La Unión Europea está reforzando de forma significativa la respuesta penal frente al incumplimiento y la elusión de sus medidas restrictivas. La Directiva (UE) 2024/1226 obliga a los Estados miembros a tipificar determinadas conductas relacionadas con la vulneración de sanciones europeas y establece consecuencias especialmente relevantes para las personas jurídicas.

Según informó Cinco Días el 17 de julio de 2026, la preocupación ya no se limita al incumplimiento directo. Las empresas pueden quedar expuestas cuando sus controles no detectan operaciones realizadas a través de intermediarios, distribuidores o terceros que terminan permitiendo la elusión de una sanción europea.

Multas de hasta 40 millones de euros o el 5 % de la facturación mundial

La Directiva exige que las personas jurídicas puedan ser sancionadas por determinados delitos con multas cuyo máximo no sea inferior, según el supuesto, al 5 % del volumen de negocio mundial total o a 40 millones de euros. Para otras conductas, el umbral previsto puede alcanzar el 1 % de la facturación mundial o 8 millones de euros.

Este régimen aumenta la importancia de los modelos de compliance penal, especialmente en empresas que operan internacionalmente, exportan productos, utilizan distribuidores, trabajan con intermediarios o mantienen relaciones comerciales con mercados sometidos a medidas restrictivas.

Ya no basta con controlar al cliente directo

Uno de los principales riesgos señalados por la información publicada es la utilización de terceros para sortear las restricciones.

Una empresa puede haber incluido cláusulas contractuales que prohíban determinadas operaciones y, aun así, quedar expuesta si sus sistemas de control son insuficientes para detectar el destino real de productos, servicios, fondos o activos.

Por ello, el compliance penal debe evolucionar desde una comprobación meramente formal hacia un sistema de supervisión basado en riesgo.

Entre las medidas que deberían revisarse se encuentran:

• identificación y evaluación de clientes, distribuidores e intermediarios;
• análisis del destino final de bienes y servicios;
• controles sobre operaciones internacionales;
• procedimientos de diligencia debida;
• cláusulas contractuales específicas;
• mecanismos de alerta ante operaciones inusuales;
• formación del personal;
• trazabilidad de las decisiones adoptadas;
• canales internos de comunicación y escalado;
• revisión periódica del mapa de riesgos penales.

La responsabilidad de la persona jurídica

La Directiva europea prevé expresamente la responsabilidad de las personas jurídicas en determinados supuestos y obliga a los Estados miembros a establecer sanciones efectivas, proporcionadas y disuasorias.

Esto refuerza la necesidad de que los órganos de administración puedan acreditar que la empresa ha identificado sus riesgos, ha establecido controles razonables y mantiene un sistema de prevención que funciona realmente.

No se trata únicamente de disponer de un manual de compliance, sino de poder demostrar que el modelo se aplica, se revisa y se adapta a las operaciones reales de la empresa.

España debe adaptar su legislación penal

La Directiva debía transponerse antes del 20 de mayo de 2025. Según Cinco Días, la Comisión Europea remitió en junio de 2026 un dictamen motivado a España por no haber comunicado la transposición completa de la norma.

La adaptación española del Código Penal será, por tanto, especialmente relevante para las empresas sujetas a riesgos relacionados con comercio internacional, exportaciones, intermediarios, financiación y medidas restrictivas de la Unión Europea.

¿Qué deberían hacer las empresas?

Las organizaciones con exposición internacional deberían revisar si su actual modelo de compliance contempla adecuadamente estos riesgos.

Una revisión preventiva debería permitir identificar:

• si existen operaciones con países o personas sometidas a sanciones;
• si se controla adecuadamente a intermediarios y distribuidores;
• si los contratos incluyen mecanismos efectivos de cumplimiento;
• si existen controles sobre reexportaciones y destino final;
• si las alertas son investigadas y documentadas;
• y si el órgano de administración recibe información suficiente sobre estos riesgos.

La evolución normativa confirma que el compliance penal debe ser un sistema vivo, adaptado a los riesgos reales de cada organización y no un mero conjunto de documentos.