El Departamento de Justicia de los Estados Unidos publica la actualización de su guía sobre los factores a tener en cuenta por los fiscales estadounidenses en sus investigaciones relacionadas con las organizaciones empresariales, en relación a la evaluación de sus modelos de cumplimiento y programas de prevención del delito («Evaluation of Corporate Compliance Programs»).
Partiendo de establecer que los programas de cumplimiento deben ser evaluados en el específico contexto de la investigación criminal, el Departamento renuncia a fijar formulas rígidas que deban seguirse para desarrollarla, sino sólo tres cuestiones fundamentales que el fiscal se debe preguntar:
(i) ¿Está el programa bien diseñado?
(ii) ¿Está siendo el programa aplicado de forma seria y de buena fe?. En otras palabras ¿está siendo implementado el programa de forma efectiva?
(iii) ¿Funciona el programa en la practica?
El Departamento de Justicia guía la actividad de los fiscales para dar respuesta a las anteriores preguntas, agrupando una serie de temas en torno a cada una de ellas, como indicadores del rendimiento alcanzado por las empresas. Así:
(i) Para evaluar si está el programa bien diseñado, podrá tenerse en cuenta:
- La valoración del riesgo efectuada por la empresa, desde la perspectiva:
- De la metodología utilizada, que abarque los incumplimientos mas frecuentes en el sector.
- El reparto de recursos entre áreas de poco riesgo y áreas de mucho riesgo.
- Actualización de la valoración del riesgo.
- Políticas y procedimientos del programa, que partiendo del código de conducta, pueden evaluarse:
- El proceso de creación de las mismas.
- El grado de exhaustividad de los contenidos normativos internos.
- El grado de accesibilidad de los contenidos normativos internos a los empleados y terceros relevantes.
- La integración operacional de los contenidos normativos, alcanzando los controles internos para materializarlos.
- Formación de los responsables de los controles, tanto en la identificación como en la comunicación de los incumplimientos.
- Formación y comunicación, pudiendo evaluarse:
- Formación especializada por riesgo, diferenciando la dada a los distintos directores o empleados en función de su concreta exposición.
- Forma, contenido y efectividad de la formación.
- Comunicación dad por los directivos de alto nivel a los empleados de la posición de la compañía con ocasión de los incumplimientos.
- Canales de denuncias y procesos de investigación, pudiendo evaluarse:
- Efectividad de los canales de denuncia, tanto en su funcionamiento como en la comunicación de su existencia y funcionamiento.
- Alcance adecuado de las investigaciones protagonizadas por personal especializado.
- Métricas y rendición de cuentas de la investigación.
- Seguimiento de los resultados de las investigaciones como vía de actualización de los programas.
- Gestión de terceras partes (socios de negocio), pudiendo evaluarse:
- Due diligence e identificación de los diversos riesgos de las distintas partes externas con las que interactúa la empresa.
- Controles de la actividad de las terceras partes, desde la racionalidad y sentido de su contratación hasta la delimitación contractual de los elementos esenciales de la relación.
- Gestión de las relaciones con terceros, incluyendo las posibilidades de efectuar controles sobre los mismos o de formarles en sus programas.
- Consecuencias de la identificación de incumplimientos de las terceras partes.
- Fusiones y adquisiciones, pudiendo evaluarse:
- El proceso de Due Diligence efectuado.
- Integración de la función de Compliance en el proceso de fusión o adquisición.
- Proceso seguido en caso de identificación de incumplimientos en la Due Diligence.
- Proceso seguido en la nueva entidad para implementar los programas de cumplimiento.
(ii) Para evaluar si está siendo el programa aplicado de forma seria, de buena fe y de forma efectiva, podrá tenerse en cuenta:
- El compromiso de la alta dirección y de los mandos intermedios, pudiendo evaluarse:
- La conducta de la cúspide, su compromiso con el cumplimiento y su nivel de tolerancia al riesgo en relación a la generación de negocio e ingresos.
- Compromiso compartido mediante la acción por la alta dirección y mandos intermedios en la mitigación de riesgos o incumplimientos.
- Supervisión del Consejo de Administración o Comité de Dirección, identificando el grado de profundización alcanzado por los mismos en el área de cumplimiento.
- Autonomía y recursos del sistema, pudiendo evaluarse:
- Estructura: lugar en el que la función de Compliance esté ubicado en la empresa, i.e. dependiente del área legal, de otras áreas de negocio o como función independiente reportando al CEO o al Consejo. Exclusividad del responsable o asunción de funciones complementarias.
- Estatuto y Seniority: en qué posición se encuentre la función de Compliance con respecto a otras áreas de la empresa en estructura, sueldos y compensaciones, línea de reporting, recursos y acceso a los puntos de toma de decisión de la empresa.
- Experiencia y cualificación de las personas encargadas del programa y los controles.
- Nivel de staffing adecuado para auditar, documentar, analizar y actuar en los resultados del programa.
- Autonomía del sistema, con reporte directo al Consejo de administración, Comité de dirección o Comité de auditoría.
- Externalización de funciones del sistema, con medición del sentido y efectividad de la misma.
- Incentivos y sistema disciplinario, pudiendo evaluarse:
- Sistema disciplinario y su gestión por Recursos Humanos.
- Consistencia en la aplicación de los incentivos y el sistema disciplinario.
- Alineación de los incentivos empresariales (sueldos, promociones) con los compromisos de cumplimiento y éticos del programa.
(iii) Para evaluar si funciona el programa en la practica, podrá tenerse en cuenta:
- Revisión, control periódico y continua implementación, pudiendo evaluarse:
- La existencia de auditorías internas, el fundamento de las mismas, frecuencia y forma de fijación del objeto.
- Testeo de los controles.
- Actualizaciones en la evolución del sistema.
- Mediciones de la implementación de la cultura de compliance.
- Investigaciones de los incumplimientos, pudiendo evaluarse:
- Alcance adecuado de las investigaciones protagonizadas por personal especializado.
- Seguimiento de los resultados de las investigaciones como vía de actualización de los programas.
- Análisis y reacción ante incumplimientos, pudiendo evaluarse:
- Identificación de patrones sistemáticos relacionados con el incumplimiento.
- Identificación de las debilidades del sistema.
- Relación de los incumplimientos con los medios de pago de la empresa, y forma en la que esos pueden ser gestionados para evitar futuros incumplimientos.
- Gestión de la fuerza comercial de la empresa.
- Relación del incumplimiento con los resultados de auditorías o controles previos, y posibilidad de haberlos evitado en base al análisis de esos resultados.
- Remedios adoptados por la compañía para evitar que puedan volver a darse los incumplimientos.
- Responsabilidades depuradas por el incumplimiento, incluyendo a los mandos intermedios o alta dirección encargada de la supervisión de la actividad en la que se produjo el incumplimiento.