Razones por las que todavía no se ha condenado a ninguna empresa por corrupción

Cuatro años después de la implantación de la responsabilidad penal de las personas jurídicas en el Derecho español, los tribunales todavía no se han pronunciado sobre esta materia.

Almudena Vigil analiza las causas de esta situación en un artículo de Expansión en el que resume las opiniones de José Manuel Maza, magistrado de la Sala de lo Penal del Tribunal Supremo y las mías propias.

 

El proyecto Castor y los protocolos de toma de decisiones

Este artículo se basa en la información publicada en los medios de comunicación sobre el proyecto Castor y ha sido escrito con la única finalidad de realizar un análisis teórico de los protocolos de toma de decisiones y los modelos de prevención y control en las empresas. El autor no tiene la intención de valorar la actividad preventiva desarrollada por las empresas y organismos públicos participantes en el proyecto.

En el artículo Ébola y compliance me referí de manera esquemática a los protocolos de toma de decisiones como uno de los elementos clave de un modelo de prevención y control de riesgos legales en el seno de una empresa. Si en ese artículo utilicé la gestión de la crisis del Ébola en España como análisis teórico basado en el estudio del caso, en este artículo voy a utilizar el proyecto Castor como referencia en el análisis de un proceso de toma de decisiones orientado a la prevención de riesgos.

Protocolo de toma de decisiones

En el proyecto de reforma del Código Penal se establece que los modelos de organización y gestión de las empresas deberán establecer los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas.

En mi opinión, el esquema básico de un proceso de toma de decisiones críticas o de alto riesgo, que debería formar parte del reglamento del Consejo de Administración y del modelo de prevención y control de una empresa, es el siguiente:

– Solicitud de informes internos y externos
– Asesoramiento técnico especializado en los riesgos a prevenir
– Asesoramiento jurídico especializado en los riesgos a prevenir
– Evaluación objetiva de los riesgos: laboral, fiscal, medioambiental, penal, etc.
– Análisis de advertencias y mensajes de alerta recibidos
– Análisis de escenarios posibles
– Análisis de alternativas
– Análisis de costes y nivel de endeudamiento
– Balance de prioridades entre intereses individuales y colectivos
– Mayoría reforzada en el proceso de votación

Informes obligatorios

Además de los informes que la empresa decida solicitar voluntariamente en la fase inicial del proceso de toma de decisiones, la solicitud de estos informes puede ser en muchos casos un requisito establecido por la ley.

Entre los numerosos ejemplos de esta obligación legal tienen especial trascendencia para los proyectos de compliance los tres siguientes:

1. Los informes previos exigidos en la Ley de Evaluación Ambiental

2. El informe de experto previsto en la normativa de prevención del blanqueo de capitales.

3. Los informes exigidos en la Ley de Sociedades de Capital, entre los que destacan los siguientes:

– Informe técnico sobre la viabilidad de la sociedad proyectada
– Informe técnico sobre la valoración de las aportaciones no dinerarias
– Informe que justifique las adquisiciones onerosas durante los dos primeros años
– Informe de valoración de acciones y participaciones
– Informe de gestión
– Informe de auditoría
– Informes relativos a los puntos del orden del día de una junta general
– Informe de justificación de la modificación de los estatutos sociales
– Informe previo al aumento de capital con cargo a aportaciones no dinerarias
– Informe previo al aumento de capital por compensación de créditos
– Informe de valoración previo a la separación y exclusión de socios
– Informes previos a la liquidación de la sociedad
– Informe previo a la conversión de obligaciones convertibles en acciones
– Informe previo a la supresión del derecho de suscripción preferente
– Informes solicitados por el sindicato de obligacionistas
– Informe previo a la constitución por fusión de una sociedad anónima europea
– Informe previo a la constitución por transformación en sociedad anónima europea
– Informe previo a la representación de las acciones de sociedades cotizadas
– Informe previo a la aprobación del reglamento del Consejo en las sociedades cotizadas
– Informe de buen gobierno corporativo en las sociedades cotizadas

He querido ser especialmente exhaustivo en la relación de estos informes para demostrar las numerosas obligaciones que la Ley de Sociedades de Capital exige a las sociedades en relación a los informes que tienen que recabar antes de realizar acciones que pueden afectar a la empresa, a sus accionistas y los restantes grupos de interés.

El proyecto Castor

De acuerdo con la información publicada en los medios de comunicación, las elementos que objetivamente debían ser prioritariamente valorados antes de iniciar el proyecto Castor, por afectar al medio ambiente y a la seguridad colectiva, eran los siguientes:

– El gas se iba a almacenar en una cavidad del subsuelo marino de la costa de Vinaroz
– La cavidad estaba cerca de la falla de Amposta
– En esta zona el subsuelo está formado por roca caliza porosa
– La cavidad se había formado con la extracción de petróleo entre 1973 y 1989
– El vacío dejado por el petróleo originó una probable contracción de la roca porosa
– Al inyectarse gas a 250 atmósferas la roca porosa podía expandirse y provocar fracturas
– La expansión de la roca porosa podía afectar a la falla de Amposta
– Como resultado del desplazamiento de la falla se podían producir temblores
– Tras el procedimiento correspondiente se publicó la declaración de impacto ambiental
 En ella se mencionaba la recepción de 141 escritos de los afectados de la zona
– En estos escritos se alegaban, entre otros riesgos, el de terremotos (Página 94816)
– En el estudio de impacto ambiental no hay ningún apartado relativo al riesgo sísmico
– En la declaración de impacto ambiental tampoco

Análisis de advertencias de riesgo

He incluido en el protocolo de toma de decisiones un apartado relativo al análisis de las advertencias de riesgo recibidas por el Consejo durante el periodo previo al proceso de formación de la voluntad societaria.

Es de vital importancia tener en cuenta estas advertencias de riesgo, ya que, si se produce un siniestro, la prueba de que la empresa ni siquiera las ha analizado puede ser decisiva en el momento de evaluar actuación y su eventual responsabilidad por parte de los tribunales, los peritos y las compañías de seguros.

También es importante valorar la existencia de evidencias que acrediten la recepción de la advertencia por parte del Consejo. Una advertencia publicada en el BOE, como en el caso  de la declaración de impacto ambiental, es una evidencia clara del conocimiento del riesgo.

La empresa debe esforzarse en estos casos en analizar a fondo la advertencia y determinar, a través de los correspondientes expertos en la materia, el nivel de probabilidad de que el riesgo se materialice y su posible impacto.

El objetivo final será determinar dónde se encuentra el umbral que diferenciará una decisión prudente de una decisión arriesgada.

Una vez finalizado el proceso de información y análisis de riesgos, el Consejo procederá a la votación de la decisión, que deberá contar con una mayoría reforzada proporcional al nivel del riesgo asumido. Y teniendo siempre en cuenta que en materia de riesgos penales no es posible hablar de apetito de riesgo.

La responsabilidad del Compliance Officer como estrategia de defensa de la empresa

En relación a la reciente advertencia del jurista alemán y catedrático de derecho penal, Cornelius Prittwitz, sobre el riesgo de que las empresas desplacen su responsabilidad legal hacia la figura del Compliance Officer, mi opinión es que habrá que tener en cuenta las circunstancias de cada caso en el momento de realizar la atribución de responsabilidades. Entre los principales elementos a valorar destacan a mi juicio los siguientes:

– La doctrina jurisprudencial que establece que “los contratos son los que son y no lo que las partes dicen que son”. Análogamente, por mucho que una empresa quiera desplazar su responsabilidad al compliance officer, será el juez el que valorará las circunstancias de cada caso y la cuota de responsabilidad de cada una de las personas que forman la estructura de control de la empresa, incluyendo a la propia empresa.

– La Circular 1/2011 de la Fiscalía General del Estado en la que se venía a advertir a los fiscales españoles que no se dejasen deslumbrar por el despliegue de medidas de control meramente teóricas y sin acreditación de su efectividad, aportadas por las empresas imputadas como prueba del debido control. El ya famoso compliance cosmético o make-up compliance.

– La cultura real de cumplimiento o incumplimiento de la empresa, que es la que finalmente debe ser tenida en cuenta, como sucedió en el caso SAC, en el que la empresa se defendió de la acusación de tener una cultura orientada al uso de información privilegiada alegando que tenía 38 compliance officers.

La concurrencia de factores como la tolerancia dolosa, que pueden provocar la derogación del control y por ello, la ineficacia de un modelo de prevención y control.

– El criterio de la proximidad del riesgo, aplicado por ejemplo en el caso de los accidentes laborales, mediante el que se valora la capacidad del responsable del control de evitar el riesgo en función de la distancia funcional o geográfica que le separa del riesgo. Este criterio hace que la responsabilidad derivada de un accidente laboral en una fábrica se depure en ese centro de trabajo y no afecte al Consejo, salvo que haya un incumplimiento generalizado de la normativa de prevención de riesgos laborales. El Compliance Officer estaría en una situación de garante genérico parecida a la del Consejo, mientras que el Delegado de PRL en la fábrica sería un garante específico y mucho más cercano al riesgo.

– Los recursos asignados por la empresa al Compliance Officer. De manera parecida a la responsabilidad del Delegado de Prevención de Riesgos Laborales, el Compliance Officer no podrá ser declarado responsable si la empresa no le ha asignado recursos suficientes para realizar su función.

– La forma en que se ha realizado la delegación de las funciones de control. La jurisprudencia define los requisitos que debe cumplir una delegación de funciones por parte del Consejo, de manera que una delegación incompleta o imperfecta podría exonerar de responsabilidad al Compliance Officer. Para ello habría que valorar las descripción del puesto de trabajo (Job description), así como las políticas, normas, procedimientos, manuales, instrucciones y órdenes directas en las que figure una asignación expresa de funciones de control al Compliance Officer.

La posibilidad de que el Consejo haya delegado al Compliance Officer funciones de control indelegables, de acuerdo con la normativa mercantil en preparación. Esta circunstancia también eximiría de responsabilidad al Compliance Officer, especialmente en el caso de sociedades cotizadas.

La posible falta de adaptación de los estándares internacionales a la realidad española y a su sustanciación en los tribunales.

La posición que ocupa el Compliance Officer en la estructura de control de la empresa y, de acuerdo con ello, la posibilidad de que no tenga asignada una función directa de control, sino de coordinación de los diversos responsables de control de la empresa, que por su proximidad al riesgo y por sus conocimientos especiales en la prevención de cada tipo de riesgos son los verdaderos garantes y por ello responsables en caso de omisión de un deber específico de control.

Otros argumentos, como la imposibilidad de tener todos los conocimientos necesarios para realizar de forma eficaz la función de control en las diferentes áreas de la empresa, que ya cité en el artículo titulado “Compliance Officer o cómplice officer” que dividí en dos partes:

Primera parte
Segunda parte

Por todo ello veo difícil que las empresas consigan desplazar toda la responsabilidad legal a la figura del Compliance Officer.

 

Ficha de Compliance – Incendio en Campofrío

Breve nota sobre el incendio de ayer en la planta de Campofrío en Burgos, en forma de ficha de Compliance. La información ha sido extraída de los medios de comunicación para realizar un análisis teórico y sin la intención de valorar la actividad preventiva de la empresa.

Características del siniestro


Tipo de siniestro: Incendio
Instalaciones afectadas: Planta de Campofrío en Burgos
Número de trabajadores de la planta: más de 1.000

Riesgos asociados


Seguridad laboral: 20 trabajadores en la planta en el momento del incendio
Seguridad pública: Cercanía de un núcleo de población grande y de un hospital
Medio ambiente: Riesgo de contaminación del aire y daños en el entono natural

Circunstancias de riesgo específicas


Riesgo de que el fuego se extendiera a un gran depósito de amoníaco
Riesgo de nube tóxica de amoníaco
Riesgo de que el fuego afectara a las conducciones de amoníaco del interior de la fábrica
Activado el Plan de Emergencia Municipal
Evacuación a los vecinos de la zona.
La evacuación afectó a 400 personas aproximadamente.

Medidas aplicadas


Activación del Plan de Emergencia Municipal
Activación de la Sala de Emergencias
Actuación del cuerpo de bomberos
Corte del tráfico circundante
Evacuación de los trabajadores de la fábrica
Evacuación de los vecinos afectados
Medición de la toxicidad del aire en la zona afectada
Medición del nivel de amoníaco en suspensión
Plan de comunicación
Mensaje informativo a clientes, proveedores y consumidores
Plan de abastecimiento de emergencia del mercado
Plan para recuperar la capacidad productiva

Posibles causas


Se habla de un posible cortocircuito en una zona de paneles eléctricos
La planta no estaba en producción en el momento del incendio

Controles afectados


Sistemas de detección de incendios
Sistemas de alarmas
Sistemas de extinción automatizada de incendios
Sistemas de extinción manual de incendios
Planes de emergencia
Planes de evacuación
Mapa de controles relativo a los delitos contra el medio ambiente
Mapa de controles relativo a los delitos contra la seguridad pública
Mapa de controles relativos a los delitos contra los trabajadores y la seguridad laboral
Repositorio de evidencias

Efectos del incencio


Cuatro personas posiblemente intoxicadas por inhalación de humo
Daños materiales muy altos y posible destrucción de la planta
Posible destrucción de señalética y de evidencias de control debido a las altas temperaturas alcanzadas

Seguro de directivos D&O y responsabilidad penal

El rechazo a la petición de Miguel Blesa de cubrir su fianza de 16 millones con cargo al seguro de responsabilidad civil de consejeros que en su día suscribió Caja Madrid ha generado un debate sobre la cobertura de este tipo de seguros en el caso de la imputación de un delito a un directivo o a la sociedad.

Paralelamente, las empresas están en estos momentos planteando la renovación o modificación de estas pólizas para dar cobertura, durante el próximo ejercicio, a la responsabilidad civil de sus directivos, por lo que es el momento propicio para valorar el alcance de estos seguros.

Opcionalmente, algunas compañías ofrecen la posibilidad de incluir en el ámbito de la cobertura del seguro algunos aspectos relativos a la responsabilidad penal de la empresa.

La responsabilidad civil derivada de la comisión de un delito por parte de un directivo no puede quedar cubierta por la póliza, debido a la concurrencia de dolo, pero los gastos de defensa de la empresa para hacer frente a una eventual acción penal contra la misma por omisión del debido control sobre el directivo sí podrían llegar a estar contratados. Tras la reforma del Código Penal de 2010 algunas compañías de seguros incluyeron esta posibilidad, junto a otras prestaciones, en los seguros de D&O.

Sin embargo, debe tenerse en cuenta que en los grupos de empresa existe la posibilidad de que la póliza haya sido suscrita por la sociedad matriz del grupo en relación a todos los directivos de las empresas que lo forman. Ello genera el riesgo de que la cobertura del seguro no se extienda a la compañía en la que el directivo presta sus servicios.

Por todo ello, en el momento de comprobar el alcance real del seguro de D&O, deberán tenerse en cuenta los siguientes puntos:

Cobertura en relación al directivo

Deberá comprobarse los actos y responsabilidades que quedan incluidos en la cobertura del seguro y los que quedan excluidos. Es normal que los delitos estén excluidos, dada su naturaleza dolosa, así como la responsabilidad civil derivada de los mismos.

Cobertura en relación a la empresa

Deberá comprobarse en qué supuestos podrá la empresa hacer frente a la responsabilidad civil derivada de las acciones u omisiones del directivo. Probablemente quedará excluida la responsabilidad civil derivada del delito, pero podría contratarse la extensión a la responsabilidad penal. Para ello habrá que valorar toda la oferta existente en el mercado, ya que no todas las compañías de seguros ofrecen este servicio.

Responsabilidad penal corporativa

Las pólizas de responsabilidad civil suscritas por las empresas están limitadas a los riesgos del negocio y no cubren la responsabilidad penal corporativa. El cauce habitual para cubrir este riesgo es a través de los seguros de D&O. Esta cobertura se limita generalmente a los gastos de defensa. Reconociendo la dificultad jurídica para que llegue a existir un producto así, además del coste prohibitivo de la prima, el escenario ideal para una empresa incluiría la posibilidad de asegurar el impacto económico de la pena principal (pérdida de bonificaciones fiscales o de Seguridad Social, saldos fiscales, ayudas públicas y contratos públicos), la multa y la indemnización por daños y perjuicios.

Fianzas

Es importante comprobar si las fianzas están incluidas. Algunas compañías ofrecen esta cobertura, pero lo más probable es que las fianzas estén excluidas en relación a procedimientos penales o que sólo se contemplen los costes de constitución de las mismas.

Grupos de empresa

En los grupos de empresa deberá tenerse en cuenta la diferencia entre tomador y asegurado. Lo más probable es que el tomador sea la matriz del grupo y que los asegurados sean los directivos del grupo. Pero también deberá comprobarse si las compañías del grupo figuran como aseguradas en el caso de una acción de responsabilidad penal corporativa derivada de las acciones u omisiones del directivo y de la falta de control sobre las mismas. De no ser así, podría darse el caso de que, a pesar de haberse contratado esta cobertura, la empresa afectada no estuviese contemplada en el contrato de seguro.

La póliza de seguros constituye el último elemento de un programa de corporate compliance. Cuando todos los muros de contención que defienden a la empresa fallan, el último recurso es tener aseguradas todos los riesgos posibles con el fin de salvaguardar el patrimonio de la empresa y de sus directivos.

Ébola y compliance

Los errores cometidos en la gestión de un desastre son comprensibles cuando nos enfrentamos a algo repentino y desconocido. Es posible que una reacción instantánea, basada en razones de extrema urgencia, impida aplicar las mínimas cautelas, que después del desastre se presentarán como las más razonables y evidentes.

También son comprensibles los errores cuando hablamos de riesgos conocidos pero difíciles de predecir y de evitar, dada la cantidad y la complejidad de los datos a analizar y el carácter aleatorio de los sucesos relacionados con el riesgo.

Pero cuando un riesgo es conocido, medible, previsible, evitable, e incluso puede ser transferido a terceros o diferido en el tiempo, tomar decisiones sin la debida información y realizar actuaciones sin aplicar las medidas preventivas establecidas puede y debe generar responsabilidades.

La crisis del ébola generada en España se ha convertido, desgraciadamente, en un caso de estudio en materia de compliance, ya que sirve para ilustrar todas las fases de la gestión de un riesgo que deben ser contempladas en un modelo de prevención y control.

No voy a analizar en este caso la posible concurrencia de un elemento de ajenidad e incluso de riesgo moral en la gestión pública, o más bien política, de una amenaza como ésta, sino el contenido del modelo teórico que se habría aplicado en un mundo ideal.

En este caso, el modelo debería incluir todos los controles asociados a la prevención de los riesgos relacionados con la salud pública, la seguridad pública y la seguridad en el trabajo, reforzados con los controles específicos del ébola.

A continuación relaciono, de manera cronológica, algunas de las enseñanzas del caso analizado que se expresan en una minúscula muestra de las medidas preventivas que podemos trasladar al mundo de la empresa con el fin de incluirlas, si no lo están ya, en un modelo teórico de prevención y control corporativo, de acuerdo con el esquema definido en el Anteproyecto de Código Mercantil y en el Proyecto de reforma del Código Penal.

Del mismo modo, las enseñanzas de los modelos empresariales de prevención y control podrían haberse aplicado desde el principio a este caso para el beneficio de toda la población.

Protocolo de toma de decisiones

Escenario real: Posible repatriación de ciudadano español contagiado por ébola.

Escenario corporativo: Una empresa debe tomar una decisión de alto riesgo

Controles que debería incluir un modelo de prevención y control corporativo:

– Solicitud de informes internos y externos
– Asesoramiento técnico especializado en el riesgo
– Asesoramiento jurídico especializado en el riesgo
– Evaluación objetiva del riesgo
– Análisis de escenarios posibles
– Análisis de alternativas
– Análisis de costes
– Balance de prioridades entre intereses individuales y colectivos
– Mayoría reforzada en el proceso de votación

Planificación

Escenario real: Traslado de enfermo de ébola a país sin antecedentes ni experiencia

Escenario corporativo: Planificación de un proyecto de alto riesgo en el que la empresa no tiene experiencia

Controles que debería incluir un modelo de prevención y control corporativo:

– Solicitud de modelos de planificación a expertos internacionales
– Contratación de expertos externos
– Políticas, normas y procedimientos
– Formación adecuada y experta para todos los miembros del equipo
– Hot line para la resolución inmediata de dudas
– Canal de comunicación de situaciones de riesgo
– Diseño de protocolos
– Plan de adecuación y actualización de protocolos
– Planes alternativos
– Planes de respuesta y emergencia
– Selección de la ubicación más adecuada
– Comisión de seguimiento
– Gabinete de crisis
– Plan de comunicación
– Plan de concienciación en relación al riesgo de alarma social desproporcionada
– Gestión de la fase posterior al proyecto
– Plan de gestión de los residuos contaminados

Formación

Escenario real: Equipo sanitario aparentemente sin experiencia ni formación adecuada

Escenario corporativo: Asignación de funciones de alto riesgo a un equipo sin experiencia ni formación adecuada

Controles que debería incluir un modelo de prevención y control corporativo:

– Formación adecuada por parte de profesionales expertos
– Plataforma de e-learning que permita las repeticiones que sean necesarias
– Contratación de personal experto que actúe como guía
– Hot line para la resolución inmediata de dudas
– Formación genérica en materia de riesgos laborales
– Formación específica en materia de riesgos asociados a las funciones asignadas
– Manual de uso de cada EPI (Equipo de protección individual)
– Formación específica en el uso de los EPIs
– Ficha de descripción del puesto de trabajo con las funciones asignadas
– Ficha de riesgos del puesto de trabajo con descripción de los EPIs
– Supervisión en el uso de los EPIs
– Grabación en vídeo de los procesos críticos para conseguir trazabilidad
– Actos prohibidos
– Actos permitidos

Medidas de seguridad y protocolos

Escenario real: Medidas de seguridad y protocolos aparentemente no adaptados al riesgo del ébola.

Escenario corporativo: Medidas de seguridad proporcionadas al alto riesgo del proyecto

Controles que debería incluir un modelo de prevención y control corporativo:

– Medidas de seguridad adaptadas al riesgo de la actividad y al riesgo
– Medidas de prevención de riesgos laborales adaptadas a la actividad y al riesgo
– Protocolos actualizados
– Protocolo de adecuación y actualización del modelo de prevención
– Asimilación y difusión de la experiencia adquirida
– Estructura de control
– Nombramiento de supervisores
– Monitorización y seguimiento
– Comisión de seguimiento
– Gabinete de crisis
– Segregación de tareas
– Política de cuatro ojos
– Canal de comunicación de situaciones de riesgo
– Ficha de descripción del puesto de trabajo con las funciones asignadas
– Ficha de riesgos del puesto de trabajo con descripción de los EPIs
– Supervisión en el uso de los EPIs
Equipos de protección individual homologados
– Preparación y adecuación de las instalaciones
– Zonas de descontaminación
– Identificación del personal con acceso al proyecto
– Control de todo el ciclo de vida del proyecto
– Control de la fase posterior a la finalización del proyecto
– Control de los proveedores implicados en el proyecto
– Prohibición de subcontrataciones a los proveedores
– Monitorización de la salud del equipo durante el proyecto y en la fase posterior
– Seguimiento de los plazos de incubación en contactos directos e indirectos
– Protocolos de emergencia, cuarentena y aislamiento
– Gestión adecuada de los residuos contaminados

Como he comentado, esta selección de controles es una muestra minúscula, dado el alto riesgo del proyecto, pero si todos estos puntos parecen excesivos, sólo hay que mirar las consecuencias de su incumplimiento. Como dijo Paul McNulty: “If you think compliance is expensive, try non-compliance”.

¿Una orden judicial para ver un correo electrónico de mi propia empresa?

Con un título similar publiqué hace años un breve artículo en v-Lex (premium) en el que me preguntaba si algún día sería necesario solicitar una autorización judicial para que una empresa pudiese inspeccionar el correo electrónico corporativo utilizado por sus trabajadores. Parece que ese momento ha llegado, aunque la intervención judicial sea sólo exigible para los correos no abiertos por el trabajador que tengan que ser utilizados como prueba en un procedimiento penal.

Aunque pensábamos que la doctrina jurisprudencial en esta materia estaba unificada y consolidada, una reciente sentencia de la Sala II del Tribunal Supremo ha establecido que el criterio existente hasta la fecha es aplicable a la jurisdicción laboral, pero no a la penal.

Esta sentencia se refiere a un delito continuado de falsedad en documento mercantil y de estafa que la empresa perjudicada acreditó mediante mensajes de correo electrónico del trabajador presunto autor de los delitos.

Adelanto que una de mis conclusiones va a ser que es irrelevante la forma en que las pruebas relativas al correo electrónico corporativo lleguen a un proceso penal, ya que, al ser un instrumento que está en la mayoría de los casos bajo el control de la empresa, las garantías que ofrece la intervención judicial pierden toda su eficacia.

Afirmaciones más relevantes de la Sentencia del Tribunal Supremo de 16/06/14

1. Los criterios establecidos en las sentencias previas del Tribunal Supremo y del Tribunal Constitucional han de quedar restringidos al ámbito de la Jurisdicción Laboral y no procede, en modo alguno, que se extiendan al enjuiciamiento penal.

2. El artículo 18.3 de la Constitución Española es claro y tajante cuando afirma que se garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial.

3. No contempla, por tanto, ninguna posibilidad ni supuesto que permita la injerencia en el contenido secreto de las comunicaciones sin la necesaria e imprescindible autorización judicial.

4. No son una excepción los argumentos relativos a la propiedad o titularidad del ordenador y la cuenta de correo electrónico, ni el uso de dichos recursos durante la jornada laboral, ni la naturaleza corporativa del cauce empleado.

5. Tampoco una supuesta renuncia tácita del derecho puede convalidar la ausencia de autorización judicial. En primer lugar porque esta renuncia al secreto de las comunicaciones no se produce en el caso concreto. En segundo lugar porque aunque se hubiese producido una renuncia-autorización, la Constitución no prevé, por la lógica imposibilidad para ello, la autorización del propio interesado como argumento habilitante de la intervención del correo.

6. La protección reforzada del derecho al secreto de las comunicaciones se justifica porque este tipo de injerencias revelan aspectos de la privacidad del comunicante que son ajenos al legítimo interés de una investigación.

7. Además se produce una situación de absoluta indefensión, por no saber la persona investigada que sus comunicaciones están siendo intervenidas.

8. Finalmente, el secreto de las comunicaciones beneficia también a los terceros que comunican con el trabajador, que son ajenos a la relación de éste con el titular del recurso y de sus condiciones de uso.

9. Por consiguiente, para que pueda otorgarse valor y eficacia probatoria en sede penal al resultado de una intervención del correo electrónico de un trabajador, resultará siempre necesaria la autorización e intervención judicial.

10. Quedan excluidos del secreto de las comunicaciones los mensajes que, una vez recibidos y abiertos por su destinatario, no forman ya parte de la comunicación propiamente dicha.

11. A los mensajes abiertos le son aplicables las normas relativas a la protección de datos personales y a la intimidad en sentido genérico, por lo que en este caso no es necesaria la autorización judicial.

12. También quedan excluidos los datos de tráfico y el uso del ordenador para acceder a páginas web y a otros servicios de Internet.

Ausencia de contenido privado y confidencial

1. Las alegaciones del trabajador recurrente acerca de las dudas sobre la integridad y validez de la prueba informática aportada por la empresa no son tenidas en cuenta en la sentencia, ya que se considera que no se ha producido injerencia en el secreto de las comunicaciones en este caso concreto.

2. En la sentencia recurrida se dice que no consta que se haya examinado correo electrónico privado ni cualquier otro tipo de programa o archivos temporales que haya supuesto intervenir o desvelar algún tipo de de comunicación privada y confidencial del trabajador.

3. Pensemos que los mensajes intervenidos estaban relacionados con las funciones administrativas desarrolladas por el trabajador y los destinatarios o remitentes de los mensajes eran sus interlocutores en las entidades financieras y los clientes con los que la empresa operaba.

4. Los criterios establecidos en la sentencia se plantean, por lo tanto, con la finalidad de fijar una clara doctrina sobre la validez probatoria de este tipo de intervenciones en sede penal.

¿Comete un delito la empresa que abre un mensaje cerrado de un trabajador?

1. En la sentencia se habla de la invalidez en sede penal de los mensajes cerrados intervenidos a un trabajador sin autorización judicial, pero no habla de las consecuencias penales de esta intervención.

2. Se entiende que no, ya que en el caso de que esta intervención fuese subsumible en el tipo penal del artículo 197 del Código Penal, algunas de las actividades rutinarias que se realizan cada día en muchas empresas podrían llegar a constituir un delito.

3. Imaginemos a la secretaria que, siguiendo las instrucciones de su jefe, abre sus mensajes cuando está en una reunión, para avisarle de cualquier asunto urgente. O el supervisor de un call center que escucha una muestra de llamadas cada día para controlar la calidad ofrecida por los operadores del servicio de atención al cliente. O las líneas de banca telefónica cuyas conversaciones son grabadas como prueba del consentimiento dado a las operaciones realizadas. ¿Se está cometiendo un delito en todos estos casos? Entiendo que no. ¿Son válidas estas pruebas en un proceso penal? Entiendo que sí.

4. También ha que hablar en este punto del consentimiento que dan los trabajadores que causan baja en una empresa para que sus sucesores puedan acceder a sus documentos y mensajes con el fin de continuar su trabajo. ¿Qué pasa si la persona que recibe los pedidos causa baja en la empresa? Los clientes seguirán enviando sus pedidos a esa dirección durante un tiempo, aunque se les avise puntualmente. En estos casos se utilizan direcciones genéricas de departamento, pero según la doctrina del Tribunal Supremo de 2007, cualquier usuario podría utilizar la cuenta genérica para un uso personal, con la consiguiente “expectativa de privacidad”.

5. El artículo 197 del Código Penal describe un tipo penal en el que el consentimiento del interesado elimina la posibilidad de que se cometa un delito.

6. De ello se deduce a mi entender que un consentimiento expreso debería ser también suficiente para habilitar una intervención del correo electrónico con la finalidad de causar prueba en un proceso penal, siempre que se aplicase un protocolo con las debidas garantías, se utilizase un fedatario público y se respetase la cadena de custodia.

7. La tecnología actual permite realizar varias copias de un disco duro sin acceder a su contenido y con herramientas que aseguran su integridad.

8. No obstante, todas estas garantías se refieren al momento de la obtención de la prueba y a su ciclo de vida posterior, pero no permiten asegurar que la prueba haya sido manipulada con carácter previo a la intervención, como diré más adelante.

Titular real del derecho al secreto de las comunicaciones

1. Siguiendo con mis opiniones personales cabe decir que llevo muchos años defendiendo la tesis de que en el correo electrónico corporativo el titular del derecho al secreto de las comunicaciones es la empresa. Insistiré poco en ello ya que doy por consolidada la doctrina jurisprudencial que exige una sospecha razonable y la aplicación del principio de proporcionalidad a la intervención del correo electrónico del trabajador para causar prueba en sede laboral. El único límite que establece el artículo 20.3 del Estatuto de los Trabajadores es el respecto a la dignidad del trabajador.

2. Plantémonos las siguientes preguntas: si un competidor interceptase un mensaje de correo electrónico entre nuestra empresa y un cliente, ¿quién pondría la querella por vulneración del secreto de las comunicaciones contra el competidor? ¿el trabajador que ha enviado el mensaje o la empresa? ¿Y en el caso de una llamada telefónica entre la empresa y un cliente?

3. La doctrina ha sido restrictiva y poco uniforme a la hora de extender los derechos fundamentales reconocidos en el artículo 18 de la Constitución a la persona jurídica. Se considera que la empresa puede tener derecho al honor y reputación, pero hay reparos para reconocer su derecho a la intimidad. En cambio hay que disponer de un consentimiento expreso para enviar una comunicación comercial electrónica a una empresa y de un mandamiento judicial para entrar en sus oficinas.

4. El Tribunal Europeo de Derechos Humanos (TEDH) reconoce el derecho al secreto de las comunicaciones a las personas jurídicas y declara que las nociones “vida privada” y “correspondencia” del art. 8 del convenio incluyen tanto locales privados como profesionales (Sentencia TEDH de 16 de febrero de 2000, caso Amann). También reconoció este derecho a favor de las empresas el Tribunal de Justicia de las Comunidades Europeas (en su anterior denominación) en la sentencia de 18 de mayo de 1982, A.M.S. v. Comisión.

5. El artículo 200 del Código Penal establece que lo dispuesto para las personas físicas en el mismo capítulo será aplicable también al que descubriere, revelare o cediere datos reservados de personas jurídicas sin el consentimiento de sus representantes.

6. Si se reconoce que una empresa puede ser titular del derecho al secreto de las comunicaciones deberá concluirse que la interceptación de un mensaje entre dos empresas supondrá una vulneración de este derecho. El derecho de la persona física que envió o recibió el mensaje pasaría en este caso a un segundo plano.

7. En mi opinión, la empresa es parte en las comunicaciones que se generan entre ella y cualquier otra persona física o jurídica y de ello debería deducirse que no precisa una autorización judicial para conocer su contenido cuando ha prohibido expresamente el uso privado de dichas comunicaciones y ha advertido de su monitorización.

8. La prueba podrá ponerse en duda, como toda prueba aportada por una de las partes, pero no debería decirse que ha sido obtenida de forma ilegítima, ya que, como he dicho, la empresa es parte en la comunicación.

¿Qué pasa actualmente con el correo postal corporativo?

1. Las cartas que llegan todavía a las empresas en formato papel conteniendo pedidos, facturas, publicidad, y otros contenidos de índole empresarial, van dirigidas generalmente a una persona física.

2. Hay diversas fórmulas para identificar al destinatario de una carta. Puede aparecer directamente su nombre o bien el cargo o departamento. La carta también puede ir dirigida a la empresa, a la atención de una persona concreta.

3. Aunque la carta vaya dirigida al Presidente de la compañía, es muy probable que su secretaria la abra, ya que los altos cargos acostumbran a optimizar su tiempo delegando en sus secretarias la apertura de la correspondencia.

4. Lo mismo sucederá en el departamento de contabilidad. Si una carta va dirigida a una persona que ya no está en la empresa, se presumirá que su contenido tiene que ver con la función que desempeñaba y será abierta.

5. En estos supuestos nadie habla de violación del secreto de las comunicaciones porque se entiende que se trata de comunicaciones en las que la empresa es parte, como remitente o como destinataria.

6. En el correo electrónico sucede lo mismo. Los mensajes van dirigidos a la empresa, a la atención de una persona concreta. De hecho, la arroba significa “at”, lo que indica que el mensaje va dirigido a a la atención de una persona concreta en (at) la empresa indicada en el nombre de dominio.

El derecho al secreto de las comunicaciones en el puesto de trabajo

1. La cultura del “buen rollo” desarrollada en las grandes empresas durante los años de bonanza llevó a buscar un equilibrio entre la vida laboral y la personal. Se entendió que no podía pedirse a un trabajador la conducta heroica de no utilizar los recursos tecnológicos corporativos para fines privados o personales durante las ocho largas horas de la jornada laboral. Ello generó un clima de permisividad que en muchas empresas derogó de facto las prohibiciones que pudiesen existir en relación a ese uso privado.

2. Pero las circunstancias han cambiado. Por un lado han surgido los smartphones, que han concentrado en ellos las comunicaciones privadas de los trabajadores. Ello permite presumir que el correo electrónico corporativo está dejando de ser utilizado para asuntos personales, justamente por el riesgo conocido de su lectura por la empresa. La tendencia del BYOD, para mi equivocada por cuestiones de seguridad, establece una diferencia clara entre las aplicaciones corporativas

3. Por otro lado, la crisis ha hecho que las empresas exijan una mayor productividad a sus trabajadores, por lo que un uso personal de los recursos TIC de la empresa puede ser mal visto y tratado como un supuesto de absentismo presencial.

4. Ello no impide que los trabajadores más jóvenes pasen su jornada laboral con el smartphone al lado del teclado del ordenador. Con este gesto le están diciendo a la empresa que seguirán trabajando en sus funciones hasta el momento en que reciban un mensaje de Whatsapp o de correo electrónico en el smartphone, momento en que su lectura tendrá prioridad absoluta sobre cualquier otra tarea de su famoso “multitasking”. La cuestión es que la frecuencia de las interrupciones que provoca la multitarea es tan alta que un reciente estudio afirma que esta práctica provoca una reducción de 10 puntos en el coeficiente intelectual de la persona. Si la mayoría de los trabajadores no aceptarían una injerencia de la empresa en el sagrado episodio del fin de semana o las vacaciones, no parece justo que la empresa tenga que aceptar la injerencia de los mensajes personales y las constantes interrupciones del Whatsapp durante la jornada laboral. Ninguno de nosotros tendría que aceptarlo, por su inevitable impacto acumulado en el PIB de nuestro país.

5. ¿Qué expectativa de intimidad tiene el trabajador cuando utiliza el correo electrónico corporativo? No todas las formas de comunicación tienen el mismo tratamiento. Las postales que enviamos cuando ejercemos de turista van abiertas y la expectativa de intimidad es nula. El correo electrónico corporativo también va abierto para la empresa. No es necesario que el trabajador lo abra para que la empresa tenga la oportunidad de leer su contenido.

6. En la sentencia analizada se habla de que una renuncia del trabajador al derecho es inviable. Pero la cuestión es si al hablar del correo electrónico corporativo debemos dejar que este derecho llegue a nacer. El cauce no es la renuncia al derecho sino el convencimiento de que no hay espacio para la intimidad en el correo electrónico corporativo.

6. Entiendo que las empresas deben hacer un esfuerzo para definir de forma más clara que los recursos TIC corporativos están reservados para un uso empresarial y que el uso personal debe quedar prohibido. Ello no sería exigir una conducta heroica al trabajador, ya que pueden aprovecharse las pausas y los momentos de descanso para consultar el smartphone personal.

El correo corporativo está bajo el control constante de la empresa

1. Como adelantaba al principio, considero que las garantías que ofrece la intervención judicial van a llegar siempre tarde cuando se trata de obtener y utilizar el correo electrónico corporativo como prueba.

2. Pensemos que un mensaje de correo electrónico no cifrado es texto plano, que entra y sale de la empresa por un conducto que está enteramente bajo su control. Salvo en los casos en que el servicio está en manos de un tercero, y a veces incluso así, nada impide al departamento de sistemas de la empresa leer el correo e incluso modificar su contenido. Incluso se puede decir que el ISP es un proveedor pagado por la empresa que carece de neutralidad.

3. Una intervención judicial sería el procedimiento ideal para “blanquear” una prueba previamente asegurada desde el punto de vista técnico.

4. También existe la posibilidad de que la empresa marque como “leído”el mensaje que desea intervenir antes de aplicar el protocolo de intervención. Al igual que existe la posibilidad de que el trabajador marque como “no leído” los mensajes ya leídos que desea proteger de una eventual intervención de la empresa. Aunque en este caso sería mejor borrarlos.

5. En estas condiciones, las garantías de integridad, fe pública y continuidad de la cadena de custodia decaen de manera absoluta. ¿De qué sirve que un Secretario Judicial de fe de una realidad que ha podido ser alterada previamente? ¿Por qué preocuparnos de la cadena de custodia de algo que puede haber sido modificado con anterioridad a la diligencia judicial?

6. En cualquier caso, existen herramientas de “forensic readiness” que permiten acreditar que un mensaje no ha sido manipulado.

7. Es evidente que las empresas no están manipulando el correo para imputar a sus trabajadores. Estamos hablando de que existe la posibilidad técnica para hacerlo y ello puede desvirtuar las garantías de una intervención judicial posterior.

8. Por lo tanto, la validez de esta prueba se basa más en la credibilidad de su contenido y en las restantes pruebas anteriores, coetáneas y posteriores a los mensajes intervenidos que en la forma en que han sido obtenidos. De hecho esto es lo que ocurre exactamente en el caso analizado.

El secreto de las comunicaciones como subconjunto del derecho a la intimidad

1. En la sentencia comentada se dice que el derecho al secreto de las comunicaciones está dentro del genérico derecho a la intimidad que se contempla en el artículo 18 de la Constitución.

2. El artículo 2.2 de la Ley Orgánica 1/1982, de 5 de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen establece que no se apreciará la existencia de intromisión ilegítima en el ámbito protegido cuando estuviere expresamente autorizada por Ley o cuando el titular del derecho hubiere otorgado al efecto su consentimiento expreso.

3. Aunque el preámbulo de esta ley se refiere exclusivamente al desarrollo del articulo 18.1 de la Constitución, lo cierto es que en el articulado se habla de todo el artículo 18.

5. Si pudiésemos aplicar a este caso el principio de quien puede lo más puede lo menos, sería natural concluir que una persona que puede dar su consentimiento para entrar en su casa también puede dar su consentimiento para entrar en su correo electrónico, por muy enérgica que sea su protección en el artículo 18.3 de la Constitución exigiendo la intervención judicial.

6. También hay que tener en cuenta que en la redacción del artículo 18.3 no se incluyó la posibilidad de que la injerencia en el secreto de las comunicaciones estuviese autorizada en ciertos casos por una ley. Y ello podría ser un error.

7. Lo natural sería que la ley y el consentimiento fuesen también instrumentos habilitadores de una injerencia legítima en el secreto de las comunicaciones. Pensemos que en la actualidad, tras los escándalos de la NSA, cualquier persona puede pensar que la probabilidad de que alguien lea sus mensajes de correo electrónico es más alta que la probabilidad de que alguien entre en su domicilio sin autorización. Los mensajes están ahí fuera y en abierto. Mis efectos personales, mi verdadera intimidad, están en casa y cerrados con llave.

8. Por otro lado, entiendo que las obligaciones de control establecidas en el artículo 31bis del Código Penal exigen a las empresas poder realizar inspecciones que alcancen a contenidos presuntamente protegidos por el derecho a la intimidad y por el secreto de las comunicaciones, como subconjunto del mismo.

Impacto en las obligaciones de control derivadas de un programa de compliance

1. Muchos programas de corporate compliance, destinados a establecer un modelo de prevención y control de delitos, basan su fuerza en la posibilidad de realizar investigaciones en el correo electrónico corporativo.

2. La sentencia comentada puede poner en peligro estas investigaciones, ya que no permitiría realizarlas sin la existencia de una autorización judicial. Al menos el caso de mensajes cerrados destinados a causar prueba en un proceso penal.

3. Entiendo que debería contemplarse como válido el protocolo de intervención del correo electrónico en el que el trabajador está presente en la diligencia y se observan todas las garantías en la obtención de la copia (hash) y en la cadena de custodia.

4. Pero yo me atrevería a ir más allá y a dar por válido el consentimiento expreso dado con carácter previo por el trabajador al firmar las normas de uso de los recursos TIC corporativos, asumir la prohibición de un uso personal de los mismos y aceptar una eventual inspección del correo electrónico.

5. Y también considero que las obligaciones de control establecidas en el artículo 31bis del Código Penal para las empresas habilitan a éstas a realizar investigaciones que pueden alcanzar a todos los recursos TIC que están bajo su control y son de su propiedad, como el correo electrónico corporativo.

 Precauciones a tener en cuenta a partir de ahora

A pesar de mis opiniones contrarias al contenido de la sentencia, lo cierto es que ésta establece un criterio que hay que respetar, por lo que, por una cuestión de prudencia empresarial y para evitar que las pruebas pierdan su eficacia, la empresa tiene la opción de solicitar la intervención judicial en la obtención de los mensajes cerrados que vayan a ser utilizados como prueba en un proceso penal. En cualquier caso, también puede reforzar sus normas y protocolos de actuación mediante algunas de las siguientes acciones:

1. Prohibir el uso personal del correo electrónico
2. Informar claramente de los controles que la empresa puede aplicar
3. Solicitar el consentimiento expreso para el control del correo electrónico
4. Prohibir la conversión de los mensajes leídos en mensajes no leídos
5. Reforzar las garantías de los protocolos de intervención del correo electrónico
4. Limitar las investigaciones internas dirigidas a un proceso penal a los mensajes abiertos
5. Instalar herramientas de forensic que permitan acreditar que los mensajes no han sido
manipulados por la empresa

Conclusiones

Tras la lectura de la sentencia y el análisis realizado en este artículo, extraigo las siguientes conclusiones:

1. Las empresas están habilitadas por la ley (artículo 31bis del Código Penal y artículo 20.3 del Estatuto de los Trabajadores) para adoptar medidas de vigilancia y control sobre la actividad de los trabajadores.

2. Esta habilitación también puede surgir del consentimiento del trabajador.

3. La prohibición de un uso personal del correo electrónico corporativo y la migración del correo personal a los smartphones privados permite presumir cada vez más que el correo electrónico corporativo está desprovisto de intimidad para el trabajador.

4. La intervención de los mensajes de correo electrónico corporativo enviados o recibidos por el trabajador no supone un delito contra la intimidad, ya que existe una autorización legal y un consentimiento del trabajador.

5. Además, la empresa forma parte de la comunicación, ya que no presta un servicio al trabajador, sino que es jurídicamente el verdadero emisor y receptor de las comunicaciones y por lo tanto, el titular del derecho al secreto de las mismas.

6. Sin embargo, el nuevo criterio del Tribunal Supremo establece que las pruebas obtenidas de esta manera no serán validas en la jurisdicción penal sin la correspondiente autorización e intervención judicial que dote a la diligencia de las correspondientes garantías en el caso de mensajes cerrados.

7. En mi opinión, la tecnología actual de forensic que garantiza la integridad de una copia permite aplicar un protocolo de intervención en el que se apliquen las garantías de integridad, cadena de custodia y fe pública a través de la intervención de un fedatario público.

8. La intervención judicial no garantiza la integridad de la prueba en el caso del correo electrónico corporativo, ya que éste está desde el primer momento bajo el control de la empresa y puede haber sido manipulado antes de la diligencia judicial. Salvo en el caso de que se hayan utilizado previamente herramientas de forensic readiness.

9. A pesar de mis opiniones contrarias al contenido de la sentencia, lo cierto es que ésta establece un criterio que hay que respetar, por lo que, por un principio de prudencia empresarial recomiendo adoptar las precauciones que resumo en este artículo.

ACTUALIZACIÓN – 12/01/2016

El Tribunal Europeo de Derechos Humanos ha dictado hoy una sentencia en la que establece que la monitorización de las comunicaciones privadas (Yahoo Messenger) de un trabajador por parte de la empresa no constituye una violación del artículo 8 del Convenio Europeo de Derechos Humanos (La vida privada y familiar incluye la intimidad del domicilio y la inviolabilidad de la correspondencia).

Riesgo residual y riesgo aparente

En la navegación a vela se llama viento aparente al resultado que se produce cuando al viento real se suma el generado por la propia velocidad de la embarcación. Se produce una discrepancia entre la realidad ambiental y la que el tripulante percibe, que en este caso es positiva, ya que el viento aparente hace que la embarcación alcance una velocidad muy superior a la del viento real. Gracias a ello, los superveleros de la Copa América pueden alcanzar velocidades superiores a los 20 nudos con vientos de 12 nudos.

En el mundo de la empresa se llama riesgo residual al resultado de restar al riesgo real el efecto de las medidas preventivas y los controles. En el plano teórico, el objetivo es que el riesgo residual tienda a ser cero, ya que el valor asignado al control debe ser cercano o igual al valor asignado al riesgo.

Digo en el plano teórico, porque en la práctica el riesgo real es difícil de medir, el control es relativo y su eficacia es meramente especulativa. Todo ello hace que no podamos hablar de riesgo residual, sino de riesgo aparente, ya que, al igual que en la navegación a vela, se produce una discrepancia entre la realidad ambiental y la que la empresa percibe. Pero en este caso el efecto es negativo, ya que trabajar con riesgos residuales cercanos a cero puede dar una sensación falsa de seguridad y tranquilidad que puede llegar a ser muy peligrosa.

En la prevención de la responsabilidad penal de las empresas y los directivos, ¿las empresas están trabajando con riesgos residuales o con riesgos aparentes?

La respuesta es muy fácil. Si en el análisis de riesgos se ha asignado un valor 5 al riesgo de corrupción, y un valor 4,5 a la existencia de un código ético que prohíbe la corrupción en la empresa, decir que el valor residual es 0,5 es una aberración.

Desgraciadamente, el riesgo es siempre aparente y la seguridad es pura percepción, por lo que una actividad preventiva eficaz no puede estar basada exclusivamente en un modelo teórico que arroje un riesgo residual bajo. Sería lo mismo que confiar en los buenos resultados de una startup fijándonos sólo en su plan de negocio.

Por otro lado, el valor residual de un mes no tiene nada que ver con el del mes siguiente, por lo que de nada sirve basar la actividad preventiva en un análisis hecho hace dos años.

El control debe ser por lo tanto continuado, adaptado, cercano a la fuente del riesgo, actualizado, desconfiado, experto, comprobado, auditado, acreditado y basado en evidencias.

El riesgo nunca es residual, ya que el control nunca es constante, y su eficacia tampoco.

10 errores habituales en el análisis de riesgos

El proyecto de reforma del Código Penal y la certificación Iuriscert de AENOR en relación a los sistemas de prevención de delitos en las empresas dan mucha importancia al proceso de análisis de riesgos. Desde la reforma de 2010 muchas empresas han basado el diseño de su modelo de prevención y control de delitos en un mapa de riesgos elaborado internamente o a través de un consultor externo. En este artículo resumo mi opinión personal sobre los informes que he revisado y en especial, sobre los errores que, a mi modo de ver, se repetían en ellos, y que podían distorsionar los resultados.

1. Basar el análisis exclusivamente en fórmulas matemáticas

Los cálculos relativos a la probabilidad y al impacto de los riesgos analizados pueden realizarse manualmente o con el apoyo de aplicaciones y hojas de cálculo. Estas herramientas son de gran ayuda, pero no pueden ser el único soporte del análisis de los riesgos. Las fórmulas deben contener factores de ponderación que permitan ajustar los cálculos a la realidad, a través de multiplicadores y divisores que tengan en cuenta el contexto. Pero lo más importante es que el análisis lo realice un profesional especializado, que tenga conocimientos de las dinámicas comisivas, del sector al que pertenece la empresa y del factor humano, que hace que cada empresa sea distinta. Una vez obtenidos los resultados, debe aplicarse el filtro del sentido común, basado en este caso en la experiencia del profesional que firma el informe y en una visión en conjunto del análisis, que compare la valoración de cada riesgo con todos los demás, asegurando que se cumple el principio de proporcionalidad.

2. Aplicar un factor multiplicador excesivo a la existencia de un precedente

En uno de los informes revisados, que correspondía a una empresa industrial, el delito de pornografía infantil apareció en el grupo de los delitos con mayor probabilidad de comisión. Ello se debía a que el consultor había utilizado un algoritmo que aplicaba un factor multiplicador a la existencia de un precedente relativo a ese delito en la empresa. Incluso en el caso de no utilizar herramientas informáticas, la existencia de un precedente se valora excesivamente en los informes analizados. El profesional que realiza el análisis debería tener en cuenta todos los factores, y realizar un juicio de proporcionalidad, teniendo en cuenta el contexto, los restantes riesgos y la probabilidad de que el delito vuelva a cometerse. También debe tenerse en cuenta la antigüedad y las circunstancias del precedente, ya que pueden haberse producido cambios en la empresa y en las personas que participaron en él. En el caso concreto analizado, la persona que cometió el delito ya no estaba en la empresa.

3. Basar el análisis de la probabilidad exclusivamente en la opinión del cliente

Sería pecar de frivolidad aplicar a este caso la frase “los pacientes siempre mienten”del Dr. House, porque no es cierto que los clientes siempre mientan. El problema es que no son objetivos. No pueden serlo. Podríamos decir que el cliente está contaminado por las prácticas de la empresa y del sector al que pertenece y le cuesta tener una visión que se sitúe por encima de lo que está acostumbrado a ver. Tampoco conoce las dinámicas comisivas ni los factores de riesgo. Además, puede estar afectado por la “niebla de la batalla”, es decir, la dificultad para sacar conclusiones a largo plazo o de tener una visión completa de todo el escenario a causa de la constante atención que requieren los asuntos a resolver diariamente y las urgencias del negocio. En este caso incluyo en el concepto cliente al conjunto de personas entrevistadas durante el proceso de análisis de riesgos. El cliente es un gran experto en su empresa y nos va ayudar mucho a conocer sus puntos débiles, pero no puede convertirse en absoluto en la única fuente de información. El profesional debe documentarse y tener en cuenta el conocimiento que él mismo puede aportar al análisis a través de otras fuentes de información y de su propia experiencia.

4. Basar el análisis del impacto exclusivamente en la opinión del cliente

En mi opinión es un error partir exclusivamente de las respuestas del cliente para calcular el impacto económico y reputacional de la comisión de un delito en el seno de la empresa. Un área en la que los profesionales podemos aportar conocimiento es justamente en la valoración económica de las consecuencias de un delito. Los abogados, por ejemplo, podemos analizar la jurisprudencia y conocer el rango en el que se mueven las indemnizaciones por responsabilidad civil derivada de un delito. Podemos también cuantificar las multas aplicables a cada tipo penal y los distintos supuestos agravados. Asimismo, podemos apoyarnos en expertos para cuantificar el impacto de cada delito en la marcha del negocio y para analizar los posibles daños en la reputación de la empresa en el mercado, la presumible reacción de los clientes y su comportamiento en materia de pedidos. A pesar de la importancia de este trabajo casi todos los informes que he revisado basan el análisis del impacto exclusivamente en la opinión del cliente. Y después incluyen un disclaimer exonerándose de cualquier tipo de responsabilidad por los errores de valoración, ya que el análisis lo ha hecho el cliente y no ellos. Supongo que por eso se dice que se paga a los consultores para que te digan lo que ya sabes, pero lo que encuentro excesivo es que encima te lo pregunten a ti y no lo averigüen por otros canales para confirmar que las conclusiones son acertadas.

5. Utilizar al cliente como única fuente de información sin aportar valor al análisis

Este punto es una conclusión de los dos anteriores. Considero que el profesional al que se le encomienda la valoración del riesgo penal debe tener experiencia en el sector, conocimiento de las dinámicas comisivas y de los riesgos, así como fuentes de información suficientes para que su intervención en el proyecto sea valiosa y no se limite a transcribir lo que opinan los interlocutores entrevistados.

6. No tener en cuenta el factor humano y el instinto defensivo del interlocutor

Los interlocutores entrevistados tienen habitualmente escasa práctica en materia de autodianóstico y autocrítica. Además de los factores culturales, es inevitable que el entrevistado se sienta de alguna manera investigado y adopte una posición defensiva, como si de un interrogatorio se tratara. Esta reacción es muy humana y obliga a un trabajo previo de distensión y de información sobre el objetivo final del proyecto. A pesar de esta preparación previa, las repuestas del entrevistado pueden estar contaminadas por el miedo y ocultar situaciones de riesgo. También pueden centrase excesivamente en la labor preventiva realizada para justificar su trabajo. Este esfuerzo de justificación dilata mucho las entrevistas, ya que cada pregunta tiene como respuesta un arsenal de argumentos defensivos que además distorsionan los resultados. Esta es una razón más que obliga a ponderar los resultados con otras fuentes de información y con la habilidad de identificar los riesgos que han quedado ocultos a causa de las estrategias de autodefensa.

7. No apreciar el traspaso de responsabilidades entre departamentos

El efecto inmediato de la estrategia de autodefensa del entrevistado es un truco de prestidigitación que consiste en que, al acabar la entrevista, el consultor está convencido de que el riesgo se concentra en otro departamento. Esta habilidad, innata o adquirida, consciente o inconsciente, se potencia en las empresas en las que se producen duplicidades organizativas, se asignan competencias similares a distintos departamentos o bien las funciones de control no están correctamente establecidas. Un error habitual es dejarse llevar por acusaciones interdepartamentales, aunque éstas no sean evidentes. Esta maniobra de distracción hace que no se profundice en el análisis de riesgos del departamento entrevistado y que se sobrevaloren los riesgos de otros departamentos.

8. No comparar los resultados del análisis con el mapa de riesgos sectorial

Para evitar que la subjetividad en las respuestas del entrevistado nos contamine, tenemos que haber hecho antes los deberes. Lo ideal es haber elaborado un mapa de riesgos sectorial que nos sirva de referencia para comprobar si la empresa se ajusta o no al patrón y, en caso negativo, conocer las causas. Es posible que el interlocutor esté hablando constantemente en términos de riesgo residual, es decir el que permanece tras la aplicación de los controles. Valorar el riesgo en estas condiciones sería como medir el viento desde un coche en marcha. En los informes revisados no he encontrado referencia alguna a la situación de la empresa en relación al mapa de riesgos del sector.

9. Presentar los resultados sin haber aplicado el filtro del sentido común

El informe en que se consideraba altamente probable el delito de pornografía infantil en una empresa industrial no se habría llegado a presentar si se hubiese realizado un juicio previo de proporcionalidad. No es lógico que en el sector industrial la probabilidad de que este riesgo se materialice esté por encima del relativo al delito medioambiental, por ejemplo. Antes de presentar el informe a un Consejo de Administración hay que realizar una comprobación tan simple como la de someter las conclusiones finales a los principios básicos del sentido común.

10. Atribuir al cliente los errores que se produzcan en la valoración del riesgo

Y lo que considero fuera de lugar, aunque el socio que firma el informe esté atormentado por su departamento de Risk Management, es incluir un disclaimer que reconozca literalmente que no se ha hecho un análisis de riesgos sino que la labor del consultor se ha limitado a solicitar la opinión del cliente y a transcribirla en el informe, por lo que si el cliente está equivocado, la firma consultora no tiene la culpa. Considero que el cliente espera algo más de la firma a la que ha solicitado que valore sus riesgos. Cuando vamos a un centro médico de reconocido prestigio para realizar un chequeo lo último que esperamos es que el médico se limite a preguntarnos cómo nos encontramos. Nuestro cuerpo, los instrumentos de medición y los análisis clínicos son fuentes de información mucho más fiables que nuestra simple opinión no experta. Aunque nos conozcamos muy bien. El cliente confía en nuestro criterio y en un cierto nivel de implicación en la valoración de sus riesgos. Implicación que debería extenderse a la propuesta de soluciones. Pero es de suponer que el propio disclaimer habrá dejado bien claro que eso no forma parte del alcance del trabajo contratado y que hay que pedir otro informe en el que habrá otro disclaimer que exonerará de responsabilidad a la firma consultora, porque las soluciones propuestas también se basan en la información suministrada por el cliente, y no en la creatividad y el talento que cabría esperar a la vista de las facturas suministradas por la consultora.