El responsable de cumplimiento normativo ha dejado de ser un perfil consultivo para convertirse en un órgano con autonomía funcional propia, cuyas decisiones condicionan directamente la responsabilidad penal de la persona jurídica. Entender sus obligaciones exige ir más allá de la descripción genérica de funciones y analizar los mecanismos concretos que el ordenamiento español le impone.
Autonomía funcional del compliance officer según el artículo 31 bis del Código Penal
El artículo 31 bis.5 del Código Penal exige que el órgano encargado de supervisar el modelo de prevención penal disponga de poderes autónomos de iniciativa y de control. No se trata de una recomendación organizativa, sino de un requisito cuyo incumplimiento invalida el programa de compliance como causa de exención de responsabilidad penal de la empresa.
Lectura recomendada: Responsabilidad civil de los administradores de empresas
Esa autonomía tiene consecuencias prácticas inmediatas. El responsable de cumplimiento debe poder acceder a cualquier área operativa, solicitar información sin filtros jerárquicos y proponer medidas correctoras al órgano de administración sin necesidad de aprobación previa de la dirección ejecutiva.
La jurisprudencia reciente del Tribunal Supremo, incluida la STS 298/2024, analiza si esa autonomía es real o meramente formal. Cuando el compliance officer depende funcionalmente del director financiero o del secretario del consejo, los tribunales tienden a considerar que el modelo carece de eficacia. Nos encontramos, por tanto, ante un criterio judicial que convierte la ubicación orgánica del responsable de cumplimiento en un factor determinante del resultado penal.
Lectura complementaria: ¿Cuáles son las normas de la ética profesional?
Gestión del canal de denuncias tras la Ley 2/2023
La Ley 2/2023 de protección del informante transformó el canal de denuncias de herramienta voluntaria en obligación legal con requisitos técnicos y procedimentales específicos. El responsable de cumplimiento normativo asume un papel central en este sistema interno de información.
Sus obligaciones en relación con el canal incluyen tareas que van mucho más allá de recibir comunicaciones:
- Garantizar la confidencialidad del informante durante todo el procedimiento, incluida la fase de investigación interna y la eventual comunicación a la autoridad competente.
- Acusar recibo de la comunicación en un plazo tasado y gestionar la tramitación conforme a los protocolos aprobados por el órgano de administración.
- Emitir informes periódicos de seguimiento que documenten el número de comunicaciones, su tipología, las medidas adoptadas y el estado de las investigaciones.
- Proponer actualizaciones del sistema cuando detecte deficiencias operativas o cambios normativos que afecten al funcionamiento del canal.
Un error frecuente es delegar la gestión del canal en un departamento sin formación específica. El responsable de cumplimiento no solo gestiona, sino que responde de que el sistema cumpla los estándares legales. Si el canal se revela ineficaz ante una inspección o un procedimiento judicial, la responsabilidad recae directamente sobre quien tenía encomendada su supervisión.
Responsabilidad penal del propio compliance officer: supervisar al supervisor
Existe un debate doctrinal activo sobre hasta dónde llega la responsabilidad personal del compliance officer cuando el modelo de prevención falla. La cuestión no es teórica. Si el responsable de cumplimiento conocía o debía conocer una conducta delictiva dentro de la organización y no activó los mecanismos de denuncia o corrección, puede enfrentarse a imputaciones por comisión por omisión.
La doctrina penal reciente distingue dos escenarios. En el primero, el compliance officer detecta indicios y los traslada al órgano de administración, que decide no actuar. Aquí, su responsabilidad queda generalmente cubierta si documentó adecuadamente la comunicación y la recomendación. En el segundo, el responsable de cumplimiento no detecta los indicios porque sus procedimientos de supervisión eran insuficientes o porque carecía de los recursos necesarios.
Este segundo supuesto es el que genera mayor riesgo. La falta de medios no exime si el compliance officer no reclamó formalmente los recursos ante el consejo de administración. Documentar esa reclamación, por escrito y con acuse de recibo, se convierte en una medida de autoprotección que recomendamos incorporar como práctica estándar.
Cumplimiento normativo en criptoactivos y nuevos sectores regulados
El perímetro de actuación del responsable de cumplimiento se ha ampliado considerablemente con la regulación de los proveedores de servicios de criptoactivos. Las entidades que operan en este sector están sujetas a obligaciones de prevención de blanqueo de capitales equiparables a las de las entidades financieras tradicionales.
La CNMV ha detectado deficiencias en los controles contra el blanqueo de capitales de gestoras, empresas de servicios de inversión y entidades cripto. Para el compliance officer de estas organizaciones, eso implica revisar sus mapas de riesgo con una frecuencia mayor que en sectores más consolidados, donde los patrones de operativa sospechosa están mejor documentados.
El registro de titulares de cuentas de criptomonedas ante Hacienda añade otra capa de control. El responsable de cumplimiento debe asegurarse de que los procedimientos internos de identificación de clientes (KYC) y de reporte de operaciones sospechosas se adaptan a las particularidades de los activos digitales, donde la velocidad de las transacciones y la pseudonimidad dificultan la trazabilidad.
Relación entre compliance penal y prevención de blanqueo de capitales
Muchas organizaciones tratan el compliance penal y la prevención de blanqueo como compartimentos separados. Es un error estratégico. Ambos programas comparten infraestructura de control, canales de reporte y evaluaciones de riesgo que, gestionados de forma aislada, generan duplicidades y puntos ciegos.
El responsable de cumplimiento que integra ambas disciplinas obtiene una visión transversal de los riesgos. Las alertas de blanqueo pueden revelar indicios de delitos corporativos (cohecho, fraude fiscal, administración desleal) que alimentan el modelo de prevención penal, y viceversa. Una estrategia multidisciplinar, como señalan análisis especializados recientes, refuerza la eficacia de ambos sistemas y reduce la exposición de la organización.
El compliance officer que opera en España en 2026 gestiona un entorno normativo donde la falta de autonomía real, un canal de denuncias deficiente o un mapa de riesgos desactualizado pueden traducirse en consecuencias penales tanto para la empresa como para el propio profesional. Documentar cada decisión, cada carencia de recursos y cada recomendación no atendida no es burocracia: es la línea que separa la diligencia de la responsabilidad.