Seguro de directivos D&O y responsabilidad penal

El rechazo a la petición de Miguel Blesa de cubrir su fianza de 16 millones con cargo al seguro de responsabilidad civil de consejeros que en su día suscribió Caja Madrid ha generado un debate sobre la cobertura de este tipo de seguros en el caso de la imputación de un delito a un directivo o a la sociedad.

Paralelamente, las empresas están en estos momentos planteando la renovación o modificación de estas pólizas para dar cobertura, durante el próximo ejercicio, a la responsabilidad civil de sus directivos, por lo que es el momento propicio para valorar el alcance de estos seguros.

Opcionalmente, algunas compañías ofrecen la posibilidad de incluir en el ámbito de la cobertura del seguro algunos aspectos relativos a la responsabilidad penal de la empresa.

La responsabilidad civil derivada de la comisión de un delito por parte de un directivo no puede quedar cubierta por la póliza, debido a la concurrencia de dolo, pero los gastos de defensa de la empresa para hacer frente a una eventual acción penal contra la misma por omisión del debido control sobre el directivo sí podrían llegar a estar contratados. Tras la reforma del Código Penal de 2010 algunas compañías de seguros incluyeron esta posibilidad, junto a otras prestaciones, en los seguros de D&O.

Sin embargo, debe tenerse en cuenta que en los grupos de empresa existe la posibilidad de que la póliza haya sido suscrita por la sociedad matriz del grupo en relación a todos los directivos de las empresas que lo forman. Ello genera el riesgo de que la cobertura del seguro no se extienda a la compañía en la que el directivo presta sus servicios.

Por todo ello, en el momento de comprobar el alcance real del seguro de D&O, deberán tenerse en cuenta los siguientes puntos:

Cobertura en relación al directivo

Deberá comprobarse los actos y responsabilidades que quedan incluidos en la cobertura del seguro y los que quedan excluidos. Es normal que los delitos estén excluidos, dada su naturaleza dolosa, así como la responsabilidad civil derivada de los mismos.

Cobertura en relación a la empresa

Deberá comprobarse en qué supuestos podrá la empresa hacer frente a la responsabilidad civil derivada de las acciones u omisiones del directivo. Probablemente quedará excluida la responsabilidad civil derivada del delito, pero podría contratarse la extensión a la responsabilidad penal. Para ello habrá que valorar toda la oferta existente en el mercado, ya que no todas las compañías de seguros ofrecen este servicio.

Responsabilidad penal corporativa

Las pólizas de responsabilidad civil suscritas por las empresas están limitadas a los riesgos del negocio y no cubren la responsabilidad penal corporativa. El cauce habitual para cubrir este riesgo es a través de los seguros de D&O. Esta cobertura se limita generalmente a los gastos de defensa. Reconociendo la dificultad jurídica para que llegue a existir un producto así, además del coste prohibitivo de la prima, el escenario ideal para una empresa incluiría la posibilidad de asegurar el impacto económico de la pena principal (pérdida de bonificaciones fiscales o de Seguridad Social, saldos fiscales, ayudas públicas y contratos públicos), la multa y la indemnización por daños y perjuicios.

Fianzas

Es importante comprobar si las fianzas están incluidas. Algunas compañías ofrecen esta cobertura, pero lo más probable es que las fianzas estén excluidas en relación a procedimientos penales o que sólo se contemplen los costes de constitución de las mismas.

Grupos de empresa

En los grupos de empresa deberá tenerse en cuenta la diferencia entre tomador y asegurado. Lo más probable es que el tomador sea la matriz del grupo y que los asegurados sean los directivos del grupo. Pero también deberá comprobarse si las compañías del grupo figuran como aseguradas en el caso de una acción de responsabilidad penal corporativa derivada de las acciones u omisiones del directivo y de la falta de control sobre las mismas. De no ser así, podría darse el caso de que, a pesar de haberse contratado esta cobertura, la empresa afectada no estuviese contemplada en el contrato de seguro.

La póliza de seguros constituye el último elemento de un programa de corporate compliance. Cuando todos los muros de contención que defienden a la empresa fallan, el último recurso es tener aseguradas todos los riesgos posibles con el fin de salvaguardar el patrimonio de la empresa y de sus directivos.

Compliance officer o cómplice officer (Primera parte)

El proyecto de reforma del Código Penal, que parece haber cobrado un nuevo impulso con el fin de la doctrina Parot y la lucha contra la corrupción, incluye tres menciones expresas al órgano de vigilancia y control orientado a prevenir la comisión de delitos.

  • La primera, en el artículo 31bis, al incluir en la lista de condiciones necesarias para la exención de la responsabilidad penal corporativa, la supervisión del funcionamiento y del cumplimiento del modelo de prevención por parte de un órgano de la persona jurídica con poderes autónomos de iniciativa y control.
  • La segunda, en el mismo artículo, al incluir como uno de los requisitos del modelo de organización y gestión, la obligación de informar de posibles riesgos e incumplimientos al órgano encargado de vigilar el funcionamiento y observancia del modelo de prevención.
  • La tercera, en el nuevo artículo 286 seis, al incluir la contratación, selección cuidadosa y responsable (culpa in eligendo), así como la vigilancia (culpa in vigilando) del personal de inspección y control, como una de las medidas de vigilancia y control cuya omisión puede generar responsabilidad penal para el directivo responsable de su aplicación.

En la práctica, este órgano suscita una serie de cuestiones que analizamos a continuación y entre las que destaca la que inspira el título a este artículo, es decir la responsabilidad de este órgano en caso de delito.

Nuevo departamento vs. departamento ya existente

Las funciones que el proyecto asigna al órgano de vigilancia y control están repartidas en la actualidad en diversos departamentos o comités:

  1. Comité de Ética
  2. Auditoría Interna
  3. Control Interno
  4. Asesoría Jurídica
  5. Cumplimiento Normativo

Estas funciones de vigilancia y control se dividen en tres grupos:

  1. Control anterior a la infracción (control preventivo)
  2. Control posterior a la infracción (control detectivo)
  3. Función sancionadora, complemento necesario para la eficacia del control

Sin embargo, en el momento de la distribución de estas funciones, estos tres grupos no quedan bien definidos y pueden ser asignados a varios departamentos a la vez o quedar sin asignar.

El Comité de Ética es el destinatario habitual de las denuncias relativas a posibles incumplimientos del código ético a través del correspondiente canal de denuncias, y es también el que investiga, delibera y sanciona dicho incumplimiento. En realidad propone la sanción y RRHH la impone. Pero la función del Comité de Ética es predominantemente reactiva, es decir, acostumbra a actuar cuando llega la denuncia, sin perjuicio de las campañas de sensibilización que pueda organizar. En cambio, el proyecto exige una labor más proactiva, más cercana a la función de control interno o de auditoría interna, pero mucho más intensa, y no limitada a los delitos estrictamente económicos. Ello hace pensar que el proyecto habla de dos órganos distintos uno proactivo y emisor de denuncias y otro reactivo y receptor de denuncias. Por otro lado, el objetivo de los departamentos con funciones de control ha sido hasta ahora proteger a la empresa del fraude interno y de las amenazas en las que la empresa es la víctima, mientras que la finalidad de los programas de corporate defense es prevenir la responsabilidad penal de la empresa en los delitos en los que la víctima es un tercero. Lo mismo sucede con los programas de D&O defense en relación a los cargos directivos.

Por otro lado está la función de los departamentos de Asesoría Jurídica y de Cumplimiento Normativo, este último muy próximo en su nomenclatura  al Compliance Officer, pero no tanto en su encaje en la taxonomía que parece proponer la doctrina al comparar el modelo anglosajón con el propuesto en la reforma.

Por otra parte, tanto las funciones como las denominaciones de los departamentos no son uniformes en todas las empresas y sectores, por lo que, si queremos realizar un análisis comparativo entre varias empresas, más que hablar de departamentos tendremos que hablar de funciones.

Entiendo que el camino lógico a seguir en una empresa tras la aprobación de la reforma del Código Penal sería:

  1. Identificar las funciones de supervisión y control establecidas en el texto que finalmente se apruebe, integrándolas en el modelo de organización y gestión.
  2. Analizar cómo están repartidas en ese momento estas funciones en los diversos departamentos y comisiones de la empresa.
  3. Decidir si debe crearse un nuevo cargo, un nuevo departamento o una comisión que incorpore a las personas que actualmente realizan las funciones identificadas en distintos departamentos.

Lejos del debate científico sobre si la función origina el órgano o el órgano crea la función, que en el mundo de la gran empresa puede llegar a cobrar matices kafkianos, es evidente que en este caso la función de vigilancia y control viene determinada y exigida por una Ley Orgánica y que de ella deriva la creación del órgano que debe desarrollar esta función.

Cargo unipersonal vs. órgano colegiado

En función de las decisiones adoptadas por la empresa en relación al punto anterior, podrán asignarse las funciones a una sola persona o a un equipo. Aunque el proyecto habla de órgano, nada impide que se trate de un cargo unipersonal, aunque, en mi opinión, lo más aconsejable es que sea un órgano colegiado, ya que los requisitos que tiene que cumplir no acostumbran a estar reunidos en una sola persona. También puede tratarse de una única persona que se apoye en los expertos internos y externos de cada materia, con los que la empresa ya cuenta habitualmente.

Entre los factores que aconsejan una puesta clara por un órgano colectivo destacan las siguientes:

  1. La gran carga de trabajo a realizar.
  2. El enfoque multidisciplinar.
  3. La gran variedad de conocimientos exigidos.
  4. La capacidad para actuar, contar con aliados y conseguir la ejecución de las decisiones y las medidas adoptadas en los departamentos afectados.

Parece evidente que el legislador no piensa en un hombre orquesta con múltiples tentáculos e inteligencias, saber enciclopédico y don de la ubicuidad. Aunque la función de dirección y coordinación del equipo debe recaer en una sola persona, parece recomendable que se apoye en un grupo de expertos con capacidad de actuación en los departamentos afectados.

Pensemos que la labor de este órgano debe estar apoyada en un procedimiento sancionador, por lo que será conveniente que las deliberaciones vayan revestidas de las garantías que ofrece un órgano plural. Por ello habrá que decidir si la función de valoración y sanción de infracciones (control posterior a la infracción) debe permanecer en un comité de ética y las de prevención y vigilancia (control anterior a la infracción) en un órgano de control que sería el compliance officer. Esta opción se ajustaría más al principio de segregación de tareas y preservaría la independencia entre el órgano que coordina las medidas de control y el que sanciona su incumplimiento.

Otra posibilidad sería enlazar los protocolos de vigilancia y control con las normas de buen gobierno corporativo, asignando la máxima responsabilidad del control a un consejero independiente que coordinaría la labor de una comisión interdepartamental  que a su vez asumiría todas las funciones de vigilancia y control.

Responsable penal vs. simple coordinador del control

El artículo 11 del Código Penal establece que los delitos que consistan en la producción de un resultado sólo se entenderán cometidos por omisión cuando la no evitación del mismo, al infringir un especial deber jurídico del autor, equivalga, según el sentido del texto de la Ley, a su causación. A tal efecto, se equiparará la omisión a la acción cuando exista una específica obligación legal o contractual de actuar o cuando el omitente haya creado una ocasión de riesgo para el bien jurídicamente protegido mediante una acción u omisión precedente.

El artículo 316 del Código Penal establece un supuesto específico de responsabilidad penal para los que, con infracción de las normas de prevención de riegos laborales y estando legalmente obligados, no establezcan las medidas preventivas necesarias para evitar accidentes laborales. Y el artículo 318 impone la pena señalada para los delitos atribuidos a personas jurídicas a los administradores o encargados del servicio. Estos dos artículos, ampliamente analizados en la Circular 4/2011 de la Fiscalía General del Estado, contemplan un supuesto específico en el que la responsabilidad penal derivada de la omisión del deber de control puede recaer en una persona física.

Todo parece indicar que la clave está en la delegación del control y en la asignación legal o contractual de un deber de control. Esta delegación se produce en la línea del negocio, es decir, desde el Consejo de Administración al responsable del departamento o la unidad de negocio en la que puede originarse el riesgo, y en la que debe establecerse por lo tanto el control. El control debe estar cerca de riesgo, y debe ser un control experto. Me refiero a que no puede pretenderse que el compliance officer tenga un conocimiento omnicomprensivo que le permita realizar un control realmente experto del cumplimiento de las medidas de prevención.

Es importante por lo tanto analizar la línea de delegación, ya que el deber jurídico del control, como establece el artículo 11 del Código Penal, puede provenir de una obligación legal o de una obligación contractual. Y es justamente la delegación de la función de control a un directivo concreto, en el marco de la relación contractual que lo une a la empresa, la que puede hacer atribuible el deber jurídico de control y la responsabilidad penal a un cargo que no ostente la representación legal de la empresa. Por tanto, cabría la posibilidad de que al compliance officer se le asignasen obligaciones de control suficientes para atribuirle, conscientemente o no, las responsabilidad penal de la omisión del control o de un control deficiente, y esa delegación de obligaciones es la que habrá que analizar con detalle tanto en el momento del nombramiento como en el momento de la depuración de las responsabilidades.

En mi opinión, el deber de control debería residir en la línea de negocio, distribuido entre los distintos directivos con funciones de control, y el compliance officer, como órgano unipersonal o colegiado, debería realizar una supervisión transversal de dicho control, como así se establece en el proyecto.

El nuevo artículo 286 seis previsto en el proyecto atribuye la responsabilidad penal de la omisión de las medidas de vigilancia y control al representante legal o administrador de hecho o de derecho de la empresa.  Dentro de estas medidas de vigilancia se incluye la contratación, la selección cuidadosa y responsable y la vigilancia del personal de inspección y control. Ello significa que la responsabilidad penal derivada de la omisión de las medidas de prevención y control corresponde al representante legal y que el compliance officer forma parte del personal de inspección y control que el representante legal debe contratar. Pero, como decía antes, podría darse el caso de que el representante legal delegase este deber de control en el compliance officer y éste asumiese la responsabilidad penal derivada de la omisión del control. Por eso habrá que ver qué posición ocupa exactamente este órgano en la línea jerárquica y en la estructura de control de la empresa, ya que si el compliance officer no está integrado en la cadena de mando, sino en una posición colateral de supervisión, no debería atribuírsele responsabilidad alguna, salvo en los casos que más adelante comentaré.

Estructura de capas

Las reflexiones del punto anterior me llevan a pensar en una estructura de capas en las que se distribuyen las distintas funciones y responsabilidades asociadas al control. Estas capas son independientes de la estructura jerárquica, en el sentido que el beneficio de su existencia se obtiene del efecto acumulativo de todas ellas.

  1. CAPA DE RESPONSABILIDAD.- Está formada por la representación legal de la empresa, es decir, el Consejo de Administración o los Administradores de hecho o de derecho. De ella emanan las normas y protocolos que el personal deberá cumplir.
  2. CAPA DE RESPONSABILIDAD DELEGADA.- Está formada por los directivos de la línea de negocio y la cadena de mando que por ley o por delegación contractual asumen obligaciones de control. Es el máximo exponente del control en la actividad cotidiana de la empresa.
  3. CAPA DE COORDINACIÓN Y SUPERVISIÓN.- Está formada por el compliance officer, como órgano unipersonal o colegiado encargado de comprobar que los controles son eficaces a través de tareas rutinarias y de investigaciones internas. Incluye también la labor de formación y sensibilización.
  4. CAPA DE EXPERTOS.- Está formada por los distintos expertos internos y externos que la empresa utiliza habitualmente para obtener asesoramiento en las distintas materias que requieren una especialización. Por ejemplo: medioambiente, seguridad informática, riesgos laborales, etc. La supervisión del control deberá basarse en la capa de conocimiento de estos expertos para poder analizar y valorar los riesgos y para identificar, seleccionar, aplicar y contrastar la eficacia de los controles. Entre los expertos se incluirán los abogados penalistas, que aportarán su conocimiento y experiencia sobre la dinámica comisiva del delito, los elementos del tipo penal, el tratamiento jurisprudencial y los argumentos de defensa, con el objetivo de dotar de contenido y eficacia a la labor de preconstitución de la prueba.
  5. CAPA DE PRUEBA.- Está formada por los expertos que apoyan al compliance officer en la obtención y custodia de las evidencias que acreditan la existencia y la eficacia del control.
  6. CAPA SANCIONADORA.- Está formada por el Comité de Ética, que recibe las denuncias del canal y del compliance officer, y delibera y propone las sanciones, así como por el departamento de RRHH, que las impone. Es posible que en algunas empresas la función del Comité de Ética se integre en el órgano de supervisión, es decir en el compliance officer. De hecho, este órgano aparece en el proyecto como receptor de denuncias y no como emisor de las mismas. Por ello debe contemplarse la posibilidad de mantener estas funciones repartidas en dos órganos o unificarlas en uno solo, con las correspondientes cautelas en materia de independencia y segregación de funciones que he comentado antes.

Función interna vs. función externalizada

Un problema común a todas las empresas en la actualidad es la escasez de recursos, derivada de un estricto control presupuestario. Ello hace pensar en la posibilidad de que algunas de las funciones correspondientes al compliance officer puedan ser externalizadas. También puede hablarse de un “implant”, como sucede en el caso de Data Privacy Officer (DPO).

Teniendo en cuenta que en el proyecto actual la existencia de este órgano de supervisión y control es una de las medidas exigidas para evitar la responsabilidad personal de los representantes legales de la empresa, la externalización puede ser una alternativa a considerar.

Las ventajas de la externalización son claras:

  1. Mayor objetividad en el control.
  2. Independencia.
  3. Mayor respeto (menos confianzas) a un profesional externo que a un interno.
  4. Mayor aceptación de un control externo que de un control interno.
  5. Nivel de especialización más alto.
  6. Supervisión del trabajo por el socio responsable (política de cuatro ojos).
  7. Aprovechamiento de la experiencia obtenida en otros clientes.
  8. Secreto profesional y acuerdos de confidencialidad.
  9. Seguro de Responsabilidad Civil profesional.
  10. Sustitución en caso de baja.
  11. Ahorro de costes.

En el caso de no apostar por la externalización, lo menos recomendable sería crear un departamento sobredimensionado, ya que, como he dicho antes, el compliance officer puede apoyarse perfectamente en los distintos expertos internos y externos que habitualmente asesoran a la empresa en las materias de fondo.

Finalmente, cabe decir que, en mi opinión, la responsabilidad penal no es externalizable. Al menos en términos generales. El control es inherente a la representación legal y debe estar cerca de la fuente que origina el riesgo, revestido de una capa de conocimiento de la empresa que difícilmente puede llegar a tener un profesional externo. No obstante, cabe la posibilidad de que un profesional externo asuma responsabilidad penal por la vía de la delegación contractual del deber de control y por la vía de la representación legal, asumiendo poderes de la empresa o participando en el Consejo como consejero. Todo ello siempre que no se produzca una delegación instrumental de la función de control a un “responsable penal profesional”, es decir, a alguien que cobre por asumir las consecuencias de la omisión del control.

Finalmente, el conocimiento de la empresa puede llegar a adquirirse con los años y con el apoyo de los expertos internos y de los responsables de cada control.

Funciones del compliance officer

Entre las funciones del compliance officer como órgano de supervisión y control destacaría las siguientes:

  1. Evaluación continua de riesgos basada en los expertos internos y externos.
  2. Evaluación periódica del código ético y del modelo de prevención y control.
  3. Evaluación continua de los controles y de su eficacia.
  4. Identificación de carencias.
  5. Propuestas de mejora y actualización del modelo.
  6. Alerta sobre posibles riesgos.
  7. Denuncia de infracciones al Comité de Ética, en su caso.
  8. Propuesta de sanciones a RRHH en el caso de asumir las funciones del Comité.

Compliance officer o cómplice officer

Como conclusión de las reflexiones sobre las principales cuestiones que la figura del compliance officer suscita en el proyecto de reforma del Código Penal, y de forma independiente a las decisiones que cada empresa adopte en relación a los puntos comentados, en mi opinión, el nivel de responsabilidad penal del compliance officer dependerá principalmente de los siguientes factores:

  1. El nivel de delegación al compliance officer por parte del Consejo o de la representación legal de la empresa en cualquiera de sus formas, de la función de control.
  2. El traspaso o no de poderes.
  3. La existencia de un deber contractual de control.
  4. La existencia de una ley que le asigne un deber de control.
  5. El alcance de la actividad de control encomendada.
  6. El carácter previo o posterior a la infracción de la función de control asignada.
  7. El nivel de independencia con el que desarrolle su función.
  8. La diligencia demostrada en la prevención.
  9. La pruebas acumuladas a lo largo de su actividad que acrediten el control efectivo.
  10. El nivel de complicidad o implicación en los actos delictivos.
  11. La concurrencia de una tolerancia dolosa.
  12. La actividad desarrollada tras el descubrimiento del delito.
  13. El nivel de reparto o distribución de las funciones de control entre los distintos directivos y departamentos de la empresa.

Téngase en cuenta que, aunque el compliance officer es el especialista del control, su función es transversal y que las obligaciones de control están repartidas entre los distintos directivos de la empresa. Por ejemplo: al CIO corresponderán los controles tecnológicos, al CISO los controles en materia de seguridad, al CFO los controles financieros, al DPO los controles en materia de privacidad y protección de datos, y así sucesivamente hasta completar todo el organigrama de control.

En conclusión, cada directivo tendrá sus obligaciones de control y el compliance officer será el que verifique el cumplimiento de dichas obligaciones y la eficacia del control en todos los niveles de la empresa, limitándose su responsabilidad a la esfera laboral, salvo que concurran circunstancias que modifiquen su nivel de implicación en el control o en el delito.

Este artículo es especialmente extenso porque es la base de un manual del compliance officer que estamos preparando en el despacho, por lo que agradeceré cualquier aportación que contribuya a completar el rol de este órgano.

La exención de la responsabilidad penal corporativa en la futura reforma del Código Penal

El anteproyecto de reforma del Código Penal elaborado por el Ministerio de Justicia detalla los requisitos que deben cumplir los modelos de prevención y control (Corporate defense) para que las empresas queden exentas de responsabilidad penal.

El texto recoge y desarrolla el criterio manifestado en la Circular 1/2011 de la Fiscalía General del Estado en relación al llamado “makeup compliance”, representado por protocolos escritos y modelos teóricos que se limitan a describir los sistemas de control y prevención de delitos diseñados, y en muchos casos no aplicados, por las empresas para eludir la responsabilidad penal.

REQUISITOS PARA LA EXENCIÓN DE RESPONSABILIDAD PENAL

La empresa podrá quedar exenta de responsabilidad si prueba que se dan las siguientes circunstancias:

1. Disponer de un modelo de organización y gestión adoptado por el órgano de administración

2. Que incluya medidas de vigilancia y control idóneas para prevenir delitos de la misma naturaleza que los cometidos

3. El modelo de prevención y control debe haber sido ejecutado con eficacia

4. Antes de la comisión del delito

5. Debe existir una supervisión del funcionamiento y del cumplimiento del modelo de prevención

6. Asignada a un órgano de la empresa con poderes autónomos de iniciativa y control

7. El autor del delitos tiene que haber eludido de forma fraudulenta las medidas de control

8. No tiene que haberse producido una omisión o un control insuficiente por parte del órgano de supervisión. Se confirma por lo tanto nuestro criterio de que la tolerancia equivale a la derogación del control

9. Si estos requisitos sólo pueden ser acreditados parcialmente, ello será valorado a los efectos de atenuación de la pena, pero no habrá exención de la responsabilidad penal. Se refuerza por lo tanto la necesidad de disponer de medios de prueba que acrediten la efectiva aplicación de las medidas de prevención y control.

REQUISITOS DE LOS MODELOS DE PREVENCIÓN

Los modelos de prevención y control dirigidos a prevenir los delitos de los representantes legales y de los directivos deberán cumplir los siguientes requisitos:

1. Identificarán las actividades en cuyo ámbito puedan ser cometidos los delitos que deben ser prevenidos.

2. Establecerán los protocolos o procedimientos que concreten el proceso de formación de la voluntad de la persona jurídica, de adopción de decisiones y de ejecución de las mismas con relación a aquéllos.

3. Dispondrán de modelos de gestión de los recursos financieros adecuados para impedir la comisión de los delitos que deben ser prevenidos.

4. Impondrán la obligación de informar de posibles riesgos e incumplimientos al organismo encargado de vigilar el funcionamiento y observancia del modelo de prevención.

5. Establecerán un sistema disciplinario que sancione adecuadamente el incumplimiento de las medidas que establezca el modelo.

Los modelos de prevención y control dirigidos a prevenir los delitos de los trabajadores deberán cumplir los siguientes requisitos:

1. Las medidas de prevención y control deberán:

  • Estar adaptadas al tamaño de la empresa
  • Estar adaptadas al tipo de actividades que se llevan a cabo
  • Garantizar el desarrollo de la actividad empresarial conforme a la Ley
  • Permitir la detección rápida y prevención de situaciones de riesgo

2. El funcionamiento eficaz del modelo de prevención requerirá:

  • Una verificación periódica del mismo
  • Una modificación cuando se produzcan infracciones relevantes de sus disposiciones
  • Una actualización cuando se produzcan cambios relevantes en la organización, en la estructura de control o en la actividad desarrollada
  • Un sistema disciplinario que sancione adecuadamente las infracciones de las medidas de control y organización establecidas en el modelo de prevención

CONCLUSIONES

Si la reforma prevista del Código Penal mantiene este texto se habrá producido una ampliación clara de los requisitos exigidos para la exención de la responsabilidad penal de las empresas y será necesaria una actividad de recopilación y conservación de evidencias orientada a acreditar la eficacia de las medidas de prevención y control en la práctica.

Resumen de la nueva ISO 22301 sobre gestión de la continuidad del negocio

La ISO 22301:2012 es el nuevo estándar internacional que especifica los requisitos para configurar y gestionar de forma eficaz un Sistema de Gestión de la Continuidad de Negocio (BCMS por sus siglas en inglés).

Podríamos decir que el BCMS es para la continuidad del negocio lo que el SGSI de la ISO 17799 y la ISO 27001 es la para la seguridad de la información. De hecho, el BCMS y el SGSI comparten el típico proceso continuado de mejora Plan-Do-Check-Act (PDCA) entre otros muchos puntos en común.

Con la implantación de un BCMS una empresa se planteará las siguientes metas:

1. Entender las necesidad de establecer una política y unos objetivos en relación a la gestión de la continuidad del negocio

2. Implantar controles y medidas dirigidas a gestionar la capacidad de la organización para atender incidentes que puedan tener un impacto significativo en la continuidad de su negocio

3. Monitorizar y revisar el rendimiento y la eficacia del BCMS

4. Mejorar continuamente el modelo de acuerdo con una medición objetiva de los resultados

El BCMS, como cualquier otro sistema de gestión, tiene los siguientes componentes:

1. Una política

2. Unas personas con responsabilidades definidas

3. Unos procesos de gestión relacionados con la política, la planificación, la implantación, la operativa, la valoración del rendimiento, la revisión de la gestión y la mejora contínua.

4. Unos documentos que suministren evidencias auditables

5. Cualquier proceso de gestión de la continuidad del negocio que sea relevante para la organización

La ISO 22301:2012 es aplicable a organizaciones de cualquier tipo y tamaño que deseen:

1. Establecer, implantar, mantener y mejorar un BCMS,

2. Asegurar la conformidad con políticas declaradas de continuidad de negocio

3. Demostrar la conformidad a terceros

4. Solicitar la certificación o registro de su BCMS por parte de una entidad de certificación

5. Realizar una autoevaluación o una autodeclaración de conformidad con este estándar internacional.

En mi opinión, la implantación de un BCMS conforme con esta ISO supone una prueba inequívoca de la diligencia debida y del esfuerzo realizado por una empresa para garantizar la continuidad de su negocio, contribuyendo al objetivo de minorar su responsabilidad por los daños causados a terceros a causa de la interrupción de su actividad, prestación de servicios o suministro de productos.

Al mismo tiempo, genera evidencias de la existencia de controles preventivos que pueden permitir enervar la responsabilidad penal en el caso de delitos directamente relacionados con la continuidad del negocio, como los delitos medioambientales, el delito de daños o los delitos los relacionados con la seguridad de la información.

Esta ISO es altamente recomendable para los proveedores de outsourcing, cloud computing y hosting, así como para las empresas que gestionan infraestructuras críticas.