El due diligence corporativo — el proceso sistemático de verificación de la identidad, reputación, integridad y situación financiero-legal de una contraparte empresarial antes de establecer o continuar una relación de negocio — ha pasado en la última década de ser una práctica voluntaria de las empresas de mayor sofisticación a ser una obligación legal explícita para un conjunto creciente de actividades comerciales en México. Este cambio responde a dos vectores regulatorios convergentes: las Recomendaciones del GAFI (Groupe d’Action Financière) en materia de prevención de lavado de dinero y financiamiento al terrorismo, que México adoptó como miembro del GAFI desde 2000, y la respuesta legislativa interna que culminó con la promulgación de la LFPIORPI (DOF 17-oct-2012) y las sucesivas reformas al CFF en materia de beneficiario controlador (DOF 12-nov-2021).

Paralelamente, el desarrollo del marco de protección de datos personales — centrado en la LFPDPPP (DOF 5-jul-2010) y la autoridad supervisora del INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) — ha establecido los límites legales que determinan qué información sobre personas físicas puede ser recopilada, procesada y utilizada en un proceso de due diligence, y cuál requiere el consentimiento del titular del dato o una habilitación legal específica.

La intersección de estas dos dimensiones — la obligación de realizar due diligence suficiente y la restricción sobre los métodos de obtención de información — define el espacio dentro del cual opera la práctica profesional de la investigación corporativa legal en México.

La LFPIORPI y las obligaciones de KYC en actividades vulnerables

El título II de la LFPIORPI regula las “actividades vulnerables” — las 18 categorías de actividades comerciales o profesionales que por su naturaleza presentan mayor riesgo de ser utilizadas para el lavado de activos o el financiamiento al terrorismo — y establece, para los sujetos que las realizan, un régimen de obligaciones escalonado en función del valor de la operación, categorizado en dos umbrales: operaciones cuyo valor iguala o supera el equivalente a 645 UMAs (Unidades de Medida y Actualización) generan la obligación de identificación del cliente; las que igualan o superan el equivalente a 3,210 UMAs generan adicionalmente la obligación de presentar Aviso ante el SAT como receptor de la operación.

El artículo 18 LFPIORPI detalla los elementos de identidad que deben verificarse al momento de la identificación del cliente: para personas físicas, nombre completo, fecha de nacimiento, RFC, CURP y domicilio fiscal; para personas morales, denominación social, RFC, domicilio fiscal, escritura constitutiva con las modificaciones relevantes, y datos de identificación del representante legal y del beneficiario controlador (fracción XVII, incorporada como obligación explícita a partir de la reforma de 2021). El expediente de identificación debe conservarse durante al menos cinco años contados desde la última operación realizada con el cliente (artículo 22 LFPIORPI), y debe estar disponible para revisión de las autoridades supervisoras en cualquier momento.

El incumplimiento de las obligaciones de identificación de la LFPIORPI está sancionado conforme al artículo 54: omisión en la presentación de avisos puede generar multa de 200 a 10,000 días de salario mínimo; en casos de reincidencia o cuando el incumplimiento facilite operaciones de procedencia ilícita, el artículo 55 establece la posibilidad de suspensión o cancelación de la autorización para realizar la actividad vulnerable.

El due diligence corporativo legalmente permisible en México opera sobre un conjunto estructurado de fuentes de información pública, cuyos datos pueden consultarse sin requerir el consentimiento del sujeto de la investigación por tratarse de registros públicos o información gubernamental divulgada conforme a la Ley General de Transparencia y Acceso a la Información Pública (LGTAIP, DOF 4-may-2015). Las fuentes de mayor relevancia para el due diligence corporativo son:

Registro Público de Comercio (RPC): administrado por la SEDECO en coordinación con las Oficinas de Registro Público del Comercio estatales, el RPC contiene el acervo de las personas morales mercantiles inscritas en México: escritura constitutiva, modificaciones estatutarias, poderes notariales vigentes, embargos sobre bienes de la empresa y estados financieros depositados cuando son exigibles por ley. La consulta del RPC confirma la existencia legal de la empresa, la estructura de socios, el objeto social y los representantes legales habilitados para obligarla.

SAT — verificación fiscal y listas del CFF: el portal del SAT permite verificar la situación fiscal del contribuyente (RFC activo o suspendido), y la consulta de las listas del artículo 69 del CFF (contribuyentes con créditos fiscales firmes no pagados) y del artículo 69-B CFF (empresas presuntas de emitir comprobantes de operaciones simuladas — “EFOS” — y empresas que deducen comprobantes de operaciones simuladas — “EDOS”). La inclusión en la lista del 69-B es un indicador de alto riesgo de fraude fiscal que debe ser resuelto antes de establecer una relación comercial significativa.

Registro Público de la Propiedad (RPP): la consulta del RPP en el estado donde la empresa tiene sus instalaciones o activos permite verificar la titularidad de los inmuebles declarados, los gravámenes hipotecarios existentes (que pueden revelar dificultades financieras no declaradas) y los regímenes de copropiedad.

CompraNet (SESNA): el sistema electrónico de compras gubernamentales del Gobierno Federal contiene el historial de contratos de proveedores con el sector público federal, incluyendo los contratos rescindidos y las inhabilitaciones por incumplimiento conforme a la Ley de Adquisiciones, Arrendamientos y Servicios del Sector Público (LAASSP) y la Ley de Obras Públicas y Servicios Relacionados con las Mismas (LOPSRM).

La barrera LFPDPPP: qué no puede hacerse en el due diligence de personas físicas

La LFPDPPP y su Reglamento (DOF 21-dic-2011) establecen un marco de protección que limita significativamente la recopilación de información sobre personas físicas en el proceso de due diligence. Los principios del artículo 6 LFPDPPP — especialmente el principio de consentimiento (art. 8) y el principio de finalidad (que exige que los datos solo se recaben para las finalidades declaradas en el aviso de privacidad) — hacen que la práctica de obtener información personal de un individuo sin su conocimiento o consentimiento requiera una de las excepciones taxativamente enumeradas en el artículo 10: datos provenientes de fuentes de acceso público, datos necesarios para el mantenimiento de la relación jurídica con el titular, datos necesarios para el cumplimiento de una obligación legal, o datos en los que existe un interés legítimo del responsable que supera el interés de privacidad del titular.

La obtención de información personal mediante vigilancia física de una persona, seguimiento de sus desplazamientos sin su conocimiento, o acceso a sus comunicaciones privadas (correo electrónico, mensajería, comunicaciones telefónicas) no cae en ninguna de estas excepciones y constituye, además de una violación a la LFPDPPP, una posible infracción al artículo 167 fracción I del Código Nacional de Procedimientos Penales y al artículo 189 de la LFTR (que protege la inviolabilidad de las comunicaciones). La línea de due diligence lícito/ilícito en personas físicas no es ambigua en la LFPDPPP: la información debe provenir de fuentes de acceso público, del propio sujeto (con su consentimiento), o de la propia relación jurídica entre las partes.

Metodología OSINT para due diligence corporativo: estándares profesionales

La investigación corporativa basada en OSINT (Open Source Intelligence) constituye la modalidad de due diligence más robusta y legalmente defensible disponible para las empresas en México. La metodología professional de OSINT corporativo, fundamentada en los estándares del ASIS International Business Investigations Standard (ASIS INV.1-2007) y en las pautas del ACFE (Association of Certified Fraud Examiners) para investigaciones de integridad, opera sobre cuatro principios: verificabilidad (toda información debe poder referenciarse a una fuente pública citada), objetividad (el investigador documenta los hechos sin extrapolaciones no sustentadas), proporcionalidad (la profundidad de la investigación debe ser apropiada al riesgo de la relación comercial evaluada), y cadena de custodia (cada hallazgo se registra con fecha, fuente exacta y captura del documento, de modo que pueda auditarse o presentarse como evidencia si es necesario).

El proceso estructurado de un due diligence OSINT corporativo típicamente incluye, en orden de ejecución: (1) verificación de existencia y vigencia legal de la persona moral en el RPC; (2) verificación fiscal en el SAT (listas 69 y 69-B CFF); (3) consulta de CompraNet por inhabilitaciones; (4) búsqueda en hemeroteca y archivos de noticias por menciones en contextos de fraude, corrupción, litigios relevantes, o controversias regulatorias; (5) consulta de sentencias del Poder Judicial Federal en el portal de la SCJN; (6) verificación del Registro Nacional de Empresas Sancionadas (RNES) de la Secretaría de la Función Pública; y (7) verificación en listas de sanciones internacionales (OFAC Specially Designated Nationals List, lista consolidada de la ONU, lista de la Unión Europea) para el caso de contrapartes con operaciones internacionales o que involucren personas políticamente expuestas (PEP).

Beneficiario controlador: la reforma CFF 2021 y el due diligence de personas morales complejas

La reforma al Código Fiscal de la Federación publicada el 12 de noviembre de 2021 (DOF) incorporó los artículos 32-B Ter, 32-B Quáter y 32-B Quinquies, que establecen por primera vez en la legislación fiscal mexicana la obligación explícita de identificar y mantener actualizada la información sobre los beneficiarios controladores de las personas morales, fideicomisos y figuras jurídicas análogas. El artículo 32-B Quáter define el beneficiario controlador como la persona física que en última instancia (i) tiene la propiedad directa o indirecta de más del 25% del capital, (ii) tiene el derecho a designar o remover a la mayoría del órgano de administración, o (iii) ejerce el control efectivo de las decisiones de la persona moral con independencia de su participación en el capital.

Esta obligación, que anteriormente existía solo para las entidades sujetas a la LFPIORPI, se extiende ahora a todas las personas morales del régimen general del CFF, alineando el marco mexicano con la Recomendación 24 del GAFI sobre transparencia de las personas jurídicas. En el contexto del due diligence corporativo, el levantamiento del velo corporativo que permite identificar al beneficiario controlador es la medida de mayor impacto para detectar el riesgo de contraparte oculto: estructuras de personas morales en cascada que atribuyen la propiedad formal de la empresa a otras personas morales (nacionales o extranjeras), pero donde la persona física que en la realidad controla y se beneficia de la empresa puede tener antecedentes penales, aparecer en listas de sanciones internacionales, o ser un funcionario público actuando a través de interpósita persona en violación a las obligaciones de la Ley General de Responsabilidades Administrativas (LGRA).