Bases operativas de un programa penal empresarial eficaz

Un criminal compliance program no consiste en reunir políticas, códigos y declaraciones de buena conducta. Su finalidad es organizar a la persona jurídica para prevenir delitos, detectar oportunamente las desviaciones y responder frente a los incumplimientos. Para alcanzar ese propósito, el programa debe articular conocimientos jurídicos, contables, administrativos, laborales, tecnológicos y operativos. La prevención comienza antes de redactar cualquier manual. Primero debe conocerse la empresa: su estructura, actividades, cadenas de mando, facultades de decisión, movimientos financieros y relaciones con terceros. Después será posible diagnosticar los riesgos, establecer controles y asignar responsabilidades.

Esta secuencia impide incurrir en el denominado compliance de papel. Un modelo copiado de otra organización puede contener todos los apartados formalmente esperados y, al mismo tiempo, ser incapaz de controlar los peligros propios de la empresa que pretende proteger.

II. Examen de organización y diagnóstico de riesgos

El primer componente es el examen de organización. Consiste en una auditoría dirigida a revelar cómo funciona realmente la persona jurídica. Debe identificar las responsabilidades de cada área, la división del trabajo, los niveles de autorización y las cadenas de reporte. Su resultado será un informe organizacional acompañado por un catálogo preliminar de riesgos. No basta con revisar estatutos y organigramas. Deben analizarse las prácticas cotidianas, porque la distribución formal de competencias puede diferir considerablemente de la manera en que se toman las decisiones.

El segundo componente es el diagnóstico de riesgos. Cada peligro identificado debe explicarse atendiendo a su origen, probabilidad, impacto y factores generadores. Por ejemplo, el riesgo de corrupción no se controla únicamente mediante una prohibición general; exige revisar intermediarios, regalos, pagos extraordinarios, relaciones con autoridades y procedimientos de contratación.

El diagnóstico transforma el catálogo abstracto de delitos en un mapa relacionado con operaciones concretas.

III. Eliminación, reducción y protocolización

El tercer componente es la eliminación de riesgos. La expresión debe entenderse de manera razonable: algunos peligros pueden suprimirse, pero otros solamente pueden reducirse hasta alcanzar un nivel tolerable. La actividad empresarial genera riesgos que no siempre pueden desaparecer sin impedir la operación.

La organización deberá decidir qué actividades deben prohibirse, cuáles requieren autorizaciones reforzadas y cuáles pueden continuar bajo controles ordinarios. Los riesgos más graves pueden justificar la segregación de funciones, la revisión independiente o incluso la renuncia a determinadas operaciones.

El cuarto componente es la protocolización. Las medidas preventivas deben describirse en manuales y procedimientos sistemáticos. Cada protocolo debe precisar quién ejecuta el control, en qué momento, con qué información y mediante cuál evidencia.

La protocolización convierte la diligencia en una actuación verificable. Sin instrucciones claras, la prevención depende de decisiones improvisadas; sin registros, resulta difícil acreditar posteriormente que el control fue aplicado.

IV. Capacitación, evaluación y supervisión

El quinto componente es la capacitación. Los procedimientos deben ser conocidos por quienes participan en las actividades expuestas. La formación deberá adaptarse a las funciones: no requiere el mismo contenido un integrante del consejo de administración que una persona encargada de pagos, ventas o contratación.

El sexto componente es la evaluación. La empresa debe medir si los controles producen resultados. No basta contabilizar cursos o documentos firmados. Deben utilizarse indicadores capaces de mostrar alertas recibidas, operaciones rechazadas, deficiencias corregidas, tiempos de respuesta y reincidencias. El séptimo componente es la supervisión constante. Mientras la evaluación examina resultados, la supervisión verifica el funcionamiento cotidiano. Comprende revisiones, auditorías, monitoreo de operaciones y seguimiento de las medidas correctivas.

Capacitación, evaluación y supervisión forman un ciclo. La empresa comunica las reglas, observa su aplicación, mide su eficacia y corrige las debilidades advertidas.

V. Denuncias, canal, consecuencias e incentivos

El octavo componente es la recepción de denuncias. El programa debe disponer de un procedimiento seguro para informar infracciones, negligencias y riesgos. El canal de denuncias debe ser accesible, confidencial y capaz de proteger frente a represalias.

Recibir una denuncia no es suficiente. Deben existir reglas para clasificarla, preservar evidencia, determinar su competencia e iniciar una investigación interna cuando corresponda. También será necesario establecer criterios para comunicar hechos posiblemente delictivos a las autoridades. El noveno componente comprende la sanción y premiación. Los incumplimientos deben producir consecuencias proporcionales y consistentes, con respeto a las garantías aplicables. La tolerancia selectiva frente a directivos destruye la credibilidad del sistema.

La premiación no debe confundirse con recompensar la cantidad de denuncias. Puede materializarse mediante el reconocimiento de conductas diligentes, la valoración del cumplimiento en promociones y la incorporación de criterios de integridad en la evaluación del desempeño.

VI. Actualización y oficial de cumplimiento

El décimo componente es la actualización periódica. El programa debe revisarse cuando cambien la estructura, los mercados, la legislación, la tecnología o las actividades de la empresa. También debe modificarse cuando una infracción revele que los controles eran insuficientes. El undécimo componente es el oficial de cumplimiento. Esta persona —o el órgano colegiado correspondiente— debe vigilar la aplicación, revisión y mejora del sistema. Su eficacia depende de contar con autonomía, recursos, acceso a información y comunicación directa con el órgano de administración.

El oficial no sustituye a los administradores ni concentra toda la responsabilidad preventiva. Puede ser de conformación orgánica al interior de la entidad, o bien, como externo, siendo esta última modalidad la más recomendable para su completa independencia. Su función es coordinar, supervisar y comunicar. La alta dirección conserva el deber de aprobar el modelo, asignar recursos y atender las advertencias relevantes.

VII. Las tres dimensiones de la prevención penal

Un programa integral debe actuar en tres direcciones. La primera es evitar delitos cometidos por la propia organización o atribuibles a ella. Aquí el compliance pretende demostrar que existía una estructura de control capaz de impedir o reducir significativamente el riesgo.

La segunda es prevenir delitos cometidos por personas físicas dentro de la entidad. Comprende conductas realizadas por administradores, directivos, trabajadores o colaboradores que utilizan recursos corporativos o actúan dentro de procesos empresariales. La tercera dimensión protege a la empresa frente a delitos cometidos contra ella. Fraudes internos, apropiaciones, ataques informáticos, falsificación de documentos o engaños de terceros también deben formar parte del mapa de riesgos.

Estas dimensiones demuestran que el compliance no es solamente una defensa frente a la responsabilidad penal corporativa. Es un sistema de protección de la organización, de sus integrantes y de quienes se relacionan con ella.

VIII. Correspondencia con el régimen jurídico mexicano

El Código Nacional de Procedimientos Penales (CNPP) establece que las personas jurídicas pueden ser penalmente responsables por delitos cometidos a su nombre, por su cuenta, en su beneficio o mediante los recursos que proporcionen, cuando exista inobservancia del debido control en su organización. También reconoce la autonomía de esa responsabilidad respecto de la correspondiente a sus representantes o administradores. 

El propio CNPP limita la responsabilidad corporativa a los delitos incluidos en los catálogos previstos por la legislación penal federal y de las entidades federativas. En el ámbito federal, el artículo 11 Bis del Código Penal Federal (CPF) contiene un catálogo que comprende, entre otros, terrorismo, tráfico de influencia, cohecho, fraude, operaciones con recursos de procedencia ilícita, delitos ambientales y determinadas infracciones reguladas en leyes especiales.  El problema es que el CNPP utiliza la expresión “debido control” sin establecer en ese precepto una descripción sistemática de todos sus componentes. La legislación mexicana reconoce la relevancia penal de la organización preventiva, pero no proporciona una arquitectura penal tan detallada como la correspondiente al modelo español.

IX. La política de integridad como referencia complementaria

La Ley General de Responsabilidades Administrativas (LGRA) aporta parámetros próximos al compliance, aunque su artículo 25 se ubica en el régimen de responsabilidad administrativa de las personas morales. La política de integridad prevista por la LGRA comprende manuales de organización, códigos de conducta, sistemas de control, vigilancia y auditoría, mecanismos de denuncia, procesos disciplinarios, capacitación, políticas de recursos humanos y transparencia de intereses. 

Estos elementos coinciden ampliamente con los componentes del compliance penal. Sin embargo, no debe confundirse su naturaleza. La política de integridad de la LGRA puede fortalecer la prevención corporativa, pero no reemplaza el análisis de los presupuestos penales establecidos en el CNPP y el CPF. La solución práctica consiste en integrar ambos ámbitos: construir un sistema que responda al debido control penal y, simultáneamente, atienda los deberes administrativos, laborales, fiscales, ambientales y operativos relacionados con la actividad.

X. La referencia funcional española

Ante la falta de una regulación mexicana que enumere exhaustivamente los requisitos del debido control penal, resulta conveniente seguir funcionalmente el modelo español, adaptándolo a la estructura jurídica y empresarial mexicana. La Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal (CPE) exige que los modelos identifiquen actividades de riesgo, establezcan protocolos de decisión, dispongan controles financieros, impongan la obligación de informar, incorporen un sistema disciplinario y sean verificados periódicamente. También requiere que la supervisión se confíe a un órgano con poderes autónomos de iniciativa y control. 

La experiencia española ofrece, así, una pauta ordenada para interpretar operativamente el debido control. No debe copiarse de manera automática ni afirmarse que sus efectos exoneradores se trasladan directamente a México. Su utilidad reside en proporcionar una metodología para documentar organización, prevención, vigilancia, denuncia, disciplina y actualización. Mientras México no desarrolle legislativamente los componentes del debido control penal con mayor precisión, el funcionamiento español puede emplearse como referencia técnica, siempre subordinada al CNPP, al CPF y a las particularidades de la empresa mexicana.

XI. Más allá del catálogo penal

Aunque la responsabilidad penal de la persona jurídica se encuentra limitada a los delitos catalogados, el programa no debería reducirse exclusivamente a ellos. La limitación legal determina cuándo puede imponerse una consecuencia penal; no define todos los riesgos que la empresa debe gobernar. 

Un modelo integral debe contemplar conductas delictivas no atribuibles directamente a la persona jurídica, delitos cometidos contra ella e infracciones laborales, sanitarias, ambientales, operativas o administrativas.Esta amplitud evita la fragmentación del control. Un riesgo laboral puede evolucionar hacia una contingencia penal; una deficiencia contable puede ocultar corrupción; una falla informática puede facilitar fraude o pérdida de información.

XII. Conclusión

Los componentes descritos forman una secuencia lógica: conocer la organización, diagnosticar riesgos, reducirlos, protocolizar controles, capacitar, evaluar, supervisar, recibir denuncias, aplicar consecuencias, actualizar el sistema y encomendar su coordinación a un oficial de cumplimiento.

México reconoce la responsabilidad penal autónoma de las personas jurídicas y la importancia del debido control, pero todavía presenta una regulación fragmentaria sobre el contenido operativo del programa. La LGRA aporta elementos complementarios, mientras el modelo español ofrece una referencia funcional más estructurada.