Una triangulación que dejó rastros públicos

El 4 de septiembre de 2017, Animal Político y Mexicanos Contra la Corrupción y la Impunidad (MCCI) publicaron "La Estafa Maestra", una investigación basada en auditorías de la Auditoría Superior de la Federación. Según esa reconstrucción, 11 dependencias federales habían canalizado 7,670 millones de pesos a través de 8 universidades públicas, que a su vez subcontrataron a 186 empresas. De ellas, 128 presentaban irregularidades; según el reportaje, entre ellas la falta de infraestructura o de una operación real, domicilios que no correspondían a una actividad y empresas sin presencia comercial verificable. Este texto no se pronuncia sobre las responsabilidades individuales, que corresponden a las autoridades competentes, ni sobre la situación de ninguna persona en particular. Lo que interesa del caso es otra cosa: el tipo de señales que, de acuerdo con la investigación, estaban a la vista de quien quisiera contrastar los datos, sin necesidad de ninguna intrusión.


Esa es la lógica del OSINT (open source intelligence, o inteligencia de fuentes abiertas) aplicado a terceros: cruzar con método información pública y dispersa para formarse una idea razonable sobre una contraparte antes de establecer una relación comercial. No implica acceder a sistemas ajenos ni vulnerar la privacidad de nadie. Implica hacer de manera ordenada lo que los registros ya permiten hacer de manera aislada.


Las fuentes mexicanas, una por una

El punto de partida es el Registro Público de Comercio. El Código de Comercio establece que en él se inscriben los actos mercantiles y que la inscripción es obligatoria para las sociedades mercantiles respecto de su constitución, transformación, fusión, escisión, disolución y liquidación (artículos 18 y 19). Su artículo 30 permite a los particulares consultar las bases de datos y solicitar certificaciones, previo pago de los derechos correspondientes. Ahí se puede contrastar el objeto social, que la Ley General de Sociedades Mercantiles exige incluir en la escritura constitutiva (artículo 6, fracción II). Suponga, como hipótesis, una sociedad inscrita para organizar eventos que factura servicios de ingeniería: la discrepancia merece una pregunta. Pero conviene no sobreinterpretar, porque el objeto social puede redactarse de manera amplia y una coincidencia formal tampoco acredita que la empresa tenga capacidad real para prestar el servicio.


Una segunda fuente es el Sistema Electrónico de Publicaciones de Sociedades Mercantiles de la Secretaría de Economía, donde se hacen las publicaciones que exigen el Código de Comercio y la Ley General de Sociedades Mercantiles. Según la propia Secretaría, cualquier persona puede consultarlo sin firma electrónica avanzada y operar en él no tiene costo. Una tercera es el procedimiento de concurso mercantil: de acuerdo con el artículo 45 de la Ley de Concursos Mercantiles, el conciliador debe solicitar la inscripción de la sentencia en los registros públicos correspondientes y publicar un extracto en el Diario Oficial de la Federación y en un diario de mayor circulación en la localidad del juicio.


Las dos fuentes más específicas para un proveedor están en el ámbito fiscal y de contrataciones públicas. El artículo 69-B del Código Fiscal de la Federación permite a la autoridad presumir la inexistencia de las operaciones cuando detecta que un contribuyente emite comprobantes sin contar con activos, personal, infraestructura o capacidad material para prestar los servicios o producir los bienes que amparan. La persona señalada tiene 15 días para aportar pruebas, y solo si no desvirtúa la presunción pasa al listado definitivo, que se publica en el Diario Oficial y en el portal del SAT. En sus datos abiertos, el SAT separa los listados de presuntos, definitivos, desvirtuados y con sentencia favorable, y su última actualización consultada para este texto corresponde al 31 de agosto de 2026. La distinción importa: estar en la lista de presuntos no equivale a ser definitivo, y haber desvirtuado la presunción es una situación distinta de la de quien no lo hizo. Del lado de las contrataciones públicas, ComprasMX sustituyó a CompraNet, operativa desde 2010, el 18 de abril de 2025 bajo la Secretaría Anticorrupción y Buen Gobierno, y esa misma Secretaría mantiene el Directorio de Proveedores y Contratistas Sancionados, donde se inscriben las empresas inhabilitadas para contratar con el gobierno federal. En julio de 2026, por ejemplo, la prensa informó de dos proveedoras sancionadas, con inhabilitaciones de entre tres meses y un año, por presentar información falsa o actuar de mala fe en licitaciones.


Consultar no equivale a quedar protegido

Conviene no sobreestimar estas herramientas. Que una empresa no figure en el listado del SAT no significa que su operación sea genuina: una sociedad recién constituida para un uso breve puede no tener todavía ningún antecedente. Que no haya un concurso mercantil publicado no significa que su situación financiera sea sólida, sino que no existe, por ahora, una sentencia. Y el Registro Público de Comercio refleja formalidades jurídicas, no la existencia de una planta, una plantilla o un servicio efectivamente prestado.


Tampoco debe suponerse que la consulta funcione como escudo. Lo que el artículo 69-B pide a quien recibió comprobantes de un contribuyente incluido en el listado definitivo no es haber revisado el listado, sino acreditar, dentro de los treinta días siguientes, que efectivamente recibió los bienes o servicios, o corregir su situación fiscal. La implicación práctica es que la verificación previa y la evidencia de que el servicio se prestó son dos tareas distintas, y la segunda depende de lo que la empresa documente durante la relación: entregables, bitácoras, actas de recepción, personal en sitio. La proporcionalidad completa el cuadro: una verificación más profunda es razonable en una relación de monto alto, recurrente o sensible para la operación, y puede resultar excesiva en una compra menor y única.


Hay, por último, una cuestión de datos personales. La información de una persona moral no es un dato personal, pero los nombres de sus socios, administradores y apoderados sí lo son. A diferencia de lo que ocurre con un perfil en una red social, el Registro Público de Comercio es consultable por disposición de ley, como exige la definición de fuente de acceso público de la ley de datos personales vigente; aun así, los principios de finalidad y proporcionalidad siguen aplicando. Consultar para evaluar a la contraparte es una cosa; armar expedientes sobre las personas que la integran, otra.


Parte de la debida diligencia, no una investigación paralela

Dentro del Human Risk Management, entendido como la gestión estructurada de riesgos asociados a personas, funciones, accesos y decisiones, y no como vigilancia, la revisión de fuentes abiertas sobre un tercero es una extensión de un mismo criterio: la función, la exposición y la proporcionalidad determinan cuánta verificación es razonable, no una sospecha generalizada hacia cualquier contraparte. "Gran parte de lo que evita sorpresas ya está disponible públicamente. El problema casi nunca es la falta de información, sino que nadie la cruce antes de firmar", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos de verificación de terceros como estructurados en función del rol, el riesgo y la exposición de cada vínculo, sin que esto implique que la compañía acceda a información reservada ni a sistemas de la autoridad, ni que garantice que una verificación evite un incidente o el cumplimiento normativo de una empresa.


Mirar antes de firmar

El caso de La Estafa Maestra no necesita una sentencia para dejar una enseñanza operativa: las señales de que una empresa no tiene la capacidad que dice tener suelen estar en registros que cualquier área de compras, Legal o Compliance puede consultar. Ninguna fuente aislada alcanza, y todas tienen límites. Pero la combinación de un registro mercantil, las publicaciones societarias, las listas del SAT, el directorio de sancionados y, sobre todo, la evidencia documentada de que el servicio se presta, constituye un estándar de diligencia mucho más sólido que la confianza en la recomendación de un conocido. La pregunta que vale la pena instalar antes de cada contrato relevante es sencilla: qué sabíamos de esta empresa antes de firmar, y quién lo cruzó.


Fuentes y marco normativo consultado

• Animal Político y Mexicanos Contra la Corrupción y la Impunidad, "La Estafa Maestra", 4 de septiembre de 2017 (cifras citadas según la cobertura de prensa de esa investigación, basada en auditorías de la Auditoría Superior de la Federación)

• Código de Comercio (última reforma DOF 14-nov-2025), arts. 18, 19 y 30 (Registro Público de Comercio)

• Ley General de Sociedades Mercantiles (última reforma DOF 20-oct-2023), art. 6 fracción II (objeto de la sociedad)

• Secretaría de Economía, Sistema Electrónico de Publicaciones de Sociedades Mercantiles (PSM), preguntas frecuentes

• Ley de Concursos Mercantiles (última reforma DOF 14-nov-2025), art. 45 (inscripción y publicación de la sentencia de concurso mercantil)

• Código Fiscal de la Federación, art. 69-B (presunción de inexistencia de operaciones, procedimiento y efectos), y Servicio de Administración Tributaria, datos abiertos de los listados del art. 69-B (actualización del 31 de agosto de 2026)

• Secretaría Anticorrupción y Buen Gobierno, ComprasMX (en operación desde el 18 de abril de 2025) y Directorio de Proveedores y Contratistas Sancionados; Infobae México, 8 de julio de 2026, sobre dos proveedoras inhabilitadas

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-mar-2025), art. 2 fracción X (fuentes de acceso público) y art. 12 (proporcionalidad)

• Validato, Background Screening y Human Risk Management estructurados por rol: https://validato.ch/mx-es/human-risk