Diagnóstico

La matriz de riesgos legales por severidad: cómo leerla desde la dirección general

Una matriz útil no pinta todo de rojo: ordena qué corregir primero según el costo real que la ley asigna a cada omisión.

Equipo del área de Diagnóstico Preventivo de LEXURE 7 min de lectura Vigencia normativa verificada en 2026

Una matriz de ries­gos lega­les sirve para deci­dir qué se corrige pri­mero. Si todo apa­rece en rojo, no per­mite tomar esa deci­sión; si se ordena según la fre­cuen­cia con la que ha lle­gado la auto­ri­dad, engaña, porque basta una sola veri­fi­ca­ción para mate­ria­li­zar una con­tin­gen­cia que lle­vaba años abierta.

Qué exige la norma

No existe en México una meto­do­lo­gía ofi­cial y obli­ga­to­ria para cla­si­fi­car ries­gos lega­les por seve­ri­dad. Aun así, la seve­ri­dad tiene una medida obje­tiva en la propia ley, que fija cuánto puede costar cada omi­sión, a quién alcanza y cómo se agrava. Una matriz seria se cons­truye con esos datos.

El techo de la san­ción. Las cifras varían en órde­nes de mag­ni­tud. Exce­der la jor­nada diaria máxima o no otor­gar el des­canso sema­nal se san­ciona con 50 a 250 UMA (de 5,865.50 a 29,327.50 pesos; de cinco mil ocho­cien­tos ses­enta y cinco pesos con cin­cuenta cen­ta­vos a vein­ti­nueve mil tres­cien­tos veinti­siete pesos con cin­cuenta cen­ta­vos), con­forme al artículo 994, frac­ción I, de la Ley Fede­ral del Tra­bajo. En datos per­so­na­les, las infrac­cio­nes de mayor gra­ve­dad llegan a 320,000 UMA: el artículo 59, frac­ción III, de la ley de la mate­ria las san­ciona con 200 a 320,000 UMA (de 23,462 a 37,539,200 pesos; de vein­ti­trés mil cua­tro­cien­tos ses­enta y dos pesos a treinta y siete millo­nes qui­nien­tos treinta y nueve mil dos­cien­tos pesos).

Los mul­ti­pli­ca­do­res. La Ley Fede­ral del Tra­bajo impone una san­ción por cada tra­ba­ja­dor afec­tado cuando un solo acto u omi­sión alcanza a varios, y duplica la multa en caso de rein­ci­den­cia dentro de los dos años siguien­tes (artículo 992). El Código Fiscal de la Fede­ra­ción aplica la multa de bene­fi­cia­rio con­tro­la­dor por cada bene­fi­cia­rio con­tro­la­dor (artículo 84-N). Así, una omi­sión modesta en lo indi­vi­dual puede vol­verse la más cos­tosa de la empresa según el número de per­so­nas que toca.

Quién res­ponde. La seve­ri­dad tam­bién depende de cuán­tas partes alcanza la san­ción. En sub­con­tra­ta­ción sin regis­tro, la multa de 2,000 a 50,000 UMA (de 234,620 a 5,865,500 pesos; de dos­cien­tos treinta y cuatro mil seis­cien­tos veinte pesos a cinco millo­nes ocho­cien­tos ses­enta y cinco mil qui­nien­tos pesos) se impone tanto a quien presta el ser­vi­cio como a quien lo recibe (artículo 1004-C de la Ley Fede­ral del Tra­bajo). Por eso, aunque el incum­pli­miento sea del pro­vee­dor, la empresa con­tra­tante debe cali­fi­car ese ren­glón como propio.

Los cri­te­rios de indi­vi­dua­li­za­ción. En datos per­so­na­les, la auto­ri­dad debe con­si­de­rar la natu­ra­leza del dato, la noto­ria impro­ce­den­cia de la nega­tiva al titu­lar, el carác­ter inten­cio­nal o no de la con­ducta, la capa­ci­dad eco­nó­mica del res­pon­sa­ble y la rein­ci­den­cia (artículo 60). Con esos cri­te­rios, la misma omi­sión pesa más en una empresa que trata datos de salud o finan­cie­ros.

Los efec­tos que no son multa. Algu­nas de las con­se­cuen­cias más caras no apa­re­cen en un tabu­la­dor de san­cio­nes: los pagos por sub­con­tra­ta­ción sin regis­tro no son dedu­ci­bles ni per­mi­ten acre­di­tar el impuesto al valor agre­gado (artículo 15-D del Código Fiscal de la Fede­ra­ción); la cesión de dere­chos de autor que no consta por escrito es nula (artículo 30 de la Ley Fede­ral del Dere­cho de Autor); y los accio­nis­tas de una S.A.S. que rebasa su límite de ingre­sos sin trans­for­marse res­pon­den de forma ili­mi­tada (artículo 260 de la Ley Gene­ral de Socie­da­des Mer­can­ti­les).

Qué debe hacer y en qué plazo

  1. Levante un inven­ta­rio de obli­ga­cio­nes por frente: cor­po­ra­tivo, con­trac­tual, labo­ral, datos per­so­na­les, pro­pie­dad inte­lec­tual y cum­pli­miento regu­la­to­rio.
  2. Para cada obli­ga­ción regis­tre su fun­da­mento, la san­ción máxima, el mul­ti­pli­ca­dor apli­ca­ble y los efec­tos no mone­ta­rios.
  3. Cali­fi­que la expo­si­ción de cada obli­ga­ción: si el incum­pli­miento ya existe, si deja rastro en regis­tros o infor­mes perió­di­cos que la auto­ri­dad recibe, y si hay una fecha que ya está corriendo.
  4. Ordene el resul­tado en tres hori­zon­tes de aten­ción: INMEDIATA, para lo que com­bina seve­ri­dad alta y expo­si­ción actual; CORTO PLAZO, para lo que tiene fecha cer­cana; y MEDIANO PLAZO, para lo que es pre­ven­tivo.
  5. Haga apro­bar la matriz por el con­sejo o la admi­nis­tra­ción, con un res­pon­sa­ble y una fecha por ren­glón.
  6. Reví­sela al menos una vez al año y des­pués de cada reforma rele­vante. Esta revi­sión es una mejor prác­tica de gobierno cor­po­ra­tivo; la ley no la impone como obli­ga­ción autó­noma.

Recomendaciones para mitigar riesgos

Care­cer de una matriz no tiene multa. El riesgo está en asig­nar recur­sos a la con­tin­gen­cia equi­vo­cada, sobre todo cuando una omi­sión se mira sin su mul­ti­pli­ca­dor y parece menor de lo que es. Tome como ejem­plo, con cifras de la propia ley, una planta de 120 per­so­nas que excede la jor­nada diaria máxima de todo su per­so­nal: no enfrenta una sola multa de 50 a 250 UMA, sino una por cada tra­ba­ja­dor, de 6,000 a 30,000 UMA (de 703,860 a 3,519,300 pesos; de sete­cien­tos tres mil ocho­cien­tos ses­enta pesos a tres millo­nes qui­nien­tos die­ci­nueve mil tres­cien­tos pesos), que se duplica si rein­cide. Una socie­dad con tres bene­fi­cia­rios con­tro­la­do­res que nunca inte­gró su expe­diente enfrenta hasta 6,747,000 pesos (seis millo­nes sete­cien­tos cua­renta y siete mil pesos), porque la multa máxima de 2,249,000 pesos se aplica por cada uno.

Autoevaluación

Res­ponda sí o no sobre su propia empresa.

  1. ¿Tiene un inven­ta­rio escrito de las obli­ga­cio­nes lega­les de la empresa, agru­pa­das por frente?
  2. ¿Cada ren­glón de su matriz indica el artículo que fija la obli­ga­ción y la san­ción que corres­ponde?
  3. ¿Su matriz con­si­dera el número de tra­ba­ja­do­res, bene­fi­cia­rios con­tro­la­do­res o titu­la­res de datos afec­ta­dos por cada omi­sión?
  4. ¿Dis­tin­gue entre lo que la ley exige y lo que es solo mejor prác­tica?
  5. ¿El con­sejo o la admi­nis­tra­ción aprobó la matriz y asignó un res­pon­sa­ble por ren­glón?
  6. ¿La matriz se actua­lizó des­pués de la ley de datos per­so­na­les de 2025 y de la reforma labo­ral de 2026?

Cómo lo abordamos en LEXURE

La matriz de ries­gos por seve­ri­dad es uno de los entre­ga­bles cen­tra­les del Blin­daje Cor­po­ra­tivo. Cada ren­glón lleva su fun­da­mento, la san­ción ofi­cial con su equi­va­lente en pesos, el mul­ti­pli­ca­dor apli­ca­ble y la evi­den­cia que se revisó, de modo que la direc­ción gene­ral puede defen­der ante su con­sejo el orden en que se atiende cada correc­ción. El plan de acción que la acom­paña se cla­si­fica en INMEDIATA, CORTO PLAZO y MEDIANO PLAZO.

Si quiere saber qué ren­glo­nes de su matriz están mal cali­fi­ca­dos, agende una reu­nión de diag­nós­tico con noso­tros.

Fundamento

  1. Ley Federal del Trabajo, artículos 992, 994, fracción I, y 1004-C. Texto vigente (se abre en otra pestaña)
  2. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículos 58, 59 y 60. Texto vigente (se abre en otra pestaña)
  3. Código Fiscal de la Federación, artículos 15-D, 84-M y 84-N. Texto vigente (se abre en otra pestaña)
  4. Ley Federal del Derecho de Autor, artículo 30. Texto vigente (se abre en otra pestaña)
  5. Ley General de Sociedades Mercantiles, artículo 260. Texto vigente (se abre en otra pestaña)
  6. Valor de la Unidad de Medida y Actualización 2026, INEGI. Publicación oficial (se abre en otra pestaña)

Esta nota es informativa y describe la norma vigente a la fecha de verificación. No constituye opinión legal sobre un caso concreto.