LA RESPONSABILIDAD PENAL DE LAS PERSONAS JURIDICAS EN LOS DELITOS PATRIMONIALES Y SU ALCANCE

LA RESPONSABILIDAD PENAL DE LAS PERSONAS JURIDICAS EN LOS DELITOS PATRIMONIALES Y SU ALCANCE José Javier Polo Rodríguez Fiscal Jefe Provincial de Madrid 1

Resumen La reforma del Código Penal de 2.015 ha supuesto una mejora técnica en la regulación de la responsabilidad penal de las personas jurídicas, introducida en nuestro ordenamiento jurídico por la L.O. 5/2010, de 22 de junio, con la finalidad de delimitar adecuadamente el contenido del debido control, cuyo quebrantamiento permite fundamentar su responsabilidad penal. Con ello se pone fin a las dudas interpretativas que había planteado la anterior regulación, que desde algunos sectores había sido interpretada como un régimen de responsabilidad vicarial, y se asumen ciertas recomendaciones que en ese sentido habían sido realizadas por algunas organizaciones internacionales. En todo caso, el alcance de las obligaciones que conlleva ese deber de control se condiciona, de modo general, a las dimensiones de la persona jurídica. La modificación legislativa resulta especialmente importante en el ámbito del Derecho Penal de la Empresa. Los efectos se encuentran tanto en la Parte General del Código como en la Parte Especial, en los delitos concretos en los que se contempla la responsabilidad penal de las personas jurídicas involucradas. La reforma aprobada se ha realizado en conciencia de que el transcurso del tiempo y las nuevas demandas sociales evidencian la necesidad de llevar a cabo determinadas modificaciones de la normativa penal. Prueba de dicha importancia y la rapidez con la que desea llevarse a cabo tal adaptación es el período de 'vacatio legis' que se impone, estableciendo su entrada en vigor el 1 de julio de 2015, lo que supuso tres meses de margen frente a los seis meses habituales en estas modificaciones. Aunque se condiciona el deber de control a las dimensiones de la persona jurídica, la redacción del art. 31.2 bis del nuevo Código Penal evidencia que los programas de 'corporate compliance' se configuran como una verdadera causa de exclusión de la responsabilidad penal. El espíritu de los cambios introducidos es limitar la responsabilidad de las personas jurídicas a aquellos casos en los que se produce una infracción del deber de supervisión y condicionar la responsabilidad de las personas jurídicas a la existencia de un programa de gestión que conlleve una reducción significativa del riesgo de comisión de delitos. Igualmente, se descartó finalmente introducir un tipo penal que sancionara a los representantes o administradores que dejaran de adoptar las medidas necesarias para evitar la comisión de delitos. En definitiva, la existencia de tales programas de gestión es excluyente de la responsabilidad penal de la persona jurídica si se ha producido antes de la comisión del hecho delictivo. 2

ESQUEMA I.- LA REFORMA DEL CÓDIGO PENAL DE 2.010 Y DE 2.015. LA NUEVA REGULACIÓN DE LA RESPONSABILIDAD PENAL DE LAS PERSONAS JURÍDICAS II.- LA IMPUTACION SUBJETIVA DE LA PERSONA JURIDICA. SUJETO ACTIVO DEL DELITO III.- LA IMPUTACION OBJETIVA DE LA PERSONA JURIDICA. CONCEPTO LEGAL DE AUTORIDAD DE DECISIÓN Y CONTROL. IV.- LOS PROGRAMAS DE CUMPLIMIENTO CORPORATIVO O COMPLIANCE. SU CONFIGURACIÓN COMO PRESUPUESTO DE EXENCIÓN V.- REGLAS ESPECIFICAS SOBRE IMPUTACION, PENALIDAD, CIRCUNSTANCIAS Y ATENUANTES I.- LA REFORMA DEL CÓDIGO PENAL DE 2.010 Y DE 2.015. LA NUEVA REGULACIÓN DE LA RESPONSABILIDAD PENAL DE LAS PERSONAS JURÍDICAS ANTECEDENTES LEGISLATIVOS. Del societas delinquere non potest a los programas de compliance Es importante analizar el contexto en que las modificaciones legislativas se producen; con tres intervenciones del legislador en menos de cinco años: 2.010, 2.012 y 2.015. 1.- LA REFORMA DEL CÓDIGO PENAL DE 2.010 PRINCIPIOS INSPIRADORES (NECESIDAD DE REFORMAR) obligaciones internacionales, especialmente en el ámbito de la armonización jurídica europea, que exigían adaptaciones: Por ejemplo: - responsabilidad penal de las personas jurídicas - blanqueo de capitales - penalidad tráfico de drogas 1 - tratamiento de la pornografía y prostitución infantil - tráfico ilícito de órganos humanos 2 1 Decisión Marco 2004/757/JAI del Consejo, de 25 de octubre de 2004, relativa al establecimiento de disposiciones mínimas de los elementos constitutivos de delitos y las penas aplicables en el ámbito del tráfico ilícito de drogas. 3

- protección penal del medio ambiente 3 - corrupción en las transacciones comerciales internacionales 4 - comiso bienes del delito 5 Características del sistema penal español sobre responsabilidad penal de las personas jurídicas implantado en el Código Penal de 2.010 Instrumentos jurídicos internacionales demandaban una respuesta penal clara para las personas jurídicas, sobre todo en aquellas figuras delictivas donde la posible intervención de las mismas se hace más evidente (corrupción en el sector privado, en las transacciones comerciales internacionales, pornografía y prostitución infantil, trata de seres humanos, blanqueo de capitales, inmigración ilegal, ataques a sistemas informáticos...) En la Parte General. Reglas de participación, circunstancias, penalidad y consecuencias. En la Parte Especial. Fórmulas y tipos tasados. Con una responsabilidad del tipo vicarial y una exigencia de tipicidad específica excluyente de algunas figuras delictivas. Como todo catálogo, discutible. PARTE GENERAL: - 31 bis autoría, circunstancias modificativas 6. 2 La Organización Mundial de la Salud lo tiene declarado desde 2004 3 Agravación de las penas e incorporación a la legislación penal española de los supuestos previstos en la Directiva 2008/99/CE de 19 de noviembre, relativa a la protección del medio ambiente mediante el Derecho penal. 4 Convenio Penal sobre la corrupción del Consejo de Europa de 27 de enero de 1999 y Convenio relativo a la lucha contra los actos de corrupción en los que estén implicados funcionarios de las Comunidades Europeas o de los Estados miembros de la Unión Europea. Extender el concepto de funcionario para que alcance también al funcionario comunitario y al funcionario extranjero al servicio de otro país miembro de la Unión Europea. Así: se regula el delito de corrupción de funcionario público extranjero en las transacciones comerciales internacionales, en cumplimiento del Convenio de la Organización para la Cooperación y el Desarrollo Económico (OCDE) de Lucha contra la Corrupción de Agentes Públicos Extranjeros en las Transacciones Comerciales Internacionales. (Art 445) 5 Transposición de la Decisión Marco 2005/212/JAI del Consejo, de 24 de febrero de 2005, relativa al decomiso de los productos, instrumentos y bienes relacionados con el delito. 6 31 bis 1. En los supuestos previstos en este Código, las personas jurídicas serán penalmente responsables de los delitos cometidos en nombre o por cuenta de las mismas, y en su provecho, por sus representantes legales y administradores de hecho o de derecho. En los mismos supuestos, las personas jurídicas serán también penalmente responsables de los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en provecho de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por no haberse ejercido sobre ellos el debido control atendidas las concretas circunstancias del caso. 2. La responsabilidad penal de las personas jurídicas será exigible siempre que se constate la comisión de un delito que haya tenido que cometerse por quien ostente los cargos o funciones aludidas en el 4

- 33.7 penas aplicables. - 50.3 y 4 multa, cuotas. - 52.4 multa proporcional. - 53.5 pago fraccionado. - 33.3.m pérdida de subvenciones o beneficios. - 66 bis atenuantes y agravantes ( ) - 116.3 resp. Civil ex delicto. - 129 consecuencias accesorias. - 130.2 extinción de la responsabilidad penal. PARTE ESPECIAL (autoría personas jurídicas) En los siguientes delitos: - 189 bis en delitos de prostitución. - 251 bis en estafas. - 261 bis en insolvencias punibles. apartado anterior, aun cuando la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella. Cuando como consecuencia de los mismos hechos se impusiere a ambas la pena de multa, los jueces o tribunales modularán las respectivas cuantías, de modo que la suma resultante no sea desproporcionada en relación con la gravedad de aquéllos. 3. La concurrencia, en las personas que materialmente hayan realizado los hechos o en las que los hubiesen hecho posibles por no haber ejercido el debido control, de circunstancias que afecten a la culpabilidad del acusado o agraven su responsabilidad, o el hecho de que dichas personas hayan fallecido o se hubieren sustraído a la acción de la justicia, no excluirá ni modificará la responsabilidad penal de las personas jurídicas, sin perjuicio de lo que se dispone en el apartado siguiente. 4. Sólo podrán considerarse circunstancias atenuantes de la responsabilidad penal de las personas jurídicas haber realizado, con posterioridad a la comisión del delito y a través de sus representantes legales, las siguientes actividades: a. Haber procedido, antes de conocer que el procedimiento judicial se dirige contra ella, a confesar la infracción a las autoridades. b. Haber colaborado en la investigación del hecho aportando pruebas, en cualquier momento del proceso, que fueran nuevas y decisivas para esclarecer las responsabilidades penales dimanantes de los hechos. c. Haber procedido en cualquier momento del procedimiento y con anterioridad al juicio oral a reparar o disminuir el daño causado por el delito. d. Haber establecido, antes del comienzo del juicio oral, medidas eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica. 5. Las disposiciones relativas a la responsabilidad penal de las personas jurídicas no serán aplicables al Estado, a las Administraciones Públicas territoriales e institucionales, a los Organismos Reguladores, las Agencias y Entidades Públicas Empresariales, a los partidos políticos y sindicatos, a las organizaciones internacionales de derecho público, ni a aquellas otras que ejerzan potestades públicas de soberanía, administrativas o cuando se trate de Sociedades mercantiles Estatales que ejecuten políticas públicas o presten servicios de interés económico general. En estos supuestos, los órganos jurisdiccionales podrán efectuar declaración de responsabilidad penal en el caso de que aprecien que se trata de una forma jurídica creada por sus promotores, fundadores, administradores o representantes con el propósito de eludir una eventual responsabilidad penal. 5

- 288 en fraudes. - 302.2 en blanqueo capitales. - 310 bis en d.c. Hacienda Pública. - 318 bis en d. c. Derechos Trabajadores. - 327-328 en d. c. Medio ambiente. - 319.4 en d. c. Ordenación del territorio y urbanismo. - 343-348 en emisión radiaciones o sustancias peligrosas. - 369 bis en tráfico de drogas. - 399 bis falsificación. - 427.2 Cohechos, 430 Tráfico de influencias, 445.2 corrupción transacciones internacionales. - 570 quater organización o grupo criminal. - 576 bis.3 financiación a sabiendas del terrorismo. 2.- LA REFORMA DEL CÓDIGO PENAL DE 2.015 El 31 de marzo de 2015 fue publicada en el Boletín Oficial del Estado la última reforma del Código Penal, operada por la Ley Orgánica 1/2.015. La modificación legislativa resulta especialmente importante en el ámbito de la responsabilidad penal de las personas jurídicas. La reforma lleva a cabo una mejora técnica en la regulación de la responsabilidad penal de las personas jurídicas, delimitando adecuadamente el contenido del "debido control", cuyo quebrantamiento permite fundamentar la responsabilidad penal de la persona jurídica. Se aprueba definitivamente la modificación que se introdujo en el trámite de enmiendas en el Senado el 10 de marzo de 2015 en relación con el art. 31 bis. Con ello se pone fin a las dudas interpretativas que había planteado la anterior regulación, que desde algunos sectores y por la propia Fiscalía General del Estado (Circular 1/2011) había sido interpretada como un régimen de responsabilidad vicarial, y se asumen ciertas recomendaciones que en ese sentido habían sido realizadas por algunas organizaciones internacionales. En todo caso, el alcance de las obligaciones que conlleva ese deber de control se condiciona, de modo general, a las dimensiones de la persona jurídica. Características del sistema penal español sobre responsabilidad penal de las personas jurídicas implantado en el Código Penal de 2.015: Responsabilidad propia ó responsabilidad por transferencia? En todo caso, conviene destacar que continúa sin modificarse el artículo 31 del Código Penal, que establece un sistema de responsabilidad propia de la persona jurídica, al exigir que concurran en ella las condiciones, cualidades o relaciones como elemento esencial de la autoría, independientemente de que concurran en el administrador de hecho o de derecho, como persona física autora del delito. Por el contrario, el sistema que establece el nuevo artículo 31 bis es el de responsabilidad por transferencia, de manera que como luego veremos, al configurarse el debido control como núcleo de antijuridicidad, hace recaer sobre la persona jurídica la responsabilidad por los delitos cometidos en su nombre y provecho -ahora dice beneficio directo o indirecto - por parte de quienes están autorizados para tomar 6

decisiones en nombre de aquélla u ostentan facultades de organización y control en el seno de la misma. El artículo queda redactado como sigue (en negrita y subrayado, lo novedoso del texto): «1. En los supuestos previstos en este Código, las personas jurídicas serán penalmente responsables: a) De los delitos cometidos en nombre o por cuenta de las mismas, y en su beneficio directo o indirecto 7, por sus representantes legales 8 o por aquellos que actuando individualmente o como integrantes de un órgano de la persona jurídica, están autorizados para tomar decisiones en nombre de la persona jurídica u ostentan facultades de organización y control dentro de la misma. b) De los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en beneficio directo o indirecto de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas mencionadas en el párrafo anterior, han podido realizar los hechos por haberse incumplido gravemente por aquéllos los deberes de supervisión, vigilancia y control de su actividad atendidas las concretas circunstancias del caso. 7 Antes decía: en su provecho 8 Suprime la frase: administradores de hecho o de derecho 7

II.- LA IMPUTACION SUBJETIVA DE LA PERSONA JURIDICA. SUJETO ACTIVO DEL DELITO A. ANTECEDENTES LEGISLATIVOS Personas jurídicas excluidas de aplicación de responsabilidad penal: 1- Exclusión de entidades públicas. TEXTO DE 2.010: 31 bis.5: Las disposiciones relativas a la responsabilidad penal de las personas jurídicas no serán aplicables al Estado, a las Administraciones Públicas territoriales e institucionales, a los Organismos Reguladores, las Agencias y Entidades Públicas Empresariales, a los partidos políticos y sindicatos, a las organizaciones internacionales de derecho público, ni a aquellas otras que ejerzan potestades públicas de soberanía, administrativas o cuando se trate de Sociedades mercantiles Estatales que ejecuten políticas públicas o presten servicios de interés económico general. TEXTO DE 2.012 (desparece la exclusión de los partidos políticos y sindicatos): 5. Las disposiciones relativas a la responsabilidad penal de las personas jurídicas no serán aplicables al Estado, a las Administraciones Públicas territoriales e institucionales, a los Organismos Reguladores, las Agencias y Entidades Públicas Empresariales, a las organizaciones internacionales de derecho público, ni a aquellas otras que ejerzan potestades públicas de soberanía, administrativas o cuando se trate de Sociedades mercantiles Estatales que ejecuten políticas públicas o presten servicios de interés económico general. Párrafo primero del número 5 del artículo 31 bis redactado por el apartado uno del artículo único de la L.O. 7/2012, de 27 de diciembre, por la que se modifica la L.O. 10/1995, de 23 de noviembre, del Código Penal en materia de transparencia y lucha contra el fraude fiscal y en la Seguridad Social Vigencia: 17 enero 2013 2.- Sociedades mercantiles públicas Novedad de 2.015: En el caso de las Sociedades mercantiles públicas que ejecuten políticas públicas o presten servicios de interés económico general, solamente les podrán ser impuestas las penas previstas en las letras a) y g) del apartado 7 del artículo 33. Esta limitación no será aplicable cuando el juez o tribunal aprecie que se trata de una forma jurídica creada por sus promotores, fundadores, administradores o representantes con el propósito de eludir una eventual responsabilidad penal.» B. PERSONAS JURÍDICAS EN PROCESO DE FORMACIÓN Audiencia Nacional (Sección 1ª, Sala de lo Penal), Sentencia num. 2/2015 de 23 enero: Interesante sentencia que confirma la imposibilidad de declarar responsables penalmente aquellas sociedades aún no constituidas formalmente, o, en puridad, carentes de personalidad jurídica (que viene dada por su inscripción en el registro público correspondiente), disponiendo que: 8

Lo cierto es que, a efectos penales como es el caso, nos encontramos ante una sociedad irregular carente de personalidad jurídica, y por lo tanto excluida del sistema de responsabilidad penal que para las personas jurídicas establece el artículo 31 bis del Código Penal ( RCL 1995, 3170 y RCL 1996, 777) en redacción dada por la Ley Orgánica 5/2010, de 22 de junio ( RCL 2010, 1658 ), siendo aplicable en su caso, las denominadas consecuencias accesorias contenidas en el artículo 129 del CódigoPenal, expresamente previstas para ese tipo de entidades jurídicas. La nota distintiva de este tipo de sociedades es su incapacidad para realizar acciones jurídicamente relevantes y para actuar culpablemente, ya que salvo a efectos fiscales, no existen como tales formalmente, por lo que mal se podía haber otorgado poder alguno legalmente válido en favor de Juan Alberto para el alquiler de la nave de Sabadell, o para cualquier otra operación, ya que no existía persona física o jurídica alguna investida de las facultades legales para ello. Es más incluso a efectos penales, una sociedad irregular carece de patrimonio propio, y en consecuencia, ni se le puede disolver, ya que no existe como tal, ni se le puede imponer una sanción pecuniaria ya que carece de patrimonio autónomo; y todo ello, sin perjuicio de las obligaciones que los socios pudieran haber asumido en nombre de la sociedad frente a terceros, que les sería exigible en su caso en vía mercantil. Que las sociedades no inscritas en el Registro Mercantil carecen de personalidad jurídica y, por tanto, es claro que quedan excluidas del régimen de responsabilidad penal previsto por el Código Penal, siendo más cuestionable que todo acto o negocio jurídico en que participara careciera de efectos en el tráfico económico. En cualquier caso, el dato es la ausencia de responsabilidad penal que impediría incluso la imposición por esa vía de sanción pecuniaria alguna -por carecer de patrimonio propio y autónomo al de, eventualmente, sus socios o copartícipes- o decretar su disolución. C. RESPONSABILIDAD VICARIAL EX ART. 31 BIS Audiencia Provincial de Madrid (Sección 3a), Sentencia num. 742/2014, de 17 de diciembre: La Audiencia de Madrid condena a una persona jurídica por un delito de estafa con arreglo a lo dispuesto en el artículo 251 bis.2 C.P, declarando la responsabilidad penal al haberse demostrado los hechos cometidos y su participación directa, material y voluntaria en concepto de autor. Cabe destacar que el delito fue perpetrado por el administrador único de la empresa, derivándose así la responsabilidad penal de la persona jurídica por acción de su administrador, en los términos previstos en el artículo 31bis.1. CUARTO Los hechos declarados probados son constitutivos respecto de la entidad Grupo Boca de Restauración Integral S.L. un delito de estafa previsto y penado en el art. 251 bis 2º del Código Penal ( RCL 1995, 3170 y RCL 1996, 777) y que castiga a la persona jurídica que conforme a lo dispuesto en el art. 31bis, sea responsable de los delitos cometidos en esta Sección. QUINTO.- Del citado delito son responsables en concepto de autores el acusado Hilario y la entidad Grupo Boca de Restauración Integral S.L, por su participación directa, 9

material y voluntaria en los hechos conforme establecen los arts. 27, 28 y 31 bis del Código Penal ( RCL 1995, 3170 y RCL 1996, 777). III.- LA IMPUTACION OBJETIVA DE LA PERSONA JURIDICA. CONCEPTO LEGAL DE AUTORIDAD DE DECISIÓN Y CONTROL. 1. AUTORÍA Se delimitan, por tanto, dos modalidades de dominio del hecho a efectos de imputación de la persona jurídica: a) las conductas efectuadas en su nombre por quienes tienen autoridad de decisión y b) las conductas desplegadas en su actividad social por quienes no la tienen, pero han podido actuar gracias a la omisión de los anteriores. En definitiva, teniendo en cuenta que el sistema de imputación consiste en que esta responsabilidad penal de la persona jurídica únicamente podrá ser declarada en aquellos supuestos donde expresamente se prevea (como se desarrolla en la parte especial del Código Penal, delito por delito) se configura en una doble vía, o bien a través de la imputación de delitos cometidos en su nombre o por su cuenta, y en su beneficio/provecho, por las personas que tienen poder de representación en las mismas, o bien en virtud de responsabilidad por aquellas infracciones propiciadas por no haber ejercido la persona jurídica el debido control sobre sus empleados. Se mantiene, como luego veremos en el nuevo art. 31 ter, que podrá declararse con independencia de que se pueda o no individualizar la responsabilidad penal de la persona física. Ausencia del debido control 9. El llamado delito evitable. Comisión por omisión. En el segundo párrafo del art. 31 bis 1 vemos que se trata de un delito de comisión por omisión, pues se imputa a la persona jurídica por hechos que las personas físicas «han podido realizar (...) por no haberse ejercido sobre ellos el debido control (...)», es decir, que de haberse controlado los hechos por los responsables de la organización de la persona jurídica, estos no hubieran acaecido; es pues la no evitación del resultado por parte de esta entidad en posición de garante, lo que fundamenta la imputación objetiva de esta conducta de comisión por omisión (art. 11). En el primer párrafo del mismo artículo y apartado no se hace mención expresa, como fundamento de la responsabilidad penal de la persona jurídica, de la ausencia de control por parte de nadie ni de un defecto de organización estructural o funcional que hayan permitido al representante o al administrador de la persona jurídica ejecutar el delito, pero la imposibilidad de derivar una responsabilidad penal de una conducta ajena, sin imputación objetiva primero y subjetiva después, exige encontrar ese fundamento implícito que, en cualquier caso, tendrá que consistir en un «no hacer» 9 Entendiendo el término control en sus acepciones más generales de intervención, dominio, mando 10

coetáneo o anterior al hecho delictivo protagonizado por el administrador o el representante legal, en definitiva en una comisión por omisión que permitió o no impidió que acaeciera la conducta delictiva básica. Un administrador o representante legal de una persona jurídica puede cometer un delito evitable por la intervención de un órgano de la sociedad, cuando actúa por cuenta y en provecho de la misma, en alguno de los siguientes supuestos: 1. Ausencia o insuficiencia en la entidad jurídica de órganos de selección, formación y seguimiento de la actividad desarrollada por los administradores y representantes legales en su nombre y provecho: defecto de organización. 2. Error vencible en la selección de las personas o en su formación posterior a la misma: mal funcionamiento de la organización en el área de recursos humanos (selección y/o formación). 3. Ausencia de vigilancia o seguimiento, por parte del órgano encargado del mismo, de las actuaciones de los administradores o representantes legales: mal funcionamiento de la organización en el área de control. Por otra parte, no es admisible que el primer párrafo del art. 31 bis 1 se considere anclado en una responsabilidad objetiva, al no hacer referencia a ningún requisito típico de la persona jurídica administrada o representada, pues incluso una interpretación sistemática de este precepto en relación con la circunstancia atenuante d) del ap. 4 del mismo artículo (establecimiento de «medidas eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica») exige considerar que solo en determinados supuestos de defecto de organización o de control, sea viable tal exigencia de responsabilidad, además de las generales exigencias del CP para considerar una conducta delictiva. 2.- EXIMENTES La nueva regulación incluye en este segundo y último apartado del artículo 31 bis, para el supuesto de aquellos que tienen autoridad de decisión, un catálogo expreso de circunstancias de exención de responsabilidad criminal: 2. Si el delito fuere cometido por las personas indicadas en la letra a) del apartado anterior, la persona jurídica quedará exenta de responsabilidad si se cumplen las siguientes condiciones: La redacción no deja lugar a dudas, (usa el condicional si se cumplen las siguientes ) en el sentido de que han de concurrir todas y cada una de las circunstancias para que se dé la exención. Por otra parte, la interpretación sistemática nos lleva a concluir que son necesarias todas, ya que las atenuantes se configuran como los supuestos en los que falta alguna de las causas de exención o de los elementos de exención. No tendría ningún sentido que pudiéramos invocar la exención en ausencia de algunos de los elementos. Control previo e idóneo: 1ª) el órgano de administración ha adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyen las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o para reducir de forma significativa el riesgo de su comisión; 11

Control a cargo de un órgano autónomo: 2ª) la supervisión del funcionamiento y del cumplimiento del modelo de prevención implantado ha sido confiada a un órgano de la persona jurídica con poderes autónomos de iniciativa y de control o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos de la persona jurídica; Elusión fraudulenta del control: 3ª) los autores individuales han cometido el delito eludiendo fraudulentamente los modelos de organización y de prevención, y; Ausencia o insuficiencia de control: 4ª) no se ha producido una omisión o un ejercicio insuficiente de sus funciones de supervisión, vigilancia y control por parte del órgano al que se refiere la condición 2ª. Atenuante específica: En los casos en los que las anteriores circunstancias solamente puedan ser objeto de acreditación parcial, esta circunstancia será valorada a los efectos de atenuación de la pena. 3. En las personas jurídicas de pequeñas dimensiones, las funciones de supervisión a que se refiere la condición 2ª del apartado 2 podrán ser asumidas directamente por el órgano de administración. A estos efectos, son personas jurídicas de pequeñas dimensiones aquéllas que, según la legislación aplicable, estén autorizadas a presentar cuenta de pérdidas y ganancias abreviada. 4. Si el delito fuera cometido por las personas indicadas en la letra b) del apartado 1, la persona jurídica quedará exenta de responsabilidad si, antes de la comisión del delito, ha adoptado y ejecutado eficazmente un modelo de organización y gestión que resulte adecuado para prevenir delitos de la naturaleza del que fue cometido o para reducir de forma significativa el riesgo de su comisión. En este caso resultará igualmente aplicable la atenuación prevista en el párrafo segundo del número 2 de este artículo. Se incluye, finalmente, en el propio tipo - y de forma un tanto inusual para la técnica legislativa jurídico-penal - una descripción de la forma y requisitos que potencialmente han de reunir los sistemas de base para la eximente: 5. Los modelos de organización y gestión a que se refieren la condición 1ª del apartado 2 y el apartado anterior, deberán cumplir los siguientes requisitos: 1) Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos. 2) Establecerán los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquéllos. 3) Dispondrán de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos. 12

4) Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención. 5) Establecerán un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo. 6) Realizarán una verificación periódica del modelo y de su eventual modificación cuando se pongan de manifiesto infracciones relevantes de sus disposiciones, o cuando se produzcan cambios en la organización, en la estructura de control o en la actividad desarrollada que los hagan necesarios.» Realmente estos apartados no dejan de ser unas recomendaciones que hace el legislador, nada impide que se utilicen otros sistemas. En definitiva, aunque el legislador no termine de entender que el diseño tiene dificultad práctica, no deja de ser una estructura orientada a la imputación objetiva. Y los reproches al sistema no pueden dejar de reconocer que estamos en una exigencia referida a los parámetros de la responsabilidad criminal, no a los de la responsabilidad civil o mercantil. 13

IV.- LOS PROGRAMAS DE CUMPLIMIENTO CORPORATIVO O COMPLIANCE. SU CONFIGURACIÓN COMO PRESUPUESTO DE EXENCIÓN Aunque se condiciona el deber de control a las dimensiones de la persona jurídica, la redacción del art. 31.2 bis evidencia que los programas de 'corporate compliance' se configuran como una verdadera causa de exclusión de la responsabilidad penal. La idea del legislador de 2.015 parece que es la de limitar la responsabilidad de las personas jurídicas a aquellos casos en los que se produce una infracción del deber de supervisión y condicionar la responsabilidad de las personas jurídicas a la existencia de un programa de gestión que conlleve una reducción significativa del riesgo de comisión de delitos, en lugar de poner el acento en la imputación semiobjetiva, consistente en castigar finalísticamente la omisión propia. 10 A) CONCRECIÓN DEL DEBIDO CONTROL COMO PRESUPUESTO DE LA RESPONSABILIDAD PENAL En definitiva, la existencia de tales programas de gestión es excluyente de la responsabilidad penal de la persona jurídica, si se ha producido antes de la comisión del hecho delictivo. Como novedad, que dota de auténtico contenido a la responsabilidad penal de las empresas y sus administradores, se concreta en la actividad a que debe extenderse el debido control y, por tanto de los componentes mínimos del programa de cumplimiento efectivo Las investigaciones internas en los programas de compliance, se configuran como medios imprescindibles para la prevención de los delitos - en la empresa, - contra la empresa o - desde la empresa Integran, a su vez, la defensa de la empresa frente a una posible responsabilidad penal ex art. 31 bis CP. Pero, cuál es el alcance de los conceptos idoneidad y eficacia? aplicados a las medidas de vigilancia y control y a la ejecución de las mismas. Veamos primero la base legal: Art. 31 bis.1.a.in fine, sensu contrario, contempla la autoría respecto de los que ostentan facultades de organización y control dentro de la persona jurídica Art. 31 bis.b, han podido realizar los hechos por haberse incumplido gravemente los deberes de supervisión, vigilancia y control Realmente lo esencial es el principio de efectividad. Es necesario para un correcto control que la actividad esté contemplada, como dice el propio apartado 5 del art. 31 bis y para delimitar el responsable en el futuro, tiene que haber protocolos y sistemas de valoración de riesgos, como en otros ámbitos del derecho, por ejemplo, en el del derecho laboral. Por lo tanto, la idea de idoneidad-eficacia obliga a una perspectiva ex - ante, desde el punto de vista de una imputación objetiva. Habrá que estar a un estándar en el programa de cumplimiento (compliance) teniendo en cuenta siempre la idoneidad, la adecuación y la eficacia continuada como criterios de examen. 10 En los trabajos pre legislativos se descartó finalmente la posibilidad del anteproyecto de introducir un tipo penal que sancionara a los representantes o administradores que dejaran de adoptar las medidas necesarias para evitar la comisión de delitos. 14

Efectivamente, el apartado cinco del artículo 31 bis desarrolla los principios de idoneidad y de eficacia como elemento de adecuación: no se trata de un séptimo requisito sino que es la idea básica que con posterioridad se desarrolla. Estamos, por tanto, ante la presencia de mecanismos para la articulación de la responsabilidad penal de la persona jurídica por vía de la imputación objetiva: 1º.- La creación de un riesgo residual, por encima de lo tolerable, que implica un rechazo a la creación del riesgo, aunque no un rechazo a la existencia del riesgo. 2º. Si, por encima de este riesgo residual, se ha producido un resultado, tenemos las bases para la imputación. B) LA LLAMADA POLICÍA EMPRESARIAL COMO PROTECCIÓN DE LA PERSONA JURÍDICA. Hemos visto cómo se configura una obligación de control, con indudables consecuencias, incluso penales. Ha habido un cambio en la policía de delitos: se derivan a la responsabilidad privada, en distintas figuras delictivas, como el blanqueo de capitales. En definitiva policías empresariales internas. Se trata, pues de una plasmación de las llamadas medidas de policía empresarial ya reconocidas por la jurisprudencia 11. Son necesarias medidas de autoprotección que pueden dar lugar a investigaciones internas: El prototipo: registro de los ordenadores de los trabajadores 12 En este sentido, cabe preguntarse, en el ámbito del régimen disciplinario de la empresa, si es posible, cuando existan infracciones del código de conducta, adoptar medidas de prevención. Ya existen reconocidas en el artículo 58 del Estatuto de los Trabajadores, a través de los llamados incumplimientos laborales (principio de antijuridicidad) aquellos vinculados a la relación laboral. Y, además, mediante el impedimento de sanciones distintas a las disposiciones legales y a los convenios (principio de tipicidad) Pero lo verdaderamente sancionable es la omisión por parte del encargado del programa de cumplimiento (compliance officer) Ahora bien, no puede haber un sistema de responsabilidad paralelo entre el derecho penal y el derecho laboral. Conceptos como la transgresión de la buena fe contractual o el abuso de confianza son instrumentos que ya no sirven para la 11 Sentencia Tribunal Supremo, Sala 4ª, de 26 de septiembre de 2007, se actúa en función de policía privada o empresarial, en el marco de su programa de compliance. 12 Afectan a los derechos constitucionales, al derecho del trabajo, al derecho procesal y, eventualmente, al derecho penal. Puede afectar a la legalidad de la obtención de pruebas (art. 11. 1 LOPJ) que permitan aplicar medidas del derecho laboral contra el trabajador o incluso servir para su persecución penal. También es posible la lesión del derecho a la intimidad y a la protección de datos del trabajador, lo que puede ser determinante de la responsabilidad extracontractual de la empresa por daños ocasionados al trabajador (art. 1902 CC) Incluso podría dar lugar a la comisión del delito del art. 197 Código Penal por descubrimiento y revelación de secretos para los que ordenan o realizan las diligencias correspondientes. Es una cuestión de límites entre derechos del empleador y derechos del trabajador. (arts. 18 y 20.3 ET) El reconocimiento por el Tribunal Constitucional de la vigencia plena del derecho a la intimidad del art. 18.3 CE también en el ámbito laboral ha dado por terminada, al menos en este ámbito, la posible aplicación de la anticuada teoría de las especiales relaciones de sujeción, que no podrá determinar por sí misma una limitación de los derechos fundamentales del trabajador. 15

delimitación de la responsabilidad penal de la persona jurídica derivada de la omisión de los programas de cumplimiento. El sistema del nuevo Código Penal se basa en la exigencia de una responsabilidad por transferencia, derivada del incumplimiento de los propios órganos internos de la entidad jurídica y más allá de la conducta individual. En conclusión, la cuestión más importante para los que pueden desprender la eficacia de una regulación de la responsabilidad penal de la persona jurídica es el encaje en el ordenamiento jurídico-penal que del principio de legalidad, siendo su derivación más concreta la de la taxatividad. Desde una perspectiva reduccionista en el sentido material de la palabra, es lógica la reticencia al uso de conceptos indeterminados. El alcance de la idoneidad y eficacia en el concepto de control hay que encontrarlo en la propia normativa. Al respecto, es llamativa la extensión en el apartado 1.a) in fine del artículo 31 bis del concepto de autoría a quienes ostentan facultades de organización y control y la inclusión en el 31 bis 1.b) de la palabra gravemente, los cuales pueden introducir elementos importantes para la interpretación. En cuanto a las medidas de vigilancia y control, el criterio más importante es el temporal, determinado en el apartado 2.1ª del citado precepto, donde se establece una exención de responsabilidad penal cuando el órgano de administración ha adoptado y ejecutado con eficacia modelos de organización y gestión antes de la comisión del delito. CRITERIOS BÁSICOS PARA UN PLAN PREVENTIVO 1. Parámetros de la prevención Cómo pueden prevenir y evitar las personas jurídicas su responsabilidad penal, en los supuestos típicos en los que le sería exigible? Esta actividad preventiva e inmunizadora de las personas jurídicas, frente a posibles responsabilidades penales, ha de partir de la naturaleza y extensión de sus riesgos dentro de los parámetros establecidos al respecto ut supra, que son: 1. Relativos al sujeto activo del delito persona física, como presupuesto necesario: 1. Solo si existe un delito cometido por una o varias personas físicas vinculadas a la persona jurídica, podrá existir responsabilidad penal para ella. No existirá delito si no le es imputable objetivamente a la persona física o su actuación está amparada por una causa de justificación. Sí existirá delito, aunque no se le pueda imputar efectiva o subjetivamente al autor por ausencia de individualización, de culpabilidad o de condena por fallecimiento o sustracción a la acción de la Justicia (art. 31 bis 3). 2. El sujeto activo principal, autor material del delito, tendrá que ser administrador, representante legal o dependiente de la entidad. 3. Además, actuar en provecho y en nombre o por cuenta de la misma. 2. Referentes a la participación de la persona jurídica en el hecho ajeno: 1. La persona jurídica, además de tener alguno de los vínculos típicos con el autor material del delito, para que se le impute objetivamente, ha de tener una implicación en dicho delito en régimen de comisión por omisión, lo que supone: a) Que el resultado acaecido pudiera haber sido evitado por la entidad de haber intervenido interrumpiendo el curso causal, abortándolo en cualquiera de sus 16

fases de ideación, resolución o ejecución. b) Que dadas las circunstancias concretas del caso, el desconocimiento o la no evitación del delito pueda vincularse a una carencia o defecto en la organización o el funcionamiento de la misma, bien en su fase constitutiva, bien en el momento de elegir o de capacitar para su actuación a los factores humanos, bien al controlar, supervisar, inspeccionar, vigilar las diversas áreas de la empresa (administración, dirección, producción, comercialización, financiación), es decir, que cuente con compliance programs y con una función empresarial más para actualizarlos y hacerlos efectivos -compliance officer-. c) Que respecto al hecho delictivo exista por parte de la empresa un deber jurídico de actuación que haya sido incumplido, derivado de la Ley, el contrato, normas autoimpuestas (compliance programs) o la previa intervención empresarial generando el riesgo. Es decir, que habrá que tener en cuenta: La normativa externa: leyes, reglamentos y normas éticas de buen gobierno externas aplicables a la persona jurídica: - Relativas a su forma jurídica (normas reguladoras de la vida societaria). - Referentes a la actividad económica de la empresa en el sector primario, secundario o terciario. 2. Y la normativa interna: la dictada por la propia entidad para el buen funcionamiento de su actividad. 3. Además ha de serle exigible a la persona jurídica, en atención a sus circunstancias concretas, que hubiera tenido los mecanismos en la organización o que teniéndolos hubieran funcionado adecuadamente, evitando así el delito cometido por la persona física, esto es, que exista culpa in constituiendo, in eligendo, in instruiendo vel in vigilando. 2. Ámbitos delictivos. Obviando los supuestos delictivos no concebibles en el seno de empresas que no son asociaciones ilícitas ni organizaciones criminales, resultan los siguientes posibles ámbitos de imputación de delitos a las personas jurídicas, todos ellos con un carácter patrimonial mediato o inmediato, y que afectan también a la libre competencia de un modo directo o indirecto: 1. Delitos específicamente patrimoniales: Estafas (art. 251 bis) Insolvencias punibles (art. 261 bis) Daños informáticos (art. 264) Delitos contra propiedades especiales, el mercado y los consumidores, y corrupción privada (288): Propiedad intelectual (arts. 270 a 272) Propiedad industrial (arts. 273 a 277) Relativos al mercado y a los consumidores: 2. Quebrantamiento de secretos: En general (art. 197.1 a 3): descubrir secretos apoderándose de información contenida en documentos, telecomunicaciones personales, archivos de todo tipo, incluidos los informáticos 17

En el ámbito de empresa (arts. 278 a 280) Detracción de mercancías en perjuicio del consumidor (art. 281) 3. Información o publicidad engañosa: Delito publicitario (art. 282) En el mercado de valores (art. 282 bis) Estafas por manipulación de instrumentos mecánicos (art. 283) Distorsión directa de la libre competencia: Intentando alterar los precios (art. 284-1.º y 2.º), Por violencia, intimidación o engaño Difundiendo información falsa Utilizando información privilegiada: O realizando operaciones de confusión en el mercado de valores o instrumentos financieros (art. 284-3.º) Para causar beneficio o perjuicio superior a 600.000 en «mercado organizado, oficial o reconocido» (art. 285) Tráfico clandestino de descodificadores de comunicaciones telemáticas (art. 286) 4. Corrupción privada (art. 286 bis) 5. Blanqueo de capitales (art. 502) 6. Delitos contra las Haciendas públicas y contra la Seguridad social (art. 310 bis) 3. Instrumentos de prevención y evitación Para prever y evitar la comisión de los delitos precedentes por administradores, representantes legales o dependientes de personas jurídicas, en nombre o por cuenta de ellas y en su provecho, se requerirá en términos generales seguir las siguientes pautas: 1.º Tener una cultura empresarial claramente establecida, actualizada y permanentemente difundida en los distintos niveles, relativa al estricto cumplimiento de la legalidad en todos los sectores del ordenamiento jurídico afectados por la actividad societaria, así como los principios éticos que la inspiran o complementan como los llamados «códigos de buen gobierno». Dicha cultura debe además basarse en el convencimiento de la rentabilidad económica a medio y largo plazo de la sumisión a la Ley y a la ética, pues cualquier desviación en tales ámbitos suele constituir en último término una contingencia de contenido económico (multa, responsabilidad civil, gastos procesales, etc.). Se hace referencia a la Ley en general y no solo y de inmediato a las leyes punitivas, porque casi todos los tipos penales imputables a las personas jurídicas (que no son ni asociaciones ilícitas ni mucho menos organización criminales), cuando no llegan a ser «tipos penales en blanco» tienen abundantes elementos jurídico-normativos, esto es, elementos típicos que no son descriptivos de la realidad sino auténticos «hechos jurídicos», conformados además en otros sectores del ordenamiento jurídico de carácter administrativo, tributario, mercantil, civil, laboral, siendo el tipo penal una mera sobreprotección de bienes jurídicos definidos y defendidos primariamente en sus respetivos ámbitos, lo que significa que si se cumple dicha normativa básica no penal, será imposible que se incurra en responsabilidad criminal, pues el incumplimiento de tales obligaciones jurídicas extrapenales suele ser una condictio necesaria sed non sufficiens para que la conducta sea penalmente típica. Estos elementos jurídico normativos de los tipos penales son procesalmente cuestiones prejudiciales, de ordinario meramente incidentales a resolver por el juzgado penal (arts. 3 y 7 LECrim.). Los delitos que no son leyes penales en blanco o no están afectados por elementos jurídico-normativos (estafas, insolvencias punibles, daños, cohecho público y privado) son tan evidentes, que no plantea dificultad alguna su previsión y evitación, en 18

un ambiente de cumplimiento de la legalidad. 2.º Para velar por el establecimiento, desarrollo, difusión y control de efectiva vigencia de la cultura indicada, deberá existir una o varias personas o incluso un departamento (según la dimensión de la empresa) con actividades de información, intervención de operaciones, auditoria de cuentas y de gestión, etc. En determinadas circunstancias podrá acudirse a un control externo de calidad en este ámbito de cumplimiento estricto de la legalidad. 3.º Extremar y ampliar las due diligence en absorciones, fusiones, compra de sociedades y demás implicaciones en otras sociedades, a los efectos de detectar todo tipo de contingencias relativas a responsabilidades por incumplimientos de normas jurídicas o de contratos, en particular las que puedan suponer responsabilidades penales, a los efectos de lo previsto en el art. 130.2 CPi[16]. 4.º Incluir en protocolos claros y concretos las recomendaciones precedentes, en el bien entendido que no basta con tener completos compliance programs o formales compliance officers para acreditar una buena organización y funcionamiento de la sociedad, pues en cada caso se verificará hasta qué punto tal apariencia correspondía a una realidad y, es más, en ocasiones el incumplimiento por parte de la organización de sus propias normas podrá ser un indicio claro de descontrol y de mal funcionamiento. V.- REGLAS ESPECIFICAS SOBRE IMPUTACION, PENALIDAD, CIRCUNSTANCIAS Y ATENUANTES SISTEMA DE PENAS PARA LOS DELITOS COMETIDOS POR PERSONAS JURÍDICAS- 1- Catálogo de penas imponibles a las personas jurídicas 13 ; a. consecuencias accesorias b. multa por cuotas y multa proporcional 14 c. inhabilitación para subvenciones y ayudas, d. inhabilitación para contratar con las Administraciones e. inhabilitación para beneficios e incentivos fiscales Art. 33, 7. Las penas aplicables a las personas jurídicas, que tienen todas la consideración de graves, son las siguientes: a) Multa por cuotas o proporcional. b) Disolución de la persona jurídica. La disolución producirá la pérdida definitiva de su personalidad jurídica, así como la de su capacidad de actuar de cualquier modo en el tráfico jurídico, o llevar a cabo cualquier clase de actividad, aunque sea lícita. c) Suspensión de sus actividades por un plazo que no podrá exceder de cinco años. 13 Se opta en este punto por el sistema claramente predominante en el Derecho comparado y en los textos comunitarios objeto de transposición, según el cual la multa es la pena común y general para todos los supuestos de responsabilidad, reservándose la imposición adicional de otras medidas más severas sólo para los supuestos cualificados que se ajusten a las reglas fijadas en el nuevo artículo 66 bis. 14 Se tiene en cuenta el posible fraccionamiento del pago de las multas que les sean impuestas a las personas jurídicas cuando exista peligro para la supervivencia de aquellas o la estabilidad de los puestos de trabajo, así como cuando lo aconseje el interés general 19

d) Clausura de sus locales y establecimientos por un plazo que no podrá exceder de cinco años. e) Prohibición de realizar en el futuro las actividades en cuyo ejercicio se haya cometido, favorecido o encubierto el delito. Esta prohibición podrá ser temporal o definitiva. Si fuere temporal, el plazo no podrá exceder de quince años. f) Inhabilitación para obtener subvenciones y ayudas públicas, para contratar con el sector público y para gozar de beneficios e incentivos fiscales o de la Seguridad Social, por un plazo que no podrá exceder de quince años. g) Intervención judicial para salvaguardar los derechos de los trabajadores o de los acreedores por el tiempo que se estime necesario, que no podrá exceder de cinco años. La intervención podrá afectar a la totalidad de la organización o limitarse a alguna de sus instalaciones, secciones o unidades de negocio. El Juez o Tribunal, en la sentencia o, posteriormente, mediante auto, determinará exactamente el contenido de la intervención y determinará quién se hará cargo de la intervención y en qué plazos deberá realizar informes de seguimiento para el órgano judicial. La intervención se podrá modificar o suspender en todo momento previo informe del interventor y del Ministerio Fiscal. El interventor tendrá derecho a acceder a todas las instalaciones y locales de la empresa o persona jurídica y a recibir cuanta información estime necesaria para el ejercicio de sus funciones. Reglamentariamente se determinarán los aspectos relacionados con el ejercicio de la función de interventor, como la retribución o la cualificación necesaria. La clausura temporal de los locales o establecimientos, la suspensión de las actividades sociales y la intervención judicial podrán ser acordadas también por el Juez Instructor como medida cautelar durante la instrucción de la causa. Los artículos 31 ter, quater y quinques del Código Penal quedan redactados como sigue: - Artículo 31 ter: (antiguo art. 31 bis.2, no hay novedad) «1. La responsabilidad penal de las personas jurídicas será exigible siempre que se constate la comisión de un delito que haya tenido que cometerse por quien ostente los cargos o funciones aludidas en el artículo anterior, aun cuando la concreta persona física responsable no haya sido individualizada o no haya sido posible dirigir el procedimiento contra ella. Criterio penológico propio: Cuando como consecuencia de los mismos hechos se impusiere a ambas la pena de multa, los jueces o tribunales modularán las respectivas cuantías, de modo que la suma resultante no sea desproporcionada en relación con la gravedad de aquéllos. Comunicabilidad circunstancias persona física-persona jurídica: 2. (antiguo art. 31 bis.3, no hay novedad) La concurrencia, en las personas que materialmente hayan realizado los hechos o en las que los hubiesen hecho posibles por no haber ejercido el debido control, de circunstancias que afecten a la culpabilidad del acusado o agraven su responsabilidad, o el hecho de que dichas personas hayan fallecido o se hubieren sustraído a la acción de la justicia, no excluirá ni modificará la responsabilidad penal de las personas jurídicas, sin perjuicio de lo que se dispone en el artículo siguiente.» Catálogo de atenuantes a posteriori de los hechos: - Artículo 31 quater: (antiguo art. 31 bis.4, no hay novedad) 20