Durante una primera etapa, muchas empresas entendieron el Compliance Penal como una necesidad esencialmente documental: disponer de un código ético, identificar riesgos, aprobar determinados procedimientos y establecer un canal interno de información.
Ese enfoque, aun siendo un punto de partida necesario, hoy resulta claramente insuficiente.
La evolución de la UNE 19601:2025 confirma una tendencia que desde QMC Asociados venimos observando desde hace tiempo: el Compliance Penal debe entenderse como un verdadero sistema de gestión, integrado en la organización, sometido a seguimiento y capaz de demostrar con evidencias que funciona de forma efectiva.
Y este cambio de enfoque es especialmente importante.
Porque una cosa es disponer de documentación y otra muy distinta poder acreditar que la organización conoce sus riesgos, aplica controles, revisa su eficacia, forma a sus personas y actúa de forma coherente cuando se produce una incidencia.
Del cumplimiento formal al cumplimiento efectivo
Uno de los principales errores que todavía encontramos en algunas organizaciones consiste en identificar el Compliance con un conjunto de documentos.
Un modelo puede estar perfectamente redactado y, sin embargo, tener una implantación muy limitada.
Puede existir un mapa de riesgos que no se revisa desde hace años.
Puede existir un canal interno que prácticamente nadie conoce.
Puede haberse aprobado un código ético sin que exista una formación adecuada sobre su contenido.
Puede existir un órgano de Compliance cuyas funciones no estén claramente definidas o que apenas participe en la gestión real de los riesgos.
Y también puede ocurrir que la empresa disponga de procedimientos, pero no existan evidencias suficientes que permitan demostrar que esos procedimientos se aplican.
Por eso, la pregunta que cada vez cobra mayor importancia no es:
¿La empresa tiene un sistema de Compliance?
La verdadera pregunta es:
¿Puede demostrar que ese sistema funciona?
Ahí está, en nuestra opinión, uno de los grandes cambios en la forma de entender el Compliance Penal.
La UNE 19601:2025 y una visión más madura del Compliance
La actualización de la UNE 19601 refuerza precisamente esa visión.
La nueva versión avanza hacia una mayor integración del Compliance Penal con la gestión ordinaria de la organización, poniendo el foco no solo en la existencia de medidas de prevención, sino también en su eficacia, seguimiento y mejora.
Entre los aspectos más relevantes destacan la evolución de los mecanismos de prevención, la protección de las personas informantes, el papel del órgano de Compliance, la gestión de los riesgos penales y la integración del sistema dentro de la estructura general de gobierno de la organización.
También cobra especial importancia la alineación con otros estándares internacionales de Compliance, especialmente con ISO 37301, lo que facilita que las organizaciones puedan integrar estos sistemas con otros modelos de gestión ya implantados.
Esto es especialmente relevante para aquellas empresas que ya trabajan con normas como ISO 9001, ISO 14001, ISO 45001, ISO 27001 u otros estándares de gestión.
La lógica es cada vez más clara:
no tiene sentido gestionar el Compliance como una estructura independiente y desconectada del resto de la empresa.
Debe formar parte del mismo sistema de toma de decisiones, análisis de riesgos, control, seguimiento y mejora.
El mapa de riesgos debe ser una herramienta viva
Uno de los elementos esenciales de cualquier sistema de Compliance Penal es la identificación y evaluación de riesgos.
Pero elaborar un mapa de riesgos no debe entenderse como un ejercicio puntual.
Los riesgos cambian.
Cambian cuando la empresa entra en nuevos mercados.
Cambian cuando se incorporan nuevas líneas de negocio.
Cambian cuando se producen modificaciones legislativas.
Cambian cuando aparecen nuevos proveedores, socios comerciales o intermediarios.
Cambian cuando la organización crece, se internacionaliza o modifica su estructura.
Y también cambian como consecuencia de las propias incidencias detectadas.
Por ello, un mapa de riesgos eficaz debe revisarse periódicamente y debe estar conectado con la realidad de la empresa.
No debería ser un documento genérico ni limitarse a enumerar delitos.
Debe identificar escenarios concretos, actividades expuestas, responsables, controles existentes y medidas adicionales cuando sean necesarias.
Además, la evaluación del riesgo debe permitir priorizar.
No todos los riesgos tienen la misma probabilidad ni el mismo impacto.
Y, por tanto, tampoco todos requieren el mismo nivel de control.
Los controles deben poder demostrarse
Otro de los aspectos fundamentales es la eficacia de los controles.
En Compliance no basta con afirmar que un control existe.
Debe poder acreditarse.
Si una organización establece controles sobre pagos, contratación, compras, relaciones con terceros, conflictos de interés, donaciones, regalos o autorizaciones, debe conservar evidencias suficientes de que esos controles realmente se aplican.
Esto nos lleva a una idea muy vinculada con cualquier sistema de gestión:
lo que no puede demostrarse difícilmente puede considerarse controlado.
Por eso, cada vez adquiere mayor importancia la trazabilidad.
Quién realizó la revisión.
Cuándo se realizó.
Qué información se analizó.
Qué decisión se adoptó.
Qué incidencias se detectaron.
Qué medidas se pusieron en marcha.
Y si esas medidas fueron posteriormente verificadas.
La evidencia documental no debe entenderse como burocracia.
Bien gestionada, es precisamente lo que permite a una organización demostrar que ha actuado de forma diligente.
El papel de la alta dirección
Ningún sistema de Compliance puede funcionar sin un compromiso real de la dirección.
Y ese compromiso debe ir mucho más allá de aprobar políticas.
La dirección debe participar activamente en la cultura de cumplimiento.
Debe conocer los principales riesgos.
Debe asignar recursos.
Debe recibir información sobre la evolución del sistema.
Debe conocer las incidencias relevantes.
Y debe impulsar las medidas correctoras cuando sean necesarias.
Una organización difícilmente puede construir una verdadera cultura de cumplimiento si la dirección transmite, de forma directa o indirecta, que los objetivos comerciales están por encima de los controles.
Por eso, uno de los elementos más relevantes del Compliance es la coherencia.
Lo que la organización declara debe coincidir con la forma en la que realmente actúa.
El órgano de Compliance y su verdadera función
Otro de los elementos esenciales es el órgano responsable del sistema.
Su configuración dependerá del tamaño, actividad y estructura de cada organización.
En algunos casos puede tratarse de una función individual.
En otros, de un comité.
Pero, con independencia de su estructura, debe disponer de funciones claras, independencia suficiente, capacidad de acceso a la información y medios adecuados para desarrollar su trabajo.
El órgano de Compliance no debería limitarse a recibir comunicaciones.
Su función debe ser mucho más amplia.
Debe participar en la evaluación de riesgos.
Supervisar controles.
Analizar incidencias.
Proponer mejoras.
Revisar indicadores.
Informar a la dirección.
Y comprobar que las medidas adoptadas son realmente eficaces.
Además, sus actuaciones deben quedar documentadas.
La trazabilidad de sus decisiones forma parte de la propia solidez del sistema.
El canal interno no es suficiente por sí solo
La implantación de canales internos de información ha experimentado un importante impulso en los últimos años.
Sin embargo, disponer de un canal no significa disponer de un sistema eficaz de gestión de comunicaciones.
El canal es solo una herramienta.
Lo importante es todo lo que ocurre después.
Debe existir un procedimiento claro para recibir, analizar, investigar y resolver las comunicaciones.
Deben protegerse adecuadamente los derechos de las personas implicadas.
Debe garantizarse la confidencialidad.
Deben respetarse los plazos.
Deben evitarse represalias.
Y debe existir trazabilidad de todo el proceso.
Además, la organización debe analizar las comunicaciones recibidas desde una perspectiva más amplia.
Una denuncia o comunicación puede revelar un problema individual.
Pero también puede revelar una debilidad estructural del sistema.
Por tanto, las incidencias deben servir como fuente de aprendizaje y mejora.
Formación y cultura de Compliance
Otro aspecto que consideramos fundamental es la formación.
Un sistema de Compliance no puede depender únicamente del conocimiento de unas pocas personas.
Las personas que trabajan en la organización deben conocer las principales reglas aplicables a su actividad.
Pero la formación debe ser útil.
No debería reducirse a una presentación genérica realizada una vez al año.
Debe adaptarse a los riesgos reales de cada puesto.
No necesita la misma formación una persona que trabaja en administración que un responsable de compras, un comercial, un directivo o alguien que gestiona relaciones con administraciones públicas.
La formación basada en casos prácticos suele resultar mucho más eficaz.
¿Qué hago si un proveedor me ofrece un regalo?
¿Qué ocurre si detecto una irregularidad?
¿Cómo debo actuar ante un posible conflicto de interés?
¿Qué información debe comunicarse?
¿A quién?
Cuando las personas saben responder a estas preguntas, el sistema empieza realmente a formar parte de la cultura de la organización.
Integrar el Compliance con otros sistemas de gestión
Para muchas organizaciones, una de las principales oportunidades está precisamente en integrar el Compliance con sistemas ya existentes.
Las empresas que trabajan con normas de gestión están acostumbradas a conceptos como:
análisis de riesgos,
objetivos,
responsabilidades,
competencia,
información documentada,
seguimiento,
auditoría interna,
acciones correctivas,
revisión por la dirección
y mejora continua.
El Compliance comparte muchos de estos principios.
Por tanto, integrar sistemas puede evitar duplicidades y mejorar notablemente su eficacia.
La empresa no necesita crear estructuras paralelas para cada norma.
Lo verdaderamente eficiente es construir un sistema de gestión integrado donde los distintos riesgos —calidad, medio ambiente, seguridad, información, Compliance o cualquier otro— formen parte de una misma lógica de gestión.
La importancia de la auditoría interna
La auditoría interna adquiere también un papel esencial.
Una auditoría eficaz no debería limitarse a comprobar si existen documentos.
Debe evaluar si el sistema funciona.
Debe analizar evidencias.
Debe contrastar la aplicación real de los controles.
Debe realizar entrevistas.
Debe comprobar si las personas conocen sus responsabilidades.
Debe analizar incidencias y acciones correctivas.
Y debe identificar oportunidades de mejora.
El objetivo no es únicamente detectar incumplimientos.
También debe servir para evaluar la madurez del sistema.
Porque una organización puede cumplir formalmente y, sin embargo, disponer de un sistema poco desarrollado.
Por eso resulta especialmente útil diferenciar entre cumplimiento documental y eficacia real.
La revisión por la dirección como herramienta estratégica
La alta dirección debe disponer periódicamente de una visión global del sistema.
Esa revisión debería incluir, entre otros aspectos:
la evolución de los riesgos,
las incidencias detectadas,
las comunicaciones recibidas,
el resultado de auditorías,
el estado de las acciones,
los cambios legislativos relevantes,
los indicadores,
las necesidades de recursos
y las oportunidades de mejora.
Esta información permite tomar decisiones.
Y ahí es donde el Compliance deja de ser una obligación y empieza a convertirse en una herramienta de gobierno.
Compliance, reputación y confianza
También existe una dimensión que no debería olvidarse.
El Compliance no solo protege frente a riesgos legales.
También protege reputación.
En mercados cada vez más exigentes, clientes, administraciones, inversores y grandes compañías solicitan evidencias sobre la forma en la que una organización gestiona sus riesgos.
Cada vez es más habitual encontrar requisitos relacionados con ética, anticorrupción, conflictos de interés, derechos humanos, sostenibilidad, protección del informante o diligencia debida en procesos de homologación y contratación.
Por tanto, disponer de un sistema sólido puede convertirse también en un elemento de competitividad.
Especialmente para aquellas empresas que trabajan con grandes corporaciones, administraciones públicas o mercados internacionales.
De la documentación a la evidencia
Desde QMC Asociados consideramos que este es precisamente el principal mensaje que deja la evolución del Compliance Penal.
No se trata simplemente de redactar documentos.
Se trata de construir sistemas que puedan demostrar:
que los riesgos están identificados,
que existen controles,
que los controles funcionan,
que las responsabilidades están definidas,
que las personas reciben formación,
que las incidencias se investigan,
que las acciones se verifican
y que el sistema mejora.
Porque cuando llega el momento de acreditar que una organización ha actuado correctamente, las declaraciones tienen un valor limitado.
Lo que realmente importa son las evidencias.
Conclusión
La evolución de la UNE 19601 representa una oportunidad para que las organizaciones revisen sus modelos de Compliance Penal desde una perspectiva más madura.
No debería verse únicamente como una actualización normativa.
Es también una oportunidad para preguntarse si el sistema implantado aporta verdadero valor.
Si ayuda a prevenir riesgos.
Si permite detectar problemas.
Si facilita la toma de decisiones.
Si protege a la organización.
Y si puede demostrar, con evidencias, cómo actúa.
En QMC Asociados entendemos el Compliance como parte de una visión mucho más amplia de la gestión empresarial: riesgos, control, gobernanza, estrategia y mejora continua.
Porque el verdadero objetivo no debería ser simplemente poder decir que existe un sistema de Compliance.
El objetivo debería ser poder demostrar que funciona.
