La cuestión es que los administradores y directivos asumen nuevos riesgos en su toma de decisiones, los procesos a través de los cuales se controlan los riesgos de la empresa, y el cumplimiento de la normativa aplicable a cada actividad. Son responsabilidades muy reguladas en el ámbito financiero, pero también en empresas no financieras hay riesgos como son los relacionados con las bases de datos y su protección, o los riesgos medioambientales. Especial relevancia tienen los llamados riesgos cibernéticos, y los problemas con los procesos tecnológicos de información y comunicaciones.
En este artículo vamos a destacar algunas cuestiones de interés sobre el aseguramiento de estos riesgos, contando con la experiencia y especialización de Globalfinanz en este tipo de seguros.
¿Por qué no nos vale cualquier seguro de administradores y directivos?
La razón básica está en los cambios recientes del Código Penal y en la Ley de Sociedades de Capital, que responsabiliza penalmente a las personas jurídicas –las propias sociedades- por hechos y actuaciones de sus administradores y directivos, y por ende a estos. La reforma normativa ha endurecido notablemente el régimen de responsabilidad de los administradores y directivos de las empresas, así como las exigencias sobre procesos de supervisión, vigilancia y control, cuya responsabilidad última corresponde a los administradores.
Los administradores y directivos son legalmente responsables tanto de errores como de omisiones en la gestión de la sociedad, respondiendo de forma personal y con su propio patrimonio, de forma solidaria e ilimitada.
Las consecuencias de las reclamaciones contra ellos, gastos de defensa, e indemnizaciones en su caso pueden ser muy gravosas tanto para la persona jurídica como para los consejeros y directivos.
Además, hay que considerar otros daños como en la reputación, que se pudieran sufrir, y que exigen un asesoramiento especializado.
Cobertura necesarias
Por lo expuesto anteriormente, la cobertura de defensa penal es necesaria en los seguros de administradores y directivos, y concretamente:
- Cobertura para la sociedad en procedimientos civiles y penales.
- Gastos de defensa por reclamaciones en seguridad y salud laboral, o prácticas de empleo indebidas –lo destacamos por ser uno de los casos más comunes-.
- Aparecen además nuevos riesgos derivados del incumplimiento normativo, el tratamiento de datos personales, y los cibernéticos.
- Otros gastos de defensa por responsabilidades, como pueden ser errores en la gestión que causen perjuicios a terceros, o reclamaciones derivadas de posibles incumplimientos de deberes, declaraciones erróneas o inexactas que hayan podido inducir a error, o negligencias.
Especial importancia tiene la cuestión del cumplimiento normativo. Las sociedades que tienen desarrollada la GRSCC (Gobernanza, Responsabilidad Social Corporativa y Cumplimiento), merecen una consideración especial en el seguro, porque disponen de un programa y unos procesos que reduce el riesgo y facilita la defensa, en su caso.
La cobertura ha de extenderse, entre otras, a la propia función del Compliance Officer, como ocurre con el seguro que ofrece Globalfinanz.
Otras ventajas del seguro es que la elección de abogados es libre, y además se independiza la defensa de la sociedad de la de los administradores y directivos, evitando así posibles conflictos de intereses.
¿A quién cubre este seguro?
Es un seguro que abarca a cualquier persona que pudiera verse afectada como miembros del órgano de administración, incluyendo secretario, administradores ejecutivos, altos directivos y gerentes, fundador vinculado, y cónyuges y herederos.
Y a las personas responsables de la supervisión, vigilancia, prevención y control, tales como el director de Cumplimiento, de Protección de Datos, de Control Financiero, o de Asesoría Jurídica interna, entre otros.
La evolución de las pólizas en consonancia con los nuevos riesgos
Las coberturas en materia penal incluyen:
- Los gastos de defensa incurridos por la sociedad en cualquier procedimiento penal por reclamaciones de índole corporativa.
- Las mencionadas por presuntas prácticas de empleo indebida.
- La posible acusación de homicidio en relación a procedimientos judiciales en materia de seguridad y salud.
- Los gastos y constitución de fianzas penales.
- Reclamaciones a la sociedad por una posible responsabilidad civil de administradores y directivos.
- Gastos de defensa por reclamaciones por daños de todo tipo, incluidos los de contaminación, o por posible incumplimiento de contrato.
- Gastos legales de un accionista derivados de una acción social de responsabilidad.
- Por posible suplantación de identidad.
- Para mitigar daños de reputación.
Análisis de las pólizas
Resulta necesario revisar todas las pólizas de este tipo de seguros anteriores a 2015, labor que realiza Global Finanz en relación a las modificaciones introducidas por la Ley de Sociedades de Capitales, las nuevas fianzas y gastos que contempla la legislación penal española, y todo lo relacionado con el cumplimiento normativo.
Se pone especial cuidado en la revisión de las exclusiones, incluidos los incumplimientos que pudieran considerarse dolosos.
Cuando se haya realizado esta revisión se negociarán las nuevas condiciones del seguro.
Es particularmente importante comprobar que se incluyen todas aquellas personas –y sus circunstancias- que hemos recogido en el apartado: “¿A quién cubre este seguro?”
Tipos de reclamaciones más frecuentes
Con los últimos datos disponibles, y de manera aproximada, el 23% de las reclamaciones se dan en el sector servicios; 22% en inmobiliarias y construcción; 20% en entidades financieras, 15% en sociedades del sector industrial; 10% en ONGs y Fundaciones; 3% en empresas públicas; y el resto corresponde a una diversidad de sociedades y sectores.
Casi el 70% de las reclamaciones se dirigen a personas físicas, y las colectivas se producen sobre todo en empresas pequeñas. El CEO es la figura más reclamada, pero aumentan las reclamaciones a directivos relacionados con la parte financiera, o con responsabilidades concretas.
Los accionistas son el primer grupo reclamante, y basan sus demandas en delitos societarios, administración desleal, inversiones erróneas, sobreprecios en adquisiciones, y pasividad en la gestión. Especialmente se dan cuando la gestión deriva en insolvencia.
El caso de seguros especialmente diseñados para riesgos cibernéticos
A modo de ejemplo, presentamos la propuesta de Globalfinanz sobre este riesgo que hemos tratado con detalle en artículos anteriores.
Los datos sobre ciber ataques muestran un escenario preocupante, tanto en el número de incidencias detectadas, como en la gravedad ocasional de las mismas. Además, hay casos que no salen a la luz para evitar daños en la reputación de la sociedad. La exposición es obvia, pues cualquier entidad que almacene, manipule o transmita datos se encuentra expuesta a sufrir un robo de datos o una disrupción de sus sistemas. Los daños pueden ser graves, ya que las empresas dependen de sus recursos tecnológicos y si sus sistemas sufren una intrusión puede derivar en una interrupción de su actividad y consecuentemente en un daño económico importante. La asunción de los costes de una brecha de seguridad por estos motivos puede afectar gravemente a la empresa.
Dos casos recientes, muy diferentes, son una buena prueba de lo que decimos. Uno es el de Equifax y Experian, que proporcionan calificaciones crediticias de pequeños préstamos, y que han visto expuesta la información de más de 124 millones de prestatarios; lo fabuloso de la cifra lleva a una reconsideración del papel de los “credit bureau”, especializados en proporcionar información sobre posiciones deudoras y comportamiento de prestatarios en el pago de sus deudas. El otro caso es el de British Airways, que debió suspender todos sus vuelos en Londres, creando un caos inimaginable en el aeropuerto, ante un fallo de sus ordenadores que se diagnosticó que había sido simplemente un problema eléctrico de exceso de potencia. Sea intencionado, sea por falta de seguridad, las consecuencias son costosas, afectan a la reputación y confianza en las compañías, a su negocio, se exponen a demandas e indemnizaciones cuantiosas, caen sus cotizaciones y valor, y son objeto de sanciones administrativas.
Es importante destacar que en mayo de 2018 entró en vigor el Reglamento Europeo de Protección de Datos Personales, que endurece significativamente las sanciones por incumplimiento de la normativa, contemplando cifras de hasta 20 millones de euros o el 4% del volumen anual de negocio para casos de excepcional gravedad.
Para enfocar adecuadamente el aseguramiento hay que ver de dónde puede surgir el problema, pues no es igual sufrir una violación de seguridad por un sofisticado ataque externo, a pesar de las medidas de seguridad adoptadas, que errores internos que supuestamente pueden evitarse con los procedimientos adecuados.
- Aproximadamente, el 71% de las violaciones de seguridad son por delincuentes cibernéticos o “hackers”.
- 11,5%, por errores de empleados; y 9,5% por acciones malintencionadas de empleados.
- Los socios y directivos son responsables directamente del 4% de las violaciones de seguridad.
- Y, por último, otro 4% se debe a contrataciones externas que encuentran acceso indebido a los sistemas de la sociedad con la que tienen relaciones. Las asesorías se ha visto que son uno de los principales objetivos de ataque debido a la calidad de la información que manejan, y al hecho de que suelen tener sistemas de seguridad más vulnerables.
¿Qué debe cubrir la póliza de riesgos cibernéticos?
Lo anterior nos dice que hay que hacer un diagnóstico de las características de la empresa y dónde están principalmente sus riesgos, primero para evitarlos mediante los procesos adecuados; y luego, para cubrirlos mediante un buen seguro.
El seguro cubrirá al asegurado frente a ataques de virus y delincuentes informáticos, así como ante posibles errores de empleados. Las principales coberturas son:
- Responsabilidad por vulneración de privacidad.
- Responsabilidad en materia de seguridad de redes.
- Sanciones administrativas.
- Interrupción de actividad y pérdida de beneficios.
- Gastos de respuestas a incidentes.
- Pérdida de datos y reposición
- Extorsión cibernética.
¿A quién cubre la póliza?
La cobertura debe abarcar lo siguiente:
- La sociedad tomadora y sus filiales conectadas.
- Cualquier persona física con relación laboral con la sociedad.
- Las personas responsables directas como el responsable de seguridad informática, de cumplimiento, y las personas que tienen responsabilidad en la estrategia de los procesos de seguridad y su implementación, tal como se detalla en los artículos anteriores publicados.
- Se amplía a cónyuge, pareja de hecho o heredero de los anteriores.
A modo de síntesis, un esquema final
Destacamos cuatro crisis que puede sufrir la empresa por un problema cibernético:
- De sus sistemas.
- Legal.
- Financiera.
- En su reputación.
Las respuestas del seguro se orientan así:
- Para los sistemas, con un servicio de informática forense, analizando y conteniendo el incidente para que sólo tenga consecuencias técnicas.
- Para el ámbito legal, con servicios legales de primeras respuestas, sobre la obligación de notificarlo a los afectados, y dando respuesta y seguimiento a las quejas planteadas.
- La protección financiera abarca la pérdida por interrupción en las redes de comunicación y por tanto de actividad de la empresa, las sanciones administrativas que se puedan imponer, y la protección ante un evento de extorsión.
- Y en lo que se refiere a la reputación, el establecimiento de protocolos de comunicación, los servicios de restauración de identidad, y los servicios de restitución de imagen.
Es interesante señalar que la contratación de un seguro es una buena ocasión para comprobar que los procesos en la compañía en relación a los sistemas cibernéticos están razonablemente bien diseñados y se implementan adecuadamente, contándose con medios suficientes. Poniendo un símil de un seguro tan tradicional como el de vida, de la misma manera que contratar un buen seguro supone una oportunidad para chequear la salud del asegurado, contratar un bien seguro de riesgos cibernéticos es también una ocasión para comprobar la salud cibernética de la compañía.
Puede calcular al momento el seguro de riesgo cibernético y al de responsabilidad de administradores y directivos en los siguiente enlaces:
https://www.responsabilidadconsejerosydirectivos.com/calcular-seguro-riesgos-ciberneticos/
