El principio tradicional del derecho romano según el cual las personas jurídicas no pueden delinquir (societas delinquere non potest) paulatinamente, ha sido superado, hasta el punto de estar dotados en la actualidad de una regulación de la responsabilidad penal de la persona jurídica, donde no hay duda de que la persona jurídica delinque, pudiendo distinguir dos modelos o formas diferenciadas de atribuir responsabilidad penal a las personas jurídicas: el modelo vicarial de responsabilidad y el modelo de culpabilidad o por defecto de la propia organización.

Conforme al modelo vicarial de responsabilidad o de responsabilidad por trasferencia o hetero-responsabilidad, el delito cometido por una persona física que forma parte de la organización, cuando lo hace en nombre y en beneficio de la misma, conlleva de forma automática la atribución de responsabilidad penal a la persona jurídica. Y ello con independencia de que la organización a la que se impute el delito tenga un sistema de prevención de delito (Plan de prevención o corporate compliance program) eficaz o carezca del mismo, dado que lo relevante para atribuir responsabilidad penal a la persona jurídica no es la ausencia de medidas de prevención, sino el hecho de formar parte integrante de la organización a la que se imputa responsabilidad la persona física que comete el delito por cuenta o en nombre y en beneficio de la misma. Es el modelo que rige en Estados Unidos y, como decimos, se basa en la agency relationship: el principal debe responder por los actos del agente.
Por otro lado, el modelo de culpabilidad de la propia organización, responsabilidad por hecho propio o auto-responsabilidad, en el que la esencia de la responsabilidad es la ausencia de un sistema de control adecuado que impida la comisión de delitos en la organización, modelo que es más acorde a las nociones de cultura de cumplimiento y de buen ciudadano corporativo.
La diferencia entre ambos sistemas no es baladí o puramente doctrinal sino que tiene consecuencias prácticas importantes: mientras que en el sistema vicarial a la defensa de la persona jurídica le corresponderá acreditar que cumplió con sus deberes de supervisión, vigilancia y control, en el sistema de autorresponsabilidad corresponde a la acusación demostrar que la persona jurídica no ha cumplido con dichos deberes de supervisión, vigilancia y control (ya sea por no disponer de un Plan de Prevención de Delito, ya sea por disponer de uno que no sea eficaz para prevenir delitos).

“Para que exista responsabilidad penal de la persona jurídica no basta con la comisión de un delito por una persona de la organización, sino que debe concurrir un presupuesto y un fundamento”

En España, la responsabilidad penal de las personas jurídicas fue introducida por la Ley Orgánica 5/2010, de 22 de junio, que modificó el Código Penal, reforma que fue complementada a través de la Ley Orgánica 1/2015 (1), optando por un modelo de responsabilidad por hecho propio o culpabilidad por defecto de la organización, en el que la persona jurídica responde en dos supuestos: los delitos cometidos en nombre y en beneficio de la persona jurídica por sus directivos (2) y los que cometen por cuenta y en beneficio de la persona jurídica los empleados de la misma y las terceras personas que se relacionan con ella cuando se ha producido un incumplimiento de los deberes de supervisión, vigilancia y control atendidas las circunstancias del caso por quienes están encargados de estas funciones.
Por consiguiente, en nuestro sistema para que exista responsabilidad penal de la persona jurídica no basta con la comisión de un delito por una persona de la organización, sino que debe concurrir un presupuesto (delito cometido en beneficio de la persona jurídica) y un fundamento (incumplimiento del debido control, es decir, el incumplimiento por parte de las personas jurídicas de la obligación de adoptar, antes de que cometa el delito cometido la persona física, medidas idóneas de prevención, vigilancia y control que reduzcan de forma significativa el riesgo de su comisión (3); o, desde un enunciado negativo, que no exista un programa de cumplimiento que se pueda considerar adecuado o eficaz en un juicio ex ante) (4). Si no concurren ambos requisitos (fundamento y presupuesto), sencillamente no habrá responsabilidad penal de la persona jurídica.
Siendo el fundamento de la responsabilidad de la persona jurídica el incumplimiento del debido control, desde un primer momento ha adquirido una relevancia especial en la determinación de la referida responsabilidad las investigaciones internas que realiza la compañía a raíz del descubrimiento del ilícito en su organización y ello por dos motivos: por un lado, por cuanto puede servir para minorar o excluir incluso la responsabilidad, habida cuenta de que la Circular 1/2016 de Fiscalía General del Estado ha llegado a afirmar, en su apartado 5.6 y en la conclusión 19.9 que “la aportación al procedimiento de una investigación interna, sin perjuicio de su consideración como atenuante, revela indiciariamente el nivel de compromiso ético de la sociedad y pueden permitir llegar a la exención de la pena”; y, por otro lado, por cuanto que es la propia compañía la primera interesada en descubrir lo sucedido en el seno de su organización para, de ese modo, evitar futuros ilícitos que únicamente contribuyen al desprestigio de la compañía, reputación que es un intangible esencial en el mercado (5).

“En la determinación de la responsabilidad de la persona jurídica han adquirido relevancia especial las investigaciones internas que realiza la compañía a raíz del descubrimiento del ilícito en su organización”

Estas investigaciones internas de las organizaciones pueden ser clasificadas en tres grandes grupos:
1º. Investigaciones preventivas, que pretenden evitar potenciales incumplimientos detectando riesgos e introduciendo protocolos de control en previsión de irregularidades.
2º. Investigaciones confirmatorias, que pretenden constatar si lo expuesto en la denuncia constituye o no una irregularidad, investigaciones tras cuya conclusión pueden dar lugar a una investigación reactiva cuando la denuncia inicial fuera manifiestamente falsa.
3º. Investigaciones defensivas, que persiguen obtener pruebas que exculpen a la compañía de la responsabilidad que se le imputa.
Se plantea entonces si existe o no la obligación por parte de las personas jurídicas de aportar a la causa, si lo pide el Juez, el resultado de estas investigaciones internas.
En USA, el planteamiento es el siguiente: dado que la Quinta enmienda de la Constitución de 1787 reconoce el derecho a no declarar contra sí mismo sólo compete a las personas físicas y no a las jurídicas (6), las personas jurídicas tienen obligación de aportar al procedimiento judicial, si lo pide el Juez, la documentación que le sea solicitada, aunque incrimine a la persona jurídica. Por consiguiente, también debe aportar el resultado de las investigaciones internas.
No obstante, este principio general ha de verse matizado en la práctica a través del work producto doctrine, principio en virtud del cual los documentos elaborados para la compañía por un abogado en previsión o anticipación de un litigio no se someten a la obligatoriedad de aportación al proceso judicial, sino que estarían amparados en el secreto legal priviledge attorney. Para ello es preciso que esas investigaciones internas sean realizadas por un abogado (externo o interno) y contengan algo más que la mera descripción de hechos, es decir, contengan también opiniones jurídicas.

“Las investigaciones internas están amparadas en el derecho a no autoincriminarse y, por consiguiente, no se puede por el Juez obligar a la compañía a su aportación”

El régimen español es totalmente distinto: si bien es cierto que inicialmente el Tribunal Constitucional en las Sentencias 18/2005 y 68/2006 sostuvo que no existía vulneración del derecho de defensa en los requerimientos de información que con carácter coercitivo se hacen a las personas jurídicas cuando posteriormente se imputa a los administradores de la misma, esa tesis tenía sentido por el hecho de que la persona jurídica no era responsable penalmente al tiempo de los hechos. Sin embargo, a día de hoy no cabe duda de que el derecho a no declarar contra sí mismo corresponde igualmente a la persona jurídica que a la física; precisamente por ello se ha dicho que las investigaciones internas, al tener su origen en la voluntad de la compañía y no en un deber legal, están amparadas en este derecho a no auto-incriminarse y, por consiguiente, no se puede por el Juez obligar a la compañía a su aportación (7).
Se plantea entonces si dicho régimen jurídico se ha visto afectado por las reglas establecidas en la Ley 2/2023 de protección de las personas que informen sobre infracciones del Derecho de la Unión, habida cuenta de que en ella se establece la obligación de las personas jurídicas de informar al Ministerio Fiscal cuando los hechos pudieran ser indiciariamente constitutivos de delito (artículo 9.2j). La respuesta debe ser necesariamente negativa, dado que esa obligación de denuncia ha de entenderse “sin perjuicio” del derecho a no declarar contra sí mismo o derecho a no auto-incriminarse (artículo 24.2 de la CE de 1978), que permanece incólume en nuestro ordenamiento jurídico (artículos 409 bis y 786 bis de la LECRim).
No obstante, el problema se plantea en relación con las personas físicas afectadas por esa investigación y se producirá cuando la empresa decida aportar esa investigación interna por producirle beneficios en el procedimiento, ya sea exención de la responsabilidad o atenuación de la misma. En esos casos, el derecho de defensa de las personas físicas que han declarado en las investigaciones internas de la compañía pudiera verse afectado, de ahí que sea aconsejable que los encargados de la investigación adviertan de que el resultado de la misma puede ser aportado voluntariamente por la empresa al procedimiento penal, si la compañía lo entiende oportuno.

“Cuando la investigación interna sea asumida por un abogado no podrá la persona física que fue objeto de la investigación invocar el secreto profesional del abogado interno para evitar que la empresa aporte esa investigación al proceso”

Finalmente, en cuanto a la relación entre investigación interna y secreto profesional del abogado debe señalarse que cuando la investigación interna sea asumida por un abogado no podrá la persona física que fue objeto de la investigación invocar el secreto profesional del abogado interno para evitar que la empresa aporte esa investigación al proceso, ya que el secreto profesional rige entre abogado y cliente, es decir, entre el abogado y la compañía que la realiza.
Precisamente por ello, los abogados corporativos deben advertir (y así debiera constar en los protocolos internos de las compañías que regulen el procedimiento de investigaciones derivadas de denuncias) a los subordinados a quienes entrevistan de una serie de aspectos:
1º. Que el abogado actúa para la entidad (no para los subordinados).
2º. Que las comunicaciones con los subordinados están protegidas por la relación abogado cliente.
3º. Que la compañía puede renunciar al privilegio legal que le corresponde y aportar la investigación o el resultado de la misma al órgano judicial.
4º. Que el subordinado no debe revelar la conversación que mantenga con un tercero, a excepción de trasladarla a su abogado.
Finalmente se plantea qué sucede con el compliance officer de la empresa encargado de la investigación si advierte la existencia de un delito en el seno de la organización. Aunque algún autor ha sugerido que con la Ley 2/2023 se ha convertido el cargo en “una figura delegada de la Administración pagada eso sí por el propio empresario” (8) y siendo cierto que no se le pueden dar instrucciones a la misma por parte de la compañía, no lo es menos que su pertenencia a la organización y con más claridad cuando sea un abogado (protegido por el secreto profesional) hacen que no esté obligado a denunciar penalmente los hechos si ello afecta al derecho de defensa de la compañía de la que forma parte.

(1) En cuya Exposición de Motivos queda patente que se descarta un sistema vicarial, al señalar que es el quebrantamiento del debido control el eje medidor de idoneidad de la atribución de responsabilidad penal a las personas jurídicas.
(2) En concreto, por los administradores, sus representantes o quienes forman parte de los órganos de dirección, incluyendo también al encargado de la función de cumplimiento.
(3) En este sentido merece especial atención el Auto de 7 de febrero de 2022 de la Sala de lo Penal de la Audiencia Nacional, Sección tercera, en los recursos de apelación 427, 429 y 432/2021 Diligencias previas 96/2017, Pieza separada 21.
(4) Ya que en un juicio ex post, siempre habrá sido ineficaz.
(5) En este punto debemos destacar que la concepción clásica de la corrupción como delito limitado al ámbito de la Administración Pública y equivalente a cohecho ha perdido su vigencia en favor de un concepto de corrupción más amplio, entendido como cualquier pago indebido realizado en el marco de una transacción económica que distorsiona la libre concurrencia en el mercado.
(6) Las personas jurídicas son una ficción del ordenamiento jurídico y, como tales, actúan en el tráfico a través de personas físicas. El derecho a no declarar contra sí mismo, dice la jurisprudencia norteamericana, no puede reconocerse entonces a la persona jurídica, pues al actuar a través de una persona física si se reconociera se estaría otorgando a esta persona física el derecho que le corresponde a un tercero, a la persona jurídica.
(7) Auto de la Audiencia Nacional 391/2021.
(8) LIÑÁN LAFUENTE, A, “La ley 2/2023 de protección del informante y el derecho a la no autoincriminación de la persona jurídica”, Laleydigital, número 162, mayo-junio 2023.

Palabras clave: Responsabilidad penal de la persona jurídica, Investigaciones internas de la empresa, Derecho a la no autoincriminación y derecho de defensa, Deber de denunciar.
Keywords: Criminal liability of a legal person, Internal investigations in companies, Right to avoid self-incrimination and right of defence, Obligation to report.