Fraude, compliance penal y auditoría en España: lo que enseñan Bankia, Pescanova y el caso Koldo

Tres casos han marcado la conversación sobre fraude y control en España: Bankia, Pescanova y el caso Koldo. Los dos primeros terminaron en los tribunales tras años de cuentas auditadas; el tercero ha dado lugar a una condena del Tribunal Supremo en la pieza de las mascarillas (sentencia de 22 de junio de 2026), mientras la pieza de obra pública se remitió a la Audiencia Nacional en febrero de 2026. Suelen contarse como escándalos. Para un auditor son algo más útil: tres patologías distintas, cada una con sus normas y sus procedimientos.

Este artículo los analiza juntos y añade el cuarto elemento que los conecta: el compliance penal del artículo 31 bis del Código Penal y su relación con el trabajo del auditor. El objetivo es práctico: qué debe hacer distinto una firma española, sobre todo pequeña o mediana, a la luz de las NIA-ES vigentes.

Aviso previo: presunción de inocencia y alcance del análisis#

Este artículo se limita a hechos públicos: sentencias, autos, informes de supervisores y prensa económica de referencia. No atribuye responsabilidad personal a ningún profesional, administrador o auditor concreto ni prejuzga procedimientos abiertos. Rige la presunción de inocencia del artículo 24 de la Constitución para todo procedimiento no resuelto por sentencia. En el caso Koldo, la pieza de las mascarillas ha sido resuelta por el Tribunal Supremo (sentencia de 22 de junio de 2026). No se ha comprobado que esa sentencia sea firme, esto es, que contra ella no quepa «recurso alguno, salvo el de revisión u otros extraordinarios que establezca la ley» (art. 245.3 LOPJ): según la prensa del 14 de octubre de 2026 (Diario de Pontevedra), el Supremo desestimó los incidentes de nulidad y la prensa consultada no informa de que se haya presentado amparo; las piezas separadas que sigan en instrucción mantienen la presunción de inocencia. El análisis se centra en fallos de proceso, de control y de diseño de la auditoría, no en conductas individuales.

Tres casos, tres preguntas distintas para el auditor#

La lectura conjunta es la lección principal: el auditor no se enfrenta a un único tipo de fraude. A veces la dificultad es interpretar bien lo que sí está en los libros; otras, descubrir lo que no está; otras, comprobar que los controles que existen en el papel funcionan cuando alguien tiene prisa. Aplicar el procedimiento de un problema al otro es una de las raíces silenciosas del fallo de auditoría.

El auditor no es investigador: lo que exige la NIA-ES 240#

La NIA-ES 240 parte de una premisa: el auditor puede tener indicios de fraude, pero no establece jurídicamente si hubo fraude (apartado 3). Su papel es otro. Debe actuar con escepticismo de principio a fin del encargo (apartado 13), evaluar el riesgo de incorrección material debida a fraude y responder a ese riesgo con procedimientos. Si las respuestas de la dirección son incongruentes, tiene que indagar esas incongruencias (apartado 15). La prevención y la detección del fraude corresponden primero a los responsables del gobierno de la entidad y a la dirección (apartado 4). Esa frontera ordena también el reparto con el compliance penal, que se trata más abajo.

Dos matices completan esa frontera. La NIA-ES 240 parte de una seguridad razonable, no absoluta: las limitaciones inherentes pesan especialmente en el fraude y algunas incorrecciones pueden no detectarse (apartados 5 y 6). Y ante un fraude o sus indicios, la norma exige informar a quien dirige la entidad y, según los casos, a los responsables del gobierno de la entidad (apartados 41 a 43), además de dejar constancia documental (apartados 45 a 47).

Caso Bankia: cuando la dificultad está en la estimación#

El caso Bankia arranca con la salida a Bolsa de julio de 2011 y se desencadena con la reformulación de las cuentas de 2011 en mayo de 2012: las cuentas consolidadas formuladas en marzo de 2012 mostraban un beneficio, y las reformuladas, unas pérdidas de varios miles de millones de euros. Según las notas del Poder Judicial, la Audiencia Nacional absolvió porque la salida a Bolsa contó con la aprobación de los supervisores y porque el juicio no expuso actos concretos atribuibles a los acusados. Para el auditor, el caso ilustra riesgos de estimación y de criterio contable, sin que de ellos se derive un fraude penal acreditado:

1. Valoración de activos y deterioros. Son el tipo de estimaciones que exigen evidencia propia del auditor: inmuebles, participaciones y activos fiscales diferidos.
2. Refinanciaciones y crédito promotor. Las refinanciaciones recurrentes pueden ocultar mora; es un riesgo de estimación que exige evidencia, sin presumir la intención de nadie.
3. Tasaciones de activos adjudicados. Las tasaciones divergentes entre peritos obligan a documentar el criterio de valoración y el rango razonable.

Las preferentes y la deuda subordinada forman parte de otras querellas, que quedan fuera de este análisis. Por eso el análisis técnico del caso se centra en la valoración, no en la comercialización de productos.

En lo penal, la Audiencia Nacional absolvió a los 34 acusados en el juicio por la salida a Bolsa, el 29 de septiembre de 2020. No hubo condenas, y el Tribunal Supremo confirmó las absoluciones por sentencia de 24 de octubre de 2022 (núm. 839/2022). Según la nota del CGPJ, la sentencia recoge que las cuentas de 2011 objeto de este procedimiento no fueron auditadas ni aprobadas por la junta general, y por eso no podían considerarse cuentas anuales en sentido estricto. La jurisdicción civil puede valorar la información del folleto de otra forma; este artículo no analiza ese plano.

Lecciones técnicas:

• NIA-ES 540 (Revisada). Evaluar el grado de incertidumbre de cada estimación, detectar señales de sesgo en la gestión de la dirección, y elaborar, cuando corresponda, una estimación o un rango propios. En tasaciones masivas y refinanciaciones recurrentes eso exige experto propio, contraste retrospectivo y análisis de sensibilidad documentado.
• NIA-ES 450. Ajustes individualmente pequeños pero sesgados en el mismo sentido pueden ser materiales en conjunto: la norma exige evaluar las incorrecciones no corregidas también en agregado.
• NIA-ES 705 (Revisada). La opinión depende de si hay incorrección material o falta de evidencia suficiente, y de si sus efectos son o no generalizados: con salvedades, desfavorable o denegada. Si una incertidumbre material sobre la empresa en funcionamiento está bien revelada, la NIA-ES 570 (Revisada) exige un apartado propio sin modificar la opinión (apartado 22); si la revelación es inadecuada, el apartado 23 lleva a salvedades u opinión desfavorable.
• Independencia. Auditar una entidad sistémica concentra honorarios, equipo y reputación en un cliente. La Ley 22/2015 y el Reglamento europeo 537/2014 endurecieron desde entonces las salvaguardas, la rotación y los límites a otros servicios en las entidades de interés público.

Caso Pescanova: cuando la dificultad está en la realidad de las operaciones y de la deuda#

El caso Pescanova estalló el 28 de febrero de 2013, cuando la compañía comunicó que no formularía las cuentas anuales, y el 1 de marzo de 2013 la compañía comunicó el inicio de negociaciones con sus acreedores (preconcurso). Los hechos probados de las resoluciones judiciales describen un patrón distinto al de Bankia:

1. Operaciones comerciales ficticias. Compraventas de pescado en realidad inexistentes con sociedades instrumentales (varias, según los hechos probados), que servían para obtener líneas de factoring y pólizas de descuento bancario. En los hechos probados, esas compraventas carecían de mercancía real; la sentencia no declara probado que las existencias reales del grupo fueran inexistentes.
2. Deuda ocultada en las cuentas consolidadas. Compensación de activos con pasivos (neteo), filiales que debían consolidarse y no se incluyeron en el perímetro, y créditos documentarios a favor de filiales, sin operación comercial real que los respaldara y sin que las filiales lo supieran. Con ello, la deuda visible en las cuentas era inferior a la real.

La Audiencia Nacional condenó en octubre de 2020 a su expresidente a ocho años de prisión: seis por el concurso medial de falsedad en documento mercantil, estafa, falseamiento de cuentas y falseamiento de información económica y financiera, y dos por alzamiento de bienes. Condenó también a otros once, con penas sensiblemente inferiores. El Tribunal Supremo, en su sentencia 89/2023, de 10 de febrero, rebajó la pena del expresidente a seis años y lo absolvió de la falsedad en documento mercantil y de la estafa. Absolvió también al auditor externo y a la firma auditora, que la Audiencia Nacional había condenado. La sentencia de instancia describe su conducta como descuidada; el Supremo constata que los hechos probados no establecen el conocimiento que exige el delito. Eso no equivale a un juicio técnico sobre si cumplió las NIA-ES, que el proceso penal no resuelve.

El reto no es la incertidumbre de un modelo, sino la integridad de la información: ¿existe la mercancía de cada operación?, ¿es de la compañía?, ¿son reales las ventas y las contrapartes?, ¿hay deuda asociada que no aparece? Lecciones técnicas:

• NIA-ES 240. Escepticismo profesional permanente, análisis de incentivos y oportunidades, y procedimientos específicos frente a la manipulación de registros, incluidos los asientos atípicos de cierre.
• NIA-ES 315 (Revisada 2019). Un grupo con cadena de frío, filiales en varias jurisdicciones y financiación compleja tiene un mapa de riesgos propio, que incluye los controles de TI sobre existencias y tesorería (véase la guía de ITGC).
• NIA-ES 501. Lección general, no hecho probado en Pescanova: cuando las existencias tienen importancia relativa en las cuentas, asistir al recuento físico y probar los registros. Con decenas de almacenes, eso exige rotación planificada de visitas y auditores de componentes coordinados bajo la NIA-ES 600 (Revisada).
• NIA-ES 505. Las confirmaciones de bancos y terceros son el procedimiento natural para detectar deuda no registrada o cesiones de crédito ocultas, siempre que el auditor controle la población completa de contrapartes y el envío y la recepción de las cartas.

Caso Koldo: los controles de contratación pública cuando hay corrupción#

El caso Koldo —también llamado caso mascarillas— tiene su pieza principal en la causa especial 20775/2020 del Tribunal Supremo. La sentencia 418/2026, de 22 de junio de 2026, condena por organización criminal, cohecho, tráfico de influencias y malversación, en distintos episodios. En la pieza de las mascarillas da por probados delitos de cohecho (al empresario, a una autoridad y a un funcionario) y, a la autoridad y al funcionario, de tráfico de influencias, en la adjudicación, por Puertos del Estado y por Adif, de dos contratos de suministro de mascarillas (hasta 8 y 5 millones de unidades) a una misma empresa de intermediación. Ambas compras se tramitaron por emergencia: las órdenes ministeriales TMA/263/2020, de 20 de marzo, y TMA/292/2020, de 26 de marzo, invocan el artículo 16 del Real Decreto-ley 7/2020 y, al amparo del artículo 120 de la Ley 9/2017 de Contratos del Sector Público, la tramitación de emergencia.

Conviene distinguir dos figuras de esa ley. La tramitación urgente del artículo 119 reduce a la mitad, con excepciones, los plazos de licitación, adjudicación y formalización, pero exige un expediente con declaración de urgencia motivada. La tramitación de emergencia del artículo 120 permite ordenar lo necesario o contratar libremente sin sujetarse a los requisitos formales de la ley, sin tramitar el expediente ordinario (artículo 120.1.a). Esa excepción no elimina los controles posteriores: el inicio de la ejecución no puede demorarse más de un mes (artículo 120.1.c), la prestación debe ejecutarse, recibirse y liquidarse conforme a la ley (artículo 120.1.d) y, si contrata la Administración General del Estado, sus organismos autónomos, entidades gestoras y servicios comunes de la Seguridad Social o demás entidades públicas estatales, debe darse cuenta al Consejo de Ministros en el plazo máximo de treinta días (artículo 120.1.b).

Sin entrar en la calificación penal, el caso permite repasar cinco fallos de control típicos de la contratación urgente. Son ejemplos genéricos, no hechos probados de la sentencia:

1. Documentación insuficiente. Memorias justificativas escuetas, sin comparativas entre proveedores ni trazabilidad de quién propuso y quién aprobó. La Resolución de 30 de abril de 2024 de la Comisión Mixta para las Relaciones con el Tribunal de Cuentas pide formar un expediente con los antecedentes que avalen la emergencia y designar un responsable del contrato (art. 62.1 LCSP) (BOE-A-2024-16164). La NIA-ES 230 regula la documentación del auditor, no el expediente de contratación, y no se aplica aquí.
2. Sin revisión independiente ni segregación de funciones. Decisiones de millones concentradas en un único punto de juicio. La NIA-ES 315 obliga a evaluar el entorno de control y, si hay desviaciones en controles de los que se prevé fiarse, la NIA-ES 330 (apartado 17, letra c) hace que el auditor decida si debe responder con procedimientos sustantivos; la NIA-ES 240 considera que la dirección puede eludir los controles, y lo trata como un riesgo presente en todo encargo.
3. Supervisión débil de la ejecución. Conformidades sin verificar la entrega, calidades inferiores a las pactadas sin reflejo en actas, penalizaciones no aplicadas. Cuando hay contratos significativos con ejecución mal documentada, la respuesta pasa por procedimientos sustantivos (NIA-ES 330 y 500), como verificar entregas, contrastar conformidades con evidencia externa o comparar precios con el mercado; la norma no los enumera.
4. Titularidad real y partes vinculadas sin verificar. Adjudicatarias de constitución reciente, estructuras opacas, vínculos no declarados. La NIA-ES 550 pide preguntar a la dirección por las partes vinculadas (apartado 13) y, para detectar vínculos no declarados, inspeccionar las confirmaciones de bancos y asesores jurídicos y las actas de juntas y de reuniones de los órganos de gobierno (apartado 15). En España ayudan la Ley 10/2010 de prevención del blanqueo y el Registro Central de Titularidades Reales creado por el Real Decreto 609/2023.
5. Compliance de papel. Códigos éticos, canales y políticas que existen en el organigrama pero no operan. La NIA-ES 250 (Revisada) obliga a adquirir una visión general del marco normativo de la entidad y de cómo lo cumple (apartado 13), y la NIA-ES 265 a comunicar las deficiencias significativas de control.

Compliance penal y auditoría: dónde se cruzan#

Lo que exige el artículo 31 bis del Código Penal#

La Ley Orgánica 5/2010 introdujo en el Código Penal la responsabilidad penal de la persona jurídica, y la Ley Orgánica 1/2015 reguló cuándo queda exenta. Para los delitos cometidos por sus representantes y directivos, el apartado 2 del artículo 31 bis exige cuatro condiciones que deben cumplirse a la vez: (1.ª) que el órgano de administración haya adoptado y ejecutado con eficacia, antes del delito, un modelo de organización y gestión con medidas de vigilancia y control idóneas; (2.ª) que la supervisión del modelo esté confiada a un órgano con poderes autónomos de iniciativa y control, o que tenga encomendada legalmente la función de supervisar la eficacia de los controles internos; (3.ª) que los autores hayan eludido fraudulentamente el modelo; y (4.ª) que no haya habido omisión ni ejercicio insuficiente de esa supervisión. Para los delitos cometidos por quienes están sometidos a la autoridad de los anteriores, el apartado 4 exige que el modelo sea adecuado y se haya adoptado y ejecutado eficazmente antes del delito, y remite a la atenuación del párrafo segundo del apartado 2: si esas circunstancias solo se acreditan en parte, se valora a efectos de atenuar la pena.

El apartado 5 fija seis requisitos del modelo: identificar las actividades en las que pueden cometerse los delitos; protocolos de formación de la voluntad y de decisión; modelos de gestión de los recursos financieros adecuados para impedir esos delitos; obligación de informar de riesgos e incumplimientos al órgano de vigilancia; un sistema disciplinario; y la verificación periódica del modelo. Los seis hablan, en realidad, de controles internos operativos, que es el lenguaje del auditor.

Un detalle muy español: en las personas jurídicas de pequeñas dimensiones, que el Código Penal define como las autorizadas a presentar el modelo abreviado de cuenta de pérdidas y ganancias (artículo 31 bis.3), la función de supervisión del modelo puede asumirla directamente el órgano de administración. Es una regla sobre quién supervisa, no una exención aparte. Son las sociedades de capital que, durante dos ejercicios consecutivos, no superan al menos dos de los tres límites del artículo 258 de la LSC, que detallamos en la guía del Plan General Contable. Muchas de ellas son clientes de firmas pequeñas.

El artículo 31 quinquies trata de forma distinta a las entidades públicas. Quedan fuera de la responsabilidad penal de las personas jurídicas el Estado, las administraciones públicas territoriales e institucionales, los organismos reguladores, las agencias y entidades públicas empresariales, las organizaciones internacionales de derecho público y quienes ejerzan potestades públicas de soberanía o administrativas. Las sociedades mercantiles públicas que ejecutan políticas públicas o prestan servicios de interés económico general sí responden, pero solo se les pueden imponer la multa y la intervención judicial (artículo 33.7, letras a y g), salvo que la forma jurídica se haya creado para eludir la responsabilidad penal. Por eso el caso Koldo se usa aquí como ejemplo de riesgos de control, sin afirmar que el artículo 31 bis resulte directamente aplicable a todos los organismos que intervinieron.

Lo que diseña el compliance officer y lo que verifica el auditor#

El responsable de cumplimiento parte de un mapa de riesgos penales —corrupción en los negocios, blanqueo, delitos contra la Hacienda Pública, entre otros— y diseña la arquitectura preventiva: políticas, autorizaciones escalonadas, formación, un canal de denuncias (el sistema interno de información de la Ley 2/2023, obligatorio en general desde 50 trabajadores) y un órgano con poderes autónomos de iniciativa y control.

El auditor, por su parte, evalúa el control interno relevante para los estados financieros (NIA-ES 315) y, cuando decide confiar en él, prueba su eficacia operativa (NIA-ES 330, apartado 8, letra b, también cuando los procedimientos sustantivos no bastan). Cuando comprueba que una factura por encima de un umbral exige doble firma, que los proveedores nuevos pasan por una aprobación o que quien autoriza un pago no lo ejecuta, mira los mismos controles que el modelo de prevención usa contra la corrupción o el blanqueo. La NIA-ES 240 le exige un escepticismo profesional constante a lo largo del encargo, y la NIA-ES 250 le obliga a conocer cómo la entidad cumple su marco normativo. La carta de manifestaciones recoge por escrito lo que la dirección sabe de fraudes, denuncias e incumplimientos.

Una auditoría de cuentas no es una certificación del modelo. Su prueba recae sobre los controles relevantes para los estados financieros que el auditor selecciona, no sobre todo el perímetro del modelo, y no sustituye la verificación periódica que el artículo 31 bis incluye entre los requisitos del modelo. Una evaluación independiente del modelo es un encargo distinto, con sus propios requisitos de competencia e independencia.

Certificarse no exime por sí mismo: el artículo 31 bis no menciona la certificación, sino que exige que el modelo se haya adoptado y ejecutado con eficacia antes del delito y que se cumplan sus condiciones. Tampoco es una auditoría forense ni una investigación penal, ni una revisión de toda la legalidad de la entidad (NIA-ES 250, apartado 13): su objeto son los estados financieros y las incorrecciones materiales que puede producir el fraude (NIA-ES 240, apartado 3).

Señales de un compliance de papel#

Cinco rastros que un auditor puede considerar en su juicio profesional. Son indicios de interpretación, no criterios legales:

1. Formación sin evidencia de ejecución: no hay registros de asistencia ni constancia de que la plantilla que puede cometer los delitos típicos la haya recibido.
2. Canal de denuncias sin actividad durante años en una organización de cientos de empleados. El silencio absoluto puede indicar falta de confianza en el canal, no ausencia de problemas.
3. Sin verificación periódica documentada: no hay informes del órgano de cumplimiento ni revisión de riesgos tras un cambio de negocio.
4. Segregación de funciones solo en la política: en el ERP, el mismo usuario crea el proveedor, aprueba la factura y ordena el pago. Los controles de acceso que lo impiden se tratan en la guía de ITGC.
5. Excepciones convertidas en rutina: contratos urgentes y adjudicaciones directas sin traza de una aprobación reforzada.

Lecciones para las firmas pequeñas y medianas#

Las firmas del mid-market no auditan Bankias ni Pescanovas, pero sí versiones a escala de los mismos riesgos: estimaciones de deterioro discutibles, refinanciaciones encadenadas, existencias dispersas, factoring mal clasificado, contratos urgentes sin soporte y partes vinculadas opacas. Lo que sigue son recomendaciones de buena práctica, no obligaciones legales. Seis aprendizajes operativos:

1. Enfoque por riesgo, no por copia del año anterior. Las NIA-ES 315 y 330 exigen valorar los riesgos en cada encargo: valoración, existencia y control interno son ejes independientes que conviene reevaluar en cada cliente.
2. Circularizaciones y recuentos. Son procedimientos que suelen ser eficaces para detectar lo que no está. Sustituirlos por analíticos exige una justificación sólida.
3. Documentar el juicio. Cada estimación material con su memo: rango razonable, indicadores de sesgo considerados y conclusión. Sin ese rastro, la opinión es indefendible después.
4. Búsqueda activa de partes vinculadas. No basta con la lista que entrega la dirección: registros mercantiles, actas y fuentes externas.
5. Una reunión anual con el responsable de cumplimiento antes de planificar, para compartir el mapa de riesgos penales y el alcance previsto de las pruebas de controles. No para certificar nada, sino para evitar duplicidades y ceguera mutua.
6. Una sola matriz de controles con dos lecturas: marcar qué controles relevantes para los estados financieros son también controles de prevención penal.

El siguiente paso#

Estos casos sirven para ilustrar riesgos, no para juzgar a auditores: en Bankia no hubo condena, y en Pescanova el auditor externo y la firma auditora fueron absueltos por el Tribunal Supremo. Para profundizar:

• Listado de NIA-ES vigentes en 2026 — las normas citadas, con la fecha de su texto vigente.
• NIA-ES 240 y NIA-ES 550 — las fichas de fraude y partes vinculadas.
• Informe de auditoría: estructura y tipos de opinión — cómo se refleja en la opinión una limitación al alcance, y cómo se trata la incertidumbre sobre la empresa en funcionamiento.
• Caso Enron: qué cambió en la auditoría mundial — el antecedente internacional de estas lecciones.
• Ley de Auditoría de Cuentas (Ley 22/2015) — el marco legal del artículo 263 LSC y de la Ley 22/2015.

Fuentes oficiales y normativa consultada#

Resoluciones judiciales

• Bankia. Audiencia Nacional, sentencia 13/2020, de 29 de septiembre de 2020 (ECLI:ES:AN:2020:2347). Tribunal Supremo, sentencia 839/2022, de 24 de octubre de 2022. Nota del CGPJ sobre la absolución de los 34 acusados (enlace). Nota del CGPJ sobre las preferentes y el alcance de la investigación (enlace).
• Pescanova. Audiencia Nacional, sentencia 14/2020, de 6 de octubre de 2020 (ECLI:ES:AN:2020:2351): nota del CGPJ (enlace). Tribunal Supremo, sentencia 89/2023, de 10 de febrero de 2023 (ECLI:ES:TS:2023:441): nota del CGPJ (enlace).
• Koldo. Tribunal Supremo, sentencia 418/2026, de 22 de junio de 2026, causa especial 20775/2020 (ECLI:ES:TS:2026:2553; texto íntegro pendiente de cotejo en CENDOJ): nota del CGPJ (enlace) y nota resumen de la sentencia (documento). Pieza de obra pública, remitida a la Audiencia Nacional: nota del CGPJ de 2 de febrero de 2026 (enlace).
• Estado procesal posterior (caso Koldo). Según la prensa del 14 de octubre de 2026 (Diario de Pontevedra), el Tribunal Supremo desestimó los incidentes de nulidad; la prensa consultada no informa de que se haya presentado amparo ante el Tribunal Constitucional.

Normativa y documentos oficiales

• Código Penal, artículos 31 bis y 31 quinquies (BOE, texto consolidado).
• Ley 9/2017, de Contratos del Sector Público, artículos 119 y 120 (BOE, texto consolidado).
• Órdenes TMA/263/2020 (BOE-A-2020-3947) y TMA/292/2020 (BOE-A-2020-4128), que regularon las adquisiciones de mascarillas.
• Resolución de la Comisión Mixta para las Relaciones con el Tribunal de Cuentas sobre el informe 1.489, BOE-A-2024-16164.
• ICAC, compendio de NIA-ES y NIGC-ES 2025, versión navegable de las normas citadas.