Odpowiedzialność karna spółki, podobnie jak odpowiedzialność osoby fizycznej, opiera się na winie. Winą spółki może być powierzenie zarządzania jej majątkiem niewłaściwej osobie („wina w wyborze”) albo brak nadzoru nad toczącymi się procesami (wina w nadzorze). W rozumieniu ustawy winą jest również dopuszczenie do niewłaściwej organizacji wewnętrznej przedsiębiorstwa, która sprzyjała popełnieniu przestępstwa.

Nieprawidłowości w organizacji spółki, które ułatwiają lub umożliwiają popełnienie przestępstwa, to nic innego, jak brak wdrożenia niezbędnych elementów systemu compliance. Definiując w ten sposób winę spółki, projekt ustawy pośrednio zobowiązuje przedsiębiorców do wdrożenia takich procedur.

Organizacja powinna posiadać zasady postępowania w przypadku zagrożenia popełnieniem przestępstwa, jak również zasady reagowania na incydenty już wykryte. Taki zbiór zasad w praktyce stanowią zazwyczaj kodeks etyczny lub procedury przeciwdziałania nadużyciom. W szerszym rozumieniu, częścią takich procedur jest program szkoleniowy dostosowany do grup pracowników oraz zasady działania w razie wykrycia nieprawidłowości.

Ustawa wymusza zdefiniowanie zakresów obowiązków organów, członków organów i pracowników spółki. Celem wprowadzenia takiego systemu jest ustrukturyzowanie zadań, kompetencji i odpowiedzialności w firmie, ale również w razie konieczności wskazanie osób odpowiedzialnych za nieprawidłowości.

Trzecim elementem zarządzania zgodnością w firmie ma być wyznaczenie osoby lub komórki organizacyjnej nadzorującej przestrzeganie przepisów i zasad regulujących jej działalność. Firmy, które zatrudniają co najmniej 50 pracowników i osiągają roczny obrót netto w wysokości co najmniej 10,000,000 EUR, będą musiały stworzyć lub wyznaczyć w swojej organizacji nowe stanowisko pracy – Compliance Officera lub w razie potrzeby dział Compliance. 

Projekt nowej ustawy przewiduje również odpowiedzialność podmiotu zbiorowego za działania kontrahentów. Spółka może odpowiadać za przestępstwo, które popełni pracownik jej kontrahenta, jeżeli spółka odniosła z tego tytułu korzyść. Spółka odpowie za to przestępstwo, jeśli można było z łatwością dowiedzieć się, że kontrahent nie wdrożył wymienionych wyżej elementów systemu compliance. Oznacza to, że firmy pozostające w stałych relacjach gospodarczych (np. stali dostawcy), będą mogły (a nawet będą zobowiązane) badać wzajemnie realizację obowiązków z zakresu compliance.