Una empresa sólida no se declara, se construye: tres pilares para pasar de la contingencia a la prevención

Por Vero Bonilla

Abogada corporativa y fundadora de Corporativo Bonilla

Después de casi tres décadas acompañando empresas, he llegado a una conclusión que se repite con demasiada frecuencia: muchos de los conflictos jurídicos que parecen surgir de manera inesperada comenzaron años antes, cuando una decisión aparentemente menor no fue documentada, supervisada o prevista. El problema rara vez nace el día en que llega una auditoría, se rompe una relación entre socios, aparece una contingencia penal o la autoridad cuestiona una operación. Para entonces, normalmente el riesgo ya llevaba tiempo construyéndose dentro de la organización.

Durante años he visto empresarios extraordinarios en su actividad: conocen su mercado, negocian con precisión, generan empleo, construyen relaciones comerciales y toman decisiones difíciles todos los días. Sin embargo, una parte importante de ese talento empresarial sigue operando bajo una lógica jurídica reactiva: se llama al abogado cuando el problema ya existe. Se revisan los poderes cuando el banco rechaza una operación; se actualizan los libros corporativos cuando entra un inversionista; se busca la evidencia de un servicio cuando la autoridad fiscal cuestiona su existencia; se redacta un protocolo cuando ya ocurrió el incidente. Ese modelo puede haber sido tolerable en otro entorno regulatorio, pero hoy resulta insuficiente. La empresa contemporánea está sometida a una red de obligaciones corporativas, fiscales, laborales, regulatorias y, en ciertos supuestos, penales que exige algo más que documentos correctamente redactados: exige coherencia entre la estructura jurídica, las decisiones de sus órganos y la operación cotidiana.

Mi práctica profesional me ha llevado a insistir en una idea sencilla: la prevención jurídica no consiste en llenar archivadores. Consiste en construir evidencia, responsabilidades y controles antes de que sean necesarios para una defensa. Desde esa perspectiva identifico tres pilares que se encuentran profundamente conectados: un sistema de compliance que funcione; un gobierno corporativo que refleje la realidad de la sociedad; y una operación cuya materialidad pueda acreditarse. Los tres responden a la misma pregunta: ¿puede la empresa demostrar que lo que dice ser en sus documentos coincide con la forma en que realmente actúa?

I. Compliance: del manual a la evidencia de control

El primer pilar es el compliance, pero entendido fuera de la caricatura que lo reduce a un código de ética, un manual descargado de internet o una carpeta de políticas que nadie consulta. La ISO 37301:2021 concibe el compliance como un sistema de gestión: establecer, desarrollar, implementar, evaluar, mantener y mejorar de manera continua la capacidad de una organización para cumplir sus obligaciones. Su lógica descansa en elementos como liderazgo, identificación de obligaciones, evaluación de riesgos, responsabilidades, capacitación, seguimiento y mejora. No es una norma reservada a grandes corporaciones; su propia concepción permite adaptarla al tamaño, naturaleza y contexto de cada organización. La proporcionalidad es precisamente una de sus fortalezas.

En 2025 se publicó dentro de esta misma familia normativa la ISO 37302, que introduce algo que en mi práctica profesional resulta decisivo: una metodología para evaluar si un sistema de compliance realmente opera, con indicadores concretos y una escala de madurez, en lugar de limitarse a constatar que existe. Ninguna ley mexicana exige esta norma como requisito ni la menciona expresamente; pero, a mi juicio, ofrece un marco de referencia útil precisamente para el tipo de evidencia que exige el debido control organizacional del artículo 421 del Código Nacional de Procedimientos Penales: no basta con documentar el sistema, hay que poder acreditar que funcionaba antes de que el hecho ocurriera. Ese es el punto exacto donde la distancia entre un sistema real y uno meramente documental deja de ser una cuestión de forma para convertirse en una cuestión de prueba.

En México, esta conversación dejó de ser exclusivamente reputacional. El Código Nacional de Procedimientos Penales prevé, en su artículo 421, que las personas jurídicas pueden ser penalmente responsables por determinados delitos cometidos a su nombre, por su cuenta, en su beneficio o mediante los medios que proporcionen, cuando además exista inobservancia del debido control en su organización. El artículo 422 dispone que, al individualizar las consecuencias jurídicas, el órgano jurisdiccional debe considerar, entre otros factores, la magnitud de esa inobservancia y el grado de sujeción y cumplimiento de las disposiciones legales y reglamentarias. A su vez, el artículo 11 Bis del Código Penal Federal contempla, para los delitos incluidos en su catálogo, la posibilidad de atenuar hasta en una cuarta parte determinadas sanciones cuando, antes del hecho imputado, la persona jurídica contaba con un órgano de control permanente encargado de verificar el cumplimiento normativo y dar seguimiento a políticas internas de prevención delictiva, además de realizar acciones de disminución del daño en los términos legales.

La precisión jurídica importa. No significa que contar con un programa de compliance vuelva inmune a una empresa, ni que cualquier manual produzca automáticamente una atenuante. Significa algo más serio: el sistema jurídico mexicano ya reconoce el debido control organizacional como un elemento relevante para analizar la responsabilidad de la persona jurídica y para individualizar sus consecuencias. Por eso, cuando una empresa me dice que ‘sí tiene compliance’, mi siguiente pregunta no es dónde está el manual. Pregunto quién identifica los riesgos, quién puede detener una operación, cómo se reporta una irregularidad, qué evidencia existe de las capacitaciones, quién supervisa a terceros críticos y qué ocurre cuando una política se incumple. La distancia entre un sistema real y uno meramente documental aparece en esas respuestas. El compliance útil es proporcional al riesgo y a la organización; pero, por pequeño que sea el negocio, debe poder demostrar que el control existía antes del problema.

“La prevención jurídica no consiste en producir documentos para el expediente futuro; consiste en hacer que la organización pueda explicar y probar cómo tomó sus decisiones.”

II. Gobierno corporativo: cuando la realidad de la empresa debe coincidir con sus papeles

El segundo pilar es el gobierno corporativo. En las pequeñas y medianas empresas suele existir la idea de que hablar de gobierno corporativo es hablar de consejos sofisticados, comités y estructuras diseñadas para sociedades bursátiles. Esa visión pierde de vista lo esencial. Antes que sofisticación, el gobierno corporativo significa saber quién es socio, quién decide, quién administra, quién representa a la sociedad y bajo qué reglas se adoptan y ejecutan las decisiones relevantes.

La Ley General de Sociedades Mercantiles ofrece una arquitectura concreta, establece que la representación de toda sociedad mercantil corresponde a su administrador o administradores, quienes pueden realizar las operaciones inherentes al objeto social salvo las limitaciones legales o estatutarias; las sociedades anónimas están  obligadas a llevar un registro de acciones y reconocen como dueño, frente a la sociedad, a quien aparezca inscrito en él; se  regula la administración, se delimitan las facultades de los gerentes a aquellas que expresamente se les confieran. Los cuales constituyen la cadena jurídica que permite saber quién puede comprometer a la empresa y con qué alcance.

En la práctica, el problema aparece cuando la empresa real y la empresa documental se separan. He encontrado sociedades en las que el accionista que todos reconocen nunca fue inscrito correctamente; poderes que continúan vigentes mucho después de que la persona dejó la organización; administradores que firman operaciones sin que nadie haya revisado si sus facultades corresponden al acto; aumentos de capital que fueron acordados económicamente pero nunca completaron su ruta corporativa; o empresas familiares donde durante años todos supieron ‘de palabra’ qué porcentaje correspondía a cada integrante. Mientras existe confianza, el desorden puede permanecer invisible. Cuando aparece una sucesión, una separación, una venta, un crédito, una inversión o un conflicto, aquello que parecía un detalle administrativo se convierte en un problema de prueba y de legitimación.

Aquí también conviene evitar afirmaciones absolutas. No toda irregularidad corporativa produce automáticamente la nulidad de un acto ni genera por sí sola responsabilidad ilimitada del administrador; las consecuencias dependen del tipo social, del acto, de las facultades conferidas, de los estatutos y de la norma aplicable. Precisamente por eso la prevención importa. El objetivo no es asustar al empresario con consecuencias genéricas, sino evitar que una operación relevante dependa de reconstruir años después quién tenía facultades, qué se aprobó y bajo qué condiciones.

En una empresa familiar este punto resulta especialmente sensible. La confianza personal suele sustituir durante años a la disciplina corporativa. Padre, hijos o hermanos toman decisiones en la misma mesa donde hablan de la operación. El negocio crece, pero los estatutos, libros, títulos y poderes permanecen congelados en una fotografía jurídica de hace diez o quince años. El problema no es que la familia confíe; el problema es pedirle a esa confianza que haga el trabajo que corresponde a la estructura jurídica. Documentar adecuadamente no destruye relaciones: reduce los espacios de interpretación cuando las circunstancias cambian.

III. Materialidad: la operación debe poder contarse y probarse

El tercer pilar es la materialidad de las operaciones. Es probablemente el ejemplo más claro de cómo ha cambiado la relación entre la empresa y la autoridad. Durante mucho tiempo se instaló la idea de que contrato, factura y transferencia constituían por sí solos una especie de triángulo suficiente. Hoy esa visión es peligrosa. En determinados procedimientos fiscales, la pregunta no termina en si existe un comprobante: puede extenderse a si la operación efectivamente ocurrió y si quien la realizó tenía capacidad para ello.

El artículo 69-B del Código Fiscal de la Federación establece un procedimiento específico de presunción de inexistencia cuando la autoridad detecta que un emisor de comprobantes no cuenta con activos, personal, infraestructura o capacidad material, directa o indirecta, para prestar los servicios o producir, comercializar o entregar los bienes amparados, o cuando se encuentra no localizado.

Para el empresario, sin embargo, la lección preventiva permanece. Si una operación fue real, la organización debe conservar evidencia contemporánea y coherente con su naturaleza.  También debe distinguirse materialidad de razón de negocios. El artículo 5-A del Código Fiscal de la Federación regula esta última figura para determinados actos jurídicos que carezcan de una razón de negocios y generen un beneficio fiscal. Son planos relacionados con la sustancia económica, pero jurídicamente distintos. Mezclarlos debilita el análisis. Una empresa bien asesorada no acumula papeles sin criterio: entiende qué debe acreditar, frente a qué riesgo y con qué fundamento.

IV. El punto de encuentro: documento, decisión y operación

A primera vista, compliance, gobierno corporativo y materialidad pertenecen a conversaciones diferentes. Uno parece penal y regulatorio; otro societario; el tercero fiscal. En la operación empresarial, sin embargo, convergen en un mismo principio: la trazabilidad. Una organización jurídicamente sólida debe poder reconstruir cómo identificó un riesgo, quién tomó una decisión, con qué facultades lo hizo, cómo se ejecutó y qué evidencia quedó de ello. Cuando cada área cuenta una historia distinta, la contingencia empieza a formarse.

Esta es una de las conclusiones más importantes que me ha dejado el ejercicio profesional. En una revisión preventiva no me basta con preguntar si existe un contrato. Necesito saber quién lo negoció, quién lo autorizó, quién tenía facultades para firmarlo, cómo se ejecutó, cómo se pagó, qué evidencia quedó y si la operación coincide con la contabilidad y con las políticas internas. Tampoco me basta un acta impecable si el equipo directivo desconoce su contenido, ni un programa de compliance si nadie sabe cómo actuar cuando aparece una alerta. El documento es indispensable, pero pierde gran parte de su capacidad protectora cuando está desconectado de la conducta.

Por eso la prevención jurídica empresarial no puede quedar confinada al departamento legal. Facturación, tesorería, compras, ventas, recursos humanos, administración y dirección producen todos los días hechos con consecuencias jurídicas. Quien modifica una cuenta bancaria de un proveedor, autoriza un pago, recibe mercancía, contrata un tercero, conserva un expediente o firma una orden de compra está construyendo -o debilitando- la posición jurídica futura de la organización. El abogado corporativo aporta arquitectura y criterio; la empresa convierte esa arquitectura en conducta.

“Cuando documento, decisión y operación cuentan la misma historia, existe estructura. Cuando cada uno cuenta una historia distinta, existe contingencia.”

V. De la contingencia a la prevención: una decisión empresarial

El cambio que propongo no es únicamente jurídico; es empresarial. Durante mucho tiempo el abogado fue visto como quien aparecía cuando había que demandar, contestar, negociar una crisis o reparar una irregularidad. Esa función seguirá existiendo, pero llega demasiado tarde para muchos de los riesgos que hoy enfrentan las organizaciones. La asesoría corporativa moderna debe intervenir antes: en la estructura de decisión, en la documentación de operaciones, en la asignación de facultades, en el diseño de controles proporcionales y en la capacitación de quienes ejecutan los procesos.

Esto tampoco significa convertir a la empresa en un despacho jurídico. Un empresario debe vender, producir, innovar y crecer. La prevención bien diseñada no paraliza esa actividad; la hace más segura. Un control que nadie puede cumplir es tan inútil como la ausencia de control. Una política que requiere diez autorizaciones para una operación ordinaria terminará siendo ignorada. El reto profesional consiste en traducir el riesgo jurídico en procesos comprensibles y proporcionales a la realidad económica del negocio. Ahí está, a mi juicio, una de las mayores responsabilidades del abogado corporativo: no diseñar empresas para el papel, sino reglas que puedan vivir dentro de la empresa real.

La prevención tampoco elimina todos los conflictos. Ningún sistema puede prometerlo. Habrá incumplimientos, controversias, cambios regulatorios, errores humanos y decisiones que deberán defenderse. Lo que sí cambia es la posición desde la que la empresa enfrenta esos acontecimientos. No es lo mismo reconstruir apresuradamente un expediente cuando llega un requerimiento que presentar evidencia generada en el curso ordinario del negocio; no es lo mismo discutir quién era accionista cuando surge el conflicto que contar con un registro societario consistente; no es lo mismo diseñar controles después de una imputación que demostrar que existían y operaban antes del hecho.

Conclusión: la solidez se demuestra antes de necesitarla

Después de años de revisar sociedades, contratos, operaciones y contingencias, mi convicción es ésta: una empresa sólida no es la que puede exhibir el mayor número de documentos, sino la que puede demostrar coherencia entre su estructura jurídica y su realidad operativa. El compliance debe existir en la conducta y no solo en el manual; el gobierno corporativo debe reflejar quién decide y quién representa realmente a la sociedad; y las operaciones deben dejar evidencia suficiente para explicar qué ocurrió, por qué ocurrió y cómo se ejecutó.

Los tres pilares comparten, además, una característica que para mí define la verdadera prevención: se construyen antes de saber si algún día serán necesarios para una defensa. Esa es la diferencia entre preparar una empresa para crecer y tratar de reconstruirla cuando el problema ya llegó. En el primer escenario, el Derecho acompaña la estrategia empresarial; en el segundo, intenta reparar sus consecuencias.

El empresario mexicano no necesita vivir con miedo a la autoridad ni convertir cada decisión en un expediente. Necesita algo mucho más útil: identificar qué decisiones pueden comprometer su patrimonio, su continuidad o su reputación y construir, alrededor de ellas, controles razonables y evidencia suficiente. Prevenir no es asumir que todo saldrá mal. Es dirigir con la madurez de saber que una empresa que quiere permanecer debe ser capaz de sostener jurídicamente las decisiones que la hicieron crecer.

Por eso, cuando me preguntan qué significa realmente blindar una empresa, mi respuesta no comienza con una cláusula ni termina con un contrato. Comienza con una cultura de decisión responsable. Los documentos importan, las políticas importan y los controles importan; pero sólo adquieren valor cuando forman parte de la operación. Una empresa sólida no se declara. Se construye todos los días, mucho antes de que alguien le pida demostrarlo.