El entorno de las ecuaciones legales: Compliance

La predicción de sucesos jurídicos futuros a través de las ecuaciones legales está ligada forzosamente a la disciplina del Compliance en el mundo empresarial.

El concepto de «Compliance» no tiene una definición concreta y consensuada en el mercado en general. El término Compliance tiene una traducción básica de «cumplimiento» de las normas, pero en un ámbito mayor al tradicionalmente utilizado por los abogados de empresa que llevan muchos años haciendo esta labor.

Cumplimiento y Seguridad Jurídica

Tras la reforma del Código Penal se ha dado un nuevo y revolucionario impulso a nuestro ordenamiento jurídico de clara tradición continental. El COMPLIANCE se ha convertido en una nueva disciplina jurídica importada del mundo anglosajón que transforma la manera de entender, interpretar y aplicar el derecho, ya que acarrea una nueva metodología de trabajo orientado a prevenir riesgos legales.

El Compliance penal concretamente pretende evitar delitos cometidos dentro de una organización. Para ello impone la obligación, entre otras, de redactar un manual de prevención de delitos y elaborar una mapa de riesgos penales. También impone la obligación de realizar medidas de vigilancia y controles periódicos orientados a la detección y prevención de incumplimientos.

¿Cómo se pueden probar los sucesos en un sistema de Cumplimiento Normativo?

Normalmente los datos, indicadores, métricas y controles a recoger y tratar en un sistema de cumplimiento normativo suceden en un momento y lugar determinado. Además, a ello hay que añadir, que dichos sucesos deben poderse probar, demostrar y defender frente a cualquier tercero, ya sea éste un órgano sancionador externo o el propio Comité de Compliance interno.

Y ello es importante ya que el derecho se ordena principalmente por el principio territorial donde las tres dimensiones (altitud, latitud y longitud) están íntimamente relacionadas con el tiempo.

A estos efectos, se podría afirmar que los sucesos jurídicos son ‘reales’ y relevantes dependiendo del observador. Y dependiendo del observador (pertenezca a la organización o por el contrario al órgano vigilante y/o sancionador) el suceso y sus consecuencias pueden ser diferentes a ojos de diferentes observadores, aun siendo el mismo suceso.

El Big Data Brother americano

El espionaje siempre ha existido y nunca dejará de existir, pero el espionaje masivo a los ciudadanos y a las empresas era una realidad al menos desconocida por la gran mayoría.

Al parecer, la NSA (National Security Agency) ha recopilado información masiva utilizando «puertas traseras» de los servidores de los grandes operadores de la industria de Internet como Google o Yahoo.

Esta actividad de recolección masiva de datos podría definirse como un claro ejemplo de Big Data. Pero, ¿qué podemos entender como Big Data en este caso actual? Y más importante aún ¿es legal el tratamiento de esta información?, ¿qué conflicto jurídico se plantea a partir de ahora?

La actualidad dibuja un claro caso de vigilancia electrónica en el que un organismo, la NSA, ha utilizado complejos sistemas informáticos para capturar, almacenar, procesar y analizar inmensas cantidades de datos. Lo podríamos llamar el «Big Data Brother».

Frente a la publicación de estas alarmantes noticias se encuentra una Unión Europea gobernada por diversos líderes políticos que no pueden o no quieren aprovechar la ocasión para, al menos, defender los derechos de sus ciudadanos europeos. Un ejemplo de ello es el retraso en la aprobación del futuro Reglamento de Protección de Datos.

A este destacado conflicto internacional hay que sumar el conflicto jurídico que subyace en la colisión de los llamados derechos a la privacidad y/o intimidad frente a la protección de los ciudadanos por parte de los Estados o seguridad nacional.

Los gobiernos están en su derecho de proteger a sus ciudadanos ante cualquier ataque del crimen organizado, pero ¿tienen legitimidad para hacerlo más allá de sus fronteras físicas? ¿pueden recopilar información personal de ciudadanos de todo el mundo? Y es más ¿existe proporcionalidad entre el fin perseguido (seguridad y defensa nacional) y el respeto a los derechos fundamentales y libertades de los ciudadanos extranjeros?

Además hay que añadir las últimas informaciones que apuntan, no sólo a un caso de espionaje a ciudadanos, sino que existen indicios de espionaje empresarial y gubernamental a países amigos.

Cabe destacar que el espionaje industrial también se venía realizando de forma ilegal pero no se conocía que lo realizaran los gobiernos legítimos. De ser cierta esta información, se puede pensar que dicha actividad se viene realizando para dar ventajas competitivas a empresas americanas frente a destacadas empresas extranjeras, por ejemplo, en concursos públicos de grandes infraestructuras.

Y respecto al ciberespionaje a ciudadanos, cabe destacar la presunta vulneración de la intimidad personal y privacidad de los datos personales de ciudadanos extranjeros que no consienten el tratamiento electrónico de estos datos con fines desconocidos.

¿Y cómo podemos solucionar este colosal conflicto? A mi entender, el secreto está en la proporcionalidad y el cumplimiento o compliance de la normativa internacional. Parece desproporcionado que se tenga que «cachear» la información personal de millones para predecir y detener un delito antes de que éste suceda.

Si no queremos crear alarma social ni que se vulneren infinidad de derechos fundamentales por parte de los legítimos representantes del pueblo, regulemos dicha actividad e informemos a los ciudadanos, ya que seguramente la gran mayoría llegue a entenderlo.

El gobierno americano está en su derecho de proteger su estado. El fin que persigue es loable (defenderse de los ataques del crimen organizado) y seguramente los demás estados salen beneficiados indirectamente, pero éstas actividades de tratamiento informático de datos deberían seguir los cauces democráticos conocidos, como son el consenso internacional y la aprobación y divulgación de la pertinente normativa.

Álvaro Écija (Alvaro_ecija)

Artículo originalmente publicado en Expansión.

10 Cualidades del abogado del S.XXI

Algunos me habéis pedido que detalle un poco más los conceptos que avanzaba en mi primer artículo “El abogado del s. XXI” (publicado en este mismo blog), así que he aquí algunas de las cualidades de las que, a mi entender, debería disponer un abogado de este apasionante siglo:

1.- Le encanta el cambio.

Me encanta recordar algunas frases míticas que decíamos hace apenas 10 años: “los abogados no pueden trabajar en espacios abiertos (open office)”, “no podemos facturar de acuerdo a un presupuesto cerrado”, “la publicidad de abogados no se permitirá”, “internet no afectará al sector jurídico”, etc.

Sin embargo, el abogado de este siglo usa las nuevas tecnologías (Blackberry, Google, LinkedIn, Wikipedia, etc.) y se adapta al nuevo medio para prestar un mejor servicio.

¡Y qué decir de la galopante depresión económica que está viviendo el país! Aquellos que se adaptan han empezado a bajar sus rates y a facturar bajo presupuestos cerrados aún sabiendo que solamente cubren costes o incluso pierden dinero.

2.- Ama las Nuevas tecnologías

La irrupción de Internet ha transformado no sólo la forma de consultar las bases de datos jurídicas (leyes, jurisprudencia y doctrina), sino que también ha cambiado la forma misma de prestar el servicio. Hemos dejado atrás el fax para entrar en un mundo de correos electrónicos y de acceso a la información en movilidad y de forma inmediata.

Pero internet no solo ha transformado esta profesión liberal que es la abogacía, sino que también ha afectado a otras aún más importantes, como la medicina. ¿Quién no ha consultado una enfermedad en Google antes de ir a la consulta del médico especialista? Es más: ¿quién no pide una segunda o tercera opinión? Pues lo mismo está ocurriendo con las consultas jurídicas, en las que vemos que a veces el cliente parece saber más que el propio abogado.

Dicho todo lo anterior, no hay más remedio que abrazar lo bueno de las tecnologías de la información, que ofrecen inmediatez, información y, quizá dentro de unos años, ayuden a asesorar a los clientes en base a algoritmos y probabilidades de resoluciones jurídicas.

3.- Es hiperespecialista de una materia

El antiguo abogado sabe un poco de mucho. En la vida personal, eso es un activo ya que, como reza el dicho: “el saber no ocupa lugar”. Sin embargo, en el ejercicio de la abogacía –y principalmente en la de los negocios, donde la competencia es brutal y el mercado global- no vale saber un poco de mucho o incluso mucho de una materia como el mercantil, sino que hay que hiperespecializarse en, por ejemplo, el mercado de valores.

4.- Persigue al cliente de forma proactiva

Cuando yo mismo contrato a un compañero para que me asesore en un asunto personal, me encuentro con situaciones que, como cliente, no me gustan. Así, por ejemplo, me ha sucedido que llamo al móvil de mi abogado y no lo coge. No pasa nada; lo entiendo perfectamente porque puede estar en un juicio o reunión, sin embargo, en la mayoría de los casos, no recibo respuesta a lo largo del día. Y claro, al día siguiente tengo que volver a llamar. ¿No sería más sencillo, contestar por mensaje: “Álvaro, estoy ocupado…. En cuanto esté libre te devuelvo la llamada”? Después, lógicamente, hay que devolver la llamada (en el mismo día).

5.- Hace fácil lo difícil

En un mundo hipercomplejo, conectado y muy competitivo, donde las premisas empresariales de los años 80 y 90 (fabricación industrial en cadena, baja competencia, incluso monopolios de derecho y hecho) se han transformado con la nueva era de la información, lo más complejo hoy en día es hacer fácil lo difícil.

6.- Pregunta y escucha mucho

El abogado de hoy habla poco pero pregunta mucho a su cliente para conocer los hechos y centrar la cuestión planteada. Posteriormente, vuelve a preguntar para conocer hasta el más mínimo detalle de los hechos. Después, manda a su equipo junior a investigar nuevos elementos que puedan afianzar los hechos comentados por su cliente. Y finalmente, habla, normalmente a través de un escrito, demostrando que sabe mucho del derecho concreto que afecta al caso.

7.- No copia a la competencia

Me encanta analizar la descripción de los servicios de distintas páginas web e incluso los currículums de los abogados de una determinada materia. La verdad es que son realmente parecidos. Por dar un ejemplo, estamos asistiendo a una proliferación de abogados especializados en nuevas tecnologías (actualmente, por cierto, un poco antiguas…) y todos hacen y ofrecen los mismo: “privacidad, e-commerce, nuevas tecnologías, etc.”. Pocos he visto que hagan algo diferente, como por ejemplo, Compliance (Cumplimiento Normativo). Es más, me atrevería a decir que en los próximos diez años saldrán muchos abogados especializados en este novedoso servicio llamado “Compliance”.

8.- Vende un “producto”

O lo que es lo mismo: no se vende a sí mismo. El nuevo abogado sabe mucho de una cosa concreta y no hace falta vender su conocimiento. En todo caso demuestra dicho conocimiento, y eso es vender realmente un “producto”. No decirlo, sino demostrarlo.

9.- Usa internet para preguntar, no para buscar

Este abogado del s. XXI, que ya vamos conociendo mejor, usa Google para buscar “preguntas” jurídicas«. No busca sobre la respuesta. Ejemplo: voy a consultar el término homicidio imprudente, a ver qué encuentro. Nuestro abogado no hace eso sino que busca directamente sobre la pregunta. Así, siguiendo con el mismo ejemplo, buscaría: “accidente de tráfico con muerte de peatón”.

10.- Se quita la corbata

Chistes sobre abogados existen muchos, aunque una cosa es cierta: vestimos de forma similar, con traje oscuro y corbata más o menos atrevida. Pues bien, el abogado nuevo de este siglo se deja de ataduras y, metafóricamente, se quita la corbata.

Álvaro Écija (Alvaro_ecija)

Ciberseguridad: el arte de la guerra 2.0

“Conoce a tu enemigo y conócete a ti mismo; en cien batallas, nunca saldrás derrotado”.

Sun Tzu

CIBERSEGURIDAD

El mes de octubre fue designado como el “mes de la Ciberseguridad” en el contexto europeo, y por esta razón, recientemente, se han estado desarrollando diferentes iniciativas, promovidas, principalmente, por Agencia Europea de Seguridad de las Redes y de la Información (ENISA), bajo el lema “La seguridad en Internet requiere la participación de todos”.

A este respecto, es importante señalar que, actualmente, el Ciberespacio constituye un escenario decisivo en el que Gobiernos, Organismos públicos, entidades del sector privado y los propios individuos-usuarios, libran auténticas “batallas”, en las que se disputa la supervivencia y sostenibilidad de un entorno abierto, protegido y seguro.

En este sentido, para librar correctamente la “batalla” de la Ciberseguridad, es indispensable “conocernos y conocer a nuestro enemigo”, es decir, resulta fundamental diagnosticar nuestra situación e identificar: (i) las Ciberamenazas a las que estamos expuestos; y (ii) las principales estrategias de seguridad que podríamos acometer, a fin de contrarrestar tales amenazas, y/o, en su caso, mitigar los riesgos que pudieran derivarse de las mismas.

CONOCIENDO EL CAMPO DE BATALLA

En primer lugar, debemos tener en consideración los diversos fenómenos sociales, políticos y tecnológicos que han venido a redimensionar las estructuras del marco regulatorio del Ciberespacio (a nivel local, europeo y global).

A modo de ejemplo, la dependencia y fácil accesibilidad al Ciberespacio, hacen que cada vez sean más comunes y preocupantes las intromisiones en este ámbito. En buena medida, el Ciberespacio permite la materialización de nuevos riesgos y amenazas. Los Ciberataques, presentados en forma de Ciberterrorismo, Ciberdelito/Cibercrimen, Ciberespionaje o hacktivismo, suponen un importante instrumento de agresión contra particulares e instituciones públicas y privadas.

Asimismo, las Ciberamenazas son cada vez más sofisticadas y representan peligros de primer orden que atentan contra la seguridad y estabilidad de gobiernos y/o entidades del sector privado.

CONOCIENDO AL ENEMIGO

En medio del escenario descrito, tal y como diría el estratega militar Sun Tzu en el siglo IV A.C, “No se puede combatir lo que nos es desconocido”. Por lo tanto, es preciso ser conscientes que la Ciberseguridad es una “batalla” que se disputa en un escenario cambiante y que ahora existen amenazas que podrían tener efectos mucho más complejos y perjudiciales que los derivados de las amenazas tradicionales.

A mayor abundamiento, la ejecución de Ciberataques, el robo de información, el Ciberespionaje industrial, los Ciberdelitos patrimoniales, la propagación de códigos maliciosos, la captación indebida de datos de carácter personal, suponen “enemigos” constantes en este “campo de batalla” llamado Ciberespacio. Dichas Ciberamenazas, a pesar de perpetrarse con cierta regularidad, en ocasiones, ni siquiera son advertidas, ni gestionadas de manera adecuada.

La falta de identificación y gestión de tales Ciberamenazas, parece estar intrínsecamente relacionada con:

(i) la falta de concienciación sobre los riesgos de seguridad asociados a la apertura e interconexión entre el Ciberespacio y los entornos tradicionales; y

(ii) la inadecuada valoración de la Ciberamenaza, que suele percibirse como incierta o improbable.

ESTRATEGIA DE CIBERSEGURIDAD

Para poder hacer frente a nuestro “enemigo”, en la “arena” del Ciberespacio, es preciso medir y gestionar los riesgos detectados, de manera objetiva y repetible. A tal efecto, es fundamental disponer de una estrategia de Ciberseguridad, apoyada en herramientas y metodologías que permitan realizar un análisis pormenorizado de cada uno de los riesgos, mediante catálogos de activos, amenazas y vulnerabilidades, capaces de adaptar metodologías a las particularidades del Ciberespacio.

Asimismo, la estrategia de Ciberseguridad debe responder a un proceso de mejora continua, a cuyo efecto conviene implementar: (i) herramientas de monitorización, que permitan medir la seguridad a través de indicadores alineados con los objetivos de la Organización; (ii) sistemas adecuados para detectar y gestionar los incidentes, a fin de examinar las vulnerabilidades expuestas, así como el procedimiento para manejar su respuesta.

CIBERCOMPLIANCE

Tal y como hemos indicado, en el “Campo de Batalla” del Ciberespacio es indispensable “conocerse a sí mismo”. Esto conlleva: (i) identificar cada una de las circunstancias (normativas, económicas, sociales, tecnológicas etc.), que afectan el desempeño de nuestra actividad en el Ciberespacio; (ii) detectar, analizar y gestionar los riesgos y vulnerabilidades, para poder anticipar la probabilidad de que una amenaza aproveche una vulnerabilidad, y pueda provocar un impacto en nuestra organización, empresa, órgano y/o entidad. Este aspecto puede representarse mediante la siguiente formula:

Riesgo = Impacto X Probabilidad

En este sentido, los servicios de Cibercompliance representan un aliado que colabora, eficazmente, en la identificación, bajo criterios objetivos, de las probabilidades existentes de que un riesgo que pueda afectar nuestro entorno se convierta en un impacto.

Dicho objetivo se conseguiría a partir de la evaluación de las Ciberamenazas, el mapeo de los elementos bajo riesgo, la valoración de la vulnerabilidad y la estimación de costos y/o beneficios, que podrían desprenderse de la implantación de una estrategia de Ciberseguridad integral.

De esta manera, los sujetos afectados en el entorno del Ciberespacio, podrán librar las “batallas” en contra de los “enemigos de la Ciberseguridad”, mediante modelo de gestión que permita avanzar de la simple prevención a la detección y respuesta planificada a las posibles Ciberamenazas, en un contexto que permita (i) la Ciberresiliencia; (ii) la reducción de las Ciberamenazas; (iii) el desarrollo de una política de Ciberdefensa, y (iv) el establecimiento de una estrategia integral y coherente en materia de Ciberseguridad.

Álvaro Écija | @Alvaro_Ecija

Managing Partner at Ecix Group

Tag: compliance