Reino Unido amplía la responsabilidad penal de las empresas, un cambio relevante para Compliance

Desde el 29 de junio de 2026, el marco británico de responsabilidad penal corporativa ha cambiado de forma significativa. La Crime and Policing Act 2026 amplía el criterio introducido en 2023 por la Economic Crime and Corporate Transparency Act y permite atribuir responsabilidad a una empresa cuando un senior manager comete un delito actuando dentro del ámbito real o aparente de su autoridad.

La novedad es importante porque hasta ahora esta fórmula de atribución estaba vinculada a determinados delitos económicos. Con la nueva ley, el criterio se extiende a cualquier delito. Esto amplía considerablemente el perímetro de exposición de las organizaciones y obliga a mirar la responsabilidad penal corporativa desde una perspectiva mucho más transversal. Ya no se trata únicamente de corrupción, fraude o evasión fiscal. Dependiendo de la actividad de la empresa, pueden entrar en juego conductas relacionadas con protección de datos, medioambiente, seguridad y salud, relaciones laborales, consumidores, publicidad, cadena de suministro u otras áreas reguladas.

Para Compliance, el cambio tiene una consecuencia especialmente relevante: el análisis de responsabilidad no puede limitarse al órgano de administración ni a la alta dirección formal. La definición británica de “senior manager" atiende a la función realmente desempeñada. Puede alcanzar a personas que tengan un papel significativo en la adopción de decisiones sobre cómo se gestiona u organiza una parte sustancial de la actividad de la empresa, o que gestionen efectivamente esas actividades. Esto obliga a revisar una cuestión que en muchos sistemas de Compliance sigue estando insuficientemente desarrollada: quién tiene realmente capacidad de decisión dentro de la organización. Un organigrama puede indicar quién ocupa una determinada posición, pero no siempre refleja quién aprueba excepciones, quién autoriza operaciones relevantes, quién decide sobre proveedores, quién determina determinadas prácticas comerciales o quién ejerce en la práctica autoridad sobre una unidad de negocio. La referencia de la ley a la autoridad “real o aparente” añade todavía más importancia a esta cuestión.

Desde una perspectiva de gestión de riesgos, esto supone un cambio de enfoque. No basta con identificar qué delitos podrían cometerse dentro de la organización. También será necesario analizar qué personas tienen capacidad suficiente para que sus actuaciones puedan terminar siendo atribuidas directamente a la propia empresa. Ese análisis debería trasladarse al mapa de riesgos de Compliance, a las matrices de autoridad, a los sistemas de delegación y a los controles asociados a determinadas decisiones. También debería influir en la formación. No todas las personas con capacidad de generar una exposición penal relevante para la empresa tienen necesariamente un cargo que incluya la palabra “director” o formen parte de un comité ejecutivo.

La reforma británica es además coherente con una tendencia que se observa también en la Unión Europea. La nueva Directiva europea sobre lucha contra la corrupción establece mecanismos de responsabilidad de las personas jurídicas cuando determinadas infracciones son cometidas por personas que ocupan una “posición de liderazgo”, pero también cuando la falta de supervisión o control por parte de esas personas permite que alguien bajo su autoridad cometa el delito.

Los modelos británico y europeo no son idénticos. En Reino Unido, la actuación de un senior manager puede generar responsabilidad directa para la organización cuando concurren los elementos del delito. En el modelo europeo adquiere especial relevancia tanto la actuación de las personas en posiciones de liderazgo como los posibles déficits de supervisión. Pero ambos sistemas apuntan hacia una misma dirección: la estructura de gobierno, la distribución real de responsabilidades y la efectividad de los mecanismos de supervisión están adquiriendo cada vez más importancia en la determinación de la responsabilidad corporativa.

Hay además otra diferencia relevante para Compliance, en determinados delitos británicos de failure to prevent, la existencia de procedimientos adecuados puede constituir una defensa para la empresa. Sin embargo, esa defensa no existe de la misma manera cuando la responsabilidad deriva directamente de la actuación de un senior manager. En ese escenario, disponer de un programa de Compliance sólido sigue siendo esencial, pero no elimina automáticamente la responsabilidad derivada de la conducta de quien actúa con autoridad suficiente.

La normativa europea adopta un enfoque diferente. La existencia de controles internos y programas de ética y Compliance genuinos, efectivos y debidamente evaluados puede actuar como circunstancia relevante a la hora de determinar las consecuencias para la organización, pero no necesariamente como una exoneración automática. Esto introduce una cuestión de fondo que las organizaciones deberían considerar. Durante años, buena parte del debate sobre Compliance se ha concentrado en si la empresa dispone de políticas, códigos éticos, canales de denuncia, procedimientos de diligencia debida o formación. Todo ello sigue siendo necesario, pero el foco regulatorio se está desplazando progresivamente hacia una pregunta más exigente: ¿funciona realmente el sistema cuando se toman decisiones dentro de la organización? La respuesta exige poder demostrar cómo se asignan responsabilidades, qué decisiones requieren autorización, qué controles existen sobre determinadas actividades, cómo se supervisan las excepciones, qué ocurre cuando se detectan incumplimientos y hasta qué punto el órgano de gobierno conoce los principales riesgos de Compliance.

El nuevo marco británico refuerza, por tanto, una evolución que ya venía produciéndose en los sistemas de Compliance: pasar de un enfoque centrado fundamentalmente en la existencia de políticas a otro basado en la efectividad del sistema y en la capacidad de demostrarla. Para muchas organizaciones, probablemente el ejercicio más relevante no será elaborar una nueva política, sino revisar quién tiene autoridad real dentro de la empresa, qué riesgos pueden derivarse de sus decisiones y qué mecanismos existen para evitar que una actuación individual termine convirtiéndose en responsabilidad penal corporativa.

Ese puede ser uno de los principales retos de Compliance en los próximos años.