UNE 19601: qué exige y cómo preparar la certificación

La UNE 19601 es la norma española de sistemas de gestión de compliance penal. Fija qué tiene que hacer una empresa para prevenir, detectar y gestionar los delitos que podrían cometerse en su actividad, y permite certificar ese sistema ante clientes, licitaciones o un juzgado. En abril de 2025 UNE publicó una versión nueva que sustituye a la de 2017, así que conviene revisar cualquier documentación que todavía cite la anterior.

Esta guía explica qué pide la norma, cómo se relaciona con el artículo 31 bis del Código Penal y qué pasos sigue una empresa industrial hasta el certificado.

Qué es la UNE 19601 y por qué existe

Desde 2010 una empresa puede ser condenada penalmente por delitos que cometen sus directivos o empleados en su beneficio. El artículo 31 bis del Código Penal permite que quede exenta, o que vea atenuada su responsabilidad, si antes del delito tenía un modelo de organización y gestión eficaz para prevenirlo.

La ley dice qué debe contener ese modelo, pero no cómo organizarlo en el día a día. La UNE 19601 cubre ese hueco con la estructura de un sistema de gestión: contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación y mejora. Es la misma lógica que usan las normas ISO de calidad o de medio ambiente, y por eso encaja bien en empresas que ya tienen alguna certificada.

Qué exige la norma, pieza a pieza

Los requisitos se agrupan en bloques que cualquier auditor de certificación revisará:

• Contexto y alcance. La empresa identifica sus actividades, sus partes interesadas y los delitos que le pueden afectar.
• Política de compliance penal. Un documento aprobado por el órgano de administración que fija el compromiso y las consecuencias de incumplirlo.
• Órgano de compliance penal. La persona o el equipo que supervisa el sistema con autonomía y con recursos.
• Evaluación de riesgos penales. El análisis de qué delitos pueden darse, con qué probabilidad y con qué impacto.
• Controles. Procedimientos financieros, de contratación, de relación con la Administración y cualquier otro que reduzca el riesgo.
• Canal de comunicación. La vía para que la plantilla y terceros informen de posibles incumplimientos. Hoy se coordina con el sistema interno de información de la Ley 2/2023.
• Formación y sensibilización. La versión de 2025 las trata como dos actividades distintas.
• Seguimiento, auditoría interna y revisión por la dirección. El sistema se mide y se corrige.

La relación con el artículo 31 bis

El artículo 31 bis.5 del Código Penal pide seis requisitos al modelo de prevención: identificar las actividades de riesgo, establecer protocolos de decisión, gestionar los recursos financieros para impedir delitos, obligar a informar al órgano que lo vigila, tener un sistema disciplinario y verificarse de forma periódica.

La UNE 19601 cubre esos seis puntos dentro de su estructura. Tener el certificado no garantiza la exención, porque la valora un juez caso por caso, pero sí aporta una prueba ordenada de que el modelo existía y funcionaba antes de los hechos.

Si quieres ver qué incluye un programa completo, lo tienes en la página de consultoría de compliance penal.

Cómo se prepara la certificación

El camino habitual tiene cinco etapas:

1. Diagnóstico. La consultoría revisa qué existe ya (código ético, procedimientos, canal) y qué falta frente a la norma.
2. Mapa de riesgos penales. Se identifican los delitos aplicables a la actividad. En una empresa industrial suelen aparecer los delitos contra el medio ambiente, la corrupción en los negocios, el cohecho, el blanqueo de capitales y los delitos contra la Hacienda Pública.
3. Diseño e implantación. Política, controles, órgano de compliance, canal y formación.
4. Funcionamiento y auditoría interna. El sistema tiene que estar en marcha y generar evidencias antes de que llegue el auditor externo.
5. Auditoría de certificación. La realiza una entidad de certificación independiente. Si todo está en orden, emite el certificado, que después se mantiene con auditorías de seguimiento.

Quien implanta el sistema y quien lo certifica tienen que ser entidades distintas. Es la misma regla que en ISO 9001 o ISO 14001.

UNE 19601 o ISO 37301

Las dos son normas de sistemas de gestión, pero con un alcance distinto. La UNE 19601 se centra en el riesgo penal y está escrita para el derecho español. La ISO 37301:2021 cubre cualquier obligación de cumplimiento, no solo la penal, y tiene reconocimiento internacional. Una empresa que exporta o que pertenece a un grupo extranjero puede preferir la ISO 37301. Una que quiere sobre todo protegerse del riesgo penal en España suele empezar por la UNE 19601. También se pueden integrar.

Qué determina el presupuesto

• Actividad y número de riesgos penales que hay que cubrir.
• Tamaño de la empresa, centros y sociedades del grupo.
• Controles que ya existen y se pueden aprovechar.
• Si se busca la certificación o solo un modelo sólido sin certificar.
• Supervisión posterior: responsable de cumplimiento externo, formación y auditorías internas.

La consultoría especializada te presenta el presupuesto después de conocer tu empresa.

Preguntas frecuentes sobre la UNE 19601

¿Es obligatorio certificarse en UNE 19601?

No. Ninguna ley obliga a certificarse. El Código Penal valora que la empresa tenga un modelo de prevención de delitos eficaz, y la certificación es una forma de acreditarlo ante terceros.

¿Qué cambió en la versión de 2025 de la UNE 19601?

UNE publicó la nueva versión en abril de 2025. Según la propia asociación, alinea las funciones de compliance penal con las normas ISO actuales, separa la formación de la sensibilización y ajusta el control sobre las inversiones financieras.

¿Quién emite el certificado UNE 19601?

Una entidad de certificación, independiente de la consultoría que ayuda a implantar el sistema. Quien implanta no puede certificar su propio trabajo.

¿La UNE 19601 sirve para una pyme?

Sí. La norma se adapta al tamaño de la organización. En una pyme, el sistema suele ser más ligero y el órgano de administración puede asumir funciones de supervisión, como permite el Código Penal a las empresas de pequeñas dimensiones.

También te puede interesar leer sobre qué es compliance y sobre qué empresas deben tener canal de denuncias.

Normatia no presta asesoramiento jurídico ni certifica sistemas de gestión. La aplicación concreta a tu empresa debe confirmarla un profesional cualificado.