Responsabilidad penal de las personas jurídicas: qué puede aprender Colombia de Chile, España y la Unión Europea

Resumen

¿Qué cambia para una empresa cuando la falta de supervisión puede dar lugar a una condena penal de la organización, y qué cambia cuando esos mismos hechos se examinan en un procedimiento administrativo? Este artículo compara los criterios de atribución de Chile y España, el marco anticorrupción de la Unión Europea y las vías vigentes en Colombia. A partir de un caso hipotético de contratación internacional, propone cómo documentar quién decidió, qué controles existían antes del hecho y qué hizo la empresa al conocer la alerta.

Palabras clave: responsabilidad penal de las personas jurídicas, compliance penal, responsabilidad administrativa sancionatoria, modelos de prevención de delitos, soborno transnacional.

1. Introducción: ¿qué se le atribuye a la empresa?

Si un intermediario promete un pago indebido para conseguir un contrato, investigar únicamente quién hizo la promesa deja preguntas abiertas. ¿Quién escogió al intermediario? ¿Qué beneficio buscaba la empresa? ¿Quién tenía autoridad para detener la contratación? ¿El sistema permitía anular una alerta sin dejar rastro? Cada respuesta puede tener un efecto jurídico distinto según el ordenamiento aplicable.

El análisis distingue tres planos: la responsabilidad personal de quienes intervinieron, la eventual responsabilidad propia de la organización y las medidas que pueden afectar a esta dentro de un proceso penal. La comparación se concentra en la atribución de responsabilidad y en la función jurídica del programa de prevención. No compara tasas de condena ni mide qué régimen disuade mejor el delito.

2. Colombia: tres vías con presupuestos distintos

Responsabilidad administrativa bajo el artículo 34 de la Ley 1474 de 2011. El artículo 2 de la Ley 2195 de 2022 modificó este régimen. Para los sujetos y conductas comprendidos, la norma exige tres presupuestos concurrentes: sentencia penal condenatoria ejecutoriada o principio de oportunidad en firme respecto de alguno de sus administradores o funcionarios; beneficio obtenido o buscado por la organización, directo o indirecto; y consentimiento o tolerancia, por acción u omisión, considerando la aplicación de los controles de riesgo. La decisión individual en firme no resuelve por sí sola los otros dos presupuestos. La revisión de los controles debe hacerse frente a las operaciones y fechas relevantes, no solo frente a la versión más reciente del manual [1].

Soborno transnacional bajo la Ley 1778 de 2016. El artículo 2 regula la responsabilidad administrativa por dar, ofrecer o prometer un beneficio indebido a un servidor público extranjero, directa o indirectamente, en relación con un negocio o transacción internacional y a cambio de un acto u omisión funcional en los términos legales. El artículo 5 establece que la investigación administrativa de esa conducta no depende de otro proceso ni de su resultado. Por ello, sería un error exigir para esta vía la condena individual o el principio de oportunidad que pide el artículo 34 de la Ley 1474. En la graduación de sanciones, el artículo 7 contempla, entre otros criterios, la existencia, ejecución y efectividad del programa de transparencia y ética empresarial o de mecanismos anticorrupción [2].

Medidas en el proceso penal. El artículo 91 de la Ley 906 de 2004 permite, bajo sus presupuestos, suspender la personería jurídica o cerrar temporalmente locales o establecimientos abiertos al público cuando existan motivos fundados para inferir su dedicación total o parcial a actividades delictivas. La norma prevé que las medidas puedan adquirir carácter definitivo en la sentencia condenatoria si se cumplen sus condiciones probatorias. Su existencia no equivale a un régimen general de condena penal autónoma de la persona jurídica como los de Chile o España [3].

Jurisprudencia. La Sentencia C-320 de 1998 reconoció que la Constitución no impide por principio que el legislador establezca supuestos de responsabilidad penal de las personas jurídicas y rechazó la responsabilidad objetiva. La C-843 de 1999 declaró inexequible la disposición ambiental examinada por problemas de legalidad, incluidos la indeterminación de sanciones y la falta de un procedimiento definido. Ninguno de los fallos creó por sí mismo un régimen general. En un plano distinto, la C-397 de 2024, a la que se atuvo la C-462 del mismo año, expulsó la expresión del artículo 34-6 que permitía prescindir de la fecha de la conducta punible para efectos del régimen analizado. En una revisión histórica conviene identificar tanto la fecha de los hechos como la del pronunciamiento individual y la regla temporal aplicable [4–6].

3. Chile: ¿la falta de un modelo efectivo facilitó el delito?

La Ley 20.393, reformada por la Ley 21.595 sobre delitos económicos, vincula la atribución penal de la persona jurídica con una falla organizativa concreta. El artículo 3 exige un delito comprendido en el artículo 1, cometido en el marco de la actividad de la entidad por o con intervención de una persona que reúna el vínculo legal, y que el hecho haya sido favorecido o facilitado por la falta de implementación efectiva de un modelo adecuado. El vínculo puede alcanzar a prestadores que gestionen asuntos ante terceros en las condiciones previstas; el artículo excluye el hecho cometido exclusivamente contra la propia persona jurídica [7].

El artículo 4 considera la adecuación del modelo a la actividad, tamaño, complejidad y recursos de la entidad. Examina si identifica procesos expuestos, dispone de protocolos y canales seguros de denuncia, incorpora reglas internas en los contratos en los términos legales, dota de independencia y recursos a los responsables y prevé evaluaciones periódicas por terceros independientes y mejoras a partir de ellas. La evidencia pertinente incluye la fecha de implementación, los permisos efectivos para intervenir y el seguimiento de los hallazgos. Un informe externo sirve para documentar la evaluación; no decide la exención. Por su parte, el artículo 5 admite que se establezca la responsabilidad de la entidad en ciertos casos sin una declaración de responsabilidad penal individual, siempre que se acrediten los presupuestos legales [7].

4. España y Unión Europea: un régimen nacional y un marco común

España. El artículo 31 bis del Código Penal distingue dos vías. La primera comprende determinados delitos cometidos en nombre o por cuenta de la entidad y en su beneficio directo o indirecto por representantes o personas con facultades de decisión, organización o control. La segunda se refiere a delitos cometidos en el ejercicio de actividades sociales, por cuenta y en beneficio de la entidad, por subordinados que pudieron actuar debido a un incumplimiento grave de los deberes de supervisión, vigilancia y control [8].

Para la primera vía, la exención exige las condiciones del apartado 2: un modelo adoptado y ejecutado eficazmente antes del delito; supervisión en los términos legales; elusión fraudulenta por los autores individuales; y ausencia de omisión o ejercicio insuficiente de la función supervisora. Para la segunda, el apartado 4 prevé la exención cuando el modelo previo se adoptó y ejecutó eficazmente y era adecuado para prevenir delitos de esa naturaleza o reducir significativamente su riesgo. Las medidas posteriores se analizan por separado: el artículo 31 quater prevé circunstancias atenuantes, entre ellas establecer medidas eficaces antes del comienzo del juicio oral. El artículo 31 ter, a su vez, regula supuestos en los que puede exigirse responsabilidad a la organización aunque no se individualice al autor material [8].

Unión Europea. La Directiva (UE) 2026/1021 contra la corrupción establece, en su artículo 13, supuestos de responsabilidad por determinados delitos cometidos en beneficio de la entidad por personas en posición directiva y por falta de supervisión o control que haya hecho posible su comisión por subordinados. El artículo 14 admite sanciones o medidas de naturaleza penal o no penal. El plazo general de transposición vence el 1 de junio de 2028; las obligaciones de los artículos 20.5 y 21 tienen plazo hasta el 1 de junio de 2029. La directiva fija mínimos para los Estados miembros vinculados; no sustituye sus legislaciones nacionales ni introduce por sí sola en Colombia una exención, un delito o una sanción [9].

5. Cómo cambia el análisis según el régimen

La práctica de investigación también aconseja separar las dos responsabilidades. En un estudio empírico sobre acuerdos federales con empresas en Estados Unidos, Brandon L. Garrett documentó que muchos acuerdos corporativos no iban acompañados de cargos individuales. El resultado describe otro sistema: no permite predecir qué ocurrirá en Colombia, Chile o España. Sí ayuda a formular una pregunta para la política criminal: ¿qué evidencia y qué vía procesal se necesitan para que investigar a la empresa no sustituya el examen de las decisiones individuales? Para Colombia, la evaluación oficial de Fase 4 de la OCDE de diciembre de 2025 identificó deficiencias en el marco y en la aplicación del régimen de soborno extranjero. Ese diagnóstico es una evaluación institucional, no una norma ni una declaración sobre un caso particular [10–11].

6. Caso hipotético: una comisión de éxito antes de la adjudicación

Una empresa de Medellín participa en una licitación en el exterior. Su intermediario pide una comisión de éxito pagadera a una sociedad distinta de la contratada. Cumplimiento solicita verificar al beneficiario final y acreditar los servicios prestados. Antes de recibir los soportes, la gerencia comercial pide tramitar el pago por excepción. El sistema registra la aprobación, pero no su fundamento. Dos semanas después, llega un reporte que atribuye al intermediario una promesa de pago a un servidor público extranjero.

La comisión, el cambio de beneficiario y la aprobación sin justificación son señales de alerta. El reporte abre una hipótesis; no prueba el soborno ni el conocimiento de la gerencia. La investigación debe reconstruir la secuencia y considerar explicaciones alternativas, incluido que el cambio de beneficiario tuviera una causa contractual lícita o que el pago solicitado nunca se ejecutara. Una oferta o promesa puede ser relevante aunque no haya desembolso, si se acreditan los demás elementos del régimen aplicable.

1. Delimitar hechos y competencia. Identificar entidades, jurisdicciones, fechas, funciones y fuente de cada dato. Diferenciar la conducta atribuida al intermediario de las decisiones de cada órgano de la empresa.
2. Preservar la evidencia. Registrar origen y custodia de contratos, correos, versiones de la debida diligencia, permisos, bitácoras y soportes bancarios. Limitar accesos y revisar el tratamiento de datos con el equipo jurídico.
3. Reconstruir la excepción. Verificar si quien autorizó podía hacerlo, si conocía la alerta, qué controles podían suspender el pago y si la excepción fue registrada antes de la operación o documentada después. Buscar también evidencia que contradiga la hipótesis inicial.
4. Separar prevención de remediación. Distinguir el control disponible al momento del hecho de las medidas posteriores. Ante una alerta abierta, escalar al órgano competente, valorar si procede suspender el desembolso y corregir la vía de excepción. Después, repetir la prueba para comprobar que el nuevo flujo funciona.

En Colombia, si hay indicios de soborno transnacional, el análisis inicial debe identificar los elementos de la Ley 1778 sin supeditarlo a una condena individual. Si se examina el artículo 34 de la Ley 1474, se verifican sus presupuestos propios, sin darlos por cumplidos por la sola existencia de la alerta. Chile y España sirven para contrastar la calidad de la prevención, pero solo sus autoridades y normas competentes podrían definir el efecto jurídico si existiera un nexo que hiciera aplicable alguno de esos regímenes.

7. Conclusión: conservar evidencia de las decisiones

Un programa de compliance puede cumplir funciones jurídicas distintas: aportar evidencia sobre tolerancia, influir en la graduación de una sanción o sustentar una eventual exención. Confundirlas debilita el análisis. Para una organización colombiana, la tarea inmediata es identificar qué régimen puede aplicar y conservar evidencia contemporánea sobre quién conoció el riesgo, quién tenía facultad para intervenir y qué decisión tomó.

Para el legislador, la comparación plantea una cuestión diferente: si se optara por ampliar la responsabilidad penal de la persona jurídica, habría que definir con precisión los delitos, los criterios de atribución, las sanciones y el procedimiento, y coordinar la nueva vía con las que ya existen. Mientras tanto, una medida concreta para las juntas directivas es exigir trazabilidad de las excepciones en contratación y pagos de alto riesgo y revisar si las alertas modifican decisiones antes de que la operación sea irreversible.

Referencias

1. Colombia. Ley 2195 de 2022, arts. 2 y 8; Ley 1474 de 2011, arts. 34 y 34-6.
2. Colombia. Ley 1778 de 2016, arts. 2, 5 y 7, texto consolidado.
3. Colombia. Ley 906 de 2004, art. 91.
4. Corte Constitucional. Sentencia C-320 de 1998.
5. Corte Constitucional. Sentencia C-843 de 1999.
6. Corte Constitucional. Sentencia C-462 de 2024, que se está a lo resuelto en la C-397 de 2024.
7. Chile. Ley 20.393, arts. 1 y 3–5, según la reforma de la Ley 21.595.
8. España. Código Penal, Ley Orgánica 10/1995, arts. 31 bis, 31 ter y 31 quater.
9. Unión Europea. Directiva (UE) 2026/1021, arts. 13, 14 y 37.
10. Garrett, B. L. (2015). The Corporate Criminal as Scapegoat. Virginia Law Review, 101, 1789–1853.
11. OCDE (2025). OECD Anti-Bribery Convention Phase 4 Report on Colombia.

Antecedente editorial: Hernando Hernández y Xenia Madariaga (2024), El rol del compliance ante la ausencia de regulación sobre la responsabilidad penal de las personas jurídicas en Colombia. La entrada original se conserva como fuente.

Lecturas relacionadas: Compliance sin apellidos y Cómo evaluar la efectividad del PTEE.