La responsabilidad civil subsidiaria en las empresas: un nuevo desafío para el Compliance corporativo
Hace unas semanas acudí a la Jornada de Actualidad Jurisprudencial de Compliance que tuvo como ponente al Juez de la Audiencia Nacional Eloy Velasco Núñez y en la que se abordó, además de las reformas legislativas, la Jurisprudencia más relevante desde la entrada en vigor hace 15 años de la responsabilidad penal de las personas jurídicas.
El marco penal de nuestro país contempla la responsabilidad penal de las personas jurídicas a través de un doble régimen. Por un lado, se sancionan los delitos cometidos en nombre, por cuenta o en beneficio de la entidad por parte de quienes tienen poderes de representación. Por otro, se establece la responsabilidad por la omisión del control necesario sobre los empleados, factor que facilita la comisión de infracciones.
En los últimos años, esta doble metodología ha impulsado a las empresas a adoptar de manera proactiva programas de Compliance. De este modo, el Compliance o, conjunto de prácticas, normas y procedimientos que una organización implementa para asegurar que sus actividades se ajusten a las leyes, se erige como un elemento clave para contrarrestar la posibilidad de que la omisión del control interno desencadene consecuencias legales, fortaleciendo la defensa frente a la imputación dual establecida en el régimen penal vigente.
Sin embargo, es importante señalar que, a pesar de haberse implantado medidas de control y sistemas de Compliance robustos, la eficacia de estos mecanismos no exime automáticamente a la empresa de toda responsabilidad.
En efecto, el Tribunal Supremo en su reciente Sentencia de 12 de marzo de 2025 declaró la responsabilidad civil subsidiaria de la persona jurídica por los delitos cometidos por el administrador de derecho y de hecho de la sociedad en perjuicio de tercero y bajo el “abrigo” de la sociedad que fue declarada responsable civil.
1. MARCO LEGAL
De conformidad con lo dispuesto en los artículos 116 y 109 del Código Penal, todo responsable penal lo es también civil, respondiendo directamente en su lugar o, subsidiariamente con él, las personas mencionadas en los artículos 120 y 121 del CP.
La responsabilidad civil subsidiaria de las empresas mercantiles por delitos cometidos por sus empleados se enmarca en el artículo 120.4 CP “Son también responsables civilmente, en defecto de los que lo sean criminalmente: 4.º Las personas naturales o jurídicas dedicadas a cualquier género de industria o comercio, por los delitos que hayan cometido sus empleados o dependientes, representantes o gestores en el desempeño de sus obligaciones o servicios”.
2. NATURALEZA JURÍDICA Y CRITERIOS DE IMPUTABILIDAD
El Alto Tribunal, en la presente Sentencia, integra el sólido cuerpo jurisprudencial existente en torno a las diversas modalidades de imputación y a los requisitos que deben concurrir para el reconocimiento de la responsabilidad civil subsidiaria.
En este marco, se identifican tres criterios de imputación: la culpa, la culpa presunta y la responsabilidad vicaria (STS 213/2013 de 14 de marzo). En lo que respecta a la responsabilidad de la empresa por los actos comisivos de sus empleados, esta se configura como vicaria y de carácter objetivo, es decir, se atribuye a la entidad la obligación de resarcir el daño ocasionado por hechos ajenos sin necesidad de demostrar la culpa en la actuación de sus representantes, siempre que se establezca el nexo causal entre dicha actuación y el perjuicio sufrido. Por ello, tratándose de una responsabilidad objetiva, en clara línea aperturista, habrá que analizar especialmente si la organización de los medios personales y materiales de la empresa tiene o no alguna influencia sobre el hecho delictivo, si lo favorece.
En definitiva, para que proceda declarar la responsabilidad civil subsidiara en el caso del artículo 120.4 CP es preciso que:
I. El infractor y presunto responsable civil subsidiario estén vinculados por una relación jurídica o de hecho o por cualquier otro vínculo, en virtud del cual el primero se encuentre bajo dependencia del segundo o al menos que la tarea, actividad, misión, servicio o función que realice cuente con el beneplácito, anuencia o aquiescencia del supuesto responsable civil subsidiario.
No es necesario un vínculo laboral, es suficiente actuar por cuenta, al servicio o bajo las directrices y organización del principal para que éste deba asumir esa responsabilidad civil.
II. El delito que genera la responsabilidad se halle inscrito dentro del ejercicio normal o anormal de las funciones desarrolladas en el seno de la actividad o cometido confiados al infractor.
Se incluyen las extralimitaciones en el servicio, pues difícilmente se generaría la responsabilidad civil cuando el dependiente cumple escrupulosamente todas sus tareas, siempre que éste no se salga del ámbito o esfera de actuación que constituye entre el responsable penal y civil subsidiario.
Lo relevante —señala la STS 260/2017— es que la persona elegida para desempeñar una determinada función actúe delictivamente en el ejercicio de dichas funciones (culpa in eligendo), y las desarrolle con infracción de las normas penales sin que los sistemas ordinarios de control interno de la empresa los detecte (culpa in vigilando).
Por ello, la interpretación de estos requisitos debe efectuarse con amplitud, apoyándose la fundamentación de tal responsabilidad civil subsidiaria no solo “en los pilares tradicionales de la culpa in eligendo y la culpa in vigilando”, sino también y sobre todo en la teoría del riesgo, de manera que quien se beneficia de actividades que de alguna forma puedan generar un riesgo para terceros debe soportar las eventuales consecuencias negativas de orden civil respecto de esos terceros cuando resultan perjudicados.
Sin perjuicio, de que dicha responsabilidad será exigible, aunque formalmente la entidad pudiera no obtener ningún beneficio y así lo señala la Sentencia del Tribunal Supremo de fecha 31 de enero de 2022 “admitir incluso la aplicación de esta clase de responsabilidad civil en los casos en que la actividad desarrollada por el delincuente no produce ningún beneficio en su principal, bastando para ello una cierta dependencia”.
3. COMPLIANCE Y LA RESPONSABILIDAD CIVIL SUBSIDIARIA
Bajo este escenario, podrá ocurrir que en la empresa se haya cometido un delito por un directivo o un empleado, haya causado perjuicios a terceros, y que la empresa haya tenido implementado un programa de cumplimiento normativo, o Compliance. Si el programa es ineficaz la responsabilidad penal existirá y podrá atenuarse o ser eximida, dependiendo de la eficacia del programa. Pero, aunque el programa sea eficaz, la responsabilidad civil siempre estará allí y deberá responder la empresa o la compañía de seguros, si existe la póliza de responsabilidad civil debidamente cubierta antes estas eventualidades.
Y ello, no realmente anudado a la existencia de una “culpa in vigilando”, sino que existe una imputación objetiva por el resultado dañoso sin hacer relación con la culpa. En el ámbito de la responsabilidad civil subsidiaria no es la culpa el elemento determinante de la responsabilidad, sino la imputación objetiva.
En definitiva, la responsabilidad civil subsidiaria de las personas jurídicas representa un desafío creciente para las empresas en un entorno regulatorio cada vez más exigente. Por tanto, no basta con cumplir formalmente las normas: es imprescindible adoptar una cultura corporativa que integre de forma real y efectiva los principios del compliance. La prevención, detección y reacción ante posibles incumplimientos no solo reducen la exposición jurídica de la empresa, sino que fortalecen su reputación y sostenibilidad a largo plazo. En este nuevo escenario, el Compliance corporativo deja de ser una opción para convertirse en un activo esencial en la estrategia y la gobernanza empresarial del siglo XXI.