El doble filo de la autorregulación corporativa

La autorregulación corporativa representa una transformación relevante del derecho contemporáneo. Frente al modelo tradicional, en el que el Estado expedía normas, inspeccionaba directamente las actividades y sancionaba los incumplimientos, aparece una estructura descentralizada donde las organizaciones privadas participan activamente en la prevención de sus propios riesgos.

Este cambio responde a una realidad práctica: la empresa conoce con mayor proximidad sus procesos, tecnologías, relaciones contractuales, sistemas financieros y cadenas de decisión. En consecuencia, se encuentra en mejores condiciones para identificar determinados peligros antes de que sean visibles para una autoridad externa.

Los programas de cumplimiento materializan esta descentralización. Mediante ellos, la organización adopta códigos de conducta, protocolos, matrices de riesgo, controles financieros, canales de denuncia y procedimientos disciplinarios. La empresa deja de ser exclusivamente destinataria de normas públicas y se convierte en productora de reglas internas destinadas a garantizar su observancia.

Sin embargo, esa proximidad con el riesgo también representa el origen de su principal debilidad: quien diseña el sistema preventivo puede tener incentivos para reducir su intensidad, fragmentar responsabilidades o construir una apariencia de diligencia.

II. La ventaja preventiva de la autorregulación

La principal fortaleza de la autorregulación consiste en su capacidad de adaptación, un regulador externo puede establecer obligaciones generales, pero difícilmente conoce con exactitud cómo se autoriza un pago, cómo se selecciona a un proveedor o qué persona controla determinada plataforma tecnológica. La empresa puede traducir la norma pública en procedimientos concretos, puede establecer autorizaciones adicionales para operaciones sensibles, separar funciones incompatibles, clasificar terceros según su exposición y vigilar transacciones mediante herramientas tecnológicas.

Esta flexibilidad favorece una prevención más rápida y especializada. También permite modificar controles cuando cambian los productos, mercados, tecnologías o estructuras de la organización.

No obstante, la autorregulación no debe identificarse con libertad absoluta, la empresa puede determinar cómo cumplirá, pero no decidir unilateralmente qué obligaciones observará. Los objetivos jurídicos, los derechos de terceros y las consecuencias del incumplimiento permanecen definidos por el ordenamiento.

III. La redistribución interna de responsabilidades

Todo programa de compliance distribuye competencias. Determina quién identifica riesgos, quién aprueba operaciones, quién supervisa los controles y quién comunica irregularidades. Esta división resulta necesaria en organizaciones complejas, pero puede utilizarse indebidamente para desplazar responsabilidades hacia niveles con menor poder real.

Un consejo de administración podría aprobar formalmente el programa y atribuir toda la prevención al oficial de cumplimiento. A su vez, este podría carecer de autonomía, presupuesto o acceso a información. Cuando ocurra una infracción, la dirección intentará sostener que el control correspondía exclusivamente al responsable designado.

La delegación legítima transfiere funciones, pero no elimina completamente el deber de supervisión de quien posee facultades superiores. El administrador conserva la obligación de seleccionar personas competentes, proporcionar recursos y atender señales de deficiencia.

Por ello, la distribución de responsabilidades debe basarse en competencias efectivas y no únicamente en denominaciones formales. La autoridad deberá examinar quién podía decidir, qué información recibía y cuál era su capacidad real para intervenir.

IV. El fake compliance y la irresponsabilidad organizada

El fake compliance aparece cuando la empresa adopta un programa aparentemente completo, pero carente de aplicación efectiva. Puede contar con códigos éticos, certificaciones, canales de denuncia y manuales extensos, aunque esos instrumentos no influyan verdaderamente en las decisiones corporativas.

La organización utiliza entonces el cumplimiento como dispositivo reputacional o defensivo. Su objetivo no es impedir el delito, sino producir documentos que puedan exhibirse ante inversionistas, clientes o autoridades. Este fenómeno puede generar una forma de irresponsabilidad organizada. Las funciones se dividen entre tantos órganos, comités y responsables que, después de materializarse el riesgo, nadie parece haber tenido competencia suficiente para evitarlo.

La fragmentación no es accidental: puede operar como mecanismo para dificultar la imputación. El consejo afirma haber delegado; el oficial de cumplimiento declara carecer de facultades decisorias; el área operativa sostiene que siguió instrucciones; y la auditoría manifiesta que su revisión tenía un alcance limitado.

Un programa auténtico debe producir el efecto contrario: hacer visible la cadena de responsabilidad y permitir reconstruir cada decisión relevante.

V. La desigualdad competitiva como efecto colateral

La autorregulación también puede afectar la competencia, los grandes grupos empresariales poseen recursos para contratar consultores, obtener certificaciones, desarrollar sistemas tecnológicos y mantener departamentos especializados. Las pequeñas y medianas empresas, en cambio, pueden enfrentar costos desproporcionados para cumplir estándares diseñados conforme a la estructura de una corporación multinacional.

Esta diferencia no convierte automáticamente al compliance en una práctica anticompetitiva. La proporcionalidad permite adaptar el programa al tamaño, complejidad y nivel de riesgo de cada empresa. Un modelo sencillo puede ser adecuado si controla eficazmente las actividades relevantes.

El problema surge cuando asociaciones, empresas dominantes, contratantes o entidades certificadoras convierten determinados estándares privados en condiciones de acceso al mercado sin una justificación objetiva. La Ley Federal de Competencia Económica (LFCE) tiene por objeto proteger la libre concurrencia y combatir barreras que impidan el acceso de competidores o limiten su capacidad para competir. Su definición comprende actos de agentes económicos y disposiciones públicas que produzcan esos efectos indebidos.  

En consecuencia, los requisitos privados de integridad deben ser necesarios, transparentes y proporcionales al riesgo que pretenden controlar.

VI. La autorregulación dentro del régimen penal mexicano

La autorregulación adquiere relevancia penal en México mediante el concepto de debido control. El artículo 421 del Código Nacional de Procedimientos Penales (CNPP) establece que las personas jurídicas pueden ser penalmente responsables por delitos cometidos a su nombre, por su cuenta, en su beneficio o mediante los recursos que proporcionen, cuando exista inobservancia del debido control en su organización. La responsabilidad corporativa es autónoma respecto de aquella correspondiente a administradores o representantes.  

El precepto convierte a la organización preventiva en un elemento jurídicamente relevante. La empresa debe acreditar que sus procesos no permanecían abandonados a la discrecionalidad de quienes podían generar el riesgo.

El artículo 422 del CNPP ordena considerar, para individualizar las consecuencias, la magnitud de la inobservancia del debido control, el puesto ocupado por las personas involucradas y el grado de cumplimiento de las disposiciones legales y reglamentarias. La norma no autoriza una exoneración automática por presentar un manual. Exige valorar la organización real y la relación entre sus deficiencias y el hecho delictivo.

VII. El catálogo penal y los incentivos organizativos

El Código Penal Federal (CPF) delimita, en su artículo 11 Bis, los delitos respecto de los cuales pueden imponerse consecuencias jurídicas a las personas morales. El catálogo comprende, entre otros, tráfico de influencia, cohecho, fraude, operaciones con recursos de procedencia ilícita, delitos ambientales y diversas conductas previstas en leyes especiales.  

El mismo artículo contempla la posibilidad de atenuar sanciones cuando, antes del hecho, la persona jurídica contaba con un órgano de control permanente encargado de verificar el cumplimiento normativo y dar seguimiento a las políticas internas de prevención delictiva, junto con actuaciones dirigidas a disminuir el daño.  

Este incentivo contiene el doble filo estudiado. Puede promover estructuras preventivas auténticas, pero también estimular la creación de órganos nominales cuya única función sea facilitar una defensa posterior. Por ello, la valoración no debe detenerse en el nombramiento. Debe examinar facultades, autonomía, recursos, reportes, decisiones y evidencia de funcionamiento anterior al delito.

VIII. La política de integridad como control administrativo

La Ley General de Responsabilidades Administrativas (LGRA) incorpora expresamente mecanismos de autorregulación. Sus artículos 21 y 22 permiten promover controles internos y programas de integridad, considerando mejores prácticas internacionales, herramientas de denuncia y protección de quienes informan irregularidades.  

El artículo 25 de la LGRA establece los elementos mínimos de una política de integridad: manuales organizacionales, códigos de conducta, sistemas de control y auditoría, mecanismos de denuncia, procedimientos disciplinarios, capacitación, políticas de recursos humanos y transparencia de intereses.  

Esta regulación reduce el espacio para la simulación, pero no lo elimina. Cada componente puede cumplirse formalmente sin operar en la práctica. Un canal puede existir y no proteger al denunciante; una auditoría puede realizarse con información limitada; un código puede publicarse sin consecuencias reales. La eficacia exige comprobar que los controles modificaron la conducta empresarial y que alcanzaron también a quienes ocupaban posiciones superiores.

IX. Salvaguardas frente al uso abusivo

La autorregulación requiere contrapesos. El primero es la supervisión pública: la autoridad debe conservar facultades para verificar la eficacia y sancionar la simulación. El segundo es la independencia: quienes controlan no deben depender funcionalmente de las áreas cuyos resultados examinan.

El tercero es la trazabilidad. Toda decisión sensible debe permitir identificar quién la promovió, autorizó, ejecutó y revisó. El cuarto es la proporcionalidad, tanto para evitar controles insuficientes como para impedir que costos innecesarios excluyan injustificadamente a empresas menores.

Finalmente, debe existir responsabilidad de la alta dirección. El consejo no puede utilizar al oficial de cumplimiento como fusible organizacional. La prevención pertenece a toda la estructura de gobierno y comienza en quienes poseen capacidad para asignar recursos, establecer incentivos y tolerar excepciones.

X. La referencia española ante la indeterminación mexicana

México reconoce el debido control, pero no desarrolla exhaustivamente sus componentes penales. En este espacio resulta útil considerar el funcionamiento español como referencia técnica.

La Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal (CPE), así como la Circular Administrativa 1/2016 de la Fiscalía General, ambos de España, permiten valorar modelos adoptados y ejecutados eficazmente antes del delito, adecuados para prevenirlo o reducir significativamente el riesgo. También vincula la exención con supervisión autónoma, identificación de riesgos, controles financieros, deberes de información, disciplina y revisión periódica.  

XI. Conclusión

La autorregulación es una espada de doble filo. Su cercanía con el riesgo permite desarrollar controles especializados, flexibles y eficientes. Esa misma autonomía puede facilitar simulaciones, desplazamientos de responsabilidad y barreras competitivas. El compliance será legítimo cuando identifique responsables reales, asigne recursos, produzca evidencia y permanezca sometido a vigilancia pública. Se convertirá en irresponsabilidad organizada cuando multiplique documentos y comités para impedir saber quién debía actuar.

La respuesta no consiste en regresar a una regulación exclusivamente estatal ni en entregar completamente el control a las empresas. El equilibrio exige autorregulación regulada: libertad organizativa para administrar riesgos, reglas públicas para proteger intereses colectivos y supervisión independiente para comprobar que la prevención no sea solamente una apariencia.