Terceros y due diligence en Barcelona: evita sanciones

Qué es la due diligence de terceros y por qué importa en Barcelona

La due diligence de terceros es una práctica de control y verificación previa o periódica sobre proveedores, intermediarios, agentes, distribuidores, socios de negocio u otros colaboradores externos. No existe en España una figura jurídica autónoma regulada de forma unitaria con ese nombre para cualquier empresa y en todo supuesto. Sin embargo, puede resultar necesaria o muy conveniente dentro de los deberes de cumplimiento normativo, prevención y gestión prudente del riesgo.

En Barcelona, donde muchas empresas operan con cadenas de suministro complejas, contratación internacional, comerciales externos o proveedores críticos, revisar a los terceros ayuda a reducir exposición a incumplimientos, conflictos reputacionales y posibles sanciones. El marco principal de referencia está en el Código Penal, especialmente en los artículos 31 bis y 31 quater, relativos a la responsabilidad penal de la persona jurídica y a la relevancia de los modelos de organización y gestión para prevenir delitos o mitigar consecuencias según el caso.

Respuesta breve: la due diligence de terceros consiste en verificar quién es el tercero, cómo opera y qué riesgos presenta antes de contratar o continuar la relación. Sirve para detectar señales de alerta, decidir medidas de control proporcionadas y dejar evidencias de diligencia.

Además, en sectores sujetos a obligaciones específicas, como determinados sujetos obligados por la Ley 10/2010, puede haber deberes legales expresos de identificación, conocimiento y control. Fuera de esos supuestos, muchas revisiones de terceros responden a decisiones organizativas, contractuales y de buena gobernanza, no a un mandato legal general e indistinto.

Qué riesgos conviene revisar antes de contratar con terceros

No todos los terceros exigen el mismo nivel de revisión. Conviene analizar el tipo de servicio, el acceso a fondos o datos, el contacto con clientes o administraciones públicas, la jurisdicción, la estructura de pagos y el impacto operativo del tercero. La evaluación debe ser proporcionada al riesgo real.

Entre los riesgos de cumplimiento más habituales están:

• corrupción o pagos indebidos a través de intermediarios;
• blanqueo de capitales en sectores o operaciones donde proceda una revisión reforzada;
• fraude documental o falta de capacidad real para prestar el servicio;
• incumplimientos fiscales, laborales, de protección de datos o regulatorios;
• daño reputacional por antecedentes públicos o conflictos de interés.

Algunas red flags iniciales que pueden justificar una revisión más profunda son:

• titularidad opaca o difícil de verificar;
• comisiones elevadas sin justificación clara;
• pagos atípicos, fraccionados o a cuentas de terceros;
• falta de documentación societaria o fiscal básica;
• uso de intermediarios no transparentes o incoherencias contractuales.

Cómo encajar la revisión de terceros en un sistema de compliance

La revisión de terceros funciona mejor cuando no se trata como un trámite aislado, sino como parte del sistema general de compliance. A efectos del artículo 31 bis CP, los modelos de organización y gestión deben incluir medidas de vigilancia y control idóneas para prevenir delitos o reducir de forma significativa su riesgo. Eso no significa que la ley imponga una lista cerrada e idéntica de controles para todas las empresas, pero sí que conviene diseñar medidas proporcionadas al tamaño, actividad y exposición concreta.

En la práctica, la due diligence de terceros puede integrarse en el mapa de riesgos, en los circuitos de aprobación de compras o contratación, y en revisiones periódicas de proveedores críticos. También puede coordinarse con políticas internas, formación, controles financieros, segregación de funciones y canal interno de información, siempre como instrumentos organizativos cuya intensidad dependerá del caso.

Cuando exista una investigación interna o un incidente, el artículo 31 quater CP puede resultar relevante en la valoración de determinadas actuaciones posteriores de la persona jurídica. Por eso interesa que los controles no solo existan sobre el papel, sino que se apliquen y puedan acreditarse.

Qué documentación y controles ayudan a acreditar diligencia

La clave no es acumular formularios, sino conservar evidencias de diligencia razonables y trazables. Dependiendo del riesgo, puede ser útil contar con documentación previa, validación interna y seguimiento durante la relación.

• identificación del tercero y revisión de datos societarios básicos;
• comprobación de titularidad o estructura de control, si procede;
• evaluación del servicio, territorio, canal de pago y nivel de riesgo;
• aceptación de cláusulas contractuales de cumplimiento, auditoría o resolución, cuando convenga pactarlas;
• archivo de aprobaciones internas, incidencias y revisiones periódicas.

Debe distinguirse entre obligaciones legales expresas, que existen en algunos sectores o supuestos concretos, y medidas contractuales u organizativas que la empresa puede implantar por gestión prudente del riesgo. Por ejemplo, una cláusula de compliance o una matriz de riesgos pueden ser muy útiles, pero no equivalen por sí mismas a una obligación legal general para toda contratación.

Errores frecuentes que pueden aumentar el riesgo de sanciones

Un error habitual es revisar solo al inicio y no volver a valorar cambios relevantes: nuevos accionistas, cambios de país, ampliación del encargo o incidencias de pago. También aumenta el riesgo confiar en relaciones históricas sin documentación actualizada.

Otros fallos frecuentes son aplicar el mismo cuestionario a todos los terceros, aprobar excepciones sin justificación, contratar intermediarios con funciones poco definidas o no conservar trazabilidad documental. Si se inicia una investigación o reclamación, la ausencia de evidencias puede debilitar la posición de la empresa, aunque el control informal hubiera existido.

Tampoco conviene presentar cualquier checklist como escudo automático frente a responsabilidad. La utilidad real de los controles dependerá de su diseño, aplicación efectiva y coherencia con el riesgo detectado.

Cuándo conviene pedir una revisión legal o de compliance

Conviene pedir una revisión legal o de compliance cuando el tercero vaya a actuar en nombre de la empresa, manejar pagos relevantes, intervenir ante clientes o administraciones, operar en países o sectores sensibles, o cuando aparezcan señales de alerta. También puede ser aconsejable si hay dudas sobre documentación, estructura societaria, régimen contractual o alcance de las obligaciones internas de control.

Como siguiente paso razonable, muchas empresas empiezan por identificar proveedores críticos, revisar contratos vigentes y ordenar un mapa básico de riesgos por tipo de tercero. A partir de ahí, habrá que valorar qué controles son proporcionados y qué documentación conviene reforzar en cada relación.

La due diligence de terceros no garantiza por sí sola que desaparezca el riesgo, pero sí ayuda a prevenir sanciones, mejorar decisiones de contratación y acreditar una actuación diligente. En cada caso concreto, el alcance de la revisión dependerá de la actividad, del sector, de la documentación disponible y de los riesgos de cumplimiento realmente presentes.

Si su empresa opera con intermediarios, distribuidores o proveedores con impacto relevante, puede ser útil revisar primero las relaciones más sensibles, verificar cláusulas y evidencias existentes y ajustar los controles a su exposición real mediante una auditoría legal integral para empresas en Barcelona.