Best practices om de (strafrechtelijke) risico's van het inschakelen van derde partijen te beperken

In de vernieuwde Aanwijzing opsporing en vervolging buitenlandse corruptie (de Aanwijzing) die op 1 oktober jl. in werking is getreden, maakt het Openbaar Ministerie (OM) expliciet kenbaar dat bedrijven strafrechtelijk verantwoordelijk kunnen zijn voor het inschakelen van derde partijen, door middel van de volgende bewoordingen:

In het internationale bedrijfsleven mag er geen misverstand over bestaan dat het inschakelen van een derde partij zoals een lokale agent, een vertegenwoordiger of een consultant, de onderneming of organisatie niet vrijwaart van strafbaarheid. Het is een algemeen bekend feit dat dergelijke partijen vaak worden gebruikt bij het betalen van steekpenningen in het buitenland. Nederlandse ondernemingen en organisaties die onvoldoende alert zijn op de aard en omvang van de werkzaamheden van derde partijen, kunnen dan ook strafrechtelijk worden vervolgd.

Hoewel dit an sich niets nieuws is – afhankelijk van de omstandigheden konden bedrijven ook voor 1 oktober jl. al strafrechtelijk aansprakelijk zijn voor strafbare handelingen van derden – blijkt met deze nieuwe passage in de Aanwijzing dat het OM in strafrechtelijke onderzoeken een toenemende focus zal hebben op (handelingen van) door bedrijven ingeschakelde derden. Hoewel deze passage recent in de Aanwijzing ten aanzien van buitenlandse corruptie is opgenomen, is de verwachting dat het OM deze focus ook zal hebben in andere (internationale) strafzaken, die niet per se over corruptie gaan. En dus is het voor bedrijven van belang om goed te weten met wie zaken wordt gedaan en welke risico’s met die partijen gepaard gaan. Indien een bedrijf goed onderzoek heeft verricht naar de ingeschakelde derde partijen, kan het namelijk een betere positie hebben indien zich toch een strafrechtelijk onderzoek voor doet, bijvoorbeeld op het moment dat onderhandelingen met het OM worden gevoerd over de afdoening van de zaak.

Het OM heeft (nog) geen verdere guidance verschaft over hoe een onderzoek naar derde partijen eruit moet zien en wanneer een bedrijf naar diens mening al dan niet strafrechtelijk aansprakelijk is voor het inschakelen van derde partijen. Enkele best practices die bedrijven kunnen overwegen in verband met onderzoek naar in te schakelen derde partijen zijn als volgt.

Stap 1 - Opstellen risicoprofiel

De ene derde partij is de andere niet. Daarom is het aangewezen om eerst goed zicht te krijgen op de risico’s die met een specifieke derde partij gepaard gaan. Op basis van die risico’s kan namelijk de diepgang van het verdere onderzoek naar de derde partij worden afgestemd. De risico’s kunnen door middel van een risicoprofiel in kaart worden gebracht. Hierbij dient zowel te worden gekeken naar waar de derde partij en diens zakelijke relaties gevestigd zijn alsmede binnen welke branche/industrie de derde partij opereert.

• De Corruption Perceptions Index van Transparancy International kan hierbij een handige tool zijn. Hoe lager de score van het land waar de derde partij en diens zakelijke relaties gevestigd zijn, hoe hoger het risico op corruptie.
• Het is ook raadzaam om de lijst met hoog risico landen van de Europese Commissie, waaruit blijkt welke landen strategische tekortkomingen hebben in hun beleid ter voorkoming van witwassen en terrorismefinanciering, in dit kader te raadplegen.
• Check of de derde partij een ambtenaar is of zaken doet met (buitenlandse) ambtenaren. Indien dit het geval is dan is sprake van een verhoogd risico op corruptie en is extra voorzichtigheid geboden.

Stap 2 – Risicogebaseerd onderzoek

Zodra het risicoprofiel in kaart is gebracht, kan een verder onderzoek naar de derde partij plaatsvinden, deels door middel van informatie die de derde partij aanlevert en deels door eigen aanvullend onderzoek. Essentiële onderdelen van dit onderzoek zijn als volgt.

• Check wie de uiteindelijk belanghebbende(n) (UBO) van de derde partij zijn. De UBO is de natuurlijke persoon die de uiteindelijke eigenaar is van of zeggenschap heeft over een vennootschap of andere juridische entiteit. Om goed zicht te hebben op met wie precies zaken wordt gedaan, is het van belang om de UBO van de derde partij te kennen. Voor een onderzoek naar de UBO kunnen het UBO-register van het land waar de derde partij gevestigd is of andere (openbare) bronnen worden geraadpleegd.
• Check de bedrijfsvoering en financiële achtergrond van de derde partij, bijvoorbeeld door het opvragen van de jaarrekening en accountantsverklaring. Aan de hand hiervan kan worden beoordeeld of er bijvoorbeeld ongewone betalingen hebben plaatsgevonden die verdere toelichting behoeven.
• Check de kennis en ervaring van de derde partij op het gebied waarop werkzaamheden van hem worden verlangd. Ook is van belang te bedenken of er voldoende zakelijke redenen zijn om de werkzaamheden aan deze partij te gunnen en of de derde partij op een transparante manier is uitgekozen.
• Check of de derde partij eerder in verband is gebracht met corruptie of andere strafbare feiten. Indien is gebleken dat de derde partij eerder in verband is gebracht met corruptie of andere strafbare feiten, dan is nader onderzoek raadzaam. Vraag bijvoorbeeld nadere informatie hierover op bij het bedrijf en verricht ook eigen aanvullend onderzoek in openbare bronnen om een zo goed mogelijk beeld te krijgen van de feiten. Het feit dat een derde partij in verband wordt gebracht met strafbare feiten hoeft namelijk niet automatisch te betekenen dat geen zaken met die partij kan worden gedaan. Het kan bijvoorbeeld voorkomen dat langere tijd geleden een medewerker van een derde partij is veroordeeld voor strafbare feiten maar de derde partij sindsdien maatregelen heeft genomen om herhaling te voorkomen.
• Check wat de reputatie is van de derde partij. Hierbij kan worden gedacht aan het opvragen van referenties waar de derde partij eerder mee heeft samen gewerkt.
• Check hoe de derde partij aankijkt tegen ethiek en compliance. Wat is bijvoorbeeld de “tone at the top”, wordt het tegengaan van corruptie en andere strafbare feiten vanuit het senior management van de organisatie onderschreven? Vraag om onderbouwende documentatie, zoals een gedragscode en intern (anti-corruptie) beleid waaruit naleving van die gedragscode blijkt. Indien de derde partij dergelijke documentatie niet heeft, kan ook een kopie van de eigen gedragscode en anti-corruptieverklaring aan de derde partij worden verstrekt met het verzoek om een verklaring te ondertekenen waarin staat dat de derde partij zich aan deze gedragscode en anti-corruptieverklaring zal houden in de uitvoering van diens werkzaamheden. Afhankelijk van de omstandigheden kan het aangewezen zijn om medewerkers van de derde partij een anti-corruptietraining te geven.

Stap 3 - Uitkomst onderzoek

Indien het onderzoek naar de derde partij geen red flags oplevert, dan zijn geen aanvullende maatregelen nodig en kan de samenwerking worden geëffectueerd vanuit het vertrouwen dat voldoende stappen zijn gezet om de risico’s die met de betreffende partij gepaard gaan in kaart te brengen.

Indien bij het onderzoek wel red flags naar voren zijn gekomen, dan dienen aanvullende maatregelen te worden genomen om de risico’s in dit verband zoveel mogelijk te beperken. Een eerste stap kan zijn om in gesprek te gaan met de derde partij om de red flags te bespreken en tot een oplossing te komen. Indien de risico’s dan onvoldoende gemitigeerd worden, kunnen nadere maatregelen geïndiceerd zijn. Hierbij kan worden gedacht aan het (laten) implementeren van (aanvullende) compliance maatregelen door de derde partij.

Stap 4 – Vastlegging

Het is van essentieel belang dat de resultaten van het onderzoek naar de derde partij op controleerbare wijze worden vastgelegd en bewaard.

Stap 5 – Monitoring

Blijf zolang met de derde partij wordt gewerkt deze monitoren, bijvoorbeeld door regelmatig een (online) check te verrichten naar deze partij, het land waar deze gevestigd is en de landen waar diens zakenrelaties gevestigd zijn. Verricht ook regelmatig, bijvoorbeeld standaard een keer per jaar of, indien daartoe aanleiding bestaat, vaker, een update onderzoek om te controleren of het in kaart gebrachte risicoprofiel nog overeenkomt met de realiteit. Verzoek de derde partij ook om relevante wijzigingen in de bedrijfsvoering, bijvoorbeeld aanpassingen in de gedragscode, te melden.