Modelo de Prevención de Delitos — Ley 20.393 y Ley 21.595

Te pidieron un Modelo de Prevención de Delitos. Puede haber sido un cliente grande, una base de licitación, el banco o tu propio directorio. Y la empresa no tiene ni el tiempo ni un especialista interno para armarlo, así que lo más probable es que ya hayas pedido una cotización y te hayan ofrecido un modelo que llega en PDF, con un manual impecable que después nadie aplica.

El problema de fondo es que un modelo que existe en papel no exime de responsabilidad. Lo que se evalúa, llegado el caso, es si el modelo estaba implementado y si la empresa puede demostrarlo.

Qué cambió con la Ley 21.595

La Ley 20.393 sigue siendo la ley que establece la responsabilidad penal de las personas jurídicas. Lo que ocurrió es que la Ley 21.595 de Delitos Económicos la reformó a fondo, y entró en vigencia plena en septiembre de 2024. Tres cambios importan para decidir qué hacer:

• El catálogo de delitos se multiplicó. De una lista acotada —lavado de activos, cohecho, financiamiento del terrorismo, receptación— se pasó a más de doscientas figuras penales repartidas en materias tributarias, aduaneras, bancarias, ambientales, sanitarias, laborales y de libre competencia.
• Alcanza a prácticamente cualquier empresa. Dejó de ser un tema de grandes compañías reguladas. Hoy el tamaño ya no es el filtro.
• Subió la vara de lo que se le exige al modelo. Se espera un modelo vivo: con riesgos identificados por proceso, un encargado de prevención con medios reales, evidencia de que opera y actualización cuando la operación cambia.

Por eso los modelos redactados antes de la reforma suelen quedar cortos: cubren un catálogo que ya no es el vigente.

Dónde se cae un Modelo de Prevención de Delitos

• El manual existe y la operación no lo conoce. Es el hallazgo más frecuente: documento aprobado, procesos que siguen funcionando igual que antes.
• El encargado de prevención es un cargo nominal. Se designa a alguien que ya tiene otras funciones, sin tiempo asignado, sin presupuesto y sin acceso directo al directorio.
• La matriz de riesgos es genérica. Se copia un listado de delitos en vez de recorrer los procesos de la empresa y preguntarse dónde, concretamente, podría ocurrir cada uno.
• No hay evidencia de las capacitaciones. Se hizo la charla, no quedó el registro, y lo que no se puede demostrar no existe.
• El canal de denuncias no se usa. Está publicado, pero nadie confía en él porque no se explicó cómo funciona ni quién lo revisa.
• El modelo no se actualiza. Cambia el giro, entra una filial, se incorpora un proveedor crítico, y el modelo sigue describiendo la empresa de hace tres años.

Cómo lo armamos

Primero los procesos, después el texto

El trabajo parte con un diagnóstico de riesgos penales sobre tus procesos reales, no sobre un listado teórico: compras, contratación de personal, licitaciones, relación con autoridades y fiscalizadores, manejo de residuos, tributario, pagos a terceros. De ahí sale una matriz que dice dónde está el riesgo, qué control existe hoy y qué falta.

Un encargado de prevención con condiciones para serlo

Definimos el rol con responsabilidades, tiempo y canal de reporte. Si la empresa no tiene a quién designar, está el encargado de prevención de delitos en outsourcing, que es la misma figura ejercida desde fuera.

Evidencia desde el primer día

Cada actividad —difusión, capacitación, revisión de proveedores, reportes al directorio— deja registro mientras se hace, no después. Es exactamente la lógica de un sistema de gestión, y es lo que diferencia un modelo que se puede defender de uno que solo se puede leer.

La diferencia con un modelo hecho solo desde lo jurídico

Un estudio jurídico conoce el tipo penal, y eso es imprescindible. Lo que agrega una consultora de sistemas de gestión es la otra mitad: cómo se implementa y cómo se demuestra. Procesos, responsables, controles, registros, auditoría interna y mejora. Las dos miradas se complementan, y el modelo funciona cuando están las dos.

Esa es la razón por la que trabajamos el modelo con la misma estructura de un sistema de gestión: porque es la estructura que después permite auditarlo.

Si tu empresa ya tiene un sistema ISO, llevas camino andado

El análisis de contexto, la gestión de riesgos, la competencia del personal, la información documentada, la auditoría interna y el tratamiento de no conformidades ya existen en tu empresa si tienes un sistema ISO implementado. El Modelo de Prevención de Delitos se monta sobre esa base en vez de partir de cero, y la auditoría interna puede cubrir ambos en una sola actividad.

Lo mismo vale al revés: una empresa que arma bien su modelo queda con medio camino hecho para certificar.

La simetría con la Ley 21.719 de datos personales

Conviene verlo junto, porque es el mismo movimiento legislativo. La Ley 21.719 de protección de datos personales también contempla un modelo de prevención —en ese caso, de infracciones—, reglamentado por el Decreto 662 del Ministerio de Hacienda publicado el 9 de septiembre de 2026, con certificación a cargo de la Agencia y registro público.

Son dos leyes distintas con la misma lógica: identificar riesgos, designar un responsable, implementar controles y poder demostrarlo. Una empresa que ya montó uno tiene gran parte del método para el otro. La seguridad de la información se trabaja en ISO 27001 y con el encargado de seguridad de la información externo.

Para complementar

Si lo que necesitas es formar al equipo, está el curso de Ley 21.595 y modelo de prevención de delitos, y para el canal de denuncias e investigaciones, el curso de Ley Karin. El catálogo completo está en cursos ISO para empresas. Para revisar tu caso y proponerte un alcance concreto, escríbenos.