“¡No toquen nada!“. Eso es lo primero que los expertos en investigaciones internas dicen a sus clientes cuando les llaman para requerirles que rastreen hasta las entrañas de sus negocios tras detectar una irregularidad. El simple encendido de un dispositivo electrónico puede provocar la modificación de información tan básica como la fecha de último acceso a un archivo, lo que después puede suponer una traba en un juicio. Las empresas contratan estos servicios especializados, como si de policías se tratase, que prestan, habitualmente, las grandes firmas de servicios profesionales por la necesidad de contar con sus sofisticados equipos tecnológicos y programas informáticos para esclarecer qué ha ocurrido en el seno de una compañía en un momento determinado.. Seguir leyendo
Grandes firmas de servicios profesionales son contratadas para averiguar qué ha ocurrido en el seno de una compañía en un momento determinado
Feed MRSS-S Noticias
“¡No toquen nada!“. Eso es lo primero que los expertos en investigaciones internas dicen a sus clientes cuando les llaman para requerirles que rastreen hasta las entrañas de sus negocios tras detectar una irregularidad. El simple encendido de un dispositivo electrónico puede provocar la modificación de información tan básica como la fecha de último acceso a un archivo, lo que después puede suponer una traba en un juicio. Las empresas contratan estos servicios especializados, como si de policías se tratase, que prestan, habitualmente, las grandes firmas de servicios profesionales por la necesidad de contar con sus sofisticados equipos tecnológicos y programas informáticos para esclarecer qué ha ocurrido en el seno de una compañía en un momento determinado.. Son conocidos los casos de grandes empresas que han utilizado el resultado de estas pesquisas para esquivar una eventual responsabilidad penal, como hicieron BBVA e Iberdrola tras salpicarles el caso Villarejo, que confiaron para ello en PwC. Pero también estos trabajos son requeridos para evitar toparse con nuevas sorpresas en mitad de procesos clave como las refinanciaciones. Ese fue el caso de Dia, que pidió a EY que buceara en sus cuentas; Deloitte, que detectó una “posible falsificación de contratos” en EiDF, en un momento en el que la compañía de renovables atravesaba una dura situación financiera; o KPMG, que reveló que en Pescanova se habían manipulado los resultados financieros.. No solo las big four realizan estos servicios forenses; también las grandes consultoras tienen equipos especializados para seguir la pista de posibles casos de fraude, corrupción, salidas de efectivo, apropiación indebida, manipulación contable, competencia desleal, conflicto de interés u otro tipo de prácticas ilegales internas o poco éticas. Los primeros pasos de los forensic se dieronen el 2000, cuando se reformó la Ley de Enjuiciamiento Civil (LEC), que abrió la puerta a los informes periciales de parte. Hasta entonces, estos análisis solo podían ser solicitados por los jueces para entender hechos de los que no tienen conocimientos especializados. El auge llegó en 2015, cuando se introdujo en la Ley de Enjuiciamiento Criminal (LECrim) la posibilidad de que las empresas fueran exentas de responsabilidad penal si cuentan con un plan de prevención de riesgos penales.. Así, las investigaciones internas, que son encargadas por los departamentos de compliance (cumplimiento normativo), asesoría jurídica o auditoría de las empresas, incluso por la alta dirección o abogados externos, están destinadas a depurar responsabilidades internas o a intentar librar a las compañías de responder penalmente ante las infracciones cometidas por sus empleados. Para ello, los equipos de forensic son multidisciplinares compuestos por economistas, licenciados en administración y dirección de empresas, abogados, criminólogos, ingenieros informáticos y matemáticos, con el objetivo de entender todas las aristas que se puedan encontrar durante las pesquisas.. “No es una auditoría. Se tiende a confundir con el término auditoría con ‘voy a investigar o analizar algo’”, señala Alfonso Bravo, socio del departamento de Forensic de Grant Thornton. Desde KPMG también hacen hincapié en esta diferencia: “Apenas guardan relación. Una auditoría financiera se limita a revisar los estados financieros de la compañía o las cuentas anuales que preparan los administradores de la compañía en base a una normativa contable. En este caso, el auditor determina si se ha aplicado de forma adecuada la normativa contable a través de un muestreo previamente establecido en la Ley de Auditoría. Una investigación forensic, por el contrario, es un trabajo ad hoc que analiza en profundidad aspectos concretos que pocas veces tiene que ver con cuestiones contables».. Investigación con todas las garantías. En cualquier caso, las pesquisas deben realizarse con todas las garantías, al igual que las investigaciones policiales o judiciales. De hecho, cumplen procedimientos similares en los volcados y precintados de la información de dispositivos electrónicos. Grant Thornton es una de las firmas que cuenta con un laboratorio desde el que los expertos exploran todos los documentos recabados de la empresa o del trabajador investigado, bajo unos controles estrictos para evitar cualquier tipo de manipulación. “Los dispositivos son la fuente de información más rica para las investigaciones. La evidencia digital es como el cuchillo de un crimen donde encontrar huellas”, ejemplifica Cristina Muñoz-Aycuens, socia de Forensic y ciberseguridad de dicha consultora.. Los socios del área de Forensic de Grant Thornton, Alfonso Bravo y Cristina Muñoz-Aycuens, en el ‘laboratorio’ de la consultora donde realizan las investigaciones internas de empresas. IMAGEN CEDIDA POR LA FIRMA.. Como explica KPMG, los profesionales trabajan con copias forensic, “que no se pueden modificar y funcionan como una foto fija” y cuyas evidencias pueden ser “aportadas posteriormente en potenciales procesos judiciales como pruebas válidas”. Por ello, añade la socia de Grant Thornton, “también es la prueba más débil porque es lo más fácil de atacar en juicio”, debido a que siempre se puede cuestionar si se ha mantenido la cadena de custodia, si su obtención ha incurrido en vulneraciones de derechos, o si su trato ha sido el correcto.. Lo primero que se suele comprobar, explica Muñoz-Aycuens, es si la empresa que requiere la investigación tiene una política de uso de sistemas corporativos, que define el acceso y uso de sus recursos informáticos, y comprobar si especifica que la propiedad de los dispositivos es de la compañía, si pone límites al uso personal del mismo por parte del empleado, y si existe la posibilidad de monitorización. No es necesario que esta política sea firmada por los empleados, precisa la socia de la consultora, sino que “simplemente tiene que ser conocida, ya sea por la intranet, correo electrónico o avisos antes del uso del ordenador”. Y en caso de que no existan estas reglas, la copia forense se debe hacer ante notario o depositarlo posteriormente ante fedatario público para asegurar que se ha realizado en cumplimiento de todas las normas y garantías, apunta.. Entrevistas y rastreo de comunicaciones. Con ello, la investigación se pone en marcha y toca establecer la estrategia de la investigación. “Las primeras decisiones son clave porque pueden condicionar en un futuro. El problema son las prisas para conocer qué ha pasado”, indica Alfonso Bravo. Los trabajos suelen ser muy variados pero, en general, suelen incluir entrevistas con trabajadores o personas vinculadas a la organización, revisiones de comunicaciones electrónicas a través de las palabras clave para conocer qué miembros de la plantilla, niveles intermedios, incluso del consejo de administración y de la alta dirección estaban al tanto de los hechos investigados y conocer así a los presuntos autores o cómplices.. Asimismo, algunas de estas investigaciones implican también el análisis de la tesorería y salida de caja para averiguar si ha existido fuga de capital, contratos irregulares o casos de corrupción. “Siempre hay que ser proporcional con lo que se está investigando, pero la investigación es algo vivo y ahí se deben tomar más decisiones. De primeras no se puede entrevistar a todo el mundo, sino que se debe ceñir al perímetro de investigación establecido. Si luego se recaban indicios, este se puede ampliar”, concluye Cristina Muñoz-Aycuens.
