Cuando la persona moral responde penalmente

I. La incorporación de la empresa al ámbito penal

Durante décadas, el derecho penal se estructuró sobre la premisa de que únicamente las personas físicas podían delinquir. La voluntad, la culpabilidad y la capacidad de comprender el carácter ilícito de una conducta se consideraban cualidades inherentes al individuo e incompatibles con la naturaleza artificial de una sociedad mercantil.

Bajo esa concepción, las empresas podían enfrentar consecuencias civiles, administrativas, fiscales o patrimoniales, pero la responsabilidad penal correspondía exclusivamente a las personas que hubieran intervenido materialmente en el hecho. La sociedad era considerada el escenario, el instrumento o, en algunos casos, la beneficiaria de la conducta, mas no un sujeto directamente expuesto a consecuencias jurídicas penales.

La evolución del sistema de justicia penal mexicano modificó ese paradigma. Actualmente, una persona moral puede enfrentar consecuencias penales por determinados delitos cometidos en su nombre, por su cuenta, en su beneficio o mediante la utilización de sus recursos y estructuras. La empresa deja así de ser un elemento circunstancial de la conducta y puede convertirse en destinataria directa de la reacción del Estado.

Este cambio obliga a los órganos de administración, representantes legales, abogados internos y responsables de cumplimiento a comprender que la prevención penal empresarial ya no constituye una práctica complementaria. Se trata de una necesidad jurídica vinculada con la continuidad operativa, la reputación corporativa y la protección del patrimonio social.

II. El régimen de imputación previsto en el artículo 11 Bis

El artículo 11 Bis del Código Penal Federal (CPF) constituye uno de los fundamentos normativos del régimen aplicable a las personas morales, conforme a su contenido, pueden imponerse consecuencias jurídicas cuando determinados delitos sean cometidos utilizando los medios de la empresa, con conocimiento de sus órganos de administración o representación, o cuando dichos órganos hayan tolerado su realización.

La disposición no crea, por sí misma, un nuevo tipo penal. Su función consiste en establecer un régimen especial de imputación mediante el cual un delito previsto en la legislación puede ser jurídicamente vinculado con la persona moral. La persona física responde conforme a las reglas ordinarias de autoría y participación, mientras que la empresa responde cuando el hecho presenta una conexión relevante con su estructura organizacional.

Esa conexión puede manifestarse a través del empleo de recursos corporativos, la obtención de un beneficio, la intervención de personas con funciones directivas o la tolerancia de una conducta ilícita. Por ello, la responsabilidad empresarial no debe entenderse como una transferencia automática de la responsabilidad individual.

No basta con demostrar que un empleado, administrador o representante cometió un delito. Resulta necesario examinar si la conducta se produjo dentro del ámbito de actividad de la empresa y si existieron circunstancias que permitan atribuir el hecho a su organización, sus controles o sus órganos de dirección.

Un aspecto especialmente relevante consiste en que la actuación contra la persona moral no necesariamente depende de la identificación plena de la persona física responsable. De acuerdo con el documento base, puede resultar suficiente acreditar que el hecho delictivo ocurrió en el contexto empresarial y que existió conocimiento o tolerancia por parte de quienes ejercían funciones de dirección.

Esta característica incrementa la importancia de la trazabilidad documental. Las autorizaciones, los registros de decisión, los controles internos y los mecanismos de supervisión pueden convertirse en elementos determinantes para establecer si la empresa previno, toleró o facilitó la conducta investigada.

III. Responsabilidad corporativa y responsabilidad individual

La responsabilidad de la persona moral y la responsabilidad de sus administradores, directores o representantes pertenecen a planos jurídicamente diferenciados. Ambas pueden coexistir dentro de una misma investigación, pero cada una requiere el análisis de presupuestos propios.

La empresa puede responder por deficiencias organizacionales, por la utilización de sus medios, por la tolerancia de sus órganos o por el beneficio derivado del hecho. La persona física, en cambio, responde por su intervención concreta como autora, coautora o partícipe, conforme a las reglas generales del CPF.

Esta distinción produce una consecuencia práctica de particular importancia: un programa de compliance eficaz puede contribuir a excluir o atenuar la responsabilidad de la persona moral, pero no protege automáticamente al directivo que ordenó, autorizó o ejecutó la conducta ilícita.

El administrador tampoco puede invocar la existencia abstracta de un código de ética como defensa personal cuando actuó en contra de sus disposiciones. La eficacia del sistema de cumplimiento respecto de la empresa no elimina la responsabilidad individual de quien utilizó su posición para facilitar, encubrir o tolerar una actuación delictiva.

Por esta razón, los programas corporativos deben delimitar con precisión las facultades de decisión, las líneas de autorización y las responsabilidades vinculadas con cada proceso. La indefinición de competencias no solo genera problemas administrativos; también dificulta la reconstrucción de los hechos y aumenta la exposición jurídica de la organización.

IV. El compliance como instrumento preventivo y probatorio

Un programa de compliance penal puede cumplir una función preventiva y, ante una investigación, convertirse en un elemento de defensa. Sin embargo, su eficacia no deriva de la simple existencia de manuales, políticas o declaraciones institucionales.

La autoridad valorará si el sistema fue diseñado conforme a los riesgos reales de la empresa, si se encontraba vigente antes del hecho investigado y si funcionaba de manera efectiva. Un programa creado únicamente después de una contingencia puede demostrar voluntad de remediación, pero no acredita necesariamente que existieran controles preventivos cuando ocurrió la conducta.

El primer elemento relevante es la existencia de un órgano o responsable de cumplimiento con autonomía real. La independencia funcional, el acceso a los órganos directivos y la disponibilidad de recursos son condiciones indispensables para que el área pueda supervisar las actividades que representan mayor exposición.

El segundo componente es un mapa de riesgos penales propio de la organización. No resulta suficiente utilizar una plantilla genérica. El diagnóstico debe considerar el sector económico, el modelo de negocio, las operaciones, los intermediarios, las regiones geográficas, los clientes y los proveedores.

A partir de ese análisis deben establecerse políticas y procedimientos específicos. Las prohibiciones generales carecen de utilidad si la empresa no determina quién autoriza una operación, qué documentos deben integrarse, cuáles son los controles aplicables y cómo deben atenderse las señales de alerta.

V. Denuncia, capacitación, auditoría y remediación

Los canales internos de denuncia representan otro componente esencial. Para ser efectivos deben garantizar confidencialidad, accesibilidad y protección frente a represalias. Un canal que existe formalmente, pero que no genera investigaciones o que produce temor entre los empleados, difícilmente acreditará una cultura genuina de cumplimiento.

La capacitación también debe ser periódica, documentada y diferenciada. Las áreas financieras, comerciales, operativas y directivas no enfrentan los mismos riesgos. En consecuencia, los contenidos deben adaptarse a las funciones y al nivel de exposición de cada grupo.

La empresa debe conservar evidencia de las sesiones impartidas, los materiales utilizados, la asistencia, las evaluaciones y las medidas adoptadas frente a las deficiencias detectadas. La capacitación no debe reducirse a la firma de una constancia; debe traducirse en capacidades concretas para reconocer y reportar riesgos.

Asimismo, el programa requiere mecanismos de monitoreo, auditoría y actualización. Los controles pierden eficacia cuando cambian las operaciones o aparecen nuevas modalidades de riesgo. La revisión periódica permite detectar fallas y corregirlas antes de que se conviertan en contingencias penales.

La evidencia de aplicación resulta decisiva. Las investigaciones internas concluidas, las sanciones impuestas, las remediaciones documentadas y las modificaciones de procesos demuestran que el sistema tiene consecuencias reales. En cambio, un programa que nunca genera medidas correctivas puede ser interpretado como una estructura meramente ornamental.

VI. El referente comparado y sus límites

La experiencia internacional ha influido en la construcción de programas de integridad empresarial. La Foreign Corrupt Practices Act de los Estados Unidos ha aportado criterios relacionados con los controles internos, la documentación de operaciones y la debida diligencia sobre terceros. Por su parte, la UK Bribery Act ha contribuido a desarrollar la noción de “procedimientos adecuados” como mecanismo de defensa frente a determinados actos de soborno cometidos por personas asociadas con una organización.

Estos referentes pueden enriquecer el diseño de los programas mexicanos, pero no sustituyen el régimen jurídico nacional. La responsabilidad penal de una empresa en México debe analizarse conforme al CPF y a las disposiciones aplicables al caso concreto.

La adopción acrítica de modelos extranjeros puede producir programas sofisticados en apariencia, pero desconectados de la operación y de los riesgos de la empresa. El cumplimiento debe responder a la realidad organizacional, no a una reproducción documental de estándares ajenos.

VII. Del cumplimiento formal a la defensa efectiva

La pregunta esencial para un consejo de administración no consiste en determinar si la empresa posee un código de ética, sino en establecer si su sistema de cumplimiento resistiría el escrutinio de una autoridad investigadora. Esto exige verificar si los riesgos se encuentran actualizados, si las denuncias se investigan, si las decisiones relevantes dejan evidencia y si las políticas producen consecuencias. También requiere evaluar si el órgano de cumplimiento cuenta con autonomía o si su intervención puede ser neutralizada por las áreas de negocio.

Un diagnóstico honesto permite medir la distancia entre el programa formal y la práctica cotidiana. Cuando esa distancia es significativa, la empresa no dispone de una defensa efectiva, sino de documentos sin aplicación.

La responsabilidad penal empresarial obliga, en definitiva, a superar el cumplimiento ornamental. El compliance debe integrarse en la toma de decisiones, en la supervisión directiva y en la operación diaria. Solo entonces dejará de ser papel y se convertirá en una auténtica estructura de prevención, control y protección jurídica.