Por Guillermo Urosa Flores. Urosa Abogados, S.C. Actualizado a septiembre de 2026.
Un programa de cumplimiento no defiende por existir. Defiende si, llegado el momento, puede convertirse en prueba: documentos con fecha cierta, testigos que sostienen lo que la política dice, controles cuyo funcionamiento dejó rastro. Esta guía trata la parte que casi nunca se planea con antelación —cómo el compliance se transforma en material probatorio dentro de un proceso penal— y explica por qué esa conversión debe diseñarse años antes de que haga falta.
¿El compliance excluye la responsabilidad penal de la empresa?
Puede hacerlo, pero no por sí solo y no de manera automática. El artículo 421 del Código Nacional de Procedimientos Penales exige, además del elemento de conexión con el delito, que se haya determinado que existió inobservancia del debido control en la organización. Ese es un elemento de la imputación, no una defensa añadida. Si la empresa acredita que el control debido existía y operaba efectivamente respecto del riesgo que se materializó, el elemento no se colma y la responsabilidad penal de la persona jurídica no se configura. La diferencia con la atenuante del artículo 11 Bis del Código Penal Federal es sustancial: la atenuante reduce la pena; la acreditación del debido control impide que exista responsabilidad que penar.
¿Cuál es la diferencia entre la atenuante y la exclusión?
Son dos efectos distintos que se invocan en momentos procesales distintos.
La atenuante está escrita. El artículo 11 Bis del Código Penal Federal dispone que las sanciones podrán atenuarse hasta en una cuarta parte cuando, con anterioridad al hecho, la persona jurídica contaba con un órgano de control permanente encargado de verificar el cumplimiento de las disposiciones legales aplicables. Es un beneficio de individualización: presupone la responsabilidad y la modula. Su acreditación es relativamente sencilla: basta demostrar la existencia y permanencia del órgano antes del hecho.
La exclusión hay que construirla. No está formulada como eximente expresa. Se articula sobre la ausencia de un elemento típico: si no hubo inobservancia del debido control, falta un componente que el artículo 421 exige. Su acreditación es exigente porque no basta demostrar que el programa existía; hay que demostrar que era idóneo frente a ese riesgo concreto y que operaba al momento de los hechos.
Una defensa competente plantea las dos: la exclusión como pretensión principal y la atenuante como posición de repliegue.
¿Qué tiene que probar exactamente la defensa?
Cuatro extremos, y conviene enunciarlos como los enunciaría un juez.
Existencia anterior al hecho. El programa estaba aprobado, vigente y dotado de recursos antes de la fecha de los hechos. Se prueba con actas del órgano de gobierno, versiones fechadas de las políticas, partidas presupuestales y contratos de servicios asociados.
Idoneidad frente al riesgo materializado. El programa identificaba ese riesgo específico y preveía controles para él. Se prueba con la matriz de riesgos penales por proceso y con el diseño de control correspondiente. Un programa que no contemplaba el riesgo que ocurrió es, respecto de ese hecho, inexistente.
Operación efectiva. Los controles no solo estaban diseñados: se ejecutaban. Se prueba con registros de capacitación, reportes del órgano de cumplimiento al consejo, bitácoras de autorizaciones, expedientes de debida diligencia de terceros, casos investigados por el canal de denuncias y sanciones disciplinarias efectivamente impuestas.
Elusión fraudulenta del control. El autor tuvo que burlar deliberadamente controles que funcionaban. Este es el extremo que cierra la argumentación: convierte al hecho en la desviación individual de un empleado frente a un sistema que operaba, y no en la consecuencia previsible de una organización descuidada.
¿Qué documentos se convierten en prueba y cuáles no?
Sirve como prueba lo que tiene fecha cierta, autoría identificable y trazabilidad. Las actas de consejo protocolizadas, los documentos con sello de tiempo o resguardados en sistemas con registro de auditoría inalterable, los expedientes del canal de denuncias con folio y bitácora, las listas de asistencia firmadas, los correos electrónicos con metadatos preservados y los reportes periódicos entregados a un tercero verificable.
No sirve, o sirve poco, lo que la contraparte puede atribuir a una elaboración posterior: archivos de texto sin control de versiones, presentaciones sin fecha, políticas que nadie puede acreditar haber recibido, y —el caso más frecuente— el programa completo entregado al Ministerio Público como un legajo homogéneo impreso el mes anterior. La forma en que un expediente de cumplimiento se resguarda determina si se puede usar. Es una decisión de arquitectura documental que debe tomarse al implantar el sistema, no al recibir el citatorio.
¿Cómo se usa el testimonio del compliance officer?
Es la pieza más delicada de la estrategia. El responsable de cumplimiento es el testigo natural para acreditar la operación efectiva del programa, y al mismo tiempo es una persona con exposición penal propia si su omisión de deberes de vigilancia contribuyó al hecho. De ahí tres reglas prácticas: el compliance officer debe contar con defensa independiente de la de la empresa desde el primer momento; su declaración debe prepararse sobre documentos, no sobre recuerdos, porque lo que sostiene el testimonio es el expediente; y su autonomía orgánica —presupuesto propio, reporte al consejo, protección frente a la remoción discrecional— deja de ser una buena práctica de gobierno corporativo para convertirse en el fundamento de su credibilidad como testigo.
¿Qué hace el Ministerio Público para desmontar la defensa?
Anticipar la estrategia acusatoria es parte de diseñar el programa. Las líneas habituales son cinco:
- Atacar la fecha. Solicitar el peritaje informático que revele cuándo se creó realmente cada archivo.
- Atacar la autonomía. Demostrar que el responsable de cumplimiento dependía jerárquica o económicamente de quien debía vigilar.
- Atacar la operación. Preguntar cuántas denuncias se recibieron, cuántas se investigaron y cuántas sanciones se impusieron. La respuesta ninguna, en cinco años destruye el argumento de eficacia.
- Atacar la cobertura. Mostrar que la matriz de riesgos no incluía el proceso donde ocurrió el delito.
- Atacar la coherencia. Contrastar la política escrita con la práctica acreditada por testigos: si la política prohibía los pagos en efectivo y la tesorería los hacía rutinariamente, el documento prueba en contra de la empresa.
Cada una de estas líneas tiene una contramedida que se implanta durante el diseño y ya no se puede implantar después.
¿Y si el programa era imperfecto?
Es el escenario más común, y no es perdido. El artículo 422 del Código Nacional ordena al juzgador valorar el grado de inobservancia del debido control, junto con el volumen de negocio, la naturaleza de la persona jurídica, el puesto que ocupaban las personas físicas implicadas y el grado de sujeción de la empresa al cumplimiento de la normativa. El debido control es una magnitud, no un interruptor. Una empresa con un programa parcial, con controles reales en algunas áreas y débiles en otras, discute la graduación y no el todo o nada. La combinación defensiva en ese caso es acreditar la porción del sistema que sí funcionaba, invocar la atenuante del artículo 11 Bis y aportar la remediación posterior como elemento de valoración.
¿Sirve implementar el programa después de iniciada la carpeta?
No para lo que la mayoría espera. La atenuante del artículo 11 Bis exige que el órgano de control existiera con anterioridad al hecho, y la exclusión por debido control se refiere al control vigente al momento del delito. Un programa implantado después no cubre ninguno de los dos supuestos. Sí tiene valor en tres frentes distintos y nada despreciables: como elemento de negociación de soluciones alternas o de terminación anticipada, que el artículo 424 del Código Nacional declara aplicables al procedimiento contra personas jurídicas; como demostración de que la empresa cesó el riesgo, relevante en la individualización; y como prevención de la reiteración, que es lo que el Ministerio Público y el juez efectivamente quieren ver. Lo que no hará es reescribir el pasado.
¿Qué papel juega la investigación interna?
Decisivo, y ambivalente. Una investigación interna bien conducida permite a la empresa conocer los hechos antes que la autoridad, delimitar responsabilidades individuales, cesar el riesgo y decidir con información si conviene autodenunciar o negociar. Mal conducida, fabrica prueba en contra: entrevistas sin advertencia de derechos, evidencia digital sin cadena de custodia, conclusiones escritas que la Fiscalía después incorpora íntegras a la carpeta. Tres decisiones deben tomarse antes de iniciar cualquier investigación: bajo qué cobertura de secreto profesional se realiza, quién es el cliente del abogado que la conduce —la sociedad, no el directivo— y qué se documentará por escrito y qué no. Improvisar esas tres decisiones cuesta más que la propia irregularidad investigada.
Preguntas frecuentes
¿El compliance es una eximente expresa en la ley mexicana?
No está formulado como eximente autónoma. Opera sobre el elemento de inobservancia del debido control que el artículo 421 del Código Nacional exige para configurar la responsabilidad, y como atenuante expresa de hasta una cuarta parte conforme al artículo 11 Bis del Código Penal Federal.
¿Quién tiene la carga de probar el debido control?
La inobservancia del debido control es un elemento de la imputación que corresponde acreditar al Ministerio Público. En la práctica, la defensa que no aporta evidencia positiva del control implantado deja al juzgador sin contrapeso frente a la versión acusatoria.
¿Puede la empresa acogerse a una solución alterna?
Sí. El artículo 424 del Código Nacional dispone que las soluciones alternas y las formas de terminación anticipada previstas en el propio Código son aplicables al procedimiento contra personas jurídicas en lo que resulten compatibles.
¿La empresa y el directivo pueden compartir abogado?
No es recomendable y con frecuencia es inviable. Los intereses divergen desde el primer momento: a la sociedad le conviene acreditar que el directivo eludió controles que funcionaban, y al directivo le conviene lo contrario. La defensa conjunta genera un conflicto de interés que puede comprometer a ambos.
¿Cuánto pesa la certificación de un tercero?
Aporta verificación externa de que el sistema existe y opera, lo que es difícil de refutar. No sustituye la acreditación de idoneidad frente al riesgo concreto, que es lo que decide el caso.
Nota sobre el estado del criterio judicial
A la fecha de esta revisión no localizamos criterio jurisprudencial obligatorio de la Suprema Corte de Justicia de la Nación que fije el contenido, los estándares probatorios o la distribución de la carga respecto del debido control del artículo 421. Conforme al artículo 217 de la Ley de Amparo —última reforma publicada el 13 de marzo de 2025—, únicamente la jurisprudencia de la Suprema Corte, de los plenos regionales y de los tribunales colegiados vincula en los términos ahí establecidos; los criterios aislados orientan sin obligar. La consecuencia práctica es que en esta materia el criterio se está fijando ahora, en los asuntos que hoy se litigan.
Ver también: defensa penal de empresarios y delitos de cuello blanco.
Este contenido tiene fines informativos y no constituye asesoría jurídica para un caso concreto. Urosa Abogados, S.C. — Guillermo González Camarena 1450, piso 4, oficina C, Centro de Ciudad Santa Fe, Álvaro Obregón, C.P. 01210, Ciudad de México. Tel. 55 5292 8002.