Debido a la creciente internacionalización de las actividades empresariales, que implica para las organizaciones actuar en diferentes jurisdicciones y terceros, persiste la preocupación por lograr una estandarización que garantice, sin perjuicio de la legislación local vigente, la aplicación de buenas prácticas para prevenir la ocurrencia de actos de corrupción y fraude.

El pasado 2 de febrero de 2016, el Presidente de Colombia, Juan Manuel Santos, sancionó la ley 1778, la primera con alcance real para sancionar administrativamente a las personas jurídicas que eventualmente resulten involucradas en actos de soborno trasnacional. La expedición de esta Ley es una de las primeras expresiones del compromiso adquirido por Colombia para su ingreso a la Organización para la Cooperación y el Desarrollo Económico (OCDE).

La ley se enfoca en el oferente del soborno y determina una serie de sanciones cuya severidad no tenía precedentes en la legislación colombiana que llegan a la imposición de una o varias multas hasta por $138 mil millones de pesos (200 smvl actuales), inhabilidad para contratar con el estado hasta por 20 años, publicación de la sanción en medios de comunicación y prohibición para recibir incentivos del Estado por cinco años.

No obstante, la ley hace también mención de algunos atenuantes en casos de materialización de sobornos como la existencia de programas efectivos de ética y transparencia y la aplicación de la debida diligencia que han sido reconocidas internacionalmente como las mejores estrategias para prevenir las conductas de soborno.

Tendencias internacionales en relación con la Debida Diligencia

La debida diligencia en el conocimiento del tercero debe llevar a la siguiente conclusión:   “Estoy confiado de que mi agente, revendedor, proveedor, etc no realiza pagos corruptos,  y que nuestra relación comercial es normal y legítima”.  ¿Puedo explicar y justificar ante otros la razón de esta confianza? De mayor importancia es que la confianza debe construirse a través de elementos y criterios objetivos que se identifican a través de la  disciplina de los riesgos.

Basado en lo anterior, este documento indica el siguiente mapa para determinar el alcance de la debida diligencia en el momento de establecer nuevas relaciones con terceros:

En el caso de terceros con las que se mantienen relaciones comerciales se aplica lo siguiente:

Desarrollo del proceso
Durante el proceso de identificación se está determinando el alcance. Para ello es relevante  tener en cuenta que: “No todos los terceros deben ser sujetos de la aplicación de una debida diligencia” y que  “el nivel de aplicación de debida diligencia puede variar en función del riesgo que representa el tercero”.

Para lograr definir el riesgo y  el nivel de  aplicación apropiada de la debida diligencia, es importante  valorar los riesgos en función de los siguientes indicadores (Key Risk Indicators - KRI): la localización geográfica, la industria a la que pertenece, los antecedentes e identificación del tercero (fuentes públicas, experiencia, accionistas, directores), el contacto con entidades gubernamentales en desarrollo del objeto del contrato, entre otros.

La aplicación de la debida diligencia comprende recolectar datos y  abordar su  verificación  y validación. El alcance de la recolección de datos debe darse en función del nivel de riesgo previamente identificado respecto del tercero.  En función de la validación y verificación de los datos es recomendable contar con una lista de banderas rojas (red flags) que permitan realizar un diagnóstico final del tercero. La responsabilidad del proceso debe ser asumida por la unidad de negocio que corresponda, en consulta con las áreas responsables de los asuntos legales y de cumplimiento. 

Entre las medidas de mitigación están: a) cláusulas contractuales proteccionistas como  compromisos de cumplimiento, b)  un derecho de auditar registros relevantes del tercero, c) la obligación de mantener los registros, d)  provisiones para limitar la interacción con terceros, e)  la obligación del tercero de reportar los servicios, f) implementación de medidas adicionales de monitoreo como la actualización periódica de la validación del riesgo y del proceso de debida diligencias, g)  acudir a datos de internet para identificar banderas rojas, h) certificación anual de compliance, i) revisión de pagos, y j) seguimiento de gastos excesivos de los terceros.

Por último, una efectiva implementación del proceso de debida diligencia del Tercero, debe fundamentarse en un programa  sólido de comunicación sobre el proceso de DD a las partes relacionadas,  respaldado mediante el compromiso de la alta dirección y el entrenamiento a los empleados y terceros[1]. 

[1] US Federal Sentencing Guidelines for Organization aplicable para violación legal de la FCPA,  prevé que la Organización debe tomar las medidas razonables para comunicar periódicamente y de una manera práctica sus estándares y procesos y otros aspectos de los programas de cumplimiento y ética.