Under arbetet med mina masterstudier i juridik har jag under senare tid börjat fördjupa mig i ett område som allt tydligare framstår som centralt för modern affärsjuridik: compliance. För många framstår compliance fortfarande som något relativt administrativt. Policydokument, utbildningar, interna kontrollsystem och olika former av rapportering hör till den bild som ofta ges. Men när man börjar studera hur moderna rättssystem faktiskt hanterar företagsbrott framträder en mer komplex verklighet. Compliance är inte bara ett internt styrinstrument i organisationer. Det har i allt högre grad blivit ett verktyg genom vilket stater försöker påverka företags beteende.
Den utvecklingen hänger nära samman med hur ekonomisk reglering förändrats i en globaliserad ekonomi. Företag verkar i dag ofta samtidigt under flera rättssystem och möter regelverk som sträcker sig långt utanför den nationella jurisdiktionen. Korruptionsbekämpning, exportkontroll, sanktioner, dataskydd och cybersäkerhet är tydliga exempel på områden där lagstiftning och tillsyn fått en allt mer internationell karaktär. Samtidigt har också staters enforcementstrategier förändrats. Den klassiska modellen inom straffrätten har länge varit efterhandskontroll. Ett brott begås, en utredning inleds, åtal väcks och domstolen avgör frågan. I takt med att företagsorganisationer blivit mer komplexa har denna modell i många länder kompletterats med strategier som syftar till något mer än att enbart fastställa skuld. Myndigheter försöker i allt större utsträckning påverka hur organisationer fungerar framåt.
Denna förskjutning från efterhandskontroll till beteendepåverkan är central för att förstå hur compliance har utvecklats. I stora organisationer fattas beslut i flera led, information filtreras genom olika nivåer och incitamentsstrukturer kan indirekt bidra till riskfyllda beslut. Att identifiera en enskild gärningsperson blir därför inte alltid enkelt. Samtidigt kan konsekvenserna av en brottmålsprocess mot ett stort företag bli mycket omfattande långt innan en dom faller. Kreditgivare kan reagera, regulatoriska tillstånd kan ifrågasättas och affärsrelationer kan påverkas.
Mot denna bakgrund har flera rättssystem utvecklat mer flexibla verktyg för att hantera företagsbrott. Ett av de mest inflytelserika är det som kallas Deferred Prosecution Agreement, ofta förkortat DPA. Konstruktionen utvecklades först i USA och har senare införts i bland annat Storbritannien. I korthet innebär modellen att åklagaren och ett företag kan ingå en överenskommelse där åtal skjuts upp under en viss period. Företaget accepterar vissa faktiska omständigheter, betalar böter eller skadestånd och åtar sig att genomföra omfattande reformer av sina interna kontrollsystem. Ofta utses också en oberoende monitor som under flera år granskar företagets compliancearbete. Om företaget uppfyller villkoren avslutas ärendet utan åtal. Om villkoren bryts kan processen återupptas.
Denna modell har förändrat dynamiken i många större företagsutredningar. Företag får starka incitament att samarbeta med myndigheter, genomföra interna utredningar och snabbt reformera sina kontrollsystem. Staten får samtidigt möjlighet att påverka hur organisationer styrs och hur risker hanteras utan att först behöva genomföra en lång och osäker rättegång.
Samtidigt väcker modellen viktiga rättsstatliga frågor. I ett traditionellt rättssystem utvecklas rättsregler genom öppna domstolsprocesser där avgöranden skapar prejudikat och bidrar till rättsbildning. När större företagsärenden i stället avslutas genom förhandling uppstår frågor om transparens och maktfördelning. Åklagaren fungerar då inte bara som utredare utan också som förhandlingspart i en process som i stor utsträckning sker utanför offentlig domstolsprövning. Kritiker menar att detta kan innebära att betydande delar av rättsutvecklingen flyttas från domstolar till mer slutna förhandlingsrum. Förespråkare framhåller i stället att modellen gör det möjligt att snabbt åstadkomma organisatoriska reformer och därigenom minska risken för framtida överträdelser. Spänningen mellan rättssäkerhet och effektivitet är därför en återkommande fråga i diskussionen om DPA-system.
Europa har länge haft en mer försiktig inställning till denna typ av uppgörelser, men utvecklingen under det senaste decenniet visar att även europeiska rättssystem gradvis närmat sig liknande lösningar. Frankrike införde 2016 genom den så kallade Sapin II-lagstiftningen ett system som gör det möjligt att avsluta vissa korruptionsutredningar genom böter och omfattande complianceåtaganden. Nederländerna använder så kallade transaction settlements där åklagaren kan avsluta ekonomiska brottsutredningar mot ekonomisk kompensation och organisatoriska reformer. Italien har utvecklat ett särskilt system för företagsansvar där organisationer kan undvika sanktioner om de kan visa att de haft effektiva complianceprogram och samarbetar i utredningen. Tyskland saknar ett fullt formaliserat DPA-system men använder i praktiken förhandlade administrativa uppgörelser i större företagsärenden.
Denna utveckling visar hur enforcementstrategier förändras. Staten försöker inte enbart fastställa skuld i efterhand utan också påverka hur organisationer fungerar framåt. Complianceprogram blir därmed inte bara ett internt styrinstrument utan också en faktor som kan påverka hur en utredning utvecklas och vilka sanktioner som aktualiseras.
Mot denna bakgrund framstår den svenska modellen som mer traditionell. Svensk straffrätt bygger fortfarande i stor utsträckning på principen att brott begås av individer. Organisationer kan därför inte dömas till straff i samma mening som fysiska personer. I stället används konstruktionen företagsbot. Juridiskt betraktas företagsbot inte som ett straff utan som en särskild rättsverkan av brott. Det innebär att ett företag kan åläggas en ekonomisk sanktion om ett brott har begåtts i verksamheten och organisationen inte har gjort vad som skäligen kunnat krävas för att förebygga överträdelsen. Företagsboten kan i dag uppgå till mycket betydande belopp, men den beslutas av domstol och är inte resultatet av någon förhandlad uppgörelse mellan åklagare och företag.
Den svenska modellen innebär också att det primära straffansvaret ligger hos individer. Om ett företag brister i sin compliance eller governance är det i första hand personer i organisationen som riskerar att åtalas. Det kan handla om verkställande direktören, styrelseledamöter eller andra personer i ledande ställning. I vissa situationer kan även enskilda anställda bli ansvariga om de själva har begått brottsliga handlingar.
Styrelsens ansvar är särskilt intressant i detta sammanhang. Enligt aktiebolagslagen ansvarar styrelsen för bolagets organisation och för att bolagets verksamhet är ordnad på ett sådant sätt att bokföring, medelsförvaltning och ekonomiska förhållanden kontrolleras på ett betryggande sätt. I praktiken innebär detta ett ansvar för att det finns rimliga system för kontroll och uppföljning i organisationen. I internationell bolagsrättslig diskussion talas ofta om styrelsens övervakningsansvar, ibland formulerat som en duty of oversight. I amerikansk rätt har den så kallade Caremark-doktrinen utvecklat långtgående krav på styrelsens kontroll av compliance- och riskhanteringssystem. Den svenska regleringen är mindre explicit formulerad men bygger på en liknande grundidé. Organisationer måste vara strukturerade på ett sådant sätt att regelöverträdelser så långt möjligt förebyggs.
Ett illustrativt exempel kan hämtas från miljörätten. Anta att ett industriföretag driver en verksamhet där utsläpp sker i strid med tillståndsvillkor. Om det kan visas att ledningen kände till problemen eller borde ha upptäckt dem men ändå underlät att vidta åtgärder kan ansvar för miljöbrott aktualiseras för personer i företagets ledning. Samtidigt kan företaget åläggas företagsbot eftersom brottet begåtts i verksamheten och organisationen saknat tillräckliga kontrollsystem för att förhindra överträdelsen. Kombinationen av individuellt straffansvar och ekonomiska sanktioner mot organisationen är karakteristisk för den svenska modellen.
I praktiken har dock även Sverige i viss mån börjat närma sig de internationella enforcementstrategierna. I större gränsöverskridande utredningar samarbetar svenska myndigheter ofta med motsvarande organ i andra länder. I sådana situationer kan sanktioner och utredningar koordineras mellan flera jurisdiktioner. De internationella korruptionsutredningar som under senare år riktats mot svenska telekombolag är ett tydligt exempel. Amerikanska myndigheter har i dessa fall spelat en central roll genom tillämpningen av amerikansk antikorruptionslagstiftning. De amerikanska utredningarna har ofta avslutats genom omfattande uppgörelser där företagen betalat mycket betydande böter och åtagit sig långtgående compliance-reformer. Svenska myndigheter har parallellt hanterat frågor om företagsbot och individuellt ansvar enligt svensk rätt. Resultatet har blivit en form av informell samordning där olika rättssystem angriper samma beteende från olika håll.
Det är i denna mening man ibland kan säga att DPA-liknande lösningar i viss mån skohornas in i den svenska strukturen. Formellt finns ingen möjlighet till förhandlade uppgörelser mellan åklagare och företag. Men i praktiken kan internationella överenskommelser och parallella utredningar skapa ett resultat som delvis liknar de lösningar som DPA-systemet bygger på.
Frågan om Sverige i framtiden bör införa en mer formaliserad modell för företagsuppgörelser återkommer med jämna mellanrum i den juridiska debatten. Förespråkare menar att ett sådant system skulle kunna stärka incitamenten för företag att samarbeta med myndigheter och snabbare genomföra organisatoriska reformer. Kritiker framhåller i stället att den svenska rättsordningen bygger på starka principer om offentlighet, rättssäkerhet och domstolsprövning och att förhandlade uppgörelser riskerar att flytta rättskipningen från öppna domstolar till mer slutna förhandlingsprocesser.
Oavsett hur den diskussionen utvecklas är det tydligt att compliance i dag spelar en central roll i mötet mellan företag och rättssystem. Den är inte längre bara en intern funktion som syftar till att undvika regelbrott. Den har blivit en del av själva infrastrukturen för modern enforcement. För företag innebär detta att frågor om organisation, kontrollsystem och riskhantering i allt högre grad betraktas genom ett juridiskt raster. För jurister innebär det samtidigt att affärsjuridiken i allt större utsträckning handlar om hur rättsregler omsätts i praktisk styrning av komplexa organisationer. Det är i denna korsning mellan juridik, bolagsstyrning och regulatorisk strategi som mycket av den moderna affärsjuridiken utvecklas i dag.