En 2026, la agenda trilateral entre México, Estados Unidos y Canadá estará dominada por la Revisión Conjunta del T-MEC. Para sorpresa de nadie, este proceso se enmarca en un contexto geopolítico de alta tensión. Más allá de las mesas de diálogo gubernamental, ¿qué tarea urgente le corresponde al sector privado? Garantizar la integridad de terceros; es decir, blindar la cadena de valor extendida.
Las autoridades estadounidenses llegarán a la mesa con una postura endurecida: la vigilancia extrema sobre el financiamiento ilícito. Con la designación oficial de ciertos cárteles mexicanos como Organizaciones Terroristas Extranjeras (FTO) y la aplicación de la FEND Off Fentanyl Act, ya no se trata solo de corrupción administrativa; el foco se ha desplazado hacia la seguridad nacional.
Esto cambia las reglas del juego: una empresa mexicana que, por omisión, tenga en su cadena de suministro a un proveedor vinculado —siquiera indirectamente— con estas redes, no solo enfrenta un riesgo reputacional, sino sanciones económicas devastadoras y el congelamiento inmediato de activos bajo normativas de seguridad nacional estadounidense.
Independientemente del avance diplomático, las empresas deben vigilar obsesivamente con quién se relacionan. Si quedan dudas sobre la urgencia de esto, analicemos el contexto:
Durante años, el cumplimiento en México se centró en "hacer bien las cosas puertas adentro". Códigos de ética y controles internos son ya el estándar. Sin embargo, esa visión resulta incompleta y peligrosa. Hoy, una empresa se extiende hasta su último proveedor, agente aduanal o socio comercial. Persiste una falsa seguridad de que, mientras la organización actúe correctamente, los riesgos están controlados. La realidad es que los problemas más graves hoy ingresan por la puerta trasera, a través de terceros mal supervisados.
El entorno regulatorio global ha evolucionado hacia la responsabilidad por contagio. La Ley General de Responsabilidades Administrativas en México, la FCPA de Estados Unidos y la UK Bribery Act comparten una premisa: las empresas son responsables por las acciones de terceros que actúan en su beneficio. La omisión de un due diligence efectivo ha dejado de ser una falta administrativa para convertirse en negligencia legal.
Los ejemplos son claros: si un proveedor figura en listas de sanciones internacionales (OFAC) o está vinculado a lavado de dinero, la empresa que le paga puede enfrentar procesos penales. Si un gestor paga un soborno para agilizar un trámite, la investigación alcanza directamente a la empresa beneficiaria. El argumento de "yo no sabía" es jurídicamente insostenible.
A este riesgo legal se suma el reputacional. En la era de la hipertransparencia, el mercado juzga por asociación. Inversionistas y aliados estratégicos rara vez leen la letra pequeña donde se aclara que "solo era un tercero". El daño es viral e irreversible.
Paradójicamente, muchas organizaciones siguen atrapadas en el vicio del check-the-box, confundiendo gestión de riesgos con acumulación de documentos fiscales. Eso es burocracia, no blindaje. Una verdadera gestión de terceros requiere inteligencia: ¿Quién es el beneficiario final real? ¿Existen conflictos de interés? ¿Cuál es su reputación de mercado más allá de un PDF?
En un entorno donde los reguladores endurecen su postura y equiparan el riesgo corporativo con la seguridad nacional, la gestión de terceros debe dejar de ser una función operativa de compras para convertirse en un componente estratégico de gobernanza.
En 2026, ante la revisión del T-MEC, la confianza verificada es la mejor inversión para proteger el patrimonio y el legado de las empresas. Relacionarnos sin riesgo es un no negociable. Al final, ningún negocio debería permitir que un tercero decida su futuro.
____
Nota del editor: José Carlos Ortiz es Socio de Gobierno Corporativo, Riesgo y Cumplimiento de ASG Risk. Las opiniones publicadas en esta columna corresponden exclusivamente al autor.
Consulta más información sobre este y otros temas en el canal Opinión
