Un soborno, dos jurisdicciones: responsabilidad penal corporativa entre México y España

I. Un mismo hecho frente a dos sistemas penales

Una empresa constructora mexicana, con una filial que opera en España, obtiene dos licitaciones casi simultáneas: una en Jalisco y otra en Madrid. En ambos procedimientos, el gerente de desarrollo de negocio entrega pagos indebidos a servidores públicos con la finalidad de acelerar la expedición de permisos.

La similitud de las conductas podría llevar a pensar que la consecuencia jurídica para ambas empresas será idéntica. Sin embargo, la responsabilidad penal corporativa no depende exclusivamente de la descripción material del hecho, sino de las reglas de imputación aplicables en cada jurisdicción, de la personalidad jurídica de las entidades involucradas y de la existencia o ausencia de mecanismos efectivos de control.

La matriz mexicana conoce lo ocurrido en España hasta que recibe una notificación de la fiscalía. Además, el grupo nunca implementó un programa de compliance homologado para sus operaciones internacionales. Ante este escenario, el consejo de administración debe determinar si responde la matriz, la filial o ambas, así como establecer bajo qué criterios podría atribuirse el delito a cada persona jurídica.

II. La personalidad jurídica no desaparece dentro del grupo

La existencia de un grupo empresarial no elimina la personalidad jurídica propia de cada una de las sociedades que lo integran. La filial española constituye, en principio, una entidad distinta de la matriz mexicana y responde conforme a las normas aplicables en el territorio donde desarrolla su actividad.

Esto significa que la mera relación de control corporativo no basta para atribuir automáticamente a la matriz todos los actos cometidos por los directivos o empleados de la filial. Para extender la responsabilidad será necesario demostrar una conexión jurídicamente relevante entre los órganos de dirección de la empresa mexicana y el esquema de pagos indebidos.

La separación formal, sin embargo, tampoco debe utilizarse como una barrera artificial frente a la investigación. Cuando las decisiones se adoptan de manera centralizada, los recursos se autorizan desde la matriz o las políticas comerciales provienen de sus órganos directivos, la autonomía societaria debe analizarse junto con la realidad operativa del grupo.

En materia penal corporativa, la estructura jurídica importa, pero también importa quién decide, quién controla y quién obtiene el beneficio.

III. La respuesta mexicana conforme al artículo 11 Bis

En México, el punto de partida se encuentra en el artículo 11 Bis del Código Penal Federal (CPF). Conforme al supuesto planteado, la responsabilidad de la persona moral puede actualizarse cuando el hecho delictivo se comete a su nombre, por su cuenta, en su beneficio o utilizando sus medios, y existe conocimiento o tolerancia de sus órganos de administración.

La imputación exige, por tanto, algo más que la existencia de un delito cometido por una persona vinculada con la empresa. Debe acreditarse una relación entre la conducta y la organización corporativa. El beneficio obtenido, el uso de recursos empresariales, la intervención de los órganos directivos o la tolerancia del esquema pueden convertirse en elementos centrales del análisis.

Respecto del soborno cometido en Jalisco, la investigación deberá determinar si el gerente actuó siguiendo instrucciones, utilizando fondos autorizados o desarrollando una práctica conocida por los órganos de administración. Si el pago indebido fue tolerado como parte de una estrategia comercial, la conducta podría proyectarse penalmente sobre la persona moral.

En cambio, si el gerente actuó por su cuenta, ocultando deliberadamente el hecho y eludiendo controles efectivos, la posición defensiva de la empresa sería distinta.

IV. El posible alcance de la matriz mexicana

El hecho ocurrido en España no genera, por sí solo, responsabilidad para la matriz mexicana. La existencia de una filial en el extranjero tampoco permite concluir automáticamente que la controladora conocía todas sus decisiones operativas.

Para que la empresa mexicana pudiera ser alcanzada, sería necesario acreditar que sus propios órganos de dirección conocieron, autorizaron o toleraron el esquema de pagos indebidos. También sería relevante establecer si la matriz proporcionó los recursos, definió las metas comerciales o diseñó incentivos que favorecieran la comisión del hecho.

La falta de conocimiento inicial puede representar un argumento importante, pero no resuelve completamente el problema. La autoridad también podría examinar si la matriz tenía mecanismos razonables para supervisar riesgos relevantes dentro del grupo.

La ausencia de un programa homologado no equivale automáticamente a una aceptación del delito. No obstante, revela una deficiencia de coordinación que puede dificultar la defensa, especialmente si la empresa no puede demostrar qué controles correspondían a la filial, cómo se supervisaban las operaciones sensibles y quién debía reportar irregularidades a la administración central.

V. La respuesta española conforme al artículo 31 bis

En España, la atribución de responsabilidad se analiza a partir del artículo 31 bis del Código Penal español (CPE). El régimen fue introducido mediante la Ley Orgánica 5/2010 (LO 5/2010) y reformado posteriormente por la Ley Orgánica 1/2015 (LO 1/2015).

El CPE contempla dos vías principales de imputación. La primera se relaciona con los delitos cometidos por representantes legales o administradores de hecho o de derecho. La segunda comprende las conductas realizadas por empleados sometidos a la autoridad de aquellos cuando la comisión del delito fue posible por un incumplimiento de los deberes de supervisión, vigilancia y control.

En el caso planteado, será necesario determinar la posición concreta del gerente de desarrollo de negocio dentro de la filial. Si contaba con facultades relevantes de representación o dirección, su actuación podría encuadrarse en la primera vía. Si se encontraba subordinado a otros administradores, la investigación deberá analizar si existió una omisión de supervisión suficientemente relevante.

La legislación española concede un peso expreso al modelo de organización y gestión adoptado por la persona jurídica antes del hecho.

VI. El compliance como posible causa de exención

El CPE permite que un modelo de organización y gestión produzca efectos eximentes cuando sea adecuado, se encuentre efectivamente implementado y cumpla los requisitos establecidos legalmente.

No basta con presentar un código de ética o una política anticorrupción elaborada después de la investigación. La filial deberá demostrar que, antes del soborno, contaba con una estructura diseñada para prevenir conductas de esa naturaleza.

Entre los elementos relevantes se encuentran la identificación de actividades de riesgo, los protocolos para la toma de decisiones, la adecuada gestión de recursos financieros, los canales de denuncia, el régimen disciplinario y la verificación periódica del modelo.

En el escenario analizado, la inexistencia de un programa homologado no permite concluir automáticamente que la filial carecía de todo control. Sin embargo, si tampoco existía un modelo propio que satisficiera los requisitos del CPE, la empresa enfrentaría mayores dificultades para construir una defensa basada en la prevención.

La implementación posterior podría contribuir a la remediación, pero no sustituiría la ausencia de controles previos.

VII. La diferencia central entre ambos modelos

La diferencia entre México y España no radica únicamente en la redacción de sus respectivos códigos. También se manifiesta en la forma en que la empresa debe construir su argumento defensivo.

El modelo español contiene una referencia más detallada a los elementos del compliance y a las condiciones necesarias para que produzca una exención. La empresa conoce con mayor precisión cuáles son los componentes que deberá acreditar ante la autoridad.

El modelo mexicano, según el caso proporcionado, mantiene criterios más abiertos. El CPF no presenta un catálogo equivalente con el mismo nivel de detalle, por lo que la persona moral debe demostrar la idoneidad de su programa mediante argumentos doctrinales, criterios de política criminal y evidencia de funcionamiento.

En España, la discusión se concentra en verificar el cumplimiento de requisitos legalmente definidos. En México, además de probar la existencia del programa, será necesario explicar por qué sus controles eran razonables frente a los riesgos específicos de la empresa.

VIII. La carga de acreditar la eficacia del modelo

Un programa de compliance solo resulta útil cuando puede demostrarse su aplicación. Los documentos deben estar acompañados por evidencia de capacitación, supervisión, investigaciones internas, sanciones y actualización.

En el caso español, la filial deberá mostrar que el riesgo de soborno en licitaciones y permisos había sido identificado. También deberá acreditar que existían protocolos para la relación con servidores públicos, controles sobre los pagos y mecanismos para reportar solicitudes o entregas indebidas.

La matriz mexicana, por su parte, tendría que demostrar qué medidas adoptó respecto de sus operaciones nacionales y cuál era el alcance de su supervisión sobre las filiales.

La falta de homologación genera un problema probatorio: cada sociedad podría operar con criterios diferentes, canales incompatibles y niveles desiguales de vigilancia. Esta fragmentación impide que el grupo tenga una visión consolidada de sus riesgos y puede retrasar la detección de conductas que se repiten en distintas jurisdicciones.

IX. Diseñar el compliance por grupo, no solamente por país

La lección operativa del caso consiste en que la responsabilidad penal corporativa ya no puede administrarse de manera aislada. Una empresa con presencia internacional necesita un marco común de cumplimiento, acompañado por adaptaciones locales.

Homologar no significa imponer exactamente los mismos documentos en todos los países. Significa establecer principios, controles y obligaciones mínimas para todo el grupo, ajustándolos después a las exigencias de cada jurisdicción.

El programa debe definir reglas comunes para la relación con servidores públicos, la participación en licitaciones, la autorización de pagos y la contratación de intermediarios. También debe establecer canales de reporte capaces de comunicar riesgos relevantes a la filial y a la matriz.

Este diseño permite evitar dos extremos: un modelo excesivamente centralizado que ignore la legislación local y un conjunto de programas desconectados que impida a la matriz conocer los riesgos globales.

X. El estándar más exigente como referencia preventiva

Para un grupo con operaciones en México y España, resulta prudente diseñar el programa conforme al estándar más estructurado y adaptarlo a los criterios de ambas jurisdicciones. Esto no implica aplicar directamente el CPE en México ni sustituir el CPF por una normativa extranjera. La finalidad consiste en aprovechar los requisitos más detallados como referencia organizacional y probatoria.

Un programa que incluya identificación de riesgos, protocolos de decisión, controles financieros, canales de denuncia, supervisión independiente, régimen disciplinario y revisión periódica estará mejor preparado para responder ante cualquiera de las dos autoridades. El cumplimiento debe anticipar la pregunta que formulará la fiscalía: ¿qué hizo la empresa, antes del delito, para evitar que un gerente utilizara su posición y sus recursos con la finalidad de sobornar a un servidor público?

Cuando la respuesta se encuentra respaldada por evidencia, la empresa dispone de una defensa. Cuando solamente existen afirmaciones generales, el compliance pierde valor jurídico.

XI. Conclusión: una responsabilidad corporativa transnacional

El mismo soborno puede producir consecuencias distintas para la empresa mexicana y para la filial española. La determinación dependerá de las reglas de imputación, de la posición del directivo, del conocimiento de los órganos de administración y de la eficacia de los controles existentes.

La filial española enfrentará el análisis previsto en el artículo 31 bis del CPE y deberá demostrar, en su caso, la adecuación e implementación previa de su modelo de organización. La matriz mexicana solo podría ser alcanzada si se acredita una conexión suficiente entre sus órganos directivos y el esquema de pagos indebidos.

No obstante, la ausencia de responsabilidad automática no debe confundirse con ausencia de riesgo. Una matriz que desconoce cómo se controla el cumplimiento en sus filiales mantiene un punto ciego dentro de su propia organización.

La responsabilidad penal corporativa ya no se diseña exclusivamente por sociedad o por territorio. En los grupos empresariales internacionales, debe diseñarse por estructura, por cadena de decisión y por riesgo compartido. El compliance eficaz es aquel que reconoce esa realidad antes de que una notificación de la fiscalía la haga evidente.