Por Guillermo Urosa Flores. Urosa Abogados, S.C. Actualizado a septiembre de 2026.
Desde 2016, en México una empresa puede ser imputada, vinculada a proceso y condenada penalmente por derecho propio. No se trata de que respondan sus directivos: responde la persona moral, con su patrimonio, su operación y su existencia jurídica en juego. Esta guía explica en qué supuestos ocurre, qué delitos activan esa responsabilidad, qué sanciones se imponen y por qué el concepto de debido control decide el resultado.
¿Puede una empresa cometer un delito en México?
Sí. El artículo 421 del Código Nacional de Procedimientos Penales establece que las personas jurídicas serán penalmente responsables de los delitos cometidos a su nombre, por su cuenta, en su beneficio o a través de los medios que ellas proporcionen, cuando se haya determinado que además existió inobservancia del debido control en su organización. El Ministerio Público puede ejercer la acción penal contra la empresa —con excepción de las instituciones estatales— con independencia de la que ejerza contra las personas físicas involucradas. Es decir: no se necesita condenar primero al directivo para condenar a la sociedad. Son dos vías autónomas que pueden correr en paralelo, y el desistimiento o la exclusión de responsabilidad de la persona física no libera a la persona moral.
¿Qué se necesita exactamente para que una empresa sea responsable?
El artículo 421 exige dos elementos que deben concurrir. El primero es un elemento de conexión: que el delito se haya cometido a nombre de la empresa, por su cuenta, en su beneficio o valiéndose de los medios que ella proporcionó. Basta cualquiera de esas cuatro hipótesis; no se requieren todas. El segundo es el elemento de imputación propia: que haya existido inobservancia del debido control en la organización. Este segundo elemento es el que convierte el modelo mexicano en un régimen de responsabilidad por defecto de organización y no en una responsabilidad automática por el hecho ajeno. Sin defecto de control acreditado, la conducta del empleado o del directivo no se traslada a la sociedad. Ahí se juega la defensa.
¿Por qué delitos puede ser imputada una empresa?
No por todos. El artículo 11 Bis del Código Penal Federal contiene el catálogo cerrado en el orden federal, dividido en dos apartados. El apartado A enumera delitos del propio Código Penal Federal: terrorismo, delitos contra la salud, corrupción de menores, cohecho y tráfico de influencias, falsificación de moneda, robo y tráfico de vehículos, fraude, delitos ambientales y delitos en materia de derechos de autor, entre otros. El apartado B remite a delitos previstos en leyes especiales: tráfico de armas, trata de personas, secuestro, contrabando, defraudación fiscal, delitos del mercado de valores y delitos en materia de hidrocarburos. Cada entidad federativa tiene su propio catálogo en su código penal local, y no siempre coincide con el federal. La primera pregunta de cualquier análisis de exposición es, por tanto, qué catálogo aplica.
¿Qué sanciones pueden imponerse a una persona moral?
El artículo 422 del Código Nacional prevé, entre otras, la sanción pecuniaria o multa, el decomiso de instrumentos, objetos o productos del delito, la publicación de la sentencia y la disolución de la sociedad. El artículo 11 Bis del Código Penal Federal añade la suspensión de actividades de seis meses a seis años, la clausura de locales o establecimientos, la prohibición de realizar determinadas actividades hasta por diez años, la inhabilitación para contratar con el sector público y la intervención judicial de la empresa. Para una compañía con contratos públicos, licencias sectoriales o financiamiento bancario, la inhabilitación y la publicación de la sentencia suelen ser más devastadoras que la multa: afectan la operación futura, no solo el balance del ejercicio.
¿Cómo decide el juez la sanción concreta?
El artículo 422 fija los criterios de individualización, y conviene leerlos porque describen exactamente qué debe documentar una empresa desde antes de que exista un problema. El juzgador pondera el grado de inobservancia del debido control, el monto de dinero involucrado, la naturaleza y el volumen de negocio de la persona jurídica, el puesto que ocupaban las personas físicas implicadas, el grado de sujeción de la empresa al cumplimiento de la normativa aplicable y el interés público afectado. Nótese la implicación práctica: el debido control no es un requisito binario que se tiene o no se tiene, sino una magnitud graduable que se mide. Una empresa con un programa imperfecto pero real está en una posición distinta de una que no tiene nada.
¿La empresa puede librarse disolviéndose, fusionándose o vendiéndose?
No. El artículo 421 cierra expresamente esa salida. La responsabilidad penal de la persona jurídica no se extingue cuando la sociedad se transforma, se fusiona, es absorbida o se escinde. Tampoco se extingue mediante su disolución aparente, entendida como aquella en la que la empresa continúa su actividad económica y mantiene su identidad sustancial de clientes, proveedores, empleados o activos. La consecuencia para las operaciones corporativas es directa: el riesgo penal se hereda. En una compra de acciones o en una fusión, la contingencia penal de la sociedad objetivo pasa a la adquirente, y una debida diligencia que no la revisa deja fuera del precio un pasivo que puede resultar mayor que el fiscal o el laboral.
¿Qué es el debido control y quién tiene que probarlo?
El Código Nacional no define el debido control. Es una cláusula abierta que el juzgador llena caso por caso, y en la práctica se acredita con la existencia y el funcionamiento efectivo de un modelo de prevención de delitos: mapa de riesgos penales por proceso, políticas y protocolos escritos, un órgano de vigilancia con autonomía real, canal de denuncias operativo, régimen disciplinario aplicado, capacitación registrada, controles financieros y revisión periódica documentada. La distribución de la carga probatoria es materia todavía en construcción en México. En la práctica del litigio, el Ministerio Público debe acreditar la inobservancia como elemento de la imputación, pero la defensa que no aporta evidencia positiva del control implantado deja al juzgador sin contrapeso frente a la narrativa acusatoria. La regla operativa es incómoda pero clara: quien no documentó, no puede probar.
¿Tener un programa de compliance sirve de algo si el delito ya ocurrió?
Sí, y en dos niveles distintos. En el primero, el artículo 11 Bis del Código Penal Federal prevé expresamente que las sanciones pueden atenuarse hasta en una cuarta parte cuando, con anterioridad al hecho, la persona jurídica contaba con un órgano de control permanente encargado de verificar el cumplimiento de las disposiciones legales aplicables. Es una reducción de hasta el veinticinco por ciento reconocida en la ley. En el segundo nivel, más importante, el programa opera sobre el propio elemento típico: si se acredita que existía un control debido y efectivamente ejecutado, no se colma la inobservancia que exige el artículo 421 y la responsabilidad de la persona jurídica no se configura. La atenuante está escrita; la exclusión hay que construirla.
¿Qué cambió en los últimos dos años que agrava la exposición de las empresas?
Tres reformas modifican el cálculo de riesgo corporativo.
Prisión preventiva oficiosa ampliada. La reforma al artículo 19 constitucional publicada en el Diario Oficial de la Federación el 31 de diciembre de 2024, vigente desde el 1 de enero de 2025, incorporó al catálogo de prisión preventiva oficiosa el contrabando y las actividades relacionadas con falsos comprobantes fiscales, además de extorsión, narcomenudeo y drogas sintéticas. La reforma prohíbe además cualquier interpretación extensiva o restrictiva de esas hipótesis. Para un directivo imputado por operaciones simuladas, esto significa que la discusión sobre medidas cautelares deja de ser un debate abierto.
Nueva Ley General en materia de Extorsión. Publicada el 28 de noviembre de 2025 y vigente desde el día siguiente, unifica el tipo penal en todo el país con penas de quince a veinticinco años y agrava expresamente las conductas dirigidas contra empresas: imponer proveedores, condicionar contrataciones, exigir cuotas o instrumentalizar cámaras, sindicatos o autoridades para presionar. Prácticas históricamente toleradas quedaron tipificadas como extorsión agravada, y quienes las faciliten desde dentro de la empresa responden penalmente.
Reforma antilavado. La reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, publicada el 16 de julio de 2025, redujo el umbral de beneficiario controlador del cincuenta al veinticinco por ciento, elevó a rango legal la obligación de contar con un manual de cumplimiento y una auditoría anual, y permite ahora sancionar el incumplimiento culposo, no solo el doloso.
¿Cómo se tramita el procedimiento contra una persona jurídica?
El procedimiento está en el Título X, Capítulo II del Código Nacional. El Ministerio Público formula imputación contra la persona jurídica y notifica a su representante, quien —asistido por defensor— puede participar en todos los actos del procedimiento (artículo 423). Son aplicables las soluciones alternas y las formas de terminación anticipada previstas en el propio Código, en lo que resulten compatibles (artículo 424). La sentencia resuelve de manera independiente la situación de la persona física y la de la persona jurídica, e impone a cada una las sanciones que correspondan (artículo 425). En lo no previsto, rigen las reglas del procedimiento ordinario. Un punto que suele pasarse por alto: el representante que designe la empresa no puede ser quien esté imputado por los mismos hechos, porque su interés y el de la sociedad ya están enfrentados.
¿Qué debe hacer una empresa que aún no tiene nada implementado?
En orden de urgencia real, no de conveniencia presupuestal:
- Determinar el catálogo aplicable. Federal, local o ambos, según dónde opere y qué delitos sean plausibles en su giro.
- Levantar el mapa de riesgos penales por proceso, con dueño de riesgo identificado. No un listado genérico de delitos: los puntos concretos de la operación donde el delito puede ocurrir.
- Revisar quién puede obligar a la sociedad. Poderes, facultades de firma, autorizaciones de pago y contratación de terceros.
- Implantar el canal de denuncias con garantía de no represalia y trazabilidad de la investigación interna.
- Documentar. Un control que existe pero no consta es, procesalmente, un control que no existió.
Preguntas frecuentes
¿Desde cuándo existe en México la responsabilidad penal de las personas jurídicas?
Desde la entrada en vigor del sistema penal acusatorio en todo el país, en junio de 2016, con el Título X, Capítulo II del Código Nacional de Procedimientos Penales y el artículo 11 Bis del Código Penal Federal.
¿Responde la empresa aunque el directivo actúe sin autorización?
Puede responder. El artículo 421 no exige autorización expresa: basta que el delito se haya cometido a nombre de la empresa, por su cuenta, en su beneficio o con los medios que ella proporcionó, y que exista inobservancia del debido control. La actuación no autorizada es precisamente el escenario donde el defecto de organización se discute.
¿Puede ir a prisión un representante legal por un delito de la empresa?
La persona moral no puede ser privada de la libertad, pero las personas físicas que intervinieron sí responden individualmente conforme a las reglas generales de autoría y participación, y desde 2025 varios de los delitos con exposición empresarial están en el catálogo de prisión preventiva oficiosa.
¿Una empresa extranjera con operación en México queda sujeta a este régimen?
Sí, respecto de los hechos cometidos en territorio nacional o que surtan efectos en él, conforme a las reglas de aplicación espacial de la ley penal mexicana. La estructura corporativa en el extranjero no sustrae a la subsidiaria mexicana del régimen.
¿El compliance es obligatorio en México?
No existe una obligación general de contar con un modelo de prevención de delitos para toda empresa. Sí existen obligaciones sectoriales —notablemente en materia antilavado— y el debido control es el elemento que decide la responsabilidad penal. En términos prácticos, no es obligatorio, pero su ausencia se paga en sede penal.
Nota sobre el estado del criterio judicial
A la fecha de esta revisión no localizamos criterio jurisprudencial obligatorio de la Suprema Corte de Justicia de la Nación que defina el contenido del debido control del artículo 421. El desarrollo se encuentra en criterios aislados de tribunales colegiados y en doctrina. Conforme al artículo 217 de la Ley de Amparo —última reforma publicada el 13 de marzo de 2025—, solo la jurisprudencia de la Suprema Corte, de los plenos regionales y de los tribunales colegiados obliga en los términos ahí previstos; un criterio aislado orienta, pero no vincula. Esta circunstancia tiene una lectura estratégica: en materia de responsabilidad penal de la persona jurídica, buena parte de los criterios están todavía por fijarse, y la defensa que llega con un expediente de cumplimiento sólido participa en la construcción de ese criterio en lugar de sufrirlo.
Ver también: defensa penal de empresarios y delitos de cuello blanco.
Este contenido tiene fines informativos y no constituye asesoría jurídica para un caso concreto. Urosa Abogados, S.C. — Guillermo González Camarena 1450, piso 4, oficina C, Centro de Ciudad Santa Fe, Álvaro Obregón, C.P. 01210, Ciudad de México. Tel. 55 5292 8002.