El cumplimiento corporativo como sistema de defensa

La empresa también puede responder: del acto individual al defecto de organización

Durante buena parte de la tradición penal mexicana prevaleció la idea expresada mediante el aforismo societas delinquere non potest: la persona moral, al carecer de voluntad física propia, no podía delinquir en el mismo sentido que una persona natural. Aunque el derecho mexicano ya conocía consecuencias jurídicas aplicables a sociedades vinculadas con determinadas conductas delictivas, el cambio estructural se consolidó con la reforma de 2016 al Código Nacional de Procedimientos Penales, que estableció un procedimiento específico para las personas jurídicas y reconoció expresamente su responsabilidad penal autónoma.

Actualmente, el Título X, Capítulo II, del Código Nacional de Procedimientos Penales (CNPP), particularmente sus artículos 421 a 425, contiene el núcleo procesal de este régimen. El artículo 421 dispone que las personas jurídicas podrán responder penalmente por delitos cometidos a su nombre, por su cuenta, en su beneficio o a través de los medios que proporcionen, cuando además se determine que existió inobservancia del debido control en su organización. La responsabilidad de la persona jurídica es independiente de aquella que corresponda a sus representantes o administradores de hecho o de derecho.  

Esta configuración resulta decisiva porque desplaza la discusión desde una atribución puramente refleja hacia el funcionamiento de la propia organización. No basta demostrar que una persona física vinculada con la empresa cometió un delito; bajo el modelo federal previsto por el artículo 421 también debe analizarse si existió una falla relevante en el deber de control organizacional. Es ahí donde el programa de cumplimiento adquiere verdadera trascendencia jurídica: no como una carpeta corporativa destinada a satisfacer auditorías internas, sino como evidencia destinada a demostrar cómo se identificaron, previnieron, supervisaron y reaccionaron frente a los riesgos penales propios de la actividad empresarial.

El artículo 11 Bis delimita el catálogo, pero el debido control está en el CNPP

Una precisión técnica resulta indispensable. El artículo 11 Bis del Código Penal Federal (CPF) no reproduce por sí mismo el requisito de inobservancia del debido control. Su función principal consiste en establecer los delitos respecto de los cuales pueden imponerse consecuencias jurídicas a las personas jurídicas dentro del régimen federal, remitiéndose expresamente al Título X, Capítulo II, del CNPP. Por ello, el análisis de responsabilidad debe construirse mediante una lectura conjunta: el artículo 421 proporciona el estándar de imputación organizacional y el artículo 11 Bis delimita, en el ámbito federal, el catálogo de delitos susceptibles de generar responsabilidad corporativa.  

La distinción es algo más que académica. Una empresa no debería diseñar su mapa de riesgos penales a partir de una lista genérica de ilícitos, sino identificar cuáles de las conductas contempladas por la legislación penal federal o local guardan relación real con su actividad, su estructura de decisiones, el manejo de recursos, la relación con autoridades, proveedores, clientes, intermediarios y personal. El artículo 421 establece expresamente que las personas jurídicas sólo serán penalmente responsables respecto de los delitos comprendidos en los catálogos previstos por la legislación federal o de las entidades federativas.  

De esta forma, un programa eficaz no comienza con la redacción del código de ética, sino con un diagnóstico jurídico de exposición. Una constructora, una institución financiera, una empresa farmacéutica y una compañía logística enfrentan mapas de riesgo materialmente distintos; utilizar para todas ellas el mismo modelo de compliance reduce el programa a un documento formal incapaz de acreditar que el control fue diseñado atendiendo a las circunstancias específicas de la organización.

El debido control también influye en la individualización de la sanción

El valor del control corporativo no termina en la discusión sobre la existencia de responsabilidad. El artículo 422 del CNPP permite imponer a las personas jurídicas sanciones que comprenden multa, decomiso de instrumentos, objetos o productos del delito, publicación de sentencia y, en supuestos extremos, disolución. Además, para individualizarlas, el órgano jurisdiccional debe considerar expresamente la magnitud de la inobservancia del debido control, el monto involucrado, la naturaleza y volumen de negocios de la empresa, el cargo de las personas físicas intervinientes, el grado de cumplimiento de disposiciones legales y reglamentarias y las consecuencias sociales o económicas de la sanción.

Por tanto, el compliance opera en dos planos diferentes. Primero, puede ser relevante para controvertir uno de los presupuestos centrales de la responsabilidad penal de la organización: que haya existido inobservancia del debido control. Después, aun cuando el procedimiento concluya con una declaración de responsabilidad, la calidad, extensión y efectividad de los controles pueden incidir en la individualización de las consecuencias jurídicas.

La diferencia entre tener un programa y poder demostrar su funcionamiento es, por ello, determinante. Un manual aprobado por el consejo de administración cinco años antes, pero acompañado de cero capacitaciones, ningún reporte de auditoría y un canal de denuncias inactivo, difícilmente demuestra el mismo grado de control que un sistema con mapas de riesgo actualizados, investigaciones internas documentadas, medidas disciplinarias, revisiones periódicas y evidencia de que la alta dirección atendió las alertas recibidas.

Ciudad de México: un modelo que exige un análisis diferente

Las empresas con operaciones en varias entidades deben evitar asumir que el estándar federal se reproduce exactamente en todos los códigos penales locales. La Ciudad de México ofrece un ejemplo particularmente importante. El artículo 27 Bis del Código Penal para el Distrito Federal contempla responsabilidad de personas morales cuando determinados delitos son cometidos, por una parte, por representantes legales o administradores de hecho o de derecho en nombre, por cuenta, provecho o exclusivo beneficio de la organización y, por otra, cuando personas sometidas a su autoridad cometen el hecho debido a que no se ejerció sobre ellas el control organizacional correspondiente.

Por ello, resulta más preciso describir el modelo capitalino como mixto que calificarlo globalmente como un sistema puro de heterorresponsabilidad. En el supuesto relativo a representantes y administradores existe una atribución directa vinculada con la posición y actuación de esas personas; respecto de subordinados, en cambio, el propio artículo incorpora expresamente la ausencia del debido control como elemento relevante. Esta diferencia obliga a adaptar la estrategia defensiva al tipo de autor material, al delito imputado y a la legislación sustantiva aplicable.

El mensaje para los grupos empresariales es inmediato: no existe un único “manual penal corporativo” capaz de resolver todos los escenarios. El programa debe considerar la jurisdicción, los catálogos delictivos aplicables y el modelo concreto mediante el cual cada legislación vincula la conducta de la persona física con la responsabilidad de la organización.

La LGRA construye un segundo régimen de responsabilidad empresarial

Junto al régimen penal existe otro sistema que no debe confundirse con aquél: la responsabilidad administrativa de las personas morales derivada de la Ley General de Responsabilidades Administrativas (LGRA). Su artículo 24 establece que las personas morales serán sancionadas cuando actos vinculados con faltas administrativas graves sean realizados por personas físicas que actúen a su nombre o representación y pretendan obtener mediante dichas conductas beneficios para la propia persona moral.  

El artículo 25 incorpora entonces una figura esencial: la política de integridad. La Ley dispone que, al determinar la responsabilidad de las personas morales, deberá valorarse si cuentan con ella y establece un contenido mínimo integrado por siete componentes: manual de organización y procedimientos; código de conducta publicado y con mecanismos de aplicación; sistemas adecuados y eficaces de control, vigilancia y auditoría; mecanismos de denuncia y procesos disciplinarios; capacitación en materia de integridad; políticas de recursos humanos destinadas a evitar riesgos para la organización, sin incurrir en discriminación, y mecanismos de transparencia y publicidad de intereses.  

Aquí también conviene efectuar una precisión, la política de integridad no constituye, por su sola existencia, una causa automática de exclusión de responsabilidad. La Ley ordena valorarla dentro de la determinación correspondiente y, adicionalmente, el artículo 81 dispone que para imponer sanciones a personas morales deben observarse los artículos 24 y 25. Las consecuencias pueden comprender sanciones económicas, inhabilitación temporal para participar en contrataciones públicas, suspensión de actividades, disolución e indemnización por daños y perjuicios, según el supuesto concreto y las condiciones legales aplicables.

Un documento archivado no demuestra un sistema eficaz

La convergencia entre ambos regímenes aparece precisamente en la prueba. El CNPP habla de debido control; la LGRA exige que diversos sistemas sean “adecuados y eficaces”. Ambos conceptos difícilmente pueden acreditarse mostrando exclusivamente documentos normativos. El verdadero expediente de cumplimiento se integra con evidencia sobre el funcionamiento cotidiano del sistema.

Una empresa que pretenda demostrar la existencia efectiva de controles debería estar en condiciones de exhibir matrices de riesgos actualizadas, actas de capacitación, resultados de auditorías, evidencia de supervisión, funcionamiento del canal de denuncias, expedientes de investigaciones internas, medidas correctivas y disciplinarias, procedimientos de selección de terceros y documentación que demuestre la intervención real de los órganos de dirección. La ausencia de incidentes tampoco demuestra por sí misma eficacia; lo relevante es que pueda acreditarse que existieron mecanismos razonables y proporcionalmente diseñados para prevenirlos y detectarlos.

La misma lógica debe extenderse hacia intermediarios, agentes, distribuidores, consultores y proveedores. Buena parte de los riesgos empresariales no se materializan dentro del organigrama formal, sino a través de terceros que actúan en beneficio de la compañía. Un programa limitado a los trabajadores internos puede ser formalmente completo y materialmente insuficiente frente al riesgo que verdaderamente enfrenta la organización.

La auditoría de compliance debe producir evidencia, no únicamente recomendaciones

La revisión empresarial debería realizarse sobre dos planos simultáneos. El primero es penal: identificar los delitos aplicables y comprobar qué controles concretos existen para prevenirlos, detectarlos y reaccionar ante ellos. El segundo es administrativo: confrontar la estructura corporativa con cada uno de los componentes previstos por el artículo 25 de la LGRA y verificar no sólo su existencia documental, sino su funcionamiento demostrable.

Debe añadirse un tercer análisis cuando la empresa opera en diferentes entidades federativas: verificar el modelo de responsabilidad penal local, porque el estándar de imputación puede variar. Esta revisión jurídica deberá traducirse después en evidencia periódica y fechada. Las políticas que nunca fueron comunicadas, los controles que nadie supervisó y las denuncias que no produjeron investigaciones son vulnerabilidades que un procedimiento penal o administrativo puede revelar rápidamente.

El mayor error del compliance corporativo consiste, así, en confundir tener documentos con ejercer control. Un sistema verdaderamente defensivo debe demostrar una secuencia continua: riesgo identificado, control diseñado, responsable designado, capacitación impartida, supervisión realizada, incidente detectado, investigación documentada y corrección implementada.

El compliance eficaz se acredita antes de necesitarlo

La responsabilidad corporativa en México obliga a abandonar la idea de que el delito o la falta administrativa pertenecen exclusivamente a la persona física que materialmente ejecutó la conducta. Bajo determinadas condiciones, la investigación puede dirigirse también contra la organización y alcanzar su patrimonio, sus actividades, su posibilidad de contratar con el Estado e incluso, en los supuestos más graves, su propia continuidad jurídica.

Por ello, el programa de cumplimiento no debe diseñarse cuando surge la investigación. En ese momento sólo podrá reconstruirse lo que realmente existía antes de los hechos. El documento elaborado después difícilmente podrá sustituir controles que nunca operaron, capacitaciones que no se impartieron o denuncias que fueron ignoradas.

La mejor defensa corporativa se construye mientras aparentemente no ocurre nada. Es entonces cuando la empresa debe generar la evidencia que, llegado el procedimiento, permita demostrar que el cumplimiento no era una declaración institucional, sino una forma verificable de organizar, supervisar y controlar su actividad.