Programa de cumplimiento legal para empresas: qué debe incluir en México

Un programa de cumplimiento legal para empresas es el conjunto documentado de políticas, controles, responsables y evidencias con el que una organización identifica las obligaciones que le aplican y demuestra que las atiende. En México no existe una ley única que lo regule: sus piezas provienen de normas federales distintas, como la protección de datos personales, la prevención de lavado de dinero y la responsabilidad penal y administrativa de las personas morales.

Este artículo explica qué componentes conviene incluir, qué cambió con la nueva ley de datos personales de 2025 y cómo priorizar cuando los recursos son limitados. La información corresponde a normativa federal consultada al 13 de octubre de 2026.

Qué es un programa de cumplimiento y por qué no es solo un manual

Un programa de compliance no se reduce a un código de ética descargado de internet. Su valor está en la evidencia: quién es responsable, qué riesgos se evaluaron, qué controles se aplican, cómo se capacita al personal y qué ocurre cuando alguien incumple.

Esa evidencia importa porque varias leyes mexicanas valoran la organización interna de la empresa al determinar responsabilidades. Una política que existe en papel, pero que nadie aplica, difícilmente demuestra diligencia ante una autoridad.

Obligación legal, buena práctica y recomendación

Conviene separar tres niveles. Hay obligaciones legales directas, como emitir un aviso de privacidad cuando se tratan datos personales. Hay elementos que la ley considera al valorar la conducta de la empresa, como una política de integridad. Y hay buenas prácticas, como un comité de cumplimiento, que no siempre son obligatorias pero ayudan a demostrar control.

Marco legal federal que suele integrar el programa de cumplimiento legal para empresas

El alcance depende del giro, el tamaño y las operaciones de cada empresa. Estos son los ordenamientos federales que aparecen con mayor frecuencia en un diagnóstico de cumplimiento.

Datos personales: nueva ley de 2025 y extinción del INAI

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que abrogó la ley de 2010. El texto vigente consultado registra su última reforma el 14 de noviembre de 2025.

El cambio institucional es relevante: el INAI dejó de existir y la ley define como autoridad a la Secretaría Anticorrupción y Buen Gobierno. Los transitorios ordenan transferir a esa Secretaría los expedientes y procedimientos que tramitaba el Instituto.

Las obligaciones sustantivas para las empresas siguen siendo exigibles. Entre ellas destacan el aviso de privacidad con el contenido mínimo del artículo 15; las medidas de seguridad administrativas, técnicas y físicas del artículo 18; la obligación de informar de inmediato a los titulares sobre vulneraciones que afecten significativamente sus derechos (artículo 19), y los controles de confidencialidad del artículo 20.

Si su aviso de privacidad o sus contratos con proveedores todavía mencionan al INAI o a la ley de 2010, conviene actualizarlos. Además, la ley ordenó armonizar los reglamentos; antes de cerrar políticas internas, verifique qué disposiciones reglamentarias están vigentes a la fecha de su revisión.

Prevención de lavado de dinero: actividades vulnerables y beneficiario controlador

La Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) fue reformada el 16 de julio de 2025. Su artículo 17 enumera las actividades vulnerables, y el artículo 18 exige, entre otras cosas, identificar a clientes y usuarios, identificar al beneficiario controlador y conservar la documentación soporte por al menos diez años.

Las personas morales que realizan actividades vulnerables deben designar ante la autoridad hacendaria a un representante encargado del cumplimiento, que debe recibir capacitación anual (artículo 20). La reforma también incorporó un capítulo sobre beneficiario controlador que obliga a las sociedades mercantiles a registrar esa información en el sistema electrónico que determine la Secretaría de Economía, conforme a los lineamientos que se emitan.

Esta obligación se suma a la del artículo 32-B Ter del Código Fiscal de la Federación, que exige a las personas morales obtener, conservar como parte de su contabilidad y proporcionar al SAT información actualizada de sus beneficiarios controladores.

Responsabilidad penal de las personas morales

En México, la responsabilidad penal de las personas jurídicas está prevista en el artículo 421 del Código Nacional de Procedimientos Penales. Ese artículo señala que serán penalmente responsables de los delitos cometidos a su nombre, por su cuenta, en su beneficio o con los medios que proporcionen, cuando además exista inobservancia del debido control en su organización.

Una precisión útil: el artículo 421 del Código Penal Federal se refiere a delitos ambientales, no a este tema. El catálogo de delitos por los que pueden imponerse consecuencias a personas jurídicas está en el artículo 11 Bis del Código Penal Federal, e incluye, entre otros, cohecho, fraude, operaciones con recursos de procedencia ilícita y delitos ambientales.

Al individualizar las sanciones, el artículo 422 del Código Nacional considera la magnitud de la inobservancia del debido control y el grado de cumplimiento de las disposiciones legales. Un programa efectivo no excluye automáticamente la responsabilidad, pero es un elemento que la autoridad judicial puede valorar.

Política de integridad en materia anticorrupción

El artículo 25 de la Ley General de Responsabilidades Administrativas establece que, al determinar la responsabilidad de personas morales, se valorará si cuentan con una política de integridad. Entre sus elementos mínimos están un manual de organización, un código de conducta aplicado, sistemas de control y auditoría, canales de denuncia con consecuencias disciplinarias y capacitación. Es especialmente relevante para empresas que contratan con el gobierno o tramitan permisos.

Componentes mínimos de un programa de compliance

La siguiente tabla resume los componentes que suelen revisarse en un diagnóstico. No es una lista universal: el alcance real depende del sector, el tamaño y las operaciones de la empresa.

Componente	Qué debe existir	Evidencia que conviene conservar
Mapa de riesgos legales	Inventario de obligaciones por área y nivel de riesgo	Matriz fechada, responsables y criterios de priorización
Gobierno del programa	Responsable de cumplimiento con autoridad y acceso a la dirección	Acta o acuerdo de designación y reportes periódicos
Datos personales	Avisos de privacidad, medidas de seguridad, atención de derechos y gestión de vulneraciones	Inventario de bases de datos, bitácoras y contratos con encargados
Prevención de lavado	Identificación de clientes y beneficiario controlador cuando aplique la LFPIORPI	Expedientes de clientes, avisos presentados y constancias de capacitación
Integridad y anticorrupción	Código de conducta, política de regalos y conflictos de interés	Acuses de lectura, registros de conflictos y revisiones de terceros
Canal de denuncia	Mecanismo confidencial con protocolo de investigación	Registro de reportes, investigaciones y medidas adoptadas
Capacitación y monitoreo	Plan anual por área y auditorías internas	Listas de asistencia, evaluaciones e informes de hallazgos

Cómo implementar el programa por etapas

Una empresa mediana rara vez puede atender todos los frentes al mismo tiempo. Un enfoque por etapas permite avanzar con orden y dejar evidencia en cada paso.

1. Diagnóstico. Identificar qué leyes aplican según giro, clientes, proveedores, datos tratados y operaciones con gobierno.

2. Priorización. Atender primero las obligaciones directas con sanción y los riesgos de mayor impacto.

3. Diseño. Redactar políticas adaptadas a la operación real, no plantillas genéricas.

4. Implementación. Asignar responsables, capacitar y ajustar contratos con proveedores y clientes.

5. Monitoreo. Revisar periódicamente, documentar hallazgos y actualizar ante reformas legales.

Ejemplo hipotético: una distribuidora de Hermosillo con 80 empleados, ventas a dependencias estatales y una base de datos de clientes descubre que su aviso de privacidad cita la ley de 2010 y que nadie revisa a los intermediarios que gestionan permisos. Un orden razonable sería actualizar primero el aviso y los contratos con proveedores de tecnología, después emitir una política de integridad con revisión de terceros y, en una tercera etapa, abrir un canal de denuncia. Este ejemplo no corresponde a un cliente real y su solución dependería de los documentos de la empresa.

Errores frecuentes en el cumplimiento legal empresarial

• Usar plantillas que no corresponden a la operación ni al sector de la empresa.

• Mantener referencias al INAI o a la ley de datos personales abrogada.

• Designar a un responsable de cumplimiento sin autoridad, presupuesto ni acceso a la dirección.

• No conservar evidencia de capacitación, revisiones o investigaciones internas.

• Tratar el canal de denuncia como buzón de quejas sin protocolo de seguimiento.

• No revisar el programa después de reformas como las de la LFPIORPI de julio de 2025.

El área de asesoría preventiva y compliance de CLEN trabaja en este tipo de revisiones, que con frecuencia se coordinan con temas societarios del área de derecho corporativo y mercantil, como la actualización de libros sociales y la información de beneficiario controlador.

Documentos y preguntas para preparar una consulta

• Acta constitutiva, reformas estatutarias y estructura accionaria actual.

• Giro, principales clientes y si existen contratos con dependencias públicas.

• Avisos de privacidad vigentes y listado de bases de datos personales.

• Contratos con proveedores que tratan datos o actúan como intermediarios.

• Políticas internas existentes: código de conducta, regalos, conflictos de interés.

• ¿La empresa realiza alguna actividad listada en el artículo 17 de la LFPIORPI?

• ¿Ha recibido requerimientos de autoridad, denuncias internas o incidentes de seguridad?

Preguntas frecuentes

¿Es obligatorio tener un programa de compliance en México?

No existe una ley que obligue a todas las empresas a tener un programa integral con ese nombre. Sin embargo, varias leyes imponen obligaciones concretas, como el aviso de privacidad o la identificación de clientes en actividades vulnerables, y otras valoran la existencia de controles al determinar responsabilidades. En la práctica, el programa es la forma ordenada de cumplir esas obligaciones dispersas y de demostrar que la empresa actuó con diligencia.

¿Qué pasó con el INAI y quién supervisa ahora los datos personales?

Con la nueva ley de datos personales publicada el 20 de marzo de 2025, el INAI quedó extinto. La ley define como autoridad a la Secretaría Anticorrupción y Buen Gobierno, a la que se transfirieron expedientes y procedimientos. Para las empresas, esto implica actualizar referencias en avisos de privacidad y contratos, y confirmar los canales vigentes para atender procedimientos o consultas ante la autoridad.

¿Una pequeña empresa necesita el mismo programa que una grande?

No necesariamente. La profundidad del programa debe ser proporcional al tamaño, al sector y a los riesgos. Una empresa pequeña puede comenzar con un mapa de obligaciones, un aviso de privacidad correcto, un código de conducta breve y un responsable designado. Lo importante es que los controles se apliquen y quede evidencia, no la cantidad de documentos ni su extensión.

¿Un programa de cumplimiento evita la responsabilidad penal de la empresa?

No la evita de forma automática. El Código Nacional de Procedimientos Penales vincula la responsabilidad de las personas jurídicas con la inobservancia del debido control en su organización, y considera el grado de cumplimiento al individualizar sanciones. Un programa efectivo y documentado es un elemento relevante, pero su peso depende de los hechos, de las pruebas y de la valoración de la autoridad judicial.

¿Qué es el beneficiario controlador y por qué importa?

Es la persona física que, directa o indirectamente, obtiene el beneficio o ejerce el control de una persona moral o figura jurídica. La LFPIORPI, reformada en julio de 2025, y el Código Fiscal de la Federación exigen identificarlo y conservar su información en distintos supuestos. Una estructura accionaria compleja o libros sociales desactualizados dificultan cumplir esta obligación.

¿Cada cuánto debe actualizarse el programa de cumplimiento?

Ninguna ley general fija una periodicidad única para todo el programa. Una práctica razonable es revisarlo al menos una vez al año y, además, cada vez que haya reformas relevantes, cambios en el giro, nuevas líneas de negocio, fusiones o incidentes. Las reformas de 2025 en datos personales y prevención de lavado son ejemplos de cambios que justifican una revisión extraordinaria.

¿Quién debe ser el responsable de cumplimiento?

Depende de la estructura de la empresa. Puede ser un área interna, un directivo con funciones adicionales o un apoyo externo coordinado con la dirección. En actividades vulnerables, la LFPIORPI exige designar un representante encargado del cumplimiento ante la autoridad. En cualquier caso, conviene que tenga autoridad real, acceso al órgano de administración y recursos suficientes.

¿Basta con un código de ética para cumplir?

No. Un código de ética es una pieza útil, pero por sí solo no demuestra control. La Ley General de Responsabilidades Administrativas, por ejemplo, enumera como elementos de una política de integridad los sistemas de control y auditoría, los canales de denuncia, los procesos disciplinarios y la capacitación. La evidencia de aplicación es lo que da valor al documento.

Este contenido es informativo y se basa en la normativa consultada al 13 de octubre de 2026. No constituye asesoría legal ni crea una relación abogado-cliente. La estrategia y los plazos dependen de los documentos, hechos, autoridad y jurisdicción de cada caso.

Qué hacer a continuación

Si su empresa no tiene claro qué obligaciones le aplican o sus políticas no se han revisado desde las reformas de 2025, el primer paso es un diagnóstico documental. Puede conocer el enfoque de la firma en la página de servicios de CLEN o en quiénes somos.

Para agendar una consulta, llame al (662) 848-0643, escriba por WhatsApp o use la página de contacto. Atención de lunes a viernes, de 8:00 a 18:00.

Autor y revisión jurídica: M.D.F. Javier Humberto Zamudio Monreal, socio director de CLEN. Normativa consultada al 13 de octubre de 2026.