Nuevas recomendaciones internacionales en materia de investigaciones internas

Las investigaciones internas se erigen actualmente como una de las principales herramientas con las que cuentan las empresas para constatar la comisión de un hecho presuntamente ilegal o contrario a la normativa interna acaecido en el seno de la organización y, a partir de ahí, determinar el cómo y el por qué ha sucedido a fin deponer remedio y mejorar las deficiencias organizativas y/o estructurales de control de la actividad empresarial de las que se ha tenido noticia a través de la recepción de una comunicación de irregularidad o incumplimiento a través de su Canal Ético o de Denuncias.

Por ello, las investigaciones internas resultan cruciales en la gestión y el tratamiento de cualquier denuncia y se han convertido en un instrumento clave para poder afirmar la existencia de un Sistema de Compliance solvente, eficaz y efectivo desde la óptica de la prevención.

Sin embargo, y aunque resulte paradójico, hasta el pasado 28 de julio de 2023, fecha en la que se publicó la nueva Norma ISO/TS 37008:2023 Internal investigations of organizations–Guidance, no se disponía de ningún marco de referencia específico en nuestra legislación, más allá de lo dispuesto en la Ley de Seguridad Privada y en algunos preceptos aislados de diversas normas procesales.

Por tal razón, la ISO/TS 37008:2023 se posiciona como una perfecta guía en la materia, que proporciona acertadas recomendaciones sobre cómo proceder en materia de investigaciones internas, pero que, en ningún caso, sustituye la necesaria observancia de lo previsto al respecto en la normativa penal, laboral, de protección de datos y seguridad privada actualmente vigente.

De ahí que, bajo nuestra opinión, tome importancia contar en el desarrollo de este tipo de investigaciones con el apoyo o la participación de equipos multidisciplinares formados no únicamente por profesionales especializados en las áreas jurídicas que pudieran resultar de aplicación -Penal, Compliance, Laboral, Protección de Datos, etc.-, sino también por especialistas en otras áreas técnicas o científicas relevantes para la investigación -forensic, peritos informáticos, detectives privados, expertos en ciberseguridad, etc.-, a fin de ofrecer el mayor y más amplio asesoramiento en este tipo de situaciones.   

Como se avanzaba, la ISO ahora publicada supone una buena ayuda, pero en España seguimos estando huérfanos de una regulación normativa unificada y exclusiva en materia de investigaciones internas.

En este sentido, este mismo año, el legislador español desaprovechó una magnífica oportunidad para, avanzándose a la iniciativa de la International Organization for Standardization (ISO), incluir previsiones específicas regulatorias del proceso de investigación interna en la Ley 2/2023, de Protección al Informante.

Cuestiones destacables y recomendaciones prácticas de la nueva guía

La recientemente publicada ISO/TS 37008:2023 aporta criterios o recomendaciones prácticas para llevar a cabo una investigación interna, viniendo a completar de este modo la «ISO 37002:2021 Whistleblowing management systems–Guidelines«, la «ISO 37001:2021 Anti-bribery management systems» y la «ISO 37301:2021 Compliance management systems».

Según detalla la nueva norma, las investigaciones internas son una componente fundamental de la dirección de las empresas, pues una investigación interna que no se realice de una forma rigurosa y respetuosa con la legislación vigente puede causar, directa o indirectamente, riesgos para la empresa y daños reputacionales. Además, y como bien se enfatiza en ella, puede afectar frontalmente a la eficacia del Programa de «Compliance» de la organización.

En esta misma línea, este estándar normativo establece que es el Órgano de Administración o el «Top/Senior Management» quién debe designar a un equipo de investigaciones («investigations team»), dedicado exclusivamente a realizar la investigación interna que pueda derivarse de las posibles sospechas o situaciones detectadas o que se hayan denunciado en la organización.

Este equipo debe estar integrado por miembros del departamento de recursos humanos de la empresa, sin duda, pero puede contar asimismo con otros profesionales como auditores, abogados y consultores externos expertos en la materia, aspecto éste último -el de contar con la experiencia de especialistas externos- sobre el que la nueva ISO confiere una especial importancia y relieve por la garantía y la certidumbre que ofrecemos los especialistas en Compliance.

Otra idea relevante para las empresas que decidan proceder de conformidad con la nueva ISO/TS en el desarrollo de una investigación interna es que, además de establecer los principios que deben regir durante dicho proceso, toda organización debe asegurarse de que dispone, principalmente, de los siguientes tres documentos:

• Política o procedimiento de investigaciones internas que defina las responsabilidades del equipo de investigación y que asegure que el proceso se desarrollará respetando los derechos de las personas involucradas (punto estrechamente ligado con la normativa interna de Whistleblowing), entre otros aspectos de legalidad general. A este respecto, debemos tener muy presente que una protección insuficiente de las personas que han participado directa o indirectamente en una investigación interna puede suponer, a corto o medio plazo, una pérdida de confianza en la organización y, consecuentemente, una falta de participación en otro futuros y eventuales procesos de investigación interna.

• Normativa interna en relación con el uso de las nuevas tecnologías (Política TIC y Política de seguridad de la información) que contemple tanto medidas para evitar, de forma intencionada, la destrucción, alteración o modificación de toda aquella información que pudiera resultar crucial para el buen y correcto desarrollo y finalización de la investigación interna, como, a su vez, medidas para proteger los hallazgos o las evidencias obtenidas durante el proceso de investigación.

Es significativo también el valor que la norma otorga a la necesaria colaboración entre el equipo de investigación y el Departamento de IT de la organización, destacando igualmente la valiosa participación de un proveedor de servicios de «Forensic» para posibilitar el acopio y análisis de los datos que puedan obtenerse en el transcurso de la investigación interna, a través de técnicas de «screening» o cribado de información en ordenadores, móviles, «tablets» o cualquier otro soporte digital.  

• El Investigation Plan en el que se fije el alcance, el objetivo, una cronología estimada de las acciones que se realizaran e, incluso, un «interview plan» que contemple los entrevistadores y que tenga en cuenta los elementos locales culturales de necesaria observancia para la consecución de entrevistas fructíferas, entre otros, entendiéndose éste como un «live document», es decir, un documento abierto que pueda modificarse e incluir todos los cambios que se produzcan durante el proceso.

Además de todo ello, cabe destacar un último elemento que, en función del alcance de los hechos supuestamente acontecidos y de la divulgación que hayan tenido, será necesario contar con él. Hablamos del Plan de comunicación en el que se concrete el nivel de información -interna y externa- que debe proporcionarse a los principales «stakeholders», con el objetivo de evitar paralizar la actividad diaria de la organización y que el proceso de investigación interna pueda seguir por su cauce con las menores interferencias posibles.

En definitiva, bienvenida sea la nueva ISO/TS 37008:2023, porque viene a cubrir en parte el vacío que existía hasta ahora, brindándonos una herramienta o instrumento legal que, desde su naturaleza de soft law, se asemeja a un pretendido ‘manual de uso’ de las investigaciones internas.

Aún queda mucho camino por andar y muchos otros aspectos que tratar y regular, pero es un primer paso y creemos que se ha dado en la dirección correcta.

Sin duda, se trata de una aportación muy útil para los gestores empresariales y para las firmas legales especializadas y multidisciplinares como Fieldfisher, que, desde su área de «Criminal Law & Compliance», lidera e integra diversos equipos multidisciplinares en materia de investigaciones internas, siempre compuestos por un amalgama de profesionales especializados en las ciencias jurídicas y en las ciencias técnicas, aplicando así estas recomendaciones con el sólido convencimiento de que, sin duda alguna, contribuyen al fortalecimiento y la credibilidad de los Programas de «Compliance» de las empresas y abonan el cumplimiento último de la ley, devolviendo el equilibrio al mercado empresarial español hacia los parámetros naturales de la oferta y la demanda, favoreciendo a las empresas que actúan conforme a la legalidad y expulsando a las que compiten en base a prácticas ilegales.