Compliance penal. Cambios en la norma UNE 19601:2025

El pasado 24 de abril, la Asociación Española de Normalización (UNE) publicó la nueva norma UNE 19601:2025, que anula y sustituye a su anterior versión, la UNE 19601:2017.

La UNE 19601 se ha convertido desde su publicación en 2017 en la norma de referencia para la implantación, mantenimiento y actualización de los sistemas de compliance penal de las organizaciones, por ofrecer un marco estandarizado conforme a los requisitos de la normativa española y las buenas prácticas internacionalmente aceptadas para la prevención y mitigación del riesgo de comisión de delitos.

Si bien esta nueva versión de la UNE 19601 no incluye cambios sustanciales en cuanto a la gestión del compliance penal, sí que contiene algunas modificaciones respecto de su contenido, adoptando la Estructura Armonizada (HS) de ISO, lo que permite una integración coherente y una gestión más eficiente y efectiva con otros sistemas de gestión de compliance, como los diseñados conforme a la ISO 37301:2021.

Principales novedades:

• Distinción entre formación y toma de conciencia: la Norma UNE, en su anterior versión, entendía de forma conjunta los conceptos de formación y concienciación. Por su parte, la nueva UNE 19601:2025, siguiendo la estela marcada por la ISO 37301:2021, separa y diferencia claramente ambas actividades, estableciendo requisitos específicos para cada una de ellas. 

Desde el punto de vista práctico, esta distinción entre la implementación de actividades para la formación en compliance de aquellas orientadas a la toma de conciencia en esta materia es de especial trascendencia por las dificultades que puede presentar la impartición de formaciones, por ejemplo, a socios de negocio, por ser agentes externos a la organización. De este modo, la formación puede quedar circunscrita al contexto interno de la organización, mientras que la concienciación si permite un enfoque más general y transversal.

Para ello, la nueva UNE 19601 incorpora la obligación de implementar actividades de concienciación, no sólo sobre los miembros de la organización, sino también sobre sus socios de negocio, tales como planificar las actividades de concienciación para su efectiva realización o la puesta a disposición de la documentación necesaria que permita a los socios de negocio conocer y respetar los valores y principios de la organización.

• Canal de denuncias: si bien la anterior versión establecía requisitos genéricos, la nueva UNE 19601 refuerza la garantía de confidencialidad y protección frente a represalias, adaptándose a los últimos cambios normativos en materia de protección al informante de irregularidades.

Asimismo, incluye a las personas jurídicas como posibles denunciantes, que disponen también de los derechos de protección por tal condición al igual que las personas físicas.

Todo ello conforme a la Directiva (UE) 2019/1937, y a la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, y en armonía con la ISO 37002:2021, sobre Sistemas de Gestión de Denuncia de Irregularidades – Directrices.

• Liderazgo y contenido de la función de compliance penal: una de las novedades más significativas es el refuerzo de las acciones de liderazgo indelegables que debe asumir el órgano de gobierno en la gestión del compliance penal, y especialmente en cuanto a la  labores supervisión, vigilancia y toma de decisiones relacionadas con la implantación del compliance, que son de su responsabilidad directa.

Para ello, se definen dos obligaciones específicas: “dirigir y apoyar a las personas para contribuir a la eficacia del sistema de gestión de compliance penal”; y “promover la mejora continua del sistema de gestión de compliance penal”; lo que se puede traducir como la proactividad en la implementación del compliance y en la supervisión periódica del mismo que permita su mejora y sofisticación.

De igual modo, se definen con mayor claridad las funciones del órgano de cumplimiento normativo, así como su autonomía, autoridad y recursos.

• Reubicación de la evaluación de riesgos: la evaluación de riesgos penales se traslada desde el capítulo de “Planificación” al de “Contexto de la organización”, con el objeto de integrar la gestión de riesgos, aspecto nuclear para la prevención de delitos, en los objetivos de negocio, y facilitar la incorporación del compliance penal a otros sistemas de gestión dentro de la organización. 

Con ello, se crea además como nueva obligación, que si bien es de sentido común no estaba prevista anteriormente, de identificar los riesgos penales conforme a “la versión más actualizada del Código Penal, en el momento de desarrollar el ejercicio de la evaluación”.

• Procesos de diligencia debida: profundiza y aclara los procesos de diligencia debida, adoptando un enfoque más flexible en los supuestos de inversiones financieras en entidades donde la organización no tiene el control operativo, para lo que facilita una definición conceptual de las mismas.

Conclusión

Los continuos cambios legislativos y la cada vez más exigente regulación normativa hace necesario que las personas jurídicas, ya sean públicas o privadas (empresas, fundaciones, etc.) cuenten con un sistema de compliance sofisticado que de forma eficiente y efectiva gestione los riesgos penales a los que se pueden ver expuestas, detectando dichos riesgos y estableciendo controles y medidas que prevengan o mitiguen la comisión de delitos.

En tal sentido, la implantación de un sistema de compliance y la concienciación y el compromiso con el cumplimiento normativo y con los más altos estándares de ética empresarial no solo actúa como mecanismo de exención o mitigación de responsabilidad penal para las organizaciones, sino que en el mercado cada vez más competitivo en el que operamos se está convirtiendo en un requisito fundamental para el posicionamiento reputacional, generando confianza en clientes, inversores, socios de negocio, proveedores y autoridades.

En HispaColex Servicios Jurídicos, sirviendo como referente en tanto entidad certificada por AENOR conforme a la UNE 19601, ayudamos a las organizaciones empresariales a la implantación de un sistema de gestión de compliance integral en absoluta alineación con las exigencias normativas y con los más altos estándares de las normas de sistemas de gestión de compliance internacionalmente reconocidas, así como a la adaptación y mejora de los ya implantados que se encuentren en proceso de certificación.

  Manuel Molina Lombardo

Si tiene dudas sobre como aplicar este artículo a su caso, puede realizarnos una consulta a través de nuestro formulario