Por Guillermo Urosa Flores. Urosa Abogados, S.C. Actualizado a septiembre de 2026.
La mayoría de los programas de cumplimiento que hemos revisado en México fallarían la prueba para la que fueron creados. Existen como carpeta, no como sistema: un código de ética firmado hace tres años, una política de regalos que nadie consulta y un correo de denuncias que llega al director al que habría que denunciar. Ante un juez penal eso no acredita debido control; acredita que la empresa sabía que debía tener controles y no los implantó. Esta guía describe qué debe contener un programa que sí funcione, en qué orden se construye y dónde fallan la mayoría.
¿Qué es un programa de compliance penal?
Es el sistema de gobierno, políticas, controles y evidencias mediante el cual una empresa previene, detecta y responde a la comisión de delitos en su operación. En México su función jurídica es precisa: acreditar el debido control que exige el artículo 421 del Código Nacional de Procedimientos Penales para descartar la responsabilidad penal de la persona jurídica, y activar la atenuante de hasta una cuarta parte prevista en el artículo 11 Bis del Código Penal Federal para la empresa que contaba con un órgano de control permanente antes del hecho. No es un documento ni una certificación: es un sistema que produce evidencia verificable de su propio funcionamiento.
¿Es obligatorio tener un programa de compliance en México?
No existe una obligación general aplicable a toda empresa. Existen tres presiones distintas que en la práctica lo vuelven inevitable. La primera es penal: sin debido control acreditado, la sociedad queda expuesta a multa, clausura, prohibición de actividades hasta por diez años, inhabilitación para contratar con el sector público y disolución. La segunda es sectorial: la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, tras su reforma del 16 de julio de 2025, elevó a rango legal el manual de cumplimiento, la auditoría anual y la capacitación anual para quienes realizan actividades vulnerables. La tercera es contractual: cadenas de suministro y clientes internacionales exigen el programa como condición de contratación.
¿Qué elementos debe contener el programa como mínimo?
Un modelo defendible se sostiene sobre nueve componentes. Ninguno es prescindible, porque el juzgador no evalúa la existencia del programa sino su idoneidad frente al riesgo concreto que se materializó.
1. Compromiso acreditable de la alta dirección. Acta de consejo o de asamblea que aprueba el programa, asigna presupuesto y designa al responsable. Sin ese registro societario, todo lo demás carece de origen.
2. Matriz de riesgos penales por proceso. No un listado de delitos, sino la identificación de los puntos concretos de la operación donde cada delito del catálogo aplicable puede ocurrir, con probabilidad, impacto y dueño de riesgo. Compras, ventas, tesorería, aduanas, relaciones con autoridades, contratación de terceros, recursos humanos.
3. Órgano de cumplimiento con autonomía real. Reporte directo al consejo o a un comité, presupuesto propio, acceso irrestricto a información y protección frente a remoción discrecional. El compliance officer que depende del director al que debe vigilar es el defecto de diseño más común y el más fácil de exhibir en juicio.
4. Políticas y protocolos escritos y aplicables. Código de ética, política de conflictos de interés, de regalos y atenciones, de donativos y contribuciones políticas, de contratación de terceros, de relación con servidores públicos, de uso de efectivo y de facturación.
5. Canal de denuncias operativo. Accesible a empleados y a terceros, con opción de anonimato, garantía documentada de no represalia, plazos de atención y trazabilidad completa del expediente.
6. Protocolo de investigación interna. Quién investiga, cómo se preserva la evidencia, cómo se resguarda la cadena de custodia digital, cómo se entrevista sin vulnerar derechos y cómo se decide si procede la autodenuncia.
7. Régimen disciplinario efectivamente aplicado. Consecuencias graduadas y aplicadas de forma consistente. Un régimen que nunca se ha usado prueba lo contrario de lo que pretende.
8. Capacitación registrada. Con listas de asistencia, evaluación de comprensión y refuerzo periódico diferenciado por función. La capacitación general anual no acredita nada respecto del área de riesgo concreta.
9. Monitoreo, auditoría y actualización. Revisión periódica documentada del propio sistema, con hallazgos y acciones correctivas fechadas.
¿Cómo se implementa? Fases y plazos reales
Fase 0 — Diagnóstico (2 a 4 semanas). Levantamiento del estado actual, revisión de poderes y facultades, entrevistas con áreas de riesgo, identificación del catálogo penal aplicable federal y local, y evaluación de contingencias ya existentes. Esta fase debe realizarse bajo cobertura de secreto profesional, porque suele revelar hechos que la empresa no conocía.
Fase 1 — Matriz de riesgos (4 a 6 semanas). Mapeo por proceso, valoración, asignación de dueños y definición de controles existentes y faltantes.
Fase 2 — Diseño normativo (6 a 10 semanas). Redacción del código de ética, políticas, protocolos y estatuto del órgano de cumplimiento; aprobación en el órgano de gobierno y protocolización.
Fase 3 — Implantación (8 a 12 semanas). Puesta en marcha del canal de denuncias, capacitación inicial, comunicación interna, integración de cláusulas de cumplimiento en contratos con terceros y ajuste de controles operativos.
Fase 4 — Operación y verificación (permanente). Reportes periódicos al consejo, pruebas de eficacia de controles, auditoría anual y actualización de la matriz. Un programa sin evidencia de operación posterior a su implantación se degrada a documento en aproximadamente doce meses.
¿Qué diferencia hay entre un programa de compliance y la certificación ISO 37301?
La ISO 37301 es la norma internacional de sistemas de gestión de cumplimiento. Certificarse acredita ante un tercero independiente que el sistema está diseñado y opera conforme a un estándar reconocido, lo que aporta valor probatorio y comercial considerable. Pero la certificación evalúa el sistema de gestión, no la idoneidad penal del modelo frente al catálogo de delitos mexicano. Son capas complementarias: la ISO 37301 aporta estructura, disciplina documental y verificación externa; el análisis penal aporta la conexión entre cada control y el tipo penal concreto que pretende prevenir. Un sistema certificado sin análisis penal puede estar impecablemente gestionado y no cubrir el riesgo que efectivamente se materializa.
¿Cuáles son los errores que vuelven inservible un programa?
- Copiar un modelo español o estadounidense sin adaptarlo. Los catálogos de delitos, los estándares probatorios y los incentivos procesales son distintos. Un programa articulado sobre la Foreign Corrupt Practices Act no responde al artículo 11 Bis.
- Nombrar compliance officer al director jurídico o al director de finanzas. Se destruye la autonomía y, llegado el conflicto, se destruye también el secreto profesional del abogado interno.
- Canal de denuncias que desemboca en el correo del área denunciable. Anula la función y, peor, documenta que la empresa conoció el hecho y no actuó.
- Cero denuncias durante años y presentarlo como buena noticia. Un canal sin uso indica desconfianza o desconocimiento, no ausencia de irregularidades. Es un hallazgo negativo.
- No documentar. Es el error terminal. Controles que operan pero no dejan rastro son, procesalmente, controles inexistentes.
- No actualizar tras un cambio relevante. Nueva línea de negocio, adquisición, cambio de jurisdicción o reforma legal sin ajuste de la matriz dejan el modelo desalineado del riesgo real.
¿Qué obligaciones nuevas trajo la reforma antilavado de 2025?
Para quienes realizan actividades vulnerables, la reforma publicada el 16 de julio de 2025 endureció el régimen de forma sustantiva. El umbral del beneficiario controlador bajó del cincuenta al veinticinco por ciento de participación directa o indirecta, y debe tratarse siempre de una persona física, con registro en la plataforma electrónica de la Secretaría de Economía y verificación mediante documentos oficiales, no por simple declaración del cliente. Se redujeron umbrales relevantes: activos virtuales de 645 a 210 unidades de medida y actualización por operación, fideicomisos de 8,025 a 4,000, y transmisión de derechos sobre inmuebles de 16,000 a 8,025. Se elevaron a rango legal el manual de cumplimiento, la auditoría anual —externa para perfiles de alto riesgo—, los sistemas automatizados de monitoreo, los criterios de selección de personal y la capacitación anual. El desarrollo inmobiliario se reconoció como actividad vulnerable autónoma y se eliminaron los requisitos de habitualidad y profesionalidad. Y el cambio de mayor calado práctico: las sanciones ahora alcanzan el incumplimiento culposo, no solo el doloso, aunque la autocorrección previa a la detección exime.
¿Cuánto cuesta y quién debe pagarlo?
El costo depende del número de procesos críticos, de la dispersión geográfica y del grado de madurez previo, no del tamaño del balance. Un diagnóstico serio de una empresa mediana con operación en una sola jurisdicción es un proyecto de semanas; un programa completo para un grupo con varias sociedades, comercio exterior y contratación pública es un proyecto de varios meses con operación permanente posterior. La comparación relevante no es contra el presupuesto de otras áreas, sino contra la exposición: multa, decomiso, publicación de la sentencia, suspensión de actividades hasta por seis años, prohibición de actividades hasta por diez e inhabilitación para contratar con el sector público. En una empresa que vive de contratos públicos o de licencias sectoriales, un solo procedimiento penal cuesta más que una década de programa.
¿Quién debe diseñarlo: un consultor, un despacho o el área interna?
El diseño de un modelo de prevención de delitos es una tarea penal antes que administrativa. Requiere conocer cómo se construye una imputación, qué convence a un juez de control, qué se puede y no se puede documentar sin generar prueba en contra, y cómo se comporta el Ministerio Público en la práctica. Un consultor de procesos produce un sistema de gestión ordenado; un penalista que no ha operado un área de cumplimiento produce un documento que la organización no puede ejecutar. La combinación que funciona reúne tres capacidades: litigio penal, operación real de cumplimiento y conocimiento del sector de la empresa. El área interna, en todo caso, debe quedarse con la operación: un programa que depende permanentemente de un tercero externo no acredita control propio.
Preguntas frecuentes
¿Cuánto tarda implementar un programa de compliance penal?
Entre cuatro y seis meses para una empresa mediana con una sola jurisdicción, contando diagnóstico, matriz de riesgos, diseño normativo e implantación. La operación y verificación son permanentes.
¿Una empresa pequeña necesita programa de compliance?
Necesita controles proporcionales a su riesgo. El artículo 422 del Código Nacional manda considerar la naturaleza y el volumen de negocio al individualizar la sanción, de modo que a una empresa pequeña no se le exige la estructura de una multinacional, pero sí controles reales sobre sus puntos de exposición.
¿El compliance officer puede ser responsable penalmente?
Puede serlo, en su carácter de persona física, si participa en el delito o si su omisión de deberes de vigilancia contribuye a él. Es una razón adicional para que el cargo cuente con autonomía, presupuesto y facultades documentadas.
¿Sirve un programa implementado después de que inició la carpeta de investigación?
No acredita el debido control anterior al hecho ni activa la atenuante del artículo 11 Bis, que exige que el órgano de control existiera con anterioridad. Sí tiene valor para la negociación de soluciones alternas y para acreditar la voluntad de remediación, pero no sustituye lo que debió existir antes.
¿La certificación ISO 37301 protege penalmente?
No de forma automática. Aporta evidencia sólida de que el sistema de gestión existe y opera, verificada por un tercero independiente, pero la defensa penal exige demostrar además que los controles cubrían el riesgo concreto que se materializó.
Ver también: defensa penal de empresarios y delitos de cuello blanco.
Este contenido tiene fines informativos y no constituye asesoría jurídica para un caso concreto. Urosa Abogados, S.C. — Guillermo González Camarena 1450, piso 4, oficina C, Centro de Ciudad Santa Fe, Álvaro Obregón, C.P. 01210, Ciudad de México. Tel. 55 5292 8002.