Un caso real. Una empresa catalana del sector de la decoración cree que un directivo que se ha marchado a una empresa de la competencia se ha llevado información privilegiada. Ante las sospechas, encarga una investigación interna al despacho de Andrés Maluenda, especialista en derecho penal y cumplimiento penal (compliance, en inglés), que —con una pericial informática— le certifica que el exdirectivo se descargó información corporativa (listas de clientes, de productos, etc.) en las últimas dos semanas y podría ser denunciado por descubrimiento de secretos empresariales, aunque todavía no se ha difundido nada. Con estos indicios, ¿qué puede hacer la empresa? En la conclusión de la investigación, Maluenda le expone las diferentes opciones que tiene. Puede presentar una querella contra el exdirectivo y a la vez avisar a la nueva empresa de que también la denunciará si incorpora alguno de sus datos o reduce clientes. Además, la sociedad puede comunicar su acción al resto de trabajadores y directivos para evidenciar que no se quedará de brazos cruzados ante cualquier irregularidad, y a la vez envía un mensaje a clientes y proveedores de su comportamiento ético, según el penalista.
Las empresas están obligadas a efectuar estas investigaciones internas cuando reciben alguna denuncia por parte de trabajadores y personas externas a través de los canales internos de denuncia. Estos canales son obligatorios para empresas con más de 50 trabajadores desde la entrada en vigor de la Ley 2/2023 de protección de las personas informantes y lo deben comunicar a la Oficina Antifrau de Catalunya, que es la autoridad de control.
Cerca de 5.000 empresas con canales internos
Actualmente, hay 4.308 empresas del sector privado y 686 de entes e instituciones públicas que han comunicado a Antifrau que tienen un responsable de sistemas internos de información, según la consulta hecha por este diario. Precisamente, Antifrau ya ha detectado 29 factores limitadores del correcto funcionamiento de estos canales. "La ley habla de infracciones graves o muy graves, pero esta formulación es demasiado genérica. Hay que orientar mejor sobre qué es denunciable y qué no lo es", aseguró el director de Antifrau Josep Tomàs Salàs, en unas jornadas el pasado mayo.
La exigencia de tener un canal de denuncia, con la consiguiente investigación, ha favorecido que las empresas catalanas, pequeñas y medianas, empiecen a entender la necesidad de tener un cumplimiento penal o normativo, hace años implantado en Alemania y los Estados Unidos, según los expertos.
¿Qué es un compliance penal?
"Un compliance penal es un modelo de prevención de delitos que persigue tres finalidades. La primera es la de identificar las conductas de riesgo, que lo hace un asesor externo jurídico penal, y una vez identificadas, intenta mitigarlas para que no se cometan delitos en el seno de la empresa. Una segunda finalidad es que, una vez instaurado este sistema, si desgraciadamente se produce un incidente, esta empresa tendrá mejor defensa. Una tercera es reputacional: las empresas buscan ser éticas, comprometidas y honestas. Y con este sistema buscan relacionarse con empresas del mismo perfil". Así lo explica el penalista Andrés Maluenda, que se ha especializado en este ámbito, al ser consultado por ElNacional.cat. Precisamente, se ha difundido que el grupo tecnológico Indra ha encargado ahora una investigación interna de la gestión de la anterior dirección al equipo de Maluenda.
Condenas a la persona jurídica
La responsabilidad penal de las empresas y organizaciones se estableció en el año 2010, con la reforma del Código Penal, que incluía por primera vez la figura de la persona jurídica, cuando siempre se habían limitado las acciones a imputar a una persona física. El legislador tuvo que definir mejor esta figura ante la confusión general de los operadores jurídicos. En el año 2015 se reformó el Código Penal y se instruyó los artículos 31 bis a 31 quinquies para acotar mejor la regulación de la responsabilidad penal de las personas jurídicas, estableciendo que estas pueden ser condenadas por delitos cometidos en su nombre, por su cuenta y en su beneficio directo o indirecto. Es en esta reforma que se prevé una exención de la responsabilidad penal si la empresa demuestra tener, antes de la comisión de un delito, programas de prevención o cumplimiento, con medidas de vigilancia y control idóneas para prevenir delitos.
"A todos los operadores jurídicos nos ha costado entender la responsabilidad de las personas jurídicas porque, en el derecho español, las sociedades no podían delinquir, como sí tenía el derecho germánico", admite la delegada de la sección de Delitos Económicos de la Fiscalía de Barcelona, Carmen Martín Aragón, al ser preguntada por este diario. Añade que, por suerte, el Tribunal Supremo en las sentencias 894/2022, 1073/2024 y 249/2025 ha establecido jurisprudencia y un camino a seguir para delimitar esta responsabilidad penal de las empresas, de las cuales primero hay que establecer si tienen un sustrato material organizativo para poder establecer mecanismos de control. Si falta este sustrato, falta el presupuesto para hablar de imputabilidad penal y no surge el fundamento de la responsabilidad penal. Martín aclara, además, que la responsabilidad penal se puede eximir cuando una sociedad demuestra que tenía unos mecanismos de control para evitar delitos, "pero nunca la responsabilidad civil".
La fiscal especializada lleva la cuenta de las condenas a las personas jurídicas en la demarcación de Barcelona. En concreto, 3 en el año 2020, 9 en el 2021, 2 en el 2022, una en 2023 y ninguna en los años 2024 y 2025. Las pocas condenas a la persona jurídica en Catalunya, en parte, porque el tejido empresarial está formado por pequeñas y medianas empresas, y si hay condenas por delitos societarios, contra Hacienda y delitos económicos, se condena a la persona física, al administrador o al trabajador por apropiación indebida o estafa. El servicio de delitos económicos de la Fiscalía de Barcelona tenía medio millar de procedimientos judiciales en trámite, según la memoria de 2024, la mayoría por delitos contra la Hacienda Pública.
Hace más de veinte años de la figura de la persona jurídica, pero la fiscal Martín sostiene que "todavía no ha visto ningún programa de compliance normativo". "Las empresas confunden un protocolo ético con un programa de cumplimiento normativo", sostiene la jurista, que a la vez admite que estos programas "son caros" y necesitan su mantenimiento". Añade que desde el año 2019 la Federación Española de Fútbol exige este plan de cumplimiento normativo a los clubes de fútbol. Precisamente, el Barça fue la primera persona jurídica condenada en 2016 por el fichaje de Neymar y tuvo que pagar una multa de 5,5 millones de euros por dos delitos fiscales de 2011 y 2013.
En este sentido, Andrés Maluenda es crítico: "Hasta la ley 2/2023 no hay ninguna regulación que concrete cómo se tiene que comportar la sociedad como persona jurídica. Tampoco pone obligaciones a las empresas; nadie lo cumple. Por eso hemos perdido quince años de progreso. Vivimos en una cultura latina". Explica que, con la normativa de riesgos laborales o de blanqueo de capitales, las empresas se vieron obligadas a unas exigencias, que ahora empiezan a entender y aplicar, lo que se denomina la cultura del cumplimiento normativo. Ahora, la ley de 2023 ordena dos ámbitos concretos: proteger al alertador de delitos y tener canal de denuncias.
¿Cuáles son los principales delitos y el tipo de empresas?
Los delitos denunciados a través de los canales éticos y que las empresas investigan son diversos. El descubrimiento y revelación de secretos es ahora la estrella. La estafa a un cliente o proveedor o a la misma sociedad es el delito clásico. También existe la apropiación indebida. Y en entidades o centros escolares, el acoso sexual de profesores a niños. Cuando una empresa quiere denunciar estas irregularidades, lo puede hacer directamente a la Fiscalía o a la Oficina Antifraude. La polémica actual es si lo tiene que hacer cuando también puede ser acusada del supuesto delito.
En cuanto al tipo de negocios, se indica que las constructoras, todas tienen cumplimiento normativo porque están en la regulación de la siniestralidad laboral y tienen obligación de tener una prevención. Las empresas de menos de 50 trabajadores que pueden tener cumplimiento normativo son empresas nuevas, con compromiso ético. En el ámbito bancario y de inversión, siempre lo tienen que tener por normativa contra el blanqueo. Por el contrario, en el ámbito de servicios, médicos, dentistas no lo tienen, según el experto. Y los negocios de inversiones reciben bastantes quejas de falta de transparencia porque los inversores se han profesionalizado mucho.
Las investigaciones internas
Andrés Maluenda detalla que últimamente, cuando una empresa les encarga una investigación interna, después les pide el compliance para cubrir los agujeros que podía tener. "La empresa está obligada a hacer una investigación interna cuando recibe una denuncia por el canal interno, y si se concluye que hay indicios de delito, se tiene que comunicar a la Fiscalía, todo y que hay que valorar los efectos", afirma el letrado, que añade que "se parece a una instrucción penal". Además de las declaraciones del denunciado y denunciante, se puede encargar una pericial, mirar grabaciones, pedir documentación…
En el plan de investigación se pregunta a la empresa: ¿Qué quiere averiguar? ¿Hay algún directivo que lo supiera y no ha hecho nada? ¿Hay más personas afectadas? Si es delito o no. Y si es legal, ¿qué consecuencias éticas habría? Es como un procedimiento judicial. El afectado de la denuncia se puede negar a ser interrogado o puede hacerlo con la presencia de un abogado. Finalmente, los abogados entregan un informe sobre el cumplimiento normativo.
Por ejemplo, hay una empresa de transportes y encarga un compliance, un sistema de gobernanza: cómo debe actuar el consejo de administración, cómo debe actuar si encuentran una irregularidad. El experto externo hace un mapa de riesgos o de calores, qué delitos puedes cometer. En el ámbito de transportes: tráfico de personas, de órganos, corrupción en el sector público, estafas… Es decir, analizan qué delitos podría cometer una empresa concreta, no en general. Y después se hace un plan de mitigación de riesgos. Por ejemplo, en el caso de tráfico de personas, incorporar una cámara de videovigilancia en los camiones o un control aleatorio de los camiones, porque quizás no es la empresa quien lo hace, sino el transportista.
El difícil papel de los alertadores y del director de cumplimiento
Con la ley 2/2023, Antifraude ha asegurado que ha dado la categoría de alertador de delitos a 84 personas, algunas de las cuales han sufrido represalias y han sido despedidas, a pesar de tener esta protección oficial. Antifraude reclama que la ley catalana cubra estos vacíos y que pueda realmente sancionar incumplimientos. En este sentido, la fiscal Carmen Martín afirma que tienen dificultades para investigar casos si la persona es anónima porque "hay que poder aplicar el principio de contradicción", o aporta una información "y la empresa denuncia que puede haber delito" al extraer información suya.
Por su parte, el responsable de cumplimiento es un cargo directivo, como el abogado de la compañía. Debe tener independencia, una visión general, muy técnica, un perfil de auditor y consultor. "Tienen un perfil muy complicado", admite Maluenda y asegura que debería hacer un informe de verosimilitud de las denuncias que recibe y no aceptarlo todo. Precisamente, recientemente un juzgado ha validado el despido de la directora de cumplimiento de TMB, acusada de acosar a un trabajador.
¿Los juzgados están preparados para investigar delitos de la empresa?
"Desde el año 2000 hubo una expansión muy grande del derecho penal, huyendo de conductas clásicas e yendo a conductas mucho más complejas: económicas, de medioambiente, de urbanismo, societarias… y los juzgados no han estado a la altura de estas nuevas circunstancias. Esto ha provocado dos cosas. La primera, una lentitud excesiva en el curso de los procedimientos, y una segunda, con excepciones, pero con falta de especialización y formación por parte de los operadores jurídicos de los juzgados, que hace que no den respuesta a aquellos casos que se están produciendo en los juzgados y que no den la respuesta adecuada que merecen estos", afirma Andrés Maluenda.
La fiscal Carmen Martín comparte que todavía ahora en juicios en la Audiencia de Barcelona es difícil encontrar un tribunal que conozca realmente el alcance de la responsabilidad de la persona jurídica, y que hay confusión cuando es una misma persona. Martín apuesta por que haya tribunales especializados en delitos económicos y que estuvieran "en el ámbito de cada comunidad autónoma" para hacer eficaz la lucha contra la corrupción y delitos societarios, junto con las unidades policiales de investigación.
"Si los juzgados pudieran operar con la eficacia y rapidez con que nosotros hacemos las investigaciones internas, bajaría un 30% el trabajo de los juzgados. ¿Por qué? Porque cuando tú eres capaz de resolver un tema complejo en un mes, imagínate el juzgado. Y con informes de verosimilitud correcta", declara Maluenda.
El penalista añade que actualmente la justicia tiene dos problemas: "El primero es que no hay un criterio judicial en las resoluciones. Se admiten 9 de cada 10 querellas que se presentan. Inicialmente, en la querella no la mira el juez, la mira el funcionario de turno. Hay un problema de admisión".
Maluenda añade: "Los jueces van tan colapsados, que no son capaces de ser críticos con la instrucción. Y siempre es más fácil tirar hacia delante que hacia atrás. Y así dictan procedimientos abreviados, mientras que para archivar te tienes que mirar doce tomos". Detalla que, por ejemplo, la sección segunda de la Audiencia de Barcelona está señalando juicios para enero de 2028.
Además, el letrado de Barcelona asegura: "Hay poca capacidad para entender toda la expansión que ha habido del derecho penal. O sea, los jueces continúan siendo buenos en homicidios, lesiones, robos y agresiones sexuales, pero no tienen ni idea del mundo de la empresa, como los delitos fiscales, económicos y revelación de secretos, incluso de medioambiente, urbanismo y siniestralidad laboral. No tienen recursos, ni conocimientos para dar una respuesta adecuada".
¿Por qué los casos de corrupción no se detienen?
Ante las nuevas herramientas y obligaciones de las empresas, los casos de corrupción no se detienen en el Estado español. ¿Por qué? "La teoría está muy bien, pero al final todo depende de personas", manifiesta con firmeza la fiscal Carmen Martín. Es decir, cuando un superior, político o un directivo de una empresa, ordena a un subordinado hacer una irregularidad o saltarse algún control, hoy por hoy, tiene dos opciones: marcharse de ese trabajo o ejecutarlo porque denunciarlo continúa siendo una acción llena de obstáculos.
Martín apuesta para que "se enseñe más humanismo en las escuelas" y que se mantenga la formación de los operadores jurídicos y los policías investigadores, que "tienen que garantizar los políticos". Y concluye: "Si salen casos de corrupción, es que se investigan, como reclama la ciudadanía".