Depende.

Acho melhor categorizar por tipo de regra pra ficar mais claro.

## Validações de dados

Sim, é errado. Validação de dados é uma característica do tipo de dado, portanto, de responsabilidade do *Model*.

## Verificação de existência de registro referenciado

Não. É função do *Controller* verificar se o registro de outra tabela realmente existe antes de fazer qualquer atribuição. A responsabilidade do Controller é harmonizar os dados entre *Models* e também entre a camada de apresentação.

## Auditoria de dados (log)

Depende. Se o tipo de dados a ser auditado segue um padrão de formato e dados, o melhor é usar uma biblioteca (como as que trabalham com aspectos) que interceptam o dado, ou então um `ActionFilter`. 

Caso contrário, não há problemas em usar isso no Controller, desde que seu Controller tenha um suporte adequado a transações.

## Montar *Views*

Sim, **muito** errado. O *Controller* deve apenas fornecer os dados para as *Views*. Nunca montar HTML, por exemplo.

Isto não se aplica caso o resultado devolvido por um *Controller* seja um arquivo (por exemplo, uma imagem ou um PDF), ou algum formato de dados padronizado (um JSON, um XML, e assim por diante).

Há uma ressalva sobre PDFs. Existe um pacote chamado [RazorPDF2](https://www.nuget.org/packages/RazorPDF2) que monta PDFs a nível de *View*. Este pacote é da minha autoria, então qualquer dúvida ou se quiser reportar bugs, pode me contatar através dos meios disponíveis aqui no site (menção, chat, etc.).


----------

# Vantagens

 - Simples e transparente. A regra que se vê é a regra executada de fato;
 - Rápido pra desenvolver;
 - Pode abarcar um único escopo transacional, diferentemente dos *Services*, cuja isolabilidade exige chamar vários repositórios, aumentando desnecessariamente o código.

# Desvantagens

 - Se o seu sistema é grande, as regras de cada método do *Controller* podem ficar enormes se as responsabilidades não forem bem segmentadas. Por exemplo, um método que executa múltiplas regras de negócio, insere em log, etc.;
 - Se um grande conjunto de regras precisa ser executado em vários *Controllers*, usar uma abordagem dessa pode deixar o código deveras repetitivo (pessoalmente falando, apenas para estes casos vejo o uso de uma camada de serviços como algo positivo).