 |
| Fuente de la imagen: mvc realizada con Notebook |
Resumen: Se examina la transformación de la responsabilidad de los administradores societarios en el marco del cumplimiento normativo contemporáneo. Se analiza el paso de un enfoque centrado en la sanción a la persona jurídica hacia una imputación individualizada, proceso denominado "Cumplimiento de Segunda Generación". El núcleo del estudio reside en la aplicación de la Business Judgment Rule (BJR) o regla de la discrecionalidad empresarial como mecanismo de protección para los gestores. Se cuestiona si el diseño de programas de buena fe ofrece inmunidad cuando estos fallan en prevenir daños sociales o patrimoniales. A través de un análisis comparado entre la jurisprudencia de Delaware y el ordenamiento español, se argumenta que el estándar de diligencia actual se ha vuelto más riguroso, exigiendo una supervisión activa de riesgos de cumplimiento específicos frente a la tradicional deferencia mercantil.
Palabras clave: Discrecionalidad empresarial, Compliance, Responsabilidad de administradores, Buena fe, Deber de supervisión, Riesgos críticos.
Abstract: This article examines the transformation of directors' liability within the framework of contemporary compliance. It analyzes the shift from an approach focused on sanctioning the legal entity to individualized imputation, a process known as "Second-Generation Compliance." The core of the study lies in the application of the Business Judgment Rule (BJR) as a protective mechanism for directors. It questions whether the design of good faith compliance programs offers immunity when these fail to prevent social or financial harm. Through a comparative analysis of Delaware jurisprudence and Spanish law, it argues that the current standard of due diligence has become more rigorous, requiring active monitoring of specific compliance risks compared to traditional commercial deference.
Keywords: Business discretion, Compliance, Directors' liability, Good faith, Duty of supervision, Critical risks.
(*) Manuel Velasco Carretero es doctorando en ciencias jurídicas y sociales por la Universidad Complutense de Madrid; la Universidad Antonio de Nebrija; la Universidad de Alicante; la Universidad de Cádiz; la Universidad de Extremadura; la Universidad de La Laguna; la Universidad de Málaga (UMA); la Universidad de Santiago de Compostela; la Universidad de Sevilla; la Universidad de Vigo; la Universidad Rey Juan Carlos y la Universitat Oberta de Catalunya, diplomado en ciencias empresariales por la UMA, especialidad marketing y comercialización, economista (UMA), especialidad dirección y gestión, gestor administrativo por el Ministerio de la Función Pública del Gobierno de España, además de graduado en derecho por la Universidad Internacional de la Rioja (UNIR) con experticia universitaria en compliance, máster jurídico oficial por la UMA, máster económico y financiero oficial convalidado por el Ministerio de Educación, abogado habilitado por la Consejería de Justicia e Interior de la Junta de Andalucía, colegiado no ejerciente, y administrador de fincas por el Ministerio de Obras Públicas y Transportes del Gobierno de España.
1. Introducción
La evolución del Derecho de sociedades ha derivado en una atención creciente sobre la conducta de quienes integran los órganos de administración, desplazando el foco que anteriormente se situaba de forma casi exclusiva en la entidad corporativa. Durante décadas, la doctrina del cumplimiento se interpretó bajo una óptica meramente organizacional, donde la existencia de protocolos y manuales parecía bastar para diluir la responsabilidad de los individuos hacia el ente social. Pese a ello, la realidad actual, marcada por escándalos financieros y crisis de seguridad, ha forzado a los tribunales a reevaluar el alcance de las obligaciones fiduciarias. El surgimiento de lo que algunos autores denominan el cumplimiento de segunda generación no representa una simple actualización de normas técnicas, más bien constituye un cambio en la percepción de la posición de garante que ocupan los administradores (Arlen, 2023). En este escenario, la impunidad amparada en la estructura jerárquica de las grandes corporaciones comienza a desmoronarse en favor de un sistema que exige rendición de cuentas personal por las omisiones en la vigilancia de las operaciones sociales.
La regla de la discrecionalidad empresarial, concebida originalmente en los tribunales ingleses y perfeccionada en el estado de Delaware, ha operado tradicionalmente como una barrera que impedía a los jueces revisar el mérito de las decisiones de negocio. Esta protección se basa en la premisa de que los administradores no deben ser castigados por resultados económicos adversos si su proceder fue informado y leal. Con todo, la aplicación de esta inmunidad en el terreno de la legalidad y el cumplimiento normativo presenta aristas complejas. La doctrina mercantil general asume que la toma de riesgos es una parte legítima de la actividad empresarial, pero el cumplimiento de la ley no se considera una opción sujeta a discrecionalidad (Shapira, 2025). De este modo, surge una tensión entre la libertad para gestionar el negocio y el deber imperativo de asegurar que la organización no se convierta en un vehículo para la comisión de ilícitos. La jurisprudencia reciente muestra que el estándar del "ordenado empresario" ya no se satisface con la mera delegación de funciones en departamentos técnicos, demanda en cambio un compromiso directo con la identificación de alertas tempranas.
En el contexto español, la incorporación formal de la BJR a través del artículo 226 de la Ley de Sociedades de Capital ha intentado proporcionar un marco de seguridad jurídica. Este precepto establece que el estándar de diligencia se entiende cumplido si el administrador actuó de buena fe, sin interés personal, con información suficiente y siguiendo un procedimiento adecuado (Cuatrecasas, 2025). No obstante, la interpretación de estos requisitos en situaciones de fallos sistémicos de cumplimiento ha derivado en una exigencia de rigor superior. Los tribunales han comenzado a distinguir entre las decisiones estratégicas que buscan la rentabilidad y aquellas omisiones que permiten la persistencia de conductas contrarias a derecho. Así pues, se observa que la discrecionalidad empresarial no puede servir de escudo si la dirección ha optado por una ceguera voluntaria ante riesgos que afectan a la viabilidad misma de la compañía o a la seguridad de terceros (Uría Menéndez, 2022).
Este artículo pretende analizar cómo el Compliance de Segunda Generación está redefiniendo la responsabilidad individual mediante la erosión de las presunciones de inocencia administrativa. Se abordará la importancia de los riesgos de cumplimiento que afectan a operaciones críticas y cómo la estructura de los grupos de sociedades complica pero no impide la imputación en cascada. A través del estudio de precedentes como los casos Blue Bell o Boeing en Estados Unidos, y la aplicación del artículo 226 en España, se demostrará que el diseño de un programa de cumplimiento, por muy técnico que sea, resulta insuficiente si no va acompañado de una cultura de supervisión que penetre en todos los niveles de la administración (Law360, 2024). La tendencia actual se encamina hacia una responsabilidad subjetiva que, basándose en la teoría del riesgo, penaliza la falta de una reacción proporcionada ante las señales de peligro detectadas en el seno de la empresa.
2. El Compliance de Segunda Generación y el ocaso de la impunidad corporativa
La transición hacia un modelo de cumplimiento exigente responde a la necesidad de alinear los incentivos de la dirección con el bienestar social y la legalidad. Históricamente, las multas impuestas a las personas jurídicas se consideraban a menudo como un simple coste de hacer negocios, un precio que los accionistas pagaban por beneficios obtenidos mediante la elusión de normas. El cumplimiento de segunda generación busca romper esta lógica al centrarse en la responsabilidad individual del administrador, asegurando que las consecuencias de la mala gestión no recaigan únicamente sobre el patrimonio social (Arlen, 2023). Se examina los fundamentos de esta nueva tendencia y los mecanismos mediante los cuales se busca la imputación personal en estructuras complejas.
2.1. De la sanción a la entidad a la imputación individual
La doctrina clásica del derecho penal y administrativo corporativo se basaba en la idea de que la organización era la unidad de control, asumiendo que las sanciones económicas contra la entidad inducirían automáticamente a los administradores a corregir conductas desviadas. Pese a ello, esta premisa ha demostrado ser limitada debido a problemas de costes de agencia. Los administradores a menudo obtienen beneficios personales de corto plazo, como bonos ligados a resultados, incluso si estos provienen de actividades ilegales que solamente causarán perjuicios a largo plazo cuando sean descubiertas (Shapira, 2025). Debido a esto, el sistema legal ha empezado a priorizar la responsabilidad personal como una herramienta de disuasión eficaz, centrando la atención en quienes tienen el poder real de detener las infracciones antes de que se materialicen en traumas corporativos graves.
El Compliance de Segunda Generación no ignora la importancia de los sistemas organizativos, los utiliza como evidencia para juzgar la diligencia de los individuos. En lugar de preguntar únicamente si la empresa tenía un manual de ética, los jueces ahora indagan si los administradores de forma activa ignoraron la información que esos sistemas generaban. Un ejemplo determinante se encuentra en la gestión de la crisis de los opiáceos en Estados Unidos, donde grandes distribuidores farmacéuticos mantenían sistemas que detectaban pedidos sospechosos, pero los administradores optaron por priorizar el volumen de ventas sobre la notificación a las autoridades (Arlen, 2023). En tales supuestos, la responsabilidad individual surge de la decisión consciente de mantener un estado de ignorancia culpable, lo cual invalida cualquier pretensión de protección bajo la discrecionalidad empresarial.
2.2. La teoría del riesgo y la posición de garante
La imputación individual en cascada se sustenta en la redefinición del administrador como un garante de la legalidad dentro de su esfera de competencia. En las estructuras empresariales modernas, la complejidad de las operaciones impide que una sola persona supervise cada detalle, de ahí que se permita la delegación de funciones. Con todo, esta delegación no extingue el deber de vigilancia sobre los riesgos que se consideran centrales para la supervivencia de la empresa. La teoría de la competencia por el riesgo sugiere que el administrador de la matriz es responsable de asegurar que las políticas de cumplimiento sean mandatos operativos que las filiales deben acatar de forma estricta (Blanco Cordero, 2025).
Resulta ilustrativo notar que la posición de garante se activa con mayor intensidad cuando se trata de actividades que ponen en riesgo la vida o la salud de las personas. En los grupos de sociedades, el administrador de la sociedad dominante no puede escudarse en la independencia jurídica de la filial si ha impuesto directrices financieras que hacen imposible el cumplimiento de las normativas de seguridad laboral o medioambiental. Así pues, la intervención imprudente en la gestión estratégica de una filial, mediante el recorte de recursos destinados a la prevención, crea un nexo causal que justifica la responsabilidad en cascada (Blanco Cordero, 2025). De esta manera, el Compliance de Segunda Generación transforma el deber de diligencia mercantil en una obligación de vigilancia proactiva y documentada.
3. La Doctrina del Business Judgment Rule en el ordenamiento español
La incorporación de la regla de la discrecionalidad empresarial en España ha supuesto un intento de profesionalizar el juicio judicial sobre la gestión de las compañías. Se busca evitar que el juez se convierta en un gestor a posteriori que califique como negligente cualquier decisión que no haya producido los beneficios esperados. Se analiza la configuración legal del artículo 226 de la Ley de Sociedades de Capital y cómo sus presupuestos interactúan con las obligaciones de cumplimiento normativo en el día a día de las corporaciones españolas.
3.1. El artículo 226 LSC como puerto seguro
El ordenamiento español define la BJR como una regla de exclusión de responsabilidad basada en el cumplimiento de procesos. El estándar de diligencia del ordenado empresario se da por satisfecho cuando concurren los cuatro requisitos positivos: buena fe, ausencia de conflicto de interés, información suficiente y procedimiento de decisión adecuado (Osborne Clarke, 2020). Este enfoque pretende crear un espacio de inmunidad que proteja la iniciativa privada, asumiendo que el riesgo es un componente inseparable de la actividad comercial. Pese a ello, para que este puerto seguro sea operativo, el administrador debe ser capaz de probar que el proceso deliberativo fue real y no un mero formalismo documental para cubrir las apariencias (Uría Menéndez, 2022).
En la práctica, la carga de la prueba suele recaer sobre el administrador demandado, quien debe acreditar que recabó los informes necesarios y que la decisión era racional en el momento en que se adoptó. Debido a esto, la documentación de las sesiones del consejo de administración adquiere una relevancia trascendental. Las actas que únicamente reflejan el acuerdo final sin detallar las alternativas consideradas o los riesgos evaluados resultan insuficientes para activar la protección del artículo 226 LSC (Cuatrecasas, 2025). El Compliance de Segunda Generación exige que este proceso documental incluya específicamente la gestión de los riesgos de cumplimiento, vinculando así la discrecionalidad empresarial con la efectividad de los sistemas de control interno de la compañía.
3.2. Límites de la discrecionalidad ante la ilegalidad
Resulta determinante subrayar que la regla de la discrecionalidad empresarial tiene un límite infranqueable: la infracción de la ley o de los estatutos sociales. El artículo 226.2 LSC excluye de forma expresa del ámbito de protección aquellas decisiones que afecten personalmente a los administradores o que impliquen una vulneración del ordenamiento jurídico (Cuatrecasas, 2025). En el ámbito del cumplimiento, esto significa que un administrador no puede alegar que decidió incumplir una normativa ambiental o fiscal porque era financieramente beneficioso para la sociedad. La legalidad no es un activo sujeto a negociación estratégica, de ahí que cualquier decisión que comporte un ilícito sea calificada automáticamente como un acto de mala fe (Shapira, 2025).
Esta distinción separa las decisiones de negocio puras de las decisiones de cumplimiento. Mientras que la elección de entrar en un nuevo mercado extranjero está protegida por la BJR, la omisión en el control del blanqueo de capitales en esa nueva jurisdicción se enmarca en el incumplimiento del deber de diligencia. Los tribunales españoles han sido consistentes en señalar que la discrecionalidad no ampara la temeridad ni la pasividad ante infracciones normativas evidentes (Uría Menéndez, 2022). De este modo, el blindaje que ofrece el artículo 226 LSC se debilita cuando el daño patrimonial a la sociedad proviene de sanciones administrativas o penales derivadas de una organización deficiente del sistema de vigilancia interna.
4. El blindaje de la discrecionalidad frente al riesgo de cumplimiento crítico
El concepto de riesgo crítico u operaciones de misión crítica ha redefinido la frontera de lo que un administrador debe conocer obligatoriamente. Ya no basta con establecer sistemas generales de reporte, se exige una atención focalizada en aquellas áreas donde un fallo puede resultar catastrófico para la entidad o la sociedad. Se analiza cómo la jurisprudencia ha elevado el estándar de diligencia para estos supuestos, limitando la capacidad de los administradores para alegar ignorancia sobre hechos determinantes para la salud de la corporación.
4.1. Riesgos de misión crítica y vigilancia reforzada
La evolución del deber de supervisión (conocido en Delaware como doctrina Caremark) establece que los administradores tienen la obligación de implementar sistemas de información que les reporten específicamente sobre los riesgos que son trascendentales para la viabilidad del negocio. Cuando una empresa opera en un sector altamente regulado, como la industria alimentaria o la aviación, el cumplimiento de las normas de seguridad se convierte en una función de misión crítica que el consejo de administración no puede delegar por completo (Shapira, 2025). En estos casos, la ausencia de discusiones documentadas sobre estos temas en el seno del consejo se interpreta como una evidencia de mala fe y falta de supervisión diligente.
Por ejemplo, en el caso Marchand v. Barnhill, se determinó que los administradores de una empresa heladera fallaron en su deber de vigilancia al no tener constancia de brotes de listeria que terminaron costando vidas humanas. La corte razonó que en una compañía que únicamente produce helados, la seguridad alimentaria es un riesgo tan sustancial que la dirección debe estar informada de forma periódica y detallada (Law360, 2024). Así pues, el estándar de diligencia se vuelve rígido: si el riesgo es central para el negocio, el administrador debe actuar de manera proactiva para obtener información, perdiendo la protección de la BJR si se limita a esperar a que los mandos intermedios le notifiquen los problemas. La discrecionalidad empresarial protege el juicio sobre cómo resolver un riesgo, pero no la decisión de no querer saber que el riesgo existe.
4.2. Buena fe en el diseño frente al fallo en la ejecución
Una cuestión trascendental en el Compliance de Segunda Generación es si el diseño de un programa de cumplimiento técnicamente impecable y de buena fe protege a los administradores cuando éste falla en la práctica. La doctrina actual sugiere que el diseño es únicamente el primer paso. El deber de vigilancia es continuo y exige que los administradores reaccionen ante las señales de alerta o "red flags" (Shapira, 2025). Un programa que parece perfecto sobre el papel pero que es ignorado en el día a día operativo se califica como "compliance cosmético", el cual no ofrece protección alguna frente a la responsabilidad personal (Arlen, 2023). Debido a esto, la buena fe inicial en el diseño debe ser respaldada por una ejecución que incluya la supervisión del seguimiento de las recomendaciones de los auditores y oficiales de cumplimiento.
Los tribunales han empezado a rechazar defensas basadas en la existencia formal de comités de auditoría si estos se reúnen con poca frecuencia o si sus actas no reflejan un análisis real de los datos recibidos. En el caso de Boeing, tras el primer accidente del 737 MAX, el consejo de administración fue criticado por tratar el asunto como un problema de relaciones públicas que como una falla de seguridad técnica crítica (Shapira, 2025). De esta manera, se observa que la BJR no ampara a quienes, teniendo el sistema diseñado, no lo utilizan para cuestionar activamente la información que reciben de la gerencia. La diligencia exigida hoy requiere que el administrador actúe con un escepticismo razonable y demande pruebas de que las deficiencias detectadas están siendo subsanadas de forma efectiva.
5. Responsabilidad en cascada y posición de garante en grupos empresariales
La gestión de grandes grupos de sociedades introduce una complejidad adicional en la atribución de responsabilidad. La independencia jurídica de cada entidad ha servido a menudo como una barrera para proteger a los administradores de la matriz de los actos cometidos en las filiales. Con todo, la realidad de la dirección unitaria impone una visión diferente bajo el Compliance de Segunda Generación. Se analiza cómo la influencia decisiva de la matriz crea una posición de garante que puede derivar en una imputación en cascada cuando se producen infracciones en las subsidiarias.
5.1. La dirección unitaria como base de la responsabilidad
En los grupos empresariales, la sociedad matriz suele ejercer una dirección estratégica que coordina la actividad de todas sus integrantes. Esta unidad de decisión implica que los administradores de la matriz tienen la capacidad de influir en las políticas de cumplimiento de todo el grupo. Cuando esta dirección se traduce en órdenes específicas que facilitan la comisión de delitos, o en políticas de reducción de costes que comprometen la seguridad, la responsabilidad se traslada hacia arriba de forma inevitable (Blanco Cordero, 2025). La pertenencia a un grupo no disminuye los deberes del administrador, al contrario, los amplía para incluir la vigilancia de los riesgos transversales que afectan a la reputación y legalidad del conjunto.
Se ha propuesto que el administrador de la matriz debe asegurar una "obligación de legalidad" a nivel de grupo. Esto significa que si el modelo de negocio centralizado impone objetivos de rendimiento agresivos a una filial sin dotarla de sistemas de control adecuados, los administradores de la matriz pueden ser considerados responsables por omisión (Blanco Cordero, 2025). Por contra, si el grupo opera bajo un modelo descentralizado donde las filiales gozan de autonomía real y recursos suficientes para su propio cumplimiento, la imputación hacia la matriz se vuelve difícil. Así pues, el grado de control efectivo sobre los procesos operativos determina el alcance de la responsabilidad individual en la jerarquía corporativa.
5.2. El problema del Compliance en las filiales extranjeras
La globalización de las operaciones empresariales obliga a los administradores a gestionar riesgos de cumplimiento en múltiples jurisdicciones. Un punto de debate recurrente es si el administrador de una matriz en España o Estados Unidos es responsable de las violaciones de leyes locales cometidas por filiales en el extranjero. La tendencia actual sugiere que los deberes fiduciarios de supervisión no conocen fronteras nacionales cuando el impacto del incumplimiento puede afectar gravemente a la empresa matriz (Arlen, 2023). En materias como el blanqueo de capitales o la corrupción internacional, las normativas exigen que la matriz vele por la aplicación de estándares mínimos en todas sus sucursales globales.
Debido a esto, el administrador no puede alegar que desconocía las prácticas de una filial remota si los informes internos indicaban debilidades en el control de esos territorios. El Compliance de Segunda Generación penaliza la compartimentación de la información que busca aislar a la cúpula de las irregularidades periféricas. Como se vio en casos de corrupción vinculados a la construcción o al sector farmacéutico, la existencia de una política de grupo que tolere el soborno como método de expansión exterior invalida cualquier defensa basada en la discrecionalidad empresarial (Arlen, 2023; Blanco Cordero, 2025). La posición de garante exige que el administrador implemente canales de denuncia y auditorías que aseguren que la cultura de cumplimiento sea uniforme y no meramente local.
6. Hacia un estándar de diligencia reforzado: Desafíos y aplicaciones prácticas
La culminación de estas tendencias legales apunta hacia una exigencia de profesionalismo y transparencia sin precedentes para los órganos de administración. La antigua noción de que el administrador podía limitarse a un papel pasivo o meramente consultivo ha sido superada por un estándar de acción constante. Se reflexiona sobre las implicaciones de este rigor judicial y cómo los administradores pueden gestionar sus funciones en un entorno donde la protección de la BJR ya no es automática.
6.1. El fin de la ceguera voluntaria y el sesgo retrospectivo
Uno de los mayores riesgos que enfrentan los administradores en el Compliance de Segunda Generación es la evaluación judicial basada en el conocimiento de los hechos consumados. Si bien la BJR exige un juicio ex ante, en la práctica, ante catástrofes de gran magnitud, los jueces tienden a ser más severos al valorar lo que los administradores "deberían haber sabido" (Shapira, 2025). Para combatir este sesgo, los gestores deben ser capaces de demostrar que no incurrieron en una ceguera voluntaria, lo cual implica haber buscado activamente información negativa y no haberse limitado a aceptar las versiones optimistas presentadas por la alta gerencia.
Resulta interesante notar que la tecnología, y específicamente la inteligencia artificial, se perfila como un nuevo factor en esta evaluación. En el futuro cercano, se esperará que los administradores utilicen herramientas analíticas avanzadas para detectar anomalías en grandes volúmenes de datos. Si el mercado adopta sistemas de IA para la monitorización de riesgos y un consejo de administración decide no implementarlos, su omisión podría ser vista como una falta de diligencia inexcusable frente a los estándares de su industria (Arlen, 2023). Por tanto, la discrecionalidad se verá limitada por el avance técnico, donde lo que hoy es opcional mañana será una exigencia básica para el ordenado empresario.
6.2. Conclusiones sobre la efectividad del cumplimiento individual
La efectividad del cumplimiento corporativo depende, en última instancia, de la percepción de que la ley será aplicada de forma justa y rigurosa a quienes toman las decisiones. El desplazamiento hacia la responsabilidad individual y la imputación en cascada busca evitar que la empresa funcione como un ente despersonalizado que absorba las culpas de sus gestores. La BJR continúa siendo un instrumento de protección valioso para el error honesto y la decisión de negocio arriesgada, pero se ha vuelto estéril para amparar el incumplimiento normativo o la falta de organización interna.
En síntesis, la respuesta a la pregunta de si la discrecionalidad protege a los administradores ante fallos de cumplimiento es que únicamente lo hace si el proceso de vigilancia fue sustancial y honesto. El diseño de buena fe de un programa es solamente la base; la protección real se gana mediante la supervisión activa de los riesgos críticos y la reacción contundente ante las señales de infracción. El estándar mercantil actual no permite la pasividad, demanda gestores que entiendan que su deber de lealtad es hacia el accionista y hacia la legalidad del sistema en el que operan (Arlen, 2023; Shapira, 2025).
7. La ineficacia del cumplimiento formal y los límites de la discrecionalidad administrativa
La transformación del cumplimiento normativo hacia una exigencia de responsabilidad personal refleja una crisis de los modelos organizativos previos. Históricamente, la sanción a la entidad mercantil se mostró insuficiente para disuadir conductas ilícitas lucrativas. El sistema tradicional permitía que los administradores mantuvieran una ignorancia deliberada mientras percibían beneficios de corto plazo. La aplicación de la regla de la discrecionalidad empresarial (Business Judgment Rule) a la vigilancia de la legalidad resulta problemática y necesaria de evaluar con rigor. Pese a ello, el artículo 226 de la Ley de Sociedades de Capital intenta establecer un puerto seguro, su eficacia depende de la acreditación de una diligencia activa.
7.1. La ineficacia del cumplimiento de primera generación
La doctrina clásica permitió que el diseño de programas de ética se convirtiera en un ejercicio formalista desprovisto de efectividad real. Los administradores solían escudarse en la existencia de manuales y códigos de conducta para alegar que habían cumplido con su deber de diligencia. De este modo, la responsabilidad se diluía en la estructura corporativa, permitiendo que las infracciones sistémicas persistieran mientras la dirección permanecía cómodamente ajena a los detalles operativos. Esta situación generó incentivos perversos donde el beneficio del incumplimiento superaba con creces el riesgo de una sanción administrativa que la empresa podía absorber como un gasto operativo ordinario.
La regla de la discrecionalidad empresarial no debería proteger la pasividad ante la ilegalidad. Mientras que las decisiones de negocio puras implican una toma de riesgos legítima, la observancia de la ley es un mandato imperativo que no admite juicios de conveniencia estratégica. Así pues, la pretensión de extender la inmunidad de la gestión comercial al ámbito del cumplimiento normativo constituye un error conceptual que debilita el ordenamiento jurídico. El administrador que diseña un programa de buena fe pero no supervisa su ejecución está incurriendo en una falta de lealtad hacia la legalidad del sistema.
7.2. El riesgo de la ceguera voluntaria y el cumplimiento cosmético
La tendencia hacia el "Compliance de Segunda Generación" exige que los gestores dejen de ser meros receptores pasivos de información. La jurisprudencia actual subraya que delegar la vigilancia en departamentos técnicos no extingue la posición de garante del consejo de administración. Si los administradores eligen no preguntar sobre áreas críticas de riesgo, están adoptando una postura de ceguera voluntaria que los tribunales empiezan a calificar como mala fe. Debido a esto, la protección de la discrecionalidad empresarial se desvanece cuando se comprueba que el consejo ignoró de forma consciente las señales de alerta generadas por la propia organización.
Resulta preocupante la persistencia del cumplimiento cosmético, donde los programas solamente existen para mitigar posibles sanciones futuras. Estas estructuras de papel proporcionan una falsa sensación de seguridad jurídica y no atajan las causas raíz de la delincuencia corporativa. La exigencia de un estándar de diligencia mucho más rígido es la respuesta necesaria ante la incapacidad de los sistemas internos para autogestionarse de forma ética. De esta manera, el juicio judicial debe centrarse en la realidad de la supervisión y no exclusivamente en la perfección documental de los protocolos de prevención.
7.3. Responsabilidad en cascada y dirección unitaria en grupos
La imputación individual en cascada representa un avance determinante para evitar la fragmentación de la responsabilidad en grupos empresariales. En las estructuras jerárquicas, la sociedad matriz suele ejercer una influencia decisiva que condiciona el comportamiento de sus filiales. Pese a la independencia jurídica formal, la unidad de decisión económica convierte a los administradores de la matriz en garantes indirectos de las operaciones periféricas. Si las directrices financieras impuestas desde la cúpula impiden que una filial cumpla con sus obligaciones de seguridad, surge un nexo causal que justifica la responsabilidad personal del gestor dominante.
Así pues, el administrador de la matriz no puede permanecer impasible ante los delitos cometidos en el ámbito de sus subsidiarias si tenía capacidad real de intervención. La teoría de la competencia por el riesgo sugiere que quien administra la estrategia global asume la carga de vigilar que dicha estrategia sea compatible con la ley. La discrecionalidad empresarial no ampara la creación de un entorno organizativo que favorezca o incentive el incumplimiento normativo de los empleados subordinados. De este modo, la posición de garante se activa con mayor intensidad cuando se trata de riesgos de misión crítica que afectan a la salud pública o la seguridad de terceros.
7.4. Hacia un estándar de diligencia reforzado y preventivo
La exigencia de una vigilancia reforzada es una medida de protección social frente a las externalidades de la actividad económica gran escala. Los tribunales han comenzado a distinguir entre los riesgos ordinarios del mercado y aquellos fallos sistémicos de supervisión que derivan en catástrofes. El estándar del "ordenado empresario" en materia de cumplimiento ya no se conforma con el cumplimiento de medios genéricos. Demanda, en cambio, la implementación de sistemas de información que garanticen que los datos negativos fluyan hacia arriba en la jerarquía corporativa sin filtros que distorsionen la realidad.
En definitiva, la responsabilidad personal de los administradores es la herramienta eficaz para alinear el interés privado con el bienestar colectivo. La regla de la discrecionalidad empresarial debe mantenerse como una salvaguarda para el error honesto en la gestión comercial, siendo estéril para proteger la negligencia en la protección de la legalidad. Únicamente a través de un régimen de imputación claro y riguroso será posible transformar la cultura corporativa hacia una ética de la responsabilidad activa. La supervisión proactiva de los riesgos críticos constituye el compromiso mínimo que la sociedad puede exigir a quienes dirigen las corporaciones contemporáneas
8. Hacia un sistema de supervisión activa: Para el fortalecimiento de la responsabilidad de los administradores y la efectividad del cumplimiento
Se articula una reforma estructural de la posición de los administradores frente al cumplimiento normativo, superando el modelo reactivo de primera generación. El análisis evidencia que la discrecionalidad empresarial no puede operar como un refugio ante la ceguera voluntaria sobre riesgos de misión crítica. Se propone un endurecimiento del estándar de diligencia que condicione la protección de la Business Judgment Rule a la acreditación de una conducta proactiva en la adquisición de información. La integración de una responsabilidad en cascada para grupos empresariales y la supervisión directa de investigaciones por parte del consejo se presentan como los mecanismos idóneos para alinear los intereses corporativos con la legalidad.
8.1. El agotamiento del modelo de cumplimiento formalista
La experiencia acumulada en las últimas décadas revela que el enfoque tradicional centrado en sancionar exclusivamente a la persona jurídica ha resultado insuficiente para desalentar conductas ilícitas corporativas. Jennifer Arlen (2023) señala que el crimen organizado en el seno de la empresa suele ser lucrativo, pero las medidas preventivas acarrean costes que los administradores prefieren evitar. De esta manera, surge una dinámica de agencia donde la dirección obtiene beneficios de corto plazo mientras la entidad asume el riesgo de multas administrativas futuras que el mercado a menudo absorbe como gastos operativos. El cumplimiento de primera generación permitió que la existencia de manuales éticos meramente documentales sirviera de escudo procesal, diluyendo la responsabilidad individual en la maraña burocrática de la organización. Pese a ello, la jurisprudencia contemporánea exige ahora un tránsito hacia la imputación subjetiva que penalice la omisión en la vigilancia de las operaciones sociales.
La regla de la discrecionalidad empresarial, recogida en el artículo 226 de la Ley de Sociedades de Capital, establece un puerto seguro para el administrador que actúa de buena fe y con información suficiente. Aun así, la aplicación de esta inmunidad ha sido objeto de una interpretación excesivamente laxa que favorece la impunidad ante fallos sistémicos de control. Resulta ilustrativo notar que la buena fe no puede presumirse cuando la dirección opta por no implementar sistemas efectivos para detectar infracciones en áreas donde la viabilidad de la compañía se encuentra comprometida. De este modo, la propuesta de mejora aquí desarrollada busca restringir el margen de arbitrio administrativo en materia de legalidad, imponiendo deberes específicos de supervisión que no admitan la delegación pasiva.
La doctrina del Caremark ha evolucionado desde una exigencia anémica de instalar sistemas de reporte hacia una obligación de resultados en la identificación de señales de alerta. En el contexto de los grupos de sociedades, la complejidad organizativa no debe servir para fragmentar la responsabilidad, mas bien debe activar una posición de garante reforzada para los administradores de la sociedad matriz. La teoría de la competencia por el riesgo sugiere que quien ostenta la dirección estratégica del grupo asume la carga de asegurar que dicha estrategia sea compatible con el ordenamiento jurídico en todas sus filiales. Así pues, la presente propuesta aborda la necesidad de un estándar de diligencia rígido que transforme el modelo de cumplimiento cosmético en un sistema de integridad real y verificable.
8.2. Reforma del deber de adquisición de información sobre riesgos críticos
La primera medida medular consiste en la transición desde una discrecionalidad absoluta sobre los sistemas de reporte hacia una obligación imperativa de recabar información sobre riesgos de misión crítica. Jennifer Arlen (2023) advierte que los administradores cuentan con incentivos para permanecer ignorantes sobre actividades que priorizan el beneficio económico sobre el cumplimiento legal. Al no preguntar sobre los detalles operativos, la dirección mantiene una denegación plausible que le protege en juicios retrospectivos. La propuesta exige que la ley defina áreas de vigilancia obligatoria, tales como la seguridad del producto, la integridad financiera y el cumplimiento medioambiental, donde la falta de conocimiento sea calificada automáticamente como una conducta de mala fe. De esta manera, el consejo de administración no podrá alegar que el sistema de reporte no le informó si el riesgo en cuestión era central para la supervivencia de la entidad.
La implementación de esta vigilancia activa requiere que el estándar del "ordenado empresario" incorpore una presunción de negligencia cuando no existan pruebas documentales de discusiones periódicas sobre estos riesgos medulares. Roy Shapira (2025) identifica que la ausencia de registro en las actas de consejo sobre temas de seguridad alimentaria o farmacéutica fue determinante para levantar el velo de protección en casos recientes. Así pues, se propone que la protección del artículo 226 LSC solamente sea aplicable si el administrador acredita haber seguido un procedimiento de decisión que incluya la valoración expresa de alertas tempranas detectadas por la organización. Solamente a través de un rastro documental robusto será posible neutralizar el sesgo retrospectivo y garantizar que la supervisión fue real y no un mero formalismo para cubrir las apariencias.
Adicionalmente, esta reforma debe alcanzar a la gestión de la inteligencia artificial y el análisis de grandes datos como herramientas de monitorización. Se advierte que el mercado empieza a adoptar sistemas analíticos avanzados para detectar anomalías que los métodos humanos pasan por alto. Si un consejo de administración decide no implementar estas tecnologías disponibles para vigilar riesgos críticos, dicha omisión debe interpretarse como una falta de diligencia inexcusable. De este modo, la discrecionalidad empresarial se verá limitada por el estado de la técnica, donde lo que hoy se considera opcional pasará a ser una exigencia básica para el gestor profesional. En síntesis, la propuesta busca que la dirección asuma un papel inquisitivo ante la información interna, rompiendo la inercia del receptor pasivo de datos optimistas.
8.3. Responsabilidad personal en estructuras de grupo y dirección unitaria
La segunda propuesta se orienta a la consolidación de una responsabilidad en cascada que impida la utilización de filiales como compartimentos aislados para la comisión de ilícitos. Isidoro Blanco Cordero (2025) señala que los grupos empresariales operan bajo una dirección unitaria donde la matriz coordina la estrategia financiera y operativa del conjunto. Pese a la independencia jurídica formal de cada sociedad, la unidad económica del grupo genera una zona de opacidad que dificulta la identificación de los responsables reales de un delito. La propuesta legislativa debe establecer que el administrador de la sociedad matriz asume una posición de garante indirecto sobre las operaciones de las subsidiarias cuando estas carecen de autonomía real para gestionar sus propios riesgos. Así pues, el control efectivo sobre los presupuestos de una filial debe llevar aparejada la obligación de vigilar que dichos recursos sean suficientes para cumplir con las normativas de seguridad.
Resulta ilustrativo notar que la intervención de la matriz en la gestión estratégica de una filial puede materializarse mediante el ejercicio de un poder de dirección negligente. Si la cúpula directiva impone objetivos de rendimiento desproporcionados o políticas de reducción de costes que incentivan el incumplimiento normativo de los empleados subordinados, surge un nexo causal que justifica la imputación personal. De esta manera, la propuesta aboga por la aplicación de la teoría de la competencia por el riesgo, según la cual el gestor del riesgo estratégico debe responder por los resultados lesivos que deriven de una organización deficiente a nivel de grupo. Solamente mediante este régimen de imputación será posible evitar que las grandes corporaciones trasladen sus actividades peligrosas a entidades con menor solvencia o controles más laxos.
De igual forma, se propone que las estructuras de cash pooling y los sistemas centralizados de tesorería sean considerados indicios de control que activan la responsabilidad de los administradores de la matriz. La jurisprudencia italiana ha demostrado que la centralización financiera permite a la dirección superior influir decisivamente en la operativa diaria de las filiales, incluso en materia de seguridad laboral o ferroviaria. Así pues, el administrador de la matriz no puede permanecer impasible ante los delitos cometidos en el ámbito periférico si contaba con los medios adecuados para intervenir y corregir la conducta desviada. En definitiva, la mejora propuesta busca transformar la dirección unitaria en una obligación de legalidad transversal que garantice que la cultura de cumplimiento impregne todos los niveles de la jerarquía corporativa.
8.4. Fortalecimiento de la supervisión de investigaciones y remediación
La tercera medida propuesta se centra en la exigencia de una supervisión directa y no delegable de las investigaciones internas por parte del consejo de administración. Jennifer Arlen (2023) argumenta que la delegación excesiva de las indagaciones en la gerencia operativa genera conflictos de interés, pues los ejecutivos a menudo intentan ocultar fallos que podrían afectar a su reputación o remuneración. La propuesta exige que, ante la detección de un hecho material de mala conducta, el consejo o un comité de consejeros independientes asuma la dirección de la investigación. Solamente mediante esta intervención directa será posible asegurar que los datos negativos fluyan hacia arriba sin filtros que distorsionen la realidad organizacional. Así pues, la buena fe inicial en el diseño de un programa de ética debe ser respaldada por una ejecución contundente ante las señales de infracción detectadas.
De igual modo, la propuesta contempla la ineficacia de la Business Judgment Rule cuando la respuesta de la dirección ante alertas conocidas ha sido meramente superficial o cosmética. Se advierte que muchas corporaciones adoptan planes de remediación que tan solo sirven como moneda de cambio para obtener exoneraciones administrativas en futuros acuerdos con reguladores. La mejora propuesta establece que un programa de cumplimiento que no asigne recursos proporcionales a la gravedad de los riesgos identificados carecerá de valor protector para los administradores. De esta manera, el estándar de diligencia mercantil actual no puede conformarse con el cumplimiento de medios genéricos, demanda en cambio un compromiso con la efectividad práctica de las medidas adoptadas.
Resulta ilustrativo notar que la persistencia de una conducta infractora tras la implementación de supuestas mejoras debe considerarse un indicio de mala fe. Si los datos operativos muestran que la infracción persiste o se agrava tras la intervención de la junta, el administrador debe perder el blindaje que ofrece la discrecionalidad empresarial. Así pues, la propuesta de mejora vincula la responsabilidad personal con la capacidad de reacción ante la reincidencia corporativa. De este modo, los tribunales podrán calificar como "ceguera voluntaria" la decisión de ignorar las deficiencias identificadas por auditores externos o canales de denuncia internos. En síntesis, la propuesta busca que la dirección entienda que su deber de lealtad trasciende el beneficio del accionista para abarcar la defensa de la legalidad sistémica.
8.5. Rigor judicial en la carga de la prueba y el acceso a la información
La cuarta propuesta de mejora aborda la necesidad de un régimen procesal que facilite la rendición de cuentas individual mediante la inversión de la carga de la prueba en supuestos de riesgos críticos. En el sistema actual, el demandante suele enfrentarse a una barrera probatoria casi insuperable al desconocer los procesos internos de toma de decisiones. La propuesta aboga por aplicar con rigor el principio de facilidad probatoria, exigiendo que sea el administrador quien acredite el cumplimiento de los requisitos del artículo 226 LSC para beneficiarse de la inmunidad. De esta manera, si la sociedad sufre un daño patrimonial derivado de un fallo de cumplimiento, la dirección deberá probar que actuó con información suficiente y siguiendo un procedimiento adecuado. Solamente mediante este cambio de paradigma será posible incentivar una documentación minuciosa de las labores de vigilancia.
Asimismo, se propone ampliar los derechos de inspección de los socios para investigar posibles incumplimientos del deber de vigilancia sin necesidad de acreditar previamente una acción ilícita. Roy Shapira (2025) destaca que el acceso a comunicaciones electrónicas informales de los directivos resulta determinante para revelar el estado mental real de la dirección en el momento de la toma de decisiones. La propuesta legislativa debe impedir que el uso abusivo de privilegios abogado-cliente o la redacción excesiva de actas sirva para ocultar la inacción ante riesgos de seguridad pública. Así pues, las tachaduras en los documentos de consejo deben interpretarse como un indicio contrario a la diligencia del administrador cuando afecten a la supervisión de áreas de misión crítica. De este modo, el sistema legal proporcionará las herramientas necesarias para que los inversores institucionales actúen como "cazadores de recompensas" contra la mala gestión en el cumplimiento.
En síntesis, la respuesta a la insuficiencia del cumplimiento formalista reside en un modelo de responsabilidad que no acepte la pasividad administrativa. La propuesta finaliza sugiriendo que las acciones de responsabilidad no queden paralizadas por procesos penales externos, permitiendo que la justicia civil valore la antijuridicidad de la organización interna con independencia del resultado punitivo individual. Solamente a través de un estándar de diligencia mercantil que penalice el desinterés por la legalidad será posible alinear la conducta de los administradores con el interés público. De este modo, la discrecionalidad empresarial recuperará su función original como salvaguarda del error honesto, pero nunca de la negligencia en la protección de la sociedad
9. Conclusiones
El tránsito hacia el cumplimiento de segunda generación implica que la responsabilidad penal y civil ya no se agota en la sanción a la corporación. La doctrina actual prioriza la imputación individual para evitar que las multas operen como un simple coste operativo. De esta manera, el administrador asume una posición de garante que le obliga a vigilar de forma activa los procesos internos. Pese a ello, la protección de la discrecionalidad empresarial se mantiene vigente, pero condicionada a una diligencia probada y documentada que excluye la pasividad ante la ilegalidad.
La regla de la discrecionalidad empresarial recogida en el artículo 226 de la Ley de Sociedades de Capital funciona como un puerto seguro, pero su aplicación en materia de cumplimiento normativo es restrictiva. Los tribunales exigen que la dirección demuestre haber recabado información suficiente sobre riesgos de misión crítica antes de reclamar inmunidad. De este modo, la buena fe en el diseño del programa de cumplimiento resulta insuficiente si se detecta una ejecución defectuosa o una ignorancia deliberada ante señales de alerta claras.
El estándar del ordenado empresario se ha vuelto rígido en sectores altamente regulados donde la seguridad pública o la integridad financiera están comprometidas. En estos escenarios, el consejo de administración debe acreditar que los riesgos centrales fueron objeto de debate recurrente y que los sistemas de reporte funcionaron sin filtros distorsionadores. Así pues, la carga de la prueba recae sobre el administrador demandado, quien debe justificar que su actuación fue informada y desinteresada en el momento de la decisión.
La imputación en cascada dentro de los grupos empresariales consolida la responsabilidad del administrador de la matriz cuando este ejerce una dirección unitaria efectiva. La unidad económica del grupo impide que la cúpula se desvincule de los ilícitos cometidos en las filiales si las directrices estratégicas condicionaron la conducta periférica. De esta manera, la posición de garante trasciende las fronteras de la personalidad jurídica individual, exigiendo una supervisión transversal que garantice la legalidad en toda la estructura corporativa.
La evolución judicial apunta hacia el rechazo definitivo del modelo de cumplimiento cosmético, valorando la realidad operativa por encima de la perfección documental de los manuales de ética. La tecnología y el análisis de datos se perfilan como herramientas que elevarán el estándar de diligencia exigible en el futuro cercano. De este modo, el blindaje que ofrece la regla de discrecionalidad se reserva para el error honesto en la gestión de negocio, siendo ineficaz para amparar la negligencia en la protección del ordenamiento jurídico
___________
Bibliografía
Alfaro Águila-Real, J. (2015). Artículo 226. Protección de la discrecionalidad empresarial. En J. Juste Mencía (Coord.), Comentario de la reforma del régimen de las sociedades de capital en materia de gobierno corporativo (Ley 31/2014). Sociedades no cotizadas (pp. 325-360). Aranzadi.
Arlen, J. (2023). Evolution of Director Oversight Duties and Liability under Caremark: Using Enhanced Information-Acquisition Duties in the Public Interest. Law Working Paper N° 680/2023, European Corporate Governance Institute (ECGI).
Blanco Cordero, I. (2025). Responsabilidad penal del administrador de la sociedad matriz por los delitos cometidos en el ámbito de las filiales. Revista Derecho & Sociedad, (64), 1-23.
Cuatrecasas. (2025). Acción social de responsabilidad por incumplimiento del deber de diligencia de los administradores. Recuperado de https://www.cuatrecasas.com
Devesa Abogados. (2025). La Business Judgment Rule o regla de la discrecionalidad empresarial como escudo procesal de consejeros y administradores. Recuperado de https://www.devesa.law
Law360. (2024). Del. Dispatch: Chancery's Evolving Approach To Caremark. Fried, Frank, Harris, Shriver & Jacobson LLP.
Osborne Clarke. (2020). La "business judgement rule" como mecanismo de limitación de la responsabilidad de los administradores en la toma de decisiones. Recuperado de https://www.osborneclarke.com
Paz-Ares Rodríguez, J. C. (1999). Uniones de empresas y grupos de sociedades. Revista Jurídica Universidad Autónoma de Madrid, (1), 223-252.
Shapira, R. (2025). Conceptualizing Caremark. Indiana Law Journal, 100(2), 467-534.
Uría Menéndez. (2022). La regla de la discrecionalidad empresarial. Boletín Mercantil, (107). Recuperado de https://www.uria.com
Recursos Generativos utilizados en la redacción de este artículo
Teniendo en cuenta que se ha seguido la estructura de un artículo científico, formato conocido por la IAG, para la elaboración de este contenido se ha utilizado IAG en la fase de búsqueda de información, así como en la mejora de la redacción y adaptación de ésta a un lenguaje coloquial. Asimismo, antes de editarlo se ha pasado el filtro de plagio (8% de coincidencias) y de lenguaje IAG (11% de coincidencias), considerando ambos ratios razonables y asumibles.