Se deben identificar los riesgos penales a los que está expuesta la compañía, clasificándolos en riesgos que provienen de la propia actividad de la empresa y aquellos que son comunes a todas las empresas (por ejemplo, derivado de la actividad sería la eliminación de residuos médicos de una clínica privada, mientras que un riesgo común es la evasión fiscal).
Determinados y definidos los riesgos penales, estos se colocarán en un mapa de riesgos, jerarquizando cuáles son los más elevados y cuáles los menores, así como el nivel de tolerancia de los mismos.
El siguiente paso es establecer aquellos procedimientos o protocolos de actuación necesarios para evitar comportamientos o actividades que puedan dar lugar a los riesgos analizados en la fase anterior.
Se establecerán aquí las conductas éticas y responsables que se deben adoptar para reducir los riesgos de comisión de delitos. Así mismo, se elaborará el código ético de la organización. Y se revisarán, analizarán y se realizará una valoración normativa de todos los protocolos internos de actuación.
Todo plan de prevención de delitos penales debe incorporar entre sus medidas la creación de, al menos, un canal de denuncia interno, para que cualquier miembro de la organización pueda denunciar la posible comisión de delitos o la sospecha de que se están cometiendo delitos en el seno de la empresa de forma ágil y sencilla.
Además, la implantación de un canal de denuncia es obligatoria para empresas con más de 50 trabajadores, de acuerdo a la Directiva Whistleblower del Consejo Europeo.
Los canales de denuncia deben llevar a la creación de una comisión investigadora y a poner en marcha los mecanismos internos necesarios para llevar a cabo la investigación de los hechos, garantizando siempre la protección del anonimato del denunciante frente al denunciado.
El plan de prevención de delitos penales también debe contar con un sistema disciplinario efectivo. Para ello se deben diseñar las medidas sancionadoras correspondientes y adecuadas a cada tipo de infracción (teniendo en cuenta los límites fijados por la ley).