Cuando una empresa recibe un requerimiento de la Fiscalía, una visita de inspección o una denuncia penal, el tiempo que media entre ese primer contacto y la estructuración de una defensa sólida puede marcar la diferencia entre un proceso manejable y una crisis institucional. En Colombia, la investigación penal corporativa ya no es un riesgo exclusivo de grandes conglomerados: cualquier empresa que maneje recursos, proveedores, contratos o nómina puede verse involucrada en un proceso penal derivado de lavado de activos, fraude, peculado, corrupción privada o manejo indebido de información. La pregunta no es si su empresa podría enfrentar una investigación, sino si está preparada para responderla. En nuestro equipo de litigio estratégico acompañamos a empresas desde el primer requerimiento hasta el cierre del proceso.
La preparación no empieza cuando llega la citación: empieza antes, en la etapa en que la empresa todavía puede ordenar sus documentos, revisar sus controles y definir quién responde ante las autoridades. Un protocolo de respuesta bien diseñado reduce la exposición jurídica de la empresa, protege a sus representantes legales y permite construir una defensa coherente desde el primer momento. Ignorar esa preparación equivale a llegar a una audiencia sin saber qué dice el expediente propio.
- Revisar alertas internas: transacciones inusuales, conflictos de interés y fallas de control antes de que la Fiscalía lo haga primero.
- Ordenar y preservar documentos, correos y trazabilidad financiera desde el primer indicio de investigación.
- Confirmar si existe un programa de cumplimiento o si necesita actualización urgente.
- Designar un vocero jurídico y trazar una ruta de defensa antes de que el proceso escale.
Una empresa que enfrenta una investigación penal corporativa en Colombia debe, como primer paso, revisar sus controles internos, ordenar sus registros financieros y documentales, verificar el estado de su programa de cumplimiento y designar un vocero jurídico autorizado para responder ante las autoridades. Ese ejercicio previo, guiado por el artículo 91 de la Ley 906 de 2004 y los principios de colaboración con la justicia, puede determinar si la empresa responde como víctima, testigo o imputada.
Actualidad Legal: casos y decisiones recientes en Colombia sobre responsabilidad penal empresarial
En 2025 y 2026, la Corte Suprema de Justicia consolidó su postura sobre evidencia digital en procesos penales mediante la Sentencia SP248-2025, en la que precisó los criterios para la cadena de custodia de evidencia digital: confiabilidad, integralidad, inalterabilidad, accesibilidad, auditabilidad y repetibilidad. El fallo estableció que las irregularidades en la cadena de custodia no implican automáticamente la exclusión de la prueba, sino que reducen su eficacia demostrativa conforme al artículo 273 del Código de Procedimiento Penal. Para las empresas, esa doctrina es relevante porque significa que la evidencia interna —correos, registros contables, contratos escaneados— puede ser admisible aunque no haya sido recolectada con todos los protocolos forenses, siempre que se pueda acreditar su autenticidad.
Paralelamente, en junio de 2026 se actualizaron guías de compliance en América Latina con énfasis en que un programa de cumplimiento debe estar operativo, documentado y trazable antes de que las autoridades se presenten, no después. El principio que se repite en todas las autoridades regulatorias es el mismo: un programa de cumplimiento que se instala después de iniciada la investigación no genera los mismos beneficios que uno que ya existía y funcionaba al momento de los hechos. Para una empresa colombiana, eso significa que el valor jurídico del compliance depende de su implantación real y no de su existencia formal en papel.
¿Qué alertas internas debe revisar la empresa antes de que lo haga la Fiscalía?
El primer paso de cualquier preparación corporativa es una revisión interna honesta. Muchas investigaciones penales comienzan con una denuncia de un empleado, un proveedor o un competidor, y la empresa que revisa sus propias alertas antes de recibir una citación tiene ventaja real en la construcción de su defensa. Las señales que deben activar una revisión interna incluyen transacciones atípicas que no tienen respaldo documental claro, pagos a terceros sin contratos formalizados, conflictos de interés no declarados entre directivos y proveedores, movimientos de caja menores que evitan umbrales de reporte obligatorio y quejas internas no resueltas sobre decisiones financieras o contractuales.
En Colombia, el Código Penal establece responsabilidad individual para los representantes legales, revisores fiscales y directores que faciliten, autoricen o no eviten conductas punibles dentro de la empresa. Esa regla aplica aunque el directivo no haya participado directamente en la conducta, si tenía posición de garante y no actuó. Por eso, la revisión interna no es solo un ejercicio contable: es un análisis jurídico de quién tenía conocimiento, quién debía actuar y si las alertas del sistema fueron ignoradas.
¿Cómo preservar la evidencia documental y digital antes de que sea requerida?
Cuando existe un indicio de investigación, la empresa debe actuar de inmediato para proteger su propia evidencia. Esto no significa destruir ni alterar documentos: significa asegurarlos, organizarlos y garantizar que no se pierdan, borren o modifiquen antes de que sean relevantes para el proceso. En Colombia, la alteración o destrucción de evidencia puede constituir el delito de fraude procesal tipificado en el artículo 453 del Código Penal, con penas de hasta seis años de prisión.
Qué debe asegurarse de inmediato
- Correos electrónicos corporativos relacionados con las transacciones bajo revisión, incluyendo metadatos de envío y recepción.
- Registros contables, extractos bancarios y comprobantes de egreso del período investigado.
- Contratos, otrosíes, minutas y comunicaciones con las contrapartes involucradas.
- Registros de acceso a sistemas, bitácoras de modificaciones y logs de actividad digital.
- Actas de juntas directivas, comités y reuniones ejecutivas en las que se aprobaron las operaciones cuestionadas.
La Corte Suprema ha establecido que la cadena de custodia de la evidencia digital requiere confiabilidad, integridad e inalterabilidad. Para la empresa, eso significa que los documentos deben conservarse en el formato original, con sus metadatos intactos, y que cualquier copia debe generarse con procedimientos que garanticen que el contenido no fue modificado, idealmente mediante valores hash que funcionen como huella digital del archivo.
⚠️ ADVERTENCIA LEGAL
No intente eliminar correos, reformatear equipos ni reasignar cuentas de usuario una vez que tenga conocimiento de una investigación. Esa conducta puede tipificarse como fraude procesal o destrucción de evidencia conforme al artículo 453 del Código Penal colombiano, y convierte a quien la ejecuta en un nuevo imputado dentro del mismo proceso.
¿Qué es el programa de cumplimiento y por qué puede proteger a su empresa?
El programa de cumplimiento —también conocido como compliance penal— es el conjunto de políticas, procedimientos, controles y canales de reporte que una empresa implementa para prevenir y detectar conductas penales dentro de su organización. En Colombia, aunque no existe aún una norma que exija obligatoriamente un programa de compliance penal para empresas privadas en general, la existencia de uno bien estructurado tiene efectos jurídicos concretos: puede demostrar que la empresa actuó de buena fe, que tenía controles activos y que la conducta investigada fue una falla individual y no una política corporativa.
Para empresas con obligaciones bajo la Ley 1778 de 2016 —que regula la responsabilidad de personas jurídicas por actos de corrupción transnacional— y bajo las resoluciones de la Unidad de Información y Análisis Financiero (UIAF), el compliance no es opcional: es obligatorio y su ausencia agrava la posición jurídica de la empresa. En cualquier caso, la actualización urgente del programa una vez iniciada la investigación, aunque tardía, puede mostrar disposición de corrección y colaboración con la justicia, lo que puede incidir en la negociación de cargos o en la determinación de sanciones.
¿Cómo definir quién responde ante las autoridades y qué información puede compartirse?
Uno de los errores más costosos en una investigación penal corporativa es que múltiples personas hablen con las autoridades de manera desordenada, inconsistente o sin asesoría previa. Cada declaración ante la Fiscalía es un elemento de prueba que puede ser usado en el proceso. Por eso, desde el primer requerimiento, la empresa debe designar un vocero jurídico único, preferiblemente su apoderado, y establecer una política interna clara sobre qué información puede compartirse con investigadores, auditores o autoridades y en qué condiciones.
La empresa también debe distinguir entre la colaboración voluntaria con la Fiscalía —que puede generar beneficios procesales— y la entrega de información sin asesoría que puede exponer a directivos individuales. El artículo 348 de la Ley 906 de 2004 permite los preacuerdos y negociaciones con la Fiscalía, pero esos mecanismos solo producen resultados favorables cuando la empresa tiene una estrategia definida desde el principio y no cuando responde de manera reactiva a cada solicitud.
Guía práctica: qué debe hacer la empresa en las primeras 72 horas
- Notificar al apoderado jurídico: Antes de responder cualquier requerimiento, la empresa debe contactar a su abogado penalista corporativo. Ningún directivo, contador ni empleado debe dar declaraciones ni entregar documentos sin asesoría previa.
- Congelar y preservar la evidencia: Identificar los sistemas, cuentas y archivos relacionados con el asunto bajo revisión y restringir su acceso, modificación o eliminación desde el momento en que se tiene conocimiento del requerimiento.
- Realizar una revisión interna confidencial: Bajo secreto profesional con el apoderado, hacer un mapeo de hechos: quién sabía qué, cuándo, qué decisiones se tomaron y qué documentos las respaldan.
- Verificar el estado del programa de cumplimiento: Revisar si las políticas internas estaban activas, si los controles funcionaban y si existían alertas previas que no fueron atendidas.
- Definir el vocero jurídico único: Designar formalmente quién responde ante la Fiscalía, la SIC, la Superintendencia Financiera o cualquier otra autoridad, con poderes claros y con instrucción de no actuar sin coordinación con el apoderado.
- Documentar cada actuación desde el primer día: Llevar un registro cronológico de cada comunicación, entrega de documentos y contacto con autoridades. Ese registro puede ser determinante para demostrar colaboración y buena fe durante el proceso.
Preguntas frecuentes
¿Una empresa puede ser imputada penalmente en Colombia?
En Colombia, la responsabilidad penal recae sobre las personas naturales: representantes legales, directores, revisores fiscales y empleados que ejecuten o autoricen conductas punibles. Sin embargo, la empresa puede ser sancionada administrativamente por la Superintendencia de Sociedades mediante la Ley 1778 de 2016 si se acredita que personas jurídicas facilitaron actos de corrupción transnacional. Además, puede enfrentar extinción de dominio sobre sus activos si se demuestra que fueron obtenidos o usados en actividades ilícitas.
¿Qué es el programa de compliance y qué beneficio tiene en una investigación penal?
Es el conjunto de políticas, controles y canales de reporte que la empresa implementa para prevenir conductas ilícitas. Su existencia real y documentada puede demostrar que la empresa tenía controles activos, que la conducta investigada fue individual y no una política corporativa, y que actuó de buena fe. Eso puede incidir favorablemente en la negociación de cargos, en la determinación de sanciones y en la protección de los directivos que sí cumplieron con sus deberes.
¿Qué pasa si un empleado destruye documentos cuando ya hay una investigación?
La destrucción, alteración u ocultamiento de evidencia una vez que existe conocimiento de una investigación puede tipificarse como fraude procesal bajo el artículo 453 del Código Penal colombiano, con penas de cuatro a ocho años de prisión. Esa conducta convierte al empleado o directivo que la ejecuta en un nuevo imputado dentro del proceso, independientemente de si era o no investigado originalmente por la conducta principal.
¿Puede la empresa colaborar con la Fiscalía para obtener beneficios procesales?
Sí. El artículo 348 de la Ley 906 de 2004 permite preacuerdos y negociaciones entre la Fiscalía y los imputados o acusados. La colaboración eficaz puede traducirse en cargos reducidos, penas atenuadas o mecanismos sustitutivos de la privación de libertad para los directivos involucrados. Sin embargo, esos beneficios solo se obtienen cuando existe una estrategia jurídica definida y la colaboración se hace de forma ordenada y asesorada, no de manera espontánea e inconsistente.
¿Cuánto tiempo tiene la Fiscalía para investigar a una empresa en Colombia?
Los términos dependen del delito y de la etapa procesal. En el sistema penal acusatorio colombiano (Ley 906 de 2004), la Fiscalía tiene un año para formular imputación desde la captura del investigado, y si no lo hace, el imputado puede quedar en libertad. Sin embargo, la investigación previa puede extenderse varios años. Para delitos como lavado de activos o peculado, los términos de prescripción de la acción penal pueden ser de hasta 20 años, lo que implica que conductas pasadas pueden ser objeto de investigación mucho tiempo después de ocurridas.
Escrito por: Equipo Jurídico LITESCO
Fuentes normativas consultadas: Ley 906 de 2004 artículos 273, 348 y 453 — Ley 1778 de 2016 — Código Penal colombiano artículo 453 — Sentencia SP248-2025 Corte Suprema de Justicia — Norma ISO/IEC 27037 de 2012 sobre evidencia digital — Guías de compliance UIAF Colombia 2024.
Artículos relacionados:
Cómo demandar ante Colpensiones o una AFP en Colombia 2026
Registro de marcas en Colombia: el caso Disney y cómo protegerse ante la SIC