Una pyme puede responder penalmente por delitos cometidos por sus empleados o directivos en su nombre y beneficio. No hace falta ser una gran empresa ni tener un departamento jurídico. Basta con que alguien use la estructura para defraudar, sobornar o blanquear, y que no existan controles razonables para evitarlo o detectarlo a tiempo. La factura puede llegar años después, cuando ya nadie se acuerda de aquella operación.
Esta guía ordena el punto de partida: qué riesgos tienes, cómo hacer un mapa de delitos proporcionado a tu actividad, qué controles funcionan de verdad y cómo encajan el canal de denuncias y la formación. No es un manual jurídico: es una forma de empezar sin comprar un modelo que no sirve, sin gastar en herramientas que nadie usará y sin prometer lo que no puedes cumplir.
Qué delitos pueden alcanzar a tu pyme
El catálogo es amplio: fraude fiscal, blanqueo, corrupción, estafa, delitos contra la propiedad intelectual, seguridad de la información o riesgos laborales. No todos aplican a tu negocio. Una consultora no tiene los mismos riesgos que una empresa de transporte o una que vende al extranjero. El punto de partida es mirar tu actividad real y las relaciones que mantienes.
Piensa en dónde entra y sale dinero, quién firma, quién contrata y quién trata con la administración. Ahí están la mayoría de los riesgos. Un comercial que paga comisiones a un intermediario, un proveedor en paraíso fiscal o un contrato público mal gestionado son focos típicos. Documenta ese análisis: si algún día hay un problema, demuestra que lo habías pensado.
- Identifica dónde entra dinero, quién firma y quién contrata.
- Revisa pagos a intermediarios, proveedores extranjeros y regalos.
- Incluye obligaciones fiscales, laborales y de protección de datos.
No copies el mapa de delitos de otra empresa: tu riesgo depende de tu actividad, tus clientes y los países donde operas.
Controles proporcionados al riesgo
Un modelo de compliance penal no es un archivo: es un conjunto de controles que se usan. Para una pyme, empieza por lo básico: separar quien paga de quien aprueba, exigir dos firmas en operaciones relevantes, revisar proveedores antes de contratar y documentar las decisiones. Son medidas baratas que cubren buena parte del riesgo real.
El control debe ser proporcional. Una empresa de diez personas no necesita un comité de cumplimiento con reuniones mensuales, pero sí saber quién autoriza un pago, cómo se aprueba un regalo o qué se hace si un cliente pide una factura con datos falsos. Escribe el procedimiento en una página, aplícalo y guarda prueba de que se aplica.
- Define quién aprueba pagos y separa esa función de quien los ejecuta.
- Revisa proveedores y clientes de riesgo antes de firmar el contrato.
- Deja por escrito qué regalos y atenciones se admiten y cuáles no.
Un control que nadie usa no protege: el juez mira si el procedimiento existía, se conocía y se aplicaba en la práctica.
Canal de denuncias y formación
El canal de denuncias permite que un empleado avise de una irregularidad sin miedo. Debe ser accesible, confidencial y con un procedimiento claro de tramitación. Si el canal existe pero nadie sabe usarlo, o si quien denuncia sufre represalias, el sistema falla y la empresa pierde la defensa que le daba tenerlo bien montado. Y quien lo gestiona necesita tiempo y criterio, no solo un nombramiento.
La formación cierra el círculo. No hace falta un curso anual de dos horas con diapositivas: basta con reuniones cortas por área, casos reales y un recordatorio de qué hacer ante una duda. Registra la asistencia y el contenido. Un equipo que sabe reconocer una señal de alarma es el control más barato y el que mejor funciona.
- Explica el canal en la acogida de nuevos empleados y por escrito.
- Forma por áreas con casos reales, no con teoría genérica.
- Guarda registro de la formación y de las consultas recibidas.
Si el canal de denuncias no se comunica ni se usa, no protege: es un documento más en la carpeta de cumplimiento.
Preguntas frecuentes
¿Sirve un modelo de compliance descargado de internet?
Sirve como punto de partida, no como solución. Un modelo genérico no refleja tu actividad, tus riesgos ni tu forma de trabajar, y un juez valora si el sistema es adecuado a la empresa concreta. Coge la estructura, adapta el mapa de riesgos, cambia los controles que no puedas aplicar y documenta las decisiones. Si no se usa a diario, no cuenta.
¿Qué pasa si un empleado comete un delito?
La empresa puede responder si el delito se cometió en su nombre y beneficio y no había controles eficaces. La responsabilidad no es automática: depende de la gravedad, del puesto de quien actúa y de si el modelo funcionaba. Tener controles documentados y aplicados es la principal defensa. Consulta con un abogado en cuanto detectes una señal.
¿Necesito un compliance officer?
No siempre. En pymes pequeñas, la función puede asumirla una persona con criterio y tiempo, a veces el propio administrador con apoyo externo. Lo importante es que tenga autoridad, acceso a la información y respaldo de la dirección. Si tu actividad es de riesgo alto, plantéate alguien dedicado o un apoyo externo con revisión periódica.