Compliance útil para una pequeña empresa

Un programa de cumplimiento penal útil para una pequeña empresa debe ayudar a evitar decisiones y operaciones delictivas en su actividad real. No consiste en acumular documentos que nadie consulta. El artículo 31 bis del Código Penal exige, para los efectos que regula, modelos adecuados y ejecutados eficazmente. El tamaño permite adaptar la organización, pero no sustituye controles básicos ni convierte un certificado en inmunidad. 1 3

Empezar por cómo funciona el negocio

Identifique quién vende, contrata, paga, accede a información, gestiona impuestos y trata con administraciones. Revise actividades con riesgo penal concreto: cobros y pagos, subvenciones, datos, propiedad intelectual, residuos, contratación o relaciones con terceros, según el sector. No todos los riesgos pesan igual en una clínica, una constructora o una tienda digital.

El mapa debe describir situaciones verificables: cambios de cuenta de proveedores, descuentos excepcionales, facturas sin servicio, uso de bases de datos ajenas o destrucción de documentación. Una lista de todos los delitos del Código Penal sin conexión con procesos internos no permite decidir qué control implantar primero. 1

Controles que dejan evidencia

Asigne autorizaciones, límites y comprobaciones proporcionadas. Un pago excepcional puede requerir segunda validación; un proveedor nuevo, identificación y verificación; una subvención, archivo de requisitos y justificación. El control debe indicar responsable, momento, documento y qué ocurre si falla. 1

La evidencia puede ser sencilla: aprobación registrada, conciliación bancaria, comprobación de un cambio de IBAN o revisión de una factura. Lo importante es que se aplique de forma consistente y que la dirección también lo respete. Si cualquier urgencia permite saltarse el procedimiento sin registro, el diseño pierde eficacia.

Supervisión en empresas pequeñas

El artículo 31 bis permite que, en personas jurídicas de pequeñas dimensiones definidas conforme al criterio legal, determinadas funciones de supervisión sean asumidas por el órgano de administración. No se trata de identificar pequeña empresa únicamente por una cifra informal de empleados: la norma remite a la posibilidad de presentar cuenta de pérdidas y ganancias abreviada. 1

Aunque se concentren funciones, deben gestionarse conflictos. Si la comunicación afecta al administrador que supervisa, tiene que existir una respuesta que no dependa exclusivamente de su propia valoración. Puede ser necesario apoyo externo o un cauce alternativo, con competencias y confidencialidad definidas.

Formación y sistema disciplinario

La formación debe explicar riesgos de cada puesto mediante ejemplos del negocio. Quien prepara pagos necesita saber cómo verificar instrucciones; quien maneja datos, qué puede compartir; quien vende, qué promesas no puede hacer. Firmar una hoja de asistencia no demuestra comprensión ni aplicación. 1 3

El sistema disciplinario debe coordinarse con normativa laboral y convenio. No puede inventar sanciones o procedimientos contrarios a derechos de trabajadores. También debe contemplarse cómo corregir fallos organizativos: sancionar a un empleado no arregla por sí solo un proceso que facilita el mismo incumplimiento.

Canal interno y protección del informante

El deber de informar riesgos al órgano de supervisión forma parte de los requisitos del modelo penal. Debe distinguirse del sistema interno de información regulado por la Ley 2/2023, obligatorio para entidades incluidas en su ámbito, entre ellas determinadas empresas por plantilla o sector. No toda empresa pequeña queda fuera ni toda que adopta compliance cumple automáticamente esa ley. 1 4

Defina recepción, acceso, confidencialidad, respuesta y conservación. Un buzón compartido con toda la dirección puede ser inadecuado. La protección de quien informa y la de la persona afectada deben coexistir con una investigación proporcionada, sin dar por probado el contenido de cada aviso.

Investigación y reacción ante un incidente

Prepare un procedimiento para preservar documentos, limitar riesgos y decidir quién investiga. Debe respetar intimidad, protección de datos, defensa y límites de acceso. La investigación interna no autoriza a revisar indiscriminadamente comunicaciones privadas ni a obtener confesiones mediante amenazas. 3 4

Si se detecta una conducta relevante, documente decisiones, medidas de contención y revisión del sistema. Las actuaciones posteriores pueden tener efectos jurídicos, incluidos los previstos en el artículo 31 quater, pero no deben falsearse fechas ni presentar controles nuevos como antiguos. La transparencia documental ayuda a evaluar lo que realmente funcionó y lo que falló. 1

Revisión y certificaciones

Revise el modelo cuando cambien actividad, estructura, sistemas o riesgos, y cuando un incidente muestre debilidades. La revisión periódica no consiste en cambiar la fecha de portada. Debe comprobar controles mediante muestras y registrar mejoras. Una certificación puede aportar información adicional, pero la Fiscalía señala que no sustituye la valoración judicial de eficacia. 1 3

La STS de 11 de abril de 2025, recogida en crónica oficial, recuerda que la responsabilidad corporativa necesita fundamento propio y no se copia automáticamente de la persona física. Ese criterio refuerza la importancia de documentar la organización real, sin prometer que cualquier programa evitará una condena. 5

Ejemplo ficticio

Una empresa de doce trabajadores detecta que un empleado cambia cuentas de proveedores sin comprobación. Implanta validación independiente, registro de cambios y revisión mensual de pagos excepcionales. Forma a quienes intervienen y prevé un cauce para avisar si la dirección presiona para saltarse el control. Es una mejora concreta y comprobable; copiar un manual extenso sin modificar el proceso no produciría el mismo resultado preventivo.

Preguntas frecuentes

¿Necesito un departamento exclusivo? La estructura debe ser adecuada al tamaño y riesgos, respetando los requisitos legales de supervisión. No existe una solución organizativa única. 1

¿Un certificado elimina responsabilidad? No. Puede ser un elemento de valoración, pero la eficacia y los hechos los examina el órgano competente. 3

¿Basta con tener un canal de denuncias? No. El modelo penal incluye riesgos, decisiones, recursos financieros, información, disciplina y revisión, entre otros requisitos. 1