La importancia de la investigación interna en los Sistemas de Compliance

Los canales de denuncias constituyen una herramienta muy importante en la lucha contra la corrupción para la detección temprana de conductas irregulares en el seno de una empresa u organización. Pero de nada sirve contar con esta herramienta de recepción y registro de posibles irregularidades si no se cuenta con una adecuada metodología para atenderlas, teniendo como base los principios de la confidencialidad, competencia y profesionalidad, objetividad e imparcialidad, y legalidad.

Lee también: Yusith Vega: Los canales de denuncia en los sistemas de compliance

La investigación interna es el proceso profesional de obtención y aportación de información y pruebas, recabadas de forma legal, con el fin de establecer los hechos y acreditar posibles actos delictivos o incumplimientos ocurridos por el personal de la empresa u organización en relación con una supuesta o presunta irregularidad, mala conducta o incumplimiento (como soborno, actividades fraudulentas, acoso, violencia o discriminación); que permitan a esta su defensa legal, la toma de decisiones o la protección de sus intereses.

Es por ello que conversamos sobre el tema con Pablo E. Gil de Montes, director ejecutivo de las oficinas de Washington D.C., Miami y Latinoamérica en Gryphon Strategies, empresa líder en campos como las investigaciones y la inteligencia comercial. Pablo Gil cuenta con 17 años de experiencia trabajando en la gestión de todas las etapas de descubrimiento de medios probatorios electrónicos e investigación relacionados con fraude financiero, soborno, corrupción y prácticas antimonopolio a nivel multijurisdiccional. El entrevistado estará presente en el “VII Congreso Internacional de Compliance y Lucha Anticorrupción” a realizarse del 19 al 21 de septiembre del 2023 en el Centro Empresarial de la Cámara de Comercio de Lima (CCL).

¿Cuál es la importancia que tiene la auditoría forense para detectar y abordar irregularidades internas en la empresa?

Las auditorías y el constante monitoreo son fundamentales para tener un programa de compliance efectivo. El monitoreo tiene que ser constante y la auditoría tiene que darse de una manera periódica. El término “forense” procede del latín “fórum” que implica el lugar en donde se daban los juicios de valor por expertos. Este término es también utilizado para implicar el paso del tiempo en la recopilación de pruebas. Yo usualmente prefiero evitarlo, ya que para algunas personas puede dar una connotación negativa/criminal o lo que debería ser un ejercicio constante y sensible a los riesgos específicos de cada organización. La auditoría es de vital importancia para identificar comportamientos riesgosos y faltas al programa de compliance dentro de una organización. Tanto las auditorías como los monitoreos sirven para mejorar e implementar planes de acción a fin de remediar problemas. De nada sirve identificar problemas, si es que estos no van a ser remediados oportunamente.

¿Cómo se puede realizar una investigación efectiva, sin afectar las leyes constitucionales, laborales y sobre todo aquellas vinculadas a la protección de datos?

Primero que todo tiene que existir el claro entendimiento, tanto del empleador como del empleado, de que todas las actividades relacionadas al ejercicio regular del negocio y los datos relacionados a este son de propiedad de la empresa u organización. Es por eso que el empleador tiene que educar al empleado y comunicarle fehacientemente de estas consideraciones, a fin de que no se tenga una expectativa de privacidad en relación con los datos generados en esta actividad. El empleado debe tener clara la división del mundo privado con el mundo laboral y que estos no se deberían mezclar con respecto al acceso a correos electrónicos, chats, etc. Resulta irónico, que alrededor del mundo, el propietario de un iPhone, usualmente sin saberlo, acepta todos los términos contractuales al descargar el aplicativo y que al hacer esto están dándole acceso ilimitado de sus datos personales a estas compañías; y, por otro lado, existe una sensibilidad en nuestros países cuando se trata de investigaciones basadas en indicios de actos ilícitos. Vengo trabajando en investigaciones internas relacionadas al FCPA desde el año 2007, en esos tiempos la tecnología de e-discovery no era avanzada como lo es ahora, y en las investigaciones usualmente se mezclaban correos electrónicos con datos y actividades personales, etc. Ahora, con el uso de la tecnología actual y programas como “predictive coding” se puede garantizar que solo los datos relacionados al tema en investigación sean accedidos y revisados.

¿Considera que los resultados de una investigación interna podrían ser utilizados como estrategia procesal de la empresa, ante la eventual comisión de un delito que implica la responsabilidad penal corporativa?

La principal meta de una investigación interna es obtener el conocimiento real de lo sucedido y luego sirva para actuar de acuerdo a esta información. Es decir, la información sirve para remediar un problema, como por ejemplo, si existen actores que tienen que ser sancionados o retirados de la organización, etc. Luego, se pueden evaluar las estrategias a seguir de acuerdo con posibles riesgos externos relacionados a la investigación. Usualmente, cuando se les demuestra a las autoridades que se ha realizado una investigación independiente y exhaustiva, los resultados de esta sirven como atenuantes y hasta motivos para otorgar créditos en el supuesto de una sanción económica. En una investigación interna también se logra acceder a medios probatorios que las autoridades ya tengan en su poder y que se puedan utilizar en contra de la compañía. Estos medios probatorios son de vital importancia, ya que en base a ellos los equipos legales pueden establecer sus estrategias de defensa, etc.

Lee también: Yusith Vega: El compliance, decisión estratégica para las organizaciones

¿Cuál es el aporte de la tecnología y los medios probatorios electrónicos en las investigaciones de irregularidades?

Es importante resaltar que todo lo relacionado con tecnología, análisis de datos, etc. Solo es efectivo en directa relación al ser humano interpretándolos. Es decir, la tecnología sola no es la solución; especialmente cuando hablamos de riesgos humanos que requieren soluciones humanas. Sin embargo, en línea con lo dicho anteriormente, la tecnología ha sido fundamental en el mundo de las investigaciones.  Con el paso de los años la tecnología nos ha ayudado a ser más eficientes y a tener un mejor enfoque en nuestras investigaciones. Ahora, también es verdad que, a mayor utilización de correos electrónicos, teléfonos inteligentes y chats, estos datos a analizar en una investigación han crecido exponencialmente.  Lo que hace unos años, al iniciar una investigación, se decía que uno tenía que enfocarse en el “paper trail” ahora se ha cambiado al “data trail”. En el mundo del compliance, resulta casi imposible realizar una investigación exhaustiva y honesta si no se cuenta con el acceso a los datos electrónicos. Esto lo tiene claro el Departamento de Justicia de los Estados Unidos al demandar que una investigación sea “thorough” y no superficial o parcial.

¿Nos podrías dar tus apreciaciones sobre la reciente publicación del estándar internacional ISO/TS 37008 sobre investigaciones internas de organizaciones, y qué debemos considerar al momento de su aplicación?

Estos estándares suman y ayudan; sin embargo, es importante que no vuelva la “Iso-dependencia” como sucedió con la certificación ISO 37001, en donde muchas compañías en Latinoamérica recurrieron a esta como un ejercicio de “check the box” sin que sus programas de compliance sean lo suficientemente robustos.  El ISO 37008 da lineamientos importantes con respecto a las mejores prácticas internacionales en investigaciones internas.  Ahora bien, estos lineamientos tienen que ser aplicados de acuerdo con la realidad de cada empresa para que estos sean efectivos. Hace algún tiempo escribí un artículo en donde explicaba que la labor fundamental de un Chief Compliance Officer, es que su programa de compliance sea honesto, real y defendible, en vez de ser un simple programa de “cumpli-miento” es decir “cumplo y miento”.

LEER MÁS:

Yusith Vega: Compliance, escudo empresarial ante la corrupción