Cómo construir un programa de cumplimiento capaz de resistir el escrutinio penal

I. El compliance como estructura de defensa

La existencia de un programa de compliance penal puede representar una diferencia determinante para una empresa sometida al escrutinio de una autoridad investigadora. Sin embargo, no todo documento denominado “programa de cumplimiento” posee la misma eficacia jurídica. La verdadera cuestión no consiste en determinar si la organización cuenta con un código, un manual o una política interna, sino en establecer si el sistema reúne los elementos necesarios para prevenir delitos, detectar incumplimientos y demostrar que la empresa ejerció un control efectivo sobre sus riesgos.

El análisis comparado entre México y España permite advertir dos aproximaciones distintas. En el modelo español, la legislación enumera expresamente los componentes que debe contener el modelo de organización y gestión. En el mexicano, la norma no presenta un catálogo igualmente detallado, por lo que la eficacia del compliance debe construirse mediante criterios de razonabilidad, práctica institucional, política criminal y evidencia de aplicación.

La diferencia no es menor. Cuando la ley establece una lista precisa, la empresa puede diseñar su programa conforme a requisitos identificables. Cuando el marco normativo utiliza criterios abiertos, la defensa exige argumentar por qué los controles adoptados eran adecuados para la naturaleza, dimensión y exposición particular de la organización.

II. Dos modelos frente a una misma necesidad

El artículo 31 bis, apartado 5, del Código Penal español (CPE) contiene una enumeración de los requisitos que debe cumplir un modelo de organización y gestión destinado a prevenir delitos dentro de una empresa. La norma exige identificar las actividades en cuyo ámbito puedan cometerse los ilícitos que deben prevenirse; establecer protocolos que concreten el proceso de formación de la voluntad corporativa; disponer de modelos adecuados para la administración de recursos financieros; imponer la obligación de informar sobre riesgos e incumplimientos; establecer un sistema disciplinario y verificar periódicamente el funcionamiento del modelo.

En México, el artículo 11 Bis del Código Penal Federal (CPF) no contiene una relación igualmente pormenorizada. Su estructura permite considerar la existencia y eficacia de los mecanismos de control, pero no define en una lista cerrada todos los elementos que debe reunir un programa de compliance para operar como defensa.

Por esa razón, la valoración mexicana se desarrolla mediante criterios más abiertos. La autoridad deberá analizar si el modelo era razonable, si respondía a los riesgos concretos de la actividad y si existía evidencia de que fue aplicado antes del hecho investigado.

Mientras el CPE proporciona una arquitectura normativa expresa, el CPF exige construir una explicación jurídica y probatoria. En España, la empresa debe acreditar que su modelo contiene los elementos previstos legalmente. En México, además de demostrar la existencia de controles, debe argumentar por qué dichos controles eran suficientes, idóneos y funcionales dentro de su contexto corporativo.

III. Identificación de las actividades de riesgo

El primer requisito del modelo español consiste en identificar las actividades en cuyo ámbito puedan cometerse los delitos que deben prevenirse. Este ejercicio constituye el punto de partida del compliance penal, pues no es posible establecer controles eficaces cuando la organización desconoce dónde se concentra su exposición.

La identificación de riesgos no debe limitarse a formular una relación abstracta de delitos. Debe vincular los riesgos con procesos empresariales específicos, áreas de decisión, movimientos financieros, autorizaciones y actividades operativas. El objetivo es determinar en qué momento una conducta irregular podría surgir, quién tendría capacidad para ejecutarla y qué controles deberían impedirla o detectarla.

Desde la perspectiva mexicana, aunque el CPF no enumera expresamente este requisito con el mismo nivel de detalle, un programa que no parte de una identificación razonada de riesgos difícilmente podrá presentarse como una defensa convincente. La autoridad necesitará comprender por qué la empresa seleccionó determinados controles y cuál era la relación entre estos y las actividades realmente desarrolladas.

Un modelo genérico, reproducido sin considerar las características de la organización, puede satisfacer una necesidad documental, pero no demuestra una política de prevención efectiva. El programa debe corresponder a la empresa concreta, no a una representación abstracta de cualquier sociedad mercantil.

IV. Protocolos para la formación de la voluntad empresarial

El CPE exige que el modelo establezca protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica. Esta exigencia se relaciona directamente con la forma en que se toman, autorizan y ejecutan las decisiones corporativas.

Para abogados y contadores de empresa, este requisito posee especial relevancia. La defensa de una organización puede depender de la posibilidad de reconstruir quién propuso una operación, qué área la revisó, quién autorizó los recursos y cuáles fueron los controles aplicados.

La empresa debe evitar que las decisiones sensibles dependan exclusivamente de instrucciones informales o autorizaciones verbales imposibles de verificar. La trazabilidad permite demostrar que existían niveles de revisión y que la organización no concedía facultades ilimitadas a una sola persona.

En México, estos protocolos contribuyen a explicar que la empresa adoptó medidas razonables para organizar sus decisiones y reducir la posibilidad de conductas ilícitas. No se trata únicamente de ordenar administrativamente la operación, sino de producir evidencia capaz de mostrar que la voluntad corporativa se formaba mediante procedimientos controlados.

V. Gestión de los recursos financieros

El modelo español también exige mecanismos adecuados para la gestión de los recursos financieros. Esta previsión parte de una realidad elemental: numerosos delitos empresariales requieren la disposición, transferencia, ocultamiento o utilización irregular de dinero.

Los controles financieros deben permitir identificar quién solicita recursos, quién autoriza su disposición, qué documentación respalda la operación y cómo se verifica su destino. La contabilidad, en este contexto, no es solamente una herramienta de registro, sino un componente de prevención penal.

Un programa de compliance que excluye a las áreas financieras pierde una parte esencial de su capacidad defensiva. Los controles presupuestarios, la separación de funciones y la documentación de operaciones permiten detectar anomalías y demostrar que la empresa no facilitaba movimientos sin justificación.

Aunque el CPF no formula este requisito mediante una enumeración equivalente, la práctica mexicana valorará necesariamente la consistencia entre el programa y los controles económicos de la organización. Una política de cumplimiento desconectada de los flujos financieros puede resultar insuficiente frente a una investigación.

VI. Deber de informar y organismo de vigilancia

El CPE impone la obligación de comunicar posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento del modelo. Este órgano, frecuentemente identificado como oficial de cumplimiento u órgano de compliance, debe contar con poderes autónomos de iniciativa y control.

La autonomía es un elemento esencial. Un responsable subordinado a las áreas que debe supervisar puede carecer de capacidad para investigar, cuestionar decisiones o reportar incumplimientos. La independencia debe reflejarse en sus facultades, acceso a información y posibilidad de comunicarse con los órganos superiores de la empresa.

En México no existe una exigencia legal equivalente formulada de manera expresa. No obstante, la práctica recomendable se dirige hacia el mismo resultado: un responsable con independencia real frente a las áreas de negocio.

La autoridad mexicana podrá valorar si el encargado tenía capacidad efectiva para intervenir o si su función era únicamente nominal. La existencia de un nombramiento no demuestra, por sí sola, autonomía. Debe acreditarse que el órgano podía recibir informes, iniciar revisiones y promover acciones correctivas.

VII. Sistema disciplinario y consecuencias internas

Un programa serio debe establecer consecuencias frente al incumplimiento. El sistema disciplinario exigido por el CPE demuestra que las políticas internas no son simples recomendaciones, sino reglas cuya inobservancia produce efectos.

La disciplina corporativa debe aplicarse de manera consistente, sin importar la posición jerárquica del infractor. Cuando la empresa sanciona únicamente a empleados de menor nivel, pero tolera incumplimientos cometidos por directivos o personal estratégico, transmite la idea de que el programa carece de aplicación uniforme.

En México, las sanciones internas documentadas constituyen una evidencia particularmente relevante. Permiten demostrar que la organización no se limitaba a recibir denuncias, sino que investigaba los hechos y adoptaba medidas frente a las irregularidades comprobadas.

La ausencia total de sanciones no debe interpretarse automáticamente como señal de cumplimiento perfecto. También puede indicar que los canales de denuncia no funcionaban, que las investigaciones no se realizaban o que la dirección evitaba aplicar consecuencias.

VIII. Implementación anterior al hecho investigado

Ni en México ni en España basta con disponer de un programa por escrito. El modelo debe encontrarse efectivamente implementado y operar antes del hecho que da origen a la investigación.

La jurisprudencia española ha insistido en que un documento elaborado como reacción posterior no acredita una política preventiva preexistente. La implementación tardía puede contribuir a corregir deficiencias, pero no demuestra que la empresa intentó impedir la conducta cuando todavía era posible hacerlo.

En México, la valoración sigue una lógica similar. Las capacitaciones impartidas, las denuncias atendidas, las investigaciones concluidas y las sanciones internas documentadas permiten acreditar que el programa funcionaba en la práctica.

La fecha de aprobación del manual constituye solamente un punto de partida. La verdadera evidencia se encuentra en su aplicación cotidiana. Un modelo defensivo requiere continuidad, registros verificables y capacidad para mostrar que los controles no fueron creados únicamente para responder a la autoridad.

IX. Verificación y actualización periódica

El CPE exige verificar periódicamente el modelo y modificarlo cuando se presenten infracciones relevantes o cambios en la organización. Esta revisión evita que el compliance se convierta en una estructura estática.

Las actividades empresariales evolucionan. Cambian los procesos, los responsables, los recursos y las formas de decisión. Un programa que no se actualiza puede dejar de responder a los riesgos reales de la empresa.

La verificación debe examinar tanto el diseño como la operación. No basta con revisar la redacción de las políticas; es necesario evaluar si los controles se aplican, si los responsables comprenden sus obligaciones y si las irregularidades detectadas producen modificaciones.

En México, este proceso aporta evidencia de diligencia organizacional. Una empresa que revisa y corrige su modelo puede argumentar con mayor solidez que su programa era dinámico y que no permanecía indiferente frente a las deficiencias identificadas.

X. Diseñar para el estándar más exigente

La comparación conduce a una recomendación práctica: utilizar el artículo 31 bis del CPE como referencia estructural y adaptar sus elementos al lenguaje, operación y práctica institucional mexicana.

Este enfoque no significa trasladar automáticamente el derecho español al sistema mexicano. El CPF continúa siendo el marco normativo aplicable a la responsabilidad penal de las personas morales en México. Sin embargo, la enumeración española ofrece una guía útil para evitar omisiones en el diseño.

Un programa construido sobre el estándar más detallado puede presentar mayores posibilidades de resistir el escrutinio de ambas jurisdicciones. La empresa contará con una identificación de riesgos, protocolos de decisión, controles financieros, mecanismos de información, supervisión autónoma, disciplina interna y revisiones periódicas.

La defensa corporativa no se construye mediante la acumulación de documentos, sino mediante la coherencia entre riesgos, controles y evidencia. En España, esa coherencia debe corresponder con los requisitos expresos del CPE. En México, debe traducirse en una argumentación capaz de demostrar, bajo el CPF, que el programa era serio, previo, autónomo y efectivamente aplicado.

El mejor compliance no es el que contiene más páginas, sino el que permite acreditar que la empresa conocía sus riesgos, organizó sus decisiones y reaccionó frente a los incumplimientos. Solo entonces el programa deja de ser una declaración institucional y se convierte en una auténtica defensa jurídica.