Estas obligaciones deben ser acompañadas de procedimientos de supervisión interna, revisados periódicamente, que identifiquen y prevengan los conflictos de interés. Los referidos procedimientos deben garantizar la independencia, confidencialidad e integridad de los datos y de los propios índices (artículo 5.4 PR). Tales obligaciones se extienden expresamente a todos los empleados activos, de forma que estas personas no deben verse afectadas por conflictos de interés derivados, no solo de su remuneración, sino también de la realización de actividades empresariales, incluso por cuenta y a nombre propio o con la colaboración de otros participantes en el mercado [artículo 5.5.d) PR]. El Reglamento, desde la experiencia por el escándalo del LIBOR, atribuye especial importancia a la eliminación del intercambio de información entre empleados.
b. Función especial de supervisión (oversight). Más allá de estas obligaciones generales de la organización, el artículo 5 bis (no contemplado originariamente en la propuesta de la Comisión) requiere la implementación por el administrador de una función especial de supervisión, en el sentido de que establezca una autoridad competente en la organización para todos los aspectos del proceso de elaboración de índices de referencia. Esta función es responsable, en particular, de la revisión del método (incluyendo su modificación y personalización), y de la definición de indicadores, así como de los controles internos del administrador. Además, a la función de supervisión se le otorga acceso a los resultados de las auditorías internas y externas y control sobre los datos de cálculo de los índices o los procedimientos para la interrupción del índice de referencia. Si bien estas competencias son comparables a las propias de la auditoría interna, destaca entre ellas la previsión contenida en el artículo 5 bis, párrafo 1, en la que se impone a la función de supervisión la obligación de informar a las autoridades competentes de aquellas violaciones cometidas por los administradores o contribuidores, así como, en su caso, las anomalías o sospechas en los datos de cálculo. De esta manera, se ha introducido una auténtica función de whistle blower ante las autoridades externas. Esta previsión se acompaña de un whistle blowing interno en el seno del propio administrador que permita a los empleados advertir confidencialmente a los administradores de posibles manipulaciones (Considerando 22).
El Reglamento guarda silencio deliberadamente sobre la forma en que debe concretarse la función de supervisión y los requisitos de las personas responsables de desarrollarla, puesto que corresponde a la ESMA la facultad de especificar tales obligaciones, dependiendo de las estructuras de los concretos mercados, los índices de referencia y los administradores. Las intensas obligaciones impuestas por el Reglamento y, en particular, la comunicación a las autoridades competentes, sugieren que las personas responsables de la función de supervisión puedan ser también penalmente responsables de las violaciones producidas dentro de la empresa.
c. Funciones de control [artículo 5.b) PR]. El Reglamento presta especial atención a los deberes de control del administrador que, a pesar de estar ya incluidos entre las obligaciones generales, se destacan una vez más en el artículo 5.b). De acuerdo con este precepto, el administrador debe establecer un marco de control que incluya la gestión del riesgo operativo y contenga los procedimientos a seguir en el supuesto de interrupción de los índices de referencia. También se pone énfasis en el seguimiento y control de los contribuidores, incluso sobre su cumplimiento de los respectivos códigos, así como sobre los datos de cálculo.
d. Rendición de cuentas (artículo 5 quater PR) y mantenimiento de registros (artículo 5 quinquies PR). Las acciones para el establecimiento de un sistema de control se completan, finalmente, con medidas referidas a la documentación o el mantenimiento de registros y la rendición de cuentas (accountability), que deben reforzar el cumplimiento de las obligaciones a través de la emisión de informes y de la inspección, incluyendo auditorías y reclamaciones. El administrador establecerá una función independiente dentro de la empresa para este propósito, encargada de verificar el cumplimiento de los métodos y los requisitos del Reglamento, así como de la realización de informes. Lo cierto es que el Reglamento no aclara por qué es necesaria esta función adicional, además de la de supervisión prevista en el artículo 5 bis. En el caso de los índices de referencia fundamentales, el Reglamento exige la contratación de un auditor externo [párrafo 3 del artículo 5. c) PR] que desempeñe su labor, al menos, una vez al año. Los informes que resulten del ejercicio de esta función de supervisión y los propios de los auditores deben ser entregados a las autoridades supervisoras en caso de ser requeridos, así como también a los usuarios de los índices de referencia a su solicitud (artículo 5.4 PR). En relación con las quejas de los usuarios, el Reglamento solo exige en su Considerando 19 un proceso de reclamación independiente.
Los requisitos de información se completan con una amplia obligación de registro o documentación, establecida en el artículo 5 quater. La información deberá conservarse, generalmente, durante cinco años, aunque en el caso de las llamadas telefónicas y mensajes de correo electrónico, este plazo se reduce a tres años. La obligación de registro alcanza particularmente tanto a los datos proporcionados como al método y la finalidad del índice de referencia.
Según el Considerando 18 del Reglamento, estas obligaciones deben facilitar las reclamaciones y el ejercicio de acciones por los inversores y los consumidores. Sin embargo, el Reglamento en sí mismo no contiene remedios frente a los propios administradores o colaboradores, por lo que la protección del inversor puede lograrse aquí en un procedimiento civil a través de la presentación de la documentación ante la corte o tribunal.
e. Externalización (Outsourcing): artículo 6 PR. Aunque el administrador transfiera sus funciones a terceros –lo que debería ocurrir con frecuencia en la determinación y el cálculo de los índices, como demuestra el ejemplo del LIBOR–, sigue siendo destinatario de las obligaciones del Reglamento. El artículo 6 párrafos 1, 2 y el Considerando 20 prevén con claridad que una derivación a terceros (externalización u outsourcing) no elimina las funciones del administrador. Como ocurre en otros ámbitos tales como en Derecho bancario o en la protección de datos de carácter personal, en caso de outsourcing, el administrador debe garantizar (con carácter general, contractualmente) que el contratista pueda cumplir las obligaciones a través de una apropiada selección del proveedor y la supervisión del cumplimiento de sus obligaciones (artículo 6 apartado 3ª). En particular, a pesar del outsourcing, el administrador debe permanecer en condiciones de controlar los riesgos y las funciones externalizadas (artículo 6.3 PR). Del mismo modo, debe garantizarse que tanto el administrador como la autoridad de supervisión tengan acceso a datos e instalaciones comerciales del contratista.
2. Datos de cແlculo
Cada benchmark o índice de referencia es tan bueno como lo sean los datos de cálculo que sirven para su elaboración; la manipulación de los datos en el escándalo del LIBOR demostró la vulnerabilidad de tales índices. Por ello, el Reglamento pone especial énfasis en la integridad y validez de los datos de cálculo.
Como principio general, los datos deben ser fiables y representativos del mercado. A tal efecto, el administrador debe utilizar los datos de operaciones reales, menos susceptibles de manipulación,41 aunque esta regla admite excepciones. En ausencia de datos de transacciones reales, el administrador podrá emplear las cotizaciones comprometidas y estimaciones, siempre que sean verificables. En todo caso, los datos deben reflejar un mercado sujeto a fuerzas competitivas. De lo contrario, el administrador deberá modificar los datos, el método o los contribuidores o, finalmente, dejar de prestar el servicio.
El administrador también está obligado a verificar las distorsiones y manipulaciones de datos.42 En particular, el administrador debe comparar los datos con otros indicadores para determinar la integridad y la consistencia de los datos transferidos. En ese sentido, corresponde a la ESMA especificar los estándares técnicos para concretar tales obligaciones. En este ámbito, los administradores deberán utilizar «datos seguros», como en el caso de la conexión a Internet, recurriendo, por ejemplo, a altos niveles de cifrado en las conexiones