El 2022 ha sido un año de cambios en el ámbito del Compliance, cambios que han seguido una tendencia sostenida de años anteriores y que podrían continuar en reformas futuras, como lo son la potencial publicación de la reforma penal con la sistematización de delitos económicos y contra el medio ambiente, actualmente en segundo trámite constitucional (Boletines 13205-07 y 13204-07).
Dentro del ámbito de la responsabilidad penal de las personas jurídicas (Ley N°20.393), por de pronto, hemos visto acontecer una serie de modificaciones como lo son: la publicación de la Ley N°21.325 sobre la migración y control de extranjería; Ley N°21.412 relativa al fortalecimiento del control de armas (regulado en la ley N°17.798); y la muy reciente publicación de la Ley N°21.488, la cual incluye tipos penales relativos a la sustracción de madera.
Ahora bien, el evento que ha causado mayor repercusión en el medio nacional ha sido la publicación de la Ley N°21.459 sobre delitos informáticos. Con esto, se deroga la Ley N°19.223 y se busca aterrizar los objetivos del Convenio de Budapest -firmado por nuestro país en 2017, y cuyo segundo protocolo se ratificó este año-, considerando armonizar el derecho sustantivo de cada país miembro a las nuevas exigencias, implementar medidas procesales para su persecución y favorecer la cooperación internacional. De esta forma, se incorporan nuevos tipos penales, como: ataque a la integridad de un sistema informático; acceso ilícito; interceptación ilícita; ataque a la integridad de los datos informáticos; falsificación informática; receptación de datos informáticos; fraude informático; y abuso de los dispositivos. Todos estos tipos penales se han hecho extensivos a la persona jurídica, lo cual se hará efectivo desde el 20 de diciembre.
Junto con lo anterior, los recientes ataques de ciberseguridad contra algunas instituciones del Estado han promovido el debate sobre si las empresas o instituciones están preparadas para enfrentar estas amenazas.
Dada esta fuerte tendencia de cambio, y haciendo eco en las interrogantes comunes, propongo siete recomendaciones sobre cómo abordar estas materias en los Programas de Compliance, especialmente en aquellos abocados a la Ley de Responsabilidad Penal de las Personas Jurídicas: primero, realizar un diagnóstico sobre lo que ya está implementado en la empresa y sus falencias, por ejemplo, es probable que existan políticas y/o controles abocados a la seguridad de la información, accesos, segregación de funciones, etc. En este sentido, se recomienda evitar siempre la creación de controles que no hagan sentido al normal operar de la empresa.
En segundo lugar, no todos los delitos serán igualmente aplicables a las personas jurídicas -no olvidemos que, para que apliquen a la empresa, estos deben haber sido cometidos en su provecho-, por ejemplo: si se compra una base de datos obtenida producto de un acceso ilícito a los sistemas de otra entidad, bien podría entenderse que ello implica un beneficio, puesto que la compañía puede utilizar dicha información en su provecho (receptación de datos informáticos), sin embargo, parece menos probable que la empresa obtenga un beneficio cuando sus propios sistemas son atacados o han sufrido accesos ilícitos.
Como tercer punto, se recomienda abordar la identificación de riesgos según las operaciones o áreas de la compañía y no por tipo penal, abrazando en lo posible un enfoque preventivo. Así, se debe buscar que la compañía examine sus áreas de riesgo, preguntándose: ¿cuáles son mis operaciones más importantes o críticas? ¿Puedo identificar mis flujos de información? ¿Las funciones de la compañía se encuentran debidamente segregadas? ¿Qué tipo de información o data manejo? Entre otras interrogantes.
Cuarto, evaluar las competencias técnicas de nuestros equipos, ya que la tendencia apunta a la necesidad de contar con profesionales cada vez más calificados. Con lo anterior, se debe promover la conversación entre las áreas, ya que, un actuar mancomunado implicará un aprovechamiento más eficiente de los recursos. En quinto lugar, se debe definir roles, responsabilidades y accesos claros a los sistemas y dispositivos de la compañía y, así también, revisar contratos que puedan verse afectados. Por otro lado, como sexto punto, es fundamental el comprometer a la alta administración; y finalmente, promover la realización de capacitaciones y refrescar la importancia de denunciar a través de los canales institucionales, sea a las propias jefaturas o a través de líneas de denuncia.
Cabe mencionar que esta aproximación debiese resultar útil no solo en este contexto, sino que también ante cambios venideros; el Compliance está en constante evolución.
* Francisco Bilbao es director Legal y Compliance de BH Compliance.
Fuente: El Mercurio Legal
