Obligaciones de los contratistas y subcontratistas estadounidenses según la Ley Nacional de Defensa del Departamento de Justicia (DOJ NFED).

La mayoría de los contratistas aún tratan la Ley de Notificaciones de Incidentes del Departamento de Justicia (DOJ NFED) como un simple trámite administrativo. Esta mentalidad ya está desfasada. Las obligaciones de los contratistas y subcontratistas estadounidenses bajo la DOJ NFED se centran en si la dirección puede demostrar que la organización detectó el riesgo a tiempo, lo gestionó correctamente, lo documentó con claridad y actuó antes de que el problema se convirtiera en un incidente que requiriera divulgación.

Por eso, el debate sobre el cumplimiento normativo debe pasar de "¿Qué informamos?" a "¿Qué sistema operativo tenemos?". Si su empresa no puede demostrar quién revisa las señales, quién decide la escalada, quién conserva las pruebas y quién aprueba la remediación, entonces la obligación de divulgación obligatoria es solo el último paso de un proceso deficiente. Para comprender mejor esta mentalidad más amplia sobre el deber de diligencia, el enfoque del deber de diligencia en relación con los incidentes resulta un paralelismo útil, ya que la cuestión central siempre es si la organización actuó de forma responsable antes de que se propagara el daño.

Por qué el DOJ NFED es una disciplina operativa, no un formulario de denuncia.

Los líderes se equivocan al considerar la NFED del Departamento de Justicia como una obligación de reporte tardía. No lo es. Es la manifestación de una expectativa más amplia: que la empresa ya sepa cómo detectar, evaluar y escalar los problemas antes de que se conviertan en reportables.

La verdadera unidad de responsabilidad es el modelo operativo.

Bajo la normativa del Departamento de Justicia (DOJ) y las regulaciones FAR vigentes, los contratistas y subcontratistas tienen la obligación de revelar información cuando poseen pruebas creíbles de ciertas infracciones civiles de la Ley de Reclamaciones Falsas o infracciones penales específicas relacionadas con un contrato gubernamental. La guía del DOJ sobre quejas de contratistas vincula directamente esta obligación con el canal de divulgación y la enmienda FAR ( Guía del DOJ sobre quejas de contratistas ). Esto significa que la junta debería prestar menos atención a la presentación en sí y más a si el proceso previo funciona correctamente.

Regla práctica: Si el cumplimiento solo se hace visible después de una queja a través de la línea directa, una notificación de auditoría o una citación judicial, el programa es reactivo, no defendible.

El entorno de aplicación de la ley también es importante, ya que los contratistas ya no se enfrentan a una clara distinción entre asuntos civiles y penales. Informes recientes sobre contratación federal indican que las herramientas civiles y penales se están coordinando más estrechamente, y se ha recomendado a los profesionales que revisen su postura sobre la divulgación obligatoria en consecuencia. En otras palabras, una clasificación deficiente ya no es solo una falla de proceso, sino que puede multiplicar los riesgos.

El liderazgo debería gestionar NFED como un sistema de control.

La gobernanza trasciende la teoría jurídica. Un equipo de contratación puede conocer las normas y aun así fracasar si no puede demostrar quién es responsable de la recepción de información, quién verifica la credibilidad, quién preserva las pruebas y quién decide si el asunto debe someterse a revisión legal o de divulgación. Esa es la disciplina operativa que exige la NFED, y corresponde al director ejecutivo, al asesor jurídico general y al director de cumplimiento normativo, no quedar relegada al departamento de compras o a una bandeja de entrada.

El viejo hábito de esperar a que surja un caso "real" resulta costoso. Un contratista experimentado integra la detección, la escalada, la documentación y la remediación en una única cadena, y luego la pone a prueba repetidamente. Esa es la diferencia entre una empresa que supera el escrutinio y una que tiene que improvisar bajo presión.

Comprender el NFED del Departamento de Justicia y a quién realmente llega.

La Ley de Igualdad de Oportunidades y Divulgación del Departamento de Justicia (DOJ NFED) es importante porque su alcance va más allá de lo que muchos equipos suponen. El deber de divulgación es solo una parte del problema. Los contratistas, subcontratistas y entidades vinculadas financiadas con fondos federales también forman parte de una red más amplia de obligaciones de igualdad de oportunidades, acción afirmativa, subcontratación y transmisión de beneficios que pueden generar problemas mucho antes de que se mencione la palabra NFED.

Comience con el desencadenante de la divulgación

El canal de quejas de contratistas del Departamento de Justicia se basa en pruebas creíbles . Esta es la clave que los líderes deben comprender, ya que implica que los equipos internos deben evaluar si un problema es lo suficientemente creíble, está suficientemente documentado y tiene suficiente relación con un contrato cubierto como para pasar al proceso de denuncia. No se trata de una cola de recepción informal, ni de un lugar donde las alegaciones incompletas queden sin clasificar ( directrices del canal de divulgación del Departamento de Justicia de la era FAR ).

Esa misma mentalidad se aplica a la base de cumplimiento que envuelve la regla de divulgación. Según la Orden Ejecutiva 11246, las entidades cubiertas con contratos o subcontratos gubernamentales que superen los $10,000 están sujetas a obligaciones de igualdad de empleo, y los contratistas de servicios y suministros con 50 o más empleados y al menos un contrato o subcontrato federal de $50,000 o más deben mantener un programa escrito de acción afirmativa para minorías y mujeres (guía OFCCP). La Sección 503 cubre los contratos o subcontratos de más de $15,000 , y VEVRAA se aplica a partir de $150,000 , con programas de acción afirmativa requeridos para los veteranos cubiertos cuando se cumple el umbral de 50 empleados y $150,000 ( guía OFCCP ).

Saber quién es involucrado

Este alcance abarca a los contratistas federales principales , a los subcontratistas de proyectos federales y, en la práctica, a cualquiera cuyas cláusulas, certificaciones u obligaciones de desempeño influyan en la cadena de suministro. La lógica interna es sencilla: si el gobierno financia el trabajo, la responsabilidad del cumplimiento rara vez recae en una sola entidad jurídica.

Para quienes buscan información sencilla sobre la exposición a la Ley de Reclamaciones Falsas, esta descripción general del cumplimiento de dicha ley resulta útil porque refuerza un punto simple: el riesgo para los contratistas no se trata solo de facturación, sino también de precisión, disciplina en la certificación y lo que la empresa puede demostrar.

La conclusión principal para los ejecutivos es la siguiente: NFED no es un caso aislado. Forma parte de un marco más amplio para contratistas federales que ya exige a las empresas que controlen los umbrales de cobertura, regulen las repercusiones de los subcontratos y documenten lo sucedido cuando surgieron problemas.

El problema de la transmisión descendente de subcontratistas que la mayoría de los explicadores pasan por alto.

La mayoría de los programas de cumplimiento de contratistas fallan en los niveles inferiores, no en el archivo principal. Ahí es donde se producen los problemas con la inserción de cláusulas, la aprobación de subcontratos, las expectativas de presentación de informes y la supervisión. Si su empresa no puede rastrear esas obligaciones en todas las etapas, no está controlando el programa, sino que simplemente espera que funcione correctamente.

Las obligaciones de traspaso son un problema de control.

Las normas del Reglamento Federal de Adquisiciones (FAR, por sus siglas en inglés) establecen límites estrictos para la subcontratación según la sección 52.219-14 del FAR . En el caso de los servicios, un contratista principal generalmente no puede pagar más del 50 % del monto pagado por el Gobierno a subcontratistas que no se encuentren en una situación similar. Para los suministros, se aplica el mismo límite del 50 % , con excepción de los materiales. Para la construcción general, el límite es del 85 % , y para la construcción realizada por contratistas especializados, es del 75 % ( FAR 52.219-14 ).

En obras de construcción, cualquier subcontrato superior a 10 000 dólares debe incluir cláusulas de cumplimiento de acción afirmativa y requisitos de notificación para los objetivos de participación de minorías y mujeres. Además, los contratistas deben ser informados antes del inicio de la construcción sobre las normas laborales y las responsabilidades de los subcontratistas ( FAR 52.219-14 ). Esto no es un mero trámite administrativo, sino un requisito de plazos y gobernanza.

Tipo de contrato	Límite de subcontratación	Advertencia clave
Servicios	50%	Se aplica a subcontratistas que no se encuentran en situaciones similares.
Suministros	50%	Los materiales están excluidos
Construcción general	85%	Aún hay que gestionar las obligaciones de transmisión descendente
Construcción especializada	75%	La gestión de nivel inferior sigue siendo importante.

El consentimiento y la notificación son los puntos débiles de los equipos.

La Parte 44 añade otra capa de complejidad. En varias situaciones, el contratista necesita el consentimiento para subcontratar, y para los trabajos de reembolso de costos del Departamento de Defensa, la Guardia Costera y la NASA, se requiere notificación antes de adjudicar cualquier subcontrato de costo más tarifa fija o cualquier subcontrato de precio fijo que supere el mayor de los siguientes valores: el umbral de adquisición simplificada o el 5 % del costo total estimado del contrato, cuando el contratista carece de un sistema de compras aprobado ( FAR Parte 44 ). Esto significa que el cumplimiento de la subcontratación está vinculado a la disciplina de compras, no solo a la administración del contrato.

Un proceso de revisión por terceros riguroso es fundamental en este caso, por lo que un proceso de debida diligencia por parte de terceros , riguroso y disciplinado, resulta útil incluso fuera de una revisión legal estricta. La idea es simple: no se puede gobernar aquello que no se clasifica, se monitorea y se gestiona correctamente.

Los contratistas principales deben asumir que la conducta de los subcontratistas puede convertirse en un riesgo para el contratista principal si el problema es conocido o razonablemente previsible. Por ello, la estratificación, la transmisión de cláusulas y los controles de compras deben revisarse como un sistema integral.

Los recientes acontecimientos en materia de contratos federales agravan aún más la situación, ya que las agencias debían incluir una cláusula en los contratos, subcontratos y subcontratos de menor nivel que cubrieran la Orden Ejecutiva en un plazo de 30 días a partir de su entrada en vigor. Dicha cláusula imponía seis obligaciones vinculantes, entre ellas la prohibición de realizar actividades de diversidad, equidad e inclusión (DEI) discriminatorias por motivos raciales, la obligación de proporcionar libros y registros contables, y la obligación de informar sobre las infracciones de los subcontratistas que se conocieran o que razonablemente se pudieran conocer. La cláusula también establece que el cumplimiento es fundamental para las decisiones de pago del gobierno en virtud de la Ley de Reclamaciones Falsas. Los responsables deberían interpretar esto como una advertencia sobre la documentación, no como un titular.

Deficiencias comunes en el cumplimiento normativo donde los subcontratistas incumplen silenciosamente

El fallo más común no es el desconocimiento de la norma, sino la falta de un proceso estructurado que detecte los problemas antes de que se conviertan en incidentes que deban ser reportados. Existen políticas, pero la organización carece de un sistema eficaz para implementarlas.

Los síntomas son operativos, no teóricos.

Los subcontratistas suelen encontrarse con problemas como la aplicación inadecuada de los términos del contrato principal , la clasificación errónea del personal o los costos , deficiencias en el registro y la auditoría , y el incumplimiento de los umbrales de informes específicos de cada subcontrato . No se trata de problemas de cumplimiento abstractos, sino de fallos en el flujo de trabajo que generalmente solo se detectan cuando Auditoría Interna, el Departamento Legal o un investigador externo comienzan a revisar los registros.

El problema es que muchos equipos aún trabajan de forma fragmentada. Cumplimiento tiene una hoja de cálculo, Legal tiene hilos de correo electrónico, Recursos Humanos tiene notas de empleados y Seguridad tiene su propia cola de incidencias. Nadie tiene una visión completa a tiempo para clasificar el problema correctamente.

Los buenos programas gestionan el riesgo, los malos lo almacenan.

El flujo de trabajo eficaz comienza con la identificación continua de indicadores de riesgo, para luego avanzar a través de la gestión centralizada de casos, el enrutamiento automatizado a la parte interesada adecuada, la recopilación estructurada de evidencia, la revisión documentada por la gerencia, la clasificación de riesgos, el seguimiento de las medidas correctivas y la supervisión ejecutiva mediante paneles de control. Este modelo es práctico porque obliga a que el mismo caso llegue a los departamentos de Cumplimiento, Legal, Recursos Humanos, Auditoría Interna o Seguridad simultáneamente, y no con tres semanas de diferencia.

Las obligaciones de los contratistas no se simplifican. Los contratistas federales con contratos de adquisición o subcontratos deben aplicar 15 requisitos básicos de ciberseguridad para proteger la información contractual federal, de conformidad con la Subparte 4.19 del FAR y la Cláusula 52.204-21 del FAR ( resumen de las obligaciones de los contratistas federales en OGletree ). Esto implica un mayor manejo de evidencia, una mayor alineación con el propietario y una mayor presión en las auditorías.

Regla práctica: Si un problema puede permanecer durante días en la bandeja de entrada de alguien sin ser priorizado, su programa de cumplimiento no está diseñado para el escrutinio del Departamento de Justicia.

La solución no reside en un lenguaje normativo más extenso. Se trata de un ritmo operativo más riguroso, responsables más claros y una gestión de casos que genere un historial sólido. Los subcontratistas fracasan cuando asumen que el cumplimiento normativo es un problema de memorandos legales. No lo es. Es un problema de diseño de procesos.

Detección temprana frente a investigación reactiva y su coste

Los programas reactivos dan sensación de seguridad hasta que surge el primer problema grave. Entonces se vuelven lentos, costosos y politizados. La detección temprana continua resulta más difícil al principio, pero protege la continuidad de los contratos, la confianza del consejo de administración y la capacidad de la organización para tomar decisiones antes que terceros.

La respuesta reactiva comienza demasiado tarde.

El modelo reactivo es bien conocido. Algo sale mal, alguien se da cuenta, se consulta con un abogado, se inicia la investigación forense y la dirección dedica las siguientes semanas a reconstruir hechos que deberían haberse aclarado antes. Para entonces, la organización intenta limitar las consecuencias negativas en lugar de prevenirlas.

El modelo de detección temprana es diferente. Utiliza el monitoreo continuo, la detección de anomalías, la corrección interna y el fortalecimiento de la postura como operaciones normales, no como comportamientos de crisis. Esto no elimina el juicio, sino que le da tiempo para que este sea relevante.

Un flujo de trabajo de alerta temprana utilizable no es complicado

Un flujo de trabajo interno eficaz comienza con la identificación continua de posibles indicadores de riesgo. A continuación, utiliza la gestión centralizada de casos, el enrutamiento automatizado a las partes interesadas pertinentes, la recopilación estructurada de pruebas, la revisión documentada por la dirección, la clasificación de riesgos, el seguimiento de las medidas correctivas y la supervisión ejecutiva mediante paneles de control centralizados.

Las organizaciones que estandarizan esa secuencia reducen el tiempo necesario para evaluar posibles problemas, coordinar revisiones internas y preparar la documentación para la gestión y los informes regulatorios. Esa es la principal ventaja: rapidez sin caos.

Esto resulta valioso en un contexto más amplio de prevención del fraude. Una vez que se detecta un problema, la empresa ya ha pagado por una gestión deficiente de la situación, una mala atención a las señales de alerta, o ambas. La misma lógica se aplica aquí, especialmente porque la supervisión de contratistas del Departamento de Justicia ahora puede coordinar las herramientas civiles y penales de manera más eficaz que muchos programas anteriores.

Un vídeo breve puede ayudar a los equipos a visualizar el contraste entre estos dos modelos.

La lección es clara y contundente. La identificación temprana es más económica porque preserva las opciones. La investigación reactiva es costosa porque comienza cuando las opciones ya se han reducido.

Construir un programa de cumplimiento efectivo que se mantenga vigente

Un programa de cumplimiento que supera el escrutinio no se define por una redacción política atractiva. Se define por la capacidad de los líderes para rastrear la responsabilidad, las pruebas, la escalada de problemas y las medidas correctivas sin contratiempos. Ese es el criterio.

La gobernanza debe estar por encima del trabajo, no al lado del mismo.

La gobernanza y la supervisión ejecutivas deben estar en la cima. Si el director ejecutivo, el asesor jurídico general y el director de cumplimiento normativo no son responsables de la estructura de escalamiento, la organización tenderá a la compartimentación funcional y a la demora en la toma de decisiones. Esto suele dar una imagen de organización hasta que se produce el primer incidente real.

Por debajo de eso, los procedimientos escritos deben corresponderse con obligaciones reales, no con un lenguaje ético genérico. Esto incluye los requisitos de igualdad de oportunidades y acción afirmativa cuando corresponda, ya que las recientes medidas de control han vinculado cada vez más los incumplimientos de los contratistas con la exposición a la Ley de Reclamaciones Falsas. El objetivo es crear un entorno de control único, no universos de cumplimiento separados.

La documentación es la prueba, no el papel.

Los programas más sólidos mantienen un registro impecable de la admisión, revisión, clasificación de riesgos, decisiones de gestión, remediación y cierre. Este registro debería resistir cualquier cuestionamiento por parte de los departamentos Legal, de Recursos Humanos, de Auditoría Interna o de Seguridad sin necesidad de reconstruirlo desde cero.

Una función de revisión externa competente puede ser de gran ayuda en este caso. Una opción son los detectives privados especializados en negocios , especialmente cuando la organización necesita una investigación estructurada que complemente su gobernanza interna, pero la empresa aún debe ser responsable de la toma de decisiones y la documentación.

Cuatro pilares hacen que el programa sea utilizable.

• Políticas y procedimientos documentados: Estos deben corresponderse con la cobertura contractual real y los umbrales de escalamiento, no con objetivos de cumplimiento genéricos.

• Capacitación y comunicación específicas: Es necesario que las personas sepan cuándo una inquietud se convierte en un problema que merece ser escalado, y no solo lo que dice el código de conducta.

• Sistemas de auditoría y monitoreo: Estos deben comprobar si los controles funcionan, no solo si existen.

• Canales de denuncia e investigación: La recepción de denuncias debe estar lo suficientemente centralizada como para que un mismo problema no sea tratado de manera diferente por distintas funciones.

Esa estructura es importante porque el escrutinio del Departamento de Justicia (DOJ) no premia las buenas intenciones, sino a las organizaciones que demuestran un diseño de control, un uso y un seguimiento consistentes. Si su programa no cumple con estos requisitos, no está funcionando correctamente.

El papel de la tecnología y la inteligencia de riesgos conductuales

La tecnología debe respaldar el criterio, no sustituirlo. Esta distinción es crucial, ya que un enfoque de software inadecuado puede generar más riesgos de los que elimina. El enfoque correcto, en cambio, agiliza, simplifica y facilita las auditorías de la gobernanza.

La inteligencia sobre riesgos conductuales debe revelar señales, no veredictos.

La inteligencia sobre riesgos conductuales se integra con el cumplimiento normativo, la auditoría, los recursos humanos, el departamento legal y la seguridad, ya que ayuda a los equipos a detectar patrones con antelación, antes de que se conviertan en casos formales. Se trata de una capa de visibilidad, no de un sistema de juicio. Esta distinción es fundamental si la organización desea preservar el debido proceso.

Los mejores sistemas centralizan la inteligencia de riesgos internos, el seguimiento del cumplimiento, los flujos de trabajo de mitigación, los paneles de control y la documentación de pruebas en una única plataforma operativa. Esto reemplaza las hojas de cálculo fragmentadas y las investigaciones inconsistentes con una gestión de casos rastreable. Logical Commander Software Ltd. es un ejemplo de una plataforma con este enfoque, cuyo modelo E-Commander se describe como una plataforma operativa unificada para la inteligencia de riesgos internos y la gestión de flujos de trabajo.

Las barandillas de seguridad son tan importantes como la capacidad.

Cualquier plataforma de gobernanza basada en IA en este ámbito necesita establecer límites estrictos. Debe ajustarse a marcos normativos como el RGPD , la CPRA , la CCPA , la ISO 27001 , la ISO 27701 , la ISO 37003 y los principios anticorrupción de la OCDE , y debe rechazar explícitamente la detección de mentiras, la presión psicológica, la elaboración de perfiles de comportamiento, la vigilancia y las conclusiones basadas en IA. Si la herramienta no puede mantenerse dentro de estos límites, no debería formar parte de un entorno de cumplimiento normativo.

Regla práctica: Utilice la tecnología para estandarizar la admisión de casos, preservar la evidencia y agilizar la revisión. Mantenga la toma de decisiones humana en la sala.

El valor de la tecnología reside en la coherencia. Ayuda a los equipos a clasificar los casos de la misma manera, a preservar la trazabilidad y a demostrar la toma de decisiones ejecutivas sin depender de correos electrónicos dispersos. Esto es fundamental para la preparación ante auditorías, ya que la organización necesita un registro de lo que sabía, cuándo lo supo, qué hizo a continuación y quién lo aprobó.

Una buena plataforma debería facilitar la defensa del programa, no complicar su explicación. Ese es el criterio que los líderes deberían seguir al evaluar cualquier herramienta de GRC o de gestión de riesgos conductuales.

Lista de verificación ejecutiva para el cumplimiento de la normativa NFED y la preparación para auditorías

Los próximos 90 días deben considerarse un periodo intensivo de gestión, no un proyecto de políticas. Los líderes necesitan responsabilidad, evidencia y rutina. Si esto suena básico, mejor, porque lo básico es lo que resiste el escrutinio.

Primeros 30 días

• Asigne un único responsable ejecutivo: La organización necesita un líder responsable de la preparación para la NFED del Departamento de Justicia, no un comité sin poder de decisión.

• Mapea las obligaciones por tipo de contrato: Identifica qué contratos, subcontratos y acuerdos de nivel inferior están cubiertos y, a continuación, anota dónde se aplican las obligaciones de divulgación, transmisión de beneficios y acción afirmativa.

• Implementar un sistema centralizado de recepción de incidencias: Crear un único canal para los posibles problemas, de modo que los departamentos de Cumplimiento Normativo, Asuntos Legales, Recursos Humanos, Auditoría Interna y Seguridad no operen desde bandejas de entrada separadas.

• Criterios de escalamiento de documentos: Defina qué se revisa, qué se conserva y qué se remite a un abogado.

Días 31 a 60

• Implementar indicadores de seguimiento: centrarse en patrones que muestren si los problemas se detectan a tiempo, y no solo si se abren casos.

• Enrutamiento de casos de prueba: Asegúrese de que los problemas se dirijan rápidamente a la función correcta, con la evidencia intacta.

• Refuerce la supervisión de los subcontratistas: revise conjuntamente el lenguaje de transmisión de responsabilidades, los puntos de aprobación y los controles de compra, porque esos controles fallan en conjunto.

• Capacitación a los responsables de la gestión del traspaso de responsabilidades: Si los responsables de línea no saben cómo escalar el problema, el programa volverá a caer en el silencio.

Días 61 a 90

• Integre la inteligencia sobre riesgos conductuales: utilícela para centralizar las señales de riesgo y mejorar la trazabilidad, no para automatizar los juicios.

• Validar las pistas de evidencia listas para auditoría: Confirmar que las decisiones de gestión, las medidas correctivas y los registros de cierre se pueden reconstruir de forma precisa.

• Informe a la junta directiva sobre la situación: Proporcione a los directores una visión clara y sencilla de la propiedad, los asuntos pendientes y el grado de madurez del control.

• Revise la preparación de NFED en función del marco general del contratista: vuelva a comprobar la superposición legal y operativa, especialmente la divulgación, la transmisión descendente y las obligaciones basadas en umbrales. Una referencia complementaria útil para esa capa de gobernanza esla preparación para la auditoría .

Si su organización no puede demostrar un monitoreo continuo, una escalada documentada y un registro impecable de las acciones de gestión, no está preparada para una auditoría. Simplemente está a la espera.

---

Logical Commander Software Ltd. ayuda a las organizaciones a centralizar la inteligencia de riesgos internos, el seguimiento del cumplimiento, los flujos de trabajo de mitigación y la documentación de evidencias en una única plataforma operativa. Si está desarrollando un modelo de gobernanza más sólido para la NFED del Departamento de Justicia, visite Logical Commander Software Ltd. y evalúe cómo su enfoque de apoyo a la toma de decisiones puede integrarse con sus procesos actuales de cumplimiento, auditoría, recursos humanos, asuntos legales y seguridad.