Compliance corporativo en Chile: qué cambió, quién responde y cómo protegerse

Hasta hace poco, la responsabilidad penal de una empresa chilena era un tema de manual: existía la Ley 20.393 desde 2009, pero se aplicaba a un puñado de delitos y a un número reducido de casos conocidos. Ese panorama cambió en 2024. La Ley 21.595, de Delitos Económicos, amplió drásticamente el catálogo de delitos por los que una empresa puede responder penalmente, y los tribunales empezaron a condenar con más frecuencia. Este artículo explica qué cambió, quién responde realmente, y qué significa en la práctica tener un modelo de prevención — sin tecnicismos innecesarios y con casos reales, no hipótesis.

1. Lo que cambió: de la excepción a la regla

Antes de 2024, la responsabilidad penal de las empresas en Chile cubría un catálogo acotado: lavado de activos, financiamiento del terrorismo, cohecho y algunas figuras más. La Ley 21.595 amplió ese catálogo a delitos que la ley incorpora por remisión a más de 40 cuerpos legales — entre ellos figuras de uso común en la operación de cualquier empresa: fraudes contables, corrupción entre privados, uso indebido de información privilegiada, y delitos específicos de cada rubro. También se amplió el círculo de personas cuyo actuar puede arrastrar a la empresa: ya no solo directores o gerentes, sino cualquiera que ocupe un cargo, función o posición en ella, y también quienes le prestan servicios gestionando sus asuntos ante terceros. Y la responsabilidad de la empresa es autónoma: no depende de que se condene a la persona natural que cometió el delito.

La otra cara es la que da sentido a todo esto: la empresa no responde si contaba, antes del hecho, con un modelo de prevención de delitos adecuado y efectivamente implementado. Ese modelo dejó de ser un accesorio corporativo y pasó a ser la eximente completa de responsabilidad penal.

2. ¿Esto aplica a mi empresa, por pequeña que sea?

Es la pregunta que más se repite, y la respuesta tiene un matiz importante. El artículo 6 de la Ley 21.595 exceptúa de dos de sus títulos a los delitos cometidos en el contexto de una micro o pequeña empresa — pero ese beneficio protege a las personas naturales involucradas, no a la empresa misma. La persona jurídica responde penalmente sin umbral de tamaño alguno: puede ser condenada a multas, a la pérdida de beneficios fiscales, a la prohibición de contratar con el Estado, e incluso a su disolución.

La buena noticia, que se menciona menos, es que la ley gradúa por tamaño lo que exige del modelo de prevención: el artículo 4 de la Ley 20.393 exige un modelo proporcionado “a su objeto social, giro, tamaño, complejidad y recursos”. Una empresa pequeña no necesita el departamento de compliance de una multinacional — necesita un modelo serio, proporcionado a su realidad, y que efectivamente funcione.

3. Casos reales — no es una amenaza teórica

Estos son casos con nombre y sentencia, no hipótesis:

• Empresas Penta S.A. e Inversiones Penta III Ltda. — condenadas el 28 de marzo de 2025 por el Octavo Juzgado de Garantía de Santiago (juez Leonardo Valdivieso, procedimiento abreviado), por incumplir sus deberes de dirección y supervisión en relación con delitos de soborno y tributarios cometidos por su ex gerente de contabilidad, que ocasionaron un perjuicio fiscal superior a $2.471 millones. Sanción: multa de 10.000 UTM en su grado medio, más la publicación de un extracto de la sentencia en el Diario Oficial.
• Corpesca — primera empresa condenada en juicio oral bajo la Ley 20.393, por el Tercer Tribunal Oral en lo Penal de Santiago en diciembre de 2020. El gerente general pagó sobornos a un exsenador y una exdiputada (2010-2013) a cambio de favorecer los intereses de la pesquera en la tramitación de la Ley General de Pesca. Sanción: multa de 10.000 UTM a beneficio fiscal (unos $516 millones), más la publicación de un extracto de la sentencia en un diario de circulación nacional.
• Sociedad Áridos Maggi Ltda. — condenada por infracción a los deberes de dirección y supervisión. Sanción: prohibición de contratar con el Estado por 2 años, pérdida absoluta de beneficios fiscales, y multas.
• Educer — una consultora de capacitación de tamaño pequeño, condenada por cohecho según registra Prelafit Compliance. El tamaño de la empresa no fue una defensa disponible.

4. Qué exige el modelo — y qué exigen los tribunales

El artículo 4 de la Ley 20.393 fija cuatro componentes: identificar los riesgos propios del giro y tamaño de la empresa; establecer protocolos para prevenirlos y detectarlos, con canales seguros de denuncia y sanciones internas; asignar responsables con independencia y acceso directo a la administración; y someter el modelo a evaluaciones periódicas por terceros independientes.

Esto se ve distinto según el tamaño. En una empresa de 8 personas, el “canal seguro de denuncia” no requiere una plataforma externa cara: puede ser un correo dedicado que solo lee el encargado de prevención (que en una empresa así suele ser el mismo dueño o gerente general, con la independencia que el cargo permite), con un protocolo simple de qué hacer si la denuncia lo involucra a él mismo. Y la “evaluación periódica por un tercero” puede ser un abogado externo que revise el modelo una vez al año — no una auditoría de semanas. La proporcionalidad que exige la ley no es un eslogan: es literalmente lo que hace viable el compliance para una pyme.

Los tribunales fijaron el estándar de qué significa “efectivamente implementado”. En el caso Corpesca, el tribunal estableció que no basta con contar formalmente con un modelo: debe ser eficiente y eficaz. En Educer, una consultora pequeña fue condenada pese a tener un programa — el tamaño no exime. El mensaje es uno: el modelo se prueba con evidencia de que opera, no con documentos guardados en un cajón.

5. Por dónde empezar

El camino ordenado es siempre el mismo: primero, un diagnóstico honesto de la operación — qué conductas de riesgo son realmente posibles en esta empresa, con estos procesos y esta gente —; después, un modelo proporcionado al tamaño, con políticas, roles y controles que el equipo pueda ejecutar de verdad; finalmente, evidencia continua: capacitaciones, revisiones y registros que demuestren que el modelo vive. El compliance que se queda en un PDF no protege a nadie; el que se practica, sí — y es el único que la ley reconoce.