Desde la entrada en vigor del sistema penal acusatorio, la responsabilidad penal en México alcanza también a las personas morales. Una empresa puede ser imputada por hechos cometidos a su nombre, por su cuenta o en su beneficio, por quienes actúan bajo su ámbito de organización.
La consecuencia práctica es que la empresa deja de ser un tercero en el proceso. Tiene una posición procesal propia, distinta de la de sus directivos, y puede enfrentar sanciones propias: multa, suspensión de actividades, clausura, prohibición de realizar determinadas operaciones, e incluso disolución.
Lo que suele decidir el resultado no ocurre durante el proceso, sino antes. La ley valora si la empresa contaba con órganos de control adecuados para prevenir el hecho. Esa valoración se hace sobre documentos y sobre conducta: qué riesgos había identificado, qué controles había puesto, y si esos controles operaban de verdad.
De ahí que el compliance haya dejado de ser una cuestión reputacional para volverse una cuestión de defensa. Un programa construido después del hecho no sirve para el hecho; sirve para el siguiente. El que sirve para éste es el que ya existía, con fechas anteriores y con rastro de haber operado.
Para la dirección hay una segunda consecuencia, menos comentada: la responsabilidad de la persona moral no sustituye la de la persona física. Pueden coexistir. Una empresa bien defendida y un directivo sin defensa propia es una situación frecuente y evitable.