.

Ontiveros Alonso, Miguel, “El Estado actual de la responsabilidad penal empresarial en México”, idem (Coord.), La responsabilidad penal de las personas jurídicas, 2ª ed., Ciudad de México 2022.

• Código penal Modelo para México, México 2025 (en prensa).

Ortiz de Urbina Gimeno,  “La responsabilidad penal de las personas jurídicas y su impacto en el Derecho Penal económico”, Silva Sánchez/Miró Llinares (Dirs.), La teoría del delito en la práctica penal económica, Madrid, 2013.

Ortiz de Urbina Gimeno, Íñigo/Chiesa, Luis, “Compliance y responsabilidad penal de entes colectivos en los EEUU”, Gómez Colomer (Dir.), Tratado sobre Compliance penal, Responsabilidad Penal de las Personas Jurídicas y Modelos de Organización y Gestión, Valencia, 2019.

Pawlik, Michael, Der rechtfertigende Notstand, Berlín, 2002.

Paz-Ares Rodríguez, Cándido “¿Existe un deber de legalidad de los administradores?”, Revista de Derecho mercantil nº 330 (2023) (versión online).

Pelissero, Marco, “La responsabilità degli enti,” Francesco Antolisei, Manuale di diritto penale. Leggi complementari, XIV ed., vol. II, 2018.

Pérez Machío, Ana isabel, La responsabilidad penal de las personas jurídicas en el Código Penal español. A propósito de los programas de cumplimiento normativo como instrumentos idóneos para un sistema de justicia penal preventiva, Granada, 2017.

Perrow, Charles, “A Society of Organizations”, Haller/Hoffmann-Nowotny/Zapf (Edits.), Kultur und Gesellschaft, Francfort, 1989.

Piña Rochefort, Juan Ignacio, “Autonomía, complejidad y cultura corporativa: el corsé cognitivo de la dogmática para la responsabilidad penal de las personas jurídicas”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 3 (2023).

Plitt, Mark/Savjani, Ricky R./Eagleman David M., “Are corporations people too? The neural correlates of moral judgments about companies and individuals”, Social Neuroscience 10 (2015).

Ragués i Vallès, Ramón, “La actuación en beneficio de la persona jurídica: razones para la eliminación de un requisito disfuncional en la atribución de responsabilidades penales”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 4 (2024).

Robles Planas, Ricardo, “Volver a empezar: las personas jurídicas y el Derecho Penal”, Una perspectiva global del Derecho Penal. Libro Homenaje al Prof. Dr. Joan J. Queralt Jiménez, Barcelona, 2021 (=La Ley compliance penal nº 8, 2022).

Rodríguez Ramos, Luis, “Sobre la culpabilidad de las personas jurídicas (Al hilo de las SSTS 514/2015, 154 y 221/2016)”, Diario La Ley nº 8766 de 20 de mayo de 2016 (versión online).

Roxin, Claus/Greco, Luis, Strafrecht. Allgemeiner Teil, 5ª ed., Vol. I, Múnich, 2020.

Salvador Coderch, Pablo/ Gómez Ligüerre, Carlos Ignacio, “Respondeat Superior II. De la responsabilidad por hecho de otro a la responsabilidad de la organización” InDret 3/2002.

Sapolsky, Robert, Compórtate, 2ª ed. (version electronica).

Schmitt-Leonardy, Charlotte, “Das interpretatorische Konstrukt “Unternehmen” hinter der “Unternehmenskriminalität””, en Kempf, Eberhard/Lüderssen, Klaus/Volk, Klaus (Edits.), Unternehmensstrafrecht, Berlín, 2012, pp. 139 ss.

• Unternehmenskriminalität ohne Strafrecht?, Heidelberg, 2013.
• “Originäre Verbandsschuld oder Zurechnungmodell?”, AA.VV., Grundfragen eines modernen Strafrechts, Baden-Baden, 2017.

Schneider, Maren Stefanie, Zu den neuen Möglichkeiten einer Unternehmenssanktionierung zwischen Ordnungwidrigkeitenrecht und Kriminalstrafrecht. Unternehmenssanktionierung ohne Strafrecht, Berlín, 2023.

Schünemann, Bernd, Unternehmenskriminalität und Strafrecht, Colonia y otras, 1979.

•  “La responsabilidad penal de las empresas: para una necesaria síntesis entre dogmática y política criminal”, Ontiveros Alonso, Miguel (Coord.), La responsabilidad penal de las personas jurídicas: fortaleza, debilidades y perspectiva de cara al futuro, Valencia, 2014.

Schurmann Opazo, Miguel, “La persona jurídica como un nuevo partícipe en el delito económico” en Acevedo/Collado/Mañalich (Coords.), La Justicia como legalidad. Estudios en homenaje a Luis Ortiz Quiroga, 2020.

Scoletta, Marco Maria, “Sulla struttura concorsuale dell’illecito punitivo delle persona giuridiche”, Libro Homenaje al Profesor Luis Arroyo Zapatero, Madrid, 2021.

Sequeira Martín, Adolfo, “El desarrollo de la responsabilidad social corporativa versus sostenibilidad y su relación con el gobierno corporativo en las directivas comunitarias y en el derecho español de sociedades cotizadas”, Revista de Derecho de Sociedades 61/2021.

Sieber, Ulrich, “Programas de Compliance en el derecho penal de la empresa. Una nueva concepción para controlar la criminalidad económica,” Arroyo Zapatero, Luis/Nieto Martín, Adán, El Derecho Penal económico en la era Compliance, Valencia, 2013.

Silva Sánchez, Jesús-María, Fundamentos del Derecho penal de la Empresa, Madrid y otras, 2013.

• “La eximente de “modelos de prevención de delitos. Fundamento y bases para una dogmática”, Estudios de Derecho Penal. Homenaje al profesor Miguel Bajo, Madrid, 2016.
• Malum passionis. Mitigar el dolor del Derecho penal, Barcelona, 2018.
• “El Compliance de detección como “eximente” supralegal para las personas jurídicas”, El Derecho Penal en el Siglo XXI. Liber amicorum en honor al profesor José Miguel Zugaldía Espinar, Valencia, 2021 (versión online).
• El riesgo permitido en Derecho penal económico, Barcelona, 2022.
• “Lo real y lo ficticio en la responsabilidad “penal” de las personas jurídicas”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 1 (2023) (=”Las personas jurídicas no pueden ser “culpables”. Un alegato para la creación de un subsistema propio”, Demetrio Crespo, Eduardo/Cornacchia, Luigi, Responsabilità da reato degli enti collettivi, Turín, 2023).
• Editorial. “Para muestra…el caso Boeing”, InDret Penal 3.2024.

Silva Sánchez, Jesús-María y otros, “”El “caso Pescanova”. Comentarios a la STS 89/2023, de 10 de febrero”, Revista Crítica de Jurisprudencia Penal, InDret 3.2023.

Sutherland, Edwin, El delito de cuello blanco, Madrid, 1999.

Tejada Plana, Daniel, Investigaciones internas, cooperación y nemo tenetur: consideraciones prácticas nacionales e internacionales,  Navarra, 2020.

• “Behavioral Compliance: ética conductual y cumplimiento normativo”, Revista Electrónica de la Responsabilidad Penal de Personas Jurídicas y Compliance nº 1 (2023).
• Behavioral Compliance: reforzando el Compliance a través de la ética Conductual, Navarra, 2021.

Tiedemann, Klaus, “Die “Bebussung” von Unternehmen und den 2. Gesetz zur Bekämpfung der Wirtschaftskriminalität”, Neue Juristische Wochenschrift 1988.

• Lecciones de Derecho penal económico, Santiago de Chile, 2021.

Turienzo Fernández, Alejandro, La responsabilidad penal del Compliance Officer, Madrid, 2021.

Valentini, Vico, “Autonomía de la responsabilidad (casi-) penal de las personas jurídicas y compliance anticorrupción: la lección del sector público”, Revista Penal nº 54 (Julio 2024).

Van der Wilt, Harmen, “Mental Blockades in the Recognition of Mens Rea in Corporations”, Baats/Spicer (Edits.), The Corporation; A Critical, Multi-Disciplinary Handbook, Cambridge, 2017.

Villegas García, María Ángeles, La Responsabilidad Criminal de las Personas Jurídicas. La Experiencia de Estados Unidos, Navarra, 2016.

V. Liszt, Franz, Tratado de Derecho penal, Tomo II, 4ª ed., Madrid, 1999 (con adiciones de Quintiliano Saldaña).

V. Savigny, Carl, System des Heutigen Römischen Rechts, Tomo II, 1849.

Wohlers, Wolfgang, “Grundlagen der Verbandsverantwortlichkeit”, Neue Zeitschrift für Wirtschafts, Steuer- und Unternehmensstrafrecht 2018.

Zugaldía Espinar, José Miguel, La responsabilidad penal de empresas, fundaciones y asociaciones, Valencia, 2008.

• “La teoría jurídica del delito de las personas jurídicas en la jurisprudencia del Tribunal Supremo”, Diario La Ley nº 9537 de 16 de Diciembre de 2019.
• “La responsabilidad criminal de las personas jurídicas en el Derecho Penal español (análisis de la cuestión tras la reforma operada por la LO 1/2015, de 30 de marzo)», Estudios de Derecho Penal. Homenaje al profesor Miguel Bajo, Madrid, 2016.