3. No todo vale para hacer negocio¶

3.1. ¿De qué va este tema?¶

«Hay que conseguir ese contrato». Bien, pero ¿a cualquier precio? ¿Qué hacemos si nos piden pagar una comisión sin explicar el servicio, utilizar información obtenida sin permiso o saltarnos las autorizaciones porque hay prisa?

Vamos a distinguir señales de alerta de conclusiones jurídicas, identificar riesgos penales y poner a prueba controles. El objetivo es poder explicar qué conducta queremos prevenir, cómo actuamos y qué constancia queda.

Este tema tiene una duración estimada de 14 horas.

3.2. Clases¶

3.2.1. Responsabilidad penal de la persona jurídica¶

¿Puede responder la empresa por lo que hace una persona?

Un problema no es automáticamente un delito.
- Un retraso en el soporte puede incumplir un contrato.
- Una infracción de una obligación administrativa puede dar lugar a su régimen sancionador, si concurren los requisitos correspondientes.
- Favorecer a un familiar puede plantear un conflicto de interés, sin que ese dato aislado demuestre una conducta delictiva.
- Para hablar de delito hay que comprobar una conducta prevista por la ley penal y sus elementos. La gravedad que nos parece tener un hecho no sustituye ese análisis.
Un mismo supuesto puede afectar a varios ámbitos. No estamos eligiendo una etiqueta excluyente, sino justificando qué podemos concluir con los hechos.
Persona física y persona jurídica no son lo mismo.
1. Una persona física actúa: decide, ofrece, accede, ordena o ejecuta.
2. Una sociedad tiene personalidad jurídica propia. Su eventual responsabilidad penal se examina con requisitos específicos, no solo mirando quién cobra la nómina.
3. El artículo 31 bis establece dos vías principales:
  - Conductas de representantes o personas con facultades de decisión, organización o control, en nombre o por cuenta de la entidad y en su beneficio directo o indirecto.
  - Conductas de personas sometidas a su autoridad, en las actividades sociales, por cuenta y en beneficio de la entidad, facilitadas por un incumplimiento grave de deberes de supervisión, vigilancia y control.
4. Además, debe tratarse de un delito para el que se prevea responsabilidad de la persona jurídica. No todos los delitos tienen esa previsión.
5. Obtener ventaja para la organización y obtener una ventaja personal no son conceptos equivalentes. Hay que examinar el beneficio directo o indirecto relacionado con la conducta, no presumirlo por usar un ordenador de empresa.
La forma de la organización importa.
1. El artículo 31 quinquies excluye de este régimen, entre otros, al Estado y a las Administraciones públicas territoriales e institucionales.
2. Un ayuntamiento no se equipara sin más a una sociedad mercantil privada. Las sociedades mercantiles públicas tienen el tratamiento específico del apartado 2; «público» no es una categoría única para este análisis.
3. Una exclusión de responsabilidad de la entidad bajo este régimen no convierte en lícitas las actuaciones de las personas ni elimina otras responsabilidades.

Para hacer

Consulta el apartado 1 del artículo 31 bis y el artículo 31 quinquies.

Un técnico entrega tarde un informe. ¿Qué permite afirmar ese hecho y qué no permite concluir por sí solo?
Un directivo de una sociedad privada ofrece una ventaja indebida a un funcionario para obtener un contrato para la empresa. ¿Qué elementos de atribución revisarías, además de la conducta concreta?
¿Aplicarías exactamente el mismo análisis a la responsabilidad del ayuntamiento y a la de la sociedad que ofrece la ventaja? ¿Por qué?

Prevenir puede tener consecuencias jurídicas, pero no basta con una carpeta.
1. Los apartados 2 y 4 del artículo 31 bis regulan la exención en las dos vías. El modelo debe haberse adoptado y ejecutado eficazmente antes del delito.
2. Para la vía de los dirigentes se añaden condiciones sobre supervisión autónoma, elusión fraudulenta del modelo y ausencia de omisión o ejercicio insuficiente de las funciones del órgano supervisor. Las vías no son listas idénticas.
3. La acreditación parcial puede valorarse para atenuar. El artículo 31 quater contempla también actuaciones posteriores, como colaboración, reparación o medidas preventivas, con sus condiciones y momentos específicos.
4. Comprar un modelo o un certificado no garantiza una exención. Corresponde valorar los requisitos y los hechos, no aceptar una promesa comercial.
Las consecuencias no son solo económicas. El artículo 33.7 contempla multas y otras penas, como suspensión de actividades, clausura, prohibiciones, intervención judicial o disolución, según los supuestos y reglas aplicables. No se imponen todas automáticamente. La responsabilidad de la persona jurídica tampoco depende siempre de haber identificado a la persona física concreta: el artículo 31 ter regula esa autonomía en las condiciones que establece.

Para hacer

Una consultora promete «inmunidad penal» entregando un manual. Identifica dos cuestiones que esa promesa pasa por alto.
La empresa implanta controles después de conocer una irregularidad. ¿Es lo mismo que haberlos ejecutado eficazmente antes? ¿Carece de utilidad corregir ahora?

El siguiente paso es localizar escenarios concretos, no convertir cada fallo técnico en una acusación penal.

3.2.2. Mapa de riesgos penales¶

¿Dónde podría aparecer una conducta delictiva en nuestro trabajo?

Empieza por el proceso, no por una lista de delitos.
1. En ventas: intermediarios, incentivos y acceso a información de competidores.
2. En compras: elección del proveedor, justificación de servicios y pagos.
3. En licitaciones: contactos con quienes intervienen en decisiones públicas.
4. En sistemas: autorizaciones de acceso, uso de información y cambios destructivos.

Añade fundamento al escenario de UD2.

Hechos y conducta que queremos prevenir.
Persona o función que podría realizarla; quién puede autorizarla o detectarla.
Posible beneficio de la organización y condiciones del artículo 31 bis.
Tipo penal a contrastar y previsión para la persona jurídica.
Controles, prioridad justificada e información todavía pendiente.

Pistas jurídicas para tres escenarios ficticios¶
Escenario	Conducta que hay que contrastar	Referencias del Código Penal
Se ofrece un pago personal al comprador de otra empresa para favorecer injustificadamente nuestra oferta.	Corrupción en los negocios; comprobar ventaja, destinatario y finalidad.	Artículo 286 bis y artículo 288.
Se ofrece una ventaja a un funcionario para que actúe en favor de nuestra contratación.	Cohecho; concretar actuación y circunstancias de la oferta.	Artículo 424 y artículo 427 bis.
Se ordena entrar sin autorización y vulnerando medidas de seguridad en el sistema de un competidor para obtener ventaja empresarial.	Acceso ilícito; comprobar autorización, medidas y conducta real.	Artículo 197 bis y artículo 197 quinquies.

Estas filas son hipótesis de riesgo, no calificaciones definitivas. Los artículos adicionales recogen previsiones para personas jurídicas: deben leerse junto con los requisitos generales, no como una atribución automática.

No confundir capacidad técnica y autorización.
1. Tener una contraseña o poder ejecutar una operación no demuestra permiso para hacerlo con cualquier finalidad.
2. Una prueba de seguridad necesita alcance y autorización. Comprobar si existen esos datos es parte del análisis; aquí no ejecutaremos accesos ni ataques.
3. Una mala configuración accidental requiere corrección y análisis, pero no se identifica sin más con una intrusión deliberada del artículo 197 bis.

Para hacer

Completa dos filas de mapa: una para el pago al comprador privado y otra para el acceso al competidor. Indica conducta, función, posible beneficio, fuente a contrastar, control y dato pendiente. No calcules penas.
Compara una empresa con ventas mediante agentes y otra que solo factura mantenimiento a clientes estables sin intermediarios. ¿Copiarías la misma prioridad para el riesgo de comisiones irregulares?
«El administrador puede borrar archivos, por tanto existe un delito». ¿Qué salto injustificado hay en la frase?

Interpretación: tribunal y Fiscalía tienen funciones diferentes.
1. La nota del CGPJ sobre la sentencia de 29 de febrero de 2016 resume un pronunciamiento del Tribunal Supremo sobre personas jurídicas y controles. Destaca la importancia de formas concretas de vigilancia y control, además de los hechos de las personas físicas. Es una noticia institucional con enlace a la sentencia, no el texto judicial completo.
2. La Circular 1/2016 de Fiscalía expone criterios interpretativos de la Fiscalía. Su apartado 5.6 analiza la eficacia de los modelos y la cultura de cumplimiento. No es una ley ni una sentencia; su fecha obliga a contrastarla con el Derecho vigente y la evolución jurisprudencial, no a copiar su catálogo de 2016.
3. En el mapa conviene separar norma aplicable, apoyo interpretativo y decisión interna de prevención. ENS y NIS2 pueden inspirar controles de accesos o supervisión, pero no definen por sí solos un delito.

Para hacer

Lee en la nota del CGPJ los dos párrafos que comienzan «La sentencia explica» y «Y en segundo término». En la Circular, localiza el apartado 5.6 y su referencia a la cultura de cumplimiento; basta el comienzo de ese apartado.

¿Por qué una política firmada no responde por sí sola a la cuestión de los controles?
Propón un dato de funcionamiento que revisarías y distingue las dos clases de fuente.

3.2.3. Implantación y prueba de controles¶

¿El control funciona o solo está escrito?

Relaciona cada control con una conducta.
- Preventivo: verificar servicio y beneficiario antes de autorizar un pago.
- Detectivo: revisar pagos duplicados, excepciones o aprobaciones incompatibles.
- Correctivo: detener una operación irregular, corregir el proceso y comprobar que el fallo no se repite. Corregir no significa borrar registros anteriores.
La separación entre solicitud, autorización y ejecución reduce oportunidades de abuso. No elimina todo riesgo: dos personas pueden colaborar indebidamente, por lo que también hacen falta revisiones y evidencias.
Protocolo de pagos del ejercicio. Es una regla interna ficticia, no un umbral legal ni un sistema completo de prevención:
1. Registrar ID, concepto, importe, destinatario y soporte del servicio.
2. Comprobar que destinatario y servicio coinciden con lo contratado.
3. Una persona distinta de quien solicita revisa y autoriza. Si falta soporte o existe una señal de ventaja indebida, la solicitud queda bloqueada.
4. Tesorería ejecuta solo lo autorizado; la urgencia no sustituye la aprobación.
5. Conservar decisión, motivo, papeles intervinientes y resultado. Las señales de irregularidad se comunican a la función de cumplimiento designada.

Para hacer

Ejecuta el protocolo sobre estas solicitudes. Usa una tabla o archivo de texto con las columnas ID, comprobación, decisión, motivo, siguiente actuación y papel responsable. Simula los papeles: no necesitas otras personas ni realizar pagos.

Datos de prueba¶
ID	Solicitud	Revisión propuesta
P1	300 euros a Taller Demo por reparar un equipo. Pedido, factura y conformidad del servicio coinciden; solicita operaciones.	Finanzas, distinta de operaciones.
P2	900 euros por «gestiones». No hay descripción ni constancia de servicio; se pide pagar a una cuenta personal ajena al proveedor.	Finanzas.
P3	450 euros por un servicio documentado; quien lo solicita pretende autorizarlo también porque tiene prisa.	La misma persona solicitante.

Procesa las tres solicitudes, dejando constancia de cada paso relevante.
Para P2, redacta una comunicación de cuatro líneas: hecho observado, soporte disponible, medida tomada y destinatario de la comunicación.
Prueba el control de nuevo: en P3 designa un revisor distinto que comprueba el soporte y no encuentra otras incidencias. Conserva el resultado inicial y registra la nueva decisión. ¿Bastaría ese cambio para desbloquear P2?

Comunicar también requiere un procedimiento.
1. Distinguir hechos observados y sospechas; preservar documentos pertinentes y limitar el acceso a quienes deban tratarlos.
2. Asignar recepción, examen y seguimiento a funciones competentes y sin conflicto. Si la comunicación afecta al receptor habitual, debe existir una vía alternativa.
3. Tratar con garantías a quien comunica y a las personas afectadas. El modelo del artículo 31 bis.5 incluye informar de riesgos e incumplimientos; eso no equivale a dar por cumplida toda la regulación de sistemas internos de información.
4. Registrar medidas, estado y revisión. En un caso real, las actuaciones se ajustan al marco aplicable; este ejercicio no es una investigación de personas.
Prueba positiva y negativa. P1 comprueba que el circuito permite una operación conforme. P2 y P3 comprueban que detiene condiciones previstas como incorrectas. Después de corregir, repetir P3 comprueba que puede continuar sin perder trazabilidad.

Una tabla con resultados es más útil que «hemos implantado un doble control» si esa afirmación no viene acompañada de ninguna prueba.

3.2.4. Sistema de compliance penal¶

¿Cómo encajan los controles en un modelo de prevención?

Del control aislado al modelo. El apartado 5 del artículo 31 bis establece seis requisitos. Los resumimos aquí para relacionarlos con trabajo concreto:

Del requisito al funcionamiento¶
Requisito legal, resumido	Aplicación acotada al ejemplo
Identificar actividades expuestas	Mapa de ventas, intermediarios, compras y pagos con riesgos fundamentados.
Protocolos de decisión y ejecución	Circuito que diferencia solicitud, revisión, autorización y ejecución.
Gestión adecuada de recursos financieros	Comprobar servicio y destinatario; impedir pagos sin justificación.
Informar de riesgos e incumplimientos	Canal de comunicación y responsables de recepción y seguimiento.
Sistema disciplinario	Consecuencias del incumplimiento dentro del marco legal y laboral aplicable.
Verificación y modificación del modelo	Revisiones periódicas y ante infracciones relevantes o cambios necesarios.

Esta tabla no acredita por sí sola la exención. También importan las condiciones de los apartados 2 a 4 y la ejecución eficaz que vimos al comenzar.

Asignar autoridad y medios.
1. El órgano de administración adopta el modelo y debe hacer posible su ejecución.
2. La función supervisora necesita autonomía, información y recursos para actuar. El apartado 3 prevé una regla específica para personas jurídicas de pequeñas dimensiones; su definición legal no equivale simplemente a «somos pocos».
3. Los equipos necesitan formación sobre sus tareas: quien compra, quien paga y quien administra sistemas afrontan situaciones diferentes.
4. Las excepciones deben revisarse; «lo pidió dirección» no convierte en válida una actuación contraria a la ley.
Una referencia para organizar la gestión. UNE 19601:2025 es la edición vigente de la norma de sistemas de gestión del compliance penal, que sustituye a la edición de 2017. Consultaremos su ficha pública para identificar objeto y versión, sin exigir cláusulas de pago.
- La norma técnica ayuda a estructurar el sistema; no sustituye el Código Penal.
- Certificar un sistema no garantiza que nunca se produzca un delito ni que cualquier supuesto resulte exento.
- El análisis de brechas compara lo requerido con lo que existe y funciona, y convierte diferencias en acciones con responsable y plazo.

Para hacer

Una sociedad tiene mapa de riesgos, política y circuito de pagos, pero nadie recibe comunicaciones, no se ha previsto cómo tratar incumplimientos y el modelo no se revisa desde que se contrató un intermediario nuevo.

Consulta solo el apartado 5 del artículo 31 bis. Identifica tres brechas.
Diseña una acción por brecha, indicando función responsable, resultado esperado y comprobación. No redactes un manual completo.
¿Podrías afirmar que el modelo cumple todos los requisitos porque aparece el nombre de cada requisito en un documento?

Un indicador debe provocar una decisión.

Ejemplo interno: pagos con revisión independiente previa / total de pagos que la requerían × 100. Si hubo 10 y solo 8 tenían revisión previa, el resultado es 80 %. Una firma añadida después no corrige ese dato histórico.
1. Comprobar si las excepciones se concentran en un proveedor, equipo o presión comercial.
2. Corregir los casos abiertos y la causa del fallo, preservando registros.
3. Decidir responsables, recursos y fecha de seguimiento.
4. Verificar eficacia con nuevas operaciones y casos negativos de prueba.

Para hacer

En una revisión aparecen 20 pagos sujetos al circuito, 16 con autorización independiente previa y 4 autorizados a posteriori por urgencia comercial.

Calcula el indicador y explica qué oculta contar las firmas posteriores.
Escribe un registro de revisión con resultado, causa por investigar, decisión, responsable y prueba de eficacia.

3.2.5. Antisoborno y cultura ética¶

¿Es una atención comercial o estamos comprando una decisión?

El nombre del gasto no decide su naturaleza. «Comisión», «donación» o «invitación» pueden describir operaciones legítimas o encubrir ventajas indebidas. Hay que mirar destinatario, finalidad, contexto y contraprestación.

Conceptos que conviene distinguir¶
Concepto	Idea orientativa, que exige contrastar los elementos legales
Cohecho	Ventajas relacionadas con autoridades o funcionarios y su actuación; incluye supuestos de oferta por particulares. Véase el artículo 424.
Corrupción en los negocios	Ventajas no justificadas para favorecer indebidamente a alguien en relaciones comerciales; contempla recepción y ofrecimiento. Artículo 286 bis.
Tráfico de influencias	Influencia sobre autoridad o funcionario prevaliéndose de determinadas relaciones para obtener una resolución con beneficio económico. No es simplemente conocer a alguien. Artículos 428 a 430.
Conflicto de interés	Un interés personal puede comprometer una decisión profesional. Exige gestionarlo; por sí solo no demuestra soborno ni otro delito.

Preguntas antes de aceptar u ofrecer.
1. ¿Quién recibe realmente la ventaja? ¿Hay familiares, agentes o entidades interpuestas?
2. ¿Qué decisión está pendiente y qué relación tiene con el ofrecimiento?
3. ¿Existe un servicio real, justificable y proporcionado? ¿Podemos describirlo?
4. ¿Se pretende ocultar, fraccionar o cambiar el concepto? ¿Se pide efectivo o un destino que no coincide con la contraparte?
5. ¿Qué normas y políticas se aplican? ¿Quién debe resolver y cómo queda registrado?
No hay un importe universal por debajo del cual todo sea aceptable. Tampoco dejar pasar la adjudicación o llamarlo «agradecimiento» convierte cualquier regalo en correcto. Una autorización interna no legaliza una ventaja indebida.

Para hacer

Un vendedor propone pagar unas vacaciones al comprador de un cliente privado si elige nuestra oferta. ¿Qué elementos te preocupan y qué referencia consultarías?
Un intermediario pide dinero porque «conoce a quien decide en el ayuntamiento». ¿Qué información falta? ¿Por qué no basta con que emita una factura?
Una responsable de compras comunica que un proveedor pertenece a su familia y se aparta de la decisión. ¿Qué diferencia hay respecto del primer supuesto?

Principios antisoborno que se puedan aplicar.
- Compromiso de dirección coherente con objetivos e incentivos comerciales.
- Prohibición de ventajas indebidas, también a través de terceros.
- Diligencia debida sobre intermediarios: identidad, capacidad, servicio, retribución y relaciones relevantes.
- Controles financieros y no financieros: soporte del gasto, destino, elección del tercero y supervisión de la actividad.
- Formación, comunicación de dudas e irregularidades y respuesta sin represalias por comunicaciones protegidas, con las garantías aplicables.
- Revisión de señales y decisiones, no solo declaraciones de buenas intenciones.
ISO 37001:2025 es la referencia actual de sistemas de gestión antisoborno; sustituye a ISO 37001:2016. Su ficha pública explica su finalidad preventiva, detectiva y de respuesta. No es una ley ni equivale a una certificación de todo el cumplimiento penal o de cualquier operación comercial.
Decidir y registrar. Para el ejercicio aplicaremos estas reglas internas:
1. Rechazar ventajas personales condicionadas a una decisión y pagos para influir indebidamente; comunicar la situación a cumplimiento.
2. Suspender la tramitación si faltan datos, existe conflicto o hay señales de ocultación. Pedir información no implica aprobar mientras llega.
3. Las atenciones profesionales solo pueden pasar a revisión si son transparentes, justificadas, proporcionadas y compatibles con las reglas del destinatario. La persona beneficiaria no autoriza su propia aceptación.
4. Registrar solicitud, contexto, decisión, fundamento, revisor y seguimiento. Una donación necesita revisión propia de finalidad, beneficiario y vínculos; no queda exenta de control por ser solidaria.

Para hacer

Aplica las reglas a los cuatro supuestos. Crea un registro por caso con decisión, motivo, dato pendiente si lo hay, papel revisor y siguiente paso.

A: entradas de ocio para la persona que decide una compra, ofrecidas expresamente a cambio de seleccionar al proveedor.
B: asistencia a una demostración técnica abierta a varios clientes, con agenda profesional y café común; no hay adjudicación pendiente, pero desconocemos las reglas de aceptación de una entidad invitada.
C: un intermediario exige una donación a una asociación vinculada con quien decide como condición para obtener el contrato.
D: una comisión por un servicio descrito en contrato, pero se solicita pagar a un tercero no identificado y dividir el importe para evitar revisión.

Distingue rechazo, suspensión para aclarar y posible autorización tras revisión.
Para B, añade este dato: la entidad confirma compatibilidad con sus reglas y un revisor independiente confirma finalidad y proporcionalidad. Registra una segunda decisión sin borrar la primera.
Redacta una respuesta profesional de tres frases ante «si no pagamos D, perderemos el cliente». Incluye qué alternativa lícita propones.

La cultura ética se prueba bajo presión. Un sistema que funciona solo cuando nadie tiene prisa deja sin atender precisamente sus situaciones más delicadas.

3.2.6. Respuesta penal integrada¶

¿Podemos justificar el riesgo y demostrar cómo lo prevenimos?

Recorre la cadena: hechos → posible encaje → riesgo → control → ejecución → evidencia → revisión.
- Hecho: se solicita un pago personal para conseguir una contratación.
- Encaje: identificar destinatario y finalidad, contrastar tipo y atribución.
- Riesgo: el circuito permite que el pago salga sin revisión.
- Control: comprobación del servicio, destino y autorización independiente.
- Ejecución: solicitud bloqueada y comunicación registrada.
- Evidencia y revisión: conservar resultado y verificar que no se repite por otra vía, sin dar por probado un delito solo por existir una alerta.
Comprueba dos coherencias: la jurídica, entre hechos y fundamento; y la operativa, entre reglas y lo que realmente ocurre. ENS y NIS2 ayudan a pensar controles técnicos, pero una certificación de seguridad no resuelve la atribución penal.

Para hacer

Una sociedad tiene un mapa penal y exige doble revisión de pagos. Sin embargo, dirección autoriza verbalmente excepciones comerciales, quien solicita también puede pagar y nadie revisa las excepciones. El informe mensual declara «100 % de pagos revisados» porque todas las firmas se completan al final del mes.

Identifica tres fallos y una evidencia que permitiría comprobar cada uno.
Propón una corrección inmediata y una mejora del modelo.
¿Por qué este diagnóstico no permite concluir cuántos delitos se han cometido?

Prevenir no es prometer que nunca ocurrirá nada: es organizar decisiones, aplicar medidas justificadas y poder comprobar y mejorar su funcionamiento.

Test de autoevaluación

(Pendiente)

Actividad final integradora

(Pendiente) .. Desarrollar el expediente de prevención penal y antisoborno y su rúbrica analítica.