Una denuncia que llegó en 2005

El 21 de septiembre de 2005, un abogado que había trabajado en la filial mexicana de Walmart, y que ya no formaba parte de ella, escribió a un abogado de la matriz en Estados Unidos ofreciendo "detalles confidenciales" sobre cómo la subsidiaria había logrado alrededor de 300 proyectos inmobiliarios. Según la orden administrativa que la Comisión de Valores de Estados Unidos (SEC) emitió el 20 de junio de 2019, la denuncia describía pagos indebidos a funcionarios mexicanos a través de intermediarios conocidos como "gestores" para obtener licencias y permisos. Una indagatoria preliminar encontró indicios y los investigadores recomendaron más pasos, pero la empresa no siguió ese plan: en febrero de 2006 encargó el resto de la investigación a un abogado de la propia filial mexicana, cuyo reporte de marzo de 2006 consideró no sustentadas las acusaciones. Los controles recomendados se implementaron hasta alrededor de abril de 2011.


El caso se resolvió en Estados Unidos, no en México. Walmart Inc. pagó en conjunto unos 282.7 millones de dólares para cerrar las investigaciones de la SEC y del Departamento de Justicia, que incluyeron deficiencias de control interno anticorrupción en México, Brasil, India y China. El Departamento de Justicia firmó con la empresa un acuerdo de no persecución y la SEC emitió una orden por violaciones a las disposiciones contables y de control interno de la ley estadounidense contra prácticas corruptas en el extranjero. Lo que deja para cualquier empresa mexicana es una lección menos jurídica que organizacional: el canal funcionó, alguien habló, y la información se perdió en el momento de decidir quién debía investigarla.


El informe Occupational Fraud 2026: A Report to the Nations, de la Association of Certified Fraud Examiners (ACFE), analizó 2,402 casos de fraude ocupacional investigados entre enero de 2024 y septiembre de 2025 en 143 países y territorios. El 43% de esos fraudes se detectó inicialmente por una denuncia, casi el triple que el segundo método, la auditoría interna, con 15%. El 55% de las denuncias provino de empleados, 21% de clientes y 11% de proveedores. En las organizaciones con línea de denuncia, la pérdida mediana fue de 100,000 dólares, frente a 150,000 dólares en las que no la tenían. Los canales también cambiaron: los reportes por formularios web y correo electrónico ya superan a la línea telefónica.


Conviene leer esas cifras con cuidado. Es un estudio internacional, con apenas 108 casos de América Latina y el Caribe, y no mide la realidad mexicana. Pero confirma algo que cualquier auditor intuye: muchas irregularidades no las encuentra un sistema, sino una persona que decidió decir lo que vio.


Lo que la ley mexicana exige a una empresa privada

En México no existe una obligación general y única de tener una "línea ética", pero varias normas empujan en esa dirección desde ángulos distintos. La más amplia es la NOM-035-STPS-2018, publicada en el Diario Oficial de la Federación el 23 de octubre de 2018. Su numeral 5.1 obliga a establecer por escrito, implantar, mantener y difundir una política de prevención de riesgos psicosociales, y su numeral 8.1, inciso b), exige disponer de mecanismos seguros y confidenciales para la recepción de quejas por prácticas opuestas al entorno organizacional favorable y para denunciar actos de violencia laboral. Según el campo de aplicación de la propia norma, ambos numerales aplican incluso a centros de trabajo de hasta quince personas.


La Ley Federal del Trabajo añade, en su artículo 132, fracción XXXI, la obligación de implementar, en acuerdo con los trabajadores, un protocolo para prevenir la discriminación por razones de género y atender casos de violencia y acoso u hostigamiento sexual, así como erradicar el trabajo forzoso e infantil. Ambas obligaciones están pensadas para el entorno laboral, no para el fraude o la corrupción.

En materia anticorrupción, el puente es la Ley General de Responsabilidades Administrativas. Su artículo 25 dispone que, al determinar la responsabilidad de una persona moral por faltas de particulares, se valorará si cuenta con una política de integridad, y la fracción IV incluye entre sus elementos sistemas adecuados de denuncia, tanto al interior de la organización como hacia las autoridades, además de procesos disciplinarios y consecuencias concretas. No es un mandato autónomo para toda empresa, sino un criterio que pesa especialmente para quien contrata con el gobierno.


El hueco: proteger a quien se atreve a hablar

Tener un canal es una cosa; proteger a quien lo usa es otra, y ahí el marco mexicano es fragmentado. En el sector público, la Secretaría de la Función Pública lanzó en julio de 2019 la plataforma de Ciudadanos Alertadores Internos y Externos de la Corrupción, que permitía alertar de forma anónima, y el 19 de octubre de 2020 publicó un protocolo de protección para personas alertadoras, obligatorio para la Administración Pública Federal. La propia Ley General de Responsabilidades Administrativas, en su artículo 64, considera obstrucción de la justicia que una autoridad revele la identidad de un denunciante anónimo protegido, y permite a los servidores públicos que denuncien faltas graves solicitar medidas de protección. Un análisis del Accountability Research Center, actualizado en julio de 2025, sostiene que esa plataforma dejó de recibir nuevas alertas y que la denuncia se concentró en otros sistemas; en julio de 2026, la Secretaría Anticorrupción y Buen Gobierno promovió la presentación de denuncias, incluso anónimas, a través de su portal oficial.


Para el sector privado, el panorama es más delgado. Hasta la fecha de consulta no existe en México una ley general de protección a denunciantes. En la Cámara de Diputados se presentó una iniciativa del grupo parlamentario del PAN para expedir una Ley Federal de Protección a Denunciantes y Testigos de Hechos de Corrupción, publicada en la Gaceta Parlamentaria el 9 de septiembre de 2026; mientras no sea aprobada y publicada, no obliga a nadie. Hoy, una trabajadora que denuncia y es despedida por ello cuenta, en esencia, con las reglas generales del despido injustificado de la Ley Federal del Trabajo, y con la protección de sus datos personales: el artículo 20 de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares obliga a que quienes intervienen en el tratamiento guarden confidencialidad. Lo demás depende del diseño interno de cada programa.


El canal que existe pero casi nadie usa

Los indicios locales apuntan a esa brecha. Una encuesta de OCC Mundial levantada en julio de 2023 entre 3,600 usuarios de su bolsa de trabajo, que no es representativa de toda la población ocupada, encontró que de quienes vivieron violencia o acoso laboral solo 29% presentó una queja dentro de la empresa y 5% acudió a una autoridad; 41% dijo que su empresa no hace nada para prevenir o atender la violencia, y apenas 18% reportó seguimiento de casos.


Las razones para callar se escuchan en cualquier pasillo: "lo conoce el director", "es compadre del dueño", "aquí las cosas se arreglan en corto", "el que denuncia termina quedando mal". Ninguna implica necesariamente mala fe de la empresa. Reflejan algo más simple: la falta de una señal creíble de que el canal es independiente de la persona señalada, de que la identidad del denunciante no se filtrará por el tamaño del equipo y de que la queja tendrá alguna consecuencia visible. El caso Walmart muestra lo que ocurre cuando la investigación vuelve a manos de la misma estructura que se cuestiona.


Cultura de reporte, no vigilancia generalizada

Human Risk Management, entendido como la gestión estructurada de los riesgos asociados a personas, funciones, accesos y decisiones, suele asociarse con la etapa de ingreso. Pero una verificación rigurosa al contratar no dice nada sobre lo que una persona verá, tolerará o decidirá reportar cinco años después. Un canal de denuncia que funciona es parte de esa misma gestión: permite que el riesgo que detecta una persona, y no un sistema, llegue a quien puede actuar. No se trata de que todos vigilen a todos, sino de que la información que ya existe no se pierda.


"Un canal de denuncia no se mide por existir en el código de ética, sino por si alguien que vio algo grave lo usaría mañana sin temer por su puesto; esa confianza se construye con independencia, confidencialidad y respuestas, no con carteles", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, plantea la gestión del riesgo de personas a lo largo de toda la relación laboral, sin que ello implique que opere canales de denuncia, investigue casos o audite programas de integridad de otras organizaciones, ni que tenga relación con las empresas mencionadas.


La pregunta que el canal no responde por sí solo

Que una empresa mexicana cumpla con la NOM-035 y tenga un buzón de quejas no dice si ese buzón funciona. La pregunta que vale la pena hacerse en Recursos Humanos, Compliance, Legal y Auditoría no es si el canal aparece en el organigrama, sino si quien detecta hoy una irregularidad elegiría usarlo antes que quedarse callado, y quién decidiría investigar si la queja apunta hacia arriba.


Fuentes y marco normativo consultado

  1. U.S. Securities and Exchange Commission, orden administrativa en el caso Walmart Inc., Release No. 34-86159 (20 de junio de 2019), hechos sobre la denuncia de 2005 y la investigación interna en México; https://www.sec.gov/litigation/admin/2019/34-86159.pdf
  2. Walmart Inc., comunicado anexo al Form 8-K (20 de junio de 2019), monto total de 282.7 millones de dólares, acuerdo de no persecución con el DOJ y orden de la SEC; https://www.sec.gov/Archives/edgar/data/104169/000010416919000030/pressreleasedatedjune202019.htm
  3. ACFE, Occupational Fraud 2026: A Report to the Nations (14.ª edición), 2,402 casos en 143 países y territorios; estudio internacional, no específico de México; https://www.acfe.com/fraud-resources/report-to-the-nations
  4. NOM-035-STPS-2018, Factores de riesgo psicosocial en el trabajo (DOF 23 de octubre de 2018), numerales 2, 5.1 y 8.1 inciso b)
  5. Ley Federal del Trabajo, art. 132, fracción XXXI (protocolo contra discriminación, violencia y acoso u hostigamiento sexual)
  6. Ley General de Responsabilidades Administrativas, art. 25, fracción IV (sistemas de denuncia en la política de integridad de personas morales) y art. 64 (revelación de identidad de denunciante anónimo; medidas de protección para servidores públicos)
  7. Secretaría de la Función Pública, Acuerdo por el que se emite el Protocolo de Protección para Personas Alertadoras de la Corrupción (DOF 19 de octubre de 2020); https://www.gob.mx/cms/uploads/attachment/file/586648/ACUERDO_por_el_que_se_emite_el_Protocolo_de_Protecci_n_para_Personas_Alertadoras_de_la_Corrupci_n__1_.pdf
  8. Expansión Política, "SFP lanza plataforma para 'soplones' de la corrupción" (25 de julio de 2019); https://politica.expansion.mx/mexico/2019/07/25/sfp-lanza-plataforma-para-soplones-de-la-corrupcion
  9. Accountability Research Center, Carlos G. Guerrero Orozco, "Taking Stock of the Mexican Government's Rebranded Whistleblower Program" (2022, actualizado en julio de 2025); https://accountabilityresearch.org/taking-stock-of-the-mexican-governments-rebranded-whistleblower-program/
  10. UNCAC Coalition, Vania Pérez Morales, sobre la ausencia de una ley general de personas alertadoras en México (11 de junio de 2026)
  11. El Imparcial, sobre la campaña "Tu Denuncia Transforma" de la Secretaría Anticorrupción y Buen Gobierno (14 de julio de 2026)
  12. Cámara de Diputados, Gaceta Parlamentaria (9 de septiembre de 2026), iniciativa con proyecto de decreto por el que se expide la Ley Federal de Protección a Denunciantes y Testigos de Hechos de Corrupción; https://gaceta.diputados.gob.mx/PDF/66/2026/sep/20260909-II-2-1.pdf
  13. Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025), art. 20 (confidencialidad)
  14. IDC Online, "58% de quienes sufren acoso laboral renuncia, solo 29% denuncia" (11 de agosto de 2023), sobre encuesta de OCC Mundial de julio de 2023 a 3,600 usuarios; https://idconline.mx/laboral/2023/08/11/58-de-quienes-sufren-acoso-laboral-renuncia-solo-29-denuncia
  15. Validato, descripción de servicios en México; https://validato.ch/mx-es/