Compliance anticorrupción para empresas mexicanas que hacen negocios con Estados Unidos (FCPA)
| Flint | Flint |
|---|
Muchas empresas mexicanas asocian la Foreign Corrupt Practices Act (FCPA) con grandes corporaciones estadounidenses que cotizan en bolsa. Es una ley de Estados Unidos, pero su alcance no termina en su frontera. Una empresa mexicana sin oficinas, empleados ni cuentas en ese país puede quedar expuesta a ella por la forma en que participa en la cadena de negocio de una empresa sujeta a la ley: como agente, intermediario, subsidiaria, socio o proveedor.
Al mismo tiempo, no cualquier relación con un cliente o inversionista estadounidense convierte a una empresa mexicana en sujeto directo del FCPA. Distinguir la exposición directa de la contractual es el punto de partida de un análisis serio.
Cómo una empresa mexicana queda expuesta al FCPA sin operar en Estados Unidos
El FCPA tiene dos componentes. Las disposiciones antisoborno prohíben ofrecer, prometer, autorizar o entregar cualquier cosa de valor a un funcionario extranjero, de forma corrupta, para obtener o retener negocios. Las disposiciones contables obligan a las emisoras de valores registradas en Estados Unidos a llevar libros y registros que reflejen con exactitud sus operaciones y a mantener un sistema de controles contables internos (15 U.S.C. § 78m(b)(2)).
Para una empresa mexicana, un dato es decisivo: el concepto de funcionario extranjero incluye a cualquier funcionario o empleado de un gobierno extranjero o de sus dependencias, organismos o instrumentos (15 U.S.C. § 78dd-1(f)(1)(A)). Desde la perspectiva del FCPA, un servidor público mexicano es un funcionario extranjero. Un pago indebido a una autoridad mexicana puede ser, al mismo tiempo, un problema bajo la ley mexicana y bajo la ley estadounidense.
La ley no aplica a cualquier persona. Define con precisión quién puede violarla: las emisoras y quienes actúan en su nombre, incluidos sus funcionarios, consejeros, empleados, agentes o accionistas que actúen por cuenta de ellas (15 U.S.C. § 78dd-1); las llamadas domestic concerns, es decir, ciudadanos, nacionales o residentes de Estados Unidos y empresas constituidas conforme a sus leyes o con su sede principal de negocios en ese país (§ 78dd-2); y otras personas que realicen actos prohibidos mientras se encuentran en territorio de Estados Unidos (§ 78dd-3).
Esa precisión importa. En United States v. Hoskins (2d Cir. 2018), el Segundo Circuito resolvió que el gobierno no puede usar teorías de conspiración o complicidad para acusar a un extranjero que no encuadra en ninguna de esas categorías. El mismo fallo, sin embargo, permitió continuar con la teoría de que el acusado actuaba como agente de una empresa estadounidense. La lección práctica: el FCPA no alcanza a cualquiera por tener contacto con Estados Unidos, pero actuar como agente o intermediario de un sujeto obligado sí puede colocar a una empresa mexicana dentro de la ley.
Con esa base, conviene distinguir dos tipos de exposición:
• Exposición directa: la empresa mexicana, o sus directivos y empleados, pueden ser responsables bajo el FCPA. Ocurre, por ejemplo, cuando actúa como agente o intermediario de una emisora o de una empresa estadounidense, cuando es subsidiaria de una emisora cuyas operaciones forman parte de los registros y controles de esta, o cuando realiza actos prohibidos en territorio estadounidense.
• Exposición contractual: la empresa no es sujeto directo de la ley, pero su contraparte sí. Esa contraparte trasladará el riesgo mediante debida diligencia, declaraciones, cláusulas anticorrupción, derechos de auditoría, certificaciones periódicas y causales de terminación. Un hallazgo puede costar el contrato, la inversión o la relación comercial aunque no exista un procedimiento en Estados Unidos.
Los tres escenarios más comunes muestran cómo se combinan ambos tipos de exposición:
| Escenario | Exposición contractual habitual | Cuándo puede volverse exposición directa |
|---|---|---|
| Proveedor, distribuidor o prestador de servicios de una empresa que cotiza en bolsa en EE.UU. | Cuestionarios de debida diligencia, cláusulas anticorrupción, derechos de auditoría y terminación por incumplimiento. | Cuando la empresa mexicana actúa como agente o intermediario de su cliente frente a autoridades, por ejemplo en permisos, licitaciones o trámites aduanales, y realiza pagos por cuenta de él. |
| Empresa que recibe inversión de un fondo o inversionista estadounidense | Debida diligencia anticorrupción previa, declaraciones y garantías, obligaciones de cumplimiento y derechos de información. | Cuando la inversión la convierte en parte de un grupo sujeto a la ley, por ejemplo como subsidiaria de una emisora, o cuando sus directivos actúan en nombre de un sujeto obligado. |
| Joint venture o asociación con una empresa sujeta al FCPA | Políticas de cumplimiento comunes, controles sobre pagos y terceros, auditorías y mecanismos de salida. | Cuando el vehículo o el socio mexicano actúa por cuenta del socio estadounidense frente a funcionarios, o cuando se realizan actos en territorio de EE.UU. |
Tabla: Flint Consulting®
Tras la Orden Ejecutiva 14209, de 10 de febrero de 2025, el Departamento de Justicia (DOJ) emitió el 9 de junio de 2025 nuevos lineamientos para investigar y perseguir casos de FCPA. Una de las principales consideraciones para decidir si se investiga un caso es si la conducta se asocia con las operaciones de cárteles u organizaciones criminales transnacionales, si utiliza lavadores de dinero o empresas fachada vinculadas con ellos, o si involucra a empleados de entidades estatales u otros funcionarios que han recibido sobornos de esas organizaciones. También priorizan los casos que afecten la competencia de empresas estadounidenses o la seguridad nacional, y la conducta grave, no las prácticas comerciales rutinarias ni las cortesías de bajo valor generalmente aceptadas.
Para empresas que operan en México, esa reorientación no reduce el riesgo; lo concentra. Las operaciones con alta interacción con autoridades, como permisos, aduanas, energía o contratación pública, suelen merecer especial atención.
Ejemplo ilustrativo (hipotético)
Una empresa mexicana de servicios logísticos gestiona permisos y trámites aduanales para la filial mexicana de un grupo cuya matriz cotiza en una bolsa de Estados Unidos. Durante años, la relación se rigió por órdenes de compra sin cláusulas anticorrupción. Cuando el grupo actualiza su programa de cumplimiento, envía a la empresa un cuestionario de debida diligencia y una adenda con declaraciones, derechos de auditoría y causales de terminación.
Al preparar sus respuestas, la empresa advierte que realiza trámites ante autoridades en nombre de su cliente y que algunos pagos a gestores externos no tienen soporte suficiente. Lo que parecía un trámite contractual revela un riesgo mayor: además de poner en juego el contrato, la empresa podría ser considerada agente o intermediaria de una empresa sujeta al FCPA, lo que tendría que analizarse con los hechos concretos. Este ejemplo es hipotético y no describe a un cliente real.
En qué se diferencia el riesgo FCPA del riesgo anticorrupción bajo la ley mexicana
México tiene un marco anticorrupción propio y exigente. En materia administrativa, la Ley General de Responsabilidades Administrativas (LGRA) sanciona a los particulares que incurren en faltas como el soborno a servidores públicos (artículo 66) o la colusión, que la propia ley hace aplicable también a transacciones comerciales internacionales en las que participe un servidor público extranjero (artículo 70). Las personas morales responden cuando estas conductas las realizan personas físicas que actúan a su nombre o representación y buscan obtener un beneficio para ellas (artículo 24).
En materia penal, el Código Penal Federal tipifica el cohecho (artículo 222) y el cohecho a servidores públicos extranjeros en transacciones comerciales internacionales (artículo 222 bis), y ambos están en el catálogo de delitos por los que puede responder una persona jurídica (artículo 11 Bis, apartado A, fracción VI). Conforme al Código Nacional de Procedimientos Penales, esa responsabilidad exige que, además, exista inobservancia del debido control en su organización (artículo 421).
Cumplir con ese marco es indispensable, pero no protege automáticamente frente al FCPA: son sistemas distintos y una misma conducta puede dar lugar a procedimientos en ambos países.
| Dimensión | Marco mexicano | FCPA |
|---|---|---|
| A quién sanciona | Personas físicas y morales, por faltas administrativas (LGRA) y delitos (CPF y CNPP). | Emisoras, empresas y personas estadounidenses, sus agentes y representantes, y otras personas que actúen en territorio de EE.UU. |
| Autoridad y tipo de procedimiento | Procedimiento de responsabilidad administrativa, en el que el Tribunal impone las sanciones por faltas graves y de particulares; y proceso penal. | DOJ, en la vía penal y civil; y la Securities and Exchange Commission (SEC), en la vía civil frente a emisoras. |
| Tipo de sanción | Para personas morales: sanción económica que puede alcanzar hasta dos tantos de los beneficios obtenidos o un monto en UMA, inhabilitación, suspensión de actividades, disolución e indemnización (LGRA, art. 81); en materia penal, multa, decomiso, suspensión o disolución, entre otras (CNPP, art. 422). | Multas penales y sanciones civiles y, en las resoluciones con el DOJ, pago de decomiso y restitución. La ley prevé para una empresa multas penales de hasta 2 millones de dólares por violar las disposiciones antisoborno y de hasta 25 millones por violaciones dolosas de las disposiciones contables (15 U.S.C. §§ 78dd-2 y 78ff). |
| Alcance territorial | Conductas que involucran a servidores públicos mexicanos y, en ciertos supuestos, a servidores públicos extranjeros en transacciones comerciales internacionales. | Soborno a funcionarios de cualquier país distinto de EE.UU., incluido México, cuando el responsable encuadra en alguna de las categorías de la ley. |
Tabla: Flint Consulting®
La LGRA, además, ordena valorar, al determinar la responsabilidad de una persona moral, si cuenta con una política de integridad (artículo 25). Del lado estadounidense, el DOJ evalúa la solidez de los programas de cumplimiento al decidir cómo resolver un caso. Un programa bien diseñado puede servir en ambos sistemas, siempre que se construya pensando en los riesgos de los dos.
Un supuesto que conviene descartar es el de la empresa que, por contar con un código de conducta y una política de integridad conforme a la LGRA, asume que ya está cubierta frente al FCPA. Pensemos en una empresa hipotética que acredita los elementos del artículo 25, pero cuyos agentes y gestores cobran comisiones registradas como gastos generales, sin detalle del servicio prestado. Para la ley mexicana, su política de integridad será un elemento a valorar. Para su contraparte estadounidense, la pregunta será otra: si puede demostrar a dónde fue cada pago y por qué.
Elementos mínimos de un programa de cumplimiento anticorrupción defendible
Un programa de cumplimiento no se evalúa por el número de políticas que tiene, sino por si funciona. La guía Evaluation of Corporate Compliance Programs del DOJ, actualizada en septiembre de 2024, organiza su análisis en tres preguntas: si el programa está bien diseñado; si se aplica con seriedad y de buena fe, es decir, si cuenta con recursos y facultades suficientes para funcionar con eficacia; y si funciona en la práctica.
La LGRA, por su parte, enumera en su artículo 25 los elementos mínimos de una política de integridad, que se relacionan en la tabla siguiente.
Con ambos referentes, un programa defendible debería incluir, como mínimo:
| Elemento | Qué debe poder demostrar la empresa | Relación con el art. 25 LGRA |
|---|---|---|
| 1. Compromiso de la dirección y política anticorrupción escrita | Que el consejo y la dirección aprobaron la política, la comunican y la cumplen, con reglas claras sobre regalos, viajes, donativos y pagos de facilitación. | Código de conducta y manual de organización y procedimientos |
| 2. Evaluación de riesgos periódica | Que identificó dónde interactúa con funcionarios, a través de quién y en qué trámites, y que actualiza ese mapa cuando cambia el negocio. | Complementario |
| 3. Controles financieros y registros exactos | Que cada pago tiene soporte, autorización y registro fiel, sin cuentas ni conceptos genéricos que oculten su destino. | Sistemas de control, vigilancia y auditoría |
| 4. Debida diligencia sobre terceros | Que conoce a sus agentes, gestores, agentes aduanales, distribuidores y proveedores de riesgo, con cláusulas anticorrupción y derechos de auditoría. | Sistemas de control y políticas de recursos humanos, en lo aplicable |
| 5. Capacitación periódica y diferenciada | Que las áreas expuestas reciben capacitación específica y que existe constancia de ello. | Capacitación en integridad |
| 6. Canal de denuncia funcional | Que el canal es accesible, permite reportes confidenciales, protege contra represalias y que las denuncias se atienden. | Sistemas de denuncia |
| 7. Investigación y consecuencias consistentes | Que investiga las alertas, documenta conclusiones y aplica sanciones disciplinarias de manera uniforme. | Procesos disciplinarios |
| 8. Monitoreo y mejora continua | Que prueba sus controles, corrige fallas y deja evidencia de que el programa se aplica en la práctica, no solo en el papel. | Sistemas de vigilancia y auditoría |
Tabla: Flint Consulting®
Ninguno de estos elementos garantiza un resultado frente a una autoridad, pero reducen la probabilidad de una conducta indebida, facilitan detectarla a tiempo y dan a la empresa elementos objetivos para demostrar que actuó con diligencia.
En la práctica, un programa puede verse completo y tener un punto ciego. Considérese el caso hipotético de una empresa mediana con código de conducta, capacitación anual y canal de denuncia, que contrata gestores, agentes aduanales y consultores por recomendación, sin revisar quiénes son, cómo cobran ni si tienen vínculos con funcionarios. En ese escenario, el programa existe en el papel, pero el riesgo más alto, el de los terceros que interactúan con autoridades en nombre de la empresa, queda sin control. Por eso, para muchas empresas, la debida diligencia sobre terceros es un buen punto de partida al revisar su programa.
Qué hacer si se detecta un posible incumplimiento antes de que lo detecte la autoridad
Una denuncia interna o una auditoría pueden revelar un pago sin soporte o un gestor con comisiones inusuales. Lo que la empresa haga en las primeras semanas suele definir sus opciones posteriores.
Actuar de forma proactiva suele ser mejor estrategia que esperar a que la autoridad detecte el problema primero. En términos generales, una respuesta ordenada incluye:
• Preservar la información relevante, como correos, registros contables, contratos y comprobantes, antes de que se pierda o se altere.
• Encargar la investigación interna a abogados, preferentemente externos, que la dirijan y documenten. Las reglas de confidencialidad y privilegio profesional no son iguales en México y en Estados Unidos, y la forma en que se organice la investigación desde el inicio puede ser determinante.
• Cuidar el tratamiento de datos personales de empleados y terceros durante la investigación, conforme a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en el DOF el 20 de marzo de 2025.
• Remediar: suspender pagos o relaciones con terceros involucrados, corregir controles y aplicar las medidas disciplinarias que correspondan.
• Evaluar, con asesoría especializada en ambas jurisdicciones, si conviene una autodenuncia y ante qué autoridad.
La decisión de autodenunciar depende de cada caso y no es recomendable en todos los supuestos. Ambos sistemas, sin embargo, prevén beneficios para quien colabora a tiempo. Conforme a la política del DOJ sobre cumplimiento corporativo y autodenuncia voluntaria (Corporate Enforcement and Voluntary Self-Disclosure Policy, versión de marzo de 2026), el Departamento declinará el procesamiento penal de una empresa que se autodenunció voluntariamente, cooperó plenamente, remedió de forma oportuna y adecuada, y respecto de la cual no existen circunstancias agravantes, sujeto a requisitos como el pago del decomiso correspondiente. Para que la autodenuncia se considere voluntaria, entre otras condiciones, la conducta no debe ser conocida previamente por el Departamento y la revelación debe hacerse antes de una amenaza inminente de divulgación o de investigación, y dentro de un plazo razonablemente pronto.
En México, la LGRA permite a quien cometió una falta grave o una falta de particulares confesar su responsabilidad ante la autoridad investigadora para acceder a una reducción de entre el cincuenta y el setenta por ciento del monto de las sanciones, siempre que no se haya notificado a ningún presunto infractor el inicio del procedimiento y que coopere en forma plena y continua, entre otros requisitos (artículos 88 y 89). La misma ley considera atenuante que la persona moral denuncie o colabore en las investigaciones y agravante que, conociendo presuntos actos de corrupción de personas físicas que pertenecen a ella, no los denuncie (artículo 81).
Recomendación: involucra a un especialista legal en cuanto detectes una señal de alerta, no después. Las primeras decisiones sobre preservación de información, alcance de la investigación y comunicación con terceros pueden ampliar o cerrar opciones en México y en Estados Unidos.
En un escenario como el descrito, el acompañamiento puede organizarse en etapas:
• Evaluación inicial: entender, con la información disponible, qué se detectó, quién lo sabe y si existe una posible conexión con Estados Unidos.
• Preservación: definir qué información debe resguardarse y cómo, antes de iniciar entrevistas o revisiones.
• Investigación: diseñar el alcance de la investigación interna y coordinarla con abogados habilitados en Estados Unidos cuando el caso pueda tener conexión con el FCPA.
• Remediación: proponer ajustes a controles, contratos y relaciones con terceros, y documentar las medidas adoptadas.
• Decisión estratégica: analizar con la dirección de la empresa si conviene una autodenuncia, ante qué autoridad y en qué momento.
El rol de Flint en la prevención de riesgo FCPA para empresas mexicanas
El momento de mayor valor para revisar la exposición al FCPA es antes de que exista un problema y, de preferencia, antes de que la relación con la contraparte estadounidense esté en marcha. En esa etapa todavía es posible decidir qué funciones asumirá la empresa mexicana frente a autoridades, qué terceros intervendrán, qué cláusulas aceptar y qué controles implementar.
Una evaluación hecha a tiempo responde preguntas concretas: si la exposición de la empresa es directa o contractual, qué compromisos anticorrupción puede cumplir y qué brechas tiene su programa.
Como regla práctica, la evaluación ofrece más valor antes de firmar. Pensemos en una empresa hipotética que está por celebrar un contrato de distribución con una empresa estadounidense que cotiza en bolsa: si revisa su exposición antes de firmar, puede negociar cláusulas anticorrupción que realmente pueda cumplir, ajustar desde el inicio sus controles sobre pagos y terceros, y definir qué funciones asumirá frente a autoridades. Si la relación ya está en marcha, sigue siendo útil, sobre todo ante una renovación, una nueva inversión o un cuestionario de debida diligencia.
En Flint Consulting® ayudamos a empresas mexicanas a diagnosticar su exposición real al FCPA y a diseñar programas de cumplimiento anticorrupción alineados con la ley mexicana. El análisis de derecho estadounidense se realiza en coordinación con abogados habilitados en Estados Unidos. Si tu empresa tiene clientes, socios o inversionistas estadounidenses, conviene evaluar tu exposición antes de que la relación esté en marcha.
Este artículo tiene fines informativos y no constituye asesoría legal ni crea una relación abogado-cliente. Información normativa actualizada a octubre de 2026.
¿Quieres saber más?
¿Tu empresa tiene clientes, socios o inversionistas estadounidenses? Conoce cómo Flint Consulting® puede ayudarte a evaluar tu exposición y tus controles anticorrupción.
connect@flintconsulting.mx | +52 81 1351 8242 | flintconsulting.mx
Fuentes y referencias
15 U.S.C. §§ 78dd-1, 78dd-2, 78dd-3, 78m y 78ff (Cornell LII): https://www.law.cornell.edu/uscode/text/15/78dd-1
United States v. Hoskins, 2d Cir., 24 de agosto de 2018: https://law.justia.com/cases/federal/appellate-courts/ca2/16-1010/16-1010-2018-08-24.html
Orden Ejecutiva 14209 (Federal Register): https://www.federalregister.gov/documents/2025/02/14/2025-02736/pausing-foreign-corrupt-practices-act-enforcement-to-further-american-economic-and-national-security
DOJ, FCPA Guidelines, 9 de junio de 2025: https://www.justice.gov/dag/media/1403031/dl
DOJ, Corporate Enforcement and Voluntary Self-Disclosure Policy (marzo de 2026): https://www.justice.gov/criminal/criminal-fraud/corporate-enforcement-policy
DOJ, Evaluation of Corporate Compliance Programs (septiembre de 2024): https://www.justice.gov/criminal/criminal-fraud/page/file/937501/dl
Ley General de Responsabilidades Administrativas: https://www.diputados.gob.mx/LeyesBiblio/pdf/LGRA.pdf
Código Penal Federal: https://www.diputados.gob.mx/LeyesBiblio/pdf/CPF.pdf
Código Nacional de Procedimientos Penales: https://www.diputados.gob.mx/LeyesBiblio/pdf/CNPP.pdf
Ley Federal de Protección de Datos Personales en Posesión de los Particulares: https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
Forma parte de nuestra firma de consultoría
Hablemos de tu negocio.
Únete a nuestro Newsletter
Recibe insights estratégicos, casos reales y contenido exclusivo.