Certificación UNE 19601 | Sistemas de destión de compliance penal
La norma UNE 19601 es el estándar español certificable que define los requisitos para diseñar, implementar y mantener un Sistema de Gestión de Compliance Penal eficaz. Certificar bajo este estándar demuestra ante tribunales, fiscalía y administraciones públicas que tu modelo de prevención cumple con el artículo 31 bis del Código Penal.
La versión actualizada UNE 19601:2025, publicada en abril de 2025, incorpora la jurisprudencia del Tribunal Supremo, integra la Ley 2/2023 de protección del informante y eleva las exigencias en evaluación de riesgos, liderazgo y cultura de cumplimiento.
Fundamento legal: el "defecto estructural" y la carga de la prueba
El artículo 31 bis del Código Penal establece que las personas jurídicas pueden ser penalmente responsables por delitos cometidos en su nombre o beneficio. La jurisprudencia del Tribunal Supremo (STS 768/2025 y STS 836/2025) ha rechazado la responsabilidad objetiva: la empresa no responde automáticamente por los actos de sus empleados. La responsabilidad se fundamenta exclusivamente en la existencia de un «defecto estructural» en los modelos de prevención y supervisión.
El Tribunal Supremo ha establecido que la carga de la prueba de este defecto recae en el Ministerio Fiscal. Disponer de un Sistema de Gestión certificado bajo UNE 19601 desmonta esta acusación, actuando como prueba preconstituida de controles reales. A diferencia de ISO 37301 (compliance transversal), la UNE 19601 está diseñada específicamente para cumplir con el artículo 31 bis del Código Penal español.
Nueva versión 2025: Principales cambios respecto a 2017
La actualización de la norma UNE 19601 publicada en abril de 2025 elimina ambigüedades, refuerza requisitos críticos y alinea el estándar con la Estructura de Alto Nivel de ISO.
Evaluación de riesgos trasladada al Capítulo 4
Cultura de cumplimiento en Liderazgo
El Órgano de Compliance adquiere "autoridad"
Distinción entre Formación y Toma de Conciencia
Integración de la Ley 2/2023
Para qué empresas está diseñada la certificación UNE 19601
Empresas con obligación de compliance penal
➜Leer másCerrar
Organizaciones de más de 50 empleados, sectores regulados (construcción, energía, farmacéutico, contratación pública) o con riesgos críticos de delitos corporativos.
Grupos empresariales con operaciones internacionales
➜Leer másCerrar
Corporaciones con presencia en España, Portugal, México, Ecuador o Latinoamérica que requieren sistemas integrados armonizables con ISO 37301 e ISO 37001.
Empresas que licitan con el sector público
➜Leer másCerrar
Organizaciones que participan en contratación pública y necesitan activar el mecanismo de self-cleaning (artículo 72 LCSP) para evitar prohibiciones de contratar.
Empresas en procesos de M&A o investigaciones
➜Leer másCerrar
Organizaciones que buscan inversión, fusiones o que enfrentan procedimientos penales y necesitan demostrar robustez en compliance ante terceros.
Beneficios de certificar en UNE 19601
Exención o atenuación de responsabilidad penal
Un sistema certificado acredita que la empresa no presenta el «defecto estructural» que fundamenta la responsabilidad penal corporativa según la jurisprudencia del Tribunal Supremo.
Protección ante prohibiciones de contratar
La certificación activa el mecanismo de self-cleaning del artículo 72 LCSP, permitiendo a empresas condenadas rehabilitarse comercialmente y participar en licitaciones públicas.
Ventaja competitiva en contratación pública
Numerosos pliegos incorporan la certificación UNE 19601 como criterio evaluable positivamente o requisito de acceso a contratos estratégicos.
Prueba preconstituida ante el Ministerio Fiscal
Un certificado expedido por entidad acreditada ENAC aporta solidez extraordinaria a informes periciales presentados en fase de instrucción.
Reducción de sanciones y mejora de reputación
Demostrar diligencia efectiva reduce drásticamente el riesgo de sanciones millonarias y refuerza la confianza de inversores, clientes y reguladores.
Cómo es el proceso de certificación UNE 19601
Certificar implica auditoría externa exhaustiva por entidad acreditada ENAC (AENOR, Bureau Veritas, DNV-GL, Kiwa).
Fase 1: Diseño e implementación del SGCP
Construir documentación exigida: política de compliance, análisis de riesgos, código de conducta, canal de denuncias Ley 2/2023 y protocolos de formación.
Fase 2: Revisión documental
El auditor evalúa la calidad del diseño. Verifica que la matriz de riesgos abarque el Código Penal íntegro y que el Órgano de Compliance tenga autoridad real.
Fase 3: Auditoría in situ
Los auditores verifican penetración de la cultura ética mediante entrevistas con el Consejo, muestreo de transacciones y auditoría técnica del canal de denuncias.
Fase 4: Emisión del certificado
Si no hay no conformidades mayores, se expide el certificado. Requiere auditorías anuales de seguimiento y renovación cada tres años.
Plazo crítico ENAC: Adaptación antes de septiembre 2026
ENAC ha dictado que las empresas con certificados bajo la versión 2017 deben solventar todas las desviaciones respecto a los nuevos requisitos antes del 1 de septiembre de 2026. Las organizaciones que no aseguren implantación óptima se arriesgan a la suspensión definitiva de sus certificados.
Cambios críticos a implementar antes del plazo:
- Evaluación de riesgos reubicada al Capítulo 4 con análisis completo del Código Penal
- Evidencias de cultura de compliance integrada en Liderazgo
- Formalización de autoridad del Órgano de Compliance
- Separación entre formación técnica y toma de conciencia
- Adaptación del canal de denuncias a Ley 2/2023
Cuéntanos tu caso y te diremos si lo que hacemos tiene sentido para ti.
Completa este formulario de contacto y uno de nuestros especialistas se pondrá en contacto contigo.
No todas las empresas necesitan un sistema de compliance integral
Pero si alguna vez te has dicho: