La seguridad informática en la nueva Ley de Seguridad Privada

La nueva Ley de seguridad privada, publicada hoy en el BOE, y que entrará en vigor dentro de dos meses, contiene dos definiciones de seguridad informática.

En el artículo 6.6 se define la seguridad informática como el conjunto de medidas encaminadas a proteger los sistemas de información a fin de garantizar la confidencialidad, disponibilidad e integridad de la misma o del servicio que aquéllos prestan.

En dicho artículo se establece que, a las empresas que se dediquen a las actividades de seguridad informática se les podrán imponer reglamentariamente requisitos específicos para garantizar la calidad de los servicios que presten. El legislador justifica esta regulación por la incidencia directa de estos servicios en la seguridad de las entidades públicas y privadas.

Las empresas que realicen actividades de seguridad informática deberán anotar sus datos en el Registro Nacional de Seguridad Privada y en los registros autonómicos, de acuerdo con lo que reglamentariamente se determine.

Por otro lado, el artículo 52.c establece que las medidas de seguridad informática tienen por objeto la protección y salvaguarda de la integridad, confidencialidad y disponibilidad de los sistemas de información y comunicación, y de la información en ellos contenida.

Dado que entre las dos definiciones se aprecian ciertas discrepancias, ya que la primera extiende la protección a los servicios, y la segunda no, mientras la segunda extiende la protección a los sistemas de comunicación y la primera no, entendemos que la definición legal de la seguridad informática debe ser la suma de las dos, y que, por lo tanto, quedará configurada de la siguiente manera:

  1. Conjunto de medidas
  2. Encaminadas a proteger y salvaguardar los sistemas de información y comunicación
  3. A fin de garantizar la confidencialidad, integridad y disponibilidad
  4. De la información en ellos contenida
  5. O del servicio que dichos sistemas prestan

Es importante reseñar que el artículo 57 establece como infracción muy grave, con sanciones de hasta 600.000 euros, la falta de comunicación por parte de las empresas de seguridad informática de las incidencias relativas al sistema de cuya protección sean responsables cuando sea preceptivo.

Los sistemas de seguridad y los elementos de seguridad física, electrónica e informática que se instalen a partir del 5 de junio de 2014 deberán cumplir todas las exigencias y requisitos establecidos en la Ley de seguridad privada y en su normativa de desarrollo.

Queda por lo tanto pendiente el desarrollo reglamentario, que deberá tener lugar antes de la fecha de entrada en vigor de la ley, para posibilitar el cumplimiento de los requisitos que serán obligatorios a partir de dicha fecha.

 

Acuerdo con Javier Puyol

Esta semana hemos formalizado un acuerdo de colaboración con Javier Puyol Montero, abogado con despacho en Madrid, para la prestación de servicios jurídicos en las áreas de nuestra especialidad.

Javier ha sido durante 16 años el Director de la Asesoría Jurídica Contenciosa del BBVA, circunstancia que le confiere una gran experiencia en áreas como la protección de datos, los contratos de cloud computing, BYOD, big data, marketing online y otras materias relacionadas con el Derecho de las TIC.

Javier es Magistrado en excedencia y ha sido Letrado en el Tribunal Constitucional, por lo que también atesora una gran experiencia procesal que será de gran utilidad para reclamaciones en las jurisdicciones civil, penal y contencioso-administrativa.

Con este acuerdo se abre la posibilidad de ampliar el ámbito geográfico de nuestros servicios y de reforzar las áreas de práctica existentes.

Modificación de la Ley General para la Defensa de los Consumidores y Usuarios

El BOE de hoy publica la modificación del texto refundido de la LGDCU, que incluye las siguientes cambios más relevantes:

SERVICIOS DE ATENCIÓN AL CLIENTE

  • Los servicios de atención al cliente deberán entregar una clave identificativa y un justificante por escrito, en papel o en cualquier otro soporte duradero, para que el usuario tenga constancia de sus quejas y reclamaciones.
  • El uso de una línea telefónica de atención al consumidor no podrá suponer para éste un coste superior a la tarifa básica.
  • El plazo máximo de resolución de las reclamaciones recibidas será de un mes.

INFORMACIÓN PRECONTRACTUAL Y CONTRATOS

  • Se detalla y amplía la información que el consumidor o usuario deberá recibir con carácter previo a la formalización del contrato.
  • La información deberá extenderse por ejemplo, a la garantía legal y a las garantías comerciales, los compromisos de permanencia, las penalizaciones, la funcionalidad e interoperabilidad de los contenidos digitales y el procedimiento para atender las reclamaciones.
  • El botón o la función similar de enviar un pedido con obligación de pago deberá etiquetarse de manera que sea fácilmente legible, con la expresión «pedido con obligación de pago» o una formulación análoga. En caso contrario, el consumidor y usuario no quedará obligado por el contrato o pedido.
  • La letra de los contratos deberá tener un tamaño mínimo de un milímetro y medio y el contraste con el fondo no debe dificultar la lectura.
  • La empresa deberá adoptar las medidas adecuadas y eficaces que le permitan identificar inequívocamente al consumidor y usuario con el que celebra el contrato.

PAGOS ADICIONALES

  • Antes de que el consumidor y usuario quede vinculado por cualquier contrato u oferta, el empresario deberá obtener su consentimiento expreso para todo pago adicional a la remuneración acordada para la obligación contractual principal del empresario.

CARGOS POR LA UTILIZACIÓN DE MEDIOS DE PAGO

  • Los empresarios no podrán facturar a los consumidores y usuarios, por el uso de determinados medios de pago, cargos que superen el coste soportado por el empresario por el uso de tales medios.
  • Corresponde al empresario probar el cumplimiento de esta obligación.

FACTURACIÓN ELECTRÓNICA

  • Los consumidores y usuarios tendrán derecho a recibir la factura en papel.
  • La expedición de la factura electrónica estará condicionada a que el empresario haya obtenido previamente el consentimiento expreso del consumidor.

ENTREGA DE LOS BIENES

  • El plazo máximo de entrega será de 30 días naturales, salvo que las partes acuerden otra cosa.

DERECHO DE DESISTIMIENTO

  • El plazo de desistimiento pasa a ser de 14 días naturales, salvo que concurran excepciones.
  • Se detalla el régimen aplicable al desistimiento.
  • Si la empresa no hubiera cumplido con el deber de información y documentación sobre el derecho de desistimiento, el plazo para su ejercicio finalizará doce meses después de la fecha de expiración del periodo de desistimiento inicial 

  • Extensión a los contratos celebrados a través de Internet de la resolución automática de los créditos asociados al contrato tras ejercitar el desistimiento.

COMUNICACIONES COMERCIALES

  • Se detallan los requisitos que deberán cumplir las comunicaciones comerciales a distancia.

EJECUCIÓN DEL CONTRATO A DISTANCIA

  • Se regulan los supuestos de falta de ejecución del contrato, la sustitución de un bien o servicio y el pago mediante tarjeta.

CONSECUENCIAS DEL INCUMPLIMIENTO

  • El contrato celebrado sin que se haya facilitado al consumidor y usuario la copia del contrato celebrado o la confirmación del mismo podrá ser anulado a instancia del consumidor y usuario por vía de acción o excepción.
  • El empresario asumirá la carga de la prueba del cumplimiento de sus obligaciones de entrega de una copia del contrato celebrado o de la confirmación del mismo.
  • El incumplimiento de las normas que regulan el comercio electrónico y los servicios financieros a distancia, entre otros, será considerado práctica desleal por engañosa.

El plazo de adaptación de los contratos, las condiciones generales de contratación y los sitios web a este nuevo mapa de obligaciones finaliza el 13 de junio de 2014.

 

Corrupción internacional y empresas españolas: cambio legislativo

La polémica Ley Orgánica relativa a la justicia universal ha introducido la corrupción privada y pública en transacciones económicas internacionales en la lista de los delitos que, cometidos fuera del territorio nacional, son susceptibles de ser perseguidos por la jurisdicción española.

La incorporación al ordenamiento jurídico español de estos delitos se produjo en la reforma del Código Penal de 2010, pero quedaba pendiente la definición de los aspectos de jurisdicción. Esta norma se anticipa por lo tanto a la reforma del Código Penal que está discutiéndose en el Congreso de los Diputados, en la que estaba previsto incorporar estas previsiones a través del nuevo artículo 286 quinquies del proyecto.

Desde la entrada en vigor de esta ley el sábado pasado, la jurisdicción española será competente para conocer de los delitos de corrupción entre particulares o en las transacciones económicas internacionales, cuando el delito hubiera sido cometido por una persona jurídica, empresa, organización, grupos o cualquier otra clase de entidades o agrupaciones de personas que tengan su sede social o domicilio social en España.

También será competente la jurisdicción española cuando el delito hubiera sido cometido por el directivo, administrador empleado o colaborador de un a empresa mercantil, o de una sociedad, asociación, fundación u organización que tenga su sede o domicilio social en España.

Aunque la redacción no es muy acertada, y entra en una aparente contradicción con la exposición de motivos, se entiende que los delitos a los que hace referencia este cambio legislativo son, en el campo de la corrupción, los siguientes:

  1. La corrupción entre particulares, también llamada corrupción privada, que consiste en la promesa, ofrecimiento o concesión a directivos, administradores, empleados o colaboradores de una empresa mercantil o de una sociedad, asociación, fundación u organización, de un beneficio o ventaja de cualquier naturaleza no justificados para que le favorezca a él o a un tercero frente a otros, incumpliendo sus obligaciones.
  2. La corrupción en las transacciones económicas internacionales, que se refiere a los ilícitos previstos en el Convenio de la OCDE de lucha contra la corrupción de agentes públicos extranjeros en las transacciones comerciales internacionales, tal como indica la exposición de motivos.

Las empresas españolas deberán extremar los controles para evitar estas dos modalidades de corrupción, que pueden ser perseguidas en España a pesar de que el delito haya sido cometido en el extranjero.

Decisiones basadas en información financiera incompleta

A través de la newsletter de Norberto Gallego he tenido conocimiento de un interesante artículo publicado en The Register en el que se menciona la respuesta dada por Salesforce.com al requerimiento de información hecho por la SEC norteamericana en relación a las cuentas anuales presentadas recientemente, en las que declaran unas pérdidas de 232 millones de dólares.

La empresa ha reconocido que no dispone de sistemas financieros ni de controles establecidos que les permitan cuantificar con exactitud qué porcentaje de los ingresos totales de la empresa, en un periodo fiscal determinado, provienen de las suscripciones a los servicios cloud o a cualquier otra oferta de servicios básicos.

Este tipo de carencias de control puede hacer que la información que suministra el negocio a los miembros del Consejo sea incompleta y que las decisiones adoptadas tengan un nivel de riesgo superior al permitido, o al menos, no sigan el protocolo establecido en el programa de corporate defense para la toma de decisiones de negocio.

En el proyecto de reforma del Código Penal, actualmente en el Congreso de los Diputados, se establecen, entre otros, dos requisitos que deben cumplir los modelos de organización y gestión:

  1. Deben establecer protocolos o procedimientos que concreten el proceso de formación de la voluntad de la empresa, de adopción de decisiones y de ejecución de las mismas.
  2. Deben disponer de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.

En ambos requisitos subyace la necesidad de incorporar una capa de información y de conocimiento, y una capa de control, en el proceso de toma de decisiones.

Norberto Gallego aporta datos específicos del cloud computing y especialmente del SaaS, que añaden una especial característica a la contabilización de las suscripciones a este tipo de servicios. Si se contabilizan como un ingreso diferido, a causa de la vigencia plurianual de la licencia del software, el dinero ya cobrado puede aparecer en los libros como pasivo. Y ello genera una fuente potencial de ingeniería financiera.

La falta de un control analítico adecuado de las finanzas de una empresa impide que los directivos dispongan de la información necesaria para completar adecuadamente el protocolo exigido para la toma de decisiones, pero también abre la opción de la llamada contabilidad creativa, con los consiguientes riesgos de delito.

De ahí el interés del legislador y del regulador de exigir este tipo de controles.

Indice de madurez de la empresa española en materia de corporate defense

Nuestro despacho inicia hoy un estudio cuya finalidad es determinar el nivel de madurez de la empresa española en materia de corporate defense. Una vez finalizado el estudio se publicará el índice de madurez, general y por sectores, que será actualizado cada año.

El estudio va enfocado a conocer la capacidad de la empresa para demostrar que realmente dispone de un modelo eficaz de prevención y control de delitos, más allá del habitual esfuerzo cosmético del llamado “makeup compliance”.

Para participar en el estudio sólo hay que descargar y cumplimentar este cuestionario:

Cuestionario Estudio IM2014

INSTRUCCIONES

1. Para cumplimentar este cuestionario sólo hay que introducir 1, 2 ó 3 en las casillas correpondiente de la columna G (señalada en amarillo)

2. Una vez cumplimentado el cuestionario rogamos que lo envíen a la dirección indicada en el cuestionario. Sólo se aceptarán los cuestionarios enviados desde direcciones de correo electrónico cuyo nombre de dominio contenga el nombre de la empresa que haya contestado el cuestionario.

3. La finalidad y los resultados del estudio son meramente estadísticos y se publicarán sin mencionar el nombre de las empresas participantes en el mismo.

4. El índice de madurez en relación a cada delito será adaptado utilizando la variable sector como factor de corrección.

Agradecemos de antemano la participación en el estudio.

¿Por qué los sistemas de corporate defense norteamericanos no funcionan en España?

Los modelos de prevención de la responsabilidad penal norteamericanos, y los anglosajones en general, están basados en auditorías, investigaciones, documentos e informes realizados internamente por la empresa o por auditores externos.

En caso de querella, las pruebas que se utilizarán en la defensa de la empresa y de sus directivos han sido creadas bajo su control y han permanecido en un estado que permite su modificación, lo cual podría afectar su fiabilidad o credibilidad y, por ello, su fuerza probatoria.

Sin embargo, los modelos de prevención y control, y las normas que inspiran el compliance en EEUU, se basan en ellas porque normalmente se presume que no han sido modificadas.

Podríamos decir que los sistemas jurídicos anglosajones están basados en la confianza en la persona y en que dice la verdad. La mentira constituye por lo tanto una circunstancia agravante o cualificadora del dolo. Por eso al viajar a EEUU tenemos que responder a preguntas como “¿Planea usted asesinar al Presidente?”, que serían impensables en la Europa continental.

Nuestro Derecho, en cambio, está basado en la desconfianza, en que las personas mentimos y ello se traduce en una mayor carga probatoria y burocrática en nuestras relaciones con las administraciones públicas, ante las que tenemos que demostrar constantemente que decimos la verdad. Por eso no podemos constituir una sociedad plenamente operativa en unas horas.

En mi primer empleo en un despacho de abogados me ofrecí, para ganar puntos, a pasar las actas de los clientes a los libros de actas, que estaban todos vacíos. Mi jefe me explicó que estaban vacíos a propósito ya que el cliente podía tener que inventarse un acuerdo o una Junta y si las actas ya estaban pasadas a los libros esa manipulación del pasado a favor de los intereses del cliente no sería posible. Incluso se comentaba entonces que los notarios guardaban habitualmente números de protocolo sin utilizar para clientes especiales. Como los hoteles hacen con algunas habitaciones.

Esta ligereza moral contrastaba con la rectitud, casi autista a los ojos de esa época, de los clientes norteamericanos del despacho, que nunca aceptaron firmar actas o contratos predatados. Estamos hablando de los años ochenta, pero también de dos culturas distintas, cuyas diferencias se van difuminando, pero todavía persisten en la actualidad.

No me extraña por lo tanto la desconfianza de nuestro legislador. Somos mediterráneos. Tanto nosotros como él.

También será mediterráneo el abogado que interpondrá la querella que obligará a la empresa y a sus directivos a defenderse de una posible responsabilidad penal. Como experto depredador de pruebas, este abogado pondrá en duda la credibilidad y la fecha de las pruebas utilizadas por la defensa porque muy probablemente él mismo habrá preparado en otros casos la defensa de sus clientes sobre los débiles cimientos de unas pruebas creadas tras la notificación de la querella.

Perdón por la crudeza, pero lamentablemente estamos en un país en el que no hay cultura de preconstitución de prueba y nos enfrentamos a los procesos judiciales como el mal estudiante, que sólo estudia los días anteriores al examen.

La metodología anglosajona de compliance es buena como base, pero hay que adaptarla a nuestra cultura y a las características de la estrategia procesal penal de nuestro probable adversario. Dado que en sede penal se produce un nivel de impugnación de la prueba superior al de otras jurisdicciones, tenemos que blindar la prueba, cronológicamente y en cuanto a su contenido.

Nuestros modelos de corporate defense tienen que estar orientados irremediablemente a la querella. Tenemos que aplicar un esquema de “litigation readiness” pero defensivo, y basado en la certeza de que nuestras pruebas van a ser impugnadas, o al menos, puestas en duda.

Por ello, un proyecto de corporate defense no estará acabado hasta que se hayan creado las evidencias del cumplimiento y de la eficacia de los controles, y hasta que cada una de esas pruebas tenga una garantía de integridad y una fecha indubitada.

Facebook for Business

Artículo de Marc Rius

La reciente adquisición de Whatsapp por parte de Facebook ha sido probablemente la noticia más importante del sector en lo que va de año por las implicaciones que puede conllevar en el ámbito del comercio electrónico, y está por ver si en los meses que quedan otra la iguala, por lo menos en lo que a trascendencia económica se refiere.

Sin embargo, en este artículo no entraré a valorar el impacto que esta operación pueda tener en materia de privacidad y protección de datos, porque desconocemos los términos exactos que esconde el acuerdo.

Un efecto colateral de esta noticia ha sido restar cuota de atención a una novedad importante en los servicios de Facebook que afecta a todos los anunciantes y, por ende, a todos los usuarios de esta red social. Hablamos de “Facebook for Business“, la nueva herramienta de centralización de contenidos, anuncios y promociones que Facebook ha puesto a disposición de pequeñas empresas y grandes marcas o agencias, desde el pasado 6 de diciembre de 2013 y que ya había lanzado previamente en Estados Unidos.

¿Y por qué esto es noticia precisamente ahora? Porque esta semana entró en vigor el primer cambio significativo que modifica radicalmente la forma en la que toda empresa que tenga una página en Facebook, puede comunicarse de forma efectiva con los usuarios -entendido como conseguir que sus publicaciones aparezcan en el news feed de sus seguidores-.

De esta forma, Facebook da una nueva vuelta de tuerca a la monetización del servicio publicitario a través de su red social, y es que según algunos expertos en marketing digital, con los últimos cambios el alcance orgánico será prácticamente residual. Básicamente se concluye que si las empresas quieren visibilidad, deberán pasar por caja.

Así pues, Facebook organiza ahora ya las campañas publicitarias en tres niveles, (i) campañas, (ii) ad set y (iii) ads. Hasta ahora, los anunciantes podían crear una campaña y vincular a ella distintos anuncios, pero ahora ya se pueden preparar los llamados ad set, que no son más que un punto intermedio dentro de una campaña para poder hacer distintas segmentaciones, cada una de ellas con sus anuncios propios.

Adicionalmente, se añaden nuevas opciones de segmentación, que permitirán centrar la audiencia según (i) ubicación, (ii) demografía, (iii) intereses, y (iv) comportamiento. De esta forma, se amplía la anterior segmentación por intereses (derivada de los “me gusta” y las páginas de empresa/producto/personaje), y se podrá dirigir la publicidad a los usuarios según el lugar desde el que se conecten, por características demográficas como cambios en el estado civil o educativo/laboral, y por el uso que el propio usuario esté dando a la red social.

En definitiva, hay algo que puede ser bueno, y es que buscan personalizar y orientar al máximo la publicidad que reciben los usuarios, pero que a su vez vuelve a poner de manifiesto la gran cantidad de datos que Facebook posee sobre todos sus usuarios y que seguro es muchísima más de la que podamos siquiera llegar a imaginar.

Y dándole la vuelta al artículo y volviendo a la compra de Whatsapp, cabe decir que es por lo menos curiosa esta ampliación en los parámetros de segmentación, en el momento en que se anuncia la compra de la aplicación líder en mensajería instantánea. Dicen desde Whatsapp y Facebook que nada cambiará, pero sinceramente, pagar 16.000 millones de dólares por una aplicación principalmente gratuita (no recuerdo la última vez que pagué por ella), ,no parece un simple capricho o un ambicioso plan de liderar el sector, sino que más bien parece responder a una necesidad imperiosa de mantener y ampliar el negocio ante los rumores del derrumbamiento del gigante americano.

Whatsapp es una fuente inagotable de valiosísima información. Sus usuarios más activos se conectan numerosas veces por hora, y seguro que son muchas más de las veces que abren Facebook a lo largo del día, por lo que de primeras, podrán realizar un tracking mucho más preciso de los lugares y momentos de conexión de cada usuario. Si por cualquier método terminan por vincular usuarios de Whatsapp con usuarios de Facebook (hay gente que comparte su teléfono móvil en la red social, pero aún así es muy probable que Facebook ya lo sepa por otras vías), está claro que podrán generar perfiles todavía más completos, aunque traten de convencernos con insistencia de que no pueden ni podrán acceder al contenido de las conversaciones. Ahora bien, esta postura nos resulta poco creíble y especialmente si recordamos las palabras premonitorias de Mark Zuckerberg cuando en su día afirmó que la privacidad había muerto.

En definitiva, el negocio de Facebook son los datos y su posterior explotación. Por tanto cuantos más se conozcan, mejor para el negocio. Bienvenidos definitivamente a la era del Big Data.

Cookies y WordPress

Ya que en la reciente sanción de la AEPD por informar de manera insuficiente sobre el uso de cookies de terceros en un sitio web se mencionaba un blog en WordPress, publico una breve nota para explicar mi opinión al respecto.

WordPress puede ser utilizado de dos maneras:

  1. Creando un blog en la plataforma online que WordPress (Automattic Inc.) ofrece.
  2. Utilizando la aplicación de WordPress para diseñar el blog y después alojarlo en un servidor propio o en régimen de hosting.

En el primer caso, el usuario de WordPress no tiene control sobre las cookies, salvo que la plataforma disponga de una posibilidad de configuración que yo no he sabido encontrar.

El único control que el usuario/autor del blog tiene es sobre los servicios que contrata.

Por lo tanto, el usuario/autor del blog tiene que valorar los beneficios que obtiene y las cargas que tiene que afrontar en la contratación de cada unos de los servicios que la plataforma ofrece.

Por ejemplo, si contrata servicios de publicidad, o estadísticas “full equip” de Google Analytics, el usuario/autor del blog deberá conocer las cookies que se instalan, los datos que obtienen y los destinatarios de los mismos con el fin de informar sobre ellas y obtener el consentimiento de los visitantes del blog.

Si el usuario/autor del blog no contrata servicio alguno y se limita a publicar sus posts, en mi opinión, sólo tiene que informar de que Automattic Inc. utiliza cookies para prestar servicios estadísticos, analíticos y publicitarios que el autor del blog no tiene contratados. El consentimiento, en este caso, va dirigido a Automattic Inc, ya que el usuario/autor del blog no es responsable del fichero ni del tratamiento. Ello significa que en la segunda capa de información debe remitir a la política de privacidad y cookies de Automattic Inc.

En este caso, entiendo que las cookies se instalan igualmente, por defecto, pero no recogen datos, ya que no se ha contratado ningún servicio que los requiera. Y si los recogen, Automattic Inc no los entrega al usuario/autor del blog ya que no ha contratado el servicio.

Repito el concepto usuario/autor del blog para reiterar la idea de que el autor del blog es un mero usuario de la plataforma de WordPress.

Existen otras situaciones que guardan cierta similitud:

  1. Por ejemplo, en el caso de una empresa que alquila un despacho en un edificio de oficinas que tiene control de accesos. Si la empresa no accede en ningún momento al registro de visitantes, en mi opinión no es responsable del fichero ni del tratamiento.
  2. Otro caso similar es el de las ferias y los congresos. Si una empresa alquila un espacio para instalar su stand y no accede en ningún momento al registro de visitantes, en mi opinión no es responsable del fichero ni del tratamiento.
  3. En las grandes superficies puede haber un servicio médico que atiende a los visitantes accidentados o enfermos. Es evidente que las personas que tienen una tienda en esa gran superficie no son responsables del fichero ni del tratamiento realizado por el servicio médico.

En el segundo caso, es decir, cuando el autor del blog utiliza la aplicación de WordPress y aloja el blog en un servidor distinto a la plataforma de WordPress, las cookies sí están bajo su control y se beneficia de los datos que recogen, salvo que el propietario del servidor utilice sus propias cookies para otras finalidades ajenas a los servicios prestados a su cliente.

En este caso, existen extensiones o plugins como Cookie Control, que permiten configurar el texto de la primera capa de información.

Compliance officer o cómplice officer (Segunda parte)

Una vez comentado el marco que va a regular la figura del Compliance Officer en la primera entrega de este artículo, toca ahora entrar en la incómoda tarea de analizar los supuestos en los que la persona que asume esta función omite, deliberadamente o no, su deber jurídico de control. Excluyo por lo tanto, en este caso, los supuestos en los que la función asignada es de asesoramiento, coordinación o acompañamiento a las áreas del negocio en las que recae la decisión final y la verdadera obligación de control.

Este deber específico de vigilancia y control puede haber sido asignado al Compliance Officer de varias maneras:

  1. Por ley, al estar asociada la función de control con un mandato legal específico.
  2. Por contrato
  3. A través de la descripción de las funciones del puesto de trabajo
  4. Por asignación directa

Esta asignación actúa como una delegación del deber de control que corresponde al Consejo de Administración y genera una obligación, un deber jurídico de vigilancia y control, cuya omisión puede llegar a constituir un delito.

Esta posible responsabilidad penal es la causa de que las grandes empresas encuentren dificultades para asignar la función de Compliance Officer a una sola persona y se tienda más a la figura de un órgano colegiado. Una vez asumido el cargo, es evidente que la persona (o personas) que tenga esta responsabilidad y sea consciente de ella, estará altamente motivada para que no se produzcan delitos en la empresa y ocupada en dejar un rastro de su actividad de control, generando pruebas que acrediten que en ningún momento se ha producido una omisión del deber de control.

Ello puede generar un conflicto de interés cuando el área de negocio o la propia dirección de la compañía planteen decisiones que puedan ser constitutivas de delito. En estos casos, el responsable de la función de control tiene pocas opciones:

  1. Acatar la decisión y dejar una prueba de su desacuerdo con ella y de sus advertencias sobre el riesgo legal que implica seguir adelante.
  2. Dimitir.
  3. No hacer nada.
  4. Apoyar la decisión.

Mientras las dos primeras opciones pueden llevar aparejada la salida de la empresa, la tercera puede suponer una omisión punible y la cuarta una posición de complicidad, que justificaría el título de este artículo.

No es nada fácil enfrentarse a este dilema, especialmente en el caso de que la persona que tiene asignada la función de control esté ya en una edad en la que no se contempla otra salida de la empresa que la jubilación.

Desconozco los detalles y el alcance de una supuesta imputación de auditores internos en los procedimientos abiertos en relación a los casos Bankia y Pescanova, ya que los datos aparecidos en los medios de comunicación son escasos. Imagino que se trata de supuestos en los que este dilema pudo haberse planteado y probablemente, la instrucción judicial arrojará mucha información sobre los niveles de la pirámide de control en los que hay que dejar muy clara la sincronización de la cultura de control escrita y la real.

En el caso Olympus Japón, cuando este dilema se le planteó a Michael Woodford, el directivo pidió al Consejo que asumiera su responsabilidad en varias ocasiones y, tras ser despedido denunció los hechos públicamente.

El conflicto de intereses se materializa claramente en el momento de crear pruebas de la diligencia del responsable del control. En los casos de discrepancia sobre la legalidad o el nivel de riesgo de la actividad sujeta a control, todas las pruebas que el responsable del control genere a su favor pueden inculpar a la empresa si ésta no hace nada.

Imaginemos el caso de un Compliance Officer que en un control rutinario detecta una discrepancia entre el número de programas instalados y el número de licencias contratadas. Acto seguido lo pone en conocimiento del CIO a través de un correo electrónico interno y éste le contesta que ha pedido más presupuesto para regularizar la situación y no se lo han concedido. El CIO envía entonces un recordatorio a la Dirección General y recibe como respuesta que, en estos momentos, no hay presupuesto para esa inversión. En ambos casos el responsable del control está dejando evidencias de que no ha omitido su deber de vigilancia y control y que ha alertado sobre la existencia de un riesgo, pero al mismo tiempo ha generado una prueba inculpatoria para otros directivos o para la propia empresa.

Un ejemplo real de esta posibilidad es el mensaje de correo electrónico que, según las noticias publicadas, un maquinista jefe de Renfe envió a un superior alertando de la peligrosidad de la curva de Angrois antes de producirse el accidente.

Un Compliance Officer diligente y preocupado por su responsabilidad irá acumulando evidencias de su esfuerzo de control en un “defense file” que muy probablemente entrará en colisión con el de la empresa y el del Consejo.

El riesgo de acumulación de más pruebas inculpatorias que exculpatorias en el correo electrónico está haciendo que los plazos de conservación del mismo sean cada vez menores en los sectores hiperregulados. En otros, en cambio, se llega a contratar a proveedores que custodian todo el correo electrónico durante años y facilitan el acceso remoto para posibles consultas.

Para evitar las situaciones de riesgo y de conflicto de interés comentadas, existen varias soluciones:

  1. Protocolo de gestión de advertencias de riesgo
  2. Defense file o repositorio de evidencias de cumplimiento común y acordado con los interesados
  3. Política de conservación de documentos
  4. Protocolo de gestión de conflictos de interés

Estas soluciones son fáciles de explicar en el plano teórico, pero difíciles de aplicar en la práctica sin una buena dosis de autodisciplina y sin la ayuda de un experto externo que aporte independencia al proceso y actúe como impulsor del proyecto, evitando que las prioridades del negocio eclipsen la actividad de control. Que es lo habitual.