企业合规内部调查：调查流程与管理

企业合规内部调查是企业以保密、公正的方式，对涉嫌违反其行为准则、内部规定或适用法律的行为进行的正式、有组织的调查程序。

内容包括启动调查协议、收集证据、开展访谈、法律分析，以及编写载有整改措施的调查结论报告。

第2/2023号法律是关于保护举报违法行为人员的法律，要求拥有50名及以上员工的企业设立内部举报渠道，建立带有明确时限的举报处理程序，并采取措施保护举报人免遭报复。

• 最长7天内向举报人确认收到举报。
• 最长3个月内作出说明理由的答复。
• 绝对禁止对举报人进行报复。
• 允许匿名举报。

内部调查应由独立、公正且具备足够法律知识的人员或团队主导。实践中，可以是合规官（compliance officer）、专业的外部律师，或二者结合。

独立性是关键：如果被调查人是高级管理人员，建议将调查外包，以确保公正性，并使公司免受日后的任何质疑。

保密是任何企业合规内部调查的基本原则。常见措施包括：

• 仅限确有必要的人员接触相关信息。
• 安全存储文件和证据。
• 与调查参与人员采用加密通信。
• 与受访人员签署保密协议。
• 依据第2/2023号法律保护举报人的身份。

内部调查中的可采纳证据可包括公司电子邮件、系统访问记录、财务文件、内部通信以及受访者的陈述。

但是，证据收集必须尊重员工的基本权利：通信秘密、数据保护、隐私以及不自证其罪的权利。以侵犯基本权利的方式取得的证据可能被宣告无效，并使公司承担责任。

《刑法典》第31条之二规定，如果法人（除其他要求外）已采纳并有效执行了包含监督、控制和违规应对措施的组织模型，则可免除刑事责任。

• 内部调查证明公司对违规行为作出了反应。
• 记录完整的调查报告是面对检察机关时的关键辩护要素。
• 缺乏内部调查可能加重公司的刑事责任。

企业合规内部调查的时限取决于其复杂程度，但第2/2023号法律为举报处理规定了具体节点：

• 7天：向举报人确认收到举报。
• 3个月：向举报人通报所采取行动的最长期限（复杂案件可延长至6个月）。
• 复杂的调查在收集证据和编写最终报告方面可能还需要数周或数月。

内部调查中的个人数据处理受GDPR和LOPDGDD约束。公司必须能够证明处理的法律依据（通常是合法利益或履行法定义务），向相关人员作适当告知（以调查所允许的限度为准），并保障所收集数据的安全。

建议在调查之前和调查期间与数据保护官（DPO）协调，以避免安全漏洞和西班牙数据保护局（AEPD）的处罚。