Qué es y qué no es
Cumplimiento legal no significa tener carpetas con políticas. Significa que la empresa identifica las obligaciones que le aplican, establece controles para cumplirlas y puede demostrarlo.
La diferencia entre ambas cosas se ve el día de una inspección o de un procedimiento: lo que exime de responsabilidad no es el documento, sino la prueba de que el control funcionaba.
Por eso un sistema pequeño y realmente aplicado protege más que un manual extenso que nadie sigue.
El punto de partida: la responsabilidad penal
Desde la reforma de 2010, las personas jurídicas pueden ser penalmente responsables. El artículo 31 bis del Código Penal regula esa responsabilidad y, lo que más interesa aquí, las condiciones que pueden eximir de ella.
La exención requiere, con carácter general, que el órgano de administración haya adoptado y ejecutado con eficacia, antes de la comisión del delito, modelos de organización y gestión que incluyan las medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza o reducir de forma significativa el riesgo de su comisión.
El mismo artículo exige que la supervisión del funcionamiento del modelo se confíe a un órgano con poderes autónomos de iniciativa y control, y que no se haya producido una omisión o un ejercicio insuficiente de sus funciones.
De esa redacción se extraen las dos palabras clave: adoptado y ejecutado con eficacia. Un modelo aprobado y archivado no cumple el requisito.
Los bloques de obligaciones
Con independencia del tamaño, toda empresa tiene obligaciones en estos ámbitos. Conviene mapearlos antes de decidir por dónde empezar.
| Ámbito | Obligaciones típicas |
|---|---|
| Penal | Modelo de organización y gestión, mapa de riesgos, canal interno, formación |
| Protección de datos | Registro de actividades, bases de licitud, información, seguridad, delegado cuando proceda |
| Laboral | Contratos, registro de jornada, prevención de riesgos, igualdad, protocolos |
| Fiscal | Obligaciones censales, declaraciones, facturación, conservación |
| Mercantil | Contabilidad, cuentas anuales, libros, titularidad real |
| Sectorial | La normativa propia de la actividad: blanqueo, consumo, sanitaria, medioambiental |
El canal interno de información
Es la obligación que más empresas han incorporado en los últimos años y la que más veces se pasa por alto en las pequeñas.
La Ley 2/2023 obliga a disponer de un sistema interno de información a las entidades que la propia ley determina, con garantías de confidencialidad, con un responsable del sistema y con un procedimiento de gestión de las informaciones recibidas.
Además, la existencia de un canal es uno de los elementos que el artículo 31 bis contempla dentro de los modelos de prevención penal.
Conviene comprobar si la entidad está dentro del ámbito subjetivo de esa ley antes que cualquier otra cosa, porque su incumplimiento tiene régimen sancionador propio.
Igualdad y protocolos
En materia laboral hay obligaciones que dependen del tamaño de la plantilla y otras que no.
El plan de igualdad es obligatorio a partir del umbral de plantilla que la norma establece, con su diagnóstico, su negociación, su registro y su vigencia máxima de cuatro años.
El protocolo frente al acoso sexual y por razón de sexo, en cambio, es exigible con independencia del tamaño de la empresa.
Es una distinción que se confunde a menudo: no tener obligación de plan de igualdad no exime de tener protocolo.
Por dónde empezar con recursos limitados
Para una empresa pequeña, intentar implantarlo todo a la vez garantiza no implantar nada. Este orden funciona.
Ese penúltimo punto es determinante. En un procedimiento, la formación acreditada es una de las pruebas más eficaces de que el modelo se aplicaba.
- Identifica las obligaciones que te aplican por actividad y por tamaño, y escríbelas en una sola lista.
- Prioriza por riesgo: qué incumplimiento tendría la sanción más alta o el daño mayor.
- Empieza por lo que es obligatorio y verificable: registro de jornada, registro de actividades de tratamiento, protocolo de acoso, cuentas anuales.
- Documenta lo que ya haces bien. Mucho cumplimiento existe sin estar escrito.
- Forma al personal y guarda la prueba de esa formación.
- Revisa una vez al año y deja constancia de la revisión.
Lo que se mira cuando hay un problema
Cuando llega una inspección o un procedimiento, la pregunta no es si existía un documento, sino si el control funcionaba.
Se examina la fecha de adopción del modelo, si es anterior a los hechos, si hubo evaluación de riesgos real, si el órgano de supervisión existía y actuaba, si hubo formación y si se detectaron y corrigieron incidencias previas.
Por eso conviene conservar trazabilidad: actas, registros de formación, informes de revisión y constancia de las decisiones adoptadas.
Seguir leyendo
Sobre cuestiones próximas a esta, puede interesarte Abogado de empresa: qué hace y cuándo compensa, Cambio de lugar de trabajo en la misma empresa y Derecho empresarial: qué cubre y cuándo hace falta.
Si el asunto es tuyo y quieres revisarlo con alguien, esta materia se trata en el área de servicios para empresas de EOM.
Fuentes y fecha de revisión
Contenido contrastado el . La normativa y su aplicación pueden cambiar.
- Ley Orgánica 10/1995, del Código Penal: artículos 31 bis a 31 quinquies
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales
- Ley 2/2023, reguladora de la protección de las personas que informen sobre infracciones normativas
- Real Decreto Legislativo 5/2000, texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social