Decreto Supremo Nº 002-2019-JUS, Reglamento de la Ley Nº 30424, Ley que regula la Responsabilidad Administrativa de las Personas Jurídicas

El diseño e implementación de un modelo de prevención se elabora sobre la base del resultado de la evaluación de su perfil de riesgo. Esta etapa debe ser llevada a cabo por la persona jurídica independientemente de su tamaño o clasificación.

El proceso de identificación, evaluación y mitigación de riesgos se realizará cada vez que se produzcan cambios estructurales o de organización, o ante alguna circunstancia endógena o exógena relevante que amerite la realización de una nueva evaluación de riesgos con la finalidad de permitir a la persona jurídica realizar los ajustes al modelo de prevención que resulten necesarios.

La persona jurídica debe documentar las actividades y los parámetros operativos sobre los momentos de identificación, evaluación y mitigación de riesgos penales, su frecuencia, las fuentes, la recolección de datos, los procedimientos, las personas u órganos involucrados, los flujos de información, los informes relacionados y demás ejercicios vinculados al proceso de gestión de riesgos penales.

Para efectos de lo señalado, la información puede ser conservada de modo separado como parte del modelo de prevención o como parte de otro sistema que la persona jurídica hubiera implementado con anterioridad. Para dicho fin se podrá usar documentos de fecha cierta o cualquier medio físico o electrónico que permita tener certeza de su contenido y el tiempo de su elaboración o emisión.

Previo a cualquier proceso de evaluación de riesgos, la persona jurídica define las funciones y responsabilidades operativas, los procesos operativos y la responsabilidad de supervisión de estas actividades, determinado las áreas o unidades orgánicas responsables.

La persona jurídica asigna la responsabilidad de la evaluación de riesgos a personal calificado que puede ser externo o, de preferencia, que tenga vinculación directa con las principales actividades de la persona jurídica. Esta persona debe tener capacidad de administrar y realizar la identificación, evaluación y mitigación de riesgos. Para un desempeño idóneo es necesario otorgarle los márgenes de decisión suficientes, así como las herramientas e insumos pertinentes.

La evaluación de riesgos eficiente debe definir, documentar y publicar los pasos del proceso de evaluación de riesgos, definiendo como mínimo el momento de la evaluación, su frecuencia, los elementos o fuentes que se utilizarán para la identificación de los riesgos, la recolección de datos, el ámbito de aplicación, la forma en la que se recolectará y acumulará información y la emisión de informes de resultado.

La persona jurídica asigna a una persona u órgano la responsabilidad de la supervisión del cumplimiento de la evaluación de riesgos para asegurar que sea llevada de acuerdo a los procesos operativos previamente definidos.

Para la elaboración del perfil de riesgo, se debe determinar los riesgos inherentes al desarrollo de la actividad de la persona jurídica en cada uno de sus procesos, así como los riesgos residuales, vinculados a la comisión de delitos. Para ello puede seguir los siguientes pasos:

1. La identificación de todos los procesos que son parte del funcionamiento de la persona jurídica.

2. Determinación del objetivo del proceso.

3. A partir de los contextos internos y externos aplicables a la persona jurídica se determina las causas o agentes generadores del riesgo.

4. Identificar y definir de manera clara y precisa los riesgos inherentes y residuales al proceso que se evalúa, definiendo cada uno de los elementos que lo componen y la forma o modo en el que podrían darse.

5. Determinación de las consecuencias generadas o que se podrían generar por la materialización de un riesgo.

La persona jurídica identifica los factores y tipos de riesgos a los que puede estar expuesta. Asimismo, debe detectar, reconocer y describir los riesgos en sus procesos más relevantes en el marco de su actividad comercial u objeto social. Para tal efecto, sin perjuicio de otros que puedan determinarse en su autorregulación, pueden basarse en los contextos internos y externos a los que hace referencia el artículo 17 del presente reglamento.

En el proceso de identificación de riesgos, la persona jurídica determina los riesgos legales relacionados a las sanciones penales o administrativas por la comisión de los delitos previstos en el artículo 1 de la Ley.

Sin perjuicio de ello, la persona jurídica puede determinar otros tipos de riesgos que genere o pueda generar un efecto negativo en sus objetivos o faciliten la materialización de riesgos legales, tales como:

1. Riesgos comerciales u operativos: relacionados con las actividades cotidianas o comunes propias del ejercicio de sus actividades.

2. Riesgos económicos: relacionados al rendimiento de la inversión y la estructura financiera de la actividad.

3. Riesgos reputacionales: relacionados a la imagen de la persona jurídica ante sus pares, clientes y público en general.

Para la identificación de riesgos, la persona jurídica puede recolectar los datos e información de fuentes internas o externas, tales como la normatividad y procedimientos legales vigentes, auditorías internas o externas, procesos o casos anteriores relacionados a la comisión de delitos, entre otros.

En la identificación, clasificación y priorización de riesgos se puede establecer, considerando los siguientes criterios o contextos internos y externos, entre otros:

1. Los factores sociales, culturales, políticos, legales, reglamentarios, financieros, tecnológicos, económicos y ambientales, ya sea a nivel internacional, nacional, o local;

2. Tamaño y estructura de la persona jurídica, por la cual se toman variables como el número de trabajadores y colaboradores;

3. Naturaleza, escala y complejidad de la persona jurídica y sus operaciones;

4. Socios comerciales, intermediarios, consultores o representantes de ventas;

5. Ubicación geográfica y sectores del mercado y los países en los que opera o anticipa operar, directa o indirectamente;

6. Naturaleza, intensidad, frecuencia y extensión de las interacciones con funcionarios y servidores públicos;

7. Las obligaciones, deberes estatutarios, contractuales y deberes análogos de la persona jurídica;

8. Los objetivos, la estrategias y las políticas de la persona jurídica, así como su visión y misión;

9. Cualquier otro contexto interno o externo relevante.

La persona jurídica estima la magnitud de los riesgos inherentes, en términos cuantitativos y/o cualitativos; reconoce su trayectoria, a efectos de mitigarlos eficazmente.

La evaluación debe ser entendida como un examen sistémico que permita determinar la probabilidad de que se materialicen los riesgos identificados, así como la consecuencia que estos tendrían en la persona jurídica, a fin de establecer los niveles de prioridad que debe asignarse a cada uno de ellos.

La persona jurídica identifica las oportunidades o condiciones idóneas para la ocurrencia de un evento de riesgo de la comisión de un acto ilícito. Se determina de acuerdo a la frecuencia con la que se ha presentado el riesgo o por la posibilidad de que el riesgo se presente. La persona jurídica en el ejercicio de su autorregulación, de acuerdo con su tamaño, naturaleza, características y complejidad de sus operaciones, fija los parámetros para la determinación de probabilidad de los riesgos inherentes, de acuerdo a su naturaleza y necesidades, siempre que estos sean idóneos y eficaces.

La persona jurídica debe determinar la magnitud de las consecuencias o efectos que puede generar la materialización de un riesgo de un delito en el desarrollo de sus actividades. La persona jurídica en el ejercicio de su autorregulación, de acuerdo con su tamaño, naturaleza, características y complejidad de sus operaciones, fija los parámetros para la gradualidad del impacto de los riesgos inherentes de acuerdo a su naturaleza y necesidades, siempre que estos sean idóneos y eficaces.

La persona jurídica, sobre la base de la identificación y evaluación de los riesgos inherentes, asume e implementa controles y medidas de prevención, detección o corrección. Estos controles y medidas son proporcionales, razonables y adecuados a la probabilidad o consecuencias de los riesgos inherentes priorizados y de los riesgos residuales.

Los controles de prevención, detección y corrección de los riesgos forman parte fundamental del modelo de prevención que implemente la persona jurídica.

La persona jurídica implementa sistemas y procedimientos que le permitan gestionar sus operaciones financieras y comerciales de modo correcto, y que le permita registrar estas operaciones de modo preciso, completo y oportuno, a fin de mitigar el riesgo de la comisión de delitos.

Los controles financieros pueden tener medidas como:

1. Separación de funciones en procedimientos de pagos.

2. Niveles de aprobación de pagos.

3. Mecanismos de verificación de la designación, trabajo y servicios se hayan dado de modo correcto.

4. Más de una firma para pagos.

5. Documentación suficiente para la aprobación de pagos.

6. Restringir el uso de dinero en efectivo.

7. Implementar revisiones periódicas de las operaciones financieras.

8. Implementar auditorias financieras internas periódicas.

La persona jurídica implementa sistemas y procedimientos que le permitan asegurar que sus adquisiciones, aspectos operacionales, comerciales y cualquier otro aspecto no financiero están siendo gestionados de modo correcto.

Los controles no financieros pueden tener medidas como:

1. Procesos adecuados de verificación y calificación previa de contratistas, subcontratistas, proveedores y consultores a fin de avaluar su probabilidad de participar en alguno de los delitos previstos en el artículo 1 de la Ley.

2. Evaluar, la necesidad y legitimidad de los servicios brindados por un socio de negocios.

3. Si los servicios prestados fueron llevados de modo correcto.

4. Si los pagos que se realizaran son adecuados y proporcionables al servicio brindado.

5. Siempre que sea posible, la adjudicación de los contratos debe darse después de un proceso de evaluación con al menos tres postores.

6. Determinar de manera adecuada la separación de funciones de las personas que participan en los procesos de contratos, incluida su supervisión y aprobación de los trabajos.

7. Requerir más de una firma en los contratos, en los términos que los modifiquen y en la aprobación de los trabajos o del cumplimiento del contrato.

8. Establecer directivas o documentos guía para los trabajadores y personal involucrado en los procesos no financieros a fin de facilitar su labor e identificar los riesgos.

La persona jurídica implementa un procedimiento de debida diligencia, como un control especifico adicional, a otros ya implementados, sobre operaciones, proyectos, actividades, socios comerciales o incluso el personal, a fin de evaluar con mayor profundidad, el alcance, la escala y la naturaleza de los riesgos inherentes o residuales identificados como parte del proceso de evaluación. Esta permite contar con un control de prevención y detección de riesgos de delitos en la toma de decisiones sobre la conveniencia de posponer, continuar suspender o revisar las operaciones, proyectos, actividades, las relaciones con los socios comerciales o el personal.

El modelo de prevención debe ser consistente con la normativa nacional y con la de los países extranjeros en los que la persona jurídica realiza operaciones, solo en el caso de haberse identificado riesgos de la comisión de los delitos identificados en el artículo 1 de la Ley Nº 30424. Su diseño debe ser revisado periódicamente para cautelar y preservar dicha consistencia.

En la implementación, evaluación y mejora continua del modelo de prevención debe involucrarse a los directivos, representantes, apoderados y trabajadores de la persona jurídica según el nivel de exposición al riesgo de comisión de delitos, además puede involucrarse a los socios comerciales y demás grupos de interés con los que la persona jurídica se relaciona, a través de procesos interactivos y actividades que permitan recabar sus aportes y opiniones, así como fortalecer la importancia y necesidad del modelo de prevención para la persona jurídica

Una vez adoptado el modelo de prevención su cumplimiento es de carácter obligatorio y debe aplicarse, sin excepción alguna y de forma igualitaria, a todos los niveles, áreas y ámbitos funcionales de la persona jurídica.

El contenido del modelo de prevención debe estar formulado de modo que pueda ser fácilmente comprendido por los trabajadores, socios comerciales y grupos de interés vinculados a la persona jurídica.

El modelo de prevención se orienta prioritariamente al fomento de una cultura de confianza, ética, integridad y de cumplimiento normativo, en todos los niveles de la persona jurídica, por sobre un enfoque represivo y de excesivo control.

Las personas jurídicas, en el ejercicio de su autorregulación, de acuerdo con su tamaño, naturaleza, características y complejidad de sus operaciones, y demás condiciones y características particulares tienen la facultad para:

1. Definir el alcance de los elementos del modelo de prevención;

2. Definir los procedimientos o metodología para el diseño, implementación y monitoreo del modelo de prevención que mejor se adapte a sus necesidades, riesgos y particularidades y que, en función de ellos, resulten más eficaces;

3. Incorporar e implementar al modelo de prevención cualquier otro elemento no regulado en el presente Reglamento, conforme a su perfil de riesgo.

Tratándose de personas jurídicas consideradas como sujetos obligados de acuerdo a las normas que regulan el Sistema de Prevención de Lavado de Activos y del Financiamiento al Terrorismo, la autorregulación es la facultad para definir el alcance de los elementos del modelo de prevención respecto a riesgos de la comisión de delitos distintos al lavado de activos y del financiamiento al terrorismo.

Se exime de responsabilidad a la persona jurídica que adopta e implementa un modelo de prevención en su organización con anterioridad a la comisión de cualquiera de los delitos comprendidos en el artículo 1 de la Ley N° 30424.

El modelo de prevención que la persona jurídica haya adoptado e implementado debe contener controles y medidas de prevención, detección o corrección ante la comisión del delito conforme a lo estipulado en el presente Reglamento. La persona jurídica debe probar que tales medidas son revisadas y de ser el caso adaptadas periódicamente, de acuerdo con el artículo 7.

El referido eximente es inaplicable cuando el delito es cometido por los socios, directores, administradores de hecho o derecho, representantes legales o apoderados, u otros con capacidad de control de la persona jurídica.

En estos casos, el juez únicamente impone la medida administrativa de multa, la que de manera excepcional y debidamente motivada puede ser reducida hasta en un noventa por ciento.

El compromiso y liderazgo del órgano de gobierno o administración y la alta dirección para la implementación y supervisión de un modelo de prevención deben verse reflejados de modo claro, visible y accesible en una política que manifieste el rechazo hacia la comisión de los delitos.

Este compromiso debe reflejarse en el liderazgo y apoyo visible e inequívoco, en especial sobre:

1. La implementación y ejecución de una política de rechazo frente a los delitos. Esta debe quedar documentada y enfatizada en las actividades internas y externas de la persona jurídica.

2. La implementación y ejecución del modelo de prevención efectivo frente a los delitos previstos en el artículo 1 de la Ley.

3. La aprobación de un código de conducta en el que se asuma el compromiso de todos los miembros de la organización de no incurrir en la comisión de los delitos y de coadyuvar al buen funcionamiento del modelo de prevención.

4. La aprobación de lineamientos y/o mecanismos que reconozcan y promuevan la comunicación oportuna de cualquier indicio sobre la posible comisión de un delito, bajo condiciones de confidencialidad, seguridad y protección a los denunciantes.

5. La aprobación de procedimientos o protocolos para la investigación interna en los que se respeten los derechos de los involucrados.

6. Las actividades de difusión y capacitación sobre el modelo de prevención.

7. Las actividades de evaluación, monitoreo, supervisión y mejora continua del modelo de prevención, según corresponda.

8. La asignación de recursos adecuados para la implementación y ejecución del modelo de prevención.

La política del modelo de prevención es aplicable a los socios comerciales y a las partes interesadas, quienes deben ser debidamente informados sobre el compromiso de la persona jurídica de prohibir cualquier delito, con la finalidad de buscar su adhesión a dicho compromiso.

De acuerdo con lo establecido en el artículo 17 de la Ley, son elementos mínimos del modelo de prevención los siguientes:

1. Identificación, evaluación y mitigación de riesgos;

2. Un encargado de prevención, designado por el máximo órgano de gobierno de la persona jurídica o quien haga sus veces, según corresponda, que debe ejercer su función con autonomía. Tratándose de las micro, pequeña y mediana empresa, el rol del encargado de prevención puede ser asumido directamente por el órgano de administración;

3. La implementación de procedimientos de denuncia;

4. La difusión y capacitación periódica del modelo de prevención;

5. La evaluación y monitoreo continuo del modelo de prevención.

   Estando al principio de autorregulación a la que hace referencia el artículo 31, las personas jurídicas pueden complementar el modelo de prevención con los siguientes elementos:

6. Políticas para áreas específicas de riesgos;

7. Registro de actividades y controles internos;

8. La integración del modelo de prevención en los procesos comerciales de la persona jurídica;

9. Designación de una persona u órgano auditor interno;

10. La implementación de procedimientos que garanticen la interrupción o remediación rápida y oportuna de riesgos; y,

11. Mejora continua del modelo de prevención.

1. La persona jurídica debe establecer documentalmente controles específicos e idóneos de prevención, detección y mitigación de riesgos enfocados en ámbitos especialmente sensibles que puedan estar vinculados a su actividad u objeto social, tales como:

   1. Pagos de facilitación

   2. Regalos, auspicios, hospitalidad, viajes y entretenimiento

   3. Contribuciones a campañas políticas

2. Establecer controles de prevención, detección y mitigación que permitan enfrentar de modo adecuado los riesgos identificados como posibles conflictos de intereses.

1. El máximo órgano de administración de la persona jurídica o quien haga sus veces, debe designar a una persona u órgano de prevención, encargado de velar por la aplicación, ejecución, cumplimiento y mejora continua del modelo de prevención. Para tal efecto, su designación y, con ello, sus funciones y atribuciones debe garantizar su autonomía en el cumplimiento de sus funciones, orientadas a asegurar el modelo de prevención, sus políticas y objetivos previamente establecidos.

2. Se debe asegurar la independencia y la autoridad de la persona u órgano designado, encargado de velar por la aplicación, ejecución, cumplimiento y mejora continua del modelo de prevención. Para tal efecto, se deberán asignar los recursos que permitan el adecuado funcionamiento operativo, tanto del órgano de prevención, como para llevar a cabo el modelo en toda la organización.

1. La persona jurídica debe implementar un sistema de control contable y financiero que asegure el registro de todas sus actividades, lo que incluye el registro adecuado de libros y cuentas. Ninguna transacción operación o negocio puede quedar por fuera de este registro.

2. Implementar un sistema de controles internos que permita verificar que la política y medidas del modelo de prevención se están aplicando de modo adecuado. Estos controles pueden estar integrados por lineamientos institucionales que se incorporan en los procesos de la persona jurídica en especial a los procesos de alto riesgo y los controles propiamente dicho.

3. La implementación del sistema de control interno está a cargo del órgano de gobierno o administración de la persona jurídica, su evaluación estará a cargo de un auditor u órgano de auditoría interna o externa, mientras que su supervisión es función de la persona u órgano de prevención.

1. El modelo de prevención debe integrarse a los procesos comerciales de la persona jurídica, así como a las normas de conducta, código de ética, políticas y procedimientos de integridad, aplicable a todos los trabajadores y directivos, independientemente de la posición o función que ejerzan.

2. La integración del modelo de prevención debe ser visible a todas las partes dentro y fuera de la persona jurídica. La integración del modelo, sin perjuicio de otros procesos que puede determinar la persona jurídica en su autorregulación, se extiende a:

1. Las relaciones o vínculos con los socios comerciales y partes interesadas;

2. Los procedimientos de contratos administrativos o de cualquier interacción con el sector público, aunque medien terceros, tales como el pago de impuestos, obtención de permisos, licencias y certificados a nivel nacional e internacional;

3. El uso de los recursos financieros, los cuales abarca a los diferentes tipos especiales de gastos que puede incurrir la persona jurídica, tales como regalos, hospitalidad, viajes, entretenimiento, contribuciones políticas, contribuciones filantrópicas y patrocinios; y,

4. Las fusiones, adquisiciones y reestructuración de las personas jurídicas.

La persona jurídica debe implementar procedimientos que garanticen la interrupción o remediación rápida y oportuna sobre irregularidades, violaciones y/o daños generados como consecuencia del incumplimiento del modelo de prevención.

Para ello se pueden establecer medidas disciplinarias y/o sanciones a quienes incumplan el modelo de prevención de la organización o en el caso de la detección de indicadores de la presunta comisión de delitos, como resultado de las investigaciones internas realizadas o de las medidas de respuesta o remediación adoptadas.

Estas actividades contemplan también que los hechos presuntamente delictivos sean puestos en conocimiento de las autoridades competentes.

La supervisión y ejecución de las actividades de respuesta está a cargo del encargado de prevención.

1. La persona jurídica implementa procedimientos de denuncia que permitan a las personas jurídicas o naturales reportar cualquier intento, sospecha o acto de un delito, así como de cualquier otro acto que determine el incumplimiento o debilidad del modelo de prevención.

2. La implementación de procedimientos de denuncia, sin perjuicio de otros componentes que puede determinar la persona jurídica en su autorregulación, comprende los siguientes elementos:

1. Canales de información sobre irregularidades, abierta y ampliamente difundida entre los trabajadores y directivos, independientemente de la posición o función que ejerza, así como a los socios comerciales cuando corresponda. Los canales que pueden consistir en líneas telefónicas, buzones de correo electrónico exclusivos, sistemas de denuncia en línea, reportes presenciales u otros que la organización considere idóneos, los mismos que pueden estar administrados por esta misma o por un tercero.

2. Mecanismos de protección para el denunciante, que aseguren que ninguna persona sufrirá represalia, discriminación o sanción alguna por reportes o denuncias interpuestas de buena fe,

3. Un esquema de incentivos que permita reafirmar la importancia del modelo de prevención, promover el compromiso y la participación de los colaboradores, directivos, socios comerciales y partes interesadas de la persona jurídica en el cumplimiento de las políticas y objetivos del modelo de prevención, así como la comunicación de las conductas que podrían configurar alguno de los delitos incorporados en el artículo 1 de la Ley; así como de incumplimientos del modelo de prevención,

4. Procedimientos y/o protocolos de investigación interna y las consecuencias ante el incumplimiento del modelo de prevención, así como medidas disciplinarias de corresponder.

El procedimiento de denuncia contempla, como mínimo, los siguientes aspectos:

1. Descripción, a modo de ejemplo, de las conductas delictivas que pueden denunciarse;

2. Definición y descripción del mecanismo de recepción de denuncias;

3. Definición y descripción de los elementos mínimos que debe contener una denuncia para que sea considerada como tal;

4. Canales de denuncia disponibles;

5. Medidas de protección disponibles para el denunciante;

6. Identificación del encargado de prevención y su información de contacto; así como de la persona u órgano que realiza la investigación interna.

7. Definición y descripción del procedimiento de investigación interna y de la presentación de los resultados.

1. La persona jurídica debe difundir y capacitar periódicamente, tanto interna como externamente, cuando corresponda, el modelo de prevención que permita una cultura de integridad corporativa frente a la comisión de delitos.

2. La difusión y capacitación debe desarrollarse por medios idóneos y considerar el perfil de riesgos, naturaleza, tamaño, complejidad de sus operaciones, y demás condiciones y características particulares de la persona jurídica, con la finalidad de transmitir los objetivos del modelo de prevención a todos los trabajadores y directivos, independientemente de la posición o función que ejerzan, así como a los socios comerciales y partes interesadas cuando corresponda.

La difusión debe realizarse de manera permanente, mientras que la capacitación debe realizarse al menos una vez al año; sin perjuicio de realizar capacitaciones específicas y diferenciadas para los colaboradores que participan de los procesos y/o para las áreas con mayor exposición a riesgos de comisión de delitos.

La capacitación puede ser presencial o virtual, y versa, como mínimo, sobre los siguientes temas:

1. Política de cumplimiento y prevención de delitos, los procedimientos implementados, el modelo de prevención y el deber de cumplimiento;

2. Riesgos de incurrir en los referidos delitos y sus consecuencias para la organización y para el trabajador que incurre en ellos;

3. Circunstancias en las que puede presentarse alguna situación que implique un riesgo de comisión de alguno de los delitos referidos, relacionadas con las funciones y actividades que el trabajador desempeña en la organización;

4. Formas de reconocimiento y enfrentamiento de las situaciones de riesgo;

5. Identificación de los canales de comunicación y/o de los procedimientos de denuncia;

6. Formas de colaboración para la prevención de riesgos y para la mejora del modelo de prevención;

7. Consecuencias legales del incumplimiento del modelo de prevención; e

8. Información sobre los recursos de capacitación disponibles.

El contenido, oportunidad y frecuencia de la capacitación puede ser diferenciada de acuerdo a cada área de la organización en las que se haya identificado una mayor exposición al riesgo de incumplimiento, según sus necesidades.

Las actividades de capacitación y sensibilización deben estar debidamente documentadas.

1. La persona jurídica debe establecer mecanismos para retroalimentación y otros procesos internos que apoyen al mejoramiento continuo del modelo de prevención.

2. El órgano de gobierno y/o administración de la persona jurídica debe monitorear y revisar su adecuación e implementar las mejoras que sean necesarias al modelo de prevención, acciones que deben reflejarse documentalmente. Este proceso debe referirse, como mínimo a los siguientes aspectos:

1. Funcionamiento del modelo de prevención;

2. Fallas y/o debilidades encontradas;

3. Detalle de las acciones correctivas realizadas;

4. Eficacia de las medidas adoptadas para hacer frente a los riesgos identificados; y,

5. Oportunidades de mejora del modelo de prevención.

La organización mejora continuamente la idoneidad, adecuación a la realidad y eficacia del modelo de prevención.

El proceso de mejora incluye la adopción de acciones correctivas y/o cambios al modelo ante la ocurrencia de violaciones al mismo, cambios en la estructura de la organización, en el desarrollo de sus actividades o ante factores internos o externos que impliquen cambios en el perfil de riesgos identificados que sirvió para la elaboración del modelo de prevención.