Una matriz de riesgos legales sirve para decidir qué se corrige primero. Si todo aparece en rojo, no permite tomar esa decisión; si se ordena según la frecuencia con la que ha llegado la autoridad, engaña, porque basta una sola verificación para materializar una contingencia que llevaba años abierta.
Qué exige la norma
No existe en México una metodología oficial y obligatoria para clasificar riesgos legales por severidad. Aun así, la severidad tiene una medida objetiva en la propia ley, que fija cuánto puede costar cada omisión, a quién alcanza y cómo se agrava. Una matriz seria se construye con esos datos.
El techo de la sanción. Las cifras varían en órdenes de magnitud. Exceder la jornada diaria máxima o no otorgar el descanso semanal se sanciona con 50 a 250 UMA (de 5,865.50 a 29,327.50 pesos; de cinco mil ochocientos sesenta y cinco pesos con cincuenta centavos a veintinueve mil trescientos veintisiete pesos con cincuenta centavos), conforme al artículo 994, fracción I, de la Ley Federal del Trabajo. En datos personales, las infracciones de mayor gravedad llegan a 320,000 UMA: el artículo 59, fracción III, de la ley de la materia las sanciona con 200 a 320,000 UMA (de 23,462 a 37,539,200 pesos; de veintitrés mil cuatrocientos sesenta y dos pesos a treinta y siete millones quinientos treinta y nueve mil doscientos pesos).
Los multiplicadores. La Ley Federal del Trabajo impone una sanción por cada trabajador afectado cuando un solo acto u omisión alcanza a varios, y duplica la multa en caso de reincidencia dentro de los dos años siguientes (artículo 992). El Código Fiscal de la Federación aplica la multa de beneficiario controlador por cada beneficiario controlador (artículo 84-N). Así, una omisión modesta en lo individual puede volverse la más costosa de la empresa según el número de personas que toca.
Quién responde. La severidad también depende de cuántas partes alcanza la sanción. En subcontratación sin registro, la multa de 2,000 a 50,000 UMA (de 234,620 a 5,865,500 pesos; de doscientos treinta y cuatro mil seiscientos veinte pesos a cinco millones ochocientos sesenta y cinco mil quinientos pesos) se impone tanto a quien presta el servicio como a quien lo recibe (artículo 1004-C de la Ley Federal del Trabajo). Por eso, aunque el incumplimiento sea del proveedor, la empresa contratante debe calificar ese renglón como propio.
Los criterios de individualización. En datos personales, la autoridad debe considerar la naturaleza del dato, la notoria improcedencia de la negativa al titular, el carácter intencional o no de la conducta, la capacidad económica del responsable y la reincidencia (artículo 60). Con esos criterios, la misma omisión pesa más en una empresa que trata datos de salud o financieros.
Los efectos que no son multa. Algunas de las consecuencias más caras no aparecen en un tabulador de sanciones: los pagos por subcontratación sin registro no son deducibles ni permiten acreditar el impuesto al valor agregado (artículo 15-D del Código Fiscal de la Federación); la cesión de derechos de autor que no consta por escrito es nula (artículo 30 de la Ley Federal del Derecho de Autor); y los accionistas de una S.A.S. que rebasa su límite de ingresos sin transformarse responden de forma ilimitada (artículo 260 de la Ley General de Sociedades Mercantiles).
Qué debe hacer y en qué plazo
- Levante un inventario de obligaciones por frente: corporativo, contractual, laboral, datos personales, propiedad intelectual y cumplimiento regulatorio.
- Para cada obligación registre su fundamento, la sanción máxima, el multiplicador aplicable y los efectos no monetarios.
- Califique la exposición de cada obligación: si el incumplimiento ya existe, si deja rastro en registros o informes periódicos que la autoridad recibe, y si hay una fecha que ya está corriendo.
- Ordene el resultado en tres horizontes de atención: INMEDIATA, para lo que combina severidad alta y exposición actual; CORTO PLAZO, para lo que tiene fecha cercana; y MEDIANO PLAZO, para lo que es preventivo.
- Haga aprobar la matriz por el consejo o la administración, con un responsable y una fecha por renglón.
- Revísela al menos una vez al año y después de cada reforma relevante. Esta revisión es una mejor práctica de gobierno corporativo; la ley no la impone como obligación autónoma.
Recomendaciones para mitigar riesgos
Carecer de una matriz no tiene multa. El riesgo está en asignar recursos a la contingencia equivocada, sobre todo cuando una omisión se mira sin su multiplicador y parece menor de lo que es. Tome como ejemplo, con cifras de la propia ley, una planta de 120 personas que excede la jornada diaria máxima de todo su personal: no enfrenta una sola multa de 50 a 250 UMA, sino una por cada trabajador, de 6,000 a 30,000 UMA (de 703,860 a 3,519,300 pesos; de setecientos tres mil ochocientos sesenta pesos a tres millones quinientos diecinueve mil trescientos pesos), que se duplica si reincide. Una sociedad con tres beneficiarios controladores que nunca integró su expediente enfrenta hasta 6,747,000 pesos (seis millones setecientos cuarenta y siete mil pesos), porque la multa máxima de 2,249,000 pesos se aplica por cada uno.
Autoevaluación
Responda sí o no sobre su propia empresa.
- ¿Tiene un inventario escrito de las obligaciones legales de la empresa, agrupadas por frente?
- ¿Cada renglón de su matriz indica el artículo que fija la obligación y la sanción que corresponde?
- ¿Su matriz considera el número de trabajadores, beneficiarios controladores o titulares de datos afectados por cada omisión?
- ¿Distingue entre lo que la ley exige y lo que es solo mejor práctica?
- ¿El consejo o la administración aprobó la matriz y asignó un responsable por renglón?
- ¿La matriz se actualizó después de la ley de datos personales de 2025 y de la reforma laboral de 2026?
Cómo lo abordamos en LEXURE
La matriz de riesgos por severidad es uno de los entregables centrales del Blindaje Corporativo. Cada renglón lleva su fundamento, la sanción oficial con su equivalente en pesos, el multiplicador aplicable y la evidencia que se revisó, de modo que la dirección general puede defender ante su consejo el orden en que se atiende cada corrección. El plan de acción que la acompaña se clasifica en INMEDIATA, CORTO PLAZO y MEDIANO PLAZO.
Si quiere saber qué renglones de su matriz están mal calificados, agende una reunión de diagnóstico con nosotros.
Fundamento
- Ley Federal del Trabajo, artículos 992, 994, fracción I, y 1004-C. Texto vigente (se abre en otra pestaña)
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículos 58, 59 y 60. Texto vigente (se abre en otra pestaña)
- Código Fiscal de la Federación, artículos 15-D, 84-M y 84-N. Texto vigente (se abre en otra pestaña)
- Ley Federal del Derecho de Autor, artículo 30. Texto vigente (se abre en otra pestaña)
- Ley General de Sociedades Mercantiles, artículo 260. Texto vigente (se abre en otra pestaña)
- Valor de la Unidad de Medida y Actualización 2026, INEGI. Publicación oficial (se abre en otra pestaña)
Esta nota es informativa y describe la norma vigente a la fecha de verificación. No constituye opinión legal sobre un caso concreto.