Andorra cambia las reglas del juego: el compliance penal podrá eximir de responsabilidad a las empresas

Por Iván Martínez, CEO de Intedya

Andorra acaba de introducir uno de los cambios más relevantes de los últimos años en su marco de responsabilidad empresarial. La Ley 18/2026, de 15 de julio, cualificada del Código penal, incorpora un régimen general de responsabilidad penal de las personas jurídicas y, con él, una consecuencia especialmente importante para administradores, directivos y responsables de cumplimiento: disponer de un sistema de compliance penal eficaz puede llegar a eximir a la empresa de responsabilidad penal.

La reforma fue aprobada por el Consell General y configura un modelo en el que ya no será suficiente analizar quién cometió materialmente un delito dentro de una organización. También habrá que examinar cómo estaba organizada la empresa, qué controles había establecido y si ejercía adecuadamente sus funciones de supervisión, vigilancia y control. El cambio supone, por tanto, mucho más que la incorporación de nuevas sanciones. Introduce en el Derecho penal andorrano una verdadera lógica de prevención empresarial.

Cuando el delito de una persona puede convertirse en el delito de la empresa

El nuevo artículo 26 establece dos grandes vías de atribución de responsabilidad.  La primera se produce cuando determinados administradores, representantes o personas con capacidad de decisión o control cometen alguno de los delitos previstos por la ley en beneficio directo o indirecto de la persona jurídica. La segunda resulta especialmente relevante desde la perspectiva del compliance: la empresa también puede responder cuando una falta grave de medidas adecuadas de supervisión, vigilancia y control, o una utilización gravemente negligente de esas medidas, haya permitido que una persona sometida a la autoridad de quienes dirigen o controlan la organización cometa determinados delitos en beneficio de la entidad. La consecuencia práctica es evidente: la ausencia o ineficacia de los controles internos deja de ser únicamente una cuestión de buena gestión corporativa y pasa a tener relevancia penal.

Un programa de compliance eficaz puede eximir de responsabilidad

Este es probablemente el elemento más significativo de la reforma. La propia Ley establece que la persona jurídica quedará exenta de responsabilidad penal cuando, antes de cometerse el delito, haya implantado eficazmente un sistema de organización y gestión adecuado para reducir significativamente el riesgo de comisión de delitos de la misma naturaleza. No se trata, por tanto, de disponer simplemente de un código ético, un manual o un conjunto de políticas archivadas. El legislador utiliza expresamente el criterio de eficacia.  Y además concreta qué espera encontrar dentro de ese sistema.

La organización deberá identificar sus riesgos penales; establecer procedimientos internos que regulen la toma y ejecución de decisiones; disponer de modelos adecuados de gestión de los recursos financieros; establecer mecanismos para comunicar riesgos e incumplimientos; informar y formar a las personas de la organización; contar con un sistema disciplinario; revisar periódicamente el modelo y modificarlo cuando existan deficiencias, cambios legislativos o transformaciones relevantes en la empresa. La supervisión deberá encomendarse, además, a un órgano con autonomía de iniciativa y control, recursos adecuados, independencia funcional y acceso directo al órgano de administración. En otras palabras, Andorra no se limita a reconocer genéricamente el compliance penal. Define los componentes básicos que permiten valorar jurídicamente si ese compliance existe y funciona.

Las pequeñas empresas también están incluidas, aunque con proporcionalidad

La Ley introduce una previsión interesante para las organizaciones de menor dimensión. En las personas jurídicas que puedan presentar modelos abreviados de cuentas anuales, las funciones de supervisión podrán ser asumidas directamente por el órgano de administración. Además, estas entidades quedan exentas de la exigencia relativa al sistema disciplinario, mientras que el resto de requisitos deberá valorarse teniendo en cuenta sus características específicas. Se introduce así un principio de proporcionalidad: el modelo preventivo de una pequeña empresa no tiene por qué tener la misma estructura que el de una gran corporación, pero eso no significa que pueda prescindir de la prevención penal.

Los grupos empresariales podrán disponer de un sistema común

Otra novedad de considerable importancia práctica afecta a los grupos empresariales. La Ley permite implementar el sistema de prevención de delitos a nivel de grupo, utilizando medidas y procedimientos comunes para todas o algunas de las sociedades que lo integren. Sin embargo, existe una condición fundamental: el sistema debe aplicarse correctamente y adaptarse a las particularidades de cada entidad y de las actividades que desarrolla.

Esto abre la puerta a modelos corporativos de compliance compartidos, pero dificulta justificar programas estandarizados que no hayan tenido en cuenta los riesgos específicos de cada sociedad.

¿Qué delitos pueden generar responsabilidad penal de la empresa?

El catálogo establecido por el artículo 27 es amplio. Incluye, entre otros, determinados delitos relacionados con la trata de seres humanos y explotación sexual, delitos contra el orden socioeconómico, contra los derechos de los trabajadores, contra la seguridad colectiva, contra la salud pública y contra el medio ambiente. También se incluyen terrorismo y financiación del terrorismo, corrupción y tráfico de influencias, financiación ilegal de partidos políticos, blanqueo de dinero o valores y delitos contra la seguridad en el tráfico jurídico. Por tanto, no estamos ante un régimen limitado exclusivamente a corrupción o blanqueo. Su alcance afecta a áreas muy diferentes de la actividad empresarial.

Las consecuencias pueden ir mucho más allá de una multa

Para las personas jurídicas se prevén multas que, dependiendo del delito, pueden alcanzar hasta cinco veces el importe establecido para las personas físicas. Cuando el delito no contemple una multa específica para estas últimas, en los delitos mayores podrá imponerse a la persona jurídica una multa de hasta 300.000 euros o hasta el cuádruple del perjuicio ocasionado o del beneficio obtenido o pretendido, si esta cantidad fuera superior. El Código contempla también, en determinados casos, la prohibición de contratar con las administraciones públicas, la inhabilitación para determinadas actividades empresariales y la suspensión de actividades por un periodo que puede alcanzar los seis años.  Y para los delitos mayores aparece la consecuencia más extrema: el tribunal podrá acordar la disolución de la propia persona jurídica. Por tanto, el impacto potencial de una condena puede afectar no solo al patrimonio de la organización, sino a su capacidad para contratar, operar e incluso continuar existiendo.

Tener documentos no será suficiente

La reforma plantea un reto que ya conocen bien las empresas sometidas a modelos similares de responsabilidad penal corporativa: demostrar la eficacia real del sistema. Un mapa de riesgos elaborado hace años y nunca actualizado difícilmente cumple la finalidad perseguida por la norma. Lo mismo sucede con un código ético que nadie conoce, un canal de comunicación que no ofrece confianza, controles financieros que existen formalmente pero no se ejecutan, o un órgano de compliance sin recursos, independencia o acceso real a la dirección. La Ley habla de implementación eficaz, de recursos adecuados, de formación, de revisión periódica y de adaptación cuando cambien las circunstancias. El centro de gravedad se desplaza así del documento a la evidencia, las empresas deberán estar en condiciones de acreditar no solo qué políticas aprobaron, sino qué riesgos identificaron, qué controles aplicaron, quién los supervisó, qué formación impartieron, cómo reaccionaron ante incumplimientos y cuándo revisaron su sistema.

El paralelismo con España es evidente, pero no absoluto

El nuevo modelo andorrano presenta similitudes importantes con el régimen español de responsabilidad penal de las personas jurídicas y con otros sistemas europeos de prevención de delitos corporativos.

La tendencia es común: vincular las posibilidades de exención o mitigación de responsabilidad a la existencia de mecanismos preventivos implantados antes de producirse el delito. Para las organizaciones que ya trabajan con sistemas estructurados de compliance, la transición será previsiblemente más sencilla. Marcos como ISO 37301, sobre sistemas de gestión de compliance, o ISO 37001, sobre sistemas de gestión antisoborno, pueden servir como referencias metodológicas relevantes para estructurar políticas, responsabilidades, evaluación de riesgos, controles, formación, comunicación, seguimiento y mejora. Sin embargo, una certificación, por sí misma, no equivale automáticamente a la exención penal. Lo determinante será que el sistema implantado responda a las exigencias de la legislación andorrana y pueda demostrarse su eficacia en las circunstancias concretas de cada organización.

Las empresas tienen tiempo, pero no deberían esperar

La Ley 18/2026 fue publicada en agosto de 2026 y establece una entrada en vigor diferenciada. Las disposiciones específicamente relativas al régimen de responsabilidad penal de las personas jurídicas entrarán en vigor un año después de su publicación. Ese periodo transitorio ofrece a las empresas una oportunidad especialmente valiosa: llegar a la entrada en vigor con el modelo diseñado, implantado y, sobre todo, funcionando.

Porque crear un sistema de compliance puede hacerse en unos meses. Demostrar que ese sistema funciona requiere tiempo. Las organizaciones que operan en Andorra deberían aprovechar este periodo para realizar un diagnóstico inicial, identificar los delitos aplicables a su actividad, revisar sus procesos de decisión y controles financieros, establecer responsabilidades claras, comprobar sus mecanismos internos de comunicación, formar a empleados y directivos y establecer un sistema de seguimiento y revisión.

De la recomendación a la responsabilidad

La reforma marca un punto de inflexión para el compliance en Andorra. Hasta ahora, una empresa podía considerar la implantación de determinadas estructuras de cumplimiento como una decisión vinculada fundamentalmente al buen gobierno, la reputación, las exigencias de clientes o la gestión de riesgos. A partir del nuevo régimen, la cuestión adquiere una dimensión diferente, ante un procedimiento penal ya no solo importará preguntar quién cometió el delito. También podrá resultar decisivo responder a otras preguntas: ¿había identificado la empresa ese riesgo?, ¿existían controles adecuados?, ¿se aplicaban realmente?, ¿había formación?, ¿funcionaban los mecanismos de comunicación?, ¿existía una supervisión independiente?, ¿se revisaba el modelo?.

Andorra ha convertido esas preguntas en cuestiones con consecuencias penales para las organizaciones y, probablemente, esa sea la principal conclusión de la reforma: el compliance deja de ser únicamente una buena práctica empresarial para convertirse en una pieza central del sistema de prevención y defensa penal de las personas jurídicas.