D&O y compliance: más allá de lo penal
El compliance nació como una función específica de prevención, para anticiparse a los riesgos de fraude, corrupción o mala praxis antes de que se materializaran, protegiendo tanto a la empresa como a quienes la dirigían. La responsabilidad penal de las personas jurídicas fue uno de los motivos que impulsó su desarrollo, pero nunca fue el único territorio del compliance, y más aún, en la actualidad el terreno que abarca se ha agrandado enormemente.
Lo que más ha evolucionado es el alcance de lo que un directivo debe vigilar activamente. La ciberseguridad, los criterios ESG - ambientales, sociales y de buen gobierno - y, más recientemente, la inteligencia artificial se ha incorporado a ese mismo terreno de vigilancia debida, y en varios de ellos - no solo en el ámbito tradicionalmente penal - una omisión grave o deliberada puede seguir derivando en responsabilidad penal, no solo civil o administrativa.
Este blog recorre ese mapa completo, y en cada punto analizaremos la motivación y la eficacia del seguro D&O: primero en la base penal y de compliance, y después en los frentes a los que se está abriendo el gobierno corporativo.
El vértice penal en el compliance
Responsabilidad penal y fianza judicial:
Desde que la responsabilidad penal de las personas jurídicas se incorporó al Código Penal, un administrador puede verse investigado por presuntos delitos económicos cometidos en el seno de la organización, aunque él no haya participado directamente en los hechos, si se considera que no ejerció la vigilancia debida. Abrirse una causa penal no implica culpabilidad, pero sí conlleva, desde el primer momento, la necesidad de una defensa letrada especializada y, en determinados casos, la exigencia de una fianza judicial para evitar el embargo cautelar del patrimonio personal mientras dura el procedimiento.
Es precisamente en ese tramo inicial, antes de que exista ninguna declaración de culpabilidad, donde el seguro D&O tiene un sentido práctico inequívoco. El administrador afronta gastos reales e inmediatos por un proceso cuyo desenlace todavía se desconoce, y es ahí donde la póliza adelanta los honorarios de la defensa penal desde el primer momento de la investigación. En las pólizas que incluyen esta extensión, además, puede anticipar el importe de la fianza judicial en forma de préstamo, evitando que el administrador tenga que malvender activos personales mientras se resuelve la causa.
Gastos de defensa en juicio penal, con independencia del resultado:
Una causa penal contra un administrador puede prolongarse durante años, con varias instancias y recursos, y los honorarios de abogados penalistas, procuradores y peritos se acumulan independientemente de cómo termine el proceso. Incluso cuando el administrador resulta finalmente absuelto, esos costes ya se han generado y rara vez son recuperables en su totalidad, ni siquiera con una condena en costas a la parte contraria.
Este es uno de los puntos donde el seguro D&O resulta más determinante, porque no condiciona su respuesta al resultado del juicio: cubre la defensa desde el inicio del procedimiento y durante toda su duración, tanto si el administrador es declarado culpable (dentro de los límites de la póliza, y siempre que no medie dolo) como si resulta absuelto. Sin esta cobertura, el propio coste de defenderse - con independencia de la inocencia del directivo - ya representaría un golpe económico serio para su patrimonio personal.
El seguro D&O ante las grietas del compliance
Ningún plan de prevención de fraude elimina el riesgo por completo: por bien diseñado que esté, puede fallar por un error humano, una omisión puntual o un empleado que actúa al margen de los protocolos establecidos. Cuando esa grieta se traduce en una investigación o una reclamación contra el administrador, el seguro D&O es la pieza que responde donde el compliance, por definición preventivo, ya no puede actuar.
Esta relación funciona también en sentido inverso. Las aseguradoras de D&O no fijan la prima únicamente en función de la facturación o el sector: valoran el nivel de madurez del compliance interno de la empresa (formación, canal de denuncias activo, auditorías periódicas) como indicador del riesgo real. Una empresa con un plan de prevención sólido y actualizado no solo reduce la probabilidad de que el fallo llegue a materializarse, sino que además accede a mejores condiciones de suscripción; una empresa con compliance débil o inexistente encontrará primas más altas y mayores restricciones en su póliza.
Nuevos frentes de vigilancia imprescindible: cyber, ESG e inteligencia artificial
El vértice penal define el terreno más antiguo y mejor delimitado de esa vigilancia debida. Pero el mismo principio - que un directivo responde no solo por lo que hace, sino por lo que debería haber vigilado y no vigiló - se ha extendido a otros terrenos donde la normativa y la exigencia de los tribunales avanzan con rapidez: la ciberseguridad, los criterios ESG y, de forma incipiente, la inteligencia artificial.
Ciberseguridad: cuando la falta de prevención se convierte en decisión de gestión
La ciberseguridad ha dejado de ser un asunto exclusivamente técnico, delegado sin más al departamento de IT. Estamos hablando de un asunto de trascendencia vital para la empresa. Los reguladores y los tribunales empiezan a tratar la falta de medidas de ciberseguridad razonables como una decisión de gestión de la que el consejo puede ser considerado responsable, especialmente cuando se ignoró el riesgo y no se actuó en consecuencia.
Ejemplo El consejo de una empresa de distribución encarga una consultoría externa de ciberseguridad, que entrega un informe detallando vulnerabilidades graves en los sistemas de la compañía: contraseñas sin renovar en accesos críticos, copias de seguridad sin verificar y ausencia de un plan de respuesta ante incidentes. El informe recomienda una inversión concreta y un plazo de implementación, pero la propuesta se aparca por motivos presupuestarios. Meses después, la empresa sufre un ataque de ransomware que paraliza su operativa durante semanas y sitúa a la sociedad en un rango reputacional muy bajo con sus clientes, provocando una caída de ventas. Varios accionistas responsabilizan a los consejeros por no haber actuado ante una advertencia conocida y documentada. |
La red de seguridad del seguro de D&O: la decisión de aparcar la inversión recomendada es, en sí misma, un acto de gestión, y es precisamente ese acto el que el D&O traslada a una cobertura aseguradora: si los consejeros son demandados por ello, el seguro asume los costes de defensa legal y, si se determina responsabilidad, la indemnización correspondiente, siempre que no se acredite negligencia grave o dolo en la decisión de no actuar.
Criterios ESG: cuando el incumplimiento normativo se convierte en riesgo personal
Los criterios ESG - ambientales, sociales y de buen gobierno - han pasado de ser un compromiso voluntario o de imagen a formar parte de obligaciones normativas concretas: reporting de sostenibilidad, diligencia debida en la cadena de suministro, compromisos climáticos declarados públicamente. Cuando una empresa incumple lo que ha declarado o lo que la normativa exige, la responsabilidad puede no quedarse en la compañía: distribuidores, socios comerciales o reguladores pueden dirigir la reclamación contra los administradores que aprobaron esa estrategia o que no supervisaron su cumplimiento.
Ejemplo Una empresa de moda anuncia públicamente un compromiso de sostenibilidad en su cadena de suministro, incluido en su memoria anual y en su comunicación comercial. Varios distribuidores habían firmado acuerdos comerciales exigiendo esa certificación como condición para vender la marca en sus propios canales, algunos de ellos ya comprometidos frente a sus propios clientes. Una investigación periodística revela que varios proveedores incumplen sistemáticamente las condiciones exigidas por la propia política de la empresa, y que el consejo tenía informes internos que ya advertían de estos incumplimientos sin actuar sobre ellos. Los distribuidores afectados presentan una demanda alegando que la certificación de sostenibilidad en la que confiaron para sus propios compromisos comerciales era falsa, y que los consejeros conocían la discrepancia. |
Fundamentos para mantener un seguro adecuado de D&O:
El seguro traslada ese riesgo de gestión a una cobertura que asume la defensa legal frente a los distribuidores afectados o ante un eventual expediente regulatorio, y la indemnización si se determina responsabilidad (salvo que hubiera sido declarada dolosa la comunicación pública realizada por los directivos implicados).
Inteligencia artificial: un riesgo real en un marco todavía por asentar
A diferencia de los dos frentes anteriores, la inteligencia artificial no cuenta todavía con un marco normativo consolidado que defina con precisión qué se espera de un administrador en esta materia. En el momento de la publicación de este blog, el Reglamento europeo de IA está en proceso de aplicación progresiva, y buena parte de la responsabilidad que puede derivarse de su uso en la gestión empresarial se apoya, por ahora, en principios generales de diligencia debida más que en obligaciones específicas ya asentadas por los tribunales. Eso no elimina el riesgo: significa que conviene tratarlo con prudencia, sin dar por sentado que existe una obligación de compliance tan definida como en el ámbito penal o en cyber.
Aun así, ya se perfila un escenario de exposición: cuando el consejo aprueba el uso de sistemas de inteligencia artificial en procesos con impacto económico relevante, sin la validación técnica suficiente antes de su implementación.
Ejemplo Una entidad financiera implementa un sistema de IA para automatizar la evaluación de solicitudes de crédito, con el objetivo de reducir tiempos de respuesta y costes operativos. El proveedor del sistema advierte, en la documentación técnica, que el modelo debe someterse a un periodo de pruebas en paralelo con el sistema anterior antes de operar en solitario, pero el consejo decide activarlo directamente para adelantar los resultados previstos. Meses después se detecta un error de calibración en el modelo que ha aprobado sistemáticamente créditos a perfiles de alto riesgo, generando una morosidad muy superior a la habitual y pérdidas significativas. Un grupo de accionistas presenta una demanda alegando que el consejo aprobó la implementación sin la validación técnica que el propio proveedor había recomendado. |
Fundamentos para mantener un seguro adecuado de D&O:
El seguro traslada ese riesgo de gestión a una cobertura que asume la defensa legal frente a los distribuidores afectados o ante un eventual expediente regulatorio, y la indemnización si se determina responsabilidad (salvo que hubiera sido declarada dolosa la comunicación pública realizada por los directivos implicados).
Conclusión
El compliance nació para anticiparse al riesgo de fraude en el seno interno de las organizaciones mediante procesos de control interno que ofrecían cierta seguridad. Durante años, la gran preocupación de los administradores fue el riesgo penal, pero actualmente se ha ampliado a otras consecuencias. El entorno de vigilancia interna se extiende ahora también a la ciberseguridad, a los criterios ESG y, de forma incipiente, a la inteligencia artificial. Un administrador responderá no solo por lo que hizo, sino también por lo que pudo hacer y no ejecutó, por lo que debía vigilar y no vigiló.
Si bien el nivel de exigencia normativa varía en cada uno de estos tres frentes, la preocupación se dirige a todos los focos de contingencia. Aunque en el caso de la IA, todavía se está formando una legislación más precisa, el dinamismo de su implantación generalizada debe hacer reaccionar a las empresas para que la incluyan en sus mapas de riesgos.
El seguro D&O acompaña esa evolución sin depender de que exista una ley específica y consolidada en cada terreno. Su papel es trasladar el riesgo de una decisión de gestión deficiente - ya sea no invertir en ciberseguridad, no supervisar un compromiso ESG o activar un sistema de IA sin la validación debida - a una cobertura que asume la defensa legal y la indemnización correspondiente, siempre que no medie dolo o negligencia grave por parte del administrador
¿Tu póliza D&O responde ante estos nuevos frentes?
Muchas pólizas D&O en el mercado siguen redactadas pensando solo en el riesgo penal clásico, sin contemplar de forma explícita cómo responden ante decisiones de gestión en ciberseguridad, ESG o inteligencia artificial. Es un terreno donde la letra pequeña importa más que nunca.
En InsurCEO revisamos tu póliza actual para identificar estas zonas de ambigüedad, y te ayudamos a contratar una cobertura que responda a los riesgos reales de tu órgano de administración, no solo a los tradicionales.
InsurCEO - Digital Insurance for your Business - www.insurceo.com