La gestión integral de riesgos es una piedra angular en la operación de cualquier organización moderna. En España y muchos países de Latinoamérica, este imperativo adquiere una dimensión crítica en el ámbito penal debido al régimen de responsabilidad penal de las personas jurídicas establecido en los Códigos Penales. Para navegar este complejo panorama, la norma UNE 19601 se erige como un marco de referencia esencial, y su reciente actualización a la versión UNE 19601:2025 demanda un análisis detallado de sus implicaciones técnicas y regulatorias.
Esta Norma Española, titulada «Sistemas de gestión del compliance penal. Requisitos con orientación para su uso«, ha sido elaborada por el comité técnico CTN-UNE 165 Ética, gobernanza y responsabilidad social de las organizaciones, a través de su subcomité CTN-UNE 165 SC3, Sistemas de gestión del cumplimiento y sistemas de gestión anticorrupción. Su publicación en abril de 2025 anula y sustituye a la Norma UNE 19601:2017.
La Evolución del Marco Regulatorio Español y el Rol de la UNE 19601:2025
El reconocimiento que los delitos pueden cometerse por las personas físicas dependientes o directivas en beneficio de las organizaciones, especialmente aquellos vinculados a las actividades económicas, llevó al legislador español a introducir un régimen de sanciones penales para las personas jurídicas.
Inicialmente con la Ley Orgánica 5/2010 y, de manera más detallada, con la Ley Orgánica 1/2015, el Código Penal estableció no solo los delitos aplicables, sino también la necesidad de medidas de vigilancia y control para su prevención y detección como fundamento para la atenuación o, incluso, la exoneración de responsabilidad criminal. Posteriormente, este régimen ha sido objeto de sucesivas modificaciones a través de diversas Leyes Orgánicas (1/2019, 8/2021, 10/2022, 14/2022, 3/2023) que han ampliado el catálogo de delitos.
Aunque la regulación legal ha consolidado la necesidad de estos sistemas de gestión y control, constituyen un marco de interpretación que necesita desarrollo para ser verdaderamente eficaz y alineado con las buenas prácticas internacionales. Aquí es donde entra en juego la norma UNE 19601.
La UNE 19601:2025 establece un marco de referencia completo para:
- Disponer de sistemas de gestión del compliance penal alineados con las exigencias del Código Penal español.
- Complementar dichos sistemas con buenas prácticas reconocidas en estándares internacionales en materia de compliance, cincelando sus contenidos e incrementando su eficacia.
- Facilitar el diseño o la evaluación de sistemas que promuevan una cultura organizativa adecuada, sensible a la prevención y detección penal.
- Ayudar a valorar el nivel de sensibilidad y diligencia de la organización, sus órganos de gobierno y la alta dirección.
Es importante destacar que la norma utiliza el concepto de «organización» (definido en 3.20, aunque la definición no se proporciona en los extractos) en lugar de «persona jurídica», lo que permite su aplicación a entidades con y sin personalidad jurídica. Esto es relevante no solo para el artículo 129 del Código Penal español, sino también para incluir bajo un mismo sistema a varias personas jurídicas dentro de un grupo de empresas.
Implementación de un Sistema de Gestión del Compliance Penal: Requisitos Clave
La norma UNE 19601:2025 se estructura siguiendo la «estructura armonizada» (HS) desarrollada por ISO, lo que facilita su integración con otros sistemas de gestión normalizados ya implementados en la organización (como ISO 9001, ISO 14001, ISO 45001, etc.). Sus requisitos se desarrollan de manera proporcional a las circunstancias específicas de cada organización (tamaño, sector, ubicaciones, complejidad de transacciones).
Los elementos esenciales de un sistema de gestión del compliance penal, según la norma, se detallan en las siguientes cláusulas principales:
Contexto de la Organización (Cláusula 4):
- Implica la comprensión profunda de la organización y su contexto interno y externo.
- Requiere identificar y comprender las necesidades y expectativas de las partes interesadas.
- Define el proceso para la determinación del alcance del sistema de gestión del compliance penal.
- Un pilar fundamental es la Evaluación de los riesgos penales, que abarca la identificación, el análisis, la valoración y la revisión periódica de dichos riesgos, con la correspondiente información documentada.
Liderazgo (Cláusula 5):
- Destaca el papel crítico del liderazgo y el compromiso por parte del órgano de gobierno, el órgano de compliance penal y la alta dirección.
- La norma enfatiza la importancia de una cultura de compliance penal y la adecuada gobernanza del compliance penal.
- El establecimiento de la política de compliance penal es una competencia indelegable del órgano de gobierno, lo que subraya la importancia del control de riesgos y la supervisión de su gestión como elementos fundamentales del gobierno corporativo.
- Se deben definir claramente los roles, responsabilidades y autoridades dentro de la organización.
Planificación (Cláusula 6):
- Establece la necesidad de planificar acciones para abordar los riesgos y oportunidades identificados.
- Requiere definir objetivos de compliance penal y planificar cómo lograrlos.
- Considera la planificación de los cambios en el sistema.
Elementos de Apoyo (Cláusula 7):
- Asegurar la disponibilidad de recursos adecuados.
- Gestionar la competencia del personal, incluyendo requisitos específicos para el personal de compliance y la diligencia debida con los miembros de la organización.
- La norma separa conceptualmente la formación en compliance de la toma de conciencia en compliance.
- Define requisitos para la Comunicación, incluyendo la comunicación efectiva de la política de compliance penal.
- Establece pautas para la Información documentada (generalidades, creación, actualización y control, refiriéndose al Anexo C para la información documentada mínima.
Operación (Cláusula 8):
- Cubre la planificación y control operacional del sistema.
- Incluye la realización de Diligencia debida.
- Establece la necesidad de Controles financieros y Controles no financieros.
- Regula la implementación de controles en las filiales y en socios de negocio, distinguiendo entre entidades bajo control [8.5.1] y entidades no controladas.
- Considera las Condiciones contractuales.
- Detalla el proceso para la Comunicación de incumplimientos e irregularidades, un punto clave actualizado en la versión 2025.
- Define cómo debe llevarse a cabo la Investigación de incumplimientos e irregularidades.
Evaluación del Desempeño (Cláusula 9):
- Crucial para verificar la eficacia del sistema, abarca el seguimiento, medición, análisis y evaluación.
- Especifica las fuentes de opinión sobre el desempeño, los métodos de recogida de información, el análisis, el desarrollo de indicadores y la elaboración de informes de compliance penal.
- Requiere la realización de Auditoría interna, con un programa definido.
- Establece la obligatoriedad de revisiones formales por parte del órgano de compliance penal, la alta dirección (detallando entradas y resultados de la revisión y fundamentalmente, el órgano de gobierno.
Mejora continua (Cláusula 10):
- Establece el compromiso con la mejora continua del sistema.
- Define el manejo de no conformidades y acciones correctivas.
Adicionalmente, la norma incluye varios anexos, algunos informativos (como la relación con el Código Penal español, detalles sobre diligencia debida, implementación en filiales/socios, cláusulas contractuales y recomendaciones para fusiones) y uno normativo (la información documentada mínima necesaria), que proporcionan un nivel técnico y operativo adicional para la correcta aplicación de sus requisitos.
Principales Ajustes Técnicos en la Versión 2025
La revisión de la norma de 2017 a 2025 no cambia el enfoque fundamental, pero introduce ajustes técnicos significativos para:
- Actualizar los contenidos a los cambios normativos (como las múltiples modificaciones del Código Penal desde 2017) y de normalización internacional.
- Incorporar una especial incidencia en lo referente a los canales internos de denuncias, un punto clave dentro de la operación y que ha sido objeto de desarrollo normativo reciente.
- Introducir aclaraciones que resuelven dudas prácticas sobre la interpretación de ciertos contenidos.
- Alinear la regulación de las funciones del órgano de compliance penal con lo establecido en normas ISO más modernas.
- Separar conceptualmente las actividades de formación (training) y de toma de conciencia (awareness), reconociendo sus distintos enfoques pedagógicos.
- Racionalizar el nivel de supervisión y control sobre inversiones puramente financieras.
- Adoptar formalmente la Estructura Armonizada (HS) de ISO, facilitando la integración del sistema de compliance penal con otros sistemas de gestión ya implementados bajo esta estructura.
Consideraciones Finales
La norma UNE 19601:2025 constituye una herramienta técnica robusta para las organizaciones que buscan gestionar de forma proactiva su exposición a los riesgos penales. Implementar un sistema conforme a sus requisitos no solo ayuda a cumplir con las expectativas que se depositan en las organizaciones que operan en los mercados internacionales, sino que, en el contexto legal español, permite acreditar la diligencia debida y construir un sistema con contenidos razonables que pueden fundamentar la exoneración de responsabilidad. La experiencia judicial ya considera su contenido como una referencia para valorar el nivel de cumplimiento.
Es fundamental comprender que la norma no asegura la eliminación absoluta del riesgo de comisión de delitos, ni garantiza la exoneración o atenuación automática de la responsabilidad penal. La clave reside en la capacidad de la organización para acreditar una cultura organizativa de respeto a la norma y la eficacia real del sistema implementado en la prevención, detección y gestión de conductas ilícitas.
En definitiva, la UNE 19601:2025 es el estándar técnico español de referencia para el diseño, implementación y evaluación de sistemas de gestión del compliance penal, proporcionando un marco detallado y actualizado para demostrar el compromiso de integridad y reforzar el gobierno corporativo frente al riesgo penal. Su nueva versión con ajustes específicos y la adopción de la estructura ISO la convierten en una herramienta aún más valiosa y alineada con las prácticas de gestión modernas.
