La investigación interna como estrategia de defensa penal

Introducción: cuando la denuncia llega primero a la empresa

Una denuncia anónima señala que el gerente de compras recibe pagos de un proveedor para favorecerlo en las adjudicaciones. Otra advierte que determinada área utiliza comprobantes fiscales que amparan servicios inexistentes. En ambos casos, la primera reacción de la dirección puede determinar si la organización acredita una respuesta diligente o termina agravando su exposición penal.

El problema ya no consiste exclusivamente en identificar al trabajador involucrado. La empresa debe preguntarse si sus controles permitieron detectar oportunamente la irregularidad, si existieron omisiones de supervisión y si las decisiones posteriores podrían interpretarse como tolerancia, encubrimiento o participación institucional.

En el sistema penal, una investigación interna técnicamente conducida puede convertirse en un elemento relevante de defensa corporativa. Sin embargo, su utilidad depende de la legalidad de las diligencias, la independencia de quienes investigan y la capacidad de preservar evidencia verificable.

Investigar no significa construir una versión favorable para la compañía. Significa esclarecer hechos, incluso cuando sus resultados resulten incómodos para la administración.

Responsabilidad penal de las personas jurídicas: el debido control como eje de defensa

El artículo 421 del Código Nacional de Procedimientos Penales (CNPP) establece la responsabilidad penal autónoma de las personas jurídicas por delitos cometidos a su nombre, por su cuenta, en su beneficio o mediante los medios que proporcionen, cuando además se determine la inobservancia del debido control dentro de su organización.

La disposición contiene dos elementos esenciales: la vinculación del hecho delictivo con la persona jurídica y la existencia de una deficiencia relevante en sus mecanismos de control. Por ello, no basta con afirmar que un empleado cometió un delito para atribuir automáticamente responsabilidad penal a la empresa.

El artículo 422 del CNPP contempla consecuencias que pueden comprender multa, decomiso, publicación de la sentencia y disolución, además de otras medidas legalmente previstas. Su individualización debe considerar, entre otros factores, la magnitud de la inobservancia del debido control, el volumen de negocios y la posición ocupada por las personas involucradas.

Por su parte, el artículo 11 Bis del Código Penal Federal (CPF) delimita el catálogo federal de delitos atribuibles a personas jurídicas. Incluye, entre otros, cohecho, operaciones con recursos de procedencia ilícita, encubrimiento, defraudación fiscal y conductas relacionadas con comprobantes fiscales que amparen operaciones inexistentes, previstas en el artículo 113 Bis del Código Fiscal de la Federación (CFF).

La trascendencia de una investigación interna radica precisamente en que puede aportar evidencia sobre la existencia y funcionamiento de los controles corporativos. No obstante, debe evitarse una conclusión simplista: abrir una investigación después del hecho no demuestra automáticamente que existía debido control antes de su comisión.

El programa de cumplimiento y la atenuación de sanciones

El último párrafo del artículo 11 Bis del CPF permite atenuar las sanciones hasta en una cuarta parte cuando concurren las condiciones legales: que, antes del hecho imputado, la persona jurídica contara con un órgano de control permanente encargado de verificar el cumplimiento normativo y supervisar las políticas de prevención delictiva, y que hubiera disminuido el daño provocado, antes o después del hecho. La temporalidad es decisiva, crear apresuradamente un comité de cumplimiento después de descubrir un fraude no equivale a acreditar la existencia previa del órgano de control exigido por la norma.

En cambio, una organización que pueda exhibir actas del comité, evaluaciones de riesgos, investigaciones anteriores, medidas disciplinarias y seguimiento de denuncias tendrá mejores elementos para demostrar que sus controles eran efectivos y no meramente documentales.

El Código de Principios y Mejores Prácticas de Gobierno Corporativo 2025 del Consejo Coordinador Empresarial, particularmente su Mejor Práctica 11, ofrece una referencia complementaria sobre mecanismos de denuncia, protección de informantes y prevención de operaciones ilícitas. Su valor es orientador: no sustituye las exigencias del CNPP ni convierte automáticamente las buenas prácticas empresariales en eximentes penales.

Una investigación interna no demuestra por sí sola que la empresa ejercía el debido control; lo demuestra cuando revela mecanismos reales de prevención, detección y corrección de conductas ilícitas

Investigación interna y prueba ilícita: una frontera constitucional

La empresa no es Ministerio Público ni autoridad investigadora. Sin embargo, los documentos, testimonios y archivos que obtenga podrían incorporarse posteriormente a un procedimiento penal.El artículo 20, apartado A, fracción IX, constitucional establece la nulidad de las pruebas obtenidas mediante violación de derechos fundamentales. A su vez, los artículos 263 y 264 del CNPP exigen licitud probatoria y prevén la exclusión o nulidad de los datos o pruebas obtenidos ilícitamente.

Por lo que, la finalidad legítima de esclarecer una irregularidad no autoriza cualquier medio de investigación. Uno de los escenarios más delicados es el acceso a comunicaciones electrónicas. El artículo 16 constitucional protege la inviolabilidad de las comunicaciones privadas. Las políticas empresariales sobre uso de equipos, correo institucional y herramientas tecnológicas pueden ayudar a delimitar expectativas de privacidad y facultades de supervisión, pero no constituyen una autorización ilimitada para intervenir conversaciones personales.

Debe distinguirse entre revisar información corporativa dentro de sistemas sujetos a controles previamente establecidos y acceder, sin fundamento suficiente, a cuentas privadas, teléfonos personales o comunicaciones ajenas al ámbito laboral. También deben observarse los principios de finalidad, proporcionalidad, información y seguridad previstos en la legislación de protección de datos personales en posesión de particulares.

La cuestión jurídica no es solamente si la empresa puede acceder técnicamente a determinada información, sino si está legitimada para obtenerla y utilizarla con la finalidad concreta de la investigación.

Entrevistas internas: esclarecer sin coaccionar

Las entrevistas suelen ser decisivas para reconstruir cómo ocurrió una irregularidad. También pueden convertirse en el punto más vulnerable de una investigación. El entrevistador debe explicar el propósito de la diligencia, documentar las manifestaciones obtenidas y evitar amenazas, presiones indebidas o promesas de inmunidad que la empresa no está facultada para conceder.

Cuando intervengan abogados contratados por la compañía, conviene informar claramente que representan los intereses de la persona jurídica y no necesariamente los del trabajador entrevistado. Esta precisión resulta indispensable cuando existe un conflicto entre la defensa corporativa y la defensa individual de un directivo o empleado.

La entrevista tampoco debe confundirse con una declaración ministerial. La empresa carece de facultades para obligar a una persona a autoincriminarse. Si aparecen riesgos penales individuales, corresponde evaluar la necesidad de asesoría independiente y respetar los derechos fundamentales involucrados. Una declaración obtenida mediante intimidación puede comprometer tanto su utilidad probatoria como la legitimidad del procedimiento interno.

Preservación digital y cadena de custodia

La evidencia electrónica presenta dificultades particulares: puede modificarse, eliminarse o perder información contextual sin que ello resulte inmediatamente visible. Los artículos 227 y 228 del CNPP regulan la cadena de custodia como sistema de control y registro de indicios, evidencias y objetos relacionados con un hecho probablemente delictivo.

Aunque una investigación privada no sustituye las actuaciones formales de las autoridades, debe adoptar estándares técnicos compatibles con una futura verificación pericial. Resulta recomendable preservar archivos originales, generar copias forenses cuando corresponda, calcular valores de integridad digital —como funciones hash— y documentar quién accedió a los dispositivos, cuándo lo hizo y qué procedimientos aplicó.

Supongamos que una empresa investiga transferencias irregulares por diez millones de pesos. Si el equipo de sistemas ingresa directamente al ordenador del empleado, elimina archivos considerados irrelevantes y después entrega una carpeta de documentos al abogado, será difícil reconstruir la integridad de la evidencia. En cambio, una extracción técnicamente documentada, con conservación de originales y registro de accesos, ofrece mejores condiciones para acreditar autenticidad y continuidad.La evidencia no adquiere valor penal simplemente porque la empresa la considere verdadera; debe poder verificarse su origen, integridad y obtención lícita.

Confidencialidad y secreto profesional: protección, no inmunidad absoluta

Una investigación dirigida por abogados puede involucrar comunicaciones protegidas por el secreto profesional. El CNPP reconoce restricciones para declarar sobre información sujeta a ese deber y contempla protecciones respecto de determinadas comunicaciones profesionales.

Sin embargo, sería incorrecto afirmar que todo documento elaborado por un despacho externo queda automáticamente fuera del alcance de una investigación penal.

La protección depende de la naturaleza de la comunicación, su finalidad, las personas involucradas y las disposiciones aplicables. No puede utilizarse el secreto profesional como mecanismo para ocultar pruebas, facilitar delitos o impedir ilegítimamente la actuación de las autoridades.

Por ello, conviene diferenciar los documentos originales de la empresa, los hallazgos fácticos, las entrevistas y el análisis jurídico confidencial elaborado para asesorar a la organización. Esta separación favorece una defensa ordenada y evita asumir que contratar abogados convierte toda la investigación en información jurídicamente inaccesible.

El encubrimiento: cuando la investigación se convierte en un riesgo penal

El artículo 400 del CPF sanciona diversas conductas de encubrimiento, entre ellas aquellas relacionadas con ocultar, alterar o destruir elementos vinculados con un delito, cuando se actualizan los requisitos del tipo penal.

La frontera entre investigar y encubrir puede cruzarse cuando la dirección ordena borrar correos, sustituir dispositivos, modificar contratos o reconstruir artificialmente expedientes para eliminar rastros de una operación. También resulta riesgoso utilizar convenios laborales o acuerdos de confidencialidad para procurar silencios ilícitos u obstaculizar investigaciones.

Por ello, ante una denuncia verosímil debe emitirse oportunamente una instrucción de preservación documental que comprenda correos, respaldos, registros contables, CFDI, comunicaciones corporativas y demás información pertinente. La investigación debe proteger la evidencia, no administrar su desaparición, los plazos laborales también importan. La dimensión penal no elimina las obligaciones laborales.

El artículo 517, fracción I, de la Ley Federal del Trabajo establece un plazo de prescripción de un mes para determinadas acciones patronales, incluidas las relativas a la separación o disciplina de trabajadores. Su cómputo depende de los supuestos legales y del conocimiento de la causa correspondiente.

Una investigación excesivamente prolongada puede complicar la adopción oportuna de medidas laborales. Esto obliga a coordinar los trabajos de investigación con las áreas jurídica y de recursos humanos, sin precipitar decisiones que vulneren derechos ni suponer que la apertura de una investigación interna suspende automáticamente los plazos legales. La empresa debe actuar con diligencia, pero también con proporcionalidad.

Denunciar y colaborar: una decisión jurídicamente sensible

El artículo 222 del CNPP establece el deber de denunciar hechos probablemente constitutivos de delito en los términos que prevé la propia disposición. Sin embargo, denunciar primero no convierte automáticamente a la empresa en víctima ni excluye su eventual responsabilidad penal. La posición procesal dependerá de los hechos, la intervención atribuible a la organización y la valoración de las autoridades competentes.

La colaboración puede resultar relevante para esclarecer responsabilidades, reparar daños y demostrar una respuesta institucional efectiva. El artículo 11 Bis del CPF reconoce, bajo sus condiciones específicas, la disminución del daño como elemento relacionado con la atenuación de sanciones.

Asimismo, el artículo 256 del CNPP regula criterios de oportunidad que el Ministerio Público puede aplicar en determinados supuestos y respecto de personas que satisfagan las condiciones legales. No constituyen un beneficio automático para la persona jurídica ni deben confundirse con una negociación informal de inmunidad.

Antes de entregar un informe interno debe evaluarse su contenido, la situación jurídica de la empresa, los derechos de los empleados, la protección de datos y las obligaciones legales de colaboración. La transparencia institucional es valiosa, pero no sustituye una estrategia penal técnicamente diseñada.

La defensa penal corporativa puede comenzar antes de que exista una carpeta de investigación, pero también puede quedar comprometida desde el primer correo eliminado o la primera entrevista obtenida mediante coacción

La investigación debe concluir en decisiones verificables

Un expediente que permanece indefinidamente abierto, sin conclusiones ni medidas correctivas, difícilmente demuestra eficacia organizacional.

La investigación debe culminar en un informe que distinga hechos acreditados, información no corroborada, posibles responsabilidades y debilidades de control. Sus conclusiones deben traducirse, cuando proceda, en medidas disciplinarias legales, recuperación de recursos, reparación del daño, ajustes de procesos, capacitación y comunicación a las autoridades competentes.

El consejo de administración o el órgano de control correspondiente debe supervisar la ejecución de esas medidas, especialmente cuando la investigación involucre a la alta dirección. La independencia es fundamental: un directivo potencialmente implicado no debería controlar la selección de investigadores, el alcance de las diligencias ni el destino del informe.

Consideración final

La investigación interna representa una de las expresiones más importantes del cumplimiento penal corporativo, pero su utilidad no deriva de la existencia de un protocolo o de la contratación de especialistas.

Su verdadero valor consiste en demostrar que la organización contaba con mecanismos razonables de prevención y que, frente a una irregularidad, actuó con independencia, legalidad, diligencia y capacidad correctiva. Los artículos 421 y 422 del CNPP y el artículo 11 Bis del CPF colocan el debido control en el centro de la responsabilidad penal empresarial. Por su parte, los artículos 16 y 20 constitucionales impiden que la búsqueda de evidencia justifique la vulneración de derechos fundamentales.

La empresa que investiga debe hacerlo con una doble conciencia: necesita esclarecer los hechos, pero también debe evitar convertirse en autora de nuevas irregularidades durante ese proceso. Una investigación interna no es una garantía de impunidad ni una defensa penal automática. Es una oportunidad para demostrar que la organización reconoce sus riesgos, preserva la evidencia y responde jurídicamente por sus decisiones.

La diferencia entre una investigación que fortalece la defensa y otra que la destruye suele encontrarse en algo elemental: investigar para conocer la verdad, no para fabricar una explicación conveniente.