La función jurídica del compliance en materia penal

El compliance en materia penal puede entenderse como un sistema de medidas, directrices y controles implementados por una empresa para asegurar que su actuación y la de sus integrantes se mantengan dentro del orden jurídico. No consiste exclusivamente en un código de ética, un manual operativo o una declaración institucional. Su verdadera naturaleza es la de un programa organizado de prevención, detección, supervisión y respuesta frente a riesgos que podrían traducirse en delitos.

La expresión compliance deriva del verbo inglés to comply with, relacionado con cumplir, respetar o actuar conforme a una regla. Trasladado al ámbito empresarial, designa el conjunto de estándares internos mediante los cuales una persona jurídica ordena su actividad, distribuye responsabilidades y establece consecuencias frente a los incumplimientos.

Estos programas pueden reflejarse en circulares, protocolos, manuales de actuación, matrices de riesgo, procedimientos financieros y reglas para la toma de decisiones. No obstante, su utilidad no depende de la cantidad de documentos generados, sino de su correspondencia con la realidad operativa de la empresa.

Un programa elaborado a partir de formatos genéricos, sin conocimiento de los procesos internos, difícilmente podrá prevenir conductas penalmente relevantes. La empresa requiere un modelo propio, diseñado de acuerdo con su actividad, dimensión, estructura, ubicación, personal y exposición concreta.

II. Una herramienta independiente de la responsabilidad penal corporativa

El compliance puede existir con independencia de que un determinado sistema jurídico reconozca o no la responsabilidad penal de las personas jurídicas. La experiencia comparada demuestra que las empresas adoptan programas de cumplimiento no solamente para enfrentar una posible imputación, sino también para generar confianza, facilitar relaciones comerciales, acceder a mejores condiciones crediticias y consolidar alianzas nacionales e internacionales.

Sin embargo, cuando el ordenamiento permite investigar y sancionar penalmente a una persona jurídica, el programa adquiere una relevancia adicional. En ese escenario, puede convertirse en una pieza central para determinar si la empresa ejerció el control debido sobre su organización o si, por el contrario, permitió que sus recursos y estructuras fueran utilizados para cometer delitos.

Su función preventiva se complementa entonces con una función defensiva. La organización debe estar en condiciones de acreditar que conocía sus riesgos, que diseñó medidas razonables para controlarlos y que supervisó efectivamente su aplicación.

El cumplimiento no garantiza que dentro de una empresa nunca se cometerá un delito. Su finalidad es reducir la probabilidad de que ocurra, detectar oportunamente las irregularidades y demostrar que la organización no permaneció indiferente frente a los riesgos propios de su actividad.

III. El diagnóstico como punto de partida

Todo programa de compliance penal debe comenzar con un diagnóstico institucional serio. Antes de redactar protocolos o impartir capacitaciones, resulta indispensable identificar cómo funciona la empresa, cuáles son sus procesos sensibles y en qué áreas pueden surgir conductas ilícitas.

El diagnóstico debe detectar riesgos, analizar sus causas y establecer medidas para reducirlos o eliminarlos. Una empresa dedicada a la construcción enfrenta peligros distintos de los correspondientes a una institución financiera, un restaurante, un casino o una compañía distribuidora de combustibles.

Incluso dos organizaciones que desarrollan la misma actividad pueden requerir modelos diferentes. Su tamaño, estructura, ubicación y forma de operar modifican la naturaleza de sus riesgos. Por ello, no resulta razonable aplicar el mismo programa a una institución bancaria de alcance nacional y a una pequeña casa de cambio ubicada en un aeropuerto.

El documento base destaca que un programa eficaz debe desarrollarse, cuando menos, en cinco fases: diagnóstico institucional; diseño de reglas y protocolos; capacitación y evaluación periódica; establecimiento de canales de denuncia internos y externos, y creación de un sistema de supervisión y sanción encabezado por un oficial de cumplimiento.

Estas fases representan un estándar mínimo. La complejidad del programa deberá aumentar conforme se eleven los riesgos y las capacidades de la organización.

IV. Protocolos, capacitación y canales de denuncia

Después de identificar los riesgos, la empresa debe establecer reglas claras para la actuación de su personal. Los protocolos permiten definir quién toma una decisión, quién autoriza una operación, qué documentos deben integrarse y qué medidas deben adoptarse cuando se detecta una anomalía.

La eficacia de estas reglas depende de que sean conocidas. Un manual guardado en los archivos corporativos carece de valor preventivo cuando los empleados ignoran su contenido. La capacitación debe ser periódica, verificable y adaptada a las funciones de cada área.

El personal operativo requiere instrucciones concretas para resolver las situaciones que enfrenta cotidianamente. Los directivos, por su parte, deben comprender los deberes de vigilancia asociados con sus cargos y las consecuencias de tolerar prácticas contrarias al programa.

Los canales de denuncia constituyen otro componente indispensable. Deben permitir que empleados, proveedores, clientes y terceros informen sobre irregularidades sin exponerse a represalias. La recepción de una denuncia, sin embargo, no agota la responsabilidad empresarial. Es necesario investigar, documentar los resultados y aplicar medidas correctivas.

Un sistema que recibe reportes, pero no produce consecuencias, genera una falsa apariencia de control. La evidencia de funcionamiento se encuentra en las investigaciones concluidas, las sanciones impuestas y las modificaciones realizadas para impedir la repetición de los hechos.

V. Fundamento procesal y control organizacional

El texto analizado vincula el desarrollo del compliance con la incorporación de procedimientos dirigidos contra personas jurídicas en el Código Nacional de Procedimientos Penales (CNPP). Conforme al marco expuesto, el CNPP estableció bases para investigar, imputar, vincular a proceso y sentenciar a entes colectivos involucrados en la comisión de delitos.

Asimismo, el Código Penal para el Distrito Federal (CPDF) contempló la responsabilidad de la persona jurídica cuando determinadas conductas se realizaran por no haberse ejercido el debido control correspondiente al ámbito organizacional.

La noción de control debido conecta directamente con los programas de cumplimiento. Diagnosticar riesgos, establecer protocolos, capacitar al personal y supervisar las actividades son manifestaciones concretas del control empresarial.

La empresa que carece de estas medidas tendrá dificultades para demostrar que organizó razonablemente su actividad. En cambio, una persona jurídica que identifica peligros y aplica controles puede argumentar que mantuvo su operación dentro del riesgo permitido.

El compliance también puede adquirir relevancia después de la comisión del delito. El CPDF, según el contexto normativo examinado, consideraba como circunstancia atenuante la adopción de medidas eficaces para prevenir y descubrir delitos futuros antes de la etapa de juicio oral.

Esto confirma que el programa cumple dos funciones diferentes: prevenir antes del hecho y remediar después de su comisión. No obstante, la implementación posterior no equivale a la existencia de un sistema preventivo previo.

VI. Aplicación práctica frente a una contingencia penal

La utilidad del compliance se aprecia con claridad en el ejemplo de una empresa distribuidora de gas cuyo vehículo explota mientras abastece a un hospital infantil. En un modelo tradicional, la investigación podría concentrarse en el conductor y su ayudante, aun cuando la causa del accidente estuviera relacionada con fallas de mantenimiento, decisiones administrativas o deficiencias de supervisión.

Un enfoque de responsabilidad empresarial obliga a examinar toda la cadena organizacional. La autoridad deberá revisar la estructura de la compañía, su normativa interna, los diagnósticos de riesgo, los protocolos de mantenimiento, la capacitación del personal, la división de tareas y los mecanismos de supervisión.

Si la empresa no cuenta con un programa, o dispone solamente de directrices incapaces de detectar y controlar riesgos, la ausencia de organización se convierte en un elemento relevante para la imputación.

Por el contrario, si acredita que tenía protocolos adecuados, que el vehículo era revisado periódicamente y que su personal aplicó las medidas previstas, el programa podría contribuir a excluir o reducir su responsabilidad.

La cuestión central consiste en establecer si el resultado puede atribuirse objetivamente a una deficiencia de la empresa o si esta mantuvo su actividad dentro de los márgenes del riesgo permitido.

VII. Víctimas, prevención y derechos humanos

La responsabilidad de la empresa también posee una dimensión vinculada con las víctimas. La Ley General de Víctimas (LGV) reconoce derechos relacionados con el acceso a la justicia, la reparación del daño y la atención de quienes sufren las consecuencias de un delito.

Una persona jurídica puede disponer de recursos económicos y capacidades organizacionales que superan ampliamente las posibilidades de un trabajador de bajo nivel. Dirigir la investigación únicamente contra el eslabón más débil puede impedir una reparación suficiente y dejar intactas las causas estructurales del hecho.

El compliance sirve, además, para proteger derechos humanos. Un programa aplicado al ámbito laboral puede detectar jornadas excesivas, condiciones inseguras, explotación, discriminación o prácticas incompatibles con la dignidad de las personas.

Así, el cumplimiento deja de ser una herramienta destinada exclusivamente a proteger el patrimonio de la empresa. También contribuye a garantizar condiciones de trabajo legales, prevenir afectaciones a terceros y preservar bienes jurídicos fundamentales.

VIII. El oficial de cumplimiento y sus responsabilidades

La supervisión del programa corresponde al oficial de cumplimiento, quien debe observar la actividad empresarial, informar a los órganos directivos y promover medidas para evitar daños.

Su posición exige independencia, conocimientos técnicos y acceso a la información. Sin estas condiciones, su función puede reducirse a una representación meramente formal.

La relevancia del cargo también genera riesgos personales. Cuando el oficial asume deberes concretos de vigilancia y omite actuar frente a irregularidades conocidas, puede discutirse su eventual responsabilidad penal.

Por ello, el diseño del programa debe definir con precisión sus facultades, recursos, deberes de reporte y límites de actuación. No puede exigírsele controlar riesgos para los cuales carece de información o autoridad.

IX. Una cultura empresarial de legalidad

El compliance penal sirve para prevenir delitos, organizar responsabilidades, facilitar investigaciones y proteger a la empresa frente a imputaciones injustificadas. También contribuye a la reparación de las víctimas, la protección de los trabajadores y la salvaguarda de los derechos humanos.

Su eficacia depende de que sea real. El diagnóstico debe reflejar la empresa; los protocolos deben aplicarse; el personal debe recibir capacitación; las denuncias deben investigarse, y las infracciones deben generar consecuencias.

Un modelo de cumplimiento no puede transformar en legítima una empresa creada para delinquir. Tampoco puede convertirse en una excusa automática frente a cualquier resultado. Su valor consiste en demostrar que la organización actuó con diligencia y mantuvo sus riesgos bajo control.

En última instancia, el compliance fortalece una cultura corporativa de legalidad. La mejor defensa penal de una empresa no comienza cuando llega una citación ministerial, sino mucho antes: cuando identifica un peligro, corrige una falla y evita que el daño llegue a producirse.