Responsabilidad corporativa ante la Directiva (UE) 2026/1021. Nueva arquitectura europea contra la corrupción (II)

Aristóteles explicaba en la Ética a Nicómaco que la virtud no nace de una declaración, sino de la repetición de actos virtuosos. Nos convertimos en personas justas realizando actos justos, del mismo modo que adquirimos una capacidad profesional mediante su ejercicio continuado. La virtud es, por tanto, una disposición estable que se manifiesta a través de la conducta.

Esta reflexión puede trasladarse a las organizaciones. Una empresa no acredita su integridad porque disponga de un código ético, una política anticorrupción o un canal interno de información. La acredita cuando esos instrumentos se aplican de forma efectiva: cuando identifica sus riesgos, supervisa las operaciones sensibles, controla a quienes actúan en su nombre, investiga las alertas y adopta decisiones coherentes con los principios que afirma defender.

El compliance contemporáneo se encuentra precisamente ante esa transformación. Ya no basta con disponer de documentos formalmente correctos. La organización debe poder demostrar que su sistema funciona.

La responsabilidad derivada de la falta de supervisión.

La Directiva (UE) 2026/1021, de 29 de abril de 2026, sobre la lucha contra la corrupción, establece un nuevo marco europeo de armonización penal que comprende tanto la corrupción pública como la privada, el tráfico de influencias, la malversación, la obstrucción a la justicia y otras conductas relacionadas.

La norma se dirige a los Estados miembros, que deberán transponerla, con carácter general, antes del 1 de junio de 2028. No impone todavía obligaciones directamente exigibles a las empresas españolas, pero anticipa una evolución legislativa que las organizaciones deberían incorporar a sus procesos de revisión y mejora. Directiva (UE) 2026/1021

El artículo 13 contempla la responsabilidad de las personas jurídicas cuando determinados delitos de corrupción sean cometidos en su beneficio por personas que ocupen una posición directiva, dispongan de facultades de representación, tengan capacidad para adoptar decisiones o ejerzan funciones de control.

Sin embargo, su alcance no termina ahí. La Directiva también exige que pueda atribuirse responsabilidad a la persona jurídica cuando la falta de supervisión o control por parte de sus responsables haya permitido que una persona sometida a su autoridad cometa alguno de esos delitos en beneficio de la organización.

La relevancia de esta previsión resulta evidente. La responsabilidad corporativa no se vincula únicamente a una decisión expresa del órgano de administración. También puede encontrar su fundamento en una omisión organizativa: no haber identificado un riesgo razonablemente previsible, no haber supervisado una actividad sensible o no haber reaccionado ante señales de alerta suficientemente significativas.

La ausencia de control deja de ser una simple deficiencia administrativa para convertirse en un posible criterio de imputación.

El punto de encuentro con el Código Penal español.

Este planteamiento no resulta ajeno al ordenamiento español.

El artículo 31 bis del Código Penal contempla la responsabilidad penal de la persona jurídica por determinados delitos cometidos en su nombre o por su cuenta y en su beneficio directo o indirecto. También la establece cuando los hechos son realizados por personas sometidas a la autoridad de sus representantes o directivos debido a un incumplimiento grave de los deberes de supervisión, vigilancia y control.

El propio precepto reconoce, bajo determinadas condiciones, eficacia eximente o atenuante a los modelos de organización y gestión que incorporen medidas adecuadas para prevenir delitos o reducir significativamente el riesgo de su comisión. Código Penal consolidado

La Directiva europea refuerza esta arquitectura. La existencia de un modelo de compliance no debe valorarse únicamente atendiendo a su calidad documental, sino a su adecuación al riesgo, su implantación efectiva y su capacidad para condicionar realmente la conducta de la organización.

Un programa genérico, desvinculado de la actividad empresarial y desconocido por quienes deben aplicarlo, difícilmente podrá cumplir una función preventiva. Tampoco bastará con aprobar una política si después no existen responsables, recursos, controles, evidencias o mecanismos de revisión.

Un nuevo alcance económico de las sanciones.

La Directiva incorpora un régimen sancionador especialmente relevante para las personas jurídicas.

Su artículo 14 exige que las sanciones sean efectivas, proporcionadas y disuasorias, y contempla multas vinculadas al volumen de negocios mundial de la organización.

Para los delitos de corrupción pública o privada y determinadas formas de malversación, el límite máximo de las multas no podrá ser inferior al 5 % del volumen de negocios mundial total de la persona jurídica o, alternativamente, a 40 millones de euros. Para el tráfico de influencias, la obstrucción a la justicia y el enriquecimiento procedente de delitos de corrupción, el límite se sitúa en el 3 % del volumen de negocios mundial o, alternativamente, en 24 millones de euros.

La norma también contempla otras posibles consecuencias: exclusión de ayudas o financiación pública, prohibición temporal o definitiva de desarrollar actividades empresariales, retirada de autorizaciones, resolución de contratos públicos, intervención judicial, cierre de establecimientos e incluso disolución de la persona jurídica.

El impacto potencial de una conducta corrupta ya no puede calcularse atendiendo exclusivamente a la cuantía de la operación investigada.

Deben considerarse también sus consecuencias penales, regulatorias, contractuales, reputacionales y económicas.

La integridad no se proclama.

La Directiva (UE) 2026/1021 confirma una transformación que ya se encontraba presente en el derecho penal corporativo español: la responsabilidad de la organización no depende únicamente del delito cometido, sino también de la calidad de su estructura de prevención, supervisión y reacción.

Las organizaciones que interpreten el compliance como una obligación meramente documental permanecerán expuestas.

Por el contrario, aquellas que desarrollen modelos proporcionados, dinámicos y verificables estarán en mejores condiciones para prevenir conductas ilícitas, detectar tempranamente las irregularidades y acreditar su diligencia ante autoridades y tribunales.

Aristóteles comprendió que la virtud se construye mediante la conducta repetida. En las organizaciones sucede lo mismo. La integridad corporativa no se proclama en un código ético: se practica en cada decisión, se documenta mediante evidencias y se demuestra cuando el sistema es sometido a prueba.