Compliance penal y normativo: por qué el 80 % de los modelos no aguantarían un juicio

Y cómo construir uno que sí lo haga, capa a capa, sin renunciar al ritmo del negocio.

Un directivo abre el cajón de su despacho y saca el manual de compliance penal de su empresa. Doscientas páginas, encuadernado, firmado. Le costó dieciocho mil euros hace tres años. Está impecable. Y aun así, esa misma mañana acaban de quedarse fuera de un concurso público porque el comprador ha pedido evidencias de su sistema de cumplimiento, y no había ninguna que enseñar.

Es el compliance de papel. La gran ausencia del catálogo de servicios de la mayoría de consultoras españolas. Y el principal motivo por el que muchas medianas y grandes empresas están descubriendo, en 2026, que su modelo de cumplimiento no se sostiene.

El compliance ya no es solo defensa penal: es un activo de negocio

Durante años, el compliance penal se vendió como un escudo. La idea era clara: si el día que se comete un delito en tu empresa puedes demostrar que tenías un modelo de prevención eficaz, tu organización queda exenta de responsabilidad penal como persona jurídica, conforme al artículo 31 bis del Código Penal. Y eso sigue siendo cierto.

Pero en 2026, esa es solo la mitad de la historia. Lo que ha cambiado es que el modelo de compliance ha pasado de ser una póliza de seguro guardada en un armario a ser un activo que se demuestra mucho antes de que nada vaya mal:

• En licitaciones públicas, donde los pliegos exigen acreditar programas de cumplimiento normativo.
• En contratos B2B con clientes corporativos, que lo incluyen en sus cláusulas estándar de proveedor.
• En operaciones de M&A, donde la due diligence revisa la madurez del modelo y descuenta del precio cualquier debilidad detectada.
• En la financiación bancaria, donde el ESG y el cumplimiento normativo entran en el rating crediticio.
• En las pólizas de D&O, donde la cobertura de directivos depende cada vez más de poder demostrar gobernanza efectiva.

Por qué un modelo formal ya no es un modelo eficaz

El Tribunal Supremo lleva años marcando una distinción que muchas consultoras siguen sin trasladar a sus clientes: un modelo formal no es lo mismo que un modelo eficaz. La diferencia es jurídica, pero sobre todo es operativa.

Un modelo formal existe como documento. Tiene política, código ético, mapa de riesgos y procedimientos. Está firmado, archivado y, en muchos casos, intacto desde el día siguiente al de su entrega.

Un modelo eficaz existe como cultura. Genera evidencias. Detecta hechos. Reacciona a denuncias. Se actualiza cuando cambian las normas. Y, sobre todo, demuestra que el órgano de cumplimiento toma decisiones reales y las documenta.

La Sentencia del Tribunal Supremo de 28 de junio de 2018 ya advirtió que la eficacia de los modelos no se presume: hay que probarla. Y la Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas, ha añadido una capa más: el canal de denuncias dejó de ser un complemento del compliance y pasó a ser parte estructural del mismo.

Cinco señales de que tu modelo no es defendible

Si tu organización se reconoce en más de dos de estas señales, vuestro modelo es formal pero probablemente no eficaz:

1. El manual de compliance se firmó hace más de un año y nadie lo ha vuelto a abrir.
2. El órgano de cumplimiento no se reúne periódicamente o no levanta acta documentada de sus decisiones.
3. El canal de denuncias está implantado, pero nadie sabe con certeza quién lo gestiona ni qué pasa con las comunicaciones recibidas.
4. No existen evidencias documentadas de formación, controles internos o actualizaciones del mapa de riesgos.
5. Compliance penal, RGPD, seguridad de la información y AI Act se gestionan en silos diferentes, con responsables distintos y sin trazabilidad cruzada.

Esta última señal es la trampa más peligrosa de 2026. Las medianas y grandes empresas españolas están acumulando verticales regulatorios —cumplimiento penal, protección de datos, ISO 27001, AI Act, CSRD— sin integrarlos entre sí. El resultado es duplicación de costes, brechas de cobertura y, en conjunto, un modelo que no aguanta una revisión externa.

La pregunta del día D

Cualquier directivo de una mediana o gran empresa debería poder responder con claridad a esta pregunta: si mañana un juez, un comprador en una due diligence o un cliente corporativo te pide la documentación completa de tu sistema de compliance, ¿podrías entregársela en 48 horas y demostrar que está vivo?

Si la respuesta es no, vuestro modelo es formal pero no es eficaz. Y eso, en 2026, ya no es solo un riesgo penal. Es un riesgo de negocio.