¿Qué entendemos cuando hablamos de Criminal Compliance?

Por Ariana La Rosa Flores,

abogada por la Pontificia Universidad Católica del Perú y Asociada de las prácticas de Litigios Penales y Cumplimiento Corporativo del estudio RODRIGO.

Hoy encontramos la palabra compliance en todas partes: en las páginas web de las empresas, en las cláusulas contractuales, en los avisos de trabajo y, por supuesto, en el mundo académico. Se ha vuelto una de esas expresiones que muchos usan, pero que pocos definen. El término compliance, como veremos, nos lleva a hablar de “cumplimiento” y, por tanto, de “cumplir”. Sin embargo, deja abierta la pregunta más importante: ¿cumplir qué? A su vez, nos preguntarnos por qué es mencionado tanto por los penalistas, hasta el punto de hablar de criminal compliance.

Este artículo introductorio busca, precisamente, ofrecer al lector —en especial a quien empieza a aproximarse a este tema— las nociones clave para entender qué es el criminal compliance y por qué ha cobrado tanta relevancia en nuestro ordenamiento.

El criminal compliance se ubica en una intersección entre el derecho penal, la teoría de la organización empresarial y la gestión de riesgos. Por ello, el objetivo de estas líneas no es agotar una materia ciertamente compleja, sino ofrecer un primer acercamiento a sus conceptos base.

Para ello, el recorrido será el siguiente. En primer lugar, abordaremos el compliance o cumplimiento corporativo en sentido amplio, precisando qué significa y de dónde proviene. En segundo lugar, revisaremos los conceptos que constituyen su vocabulario común y que tienen como punto de partida al “riesgo”. Recién entonces estaremos en condiciones de abordar, en tercer lugar, el criminal compliance. Nos detendremos en su anclaje normativo en el Perú, marcado por la Ley 30424, norma que introdujo la responsabilidad autónoma de la persona jurídica en el proceso penal y convirtió al modelo de prevención de delitos en una pieza central de la defensa corporativa. Finalmente, cerraremos con una breve reflexión sobre la importancia del criminal compliance desde la integridad empresarial.

I. Punto de partida: el compliance o cumplimiento corporativo

Antes de hablar de criminal compliance conviene detenerse en el género al que pertenece. En términos sencillos, el compliance es el conjunto de políticas, procedimientos y controles que una organización adopta para asegurar el cumplimiento de las normas que le resultan aplicables y para gestionar los riesgos derivados de su eventual incumplimiento.

Una definición más precisa la ofrecen los propios estándares internacionales en la materia: la Norma ISO 37301:2021 —hoy referente global en la gestión del cumplimiento— define el compliance como el hecho de «cumplir con todas las obligaciones de compliance de la organización», entendidas estas como aquellos «requisitos que una organización obligatoriamente tiene que cumplir, así como aquellos que decide voluntariamente cumplir»[1]. Su antecesora, la ISO 19600:2014, añadía que el compliance «se hace sostenible integrándolo en la cultura de la organización y en el comportamiento y la actitud de las personas que trabajan en ella»[2].

En el uso cotidiano, las expresiones “compliance” y «cumplimiento» se emplean como equivalentes, y así las trataremos aquí. Ahora bien, respecto a la pregunta que anticipábamos —¿cumplir qué?— vemos que se puede distinguir entre obligaciones que la organización debe cumplir —las impuestas por el derecho— y aquellas que elige cumplir, sea por convicción de la propia organización o por alguna exigencia del mercado.

En efecto, en un sentido amplio del término, podemos hablar de “compliance no legal”: aquel referido a estándares voluntarios, códigos éticos, normas técnicas (como las ISO) o compromisos de responsabilidad social que la empresa asume más allá de lo estrictamente obligatorio. Sin perjuicio de reconocer dicha dimensión, lo que aquí nos interesa es el “compliance legal”, es decir, el que se ocupa del cumplimiento de las normas jurídicas.

Vale la pena, brevemente, mencionar sus principales antecedentes, que podemos ubicar en la legislación de Estados Unidos. Encontramos, pues, que el compliance moderno (legal) tiene sus hitos fundacionales en la Foreign Corrupt Practices Act de 1977 —que prohíbe, hasta la fecha, a las empresas con conexión estadounidense sobornar a funcionarios extranjeros— y, sobre todo, en las Federal Sentencing Guidelines for Organizations de 1991, que premiaban con una reducción de la sanción a las empresas que contaran con un programa de cumplimiento eficaz.[3] Resuena, así, la siguiente idea: organizarse para prevenir el delito puede traer consecuencias jurídicas favorables para la propia empresa.

Esa lógica se consolidó, ya entrado el siglo XXI, al calor de un caso paradigmático: el colapso de Enron en 2001, cuyo fraude contable arrastró a la quiebra a un gigante energético y erosionó la confianza en los mercados. La reacción legislativa fue la promulgación de la Sarbanes-Oxley Act de 2002, que endureció los controles internos y la responsabilidad de la alta dirección al interior de una organización.[4] Desde entonces, la premisa de fondo —prevenir para no ser sancionado, y organizarse para prevenir— se expandió por el mundo y llegó también a nuestra región.

Ahora bien, reducir el compliance al temor a la sanción sería pecar de reduccionistas. En rigor, el cumplimiento normativo se apoya en un trasfondo más amplio, en el que conviene distinguir tres nociones que, aunque interrelacionados, suelen confundirse:

Cuadro # 1. Elaboración propia

Esta distinción no es un mero adorno conceptual. Como ha mostrado la literatura especializada, un cumplimiento puramente formal —orientado a «marcar casillas» para evitar sanciones— tiende a ser menos eficaz que aquel anclado en una genuina cultura de integridad, capaz de guiar la conducta incluso allí donde la norma calla.[5] Ninguno de estos conceptos basta por sí solo: sin ética, el cumplimiento se vuelve mera formalidad; y sin integridad, tanto las normas como los valores quedan reducidos a un discurso que nadie sigue. De ahí que el compliance más eficaz será aquel que logra articular las tres dimensiones.

Entendido ello, conviene ahora reparar en la gran amplitud del compliance legal. Como es evidente, el cumplimiento de las normas jurídicas es transversal y se despliega en todas las áreas del derecho. Así, sin ánimo de ser exhaustivos, puede hablarse de:

• Compliance laboral: orientado a prevenir infracciones en materia de seguridad y salud en el trabajo, hostigamiento laboral y relaciones de trabajo en general, cuyo incumplimiento puede acarrear responsabilidad administrativa ante la autoridad de inspección (Sunafil). Roza el ámbito penal en supuestos de grave riesgo para la vida o salud de los trabajadores.
• Compliance tributario: dirigido al correcto cumplimiento de las obligaciones fiscales de la organización y a la prevención de contingencias frente a la administración tributaria (Sunat), en un terreno donde la frontera entre la economía de opción, la elusión y el delito tributario exige especial atención.
• Compliance en protección de datos personales: enfocado en el tratamiento adecuado y seguro de la información personal, conforme a la Ley 29733, Ley de Protección de Datos Personales, y su Reglamento aprobado por Decreto Supremo 016-2024-JUS, con cada vez más obligaciones que requieren una gestión de riesgos especializada que va más allá del respeto normativo.
• Compliance ambiental: orientado al respeto de la normativa medioambiental aplicable a la actividad de la empresa (i.e. licencias, estándares de calidad, límites máximos permisibles), cuya inobservancia puede derivar en sanciones de los organismos de fiscalización ambiental e, inclusive, en responsabilidad por delitos ambientales.
• Compliance en libre competencia: dirigido a prevenir prácticas anticompetitivas y conductas restrictivas del mercado. En esta materia, el Indecopi no solo promueve estos programas de cumplimiento como herramientas de autorregulación, sino que suele ordenar su implementación como medida correctiva para administrados infractores, conforme a la facultad prevista en la Ley de Represión de Conductas Anticompetitivas[6].
• Compliance en materia de derechos humanos: cada vez más relevante, en particular en empresas que operan con cadenas de suministro y en el marco de la debida diligencia empresarial impulsada por estándares internacionales, como los Principios Rectores de las Naciones Unidas sobre las Empresas y los Derechos Humanos.
• Compliance antilavado (prevención de LA/FT): propio del sistema de prevención del lavado de activos y del financiamiento del terrorismo (SPLAFT), obligatorio para los denominados “Sujetos Obligados”[7] a informar a la Unidad de Inteligencia Financiera (UIF-Perú). Entre los deberes propios del SPLAFT se encuentra el reporte de las operaciones sospechosas detectadas en el marco de sus actividades reguladas, conforme a la Ley 27693, Ley que crea la Unidad de Inteligencia Financiera – Perú, su Reglamento y otras normas sectoriales.

La lista puede continuar, pero nos permite concluir que el criminal compliance no es sino una especie más dentro de este amplio género, aquella referida al cumplimiento de las normas penales.

II. El vocabulario común del compliance: riesgo, prevención y controles

Corresponde ahora detenernos en el andamiaje conceptual sobre el que se construye cualquier sistema de cumplimiento, sea cual fuere la rama del derecho a la que se oriente. Así, tenemos que todo sistema de compliance parte de una constatación elemental: la actividad empresarial genera riesgos. En términos sencillos, el riesgo es la probabilidad de que ocurra un evento que afecte negativamente a la organización, ya sea por la vía de una sanción, de un menoscabo patrimonial o de un deterioro reputacional.

Frente a un riesgo en específico, la empresa puede tomar distintas posturas. Una de ellas es desplegar los esfuerzos necesarios para evitar o minimizar la posibilidad de que se concrete. La otra postura —menos común cuando de riesgos legales se trata— es asumir la posibilidad de que el riesgo se presente cuando, tras un análisis costo-beneficio de la propia compañía, sus eventuales consecuencias resultarían marginales frente a los beneficios de la actividad riesgosa.

Sea cual fuere la postura finalmente adoptada por la organización, es claro que existe un paso previo: conocer y calificar dicho riesgo. Por lo tanto, cuando en compliance hablamos de gestión del riesgo, nos referimos a un proceso compuesto fundamentalmente de tres etapas: la identificación, la evaluación y el tratamiento del riesgo[8]. En una siguiente entrega, desarrollaremos a mayor detalle este proceso y su metodología. Basta adelantar que, una vez identificado y valorado el riesgo (a partir de los factores contextuales internos y externos de la empresa, la probabilidad de que se materialice el riesgo y el impacto que ello tendría en la organización), corresponde su tratamiento.

El tratamiento del riesgo consiste en el diseño y ejecución por parte de la empresa de una serie de controles que buscarán, principalmente, prevenir el riesgo[9]. Adicionalmente, los controles pueden tener como finalidad detectar y mitigar los riesgos, allí cuando estos podrían ya haberse presentado.[10] Podemos definir, entonces, a los controles como aquellas medidas concretas con las que la organización actúa sobre sus riesgos.

Es aquí donde el cumplimiento deja de ser un enunciado y se convierte en una práctica verificable. Y es que los controles no operan de forma aislada: se integran en un programa de cumplimiento, que reúne todo el proceso de gestión del riesgo en responsabilidades, políticas y procedimientos concretos, de forma articulada y documentada.

Por último, la gestión del riesgo no se agota en un momento determinado. Los riesgos cambian con el negocio, la regulación y el entorno, por lo que deben revisarse periódicamente y, con ellos, el programa de cumplimiento en su conjunto.[11]

Este lenguaje común del cumplimiento corporativo es, por tanto, también aplicable al criminal compliance con sus propias particularidades, como veremos a continuación.

III. El criminal compliance

Como adelantamos, el criminal compliance es una especie dentro del amplio género del compliance legal. Lo que lo distingue es aquello que se busca cumplir: las normas penales. Así, el criminal compliance traslada al terreno del derecho penal el vocabulario que acabamos de revisar. La empresa sigue identificando, evaluando y tratando riesgos mediante controles, pero ahora gestiona riesgos de comisión de delitos[12]. Lo que está en juego ya no es solo una multa administrativa o un daño reputacional, sino la posibilidad de que la propia empresa sea sancionada dentro de un proceso penal.

El criminal compliance anticipa la intervención punitiva del Estado. Ya no se trata solo de responder cuando el delito se ha cometido, sino de exigir a la empresa que se organice para evitarlo.[13] Detrás de este cambio, hay un problema que la doctrina viene describiendo desde hace décadas. Y es que, en las organizaciones complejas, las decisiones se reparten entre muchas personas y áreas, vertical y horizontalmente, al punto que puede resultar difícil identificar a un responsable individual. Schünemann lo llamó «irresponsabilidad organizada»[14]. Ahora bien, si la estructura de la empresa puede facilitar el delito, entonces tiene sentido pedirle que despliegue sus esfuerzos para prevenirlo.

De ahí la noción de defecto de organización, que se remonta a Tiedemann. La empresa responde no porque un trabajador haya delinquido, sino porque no adoptó las medidas necesarias para que su actividad no diera lugar a delitos.[15] Esta idea permitió dejar atrás el viejo principio societas delinquere non potest (las personas jurídicas no pueden delinquir) y hacer responsable a la empresa por un hecho propio y no ajeno.[16]

Y si la empresa responde por no haberse organizado bien, la consecuencia lógica es que pueda defenderse demostrando que sí lo hizo. Ese es el papel del programa de cumplimiento: acreditar que la organización adoptó las medidas necesarias para prevenir delitos. Así, en los ordenamientos que adoptaron este modelo, contar con un programa eficaz pasó a tener efectos jurídicos concretos.

El Perú se sumó a esta tendencia con la Ley 30424 —Ley que regula la responsabilidad administrativa de la persona jurídica en el proceso penal— publicada en el 2016 y vigente desde el 1 de enero de 2018, atravesado múltiples reformas legislativas. El 10 de enero del 2019, por su parte, entró en vigencia su Reglamento, aprobado por Decreto Supremo 002-2019-JUS. Su origen está vinculado al proceso de acercamiento del país a la Organización para la Cooperación y el Desarrollo Económicos (OCDE). En su versión inicial, la ley solo comprendía el delito de cohecho activo transnacional. Luego, mediante sucesivas modificaciones, el catálogo de delitos se amplió en dos momentos principales:

• Con el Decreto Legislativo 1352 (2017) y la Ley 30835 (2018), el catálogo pasó a comprender siete delitos: cohecho activo genérico, cohecho activo específico, cohecho activo transnacional, colusión, tráfico de influencias, lavado de activos y financiamiento del terrorismo.

• Con la Ley 31740 (2023; catálogo de delitos vigente desde noviembre de dicho año), se añadieron la contabilidad paralela, los delitos contra el patrimonio cultural, otros delitos previstos en la normativa contra el lavado de activos, los delitos aduaneros, los delitos tributarios y diversos delitos de terrorismo.

Un primer punto que conviene aclarar es la naturaleza de esta responsabilidad. La ley la denomina «administrativa», pero no cabe duda de que se trata de una responsabilidad penal. Se origina en la comisión de un delito, se determina bajo las reglas de imputación penal y, sobre todo, se decide dentro de un proceso penal, con la intervención del Ministerio Público y del órgano jurisdiccional penal. Las sanciones son de carácter punitivo: multas, inhabilitaciones, suspensiones y prohibiciones de actividades, clausura de locales, cancelación de licencias e incluso la disolución de la persona jurídica.[17]

Un segundo punto es que se trata de una responsabilidad autónoma, es decir, independiente de la responsabilidad de la persona natural (alguien de la organización[18]) que cometió el delito. Por eso, las causas que extinguen la acción penal contra la persona natural no eliminan la responsabilidad de la persona jurídica[19]. Es esta una de las principales características que la diferencian del régimen de las consecuencias accesorias previsto en el artículo 105 del Código Penal.

Para entender el alcance de la Ley 30424, hay que distinguir dos ámbitos:

• Ámbito subjetivo: a quiénes se aplica la ley. Comprende a las entidades de derecho privado, las asociaciones, fundaciones, organizaciones no gubernamentales y comités no inscritos, las sociedades irregulares, los entes que administran un patrimonio autónomo y las empresas del Estado o sociedades de economía mixta. También, a las personas jurídicas extranjeras que realizan sus actividades, directa o indirectamente, en el territorio nacional.[20]

• Ámbito objetivo: por qué delitos responde la empresa. No responde por cualquier delito, sino solo por los del catálogo antes descrito. Pero hay un requisito adicional, que es determinante: el delito debe haberse cometido en nombre o por cuenta de la persona jurídica y en su beneficio, directo o indirecto. No basta, por tanto, con que el autor sea parte de la organización ni con que actúe durante el ejercicio de sus funciones. Si el delito fue cometido únicamente en beneficio propio o a favor de un tercero, la persona jurídica no será responsable.[21]

Llegamos al vínculo con el compliance. La ley establece que la persona jurídica queda exenta de responsabilidad si, antes de la comisión del delito, adoptó e implementó un programa de cumplimiento eficaz, llamado “modelo de prevención de delitos”[22]. Por otro lado, si el modelo se implementa después del delito, pero antes del inicio del juicio oral, puede funcionar como atenuante.

Sin perjuicio de esto, hay un límite importante a este efecto eximente del modelo de prevención, que ha llevado a la doctrina a cuestionar la coherencia del sistema[23]: el eximente no se aplica cuando el delito lo cometen socios, directores, administradores, representantes legales o apoderados con capacidad de control. En ese caso, el juez solo puede imponer una multa, que puede reducirse hasta en un 90 %.

En todo caso, es claro que, a pesar de que la implementación de un modelo de prevención de delitos es voluntaria, puede marcar la diferencia para la empresa ante un eventual proceso penal, pues puede eximirla de responsabilidad, atenuarla o reducir la sanción. Eso sí, no basta con tener un modelo “de papel”: éste debe ser eficaz. Y, ¿cuándo es eficaz? La Ley 30424 establece que el modelo de prevención de la persona jurídica debe ser “adecuado a su naturaleza, riesgos, necesidades y características, consistente en medidas de vigilancia y control idóneas para prevenir los delitos antes mencionados [los del catálogo] o para reducir significativamente el riesgo de su comisión”[24]. Como con todo programa de cumplimiento, no existe, un modelo único: cada empresa debe construir el suyo a partir de su propia realidad y perfil de riesgo[25].

Sin perjuicio de ello, artículo 17.2 de la Ley 30424 establece que el modelo de prevención de delitos debe contener, como mínimo, los siguientes elementos:

(i) Un encargado de prevención, que ejerza su función con autonomía;

(ii) Acciones de mitigación de los riesgos identificados;

(iii) Procedimientos de denuncia.

(iv) Difusión y capacitación periódica del modelo; y

(v) Evaluación y monitoreo continuo del modelo.

A estos elementos mínimos, el Reglamento de la Ley 30424 añade otros de carácter complementario, que la empresa puede incorporar en ejercicio de su autorregulación: políticas para áreas específicas de riesgo, el registro de actividades y controles internos, la integración del modelo en los procesos comerciales, la designación de un auditor interno, procedimientos que garanticen la interrupción o remediación oportuna de riesgos y la mejora continua del modelo.[26]

Estos elementos coinciden con el proceso de gestión del riesgo ya comentado; la diferencia es que, en este caso, la ley les da consecuencias jurídicas. En un eventual proceso penal contra la persona jurídica por algún delito (del catálogo) cometido en su seno, si ésta alega que cuenta con un modelo de prevención, el fiscal debe obtener un informe técnico de la Superintendencia del Mercado de Valores (SMV) sobre su implementación y funcionamiento. Sin dicho informe, que tiene condición de pericia institucional, no podrá formalizar investigación preparatoria.[27] Si se acredita que el modelo existía y funcionaba de manera eficaz antes del delito podrá la empresa obtener la exención de responsabilidad.

IV. Reflexión final: del cumplimiento a la integridad

Como hemos visto, el criminal compliance es, para una organización, mucho más que una buena práctica. Es una herramienta estratégica de defensa corporativa: cuando alguno de sus miembros comete un delito en el marco de sus actividades, lo que la empresa hizo antes para prevenirlo puede marcar la diferencia entre ser sancionada o no.

Sin embargo, quedarnos solo con esa lectura sería caer en el reduccionismo que advertíamos al inicio: entender el compliance únicamente desde el temor a la sanción. Un modelo de prevención pensado solo para mostrarlo ante el fiscal difícilmente superará el examen de eficacia que exige la ley y, sobre todo, tendrá poco futuro. Lo que la Ley 30424 valora son medidas idóneas para los riesgos reales de la empresa y que, sobre todo, funcionen en la práctica. Eso no se logra solo con documentos bien redactados, sino con una organización que efectivamente actúa como dice actuar.

Recordemos que el cumplimiento marca lo que la empresa debe hacer, la ética orienta lo que es correcto y la integridad hace que ambos se reflejen en sus decisiones diarias. Todo ello debe formar parte del ADN de la organización. De ahí que un modelo de prevención eficaz sea, en el fondo, la expresión jurídica de esa cultura de ética e integridad. Por eso, la mejor defensa de una empresa no empieza el día en que se abre una investigación, sino mucho antes: en la forma en que decide organizarse, desde lo más alto del organigrama.

Referencias Bibliográficas:

[1] Organización Internacional de Normalización. (2021). ISO 37301:2021. Compliance management systems — Requirements with guidance for use, cláusula 3. Esta norma canceló y reemplazó a la ISO 19600:2014, incorporando la posibilidad de certificación.

[2] Organización Internacional de Normalización. (2014). ISO 19600:2014. Compliance management systems — Guidelines.

[3] Paine, L. S. (2024). «Managing for Organizational Integrity»: My Take After Three Decades. En M. Kaptein (ed.), Research Handbook on Organisational Integrity. Edward Elgar; y Sanclemente-Arciniegas, J. (2020). Compliance, empresas y corrupción: una mirada internacional. Derecho PUCP, (85), 9-40.

[4] Paine, L. S. (2024), op. cit.

[5] La distinción entre un enfoque orientado al cumplimiento (compliance-oriented) y uno orientado a la integridad (integrity-oriented) fue formulada originalmente en Paine, L. S. (1994). Managing for Organizational Integrity. Harvard Business Review, 72(2), 106-117. En el mismo sentido, con un enfoque pedagógico, Oficina de las Naciones Unidas contra la Droga y el Delito. (2019). Módulo 11: Integridad y Ética Empresarial. Serie de Módulos Universitarios E4J.

[6] El artículo 49.4 del Texto Único Ordenado de la Ley de Represión de Conductas Anticompetitivas faculta a la Comisión de Defensa de la Libre Competencia a ordenar, como medida correctiva, la adopción y desarrollo de programas de cumplimiento y de eliminación de riesgos de incumplimiento de la normativa de libre competencia. Sobre sus componentes y beneficios, véase INDECOPI. (2020). Guía de Programas de Cumplimiento de las Normas de Libre Competencia, aprobada por Resolución 006-2020/CLC-INDECOPI.

[7] El listado de las personas naturales y jurídicas que tienen la condición de Sujetos Obligados se encuentra comprendido en el artículo 3 de la Ley 29038, Ley que incorpora la Unidad de Inteligencia Financiera del Perú (UIF-Perú) a la Superintendencia de Banca, Seguros y AFP (SBS) para fortalecer la prevención del lavado de activos y financiamiento del terrorismo. La lista es amplia y comprende a aquellos cuyas actividades, a criterio de la SBS, tienen una mayor exposición a riesgos de LA/FT, tales como las empresas del sistema financiero y de seguros, los notarios, las empresas dedicadas a la actividad inmobiliaria y de construcción, los agentes de aduana, las empresas mineras, las que explotan juegos de casino y máquinas tragamonedas, etc.

^[8] Así lo recoge el Reglamento de la Ley 30424, cuyo Título II, denominado «Fases estratégicas para la gestión de riesgos», regula sucesivamente la identificación, la evaluación y la mitigación (tratamiento) de riesgos. En el mismo sentido, la Norma ISO 31000:2018 concibe la gestión del riesgo como un proceso que comprende, entre otras etapas, la evaluación y el tratamiento del riesgo, así como su seguimiento y revisión.

[9] De ahí que hablemos de “controles preventivos”, entre los que se encuentran, por ejemplo, la segregación de funciones al interior de la organización, los niveles de aprobación en procesos críticos, la debida diligencia a potenciales terceras partes, capacitaciones al personal, etc.

[10] Entre los “controles detectivos”, se encuentran, por ejemplo, las auditorías internas, los canales de denuncia y las investigaciones internas Por su parte, entre los “controles de mitigación o correctivos”, pueden mencionarse los planes de respuesta ante incidentes, la aplicación de medidas disciplinarias y correctivas y la colaboración con las autoridades, entre otros.

[11] La Norma ISO 37301:2021, op. cit., organiza el sistema de gestión del cumplimiento bajo una lógica de mejora continua, que comprende la evaluación del desempeño y la revisión periódica por la alta dirección.

[12] Por eso, la norma peruana señala que el modelo de prevención tiene como finalidad «la prevención, detección y mitigación de la comisión de delitos, así como promover la integridad y transparencia en la gestión de las personas jurídicas». Así lo establece el Reglamento de la Ley 30424, artículo 1, segundo párrafo.

[13] Rotsch, T. (2012). Criminal Compliance. InDret, (1), 1-11.

[14] Schünemann, B. (2002). Responsabilidad penal en el marco de la empresa. Dificultades relativas a la individualización de la imputación. Anuario de Derecho Penal y Ciencias Penales, LV, 9-38 (p. 11).

[15] Cavero, P. (2012). Esbozo de un modelo de atribución de responsabilidad penal de las personas jurídicas. Revista de Estudios de la Justicia, (16), 55-74 (p. 61), quien atribuye la formulación original de esta categoría a Tiedemann.

[16] Gómez-Jara Díez, C. (2006). Autoorganización empresarial y autorresponsabilidad empresarial: hacia una verdadera responsabilidad penal de las personas jurídicas. Revista Electrónica de Ciencia Penal y Criminología, (08-05), 1-27 (p. 25).

[17] Véase el título de la Ley 30424, modificado por la Ley 31740, y su Tercera Disposición Complementaria Final, según la cual la investigación, el procesamiento y la sanción de las personas jurídicas se tramitan en el marco del proceso penal, con los derechos y garantías que se reconocen al imputado.

[18] El artículo 3 de la Ley 30424 establece de forma omnicomprensiva qué personas naturales cometen el delito.

[19] Tal como lo establece el artículo 4 de la Ley 30424.

[20] Ley 30424, artículo 2, segundo párrafo, modificado por la Ley 31740; y Reglamento de la Ley 30424, artículo 2, modificado por el Decreto Supremo 002-2025-JUS.

[21] Así lo indica expresamente la Ley 30424, en el último párrafo de su artículo 3.

[22] Ley 30424, artículo 12; y Reglamento de la Ley 30424, artículo 31-A, incorporado por el Decreto Supremo 002-2025-JUS.

[23] Para Reaño y Medina, esta regla, introducida por la Ley 31740, configura un «sistema bifronte». En unos supuestos se mantiene un modelo de autorresponsabilidad, en el que la empresa responde por su propio defecto de organización. En otros se vuelve a un modelo vicarial, en el que la empresa responde por el hecho de sus órganos o directivos. En: Reaño Peschiera, J. L. y Medina Frisancho, J. L. (2023). “Criminal Compliance en el Perú: la necesidad de una reforma urgente y parcial al régimen de responsabilidad penal corporativa”. THĒMIS-Revista de Derecho, (84), pp. 332-333.

[24] Ley 30424, artículo 12, primer párrafo.

[25] Según el artículo 17.1 de la Ley 30424, el modelo se elabora sobre la base del perfil de riesgo de la persona jurídica, que identifica y evalúa sus riesgos inherentes y residuales.

[26] Reglamento de la Ley 30424, artículo 33, numerales 6 a 11, en concordancia con el artículo 31.

[27] Ley 30424, artículos 18 y 19.