La entrada de la responsabilidad penal de las personas jurídicas en los artículos 8 y siguientes del nuevo Código Penal coloca en primer plano una advertencia institucional: sin programas de cumplimiento penal eficaces, empresas y organizaciones quedan expuestas a delitos cometidos desde dentro y a sus consecuencias económicas y reputacionales. El texto plantea que el compliance penal no puede reducirse a un documento de apariencia.
Se trata de un sistema de autogestión de riesgos orientado a prevenir o mitigar delitos cometidos por, en y contra empresas u organizaciones sin fines de lucro, mediante reglas, controles y una cultura de legalidad, ética y transparencia. En esa línea, Carlos Gómez Jara-Díez subraya que siempre existe riesgo de delito dentro de una persona jurídica, pero que lo relevante es mantenerlo dentro del riesgo permitido. La novedad legal, sin embargo, también refuerza la necesidad de fiscalización sobre cómo se gestionan esos riesgos en la práctica. El propio esquema descrito exige condiciones específicas para atribuir responsabilidad penal: que un subordinado, representante u órgano haya cometido uno de los delitos previstos en el código y que ese hecho sea consecuencia necesaria y directa de un programa de cumplimiento ineficaz.
El contraste entre la exigencia formal de transparencia y la efectividad real de los controles queda así en el centro del debate sobre gobernanza, rendición de cuentas y prevención.