LA AUDITORÍA DE COMPLIANCE EN EL PROCESO DE FUSIÓN Y ADQUISICIÓN DE UNA EMPRESA

En las operaciones de fusión y adquisición (M&A), la Due Diligence de Compliance Penal se ha vuelto tan crítica como la financiera o la fiscal.

El motivo principal es que el Artículo 130 del Código Penal español establece que la responsabilidad penal de una persona jurídica no se extingue por la transformación, fusión, absorción o escisión de la sociedad. La responsabilidad se traslada a la entidad adquirente o resultante.

¿Por qué las consultoras y despachos revisan el Compliance Penal?

1. Evitar la «herencia» de sanciones penales: Si compras una empresa que cometió un delito (por ejemplo, cohecho o fraude fiscal) antes de la compra, la empresa adquirente responderá de las multas financieras, inhabilitaciones o prohibiciones de contratar con la Administración públicas.
2. Valoración real del negocio: Las contingencias penales pueden derivar en reputaciones dañadas o multas millonarias que destruyen el valor pactado de la transacción.
3. Comprobar si el modelo exime de verdad: Los asesores evalúan si el programa de prevención de la empresa target es real y cumple con los requisitos del Art. 31 bis o la ISO 37301/UNE 19601, o si es un simple «maquillaje en papel».

Aspectos clave que auditan en esa revisión

Ámbito analizado	Qué revisan exactamente en la auditoría
Histórico de incidencias	Investigaciones judiciales abiertas, inspecciones de trabajo o sanciones administrativas relevantes.
Eficacia del Modelo	Si el Mapa de Riesgos se actualiza anualmente y si existen actas reales del Compliance Officer.
Canal Interno de Información	Cumplimiento de la Ley 2/2023 (protección del informante) y registro histórico de denuncias recibidas.
Terceros y proveedores	Procedimientos de homologación y cláusulas anticorrupción en contratos clave.

 

¿Cómo se refleja en el contrato de compraventa (SPA)?

Si la Due Diligence detecta lagunas o riesgos en compliance, los abogados suelen reaccionar de tres formas en el acuerdo final:

• Ajuste de precio: Descuento directo sobre el valor de compra por el riesgo asumido.
• Manifestaciones y Garantías (R&W): El vendedor declara expresamente que la empresa no ha cometido delitos y está al corriente en materia de prevención.
• Causas de indemnización específica (Indemnities): Cláusulas que obligan al vendedor a pagar al comprador cualquier sanción penal que surja tras la venta por hechos ocurridos antes del cierre.

AUDITORÍA DEL MODELO DE COMPLIANCE

El Artículo 31 bis del Código Penal español no utiliza literalmente el término «auditoría anual», sino que en su apartado 5.6º exige la «verificación periódica del modelo» y su actualización cuando se produzcan infracciones relevantes o cambios en la empresa.

Donde se concreta formalmente esa revisión como una auditoría periódica (habitualmente anual) es en los estándares de gestión de cumplimiento, como la norma UNE 19601 (Compliance Penal) y las normas ISO 37301 (Sistemas de Gestión de Cumplimiento) e ISO 37001 (Antisoborno).

1. Lo que exige el Código Penal (Art. 31 bis CP)

Para que un Modelo de Prevención de Delitos (o Compliance Penal) exima a la empresa de responsabilidad penal si un empleado o directivo comete un delito, el Código Penal impone 6 requisitos clave en su artículo 31 bis 5:

1. Mapa de riesgos penales: Identificar las actividades de mayor riesgo.
2. Protocolos de decisión: Reglas claras para la toma de decisiones y ejecuciones.
3. Gestión de recursos financieros: Controles para evitar la caja B o desvíos.
4. Canal de denuncias: Obligación de informar sobre posibles riesgos o incumplimientos.
5. Sistema disciplinario: Sancionar internamente las infracciones.
6. Verificación y actualización periódica: Evaluar continuamente que el modelo funciona y modificarlo ante cambios o fallos.

 

AUDITORÍA COMPLIANCE  (modelo)

 

 

Entidad auditada:

Fecha de la auditoría: 

Auditor / Letrado responsable:

 

 

1. Objeto, alcance y marco normativo

 

• Objeto

El presente documento constituye el modelo de trabajo para la auditoría del programa de prevención de delitos (modelo de organización y gestión) de la entidad, con la finalidad de verificar su idoneidad y eficacia como circunstancia eximente o atenuante de la responsabilidad penal de la persona jurídica conforme al art. 31 bis del Código Penal.

 

• Alcance

La auditoría comprende la revisión documental y la verificación de la implementación efectiva de los ocho bloques siguientes: (i) requisitos estructurales del art. 31 bis CP; (ii) código ético; (iii) mapa de riesgos penales; (iv) canal de denuncias / sistema interno de información; (v) órgano de cumplimiento; (vi) formación; (vii) régimen disciplinario; y (viii) recursos económicos asignados al programa.

 

• Marco normativo y de referencia
  • Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal: arts. 31 bis, 31 ter, 31 quater y 31 quinquies; art. 33.7 (penas aplicables a la persona jurídica); art. 66 bis (reglas de determinación).
  • Circular 1/2016 de la Fiscalía General del Estado, sobre la responsabilidad penal de las personas jurídicas (criterios de valoración de los modelos: cultura de cumplimiento real frente a «compliance de papel»).
  • Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.
  • Norma UNE 19601:2017, sistemas de gestión de compliance penal

(referencia de buenas prácticas, no vinculante).

• Normas UNE-ISO 37301:2021 (compliance management), como estándares complementarios.
• Jurisprudencia de referencia: SSTS 154/2016 y 221/2016 (fundamento de la responsabilidad y carga probatoria de la cultura de cumplimiento), y pronunciamientos posteriores sobre la eficacia ex ante del modelo.

 

• Metodología y escala de valoración

Cada ítem de control se valora  de 0 a 10 puntos conforme a la siguiente escala:

• El requisito está implantado, documentado y operativo, con evidencia suficiente.
• El requisito existe pero presenta deficiencias de diseño, documentación, actualización o aplicación efectiva.
• El requisito no existe o su implantación es meramente formal (compliance de papel).
• El requisito no resulta exigible por el tamaño o naturaleza de la entidad (deberá motivarse).

Toda valoración deberá sustentarse en evidencia documental o testifical identificada en la columna correspondiente. Las no conformidades se trasladarán al plan de acción del apartado final.

 

2.- El Buen Gobierno y una eficiente organización y prevención contra la comisión de delitos.

El fraude corporativo puede llegar a convertirse en un desastre en ocasiones difícil de cuantificar. A través de la presente auditoría, el empresario protegerá a su compañía en todos los sentidos.  Si la empresa no identifica de manera proactiva y gestiona adecuadamente la prevención y detección del fraude, podría encontrarse con varios problemas.  En el mismo sentido, si sobrevive a la comisión de un fraude importante, éste podría dañar su reputación de tal manera que le impida tener continuar su actividad empresarial.

 

La presente auditoría de compliance, elaborada por el despacho jurídico      a la empresa xxxxxx, es una auditoría sobre el Programa de Compliance Penal y el Modelo de Prevención de Delitos, respecto a los controles operantes en la compañía, y su eficacia.

 

El despacho o la auditora  analiza y estudia de manera objetiva e independiente si las medidas implantas se corresponden con el marco legislativo nacional e internacional.

 

El cumplimiento de la normativa de prevención de delitos por parte de la empresa, atenuará y posiblemente eximirá -de una posible responsabilidad penal (imputación y pena penal) a xxxx y a sus administradores, consejo de administración y/o directivos, ahorrando por tanto, mucho dinero y problemas de distinta índole y concienciará a las personas sujetas al Código Ético de la prohibición de cometer delitos en el seno, en nombre y en beneficio de xxxxxxx.

 

El fraude es un hecho delictivo, que puede llegar a cometer cualquier empleado, directivo y proveedor de la compañía y que como digo, puede llegar a resultar muy caro, siendo los departamentos, financieros y comercial, los más sensibles.  En el entorno competitivo en el que nos movemos, la elevada globalización, los avances en tecnología y los distintos riesgos que se incrementan con el paso del tiempo, obliga a las empresas a autoprotegerse, ya que ninguna empresa ya sea grande mediana o pequeña, puede permitirse el lujo de tener pérdidas económicas producto de fraudes y que, en la mayoría de los casos, sólo se recupera, en el mejor de los casos un pequeño porcentaje.

 

La realización del presente test o auditoría es la manera más práctica de saber cómo de vulnerable está y cómo está de protegida frente a la comisión de delitos.

 

Procesos serios, que previenen fraudes corporativos, (Códigos éticos y sistemas de detección del fraude -canal de denuncia) ayudan a incrementar la confianza de los inversores, accionistas, reguladores, auditorías, empleados y otros grupos de interés.

 

Para evaluar los riesgos penales de la empresa, el cumplimiento de la normativa nacional de prevención de delitos, nos hemos basado en el conocimiento de las políticas de control y el conocimiento de documentos entregados por la empresa auditada.

 

De acuerdo con el objetivo del presente documento, como expertos independientes en la materia, redactamos el presente documento en base a la información y documentación proporcionada por la empresa, siendo el objeto de la auditoría, evaluar la eficacia operativa del Modelo de Prevención de Delitos (MPD) conforme al Artículo 31 bis del Código Penal, verificando la existencia de medidas de vigilancia y control idóneas para prevenir delitos o reducir significativamente el riesgo de su comisión.

 

Evidencias de Cumplimiento. Tras la revisión de la documentación aportada y las pruebas de campo, se han verificado los siguientes pilares de cumplimiento:

 

Madrid, a   xxx  de xxx 2026

 

 

 

 

 

 

 

1. PREVENCIÓN CONTRA DELITOS Y COMPLIANCE PENAL
¿Hasta qué punto ha implementado xxxx un proceso de prevención contra la comisión de delitos en el seno de la empresa que exima de responsabilidad penal a la empresa, a sus directivos y empleados?	Comentarios
	Puntuación de 1 a 10
2. ELECCIÓN DE RESPONSABLE DE RESPONSABILIDAD PENAL CORPORATIVA
¿Hasta qué punto la empresa ha designado a un responsable de carácter autónomo con poderes autónomos de iniciativa y control, encargado de supervisar, prevenir, detectar y minimizar la comisión de un fraude y de comunicar y explicar a los distintos directivos y trabajadores, el proceso de prevención de riesgos penales y la responsabilidad penal corporativa?	Comentarios
	Puntuación de 1 a 10
3. EVALUACIÓN DEL RIESGO DE COMISION DE DELITOS
¿Hasta qué punto ha establecido la empresa, un proceso para identificar con regularidad en las distintas áreas de la empresa, los riesgos de comisión de delitos significativos a los que ha podido ser expuesta?	Comentarios
	.
	Puntuación de 1 a 10
4. TOLERANCIA AUTORIZADA ANTE CIERTOS RIEGOS
¿Hasta qué punto la empresa ha identificado y ha aprobado la tolerancia hacia cierto tipo de riesgos contra delitos?  Por ejemplo, ciertos riesgos, pueden constituir un coste tolerable al implementar un tipo de negocio, en cambio, otros pueden llegar a suponer un riesgo financiero catastrófico o un daño reputacional insalvable.	Comentarios
	Puntuación de 1 a 10

 

¿Hasta qué punto, el modelo identifica las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos?	Comentarios
	Puntuación de 1 a 10
5. PROCESO-CONTROL
¿Hasta qué punto la empresa ha implantado medidas, estrategias para, detectar, eliminar o reducir, a través de los procesos debidos, cada uno de los riesgos significantes detectados en su evaluación de riesgo?  En algunos casos puede ser más rentable, establecer una nueva estrategia empresarial para reducir el riesgo en la comisión de un fraude, que incorporar nuevos controles a los procesos ya existentes.	Comentarios
	Puntuación de 1 a 10
¿Hasta qué punto ha implementado la empresa en los distintos departamentos de la empresa, medidas para prevenir y detectar un posibles delitos cometidos por directivos o empleados?	Comentarios
	Puntuación de 1 a 10
6. ELABORACIÓN DE UN CÓDIGO DE CONDUCTA
¿Hasta qué punto la empresa ha redactado y publicado en su página web políticas visibles contra las posibles violaciones de la Ley, intentando en la medida de lo posible combatir la corrupción y otros delitos, protegiendo en todo momento los intereses de los accionistas, grupos de interés y de la propia compañía?	Comentarios

 

	Puntuación de 1 a 10
	7
¿Hasta qué punto ha requerido a los trabajadores una completa honradez, actuando con integridad y sinceridad entre los miembros de la empresa y con terceras partes?	Comentarios
	Puntuación de 1 a 10
¿Hasta qué punto se ha asegurado de que el Administrador o CEO de la empresa conoce y aplica el Código ético, así como que se compromete a aplicar los distintos programas de compliance, sirviendo de ejemplo a los trabajadores, accionistas y grupos de interés?	Comentarios
	Puntuación de 1 a 10
¿Hasta qué punto se ha asegurado de que todos los trabajadores son conocedores de sus responsabilidades y deberes, incluido el conocimiento de las normas del canal de denuncia?	Comentarios
	Puntuación de 1 a 10
¿Hasta qué punto ha dotado al proceso de prevención contra delitos de recursos financieros suficientes que le permita operar correctamente?	Comentarios
	Puntuación de 1 a 10
7. REVISIÓN PERIÓDICA

 

La empresa deberá revisar, al menos anualmente, que las leyes y el Código ético se cumplen, que los controles internos funcionan, debiendo actualizarlos si fuera necesario, teniendo en cuenta nuevos acontecimientos y normativa extranjera, asegurando en todo caso su completa aplicación.	Comentarios
	.
	Puntuación de 1 a 10
8. INFORME DE SUPERVISIÓN Y GESTIÓN
La compañía deberá designar persona o comité para asegurar la efectiva aplicación de las normas y políticas de la empresa, teniendo un nivel adecuado de autonomía de gestión, así como los recursos adecuados para llevar a cabo su responsabilidad.	Comentarios
	Puntuación de 1 a 10
9. CONTROLES INTERNOS
La empresa, a través del departamento financiero o de consultores externos, deberá llevar a cabo un control interno de los libros de la compañía.	Comentarios
	Puntuación de 1 a 10
10. FORMACIÓN
La empresa habrá de poner en práctica mecanismos destinados a garantizar la formación y el conocimiento de las políticas éticas de la empresa (Código Ético, denuncias internas, etc.) de todos los directivos y trabajadores, así como de los stakeholders, a través de programas de información individualizada, de la página web, de cursos de formación y conferencias, intentando garantizar que, en ningún caso, la compañía y/o sus empleados y directivos, violen la normativa y el Códigos Ético.	Comentarios
	Puntuación de 1 a 10
11. CANAL DE DENUNCIA
¿La entidad dispone de un canal de denuncias adecuado a su dimensión?	Comentarios
¿Existe una política o procedimiento de gestión de informaciones que regula la recepción, trámite y resolución, publicada y accesible? ¿El canal permite la presentación de comunicaciones por escrito y verbalmente, así como de forma anónima? ¿Se cumplen los plazos legales: acuse de recibo en 7 días naturales y plazo máximo de respuesta de 3 meses (ampliable a 6 en casos de especial complejidad)? ¿Se garantiza la confidencialidad de la identidad del informante y de terceros mencionados, con acceso restringido al personal autorizado? ¿Se prohíben expresamente las represalias contra informantes y existen medidas de protección efectivas?
	Puntuación de 1 a 10
12. PROCEDIMIENTOS DISCIPLINARIOS
La empresa deberá disponer de procedimientos disciplinarios para abordar, entre otras cuestiones, las violaciones de las leyes, así como para establecer sanciones por incumplimiento del Código Ético.	Comentarios
	Puntuación de 1 a 10
13. PREVENCIÓN EN RELACIÓN A AGENTES Y SOCIOS COMERCIALES
La empresa deberá efectuar due diligence acerca de sus agentes o socios comerciales, valorando sus antecedentes, su prestigio y sus conocimientos en el sector y se llevarán a cabo procedimientos de supervisión periódica.	Comentarios
	Puntuación de 1 a 10
Se informará a los agentes y socios comerciales acerca del compromiso de la empresa con el cumplimiento de la legalidad vigente, de las políticas y del Código Ético.	Comentarios
	Puntuación de 1 a 10
SUMA PUNTUACIONES:

 

 

Conclusión:

El Código Penal no se refiere en su artículo 31 bis a Programas o planes de cumplimiento normativo sino a modelos de organización y gestión que incluyan medidas de vigilancia y control idóneas para prevenir delitos o de reducir de forma significativa el riesgo de su comisión.

Por tanto, lo que ha pretendido el legislador y así nos lo dice la jurisprudencia es “disponer de una cultura de control y de instrumentos eficaces para prevenir la comisión de delitos en el seno de la actividad social”, evitando tener meros planes “cosméticos” o “estéticos”, con mucha palabra pero escaso contenido real.

Qué duda cabe que, en función de la idoneidad de los planes de prevención de delitos y su real eficacia, estos le darán a la empresa un efecto de atenuante o eximente, aspecto que no debe ser irrelevante sino todo lo contrario.

Valorando el Programa de Prevención de delitos de xxxxxxxxx, manifiesto lo siguiente:

1.- Existe compromiso de la dirección.

2.- Análisis de riesgos e instauración de controles.

3.- Canal de denuncia.

Durante el año 2025, la empresa ha recibido “xxx” denuncias internas.

4.- Formación.

5.- Sanciones disciplinarias.

6.- La presencia de un Compliance Officer con recursos económicos propios demuestra que el modelo no es meramente cosmético (make-up compliance), sino que cuenta con medios materiales para su ejecución.

 

Por tanto, certifico que los MODELOS DE ORGANIZACIÓN DE VERIFICACIÓN Y GESTIÓN, que incluyen medidas de vigilancia y control llevados a cabo por la empresa  son EFECTIVOS e IDONEOS para prevenir delitos y actuaciones irregulares contrarias a la normativa interna, si se hubiese formado a los empleados y directivos, incumpliendo de esta manera con los requisitos recogidos en el artículo 31 bis 5 del código penal.